TL;DR
Ventuno giorni orientativi sui metadati della posta dei dipendenti; il divieto di chiedere di patologie oncologiche concluse da oltre dieci anni; l'obbligo di conservare la motivazione della segnalazione antiriciclaggio che si è deciso di NON inviare. Tre righe di registro che quasi nessuno scrive.
Uno: i metadati della posta elettronica, che li imposta il fornitore
Il documento di indirizzo del Garante del 6 giugno 2024 indica ventuno giorni come periodo orientativo di conservazione dei metadati generati dai programmi di gestione della posta — mittente, destinatario, data, ora, dimensione. Non il contenuto: i log. È la regola che più spesso il titolare viola senza saperlo, perché la viola l'impostazione predefinita della suite che ha comprato: molte conservano i log per mesi o anni, nessuno le ha scelte, e proprio per questo nessuno le ha iscritte nel registro. Superare i ventuno giorni non è vietato in assoluto — il documento ha natura di indirizzo, e in presenza di comprovate esigenze tecniche documentate si può — ma resta fermo l'art. 4 dello Statuto dei lavoratori quando la conservazione consente il controllo a distanza.
Due: l'oblio oncologico non è un termine di conservazione, è un divieto di raccolta
La legge 193 del 7 dicembre 2023 vieta di chiedere informazioni su patologie oncologiche il cui trattamento attivo si sia concluso, senza recidive, da più di dieci anni; cinque se la patologia è insorta prima dei ventun anni. Riguarda contratti bancari, finanziari e assicurativi, l'adozione, i concorsi. Un questionario che chiede «ha mai sofferto di patologie oncologiche» senza il limite temporale è illecito a monte, e nessun termine di conservazione lo rende lecito. Il decreto ministeriale del 22 marzo 2024 individua poi le patologie per cui il diritto matura prima dei dieci anni: applicare il termine generale a tutte è comunque una violazione, in difetto.
Tre: il fascicolo di chi NON ha segnalato
L'art. 35 del D.Lgs. 231/2007 impone la segnalazione di operazione sospetta. Quello che i registri non scrivono è l'altra metà: l'approfondimento che precede la decisione, e la motivazione dell'archiviazione interna quando la segnalazione non parte. Quel fascicolo contiene un giudizio su una persona identificata — un sospetto valutato e scartato — ed è più delicato della segnalazione stessa, perché resta interno e non è coperto dalla riservatezza che la legge riconosce alla segnalazione inviata. Va detto chi vi accede e per quanto resta.
- Cosa hanno in comune: nessuna delle tre nasce da una decisione di raccogliere dati. I log ci sono già, il questionario esisteva prima della legge, il fascicolo è il residuo di una decisione negativa.
- Cosa succede in verifica: sono archivi reali che il registro non descrive, e la loro assenza non è una dimenticanza formale — significa che nessuno ha fissato un termine, e quindi che nessuno cancella.
- Cosa fare per prime: chiedere al fornitore di posta quanto conserva i log, rileggere i questionari sanitari, aprire il cassetto delle valutazioni antiriciclaggio archiviate.
Il filo comune
Un registro dei trattamenti descrive quello che l'organizzazione ha deciso di fare. Questi tre archivi esistono senza che nessuno li abbia decisi: li ha creati un'impostazione predefinita, un modulo ereditato, una procedura che produce carta anche quando finisce con un no. È lì che il registro invecchia, non nelle attività che qualcuno ha progettato.
Tutte e tre sono ora nella matrice italiana dei termini di conservazione, con la norma citata e lo stato di verifica dichiarato voce per voce.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
