C’è un archivio, in quasi ogni organizzazione, che nessuno ha mai deciso di creare: l’anagrafica dei clienti che non ordinano da dieci anni, i contatti raccolti a una fiera del 2015 che ancora ricevono la newsletter, le caselle di posta dei dipendenti usciti da tempo, le registrazioni delle telecamere «tenute per sicurezza». Nessuna di queste conservazioni è stata scelta: è rimasta. Il GDPR ha una regola precisa per questo accumulo silenzioso — il principio di limitazione della conservazione — e le autorità hanno iniziato ad applicarla con costanza: il dato conservato oltre il necessario non è una riserva prudente, è una violazione in corso. Fissare i tempi non richiede formule misteriose: richiede un metodo, qualche riferimento puntuale e la disciplina di eseguire ciò che si è scritto.
Si conserva finché serve, non finché potrebbe servire
La regola sta nell’art. 5, par. 1, lett. e) del GDPR: i dati personali vanno conservati «in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati». Il considerando 39 la traduce in un obbligo organizzativo: il titolare dovrebbe stabilire un termine per la cancellazione o per la verifica periodica, così che il periodo di conservazione resti «limitato al minimo necessario». Un’eccezione esiste — la conservazione più lunga per archiviazione nel pubblico interesse, ricerca scientifica o storica, fini statistici — ma è circondata da garanzie e non copre il «teniamo tutto, non si sa mai».
Il punto che sorprende molte imprese è che non esiste una tabella ministeriale dei tempi di conservazione. Salvo i casi in cui una norma fissa un termine, è il titolare a doverlo stabilire e a doverlo giustificare: è il principio di accountability (art. 5, par. 2). La scelta, però, non resta interna: il termine — o, se un termine secco è impossibile, i criteri per determinarlo — va dichiarato nell’informativa (art. 13, par. 2, lett. a), come illustrato nella guida su cosa deve contenere l’informativa privacy, e i «termini ultimi previsti per la cancellazione» vanno annotati, ove possibile, nel registro dei trattamenti (art. 30, par. 1, lett. f).
Come si fissa un termine che regge
Il metodo è in tre passaggi. Primo: si isola la finalità — la stessa base di dati può servire finalità diverse, e ciascuna ha il suo orologio: i dati di fatturazione di un cliente non scadono insieme al suo consenso marketing. Secondo: si aggancia il termine a un riferimento oggettivo — un obbligo di legge, un termine di prescrizione, un’indicazione dell’autorità — perché «cinque anni» scelto a caso non si difende, «dieci anni perché è il termine di prescrizione ordinaria» sì. Terzo: si dichiara e si esegue: il termine scritto nell’informativa e nel registro deve corrispondere a una cancellazione che avviene sul serio, a calendario, backup compresi.
Un termine può essere un criterio («per la durata del contratto e per i dieci anni successivi»). Ciò che non regge è l’assenza di termine: «illimitato», o il silenzio.
I tempi per le categorie tipiche
Clienti e contratti. I dati necessari a eseguire il contratto si conservano per la sua durata; dopo, il riferimento oggettivo sono i dieci anni di conservazione obbligatoria delle scritture contabili (art. 2220 c.c.) e la prescrizione ordinaria decennale (art. 2946 c.c.), che copre l’interesse a difendersi da eventuali pretese. I documenti fiscali restano finché non sono definiti gli accertamenti del periodo d’imposta (artt. 22 e 43 del D.P.R. 600/1973; dal 1° gennaio 2027, artt. 29 e 293 del testo unico su adempimenti e accertamento approvato con D.Lgs. 141/2026).
Marketing e profilazione. Qui nessuna legge fissa un numero. Il riferimento storico è il provvedimento del Garante sulle carte di fidelizzazione (24 febbraio 2005): 24 mesi per il marketing, 12 per la profilazione, riferiti ai dati di dettaglio degli acquisti. Dopo il GDPR quei numeri non sono più tetti rigidi ma restano il benchmark prudenziale: chi vuole conservare più a lungo deve poterlo motivare. Il consenso autorizza il trattamento, non lo rende eterno: l’indirizzo inattivo da anni va rivalutato, come approfondito nella guida all’email marketing a norma GDPR.
Dipendenti. I dati contrattuali e retributivi seguono il rapporto e, dopo la cessazione, i termini di prescrizione (cinque anni per i crediti retributivi ex art. 2948 c.c., dieci per la prescrizione ordinaria). I curricula dei candidati non selezionati vanno tenuti per un termine breve e dichiarato. La casella di posta dell’ex dipendente va disattivata alla cessazione, con messaggio automatico che indirizza a un altro recapito: l’account che sopravvive per mesi «per non perdere i clienti» è una prassi che il Garante ha già dichiarato illecita.
Videosorveglianza. Il provvedimento generale dell’8 aprile 2010 indicava una conservazione di poche ore, al massimo le 24 successive alla rilevazione, ampliabili per festività o chiusure e, fino a una settimana, per particolari esigenze tecniche o attività particolarmente rischiose (oltre, previa verifica preliminare del Garante); dopo il GDPR le Linee guida EDPB 3/2019 — riprese dalle FAQ del Garante — fissano nelle 72 ore la soglia oltre la quale la motivazione deve farsi più stringente: di regola le immagini si cancellano entro pochi giorni, e a un piccolo esercizio bastano di norma 24 ore. Regole, cartelli e adempimenti sono trattati nella guida alla videosorveglianza a norma privacy.
Log tecnici. Caso interessante perché il termine può essere un minimo: gli access log degli amministratori di sistema vanno conservati per almeno sei mesi (provvedimento del Garante 27 novembre 2008). All’opposto, i log di navigazione internet dei dipendenti non tollerano raccolte generalizzate e conservazioni lunghe: dodici mesi sono già costati una sanzione, come si vedrà tra poco.
Metadati di posta elettronica: il banco di prova
Al tempo di conservazione più discusso degli ultimi anni il Garante ha dedicato un atto ad hoc: il documento di indirizzo sui metadati della posta elettronica dei lavoratori, adottato con provvedimento 21 dicembre 2023, n. 642, e aggiornato — dopo consultazione pubblica — con provvedimento 6 giugno 2024, n. 364. I metadati sono le informazioni generate automaticamente dai sistemi di posta (mittente, destinatario, indirizzi IP, data e ora, dimensione del messaggio, presenza di allegati): non il contenuto dei messaggi, ma i log registrati a ogni invio e ricezione, che raccontano molto della vita lavorativa di una persona.
L’indicazione è netta: per le ordinarie esigenze di funzionamento dell’infrastruttura la conservazione dei metadati non dovrebbe superare i 21 giorni. Un periodo più lungo è possibile solo per condizioni particolari comprovate dal titolare; una conservazione generalizzata più estesa apre un potenziale controllo a distanza dei lavoratori e richiede le garanzie dell’art. 4, comma 1, dello Statuto dei lavoratori: accordo sindacale o autorizzazione pubblica. Una conferma sul piano sanzionatorio è arrivata con il provvedimento 29 aprile 2025, n. 243: 50.000 euro alla Regione Lombardia per i metadati conservati 90 giorni senza accordo sindacale, i log di navigazione tenuti un anno e i dati di un sistema di ticketing conservati per l’intera durata del contratto con il fornitore.
Alla scadenza: cancellare davvero, o anonimizzare davvero
Il termine che scade apre tre strade. La cancellazione effettiva, che include le copie: i backup vanno inseriti in cicli di rotazione dichiarati, perché il dato «cancellato» che riappare da un ripristino è un dato conservato. L’anonimizzazione, utile per conservare valore statistico, ma solo se irreversibile: finché la re-identificazione resta possibile, quello è ancora un dato personale con tutte le regole del caso. L’archiviazione segregata, per i soli dati che una norma impone di tenere: accessi ristretti, finalità limitata alla difesa da pretese o all’esibizione alle autorità, niente uso operativo.
Che la sproporzione si paghi lo mostra un provvedimento recente: il 14 maggio 2026 il Garante ha sanzionato per 180.000 euro un vettore aereo che conservava per sette anni i dati sanitari raccolti con i moduli di assistenza speciale dei passeggeri — un tempo fuori scala rispetto alla finalità del singolo viaggio, aggravato da un’informativa lacunosa.
Cosa dice la giurisprudenza
Sul principio di limitazione della conservazione la decisione di riferimento è la sentenza della Corte di giustizia UE, Prima Sezione, 20 ottobre 2022, causa C-77/21, Digi. Il caso: dopo un guasto tecnico, un fornitore ungherese di servizi internet aveva copiato parte del database degli abbonati in un database di test per correggere gli errori; risolto il problema, la copia non fu cancellata, e venne scoperta solo quando un hacker etico segnalò la vulnerabilità che vi dava accesso. La Corte ha affermato due principi: creare la copia di test per correggere errori può essere compatibile con la finalità originaria della raccolta; ma l’art. 5, par. 1, lett. e) osta alla conservazione dei dati nel database di test per un tempo superiore a quello necessario ai test e alle correzioni — e la circostanza che la mancata cancellazione sia dovuta a una dimenticanza non scusa nulla.
L’esempio numerico rende l’idea. Un e-commerce copia l’anagrafica di 30.000 clienti in un ambiente di test per una migrazione che dura tre settimane: alla quarta settimana quella copia deve sparire. Se resta dimenticata per diciotto mesi e subisce un accesso abusivo, il titolare risponde due volte — della violazione di sicurezza e della conservazione oltre il necessario, su dati che non avrebbero più dovuto esistere — con l’aggravante che la violazione dei principi dell’art. 5 rientra nella fascia sanzionatoria più alta (fino a 20 milioni di euro o al 4% del fatturato mondiale, art. 83, par. 5). Definire i tempi per ogni categoria, scriverli in informative e registro e predisporre le procedure che li eseguono davvero è il lavoro che svolgiamo nella consulenza GDPR e privacy, costruendo retention policy su misura del ciclo di vita reale dei dati e del registro dei trattamenti che le documenta.
Domande frequenti
Esiste una tabella ufficiale dei tempi di conservazione? No. Salvo i punti in cui norme o provvedimenti fissano un riferimento (dieci anni per le scritture contabili, 21 giorni per i metadati di posta, 24 ore come riferimento ordinario per la videosorveglianza, con le 72 ore come soglia oltre la quale l’EDPB chiede una motivazione rafforzata, almeno sei mesi per i log degli amministratori di sistema), è il titolare a stabilire i termini e a doverli giustificare, finalità per finalità. Un termine agganciato a un riferimento oggettivo — un obbligo di legge, una prescrizione — si difende; un numero scelto a sentimento no.
Posso conservare i dati «finché l’interessato non si cancella»? Solo dove la logica della finalità lo regge, come nel marketing basato sul consenso — e anche lì la conservazione va rivalutata se il contatto è inattivo da tempo. Per tutte le altre finalità il termine si aggancia alla finalità stessa, non all’inerzia dell’interessato: i dati contrattuali non diventano eterni perché il cliente non chiede la cancellazione, e la revoca del consenso non cancella i dati che una norma impone di tenere.
I backup vanno cancellati anche loro? Sì: la scadenza copre il dato ovunque si trovi, copie comprese. La soluzione praticabile non è il ritocco manuale di ogni nastro, ma un ciclo di rotazione documentato — i backup si sovrascrivono a intervalli definiti — unito a una procedura che impedisca di ripristinare in produzione i dati già scaduti. Da evitare il backup «eterno» fuori da ogni ciclo: è conservazione a tutti gli effetti.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 30 settembre 2026.