Il GDPR non fissa un numero: impone il principio di limitazione della conservazione – tieni i dati (e gli IP nei log sono dati personali) solo per il tempo necessario allo scopo, e sappi dimostrare il perché. In pratica si stratifica:
- log tecnici/di sicurezza: settimane o pochi mesi, salvo indagini in corso
- log rilevanti per obblighi di legge (es. NIS2, fiscali): il periodo che la norma richiede – e qui serve anche integrità dimostrabile
- tutto il resto: anonimizzazione o cancellazione programmata
Il Garante italiano è intervenuto più volte su log conservati "per sempre e senza motivo". La combinazione che regge un audit: retention automatica + immutabilità verificabile – per i log Cloudflare è il mestiere di RainLogs (WORM su storage UE, catena di hash, policy es. 395 giorni).