Perché serve una prova di cancellazione?
Secondo il GDPR un'azienda non deve solo rispettare i principi, ma anche poterlo dimostrare (responsabilizzazione, art. 5 cpv. 2 GDPR). La LPD non prevede una disposizione analoga. Ma al più tardi in occasione di una verifica da parte della revisione o dell'autorità di vigilanza, di un reclamo o dopo una richiesta di cancellazione, anche in Svizzera conta ciò che si può dimostrare.
Che cosa deve contenere un registro di cancellazione?
Un registro significativo risponde a che cosa è successo, quando, dove, perché e su iniziativa di chi:
- Ciclo di cancellazione o ordine con identificativo e momento.
- Base: termine scaduto o richiesta di cancellazione.
- I sistemi interessati.
- Il risultato per ogni sistema: cancellato, anonimizzato, archiviato – o non cancellato, con motivo.
- Il numero di record interessati.
- Approvazioni e interventi con persona, ruolo e momento.
- Eccezioni come blocchi della cancellazione e obiezioni.
Che cosa non deve contenere?
I contenuti cancellati stessi – altrimenti il registro sarebbe una copia di ciò che doveva essere cancellato. E non più dati personali del necessario: dove serve una prova per una determinata persona, di solito basta un identificativo interno invece del nome. L'accesso al registro resta strettamente limitato.
Perché una tabella non basta
Una tabella o un ticket mostra l'ordine, non l'effetto. Viene compilata a mano, è spesso incompleta e si può modificare a posteriori. Soprattutto manca il riscontro dei sistemi: se i dati sono stati davvero cancellati, lì non c'è scritto.
Le prove solide nascono automaticamente dai riscontri dei sistemi che hanno cancellato e vengono archiviate in modo centrale e protetto.
Per quanto tempo si conserva una prova di cancellazione?
Non esiste un termine legale. Determinante è lo scopo: la prova serve finché sono prevedibili verifiche, reclami o pretese. Questo termine va inserito nel concetto di cancellazione – e alla sua scadenza viene cancellata anche la prova.