Perché un'azienda ha bisogno di un concetto di cancellazione?
I dati personali possono essere trattati solo per il tempo richiesto dallo scopo. Il GDPR richiede inoltre di poter dimostrare il rispetto di questi principi (art. 5 cpv. 2 GDPR). Senza un concetto resta aperto che cosa cancellare e quando – e nessuno può dimostrarlo.
Un concetto di cancellazione ripaga anche al di fuori dell'ufficio legale: meno dati significano meno danni in caso di violazione della sicurezza dei dati, risposte più rapide alle richieste di accesso e minori costi di archiviazione e migrazione.
Com'è strutturato un concetto di cancellazione?
Gli elementi costitutivi si sono affermati con la DIN 66398 e si ritrovano nella ISO/IEC 27555:
| Elemento | Contenuto |
|---|---|
| Tipi di dati | Gruppi di dati con lo stesso scopo e lo stesso termine, per esempio dati contrattuali o documenti di candidatura. |
| Termine di cancellazione | Per quanto tempo i dati vengono conservati, con motivazione e base giuridica. |
| Momento di decorrenza | Da quale evento decorre il termine, per esempio dalla fine del contratto o dalla chiusura di un caso. |
| Classi di cancellazione | Combinazioni di termine e momento di decorrenza; più tipi di dati condividono una classe. |
| Eccezioni | Quando le cancellazioni vengono sospese, per esempio in caso di controversia legale o indagine (legal hold). |
| Responsabilità | Chi stabilisce, approva, attua e controlla i termini. |
| Attuazione per sistema | Come si cancella, anonimizza o archivia in ciascun sistema. |
Che cosa cambia con la ISO/IEC 27555?
Il metodo resta: tipi di dati, classi di cancellazione e termini di cancellazione standard, cioè il termine predefinito per ogni classe di cancellazione. La novità è il quadro internazionale. La ISO/IEC 27555 appartiene alla famiglia di norme ISO/IEC 27000 e si inserisce quindi nei sistemi di gestione esistenti per la sicurezza delle informazioni e la protezione dei dati.
Chi ha già un concetto di cancellazione secondo la DIN 66398 non deve ricominciare da capo. Conviene, alla prossima revisione, adeguare termini e rinvii alla nuova norma.
Perché i concetti di cancellazione falliscono nella pratica?
Raramente per il metodo, quasi sempre per l'attuazione:
- Il concetto esiste come documento, ma i sistemi non cancellano.
- Le dipendenze tra applicazioni vengono trascurate: un cliente è cancellato in un sistema e ancora collegato nell'altro.
- Nessuno riceve un riscontro sul fatto che la cancellazione sia davvero avvenuta.
- I termini cambiano, i sistemi non vengono adeguati.
- Le eccezioni vengono gestite via e-mail e cadono nel dimenticatoio.
Dal concetto alla cancellazione dimostrata
Un concetto di cancellazione diventa efficace quando è collegato ai sistemi:
- 1Gestire e approvare i termini con motivazione e base giuridica in un registro dei termini di conservazione.
- 2Trasmettere i termini approvati e i blocchi della cancellazione a un sistema centrale di coordinamento delle cancellazioni.
- 3Le applicazioni segnalano quali record hanno raggiunto il loro termine.
- 4La cancellazione avviene nella sequenza corretta, con verifiche e – dove necessario – approvazioni.
- 5Ogni applicazione comunica che cosa ha cancellato. Da qui nasce la prova.