Conservazione dei dati dei moduli — Per quanto tempo conservare?

La maggior parte delle organizzazioni pensa molto a come raccogliere i dati dei moduli, molto meno a quando cancellarli. Il risultato è un'accumulazione silenziosa: migliaia di invii che giacciono in strumenti di moduli, talvolta per anni oltre il loro ciclo di vita utile, spesso dimenticati, occasionalmente riemersi da una violazione o da una richiesta di accesso dell'interessato. Questo articolo è una guida pratica ai periodi di conservazione per gli invii di moduli — cosa la legge si aspetta, come impostare valori predefiniti sensati e come gli strumenti a conoscenza zero cambiano i conti.

Il default su cui vive la maggior parte delle organizzazioni

Apri la dashboard di un tipico strumento di moduli in uso da due o tre anni. Di solito troverai ogni invio mai ricevuto, completo e leggibile, senza alcuna cancellazione programmata. Le ragioni sono familiari: nessuno è proprietario della questione conservazione, lo strumento non ti spinge a fissare un limite e il costo marginale di una riga in più in un database tende a zero. Quindi i dati restano.

Questo default ha un costo specifico. Sotto il GDPR (art. 5(1)(e), limitazione della conservazione) e la nLPD (art. 6 cpv. 4, proporzionalità e necessità), i dati personali non devono essere conservati più del necessario rispetto alla finalità per cui sono stati raccolti. "Indefinito di default" non è una risposta difendibile — è l'assenza di una risposta, e le autorità lo trattano sempre più così.

Cosa richiede effettivamente la legge

GDPR e nLPD assumono la stessa posizione fondamentale: conservare i dati personali solo finché necessario per la finalità di raccolta. Nessuno fissa un'unica scadenza valida per tutti i moduli; entrambi richiedono che fissiate scadenze coerenti con le vostre finalità e che possiate difenderle.

GDPR — principio di limitazione della conservazione

L'articolo 5(1)(e) richiede che i dati personali siano "conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati". Il considerando 39 lo rafforza: termini di cancellazione o revisione periodica vanno stabiliti. Le autorità si aspettano un calendario documentato, non un principio vago.

nLPD (Svizzera) — proporzionalità e necessità

La LPD revisionata segue la stessa logica: i dati possono essere trattati (anche conservati) solo nella misura necessaria per la finalità dichiarata. Se un titolare non può giustificare la conservazione, è richiesta cancellazione o anonimizzazione. L'IFPDT ha segnalato che i calendari di conservazione saranno una voce standard nelle ispezioni.

Sovrapposizioni di settore

Oltre ai principi generali, regole settoriali fissano minimi e massimi che non potete adeguare liberamente:

• Sanità: le cartelle cliniche hanno spesso una conservazione minima lunga (Svizzera: ~10 anni post-trattamento per gli adulti; più lunga per minori e specialità)
• Finanza e KYC: la legislazione antiriciclaggio richiede tipicamente 5-10 anni di conservazione delle pratiche di adeguata verifica
• Fiscale e contabile: molte giurisdizioni richiedono 7-10 anni per i documenti commerciali
• Lavoro: paghe, contratti e fascicoli HR hanno minimi variabili (tipicamente 5-10 anni dopo la cessazione)
• Ricerca e studi clinici: ICH-GCP e regolamento UE sulle sperimentazioni richiedono 25 anni per il fascicolo permanente dello studio

Un quadro pratico per impostare la conservazione

Il quadro che funziona per la maggior parte dei processi guidati da moduli ha quattro passi: identificare la finalità, identificare l'obbligo applicabile più lungo, fissare un'unica durata, documentare.

Valori predefiniti sensati come punto di partenza

Sono punti di partenza — non consulenza legale — che funzionano per molte organizzazioni piccole e medie e che possono essere stretti o estesi dopo revisione di un DPO o avvocato.

Perché la maggior parte degli strumenti rendono la cancellazione più difficile del dovuto

Se avete mai cercato di operativizzare la conservazione in Google Forms, Microsoft Forms o Typeform, riconoscerete l'attrito: nessuna cancellazione automatica. Dovete ricordarvelo, su un calendario che impostate da soli, in una UI che vi spinge a tenere, non a cancellare. E quando cancellate, è un'operazione soft — sparito dalla vostra vista, ma i backup del fornitore tengono ancora una copia per una finestra che non potete vedere completamente.

Peggio: anche una cancellazione che avete fatto è reversibile dal fornitore, perché lui ha le chiavi. "L'abbiamo cancellato" tecnicamente è "l'abbiamo segnato come cancellato nel database applicativo". Il testo in chiaro continua a esistere su storage e backup del fornitore per un periodo — tipicamente 30-90 giorni — governato dalla sua policy interna, non dalla vostra.

Come l'architettura a conoscenza zero cambia i conti

Quando i dati sono crittografati nel browser del rispondente prima della trasmissione, il fornitore memorizza solo testo cifrato. Le chiavi vivono presso il proprietario del modulo — l'organizzazione. Ciò cambia il significato di "cancellazione" in due modi importanti.

• La cancellazione è crittograficamente definitiva. Quando il proprietario cancella un invio, il testo cifrato viene rimosso dal database attivo. Il fornitore non ha alcuna copia in chiaro — nessun backup nascosto, nessun accesso del supporto, nessun percorso di recupero. I dati sono andati.
• I confini di conservazione sono onorati dalla fisica, non dalla policy. Un calendario di conservazione su uno strumento convenzionale è una promessa; su uno strumento a conoscenza zero è una proprietà. Non c'è copia in chiaro che possa sopravvivere silenziosamente al vostro programma.
• Le richieste di accesso e cancellazione sono più semplici. Quando un rispondente chiede la cancellazione (art. 17 GDPR, equivalente nLPD), "l'abbiamo cancellato" è tecnicamente e dimostrabilmente vero.

Errori comuni da evitare

Errore 1: una sola durata per tutti i moduli

Un modulo KYC e un'iscrizione newsletter hanno obblighi diversi. Un "7 anni per tutto" è troppo lungo per la newsletter e forse troppo corto per il KYC. La granularità giusta è per modulo.

Errore 2: confondere conservazione con archivio

Se serve archiviazione lunga per conformità, lo strumento di moduli raramente è il posto giusto. Spostate i dati in un sistema progettato per archivio (CRM, EHR, gestione casi) con i propri controlli, e lasciate la conservazione lato modulo a "abbastanza per elaborare".

Errore 3: trattare la cancellazione come compito manuale

La pulizia manuale non avviene in modo affidabile. Scegliete uno strumento che supporti la cancellazione automatica all'orizzonte di conservazione, poi verificate che funzioni.

Errore 4: non documentare il perché

Se un'autorità chiede perché tenete i dati dei candidati nove mesi, "perché abbiamo scelto così" non basta. "Perché corrisponde alla finestra di difesa antidiscriminazione del diritto del lavoro [giurisdizione]" sì. Scrivete il motivo accanto al numero.

Errore 5: dimenticare le copie a valle

I dati dei moduli finiscono in CRM, ticketing, thread email e fogli di calcolo. La policy deve seguire il dato, non solo il modulo originale. Documentate la propagazione, allineate i calendari.

Una policy di conservazione minima funzionante

Se oggi non avete nulla, potete spedire una policy funzionante in un pomeriggio. Ecco uno scheletro:

1. Elencate ogni modulo attivo (o ogni modulo che ha ricevuto un invio negli ultimi 12 mesi)
2. Per ciascuno scrivete una finalità di una riga, il pavimento obbligatorio più lungo, una durata scelta
3. Configurate lo strumento perché applichi la durata automaticamente — o, se non può, programmate un'attività ricorrente con responsabili nominati
4. Aggiungete la tabella al registro delle attività e collegatela dall'informativa privacy
5. Pianificate una revisione annuale

Come comunicarlo ai rispondenti

GDPR e nLPD richiedono di dire ai rispondenti per quanto tempo intendete tenere i loro dati. La formulazione non deve essere complicata:

Conserveremo le informazioni che fornisci in questo modulo per [X mesi/anni] dopo [evento scatenante], dopodiché saranno cancellate automaticamente dal nostro sistema di moduli. Se hai chiesto di essere contattato per un servizio, conserveremo prova del consenso per [Y mesi] oltre la disiscrizione.

Inserite il testo nell'informativa del modulo, collegate l'informativa completa dalla casella di consenso e fate riferimento alla tabella dal registro delle attività. Chi se ne preoccupa la troverà; le autorità anche.

In sintesi

La conservazione è la metà silenziosa della protezione dei dati. La maggior parte delle organizzazioni va bene con la raccolta, debole con la cancellazione. La correzione è meccanica, non filosofica: documentare un calendario per modulo, applicarlo automaticamente, preferire strumenti che rendano la cancellazione definitiva.

Schweizerform è stato progettato pensando alla conservazione. Crittografia nel browser, archiviazione di solo testo cifrato, conservazione configurabile con cancellazione crittografica — insieme spostano la conservazione da una promessa del fornitore sul proprio comportamento a una proprietà del sistema. Il tipo di garanzia che un DPO può posare sulla scrivania di un'autorità senza esitare.