Si conclude con questa puntata l’analisi sul principio di limitazione della conservazione esaminato secondo i seguenti diversi profili:

• Natura della conservazione dei dati personali e principio di riduzione della durata di conservazione al minimo necessario per il perseguimento della finalità lecita (Editoriale del 9 maggio 2024)
• Valore giuridico della determinazione dei tempi di conservazione (Editoriale del 23 maggio 2024)
• Esempi di tempi di conservazione per la realizzazione del dizionario dei tempi di conservazione (Editoriale del 6 giugno 2024).

In questa tornata vengono esaminate le due attività alternative che il legislatore richiede siano svolte a conclusione dei tempi di conservazione dei dati personali:

• La cancellazione
• L’anonimizzazione.

Cancellazione e distruzione dei dati

Come anticipato, la cancellazione dei dati rappresenta l’azione attuativa del principio di limitazione della conservazione quando viene a scadenza il termine predeterminato. Il termine “cancellazione” non è sinonimo di “eliminazione” o “distruzione”.

Cancellazione e distruzione di dati sono entrambe operazioni di trattamento ma con effetti diversi e molteplici risvolti (v. art. 4, 2), GDPR).

La cancellazione del dato è operazione strettamente connessa alla finalità d’uso: la cancellazione – diversamente dalla distruzione – non elimina il dato ma ne inibisce l’utilizzo per un determinato scopo; essa è una sorta di limitazione totale ovvero di inibizione del dato riguardo a uno specifico utilizzo.

Cancellazione come diritto e obbligo

La cancellazione – secondo l’art. 17 del GDPR – costituisce contemporaneamente:

• un autonomo obbligo del titolare del trattamento
• un diritto dell’interessato.

Alla disposizione che prevede la cancellazione come obbligo del titolare una volta cessato il trattamento, fa da specchio per l’interessato «il diritto di chiedere che siano cancellati e non più sottoposti a trattamento i propri dati personali che non siano più necessari per le finalità per le quali sono stati raccolti o altrimenti trattati» [Considerando (65) e, nella parte dispositiva, art. 17.1, lett. a), del GDPR].  

Diritto e obbligo di cancellazione – quando sussistono le condizioni dettate dall’articolo 17 del GDPR – sono mutuamente autonomi, cioè:  

• l’interessato ha il diritto di ottenere dal titolare la cancellazione dei suoi dati personali, a semplice richiesta  

• il titolare è tenuto a cancellare i dati personali, senza necessità che l’interessato glielo richieda.

Così come l’obbligo del titolare a cancellare i dati personali – in presenza di una delle condizioni dell’articolo 17 – prescinde dalla specifica richiesta dell’interessato, analogamente, l’autorità di controllo ha il potere di ordinare, al titolare o al responsabile, la cancellazione dei dati personali, senza che occorra una preventiva richiesta presentata dall’interessato. Questa è stata la conclusione cui è pervenuto l’EDPB nel parere n. 39/2021  

Quindi, il diritto di cancellazione – diversamente, ad esempio, dal diritto di accesso dell’articolo 15 – non è concepito esclusivamente come un diritto dell’interessato.

Continua…