Il Provvedimento del Garante Privacy del 27 novembre 2008 impone alle aziende che si avvalgono di un Amministratore di Sistema di registrare gli accessi logici di quest'ultimo e di conservarli per un periodo minimo di sei mesi. È uno degli adempimenti più concreti — e più trascurati — della normativa sulla protezione dei dati in Italia.

In questa guida vediamo come conservare i log per 6 mesi in modo corretto: cosa registrare, in che formato, come garantirne l'inalterabilità e come automatizzare la cancellazione allo scadere del periodo. Per il quadro generale degli obblighi del Provvedimento rimandiamo a Log degli Amministratori di Sistema: cosa impone il Garante Privacy.

Cosa prevede l'obbligo di conservazione a 6 mesi

Il Provvedimento stabilisce che le registrazioni degli accessi logici degli Amministratori di Sistema ai sistemi di elaborazione e agli archivi elettronici debbano essere conservate per un periodo minimo di sei mesi. Tre aspetti sono essenziali per essere a norma:

  • Completezza: le registrazioni devono avere carattere di completezza e consentire di ricostruire gli accessi in modo puntuale.
  • Inalterabilità: i log devono essere protetti da modifiche e cancellazioni, anche da parte dello stesso Amministratore di Sistema.
  • Verificabilità: devono essere accessibili per la verifica annuale sull'operato degli AdS e per eventuali ispezioni del Garante.

Attenzione: i sei mesi sono un minimo, ma anche un riferimento per la proporzionalità del trattamento. Conservare i log molto oltre il necessario, senza una base giuridica, può contrastare con il principio di minimizzazione del GDPR (art. 5). La cancellazione automatica allo scadere è una buona pratica, non un optional.

Quali log devono essere conservati

Non tutti i log di sistema rientrano nell'obbligo: il Provvedimento riguarda gli accessi logici degli Amministratori di Sistema (e delle figure equivalenti, come i DBA e i tecnici con privilegi amministrativi) a:

  • Sistemi di elaborazione — server Windows e Linux, workstation amministrate, hypervisor, apparati gestiti con privilegi elevati;
  • Archivi elettronici — database aziendali (SQL Server, Oracle, MySQL, MariaDB, PostgreSQL), NAS e sistemi di storage che contengono dati personali;
  • Sistemi in cloud e in outsourcing — inclusi gli accessi dei fornitori esterni che operano come amministratori.

Ogni registrazione dovrebbe consentire di rispondere a quattro domande: chi (utenza amministrativa), quando (data e ora), da dove (postazione o indirizzo IP di origine) e su cosa (sistema o archivio di destinazione), includendo anche i tentativi di accesso falliti. Il Provvedimento non richiede invece di registrare i comandi o l'attività svolta durante la sessione: l'obbligo riguarda gli accessi, non il monitoraggio dell'operatività.

Come conservare i log per 6 mesi in 5 passi

Passo 1 — Censisci sistemi e Amministratori di Sistema

Prima di conservare, devi sapere cosa registrare. Mappa tutti i sistemi che trattano dati personali, identifica chi ha accessi privilegiati (interni ed esterni) e tieni aggiornato l'elenco degli AdS nominati. È la base documentale richiesta dal Provvedimento. Se ti affidi a un fornitore IT, ricorda che vanno individuate le persone fisiche che operano come amministratori: ne parliamo in Amministratore di Sistema in outsourcing.

Passo 2 — Centralizza la raccolta dei log

I log lasciati sui singoli server sono il primo errore di compliance: possono essere modificati o cancellati proprio da chi dovrebbero controllare. Serve un repository centralizzato — on-premise o in cloud — verso cui i sistemi inviano automaticamente gli eventi di accesso, tramite syslog, agent o forwarder.

Passo 3 — Garantisci l'inalterabilità

Il repository deve proteggere i log da modifiche e cancellazioni: accessi ristretti, separazione dei ruoli (l'AdS non deve poter alterare i propri log) e, per le esportazioni destinate ad audit e ispezioni, marca temporale certificata o firma digitale che attribuisca data certa e prova di integrità. Su cosa richieda davvero l'inalterabilità — senza esagerare in senso forense — vedi Inalterabilità degli access log AdS.

Passo 4 — Configura la retention di 6 mesi con cancellazione automatica

Imposta una retention di almeno sei mesi (alcune realtà scelgono 12 mesi per cautela, valutandola caso per caso) e soprattutto la cancellazione automatica dei log scaduti. Un piano di retention automatizzato evita sia la conservazione insufficiente sia quella eccedente rispetto al GDPR.

Passo 5 — Rendi i log consultabili per la verifica annuale

La verifica annuale sull'operato degli AdS richiede report leggibili ed esportabili. Prevedi la generazione di report (CSV o PDF) filtrabili per utente, periodo e sistema, da allegare al verbale di verifica. Su come strutturare quella verifica, con un modello di verbale, vedi Verifica annuale degli Amministratori di Sistema.

Gli errori più comuni da evitare

Errore Perché non va bene Come correggerlo
Log lasciati sui singoli server Modificabili dallo stesso AdS; nessuna inalterabilità Centralizzare su repository protetto
Conservazione senza scadenza Trattamento eccedente rispetto alla minimizzazione GDPR Retention configurata con cancellazione automatica
Registrare tutto, compresa l'attività dei dipendenti Rischio di violare l'art. 4 dello Statuto dei Lavoratori (controllo a distanza) Registrare solo gli accessi amministrativi previsti dal Provvedimento
Dimenticare database e NAS L'obbligo copre anche gli archivi elettronici, non solo i server Includere database e storage nel piano di raccolta
Nessuna verifica annuale documentata Il Provvedimento richiede la verifica dell'operato degli AdS Report periodici e verbale di verifica

Domande frequenti sulla conservazione dei log a 6 mesi

Cosa succede se conservo i log più di 6 mesi?

Conservare i log oltre il periodo necessario senza una base giuridica valida configura un trattamento eccedente rispetto al principio di minimizzazione del GDPR. Il periodo può essere esteso solo in casi particolari (indagini, ispezioni, contenziosi) o con previsione specifica nel contratto collettivo o nell'accordo sindacale.

I log devono essere conservati in chiaro?

No. Il Provvedimento richiede che siano completi, inalterabili e verificabili, ma possono essere protetti con cifratura e controllo degli accessi, purché restino consultabili in caso di verifica o ispezione.

Basta salvare i log su un file Excel o su un NAS?

No. Un file modificabile non garantisce l'inalterabilità richiesta. Serve un sistema che protegga i log da modifiche e cancellazioni, ad esempio con marca temporale certificata o archiviazione write-once.

Chi può accedere ai log conservati?

Solo i soggetti autorizzati dal titolare, ad esempio la funzione preposta alle verifiche. L'Amministratore di Sistema non dovrebbe poter modificare o cancellare i log che lo riguardano.

L'obbligo vale anche per i fornitori esterni?

Sì. Se un fornitore esterno (software house, MSP, consulente) opera con privilegi amministrativi su sistemi che trattano dati personali, anche i suoi accessi vanno registrati e conservati per almeno sei mesi.

Automatizza la conservazione a 6 mesi

Gestire manualmente raccolta, inalterabilità e cancellazione dei log richiede tempo e competenze. PrivacyLog registra gli accessi degli Amministratori di Sistema, li conserva in cloud in forma inalterabile e li cancella automaticamente allo scadere della retention, con report pronti per la verifica annuale. È progettato in modo che il repository resti separato dai sistemi amministrati, così l'AdS controllato non può alterare le proprie registrazioni. Puoi vedere i piani nella pagina Prezzi o capire come funziona nella pagina tecnica.

Il contenuto ha finalità informativa e non sostituisce una valutazione riferita alle caratteristiche della singola organizzazione.

Registra gli accessi in modo automatico

PrivacyLog traccia e conserva gli accessi degli Amministratori di Sistema come richiesto dal Garante Privacy.

Vedi i piani