A ottobre abbiamo parlato di sicurezza, chiudendo con il questionario della polizza cyber. Novembre è il mese delle regole e delle scadenze di fine anno, e cominciamo da una domanda che quasi nessuna azienda si fa: quanto tempo devono restare nei nostri sistemi i dati che raccogliamo? La risposta più diffusa, nei fatti, è «per sempre». Ed è quella sbagliata.
L'archivio infinito non è prudenza
Tenere tutto sembra la scelta più sicura: non si sa mai, potrebbe servire. In realtà ogni dato conservato senza motivo è un costo e un rischio, per tre ragioni molto concrete.
Una violazione più grave. Quando un attaccante copia i dati prima di cifrarli, non sceglie: prende tutto quello che trova. Se nella cartella ci sono dodici anni di curriculum, la violazione riguarda centinaia di persone che con l'azienda non hanno più nessun rapporto, e che vanno comunque considerate nella valutazione e nelle eventuali comunicazioni.
Un costo che cresce da solo. Spazio di archiviazione, licenze delle caselle tenute attive, tempi di backup e di ripristino sempre più lunghi. Nessuno di questi costi è enorme preso da solo, ma si sommano ogni anno.
Una ricerca impossibile. Quando un cliente chiede l'accesso ai propri dati, o un ex dipendente ne chiede la cancellazione, bisogna sapere dove sono. In un archivio che non è mai stato riordinato, la risposta richiede giorni, e spesso è incompleta.
Cosa dice il GDPR, in una riga
Il regolamento europeo lo chiama limitazione della conservazione: i dati personali si tengono per il tempo necessario allo scopo per cui sono stati raccolti, e poi si cancellano o si rendono anonimi. Non fissa un numero di anni valido per tutto: chiede all'azienda di stabilire i tempi, scriverli e rispettarli. Gli stessi tempi vanno indicati nelle informative e nel registro dei trattamenti, di cui abbiamo parlato nel pezzo sui cinque errori GDPR degli studi professionali.
In pratica, per ogni tipo di dato servono due cose: un tempo motivato e qualcuno che lo faccia rispettare. Il tempo viene da tre fonti: un obbligo di legge, la necessità di difendersi in un'eventuale contestazione, oppure l'uso che se ne fa davvero.
Quanto tenere: i casi che troviamo in ogni azienda
Ogni realtà ha i suoi, e i tempi definitivi vanno sempre concordati con il commercialista, il consulente del lavoro e, dove serve, il legale. Ma alcune voci ci sono quasi ovunque.
- Documenti contabili e fatture. Il codice civile chiede di conservare le scritture contabili e la corrispondenza commerciale per dieci anni. È il caso in cui tenere a lungo è un obbligo, non una scelta, e va rispettato anche nella conservazione digitale.
- Curriculum dei candidati non assunti. Nessuna legge impone di tenerli. Si conservano per il tempo della selezione e, se l'informativa lo prevede, per un periodo breve e dichiarato per eventuali posizioni future: di solito non oltre uno o due anni. La cartella di dodici anni è il caso da manuale di conservazione eccessiva.
- Dati dei dipendenti cessati. Qui i tempi dipendono dal documento: buste paga, documenti contributivi e di sicurezza sul lavoro hanno scadenze diverse, alcune di cinque anni e altre molto più lunghe. È la voce da far compilare al consulente del lavoro, non da indovinare.
- Preventivi mai accettati e contatti commerciali. Se il cliente non è mai diventato tale, dopo un ragionevole periodo di trattativa non c'è motivo di tenerli. Lo stesso vale per i contatti raccolti a una fiera di sei anni fa.
- Le caselle di posta di chi se n'è andato. Dopo l'uscita la casella non va lasciata attiva: si imposta una risposta automatica che indica il nuovo riferimento e si garantisce l'accesso a tempo ai messaggi di lavoro, come raccontato nell'onboarding al contrario. Poi si decide cosa archiviare nelle cartelle aziendali, e la casella si chiude con una data.
- Copie e duplicati. Le esportazioni del gestionale salvate sul desktop, gli allegati inoltrati a sé stessi, le cartelle «vecchio server». Spesso non sono neppure dati che qualcuno ha deciso di tenere: sono residui. E sono i più difficili da trovare, perché nessuno sa che esistono.
La tabella di conservazione su una pagina
Tutto questo sta su un foglio. Una tabella con cinque colonne: tipo di dato, dove si trova (gestionale, cartella condivisa, posta, carta), per quanto si tiene, perché (la legge, la difesa, l'uso) e chi se ne occupa. Venti righe bastano per la maggior parte delle piccole aziende.
La colonna «dove si trova» è quella che sorprende di più: lo stesso dato vive spesso in tre posti, e la regola va applicata in tutti. La colonna «chi se ne occupa» è quella che rende la tabella vera: senza un nome accanto, un tempo di conservazione è solo un'intenzione.
Un dato che nessuno ha deciso di tenere è un dato che nessuno sta proteggendo.
La pulizia di fine anno, come rito
Una volta scritta la tabella, la cancellazione diventa un'attività ricorrente, e la fine dell'anno è il momento naturale: si chiude l'esercizio, si ha più chiaro cosa è concluso e cosa no. Basta mezza giornata, con un ordine preciso.
- Si parte dalla tabella, riga per riga, e si individua cosa ha superato il proprio tempo.
- Si controlla che non ci sia un motivo per tenerlo: una contestazione aperta, un contenzioso, una richiesta delle autorità. In quel caso il dato resta, e si annota il perché.
- Si cancella davvero, cioè anche dal cestino della cartella condivisa e dalle copie sul desktop, non solo dalla posizione principale.
- Si scrive una riga: cosa è stato cancellato, quando e da chi. Non i dati, solo l'evento. È la prova che la regola viene applicata.
Il primo anno è il più lungo, perché c'è da smaltire l'arretrato. Dal secondo, se la tabella è fatta bene, è un lavoro di routine.
Lasciare fare al sistema: Microsoft 365
Una parte della pulizia può smettere di dipendere dalla memoria delle persone. In Microsoft 365 si possono impostare criteri di conservazione su posta, OneDrive, SharePoint e Teams: per esempio, eliminare automaticamente dopo un certo periodo i contenuti di una raccolta, o al contrario impedire che vengano cancellati prima di dieci anni i documenti dell'amministrazione. Le etichette di conservazione permettono di applicare regole diverse a tipi di documenti diversi, anche nella stessa cartella.
Sono strumenti potenti e vanno usati con attenzione: un criterio sbagliato può cancellare ciò che andava tenuto. Per questo si configurano dopo aver scritto la tabella, mai prima, si provano su un'area limitata e si documentano. Non sostituiscono la pulizia di fine anno, ma la riducono a un controllo.
E i backup?
È la domanda che arriva sempre: se cancello un dato, devo cancellarlo anche dai backup? La risposta pratica è no, ma con delle regole. Una copia di sicurezza fatta bene è, per definizione, immutabile: nessuno può modificarla prima della scadenza, ed è proprio questo che la rende utile contro un ransomware, come spiegato nella regola 3-2-1-1-0. Aprire il backup per togliere dei file ne annullerebbe il senso.
Quello che si fa, invece, è questo:
- Si lascia scadere il dato con la rotazione: i backup hanno un periodo di conservazione, e quando le copie più vecchie vengono eliminate, il dato sparisce anche da lì. Per questo la durata dei backup va scritta e deve essere coerente con la tabella, non infinita.
- Si documenta nella tabella che i dati cancellati restano nelle copie di sicurezza fino alla loro scadenza naturale, e che le copie sono protette e non vengono usate per altri scopi.
- Si annota cosa non va ripristinato: se un giorno si recupera una cartella da un backup, i dati che nel frattempo erano stati cancellati vanno eliminati di nuovo prima di rimettere tutto in produzione.
Lo stesso principio vale per i supporti dismessi: un disco che esce dall'azienda va cancellato in modo sicuro o distrutto, con una riga nel registro, come avevamo visto nel pezzo sul PC da sostituire.
In sintesi
Tenere tutto per sempre non è prudenza: rende ogni violazione più grave, costa ogni anno di più e rende difficile rispondere a chi chiede conto dei propri dati. Il GDPR chiede di stabilire per ogni tipo di dato un tempo di conservazione motivato, e di rispettarlo. Lo strumento è una tabella su una pagina (tipo di dato, dove si trova, per quanto, perché, chi), con i tempi di legge concordati con commercialista e consulente del lavoro: dieci anni per la contabilità, tempi brevi e dichiarati per i curriculum, una data di chiusura per le caselle di chi se n'è andato. Poi la pulizia di fine anno come rito, i criteri di conservazione di Microsoft 365 per automatizzare ciò che si può, e i backup lasciati scadere con la loro rotazione invece di essere toccati.
Martedì prossimo restiamo sulla compliance, ma guardandola da un altro lato: cosa succede quando a chiederti conto della tua sicurezza non è la legge, ma un tuo cliente soggetto alla NIS2.
Non sai quanti dati conservi, e da quanto tempo? Contattaci: facciamo insieme l'inventario, scriviamo la tabella di conservazione e impostiamo le regole automatiche dove hanno senso.
Articoli collegati: Studio professionale e GDPR: i 5 errori più comuni · La regola 3-2-1-1-0 del backup · Shadow IT: il lavoro che sfugge all'azienda