In questa puntata affrontiamo uno degli aspetti più spinosi della disciplina sulla protezione dei dati personali: la conservazione dei dati e, in particolare, la limitazione dei tempi di conservazione dei dati personali. 

Non è tanto il principio in sé a risultare complesso – secondo cui i dati personali vanno conservati per il tempo strettamente necessario al perseguimento della legittima finalità d’uso – quanto piuttosto i suoi profili attuativi, come la determinazione dei tempi di conservazione e le operazioni da attuare alla scadenza.

Conservazione come “trattamento”

In primo luogo, va ricordato che la mera conservazione è un’operazione di trattamento di per sé.  

Lo precisa in modo inequivocabile la definizione di “trattamento” contenuta all’articolo 4, punto 2) del Regolamento: si considera “trattamento” «qualsiasi operazione o insieme di operazioni (…) applicate a dati personali (…) come (…) la conservazione». Concetto che viene confermato al punto 12) del medesimo articolo 4, allorché in occasione della definizione di “violazione dei dati personali” si precisa che essa consiste nella violazione di sicurezza che comporta un incidente – tra l’altro – ai dati conservati.  

Ad esempio, nel caso di limitazione del trattamento – diritto riconosciuto all’interessato quando «vi sono motivi ragionevoli di ritenere che la cancellazione possa compromettere gli interessi legittimi dell’interessato» [Cons. (47) dir. 2016/680] – il legislatore ammette che i dati personali possano essere oggetto della sola conservazione; cioè, la conservazione, pur consistendo in un trattamento, è l’unica operazione consentita a riscontro dell’esercizio del diritto di limitazione al trattamento, salvo le eccezioni riportate di seguito: 

• l’interessato abbia dato il proprio consenso  

• il trattamento sia necessario per l’esercizio del diritto di difesa  

• il trattamento sia necessario per motivi di interesse pubblico [artt. 4 3) e 18(2), GDPR].  

La considerazione che la “conservazione” – così come la “raccolta” – costituisca di per sé un “trattamento” ha importanti implicazioni pratiche: raccolta o conservazione di dati personali eventualmente ritenute illecite per violazioni di principi, basi giuridiche o altre condizioni di legittimità, sono suscettibili delle conseguenze di legge (irrogazione di sanzioni, risarcimento dei danni) anche nel caso in cui gli stessi dati personali, per ipotesi, non venissero utilizzati per i fini prestabiliti. «Ciò in quanto la raccolta e la conservazione dei dati in questione costituiscono di per sé operazioni di trattamento che devono essere assistite da tutti i presidi previsti dalla disciplina in materia di protezione dei dati, anche per quanto attiene alla sussistenza di un’idonea base giuridica.» (provvedimento del Garante, doc. web n. 9995808, par. 3.2).

Continua…