Conservazione documenti: come il data retention cambia con il GDPR

Tutte le novità veramente significative comportano dei cambiamenti radicali e, soprattutto, delle aree “grigie”, per così dire, che hanno bisogno di essere chiarite. Il General data protection regulation, più che apportare dei cambiamenti, ha reso molto più stringenti le norme relative al data retention. Ma le conseguenze sono state comunque non di poco conto.

Con il GDPR, la conservazione dei documenti, inevitabilmente, cambia. Sebbene tutti i cambiamenti non siano ancora definibili con certezza, sicuramente alcune implicazioni impongono un confronto immediato fin da subito per chi ha la necessità di conservare i propri documenti.

Temi:

• Una precisazione prima di procedere
• Tempo di conservazione dati nel GDPR
• Tempo di conservazione dei documenti
• Conservazione dei documenti cartacei nel GDPR
• Archivio ibrido

Una precisazione prima di procedere:

• Per dato personale si intende qualunque informazione che possa ricondurre direttamente all’identità di uno specifico individuo;
• Quanto previsto dal GDPR si applica a tutti i dati personali che sono contenuti in archivi;
• Il concetto di archivio è molto ampio, passando dai database agli archivi documentali veri e propri;
• Per estensione, il GDPR si applica anche ai documenti.

Tempo di conservazione dati nel GDPR

Data retention

Il GDPR prevede che i dati personali possono essere conservati in base al tempo necessario per svolgere l’attività per la quale siano stati raccolti.

Questo è il concetto fondamentale che deve essere sempre tenuto in considerazione. Una persona firma un documento nel quale concede il diritto di utilizzo dei propri dati personali. In tale documento devono essere specificati (tre le altre cose):

• Le finalità del trattamento;
• Il tempo del trattamento.

Quindi, il GDPR, in linea di massima, non specifica un “tempo standard” per la conservazione dei dati.

Il concetto di conservazione dei dati

In realtà, il concetto di conservazione dei dati per un determinato periodo non è propriamente nuovo. Infatti, già l’articolo 11 del Codice privacy prevedeva che i dati personali dovessero essere:

Conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

Diritto all’oblio

La vera “rivoluzione” rappresenta dal GDPR sta altrove. Il General data protection regulation ha introdotto norme e misure più severe sul consenso all’utilizzo e sul trattamento dei dati personali. Soprattutto, ha espressamente introdotto il cosiddetto diritto all’oblio.

Al riguardo, il riferimento è l’articolo 17:

Testo dell’articolo 17	Casi in cui si può chiedere la cancellazione dei dati personali
L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali.	1. Dati non più necessari alla finalità per la quale erano stati raccolti.
	2. Revoca, da parte della persona, al consenso al trattamento dei dati personali.
	3. Non sussistenza di alcun motivo legittimo per continuare a trattare i dati.
	4. Dati personali trattati illecitamente.
	5. Dati personali da cancellare in base a specifiche norme vigenti nello specifico Paese.
	6. Dati personali raccolti relativamente all’offerta di servizi della società dell’informazione.

In tutte queste circostanze, la persona ha il diritto di chiedere la cancellazione dei propri dati personali e il soggetto che li ha in gestione ha l’obbligo di cancellarli.

Archiviazione per pubblico interesse

Il GDRP prevede anche il concetto di pubblico interesse, come sancito dall’articolo 5:

I dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici.

Il pubblico interesse è, non a caso, ancora oggi uno dei punti più dibattuti del GDPR, perché non dà alcun limite o specifica al concetto di pubblico interesse.

Tempo di conservazione dei documenti

Ancora non è completamente definito l’ambito nel quale il GDPR debba essere applicato e nel quale rappresenta il riferimento normativo principale. Comunque, è possibile dare due indicazioni che aiutano a orientarsi e a prendere le decisioni giuste.

Tempo di conservazione dei documenti

La normativa italiana prevede che specifici documenti debbano essere conservati per un determinato periodo di tempo. Ad esempio, le fatture vanno conservate per un minimo di dieci anni, così come tutte le scritture contabili, mentre le bollette domestiche vanno conservate per cinque anni.

La normativa italiana prevede specifici tempi di conservazione in base alla tipologia di documento.

Nei casi in cui la conservazione sia obbligatoria per legge, la persona non può avvalersi del diritto di recesso in alcun modo: questi documenti vanno necessariamente conservati nei tempi previsti senza alcuna possibilità di appello (fermo restando che i documenti vengano comunque utilizzati per la finalità dichiarata).

Il trattamento dei dati per altri motivi

Va da sé che, in aggiunta ai documenti che devono essere conservati per un determinato periodo di tempo previsto dalla legge, ci sono un’infinità di altre casistiche nelle quali un ente o un’azienda possa trovarsi nella situazione di dover gestire i dati/documenti di uno o più soggetti.

In questi frangenti, il riferimento deve essere sempre il già citato articolo 17: la conservazione dei documenti e dei dati personali prosegue per tutto il tempo necessario allo svolgimento dell’attività per la quale il loro utilizzo è stato concesso.

Conservazione dei documenti cartacei nel GDPR

Il GDPR, in realtà, non fa alcuna differenza tra documenti cartacei e documenti digitali. Comunque, ci sono alcune best practice che vale la pena seguire per garantire la necessaria riservatezza dei dati presenti nei documenti cartacei:

• Avere degli ambienti abbastanza ampi da contenere tutta la documentazione da conservare;
• Prevedere delle misure di sicurezza fisiche che impediscano l’accesso a persone non autorizzate;
• Adottare misure di pseudonimizzazione, come ricorrere a codici alfabetici, numerici o alfanumerici per identificare i soggetti interessati.

Se la cosa, internamente, crea delle difficoltà (perché mancano gli spazi o le competenze), c’è una soluzione molto pratica alla quale si può ricorrere: la gestione degli archivi cartacei in outsourcing.

Archivio ibrido

Infine, un ultimo consiglio. Enti e aziende possono ritrovarsi, anche in seguito all’introduzione del GDPR, a gestire dei cosiddetti archivi ibridi, ovvero archivi dove sono presenti sia documenti cartacei sia documenti digitali. Questa situazione richiede l’adozione di specifiche misure per la quali si può chiedere aiuto agli specialisti del settore.

Area Editoriale