Dati personali: una corretta definizione dei tempi di conservazione e utilizzo

La tematica della conservazione dei dati personali, della definizione dei termini o dei criteri di cancellazione è stata oggetto, sin dall’entrata in vigore del GDPR, di approfondite discussioni.

In questa sede, dopo aver richiamato le principali disposizioni di riferimento, ci si sofferma su alcuni snodi che – con specifico riguardo alle pubbliche amministrazioni – sono centrali per il perseguimento delle finalità istituzionali e per la tutela dei diritti degli interessati, facendo anche cenno ad alcune previsioni dell’AgID afferenti al Codice dell’amministrazione digitale.

Il GDPR sulla conservazione dei dati personali

La previsione cardine sulla conservazione dei dati personali è fornita dall’art. 5.1 lett. e) del GDPR, secondo cui i dati, raccolti secondo le previsioni del nuovo quadro normativo europeo, possono essere conservati in una forma che consenta l’identificazione degli interessati per un periodo non superiore al conseguimento delle finalità per le quali gli stessi sono trattati.

Nelle informative di corredo ai trattamenti deve all’uopo essere indicato il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo.

Ma lo stesso GDPR prevede che i dati possano essere trattati lecitamente, oltre che per le finalità specifiche del trattamento e per i tempi ritenuti necessari, anche per quattro ulteriori finalità tipiche e, per quello che qui rileva, per periodi anche più lunghi rispetto a quelli delle finalità specifiche:

1. archiviazione nel pubblico interesse;
2. ricerca scientifica;
3. ricerca storica;
4. fini statistici.

Il trattamento per tali quattro finalità prevede alcune deroghe ai diritti azionabili dagli interessati ma anche alcune istruzioni d’uso (art. 89 GDPR): è soggetto, infatti, all’adozione di garanzie per i diritti e le libertà delle persone cui i dati si riferiscono, consistenti nella previsione di idonee misure tecniche specie al fine di garantire il rispetto del principio della minimizzazione dei dati fra cui – ove applicabile – la pseudonimizzazione e, se praticabile, la anonimizzazione.

Pertanto, come prima conclusione, si evince che il titolare nell’impostare un trattamento potrà prevedere un ciclo di vita dei dati trattati composto da due periodi: uno afferente alle finalità specifiche dello stesso da rendere note all’interesso e uno ulteriore afferente a una o più delle quattro citate finalità ulteriori durante il quale i dati potranno essere trattati solo per tali finalità.

Le deroghe nella definizione dei tempi del trattamento

Invero, nella definizione dei tempi del trattamento, potrebbe essere considerata pure una terza componente connessa a finalità strettamente congiunte (“compatibili” ai sensi dell’art. 6.4 del GDPR), ad esempio lo scambio con altre PA o di accountability, purché tenendo conto delle possibili conseguenze per gli interessati e adottando misure adeguate fra cui la pseudonimizzazione e la cifratura.

Tale terza componente di finalità potrà impattare sulla definizione del tempo/criterio di conservazione ma dovrebbe avere durata analoga a quella della finalità primaria del trattamento.

In merito, occorre poi considerare il Codice privacy che con gli artt. 99, 101 e 106 (limitandoci all’aspetto qui in esame) fornisce ulteriori indicazioni.

L’art. 99 conferma che il trattamento per le quattro finalità ulteriori (ripetiamo: trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici) può essere effettuato per un periodo che travalica quello della finalità core; inoltre, aggiunge che tali dati possono essere anche ceduti ad altro titolare, nel rispetto dei quali, per qualsiasi causa, è cessato il trattamento nel rispetto delle citate cautele previste dall’art. 89 GDPR.

L’art. 101 prevede, limitatamente a due delle quattro finalità ulteriori – archiviazione nel pubblico interesse e di ricerca storica –, che:

1. i dati raccolti solo per tali finalità non possano essere utilizzati per adottare atti o provvedimenti amministrativi sfavorevoli all’interessato;
2. i documenti contenenti dati personali possono essere utilizzati solo se pertinenti e indispensabili per il perseguimento delle predette finalità.

Trattamento per ricerca scientifica e a fini statistici

Con riguardo ai dati personali trattati per finalità di ricerca scientifica e a fini statistici, gli stessi non possono essere utilizzati:

1. per prendere decisioni o provvedimenti relativamente alle persone interessate;
2. per trattamenti di dati di altra natura.

Inoltre, se il perseguimento di tali finalità viene fatto su dati raccolti per altri scopi – come sopra indicato – non è dovuta informativa all’interessato quando ciò risulti sproporzionato rispetto al diritto tutelato e, comunque, siano adottate idonee forme di pubblicità.

Su tale versante va poi considerato che con l’art. 110-bis, il Codice privacy ha pure allargato a titolari terzi il trattamento ulteriore da parte di terzi dei dati personali a fini di ricerca scientifica o a fini statistici.

Tale previsione consente la circolarità dei dati all’esterno dell’organizzazione del titolare, fra l’altro:

1. prevedendo in talune circostanze l’intervento autorizzativo del Garante;
2. specificando che non costituisce trattamento ulteriore da parte di terzi il trattamento dei dati personali raccolti per l’attività clinica, a fini di ricerca, da parte degli Istituti di ricovero e cura a carattere scientifico, pubblici e privati, in ragione del carattere strumentale dell’attività di assistenza sanitaria svolta dai predetti istituti rispetto alla ricerca.

In tale evenienza dovrebbero valere i limiti temporali previsti per i dati ceduti a terzi e comunque anche tali nuovi, terzi, titolari dovrebbero osservare le previsioni del GDPR, dalle misure di sicurezza – che non dovrebbero essere inferiori a quelle previste dal titolare cedente, alla informativa sul trattamento condotto.

I punti da considerare nell’impostare i trattamenti di dati personali

Posto tale articolato quadro, di seguito si riportano alcuni punti che le PA (ma per quanto applicabili tutti i titolari) dovrebbero considerare nell’impostare i trattamenti di dati personali afferenti ai loro processi di business e operativi:

1. andrebbe definita sin dall’origine – e periodicamente ove necessario aggiornata – la definizione di quali siano i tempi / criteri di conservazione dei dati personali trattati, tenendo presenti i tempi necessari per le finalità specifiche e di quelli per le quattro finalità ulteriori che si ritenesse di considerare;
2. nelle informative agli interessati andrebbe fornita l’informazione sulla durata del trattamento tenendo conto, nelle maniere ritenute più congrue, dei due possibili citati intervalli temporali;
3. per i dati contenuti in documenti digitali (solo una parte di quelli trattati, essendoci fra l’altro anche quelli gestiti in database), l’informazione sulla durata del trattamento ulteriore (se aggiuntiva a quella specifica) specie se per finalità archivistiche o storiche potrebbe essere resa facendo rimando all’allegato al Manuale di gestione documentale,  come previsto dalle Linee guida sul documento informatico dell’AGID (cap. 3-3.5: “per le Pubbliche Amministrazioni il piano di conservazione è allegato al manuale di gestione documentale, con l’indicazione dei tempi entro i quali le diverse tipologie di oggetti digitali devono essere trasferite in conservazione ed eventualmente scartate”). Invero, per il predetto Manuale, nonché per quello sulla conservazione, che tutte le PA dovrebbero aver già pubblicato nella sezione “Amministrazione trasparente” dei propri portali, la situazione non è proprio a regime, tant’è che nel Piano triennale per l’informatica nella P.A. 2024-2026 l’AGID prevede fra gli obiettivi la pubblicazione di tali Manuali entro giugno, rispettivamente, 2025 e 2026. Per i Manuali pubblicati poi la presenza del piano di conservazione è alquanto sporadica; come esempio di compiuta trasparenza si cita il Manuale dell’ANAC, vers. 2.4 – 2020,  corredato del predetto piano di conservazione). Per ovviare alla mancata pubblicazione di tale allegato un interessato dovrebbe rivolgersi al titolare per conoscere l’estensione temporale della conservazione;
4. per inquadrare e impostare correttamente i trattamenti per le quattro finalità ulteriori, occorrerà tener presenti – oltre a quanto specificato nel GDPR e nel Titolo VII del Codice che a tali finalità si riferisce, i due documenti pubblicati dal Garante nel 2018 afferenti alle Regole deontologiche per le finalità di conservazione archivistica e ricerca storica (docweb 9069661) e quelle per fini statistici e di ricerca scientifica (docweb/9069637);
5. per la conservazione archivistica, la possibilità di una durata superiore a quella core del trattamento consente di superare la questione tecnica non irrilevante della integrità del documento elettronico (ma vale anche – per la parte ancora in essere – per quello cartaceo) atteso che per alcune tipologie di fascicoli documentali di una PA può essere prevista una durata che può arrivare ad essere molto lunga ed anche senza limiti di tempo, con applicazioni dei presidi sopra accennati a tutela dei diritti degli interessati. Nel rispetto, va tenuto presente, delle norme sulla conservazione degli archivi (Codice dei beni culturali e del paesaggio D.lgs. 42/2004 e Testo Unico in materia di documentazione amministrativa DPR 445/2000);
6. come aspetto meritevole di approfondimento vi è poi quello di termini per la cancellazione eventualmente prevista, per un trattamento, dalla legge o da un regolamento: in queste circostanze è possibile bypassare tale limite temporale facendo riferimento a una delle quattro finalità ulteriori tipiche? Pur non essendo questa la sede per una compiuta disamina si potrebbe anche sostenere che, almeno nel caso di limiti previsti da norme regolamentari nazionali (quindi subordinate al GDPR e alla legge nelle fonti del diritto), potrebbero esservi margini per prevedere un prolungamento della conservazione per una delle finalità ulteriori ove il titolare vagliasse la presenza di condizioni che lo richiedano e comunque nel rispetto delle misure previste da GDPR e Codice privacy a favore degli interessati;
7. per quanto attiene alla utilizzabilità dei dati, nel periodo di ulteriore conservazione per una delle finalità tipiche ulteriori, va tenuto presente che in ambito penale l’art. 160-bis del Codice privacy specifica che l’utilizzabilità nel procedimento giudiziario di atti, documenti e provvedimenti non compliant alle norma sul trattamento dei dati personali sono disciplinate dalle attinenti norme processuali. In merito si richiama un passo della sentenza n. 1999/2024 della sezione penale della Corte di Cassazione, incentrata su una questione afferente alla liceità di un trattamento di dati personali in contrasto con le garanzie per i lavoratori al momento previste dall’art. 4 dello Statuto dei lavoratori. Ebbene tale sentenza afferma che limitazioni all’utilizzo dei predetti dati sono valide nell’ambito dei “rapporti di diritto privato fra datore di lavoro e lavoratori, ma non possono avere rilievo nell’attività di accertamento e repressione di fatti costituenti reato”.

Conclusioni

Dal quadro sopra delineato, emerge come nella società dell’informazione la gestione dei dati personali è multistrato e complessa. Alcune norme, quelle sopra menzionate, consentono durate prolungate ma limitatamente a specifiche (ulteriori) motivazioni di interesse, possiamo dire, pubblico.

Occorrerà che tutti i soggetti impegnati nella privacy nelle PA come nelle organizzazioni private, con la consulenza del RPD (che andrebbe auspicabilmente nominato in ogni organizzazione privata) si adoperi per realizzare in maniera sostanziale il principio della “limitazione della conservazione” e in trasparenza verso gli interessati ricorrendo alle quattro predette finalità ulteriori tipiche in maniera ragionevole evitando limiti lunghi di conservazione motivati solo da una valenza precauzionale per futura utilità.

Le opinioni espresse sono a titolo esclusivamente personale e non coinvolgono ad alcun titolo l’Istituto pubblico ove presta servizio.