Un piano di cancellazione che funziona senza un responsabile della protezione dei dati

L'art. 5, par. 1, lett. e del GDPR chiede che i dati personali siano conservati in una forma che consenta l'identificazione solo per il tempo necessario alla finalità. È il principio di limitazione della conservazione, ed è l'unico obbligo in materia che si viola da solo: chi non fa niente lo viola un po' di più ogni giorno che passa.

Si aggiunge l'art. 5, par. 2, la responsabilizzazione. Non devi solo rispettare la disciplina, devi anche poterlo dimostrare. I due insieme danno esattamente ciò che è un piano di cancellazione: una risposta scritta alla domanda su quando quali dati spariscono e perché. Quello che segue è un orientamento — quali termini valgano nel tuo mercato e come si sovrappongano nel caso concreto lo chiariscono il Garante per la protezione dei dati personali, chi tiene la contabilità o una consulenza legale.

Nella maggior parte delle piccole attività una regola di cancellazione di fatto esiste, solo che non è scritta da nessuna parte: si cancella quando si cambia sistema, quando una cartella si riempie troppo o quando qualcuno lo chiede espressamente. Tutti e tre gli inneschi hanno lo stesso problema: non hanno niente a che vedere con la finalità dei dati.

La finalità è l'unico orologio che il regolamento conosce. L'art. 17, par. 1, lett. a lo formula come obbligo di cancellazione: se i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti, vanno cancellati senza ingiustificato ritardo. L'obbligo esiste a prescindere dal fatto che qualcuno lo chieda. Il diritto alla cancellazione è il rovescio della medaglia, non il presupposto.

Proprio per questo un piano di cancellazione non è un formalismo, è un alleggerimento. Risponde una volta a ciò che altrimenti si discute a ogni caso singolo, e si può mostrare. Basta una pagina: ha quattro colonne e una riga per tipo di dato.

Che cosa non ci va: le opinioni su quanto a lungo «si fa così». Ogni riga ha bisogno di un motivo, e il motivo è o una finalità che sai nominare o un obbligo che qualcuno può andarsi a leggere.

La pagina si presenta così. Le righe di esempio valgono per un'attività di servizi; i termini del secondo gruppo dipendono dal diritto tributario e civile nazionale e stanno qui volutamente senza cifra.

La terza colonna dà il lavoro, la quarta fa la differenza. Un orologio senza innesco non parte mai: «tre anni» diventa una regola solo quando accanto c'è scritto da quando. E l'innesco deve essere un evento visibile nei tuoi dati — l'ultimo appuntamento sta nell'agenda, la fine di un rapporto commerciale invece non sta da nessuna parte. Per questo «ultimo appuntamento più termine» è la formulazione più praticabile.

Qualcuno chiede la cancellazione. Lo schedario clienti lo puoi cancellare — le fatture no, perché su di esse corre un termine di conservazione fiscale o civilistico. E adesso?

Il regolamento ha previsto il caso. L'art. 17, par. 3, lett. b sottrae all'obbligo di cancellazione i trattamenti necessari per adempiere un obbligo legale a cui sei soggetto. La lett. e sottrae in più ciò che serve per accertare, esercitare o difendere un diritto in sede giudiziaria. La risposta quindi non è «non si può», ma: per quest'unica finalità resta, per tutte le altre no.

Il nome pratico di tutto ciò è limitazione del trattamento. L'art. 4, n. 3 la definisce come il contrassegno dei dati conservati con l'obiettivo di limitarne il trattamento futuro. Il considerando 67 indica le strade: trasferimento in un altro sistema, blocco dell'accesso agli utenti, rimozione temporanea da un sito — e l'esigenza che la limitazione risulti inequivocabilmente riconoscibile nel sistema.

Per la tua attività significa in concreto: il record esce dallo schedario attivo. Non compare più nella ricerca degli appuntamenti, non nella newsletter, non nelle statistiche. Sta nell'archivio delle fatture, accessibile a chi tiene la contabilità e per il caso di una verifica, e viene cancellato appena il termine è scaduto. Questa separazione è il nucleo di un piano di cancellazione funzionante.

Da distinguere è l'art. 18 del GDPR: lì è l'interessato ad avere il diritto di chiedere una limitazione in quattro casi nominati — per esempio mentre si verifica se dati contestati siano esatti. È un diritto dell'altra parte, non un sostituto del tuo obbligo di cancellazione. Le due cose usano la stessa misura tecnica per motivi diversi.

Una cancellazione che raggiunge solo la banca dati principale non è una cancellazione. Quattro posti vengono regolarmente dimenticati:

1. La carta. Schede di accoglienza, foglietti alla reception, liste di appuntamenti stampate. Seguono le stesse regole e hanno bisogno di un innesco proprio.
2. Le copie nei sistemi secondari. La lista della newsletter, il foglio di calcolo per gli auguri, l'export che qualcuno ha estratto una volta per un'analisi.
3. I backup. Non si possono ripulire uno per uno in modo sensato. La strada consueta: la cancellazione ha effetto subito sul sistema in produzione, il backup esce dal proprio ciclo di conservazione, e quel ciclo è nominato nel piano.
4. I fornitori. Chi tratta per conto tuo deve eseguire la cancellazione a sua volta. L'art. 28, par. 3, lett. g lo chiede esattamente nel contratto: a fine servizio cancellare o restituire tutti i dati, comprese le copie esistenti.

Una parola sull'anonimizzazione, perché viene spesso indicata come scorciatoia. Se un record viene modificato al punto che nessuna persona è più riconducibile, non è più un dato personale: il regolamento non si applica più e le analisi restano possibili. È una strada pulita per le statistiche. Chiede però una reale non riconducibilità; un cognome tolto con il numero cliente ancora al suo posto è pseudonimizzazione (art. 4, n. 5) e resta un dato personale.

Dove le fatture vengono comunque archiviate dal sistema, il terzo punto dell'elenco si risolve quasi da sé — il software per autofficine, per esempio, tiene separati la commessa e l'archivio delle fatture invece di mostrarli nella stessa vista.

Un piano di cancellazione che esiste soltanto è un documento. Un piano che gira ha bisogno di tre cose, e nessuna è impegnativa.

Un appuntamento. Una volta l'anno, meglio se agganciato a qualcosa che avviene comunque. Basta un'ora: passare le righe, cancellare i tipi di dato scaduti, annotare la data. Quella data è la tua prova ai sensi dell'art. 5, par. 2.

Una responsabilità. Una persona nominata, non «il team». In un'attività di cinque persone di solito è chi amministra anche il software.

Una regola per le novità. Ogni nuovo tipo di dato riceve una riga nel piano quando viene creato — non dopo. È il punto in cui i piani invecchiano: non per errori, ma per campi nuovi che nessuno ha aggiunto.

Dove il tuo software conosce già i termini, usali. La cancellazione automatica è superiore alla regola che qualcuno deve ricordarsi. Dove manca, l'ora annuale è il sostituto onesto — nettamente migliore del proposito di «tenere in ordine man mano», che nella pratica non mantiene nessuno.