In caso di dati personali raccolti e trattati per finalità di marketing e profilazione, sulla base del consenso dell’interessato, può la scadenza del periodo di data retention coincidere con l’eventuale revoca dello stesso? Stando a quanto recentemente sancito dal Garante Privacy, con il Provvedimento del 18 Luglio 2023, sembrerebbe di no. Con tale Provvedimento, infatti, l’Autorità ha sanzionato una società leader nel settore delle telecomunicazioni, la quale aveva stabilito quale scadenza del periodo di conservazione dei dati trattati per finalità di marketing e profilazione sulla base del consenso dell’interessato, la data dell’(eventuale) revoca dello stesso. Secondo il Garante, i suddetti termini di conservazione, pur se individuati dal titolare nell’esercizio della propria accountability, risulterebbero comunque eccessivamente dilatati, anche in considerazione della regola generale, riguardo ai tempi di conservazione, già raccomandata dal Garante nel provvedimento del 14 febbraio 2005 (i.e. 24 mesi per finalità di marketing e 12 mesi per finalità di profilazione). L’Autorità, infatti, ha specificato che, pur valorizzando il principio di accountability, non si può giungere alla conclusione che un titolare, in base a tale principio che necessita di essere contemperato con gli altri principi fondamentali previsti dal GDPR, possa scostarsi in modo eccessivo rispetto alle previsioni di cui al provvedimento del 2005, senza poter incorrere nella violazione del principio di limitazione della conservazione. Ne deriva che è da ritenersi non congrua la conservazione dei dati trattati per finalità di marketing fino alla data della revoca del consenso al trattamento, in quanto si rischierebbe di avere una durata indeterminata, dal momento che l’interessato potrebbe non mutare mai la propria volontà o mantenerla invariata per anni. Questa pronuncia sembrerebbe modificare – ma solo apparentemente - il precedente orientamento espresso dalla medesima Autorità con il Provvedimento del 15 ottobre 2020, ai sensi del quale il singolo titolare è chiamato a determinare, caso per caso e sulla base della propria accountability, quanto a lungo sia lecito trattare dati personali per finalità di marketing o profilazione nel rispetto dei diversi principi di liceità, proporzionalità, necessità, minimizzazione e limitazione della conservazione di cui all’art. 5 del GDPR. In quel caso, in base a tale principio, le ragioni addotte dal titolare per giustificare un periodo di conservazione dei dati trattati per finalità di marketing “fino alla revoca del consenso” precedentemente acquisito erano state riconosciute come valide. Nell’auspicio di eventuali ulteriori chiarimenti dell’Autorità, sembrerebbe più opportuno attenersi alla “regola generale” espressa dal Provvedimento del 2005, a meno che non ci siano validi motivi che, nell’esercizio della propria accountability, possano consentire al titolare di giustificare un periodo di conservazione più esteso.
