Conservare e cancellare le risposte dei moduli

Un’impresa di giardinaggio di Bellinzona apre la tabella delle risposte del suo modulo per la richiesta di offerta. In fondo, alla riga quattro, c’è una richiesta di marzo di due anni fa: nome, indirizzo, numero di telefono, la superficie del fondo, una frase su una scarpata da sostenere. Allora la richiesta ha avuto risposta. La commessa non è mai arrivata.

La riga è ancora lì perché nessuno aveva un motivo per cancellarla — e perché nessuno aveva un motivo per tenerla. È esattamente questo il punto di partenza: la domanda non si pone da sé, e quando finalmente viene posta, tre forze tirano in direzioni diverse.

La prima forza: lo scopo si esaurisce

La legge sulla protezione dei dati formula il principio in una sola frase. Art. 6 cpv. 4 LPD: i dati personali sono distrutti o resi anonimi non appena non sono più necessari allo scopo del trattamento.

La frase non contiene alcun termine. Contiene un innesco, e l’innesco dipende dallo scopo. Quale sia lo scopo lo determina l’art. 6 cpv. 3 LPD: i dati possono essere raccolti soltanto per uno scopo determinato e riconoscibile per la persona interessata. Lo scopo è dunque fissato prima ancora che arrivi la prima risposta: è ciò che il modulo ha annunciato.

Così la domanda si può percorrere caso per caso:

• La richiesta a cui si è risposto. Lo scopo era rispondere a una richiesta. La risposta è scritta, l’offerta è partita, la pratica è chiusa. Da quel momento lo scopo iniziale non regge più la riga.
• L’iscrizione a un evento. Il corso si è tenuto, i partecipanti erano in aula. L’elenco ha assolto il suo compito una volta concluso e fatturato l’evento.
• La candidatura che non ha portato a un’assunzione. Qui esiste persino una cifra. L’IFPDT scrive nelle sue FAQ che il datore di lavoro può conservare i dati della candidatura fino a tre mesi dopo la comunicazione del rifiuto, per potersi difendere in caso di azione fondata su un rifiuto di assunzione discriminatorio, e richiama l’art. 8 cpv. 2 in combinato disposto con l’art. 5 cpv. 2 della legge sulla parità dei sessi. Ritiene possibile una proroga di alcune settimane se l’atto di causa giunge in ritardo al datore di lavoro. Che per le candidature valga comunque un quadro più stretto discende dall’art. 328b CO: il datore di lavoro può trattare dati concernenti il lavoratore soltanto in quanto si riferiscano all’idoneità per il rapporto di lavoro o siano necessari all’esecuzione del contratto.

Ciò che colpisce nei tre casi è che l’innesco è ogni volta un evento e non una data: la risposta inviata, l’evento tenuto, il rifiuto comunicato. È a questo che una regola di cancellazione potrà più tardi agganciarsi.

La seconda forza: i termini che impongono di conservare

Al principio della LPD si contrappone una serie di disposizioni che ordinano espressamente il contrario. La più nota sta nel Codice delle obbligazioni.

Art. 958f cpv. 1 CO: i libri di commercio e i documenti contabili, insieme alla relazione sulla gestione e alla relazione di revisione, vanno conservati per dieci anni; il termine decorre dalla fine dell’esercizio.

Due dettagli di questa frase vengono spesso letti di sfuggita. Primo: il termine non inizia il giorno del documento, ma alla fine dell’esercizio — una fattura di febbraio resta così coperta per circa undici anni. Secondo: la disposizione riguarda i libri di commercio e i documenti contabili, non «tutti gli incarti». Che cosa sia un documento contabile lo definisce l’art. 957a cpv. 3 CO: ogni documento scritto, su supporto cartaceo, elettronico o equivalente, necessario per ricostruire l’operazione o la circostanza alla base di una registrazione contabile.

È qui che si decide se una risposta di un modulo sia toccata. La richiesta di offerta rimasta senza seguito, da cui non è mai nata una registrazione, non è un documento contabile. L’iscrizione che ha portato a una fattura, e su cui quella fattura si fonda, può esserlo. La stessa tabella contiene dunque eventualmente righe di entrambe le categorie — ed è per questo che «conserviamo i dati dei moduli dieci anni» è impreciso quanto «li cancelliamo dopo l’evento».

Chi soggiace all’obbligo di tenere la contabilità lo stabilisce l’art. 957 CO: le imprese individuali e le società di persone che hanno conseguito una cifra d’affari di almeno 500 000 franchi nell’ultimo esercizio, e le persone giuridiche. Al di sotto, e per le associazioni e fondazioni non tenute all’iscrizione nel registro di commercio, l’art. 957 cpv. 2 CO richiede una contabilità delle sole entrate, uscite e della situazione patrimoniale. Per un’associazione che gestisce un modulo d’iscrizione la distinzione conta.

Altri due termini corrono in parallelo:

Disposizione	Che cosa ordina
Art. 70 cpv. 2 LIVA	Libri di commercio, giustificativi, carte d’affari e altri documenti fino al subentro della prescrizione assoluta del credito fiscale; è fatto salvo l’art. 958f CO
Art. 42 cpv. 6 LIVA	Tale prescrizione assoluta subentra in ogni caso dieci anni dopo la fine del periodo fiscale in cui è sorto il credito fiscale
Art. 70 cpv. 3 LIVA	20 anni per i documenti legati allo sgravio fiscale successivo e al consumo proprio di beni immobili
Art. 126 cpv. 3 LIFD	Dieci anni per libri di commercio, distinte e altri giustificativi di indipendenti e persone giuridiche

Accanto agli obblighi di conservazione sta la prescrizione, che non ordina di tenere nulla ma può produrre lo stesso effetto: l’art. 127 CO fissa dieci anni per tutti i crediti per cui il diritto civile federale non dispone altrimenti; l’art. 128 CO prevede cinque anni, fra l’altro, per il lavoro artigianale, la vendita al minuto di merci e i crediti derivanti dal rapporto di lavoro; l’art. 128a CO stabilisce, per il risarcimento in caso di lesioni corporali contrarie al contratto, tre anni dalla conoscenza del danno e in ogni caso venti anni dal comportamento dannoso. L’IFPDT traccia la stessa linea per il dossier del personale: dall’art. 330a in combinato disposto con l’art. 127 CO ricava dieci anni per i dati necessari a rilasciare un attestato di lavoro, e dall’art. 322 in combinato disposto con l’art. 128 CO cinque anni per orari di lavoro, assenze per malattia e vacanze.

Quando entrambe le forze indicano la stessa riga

Il caso è più frequente di quanto sembri: qualcuno chiede la cancellazione dei suoi dati, e quegli stessi dati soggiacciono a un obbligo di conservazione.

La LPD disciplina la pretesa all’art. 32 cpv. 2 lett. c: chi agisce in giudizio può in particolare chiedere che i dati personali siano cancellati o distrutti. La pretesa presuppone però una lesione illecita della personalità, e l’art. 31 cpv. 1 LPD precisa che una lesione della personalità è illecita se non è giustificata dal consenso della persona interessata, da un interesse preponderante privato o pubblico, o dalla legge. Un obbligo legale di conservazione è una giustificazione per legge.

In pratica le due disposizioni non si contraddicono: riguardano dati diversi. Una richiesta di offerta che non è mai diventata una registrazione contabile non soggiace ad alcun obbligo di conservazione. La fattura nata dalla stessa richiesta sì. Fino a che punto l’una si lasci separare dall’altra è questione del caso concreto — e non si legge nel testo di legge.

Vale la pena notare che la LPD indica un’età massima in un unico punto. L’art. 31 cpv. 2 lett. c LPD ammette il trattamento di dati per la verifica della solvibilità a più condizioni, fra cui il n. 3: i dati non risalgono a più di dieci anni fa. Non è una regola generale per i dati dei moduli — ma mostra che la legge indica una cifra quando vuole indicarla.

La terza forza: cancellare è raramente un clic

La terza difficoltà non è giuridica. Una risposta di modulo non esiste quasi mai in un solo posto.

• L’e-mail di notifica. La maggior parte dei servizi per moduli invia un’e-mail a ogni nuova risposta, e in molte configurazioni vi compare il contenuto completo. La riga della tabella si trova quindi anche nella casella di posta — e lì nell’archivio, nella cartella della posta inviata dell’inoltro e nella copia offline sul portatile.
• L’esportazione. Qualcuno ha scaricato un file CSV per la pianificazione annuale. È nella cartella dei download, forse su un’unità condivisa, forse in allegato a un messaggio inoltrato.
• Il backup. Un backup assolve il suo compito conservando uno stato anteriore. Una cancellazione di oggi non agisce a ritroso sul backup del mese scorso. La risposta consueta non è frugare nel backup, ma lasciarlo scadere dopo una durata stabilita.
• Il secondo sistema. Il webhook verso la contabilità, il contatto ripreso nello strumento per la newsletter, la voce nell’agenda. Ognuno di questi collegamenti è stato impostato una volta da qualcuno, e ognuno produce una copia con una vita propria.
• La stampa. Il foglio rimasto sul tavolo durante l’evento.

Nessuna di queste copie è un errore; ognuna aveva una ragione. Il punto è un altro: una regola di cancellazione che conosce solo il servizio per moduli descrive una parte della realtà.

Come si presenta una regola di cancellazione messa per iscritto

«Cancelliamo non appena i dati non ci servono più» è una resa corretta del testo di legge e non è una regola. Lo diventa quando si aggiungono quattro indicazioni, perché solo allora si può accertare se sia stata rispettata.

L’indicazione	Che cosa manca quando manca
Quale categoria	Richieste di offerta, iscrizioni a corsi, candidature e documenti contabili stanno nella stessa tabella e seguono regole diverse
Per quanto tempo	Una durata che qualcuno può ricalcolare — non «finché non serve più»
Contata da quale evento	Arrivo, risposta, svolgimento dell’evento, rifiuto, fine dell’esercizio: quattro punti di partenza diversi
Chi o che cosa cancella	Una persona con un promemoria in agenda, oppure un’impostazione del sistema che lo fa senza promemoria

L’IFPDT formula espressamente il primo punto per il dossier del personale: la LPD stessa non prevede un termine di conservazione ma pone i principi generali; la durata di conservazione va stabilita separatamente per ogni categoria di dati. Questa ripartizione per categorie è la parte che un software non può assumersi, perché solo l’azienda sa per quale motivo ha raccolto un determinato campo.

La quarta colonna, invece, è quasi sempre una questione tecnica. Una regola che dipende da una voce d’agenda sopravvive di rado alla partenza della persona che ha quella voce. Una regola depositata nel modulo stesso continua a funzionare.

Dove la risposta resta aperta

Tre punti non si lasciano ricavare dai testi di legge, e sarebbe poco onesto appianarli.

Se una determinata risposta di modulo sia un documento contabile ai sensi dell’art. 957a cpv. 3 CO dipende dalla sua necessità per ricostruire una registrazione. È una valutazione della singola operazione.

Per quanto tempo, dopo una richiesta evasa, un’azienda conservi un interesse proprio alla riga — per una possibile garanzia, o per una controversia che si profila — è una ponderazione ai sensi dell’art. 31 LPD, non un termine.

Infine, singoli settori conoscono disposizioni aggiuntive. L’IFPDT rinvia esso stesso a obblighi settoriali di comunicazione, di informazione e di rendiconto, per esempio secondo la legge sul riciclaggio di denaro o la legge sulle banche, da cui possono derivare ulteriori termini di conservazione. Nel settore sanitario si aggiungono gli obblighi cantonali di documentazione. Chi lavora in un simile ambito non troverà la regola determinante nella LPD.

Che cosa, di tutto ciò, dipende dal modulo

Torniamo alla riga quattro. Si può valutarla senza chiedere un parere legale: per che cosa si è chiesto, è concluso, vi era legata una registrazione contabile, e dove sta la riga oltre che in questa tabella. Quattro domande che si pongono anche ai privati che hanno allestito un modulo per una festa o un ordine collettivo e da allora hanno lasciato le risposte in una tabella.

Ciò che un software può apportare è la quarta colonna della tabella qui sopra. Nell’app per moduli online che stiamo sviluppando, una durata di conservazione e una regola di cancellazione automatica si potranno definire per singolo modulo, così che la cancellazione non dipenda da un ricordo; le risposte vengono cifrate già nel browser e conservate in Svizzera. Quale categoria un modulo raccolga, e quanto a lungo resti ragionevolmente, rimane la decisione dell’azienda — un software non cambia questo.