Il termine non parte semplicemente dall’invio
L’art. 14 del D.Lgs. 24/2023 prevede la conservazione per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura. Non è un periodo minimo obbligatorio e non va calcolato automaticamente dalla data di creazione del caso.
L’art. 13 richiede inoltre di non raccogliere, o di cancellare immediatamente se acquisiti accidentalmente, i dati manifestamente non utili. Una regola di conservazione generale non autorizza a mantenere qualsiasi allegato fino alla scadenza massima.
Inventariare le copie prima di parlare di cancellazione
Il fascicolo può essere presente nell’applicazione, nelle copie di sicurezza e sui dispositivi autorizzati. Possono esserci anche atti relativi a procedimenti successivi, con finalità e termini da valutare distintamente. La procedura deve individuare questi casi, evitando sia conservazioni indistinte sia cancellazioni prive di valutazione.
Un semplice schema con tipologia di copia, responsabile, accessibilità e criterio di eliminazione aiuta a trovare le lacune. Il fornitore descrive la parte tecnica; il cliente deve governare anche ciò che viene scaricato o prodotto fuori dal servizio.
Le domande sui backup
Chiedere «tenete i backup per trenta giorni?» può produrre una risposta incompleta. Alcuni sistemi distinguono versioni correnti e non correnti, con regole e decorrenze differenti. Occorre capire il risultato complessivo.
- Da quale evento decorre la scadenza di ogni copia?
- Esistono versioni precedenti conservate separatamente?
- Quando avviene l’eliminazione definitiva, rispetto alla sola scadenza?
- Chi può accedere alle copie e per quali attività?
- Come vengono gestiti i dati residui alla cessazione del contratto?
- Che cosa impedisce a un ripristino di reintrodurre dati già cancellati?
Il ripristino deve rispettare le decisioni già prese
Ripristinare una copia anteriore a una cancellazione può rendere nuovamente disponibili dati eliminati dal sistema attivo. Per questo è utile definire un processo che identifichi e riapplichi le cancellazioni pertinenti prima di riprendere la normale operatività, con le misure appropriate al servizio.
L’evidenza dovrebbe descrivere responsabilità, controlli e risultati, senza conservare più dati personali del necessario in un registro parallelo. Non basta affermare che un archivio è leggibile: occorre valutare anche la coerenza del recupero con le istruzioni del titolare.
Mettere i tempi nei documenti giusti
Contratto, allegato tecnico, informativa e procedura non devono raccontare storie diverse. Il DPO può chiedere che limiti e decorrenze siano esplicitati, mentre il titolare motiva le scelte di conservazione e ne verifica l’applicazione.
Nel confronto con Segnalailleciti.it è possibile partire dalle esigenze del cliente e dalla documentazione tecnica del servizio. Una descrizione chiara delle copie e dei tempi vale più di formule assolute come «tutto sparisce immediatamente», quando non rappresentano il processo effettivo.
Domande frequenti
Cinque anni è il periodo minimo da rispettare?
No. Il decreto indica il tempo necessario e un limite massimo collegato alla comunicazione dell’esito finale.
La cancellazione dal portale elimina anche i file sul PC del ricevente?
Non automaticamente. Le copie esterne devono essere governate con regole e responsabilità proprie.
