I tempi di conservazione dei dati personali sono la riga che quasi nessuno compila davvero. Nelle informative si legge «per il tempo necessario alle finalità indicate»; nel registro dei trattamenti la colonna è vuota, oppure riporta la stessa formula. È una scorciatoia comoda, e ha un difetto: non rispetta il Regolamento.
Il principio è quello dell’articolo 5, paragrafo 1, lettera e, del GDPR: i dati devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati. È la limitazione della conservazione, e non è un principio decorativo.
Dove il termine deve comparire
Due sono i punti in cui il termine va esplicitato.
Il primo è l’informativa. L’articolo 13, paragrafo 2, lettera a, impone di indicare il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo. Non è una facoltà alternativa a piacere: la seconda opzione vale quando la prima è oggettivamente impraticabile, non quando nessuno ha fatto l’analisi.
Il secondo è il registro delle attività di trattamento. L’articolo 30, paragrafo 1, lettera f, richiede, ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati. Il registro è il primo documento che viene chiesto in caso di verifica, ed è anche quello che rende immediatamente visibile se l’analisi è stata fatta o no.
Le contestazioni: due casi concreti
Che non si tratti di un adempimento formale lo dicono i provvedimenti.
Con provvedimento del 27 novembre 2025 il Garante ha irrogato una sanzione di trecentomila euro a una società di servizi. Tra le violazioni contestate figura la conservazione eccessiva dei dati per finalità di marketing per cinque anni, in violazione dell’articolo 5, paragrafo 1, lettera e. Al quadro si aggiungevano misure di sicurezza inadeguate, valutate alla luce degli articoli 5, 24, 25 e 32, e un consenso promozionale raccolto con caselle già selezionate.
Con il provvedimento n. 637 del 23 ottobre 2025 una società alberghiera è stata sanzionata per seimila euro, tra l’altro, per aver conservato i dati per finalità di marketing per nove anni: di nuovo, articolo 5, paragrafo 1, lettera e.
Due elementi meritano attenzione. Il primo: la conservazione eccessiva viene contestata in via autonoma, non come corollario di altro. Il secondo: in entrambi i casi il contesto era il marketing, cioè l’area in cui l’accumulo di anagrafiche è più facile da giustificare a se stessi e più difficile da giustificare all’Autorità.
Perché «finché serve» non funziona
La formula generica crea tre problemi pratici.
- Non è verificabile. In sede di controllo l’ente non è in grado di dimostrare perché quel dato è ancora lì, e l’onere della prova sulla conformità grava sul titolare.
- Non è attuabile. Un termine che nessuno ha definito non può essere implementato in un sistema informativo: non esiste una cancellazione automatica di ciò che non ha una scadenza.
- Non regge alla richiesta dell’interessato. Quando arriva un’istanza di cancellazione o di accesso, occorre sapere che cosa c’è, dove e da quando.
Quanto pesa sulla sanzione
Chi considera la conservazione un dettaglio dovrebbe guardare dove si colloca nella scala dell’articolo 83. Il paragrafo 5 riserva lo scaglione più alto — fino a venti milioni di euro o al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore — alle violazioni dei principi di cui all’articolo 5, tra i quali la limitazione della conservazione rientra a pieno titolo. Il paragrafo 4, con il tetto di dieci milioni o del 2%, riguarda invece obblighi di natura diversa.
In altre parole: la riga non compilata nell’informativa appartiene alla stessa famiglia di violazioni del trattamento illecito di dati sanitari o dell’assenza di base giuridica. Non è la categoria minore.
Come si stabiliscono i tempi di conservazione dei dati personali
Il lavoro non parte dai dati, parte dalle finalità. Per ciascun trattamento occorre stabilire perché quei dati sono stati raccolti, quale norma o quale esigenza ne impone o ne consente la conservazione, e per quanto tempo.
Alcuni termini sono imposti da altre normative: obblighi civilistici e fiscali, obblighi in materia di lavoro, discipline di settore. In questi casi il termine non lo sceglie il titolare, lo trova. Altri termini vanno invece determinati e motivati, ed è qui che le organizzazioni si fermano.
Un passaggio ulteriore riguarda gli enti pubblici, dove la conservazione dei dati si intreccia con la disciplina documentale: il piano di conservazione e il massimario di scarto non sono documenti alternativi al registro dei trattamenti, ma vanno letti insieme, e le incoerenze tra i due sono uno dei rilievi più facili da muovere.
Il collegamento con il resto
Il termine di conservazione non vive isolato. Se è sbagliato nell’informativa, il problema si riflette sulla correttezza dell’informativa pubblicata sul sito. Se è assente nel registro dei trattamenti, la lacuna emerge al primo controllo. Se i dati conservati oltre il necessario finiscono in una violazione di sicurezza, l’ampiezza della platea coinvolta pesa sulla notifica del data breach e sulla valutazione complessiva della condotta.
Vale anche il contrario: un’organizzazione che ha definito i termini e li applica riduce di molto la superficie esposta, perché i dati che non ci sono più non possono essere né violati né contestati.
Una verifica che si fa in poco tempo
Aprite la vostra informativa e cercate la riga sulla conservazione. Poi aprite il registro dei trattamenti e cercate la colonna corrispondente. Se le due cose non coincidono, o se entrambe contengono la stessa formula generica, il lavoro è ancora da fare.
Lo studio ha sede a Napoli, assiste aziende ed enti in tutta Italia e svolge incarichi di responsabile della protezione dei dati. Per il contenzioso amministrativo e le altre materie il riferimento è il sito avvocatoelioerrichiello.it.
Se volete capire quanto siete esposti, inviateci dalla pagina contatti l’informativa e il registro attualmente in uso: ne faremo un esame preliminare e vi indicheremo i trattamenti per i quali il termine è indifendibile.
Avv. Elio Errichiello
