Conservazione e cancellazione dei dati personali ai sensi del GDPR
Su Agenda Digitale, un articolo a firma di Chiara Benvenuto e Vincenzo Colarocco approfondisce l’argomento “Conservazione e cancellazioni dati personali post Gdpr, tutti i principi da sapere”. Nell’abstract si legge quanto segue: “Le novità introdotte dal Gdpr in tema di conservazione e cancellazione dei dati personali: gli obblighi per il titolare del trattamento, le deroghe in caso di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, l’esercizio dei diritti degli interessati”. Di seguito l’introduzione:
Tra le novità apportate dal Regolamento Europeo n. 679/2016 sulla protezione dei dati personali (meglio noto come “GDPR”), vi è l’esplicita previsione del divieto di conservare gli stessi per un tempo superiore a quello necessario al perseguimento dello scopo del trattamento.
In realtà, una simile previsione non risulta del tutto innovativa rispetto alla disciplina previgente: il trattamento dei dati personali delle persone fisiche è sempre stato improntato, infatti, ai principi di necessità e finalità del trattamento, secondo i quali i dati raccolti non possono essere trattati per un tempo ulteriore rispetto a quello strettamente necessario allo scopo della raccolta.
All’art. 5, comma 1, lett. e), del GDPR è previsto che i dati personali devono essere “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati”.
Una siffatta previsione non può che tradursi nell’obbligo per il titolare del trattamento di provvedere alla cancellazione dei dati raccolti una volta perseguito lo scopo, non potendo essere conservati per periodi ulteriori, se non adottando misure di pseudonimizzazione, tali da rendere il dato non più idoneo ad identificare il suo titolare (l’interessato).
Il Regolamento, infatti, consente di trattenere i dati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, previa attuazione di adeguate misure tecniche e organizzative a tutela dei diritti e delle libertà dell’interessato (cd. principio di “limitazione della conservazione”).
In particolare, l’art. 6, comma 4, consente il trattamento di dati per finalità ulteriori rispetto a quelle dichiarate nell’informativa resa all’interessato, tenuto conto di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto, del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l’interessato e il titolare del trattamento, della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali, oppure se siano trattati dati relativi a condanne penali e a reati, delle possibili conseguenze dell’ulteriore trattamento previsto per gli interessati, nonché dell’esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione...