Data Retention Policy GDPR: Tempi di Conservazione

Quanto tempo può conservare i dati personali un'azienda?

Il GDPR non stabilisce un unico numero di mesi o anni valido per tutti i dati. Il titolare deve fissare un termine o un criterio distinto per ciascuna finalità, considerando necessità, obblighi di legge, rischio e possibilità di difendere un diritto. Il periodo deve essere indicato nell'informativa, documentato internamente e tradotto in cancellazione, anonimizzazione o segregazione effettiva quando la finalità termina.

Fonti primarie: GDPR, art. 5 — limitazione della conservazione · GDPR, art. 13 — informazione sul periodo o sui criteri · GDPR, art. 30 — registro dei trattamenti · Garante Privacy — accountability e tempi per marketing e profilazione · Codice civile, art. 2220 · Ministero del Lavoro — conservazione del Libro unico

Aggiornamento: 31 agosto 2026. I termini riportati come esempi non sostituiscono la verifica delle norme di settore, del contratto collettivo, dei termini di prescrizione o delle caratteristiche del trattamento concreto.

Una data retention policy è il documento che traduce il principio di limitazione della conservazione in regole applicabili ai sistemi aziendali. Non è una tabella copiata da internet: deve collegare ogni categoria di dati a una finalità, a un termine o criterio, a un evento iniziale e a un'azione finale verificabile.

La conservazione eccessiva aumenta l'impatto di data breach, accessi abusivi ed errori. Una cancellazione troppo anticipata può invece violare obblighi legali o impedire all'azienda di documentare un rapporto. L'obiettivo è trovare e motivare il periodo necessario, non scegliere sempre quello più breve o più lungo.

Cosa richiede davvero il GDPR

L'art. 5, par. 1, lett. e), impone che i dati identificabili siano conservati per un arco di tempo non superiore a quello necessario alle finalità. Gli artt. 13 e 14 richiedono di comunicare agli interessati il periodo di conservazione oppure, quando non è possibile determinarlo in anticipo, i criteri usati per definirlo.

Ne derivano quattro regole operative:

Ogni finalità ha il proprio termine. Lo stesso record può contenere dati soggetti a durate diverse.
Il termine deve essere spiegabile. “Finché necessario” senza criteri ulteriori è spesso troppo generico.
La fine del termine deve produrre un'azione. Cancellazione, anonimizzazione irreversibile o segregazione per un obbligo residuo.
Il titolare deve poterlo dimostrare. Policy, registro, informative e configurazioni devono essere coerenti.

Non esiste una tabella universale dei tempi GDPR

I termini derivano da fonti diverse:

una legge può imporre la conservazione di documenti specifici;
il contratto può richiedere dati per esecuzione, garanzia o assistenza;
i termini di prescrizione possono giustificare un archivio difensivo circoscritto;
la finalità di marketing richiede una valutazione autonoma di necessità e proporzionalità;
sicurezza e logging richiedono finestre calibrate sul rischio;
contenziosi o richieste dell'autorità possono imporre un blocco temporaneo della cancellazione.

I vecchi riferimenti a 12 mesi per la profilazione e 24 mesi per il marketing non operano oggi come limiti automatici validi per ogni azienda. Il Garante ha chiarito che spetta al titolare determinare e motivare caso per caso i tempi, secondo accountability, necessità, proporzionalità e minimizzazione. Anche un consenso non revocato non giustifica da solo una conservazione indefinita di contatti inattivi.

Una matrice di retention per finalità

La seguente matrice non assegna termini universali: indica le domande e le fonti da verificare per costruire il calendario aziendale.

Ambito	Evento iniziale utile	Criterio da documentare	Azione finale
Clienti e contratti	Chiusura del rapporto o ultima prestazione	Obblighi civilistici/fiscali, garanzie, prescrizione e contenzioso	Cancellazione dei dati operativi; archivio limitato dei documenti necessari
Prospect e preventivi	Ultimo contatto o chiusura della trattativa	Durata ragionevole del ciclo commerciale e possibile difesa precontrattuale	Eliminazione dal CRM o nuova raccolta quando nasce un'altra finalità
Marketing	Consenso, raccolta o ultima interazione significativa	Frequenza di acquisto, aspettative, canale, rischio e inattività	Soppressione dalle campagne; lista minima di opposizione separata
Profilazione	Prima osservazione o ultimo dato utile	Finestra necessaria al modello e rischio per gli interessati	Cancellazione o anonimizzazione dei dati storici non più necessari
Recruiting	Chiusura della selezione o ricezione candidatura spontanea	Frequenza delle selezioni, aggiornamento del CV e aspettative del candidato	Cancellazione o richiesta trasparente di rinnovo
Personale	Cessazione del rapporto o produzione del documento	Norme sul lavoro, previdenza, sicurezza, prescrizione e contenzioso	Archivio HR segregato con accessi limitati
Assistenza e ticket	Chiusura del ticket o del contratto	Garanzia, qualità, sicurezza e contestazioni	Cancellazione degli allegati; eventuali statistiche anonimizzate
Log tecnici e sicurezza	Generazione del log	Tempo necessario a rilevare incidenti, indagare e proteggere i sistemi	Rotazione automatica e cancellazione sicura
Fornitori e DPA	Fine del servizio	Obblighi contrattuali, audit e dimostrazione della catena privacy	Revoca accessi, restituzione/cancellazione e prova dell'exit

Clienti: separare servizio, contabilità e difesa

Alla cessazione del contratto non è corretto mantenere tutto il profilo del cliente “per dieci anni” in ogni sistema. L'art. 2220 c.c. prevede dieci anni per le scritture e la corrispondenza commerciale indicate dalla norma, ma questo non trasforma il CRM, i ticket o i dati di utilizzo in un archivio indiscriminato decennale.

Una buona architettura separa:

dati necessari a erogare il servizio, cancellati quando il rapporto termina e non servono più;
documenti contabili o contrattuali conservati nell'archivio previsto;
informazioni strettamente necessarie per contestazioni, con accessi limitati;
dati utilizzati per marketing, soggetti a una finalità e a regole autonome.

La base giuridica e l'accessibilità cambiano anche quando alcuni dati devono restare conservati. Un documento archiviato per obbligo legale non dovrebbe continuare ad alimentare campagne o profilazioni.

Prospect: il CRM non deve diventare un archivio permanente

Lead, richieste di preventivo e contatti fieristici spesso rimangono nel CRM senza una scadenza. Per determinare il termine considera:

durata media della trattativa;
natura e valore del servizio;
probabilità ragionevole di riapertura;
contenuto delle comunicazioni;
eventuali contestazioni precontrattuali;
aspettative comunicate nell'informativa.

Un contatto inattivo non può essere mantenuto indefinitamente soltanto perché potrebbe tornare utile. La policy può prevedere avvisi, riesame o cancellazione automatica dopo un periodo motivato.

Marketing e liste di opposizione

La retention marketing deve distinguere almeno:

dati di contatto utilizzati per l'invio;
prova del consenso e versione dell'informativa;
storico delle campagne e delle interazioni;
segmenti o punteggi di profilazione;
lista di soppressione degli utenti che si sono opposti.

Quando una persona esercita l'opposizione, l'indirizzo non deve essere semplicemente rimosso e poi reimportato. Può essere necessario conservarne una rappresentazione minima in una suppression list, usata esclusivamente per rispettare l'opposizione e protetta da utilizzi commerciali.

La guida sul marketing diretto e GDPR approfondisce consenso, soft spam e opt-out.

HR: non usare un unico termine per tutto il fascicolo

I dati del personale comprendono documenti con funzioni molto diverse. Per esempio, il Libro unico del lavoro deve essere conservato per cinque anni dall'ultima registrazione secondo la disciplina richiamata dal Ministero del Lavoro. Altri documenti possono seguire termini diversi in base a obblighi retributivi, contributivi, salute e sicurezza, contenzioso o contratto collettivo.

La policy HR dovrebbe distinguere:

candidature non selezionate;
documenti di assunzione e gestione del rapporto;
presenze, paghe e adempimenti previdenziali;
valutazioni e procedimenti disciplinari;
dati sanitari e idoneità alla mansione;
log relativi a strumenti aziendali;
documenti mantenuti dopo la cessazione.

Un provvedimento del Garante del 4 dicembre 2025 descrive, nel caso esaminato, una retention di 12 mesi per i CV dopo la chiusura della selezione. È un riferimento concreto, non una durata universale: l'azienda deve motivare il proprio termine in base alle selezioni e alle aspettative dichiarate.

Per log, email, GPS e altri strumenti di lavoro consulta la guida sul monitoraggio dei dipendenti.

Log, backup e copie: la policy deve raggiungere i sistemi

Scrivere “cancellazione dopo 24 mesi” nell'informativa non basta se il dato rimane in esportazioni, data warehouse, caselle email, backup o account dei fornitori.

Per ogni regola documenta:

sistema autorevole e copie derivate;
job automatico di cancellazione o anonimizzazione;
frequenza di esecuzione;
trattamento dei backup non immediatamente modificabili;
propagazione della richiesta ai responsabili;
log che dimostrano l'avvenuta operazione;
controlli a campione e gestione degli errori.

I backup possono seguire un ciclo tecnico separato, purché restino protetti, non siano riutilizzati per finalità ordinarie e siano sovrascritti entro un periodo definito. Se un backup viene ripristinato, le cancellazioni già maturate devono essere nuovamente applicate.

Litigation hold: sospendere la cancellazione senza riaprire tutti gli usi

Un contenzioso, un'indagine, una richiesta dell'autorità o un incidente può rendere necessario congelare alcuni dati oltre il termine ordinario. La deroga deve essere:

collegata a un evento concreto;
limitata ai dati pertinenti;
autorizzata e documentata;
segregata dagli usi ordinari;
riesaminata periodicamente;
chiusa con cancellazione quando la necessità termina.

Un “legal hold” generico e permanente equivale a svuotare la retention policy.

Come scrivere una retention schedule applicabile

Per ogni riga della schedule inserisci almeno:

Campo	Esempio di contenuto
Processo	Gestione dei preventivi B2B
Categoria di dati	Contatti, richiesta, offerta e comunicazioni
Finalità e base giuridica	Misure precontrattuali; eventuale difesa distinta
Sistema	CRM, email commerciale, cartella offerte
Evento iniziale	Chiusura della trattativa
Termine o criterio	Periodo motivato sulla durata del ciclo e sulle contestazioni
Azione finale	Cancellazione dal CRM e dalle cartelle operative
Eccezione	Contenzioso documentato, con accesso segregato
Responsabile	Sales Operations con controllo Privacy
Evidenza	Report mensile del job e campione trimestrale

Procedura di implementazione in otto passi

Inventaria i trattamenti. Parti dal registro ex art. 30 e verifica i sistemi reali.
Scomponi le finalità. Contratto, marketing, sicurezza e difesa non possono condividere automaticamente lo stesso termine.
Raccogli le fonti. Norme, prescrizioni, contratti, necessità operative e rischi.
Definisci evento iniziale e durata. “Dieci anni” senza indicare da quando decorrono è una regola incompleta.
Scegli l'azione finale. Cancellazione, anonimizzazione o segregazione.
Allinea i documenti. Registro, informative, DPA e procedure devono riportare criteri coerenti.
Configura i sistemi. Automazioni, ruoli, log ed eccezioni.
Verifica l'efficacia. Controlla periodicamente record scaduti, backup e fornitori.

Errori frequenti

Usare “10 anni” per qualsiasi dato cliente. Gli obblighi di conservazione documentale non autorizzano tutti gli usi né tutti i sistemi.

Conservare finché il consenso non viene revocato. Il consenso e la necessità della conservazione sono valutazioni distinte.

Cancellare dal CRM ma non dalle esportazioni. La regola deve raggiungere copie, integrazioni e responsabili.

Non definire il dies a quo. Serve sapere se il periodo decorre dalla raccolta, dall'ultima interazione, dalla chiusura del contratto o da un altro evento.

Anonimizzare solo nominalmente. Dati pseudonimizzati o facilmente ricollegabili restano dati personali.

Domande frequenti

Il GDPR impone di cancellare tutti i dati dopo due anni?

No. Non esiste un termine generale di due anni. Ogni durata deve essere collegata alla finalità, agli obblighi applicabili e al principio di necessità.

Posso conservare i dati dei clienti per dieci anni?

Alcuni documenti contabili e commerciali sono soggetti a termini decennali, ma ciò non autorizza la conservazione integrale del profilo cliente in tutti i sistemi né il suo uso continuato per marketing.

Il consenso marketing vale finché non viene revocato?

La mancata revoca non rende automaticamente necessaria una conservazione illimitata. Il titolare deve stabilire un periodo o criterio proporzionato e gestire l'inattività.

Cancellazione e anonimizzazione sono equivalenti?

Solo l'anonimizzazione realmente irreversibile fa uscire le informazioni dall'ambito del GDPR. La pseudonimizzazione riduce il rischio, ma i dati rimangono personali.

La retention policy deve comparire nell'informativa?

L'informativa deve indicare i periodi o i criteri applicabili. La policy interna può essere più dettagliata e includere sistemi, responsabilità, eccezioni e prove di cancellazione.

La tua azienda conserva dati senza scadenze applicate?

Una retention schedule può collegare obblighi, sistemi, cancellazioni ed eccezioni in un'unica procedura verificabile.

Valuta la data retention aziendale