Quali tipi di software per la protezione dei dati esistono?
Il concetto è ampio. La maggior parte degli strumenti rientra in uno o più di questi tipi:
| Tipo | A che cosa serve | Dove si ferma |
|---|---|---|
| Consensi e cookie | Raccogliere e gestire i consensi su siti web e app | riguarda solo i dati raccolti tramite questi canali |
| Documentazione e registri | Registro delle attività di trattamento, valutazioni d'impatto, direttive, questionari | descrive gli obblighi, ma non li attua nei sistemi |
| Trovare e classificare | Individuare i dati personali in cartelle di file, banche dati e servizi cloud | mostra dove si trovano i dati – ma non cancella ancora nulla |
| Richieste delle persone interessate | Registrare le richieste di accesso e di cancellazione, sorvegliare i termini, rispondere | spesso senza ricerca nei propri sistemi e senza cancellazione |
| Cancellazione in più sistemi | Cancellare i dati giunti a scadenza nei sistemi centrali, nei sistemi periferici e negli archivi, e dimostrarlo | richiede il collegamento dei sistemi |
| Dati dell'IA | Controllare prompt, trascrizioni e risultati dell'IA memorizzati | non sostituisce una governance generale dell'IA |
| Trasmissione protetta | Trasmettere dati mascherati o pseudonimizzati, per esempio per test o per l'IA | vale quanto il riconoscimento dei dati personali |
La distinzione più importante: documentare o attuare
Molti strumenti fissano che cosa deve accadere: quali dati vengono conservati e per quanto tempo, chi è responsabile, quali misure valgono. È necessario – ma non cancella un solo record.
Se un obbligo è adempiuto si decide nei sistemi: se i dati giunti a scadenza sono stati davvero cancellati, se una risposta a una richiesta di accesso è completa, se i dati vengono trasmessi solo in forma pseudonimizzata. Chi deve presentare prove alla revisione e all'autorità di vigilanza ha quindi bisogno di strumenti che agiscono nei sistemi e registrano ogni passo.
Le due cose non si escludono: la documentazione fornisce le prescrizioni, uno strumento operativo le attua e riferisce che cosa è stato fatto.
Suite o strumenti singoli?
Una suite copre più tipi, uno strumento singolo uno solo. Entrambi hanno vantaggi e svantaggi:
| Criterio | Suite | Strumenti singoli |
|---|---|---|
| Interazione | rilevamenti, termini e prove fluiscono senza un progetto di interfaccia a sé | necessarie interfacce tra gli strumenti |
| Avvio | buono se i moduli si possono concedere in licenza singolarmente | mirato a un singolo problema |
| Costi | spesso più convenienti non appena si vogliono coprire più compiti | bassi per uno strumento, in aumento con ogni strumento aggiuntivo |
| Dipendenza | da un solo fornitore | da più fornitori e dalle loro interfacce |
| Utilizzo | un'unica interfaccia utente, un unico modello di ruoli | per ogni strumento interfaccia utente e diritti propri |
Conta meno il numero di funzioni che la possibilità di iniziare da ciò che oggi è urgente – e di ampliare in seguito senza ricominciare da capo.
Criteri di scelta
Queste domande aiutano a confrontare i fornitori:
- Il software arriva fino ai vostri sistemi – anche ai vecchi sistemi centrali, agli archivi e agli sviluppi interni?
- Dove funziona: nel vostro data center, nel vostro cloud o presso il fornitore? Quali dati lasciano la vostra azienda?
- Fornisce prove accettate dalla revisione e dall'autorità di vigilanza – per esempio un registro per ogni ciclo di cancellazione?
- Copre gli obblighi che valgono per voi, per esempio secondo la LPD svizzera e il GDPR?
- Esistono ruoli e approvazioni, in modo che i passi delicati non possano essere avviati da una sola persona?
- I moduli si possono concedere in licenza singolarmente e aggiungere in seguito?
- Quanto dura l'introduzione, e chi vi supporta?
- Gli specialisti della protezione dei dati, dell'IT e della revisione capiscono l'interfaccia utente senza lunghe formazioni?
Domande da porre a ogni fornitore
Una demo mostra che cosa sa fare un software. Queste domande mostrano se fa al caso vostro:
- «Mostratemi una cancellazione in un sistema come il nostro – e la relativa prova.»
- «Quali dei nostri dati lasciano la nostra azienda, e verso dove?»
- «Come si collega un sistema per il quale non esiste un connettore pronto?»
- «Che cosa vedono la revisione e l'autorità di vigilanza quando chiedono prove?»
- «Da che cosa possiamo iniziare, e quanto costa l'ampliamento?»
- «Dove è oggi in produzione il vostro software?»
Come procedere nella scelta
- 1Inventario: dove si trovano i dati personali, quali obblighi sono aperti, che cosa è urgente?
- 2Definire i requisiti – con il problema più urgente come metro di misura
- 3Demo con i vostri casi invece che con slide standard
- 4Proof of Concept nel vostro ambiente, con criteri di successo concordati in anticipo
- 5Introduzione graduale, iniziando da un modulo o da un sistema
Errori frequenti
- acquistare in base alla lunghezza dell'elenco delle funzioni invece che al problema più urgente
- limitarsi a documentare e rimandare l'attuazione
- chiarire il luogo di esercizio solo dopo l'acquisto
- voler introdurre tutti i moduli in una volta
- sottovalutare l'onere per il collegamento dei propri sistemi