Per quanto tempo posso conservare i dati dei miei clienti? La guida pratica ai tempi di conservazione

Vecchie anagrafiche clienti, curriculum di persone mai assunte, registrazioni delle telecamere di mesi fa, liste per la newsletter ferme dal 2019.
Se apri gli archivi della tua azienda, è facile che trovi dati come questi, che avresti già dovuto eliminare.
Cancellare sembra rischioso, conservare sembra prudente. Con il GDPR il ragionamento si rovescia: trattenere un dato oltre il tempo necessario è una violazione, esattamente come raccoglierlo senza una base giuridica.

Quanto a lungo, allora, posso tenere ciascun dato? Non esiste un numero valido per tutto. La durata dipende dalla categoria del dato e, all’interno di ciascuna, dalla finalità per cui lo usi.

Sulla categoria è intuitivo: una fattura, un curriculum e le immagini di una telecamera rispondono a norme e rischi differenti, e per questo non si conservano per lo stesso tempo.

La finalità è la parte meno ovvia. Uno stesso dato può avere scadenze diverse a seconda dell’uso che ne fai: l’elenco dei tuoi clienti va tenuto a lungo se serve agli obblighi contabili, molto meno se lo usi soltanto per le campagne di marketing.

La buona notizia è che esistono, per ogni categoria, riferimenti precisi su cui costruire una scelta difendibile davanti al Garante.

Questa guida spiega la regola del GDPR sui tempi di conservazione e i termini indicativi per i tipi di dato più diffusi in azienda, con tre casi concreti e le domande più frequenti. L’obiettivo è darti criteri chiari per decidere quanto conservare ogni dato e quando, invece, cancellarlo.

Il principio di limitazione della conservazione: la regola di base

Il punto di partenza è l’articolo 5, paragrafo 1, lettera e) del GDPR, che fissa il principio di limitazione della conservazione.
La regola dice una cosa semplice: i dati personali vanno conservati per un arco di tempo non superiore a quello necessario al raggiungimento delle finalità per cui sono stati raccolti. Una volta esaurito quello scopo, il dato va cancellato o reso anonimo in modo irreversibile.
Tutto ruota attorno a quella parola, finalità, perché è il criterio che decide i tempi di conservazione.
Lo stesso identico dato, ad esempio l’indirizzo email di un cliente, può avere durate molto diverse a seconda del motivo per cui lo tratti.
Se serve a gestire un contratto, vive per tutta la durata del rapporto e per il tempo utile a difendersi da eventuali contenziosi.
Se, invece, serve a inviare la newsletter, vive finché il cliente resta iscritto e continua a interagire, cioè ad aprire o cliccare le tue email. Un’iscrizione vecchia di anni, che non produce più alcuna interazione, non giustifica una conservazione a tempo indefinito: quando l’interesse si spegne, viene meno anche la ragione che ti permetteva di trattarlo. Per questo la scadenza non si assegna al dato in sé, ma alla finalità per cui lo usi.

Fin qui abbiamo visto l’obbligo che ricade su di te come azienda: cancellare i dati quando non ti servono più. Visto dalla parte della persona a cui i dati si riferiscono, lo stesso dovere diventa un suo diritto: può chiederti di cancellare le proprie informazioni. È il diritto alla cancellazione, o diritto all’oblio, previsto dall’articolo 17 del GDPR. Devi accettare la richiesta in alcuni casi precisi: quando quei dati non ti servono più per lo scopo per cui li avevi raccolti, quando la persona ritira un consenso che ti aveva dato, o quando chiede di non essere più contattata per finalità di marketing.

Questo diritto, però, non è assoluto: non puoi cancellare ciò che la legge ti impone di conservare. Se un cliente ti chiede di eliminare i suoi dati ma compaiono in una fattura, devi tenerla per i dieci anni previsti, respingere la richiesta per quella parte e spiegargliene il motivo. Tutto ciò che non è coperto da un obbligo di legge, invece, va cancellato.

Perché non esiste una tabella unica valida per tutte le aziende

Molti imprenditori cercano la tabella definitiva, quella che fissa una scadenza precisa per ogni tipo di dato. Una tabella così, uguale per qualsiasi azienda, non esiste.
Dopo il GDPR del 2018 il Garante non rilascia più autorizzazioni con durate prefissate: per buona parte dei dati fissi la durata in base alla tua attività.
È il cosiddetto principio di responsabilizzazione, o accountability: la scelta spetta a te, ma deve essere motivata e documentata.

Su alcune categorie, invece, la legge non lascia margine e impone un periodo minimo di conservazione, a prescindere dalla tua volontà: fatture, documenti contabili, dati antiriciclaggio. Qui sta il punto che genera più confusione. Quando sullo stesso dato convivono un obbligo di legge e una tua esigenza, prevale il termine più lungo, ma solo per lo scopo previsto da quella norma. Una fattura va conservata dieci anni per ragioni fiscali e civilistiche, e quei dieci anni non ti autorizzano a usare lo stesso contatto per il marketing per altrettanto tempo.

Nella tabella qui sotto trovi i riferimenti per le categorie di dati più comuni nelle PMI. Leggila tenendo a mente la differenza: alcune righe sono obblighi di legge da rispettare, altre sono soglie prudenziali che puoi adattare, purché tu sappia spiegare perché.

Entriamo ora nelle categorie più delicate, una per una, con i casi concreti che incontriamo più spesso negli audit.

Clienti ed ex dipendenti: il peso della prescrizione

Per i dati dei clienti il riferimento di base è la durata del contratto. Finché è attivo, hai una base giuridica solida per trattare anagrafica, dati di fatturazione e storico degli ordini. Alla chiusura del rapporto, però, non puoi cancellare subito tutto: quei dati possono ancora servirti se nasce una contestazione.

Per un certo periodo, infatti, ciascuna delle parti può rivolgersi a un giudice per questioni rimaste in sospeso, come un pagamento non saldato o un risarcimento da chiedere. Questo periodo si chiama prescrizione: è il tempo entro cui un diritto può essere fatto valere in tribunale, scaduto il quale non si può più agire. Per i crediti che nascono da quel rapporto, cioè i diritti di natura economica tra le parti, la prescrizione ordinaria è di dieci anni (articolo 2946 del codice civile): è la finestra entro cui un cliente potrebbe farti causa, o tu a lui.

Per questo puoi conservare i suoi dati per tutto quel periodo.
Questa possibilità, però, non è un lasciapassare per tenere tutto. Riguarda solo quelli che potrebbero servirti in un contenzioso, come il contratto, le fatture e la corrispondenza rilevante, non l’intera scheda del cliente con ogni informazione accumulata negli anni. E restano legati a quello scopo: stanno fermi in archivio, a disposizione di un’eventuale difesa, e non puoi rimetterli in uso per altro, ad esempio per inviare promozioni.

Per gli ex dipendenti il discorso non cambia. Anche dopo la fine del rapporto di lavoro, un ex collaboratore può avanzare richieste legate allo stipendio, al trattamento di fine rapporto o ai contributi versati, e tu devi poter dimostrare come hai gestito la sua posizione. La documentazione del lavoro, quindi, non si cancella subito: per la parte contrattuale ed economica il riferimento più prudente è dieci anni dalla cessazione, lo stesso termine di prescrizione visto per i clienti. Non tutte le voci, però, seguono i dieci anni: i crediti retributivi periodici, ad esempio, si prescrivono in cinque anni (art. 2948 del codice civile). Conservare fino a dieci anni la documentazione contrattuale ed economica resta comunque la scelta più cautelativa, perché copre anche le richieste con prescrizione più lunga, come quelle legate al trattamento di fine rapporto.

Non tutto, però, segue la regola dei dieci anni. Alcuni documenti hanno scadenze proprie, fissate dalla normativa sul lavoro o dall’INPS e da verificare caso per caso. Vale, ad esempio, per il Libro Unico del Lavoro, cioè il registro in cui l’azienda annota dati e retribuzioni dei dipendenti, e per la documentazione sui contributi previdenziali: per questi i termini possono essere diversi.

Conviene quindi selezionare invece di archiviare tutto in blocco.
I documenti che devi conservare per legge o per un’eventuale difesa restano in archivio, accessibili solo a chi ne ha bisogno. Il resto, che ha esaurito la sua funzione, va cancellato subito: copie dei documenti d’identità, note interne, contatti non più utili. Non ha senso trascinarli per anni solo per inerzia.

Candidati: per quanto puoi conservare un curriculum

I curricula sono tra i documenti che si accumulano più facilmente senza che nessuno li cancelli. Restano per anni in una casella di posta o in una cartella condivisa, anche quando la persona non è stata assunta e non verrà più ricontattata.

Eppure non puoi tenerli per sempre. Quando la selezione per cui li hai raccolti si chiude, lo scopo si esaurisce e vanno cancellati.
Lo stesso vale per le candidature spontanee: ricevere un CV non richiesto non ti dà un motivo in più per archiviarlo a tempo indeterminato.

Dodici mesi sono un punto di partenza prudente. Puoi arrivare a ventiquattro come massimo ordinario se fai ricerche ricorrenti o ti servono spesso ruoli simili, ma è una scelta che devi poter motivare, non un termine fissato dalla legge. Per andare oltre serve un passo in più: il consenso esplicito della persona a entrare in una banca dati di candidature, il cosiddetto talent pool, con un termine finale chiaro, l’indicazione nell’informativa e la possibilità di revoca in ogni momento.

Durante un controllo, l’informativa è una delle prime cose che il Garante verifica. Fin dal primo contatto devi dire al candidato per quanto tempo conserverai i suoi dati, o almeno con quale criterio lo stabilirai, per esempio “per la durata della selezione e i dodici mesi successivi”.
Tacere su questo punto è già una non conformità, anche se poi cancelli i dati nei tempi giusti.

Caso concreto: l’archivio di curriculum scoperto durante un audit

Un’azienda manifatturiera con quaranta dipendenti ha avviato un audit interno per prepararsi a una certificazione. Analizzando le cartelle condivise dell’ufficio risorse umane, è emerso un archivio con centinaia di curriculum,
alcuni risalenti a otto anni prima, di persone mai assunte e mai più ricontattate. L’informativa non indicava alcun periodo di conservazione e non esisteva un consenso che autorizzasse una tenuta così lunga. Quei dati erano rimasti in archivio ben oltre la finalità per cui l’azienda li aveva raccolti, in violazione del principio di limitazione della conservazione. L’azienda ha dovuto cancellare l’intero archivio storico, ricostruire l’informativa per i candidati e impostare una cancellazione automatica a dodici mesi. Un controllo del Garante, invece dell’audit interno, avrebbe trasformato la stessa situazione in una contestazione formale, con il rischio di una sanzione e di un danno d’immagine. Ha potuto rimediare in tempo solo perché se n’è accorta da sola.

Marketing e profilazione: il limite dei 24 mesi

I contatti che raccogli per le tue campagne sono tra i dati più facili da accumulare. Ogni iscritto alla newsletter, ogni nominativo preso da un acquisto o a un evento finisce nelle tue liste, e raramente qualcuno li rimuove. Col tempo il database si riempie di persone che non aprono un’email da anni e di profilazioni basate su comportamenti ormai vecchi. Il metro che il Garante continua ad applicare in sede di controllo è di ventiquattro mesi per il marketing e dodici per la profilazione, calcolati dall’ultimo contatto utile: non è più un obbligo vincolante, ma resta il benchmark su cui un’azienda viene di fatto misurata in un’ispezione..

Da quando si applica il GDPR, cioè dal 2018, la scelta della durata spetta a te, in base al principio di responsabilizzazione. Quei termini, però, sono tutt’altro che superati: il Garante li richiama ancora come linea guida valida nei suoi provvedimenti più recenti, ed è proprio con quel parametro che valuta i casi che gli arrivano sul tavolo. Trattarli come soglia di riferimento, e non come numero superato, è la scelta prudente.  Per una PMI la soluzione più sicura è non andare oltre quei termini. Puoi superarli solo in casi specifici, quando il ciclo di acquisto, il settore, la relazione con il cliente o le sue aspettative lo giustificano. In quei casi la scelta va motivata in modo concreto e documentata.
Per la profilazione, che incide di più sulle persone, alla motivazione si aggiunge una valutazione dei rischi per gli interessati.

L’errore più comune: “fino a revoca del consenso”

Negli ultimi anni molte aziende hanno risolto la questione in modo apparentemente comodo: conservare i dati di marketing finché l’utente non si disiscrive. Sembra ragionevole, ma il Garante la pensa diversamente.

Con il provvedimento del 18 luglio 2023, il caso Tiscali costato all’azienda una sanzione di 100.000 euro, l’Autorità ha stabilito che fissare la conservazione “fino all’eventuale revoca del consenso” non è una scelta valida. Rende il trattamento potenzialmente illimitato nel tempo, perché una persona potrebbe non revocare mai, pur restando inattiva per anni. Il principio di limitazione della conservazione impone invece un termine certo, deciso a monte.

Per questo, nell’informativa non puoi cavartela con un generico “fino a revoca”. Devi indicare un tempo preciso, per esempio ventiquattro mesi dall’ultimo contatto, e alla scadenza cancellare il dato o lanciare una campagna di riconferma. Il consenso non è eterno: resta valido entro il termine di conservazione che hai fissato e dichiarato.

Il problema di fondo, comunque, è lasciare che il database cresca senza una pulizia regolare. Un contatto che non interagisce da anni pesa più di quanto rende: aumenta i dati da proteggere e indebolisce la qualità delle tue campagne.

Caso concreto: l’e-commerce senza regola di pulizia

Un negozio online di articoli sportivi gestiva un database marketing con circa sessantamila contatti. Una quota consistente era composta da clienti inattivi da oltre cinque anni, che non compravano più e non si erano mai disiscritti. Non era prevista alcuna procedura automatica di cancellazione o anonimizzazione. Continuare a inviare promozioni a chi non mostrava più interesse significava trattare dati per una finalità ormai esaurita, oltre i tempi ragionevoli. La soluzione è stata impostare una regola che, dopo due anni di inattività, sposta il contatto in una campagna di riconferma, cioè un’email che chiede se vuole continuare a ricevere le comunicazioni, e cancella chi non risponde. Il database si è ridotto, ma i tassi di apertura sono saliti e l’esposizione in caso di attacco informatico è diminuita.

Contabilità, fisco e antiriciclaggio: la legge non lascia scelta

Per i documenti contabili e fiscali il margine di scelta è quasi nullo, perché intervengono obblighi di legge precisi. L’articolo 2220 del codice civile impone di conservare le scritture contabili per dieci anni dalla data dell’ultima registrazione, e lo stesso vale per fatture e corrispondenza commerciale. Sul fronte fiscale, gli articoli 43 del DPR 600/1973 e 57 del DPR 633/1972 fissano i termini per l’accertamento, cioè il periodo entro cui il fisco può ancora effettuare controlli, che arriva fino al quinto anno successivo a quello in cui hai presentato la dichiarazione fiscale.
La prassi prudente è tenere tutta la documentazione fino al termine più lungo, quello civilistico.

Lo stesso criterio vale per i dati dei fornitori. Finché il rapporto è attivo li tratti per gestire ordini, contratti e pagamenti, con una base giuridica solida. Alla sua chiusura, la parte legata a fatture e documenti contabili resta soggetta agli stessi dieci anni, mentre i dati non più necessari a quella finalità, come i recapiti delle persone di riferimento non più coinvolte, vanno rimossi.

Per chi è soggetto agli obblighi antiriciclaggio, come professionisti, studi e alcune categorie di imprese, l‘articolo 31 del D.Lgs. 231/2007 impone la conservazione dei dati e dei documenti acquisiti per dieci anni dalla cessazione del rapporto. In tutti questi casi la base giuridica della conservazione è l’obbligo legale, e una richiesta di cancellazione che riguardi questi documenti va legittimamente respinta, spiegando all’interessato il fondamento normativo.

Videosorveglianza: la categoria che il Garante guarda con più attenzione

Le immagini registrate dalle telecamere sono dati personali a tutti gli effetti: riprendono persone identificabili, spesso a loro insaputa. Proprio per questo il Garante è particolarmente rigido sui tempi di conservazione, fissati dal provvedimento generale dell’8 aprile 2010 e precisati dalle Linee guida europee 3/2019 (EDPB) e dalle sue FAQ. Stabiliscono che le immagini vanno tenute per un periodo molto breve: di norma ventiquattro ore, estendibili fino a sette giorni solo con un’esigenza specifica e motivata, come una chiusura nel fine settimana o un rischio particolare per la sicurezza. E più allunghi questo termine, più devi poterlo giustificare per iscritto, pronto a dimostrarlo se il Garante lo chiede.

Conservare le registrazioni oltre i termini, senza una motivazione solida, è una delle violazioni più frequenti, e tra le più facili da accertare in un’ispezione: basta controllare per quanti giorni l’impianto è impostato a tenerle.

Caso concreto: lo studio professionale sanzionato in ispezione

Uno studio professionale aveva installato un impianto di videosorveglianza all’ingresso della sua ede e nelle aree comuni, per ragioni di sicurezza. Il sistema era configurato per conservare le immagini per trenta giorni, una scelta presa per comodità tecnica e mai motivata. Durante un’ispezione, il Garante ha verificato le impostazioni e ha rilevato che le registrazioni venivano conservate ben oltre la soglia ordinaria di sette giorni, senza alcuna giustificazione documentata a sostegno di un termine così lungo.  Questo, unito a un’informativa incompleta sui tempi, ha portato a una contestazione e a una sanzione. Sarebbe bastato configurare l’impianto su settantadue ore e aggiornare l’informativa per evitare l’intero problema.

Cosa rischi se conservi i dati oltre il necessario

Conservare i dati più del dovuto ha un costo concreto, e si paga su due fronti: quello legale e quello della sicurezza.
Sul piano legale, la violazione del principio di limitazione della conservazione rientra tra quelle punibili con le sanzioni più alte previste dal GDPR: fino a venti milioni di euro o al quattro per cento del fatturato annuo mondiale, a seconda di quale importo sia maggiore. Le PMI raramente raggiungono questi massimali, ma le contestazioni del Garante producono sanzioni concrete e, soprattutto, danni reputazionali difficili da recuperare.

C’è poi il fronte della sicurezza. Ogni dato che conservi è un dato che devi proteggere. Un archivio pieno di informazioni inutili amplia la superficie esposta in caso di attacco informatico: se subisci una violazione dei dati (data breach), ti ritrovi a gestire e notificare la perdita di informazioni che non avresti nemmeno dovuto avere. Cancellare ciò che non serve è una delle misure di sicurezza più economiche ed efficaci a disposizione di un’azienda.

Esiste anche il rischio opposto, meno frequente ma reale: cancellare troppo presto documenti coperti da un obbligo di legge, come le fatture o la documentazione del lavoro, ti espone a contestazioni fiscali o all’impossibilità di difenderti in un contenzioso. Il punto di equilibrio nasce da una mappatura ordinata.

La policy di conservazione: lo strumento che mette ordine

Tutti i criteri visti finora si traducono in un unico documento operativo, la policy di data retention, che associa a ogni categoria di dato la sua finalità, il tempo di conservazione, la base giuridica e la modalità di cancellazione. È uno strumento concreto, che ti permette di rispondere in pochi minuti, e con prove alla mano, sia a una richiesta di cancellazione di un cliente sia a una domanda del Garante. Stabilisce anche quando e come ripulire periodicamente gli archivi: così la pulizia non dipende più dalla singola persona, ma da una regola scritta.

Una policy ben fatta parte da una mappatura dei trattamenti, la stessa che confluisce nel registro delle attività di trattamento, cioè l’elenco di tutto ciò che la tua azienda fa con i dati personali. Per ogni voce indica chi può accedere al dato, dove è conservato, per quanto tempo e con quale criterio viene eliminato. Costruirla richiede di incrociare finalità, obblighi di legge e rischi specifici della tua attività, ed è esattamente il lavoro in cui un Data Protection Officer porta valore.

Definiamo insieme i tempi giusti per la tua azienda

Ogni tipo di dato ha la sua scadenza, e definirla bene, senza rischiare sanzioni o conservare informazioni che non dovresti più avere, è una questione di metodo.

Con una consulenza gratuita analizziamo i tuoi trattamenti e costruiamo una policy di conservazione su misura, con i tempi corretti per ogni categoria di dato, dai clienti alla videosorveglianza.