Per quanto tempo conservare i dati del servizio

La domanda sulla conservazione dei dati di videosorveglianza è quella che arriva per prima, ma nella pratica di un istituto di vigilanza è solo una parte del problema. Accanto alle immagini ci sono i rapporti di servizio, le registrazioni delle presenze, i tracciati di posizione, i registri degli accessi, le foto scattate durante i giri, i messaggi operativi. Tutti contengono informazioni su persone identificabili, e per tutti vale la stessa domanda: fino a quando ha senso tenerli?

La risposta istintiva — tenere tutto, non si sa mai — è quella sbagliata, e vale la pena capire perché prima di parlare di criteri. Un archivio che cresce all’infinito non è una tutela: è materiale che qualcuno dovrà proteggere per anni, che aumenta il danno di qualsiasi accesso improprio, e che in caso di contestazione può contenere anche ciò che nessuno avrebbe voluto conservare. Conservare è un’attività, con un costo e una responsabilità, non un’assenza di decisione.

Perché tenere tutto per sempre è la scelta peggiore

Tre ragioni concrete, indipendenti dalla normativa.

Più dati, più superficie di rischio. Un archivio di anni contiene volti, targhe, orari di presenza di persone, abitudini di ingresso e uscita. Se qualcosa va storto, la gravità è proporzionale a quanto c’è dentro.

Più dati, meno capacità di trovarli. Chi conserva tutto raramente conserva bene. Il materiale vecchio si accumula in cartelle disordinate e, il giorno in cui serve davvero un fatto di tre mesi fa, non si trova comunque.

Più dati, più obblighi da gestire. Ogni informazione conservata su una persona porta con sé responsabilità di custodia e di risposta a eventuali richieste. Un archivio che nessuno usa ma che tutti devono proteggere è puro costo.

Il ragionamento corretto è opposto: si stabilisce a cosa serve ogni tipo di dato, per quanto tempo può servire davvero, e si elimina quando quella funzione è esaurita.

Conservazione dati videosorveglianza: un caso a parte

Le immagini registrate da impianti di videosorveglianza sono il tipo di dato più regolato e quello su cui è meno prudente improvvisare. Sono riprese di persone, spesso in luoghi accessibili al pubblico o in contesti di lavoro, e la loro gestione tocca sia le regole sulla protezione dei dati personali sia quelle sui controlli in ambito lavorativo.

Qui è necessaria una precisazione netta, e questo articolo non la aggirerà: i tempi di conservazione ammessi, le condizioni per prolungarli e gli obblighi informativi non possono essere dedotti da un articolo divulgativo. Cambiano nel tempo, dipendono dalla finalità dell’impianto, dal contesto in cui è installato e dagli accordi applicabili, e la loro applicazione va valutata caso per caso.

Le indicazioni operative prudenti sono tre. La prima: il titolare del trattamento è di norma il committente, che è chi ha installato l’impianto sul proprio sito; l’istituto interviene secondo istruzioni scritte e nei limiti concordati. La seconda: il periodo va deciso prima e applicato automaticamente, non lasciato al fatto che qualcuno si ricordi di cancellare. La terza: le estrazioni straordinarie vanno tracciate, cioè si deve sapere chi ha estratto quale sequenza, quando e perché.

Per stabilire i tempi effettivi e le procedure servono un consulente e le indicazioni dell’autorità competente in materia di protezione dei dati personali. Questo articolo descrive un metodo organizzativo e non è consulenza legale.

Ogni tipo di informazione ha una vita utile diversa: trattarle tutte allo stesso modo è il modo più semplice per sbagliare.

Ragionare per tipo di dato, non per archivio

L’errore più comune è definire una durata unica per tutto. I dati di un servizio di vigilanza hanno funzioni molto diverse e vite utili altrettanto diverse.

I tracciati di posizione

I dati di geolocalizzazione servono a coordinare il servizio mentre accade e a verificare, entro un orizzonte breve, che un giro sia stato svolto. La loro utilità decade in fretta: dopo poche settimane un percorso dettagliato non serve quasi mai, mentre la sua presenza in archivio è un’informazione sensibile sui movimenti di una persona.

Il criterio ragionevole è tenere il tracciato di dettaglio per un periodo breve e conservare più a lungo, se serve, soltanto il dato sintetico — che quel punto di ronda è stato marcato a quell’ora. Anche questa distinzione, però, va verificata rispetto agli accordi con il personale e alle regole applicabili.

I rapporti di servizio

Sono il materiale con la vita utile più lunga, perché documentano fatti che possono avere conseguenze a distanza di tempo. Il registro di servizio digitale è anche ciò che permette di rispondere a una contestazione o a una richiesta del committente mesi dopo.

Qui la prudenza consiglia di distinguere tra il rapporto — testo, ora, luogo, autore — e gli allegati più invasivi, in particolare le immagini che ritraggono persone, che possono avere una durata più breve del testo a cui sono associate.

Le registrazioni delle presenze

Hanno una funzione amministrativa e possono dover essere conservate per periodi legati alla gestione del rapporto di lavoro. Non è un tema che si decide in autonomia: va stabilito con il consulente del lavoro insieme alle altre scadenze amministrative dell’azienda.

I registri degli accessi

Riguardano persone che non sono né dipendenti dell’istituto né del committente, spesso visitatori occasionali. Vale il criterio più restrittivo: la finalità si esaurisce presto, e la conservazione prolungata è difficile da giustificare.

Le comunicazioni operative

Messaggi, note di coordinamento, comunicazioni di servizio. Hanno una vita utile molto corta e tendono ad accumularsi in modo incontrollato, soprattutto quando passano da strumenti personali. È la categoria dove una regola automatica di eliminazione porta più beneficio e meno rimpianti.

Il testo di un rapporto e le immagini che lo accompagnano possono avere durate diverse: la distinzione va fatta all’inizio.

Come si mette in pratica senza dipendere dalla memoria di qualcuno

Una politica di conservazione che richiede a una persona di ricordarsi di cancellare non verrà applicata. I passaggi che funzionano sono quattro.

Scrivere la tabella. Per ogni tipo di dato: a cosa serve, chi vi accede, quanto si conserva, cosa succede alla scadenza. Una pagina, non un manuale.

Impostare la regola dove i dati vivono. L’eliminazione deve avvenire da sola al termine del periodo stabilito. Se il sistema permette di configurare durate diverse per tipo di informazione, va usato: è la differenza tra una politica scritta e una politica applicata.

Prevedere le eccezioni motivate. Se un fatto è oggetto di una contestazione o di un procedimento, i dati che lo riguardano non possono sparire nel frattempo. Serve un modo esplicito per congelare uno specifico caso, con l’indicazione di chi lo ha deciso e perché.

Allineare la tabella ai contratti. Alcuni committenti chiedono di poter accedere ai dati del proprio sito per un certo periodo. È una richiesta legittima che va concordata prima e riflessa nella politica interna: se il portale per il committente mostra un periodo più lungo di quello che l’istituto conserva, la promessa non è mantenibile.

Una regola di buon senso

Prima di decidere quanto conservare un’informazione, vale la pena porsi una domanda semplice: se domani qualcuno accedesse a questo archivio senza autorizzazione, cosa verrebbe fuori? Se la risposta include anni di movimenti di persone, immagini di visitatori e dati che nessuno ha mai riaperto, il periodo di conservazione non è una scelta prudente: è un rischio che non serve a nessuno.

E la domanda opposta, altrettanto necessaria: se tra sei mesi un committente contestasse un fatto di oggi, avreste ancora ciò che serve per ricostruirlo? La politica giusta sta tra queste due domande, e la sua definizione richiede il parere di un professionista.

Domande frequenti

Esiste un periodo standard valido per tutti? No. Dipende dal tipo di dato, dalla finalità, dal contesto e dagli accordi contrattuali, e le regole cambiano nel tempo. Chiunque proponga una durata valida per ogni situazione sta semplificando qualcosa che non si può semplificare: va verificato con l’autorità competente e con un consulente.

Chi decide i tempi per le immagini di un impianto installato dal cliente? Di norma il committente, in quanto titolare del trattamento. L’istituto opera secondo istruzioni scritte, ed è nel suo interesse che quelle istruzioni siano formalizzate nel contratto.

Cosa si fa se un dato serve oltre il periodo previsto? Si prevede una procedura di conservazione motivata per il caso specifico, con la registrazione di chi l’ha richiesta e per quale ragione. L’eccezione documentata è gestibile; la conservazione generalizzata «per sicurezza» non lo è.

Il personale può chiedere quali dati lo riguardano sono conservati? Le persone hanno diritti sui dati che le riguardano e l’azienda deve essere in grado di rispondere. Come gestire concretamente queste richieste va definito in anticipo con un consulente, insieme alla tabella di conservazione.

Se nel tuo istituto nessuno sa con precisione quanto indietro arrivano gli archivi e chi vi ha accesso, il primo passo è scrivere una tabella per tipo di dato. Possiamo mostrarti come si impostano durate diverse per rapporti, tracciati e comunicazioni.