Perché cancellare in panorami cresciuti nel tempo è così difficile?
Una cliente compare nel sistema centrale, nel sistema sinistri o dei casi, nella contabilità, nel CRM e nell'archivio. I sistemi provengono da produttori diversi, alcuni hanno decenni, e i dati dipendono l'uno dall'altro: un contratto rimanda a una persona, un pagamento a un contratto.
Se ogni sistema cancella per conto proprio, nascono lacune e contraddizioni. Alcuni sistemi hanno motivi propri per conservare i dati più a lungo. E senza riscontro, alla fine nessuno sa se i dati sono davvero spariti ovunque. Una cancellazione manuale per ogni sistema è costosa e difficilmente dimostrabile.
Che cosa deve saper fare un sistema di coordinamento delle cancellazioni?
| Requisito | Perché |
|---|---|
| Sequenza corretta | I dati dipendenti vengono cancellati per primi; da nessuna parte resta un riferimento a dati già cancellati. |
| Obiezioni | Un'applicazione può opporsi perché ha ancora bisogno dei dati. |
| Blocchi della cancellazione | Un legal hold sospende le cancellazioni per singoli casi, per esempio in caso di controversia legale. |
| Approvazioni | Dove il rischio lo richiede, una persona autorizzata approva la cancellazione prima che venga eseguita. |
| Riscontro | Ogni applicazione conferma che cosa ha cancellato. |
| Monitoraggio | Se un riscontro non arriva, scatta un avviso. |
| Registro | Una prova per ogni ciclo di cancellazione per la revisione e l'autorità di vigilanza. |
Coordinare centralmente, cancellare in modo decentrato
Ogni applicazione conosce meglio di chiunque la propria struttura dei dati e la propria logica applicativa. Per questo dovrebbe cancellare da sé – tramite le sue funzioni di cancellazione esistenti. Il coordinamento centrale non interviene nelle banche dati, ma stabilisce che cosa viene cancellato e quando, verifica e raccoglie i riscontri.
Le applicazioni vengono collegate tramite un'interfaccia aperta, per esempio REST, o tramite messaggi, per esempio con Azure Service Bus. Così si possono collegare le applicazioni passo dopo passo, senza cambiare tutto in una volta.
Cancellare, anonimizzare o archiviare?
Non ogni applicazione deve reagire allo stesso modo. A seconda del tipo di dati e dell'obbligo si cancella, si anonimizza – per esempio quando i dati servono per statistiche – o si archivia, quando un obbligo di conservazione è ancora in corso. Un buon sistema di coordinamento permette di stabilirlo per ogni applicazione e registra che cosa è successo di volta in volta.
Dalla pratica
Presso Pax, l'assicurazione previdenziale svizzera con sede a Basilea, Espresso Data Privacy cancella dal 2024 in modo automatizzato su sistemi SAP e non SAP – con catene di cancellazione che tengono conto delle dipendenze tra applicazioni e oggetti di business.