Come consulenti diciamo sempre ai clienti che, conservare dati personali più a lungo del necessario non è una precauzione. È una violazione del GDPR 2016/679. Molte aziende accumulano dati pensando che più informazioni significhino più opportunità.
Il risultato è l’opposto: una massa di dati inutili, difficile da proteggere, costosa da gestire, e fonte di rischi legali concreti.
Il principio di minimizzazione, previsto dall’art. 5, par. 1, lett. c) GDPR, impone di raccogliere solo i dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento. Non è un consiglio organizzativo. È un obbligo giuridico vincolante, il cui rispetto deve essere documentato.
Il principio di minimizzazione: contenuto e portata
L’art. 5, par. 1, lett. c) GDPR definisce la minimizzazione dei dati come uno dei principi fondamentali del trattamento. Il dato deve essere adeguato — cioè sufficiente rispetto alla finalità. Deve essere pertinente — cioè in relazione diretta con la finalità. Deve essere limitato e cioè non eccedente rispetto a quanto strettamente necessario.
Il principio si applica in tre fasi distinte del trattamento. Al momento della raccolta: l’azienda non deve raccogliere dati che non servono. Durante il trattamento: i dati raccolti non devono essere usati per finalità diverse da quelle dichiarate. Al termine del ciclo di vita del dato: i dati devono essere cancellati o anonimizzati quando non sono più necessari.
La minimizzazione è strettamente collegata al principio di limitazione della conservazione, previsto dall’art. 5, par. 1, lett. e) GDPR, che impone di non conservare i dati per un periodo superiore a quello necessario alle finalità per cui sono stati raccolti. I due principi si applicano congiuntamente.
Perché conservare troppi dati è un rischio concreto
Un archivio dati sovradimensionato è un bersaglio più grande. In caso di data breach, l’impatto è proporzionale al volume di dati esposti. Più dati vengono trafugati, più persone subiscono un danno, più elevata è la sanzione applicabile e più grave è la comunicazione che il titolare deve fare agli interessati.
Il Garante considera la quantità di dati coinvolti nel breach tra i criteri per la valutazione della gravità dell’incidente. Un titolare che conservava dati di clienti del 2010 — quando poteva cancellarli nel 2012 — ha un problema che va oltre la violazione del principio di minimizzazione: non può giustificare quella conservazione e non può difendersi adeguatamente dalla contestazione.
Inoltre, i dati conservati senza una base giuridica attiva diventano automaticamente dati trattati illegalmente. Se il consenso è stato revocato e i dati non sono stati cancellati, il trattamento residuo è privo di base giuridica. Se il contratto è concluso e i dati non sono stati eliminati nei tempi previsti dalla legge, lo stesso problema si ripresenta.
La retention policy: uno strumento obbligatorio
La retention policy è il documento con cui il titolare definisce i tempi di conservazione per ciascuna categoria di dati trattati. Non è uno strumento opzionale. È richiesta dal principio di limitazione della conservazione e dal principio di accountability previsto dall’art. 5, par. 2 GDPR, che impone di poter dimostrare le scelte effettuate.
La retention policy deve essere specifica per tipo di dato e per finalità. I tempi di conservazione non possono essere indefiniti. Devono essere collegati alla finalità: dati contabili e fiscali — 10 anni per obbligo di legge; dati relativi ai rapporti contrattuali e durata del contratto più il termine di prescrizione ordinario (10 anni); dati di marketing e profilazione — di norma non oltre 12-24 mesi; dati di navigazione e log — generalmente entro pochi mesi, salvo esigenze di sicurezza documentate.
La politica di conservazione deve essere recepita nel registro dei trattamenti ex art. 30 GDPR. Ogni attività di trattamento deve indicare i termini di conservazione previsti. Il Garante verifica questa documentazione nelle ispezioni.
Minimizzazione e dati dei clienti: gli errori più frequenti
Il primo errore è la raccolta eccessiva al momento dell’acquisizione del cliente. Moduli di registrazione che chiedono dati non necessari come la data di nascita per un servizio che non richiede verifica dell’età, professione per un acquisto online, numero di fax nel 2026 violano la minimizzazione già nella fase di raccolta.
Il secondo errore è la mancata cancellazione dopo la cessazione del rapporto. I dati di un cliente che non acquista da anni, di un dipendente che ha lasciato l’azienda da tempo, di un fornitore con cui non si lavora più — questi dati devono essere cancellati o anonimizzati entro i termini stabiliti dalla retention policy, salvo obblighi di legge che impongano la conservazione.
Il terzo errore è la replica dei dati senza controllo. I dati personali copiati in backup multipli, distribuiti in più sistemi, duplicati in fogli di calcolo locali — diventano impossibili da cancellare in modo completo ed efficace. La minimizzazione richiede anche un controllo dei flussi interni dei dati.
Le sanzioni per violazione del principio di minimizzazione
La violazione dei principi fondamentali del trattamento, tra cui la minimizzazione e la limitazione della conservazione, rientra nella fascia sanzionatoria più alta dell’art. 83, par. 5 GDPR: fino a 20 milioni di euro o al 4% del fatturato globale annuo. Il Garante ha comminato sanzioni per conservazione eccessiva di dati in diversi settori commercio, sanità, servizi finanziari.
La sanzione per mancata minimizzazione si cumula spesso con altre violazioni: assenza di informativa adeguata sui tempi di conservazione, mancata risposta alle richieste di cancellazione degli interessati, trattamento senza base giuridica dei dati conservati oltre il termine.
FAQ
FAQ 1: come si stabilisce per quanto tempo conservare i dati di un cliente?
Il punto di partenza è la finalità del trattamento. I dati necessari all’esecuzione del contratto si conservano per la durata del rapporto più il termine di prescrizione delle obbligazioni contrattuali — di norma 10 anni in Italia. Quelli fiscali si conservano 10 anni per obbligo di legge. I dati di marketing si conservano per il periodo indicato nell’informativa, di norma non oltre 24 mesi dall’ultimo contatto. La retention policy deve definire questi termini in modo specifico e aggiornato, e deve essere applicata con procedure automatiche di cancellazione o revisione periodica.
FAQ 2: è sufficiente anonimizzare i dati invece di cancellarli?
Sì, a condizione che l’anonimizzazione sia effettiva e irreversibile. I dati anonimizzati non sono più dati personali e non rientrano nel campo di applicazione del GDPR. Tuttavia, la pseudonimizzazione — che sostituisce i dati identificativi con un codice, mantenendo la possibilità di re-identificazione — non equivale ad anonimizzazione. I dati pseudonimizzati sono ancora dati personali e restano soggetti al GDPR. Il titolare deve documentare il metodo di anonimizzazione adottato e verificare che sia tecnicamente irreversibile.
FAQ 3: la minimizzazione si applica anche ai dati dei dipendenti?
Sì. Il principio di minimizzazione si applica a tutti i trattamenti di dati personali, compresi quelli relativi ai dipendenti. I dati raccolti nel contesto del rapporto di lavoro devono essere adeguati, pertinenti e limitati a quanto necessario per le finalità del rapporto. Il datore di lavoro non può raccogliere dati personali dei dipendenti che non siano necessari alla gestione del rapporto. Dopo la cessazione del rapporto, i dati devono essere conservati nei limiti imposti dagli obblighi di legge — tipicamente contabilità, previdenza, adempimenti fiscali — e cancellati oltre tali limiti.
FAQ 4: cosa succede se un cliente chiede la cancellazione dei propri dati ma l’azienda ha un obbligo di legge che impone la conservazione?
Il diritto alla cancellazione previsto dall’art. 17 GDPR non è assoluto. Il titolare può rifiutare la cancellazione quando il trattamento è necessario per adempiere un obbligo legale al quale è soggetto. In questo caso, il titolare deve informare l’interessato del motivo del rifiuto e dei dati che non possono essere cancellati, e deve comunque limitare il trattamento ai soli dati necessari per quell’obbligo. I dati che non rientrano nell’obbligo legale devono essere cancellati anche in risposta alla richiesta. Il rifiuto parziale deve essere documentato.
Approfondisci con i corsi MODI
La corretta applicazione del principio di minimizzazione richiede una formazione strutturata e documentata. I corsi MODI offrono percorsi specifici per titolari e responsabili aziendali:
Corso e-learning sulla privacy (GDPR) per il personale aziendale – corso base, 1 ora
Corso e-learning sulla privacy (GDPR) per titolari e responsabili – corso avanzato, 3 ore
Per ricevere una consulenza personalizzata, contattaci al numero verde 800300333. Il catalogo dei corsi in e-learning con relativo programma cliccare qui. Puoi anche scriverci all’indirizzo e-mail modi@modiq.it.
Maggiori informazioni sono disponibili sui siti web:
www.consulenzasicurezzaveneto.it;
www.consulenzaprivacyregolamentoue679.it;
www.consulenzacertificazioneiso37001.it.
A cura di MODI SRL – Società di consulenza e formazione.
Responsabile editoriale: Francesca Quintavalle, referente del servizio Clienti numero verde 800300333.
Risponde alle domande più frequenti sui Sistemi di Gestione per la Sicurezza, Qualità, Ambiente e Privacy. Dal 1998 MODI SRL.
