Perché un'azienda deve sapere dove si trovano i dati personali?
Quasi ogni obbligo del diritto della protezione dei dati presuppone questa conoscenza. Il registro delle attività di trattamento (art. 12 LPD, art. 30 GDPR) descrive quali dati vengono trattati e dove. Una risposta a una richiesta di accesso (art. 25 LPD, art. 15 GDPR) deve comprendere tutti i dati di una persona. E i dati personali vanno cancellati o anonimizzati non appena non sono più necessari per lo scopo (art. 6 cpv. 4 LPD, art. 5 cpv. 1 lett. e GDPR).
Chi considera solo i sistemi noti trascura copie, esportazioni e vecchi archivi. Proprio lì si trovano spesso i dati più delicati – e i rischi maggiori in caso di violazione della sicurezza dei dati.
Dove si trovano tipicamente i dati personali?
Nei panorami IT cresciuti nel tempo i dati personali non si trovano solo nelle applicazioni specialistiche:
- Applicazioni specialistiche e relative banche dati, per esempio per clienti, contratti, personale o casi.
- Cartelle di file con esportazioni, elenchi, tabelle e documenti scansionati.
- Caselle di posta in cui i documenti circolano come allegati.
- SharePoint, OneDrive e Teams – spesso condivisi più ampiamente del previsto.
- Ambienti di test e di analisi con copie di dati di produzione.
- Servizi di IA: prompt, cronologie delle chat e trascrizioni di riunioni.
Quali informazioni sono considerate dati personali?
I dati personali non sono solo nomi. Ne fanno parte anche gli identificativi tramite i quali si può identificare una persona. Una panoramica:
| Tipo | Esempi |
|---|---|
| Identificativi | Numero AVS, IBAN, numero di documento d'identità, di assicurato, di cliente e di polizza |
| Persona e contatto | Nome, indirizzo, data di nascita, indirizzo e-mail, numero di telefono, numero del personale |
| Degni di particolare protezione (art. 5 lett. c LPD) | Salute, opinioni religiose, filosofiche o politiche, attività sindacali, sfera intima, origine etnica, dati genetici, dati biometrici che identificano in modo univoco una persona, perseguimenti e sanzioni amministrativi e penali, misure d'assistenza sociale |
Il GDPR prevede un elenco simile, le «categorie particolari di dati personali» (art. 9 GDPR).
Come si trovano i dati personali in modo affidabile?
La ricerca diventa affidabile solo combinando più metodi. Le regole riconoscono identificativi con struttura fissa, per esempio il numero AVS o un IBAN. Un riconoscimento per il testo libero trova nomi e indirizzi. Il riconoscimento del testo rende ricercabili i documenti scansionati. Modelli di ricerca propri completano ciò che esiste solo nella propria azienda, per esempio numeri di cliente o di contratto.
Altrettanto importante è come si gestiscono i risultati: i falsi positivi devono poter essere soppressi in modo permanente, e le ricerche ripetute dovrebbero mostrare che cosa si è aggiunto e che cosa è scomparso. E poiché la ricerca legge i contenuti, deve avvenire nel proprio ambiente – per questo i dati non dovrebbero lasciare l'azienda.
Data Discovery: che cosa deve saper fare uno scanner
Gli strumenti di data discovery e classificazione sono molti. Per la protezione dei dati contano soprattutto questi punti:
- Ampiezza delle fonti: cartelle di file, banche dati e Microsoft 365, non solo un singolo sistema.
- Identificativi svizzeri ed europei, non solo americani.
- Sola lettura: nelle fonti non viene modificato nulla.
- Salvare i rilevamenti, non i contenuti.
- Confermare i rilevamenti o sopprimerli come falsi positivi – e mantenere la decisione nella ricerca successiva.
- Riutilizzare i rilevamenti: per il registro, per le richieste di accesso e per la cancellazione.