Conservazione e cancellazione dei dati: ecco i requisiti normativi e le best practice

Nell’attuale contesto sempre più “data driven”, le aziende devono necessariamente dotarsi di una corretta gestione della conservazione dei dati e conseguente cancellazione: per farlo, è opportuno conoscere, oltre alla normativa nazionale ed europea, i diversi approcci per l’applicazione di adeguate tecniche di sicurezza dei dati, con riferimento agli ambienti di sviluppo, test, collaudo e produzione, ove risiedono i dati personali.

Proviamo, dunque, a fare una ricognizione di approcci in materia di requisiti di conservazione e cancellazione dei dati, per i principali processi aziendali, derivanti dalla normativa applicabile.

GDPR, una protezione tra rischi e pericoli per le persone fisiche e per l’economia

Conservazione e cancellazione dei dati: requisiti normativi

In relazione alla normativa nazionale in tema di conservazione e cancellazione dei dati, si evidenziano a titolo esemplificativo e non esaustivo alcuni riferimenti utili a guidare la determinazione delle logiche di Data Retention.

L’art. 2220 c.c. disciplina il mantenimento delle scritture contabili obbligatorie (10 anni). Si specifica, in particolare, che l’imprenditore debba conservare, fra l’altro, la corrispondenza commerciale ai sensi dell’art. 2220, comma 2, c.c. per un periodo di dieci anni dalla data dell’ultima registrazione.

Nell’ambito della valutazione posta in capo al Titolare, si può prendere in considerazione, in assenza di specifico obbligo normativo di conservazione dei dati, il termine di prescrizione decennale entro il quale un cliente può esperire azione giudiziaria nei confronti del Titolare medesimo (o viceversa; cfr. art. 2946 c.c. secondo il quale i diritti si estinguono per prescrizione decorsi dieci anni, salvo che la legge disponga diversamente).

In relazione alla normativa comunitaria, si riportano dei riferimenti utili a guidare la determinazione delle logiche di Data Retention.

Il Regolamento UE n. 679/2016 (GDPR) è la disciplina applicabile trasversalmente a tutti i trattamenti di dati personali a prescindere dalla tipologia del processo di un’organizzazione.

Nel Considerando 39, art. 5 lett. c), in particolare si evidenzia che “[…] i dati personali dovrebbero essere adeguati, pertinenti e limitati a quanto necessario per le finalità del loro trattamento. Da qui l’obbligo, in particolare, di assicurare che il periodo di conservazione dei dati personali sia limitato al minimo necessario […]. Onde assicurare che i dati personali non siano conservati più a lungo del necessario, il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica. È opportuno adottare tutte le misure ragionevoli affinché i dati personali inesatti siano rettificati o cancellati”.

L’art. 13 e 14, comma 2, lettera a) relativamente all’informativa e al principio di minimizzazione stabilisce che “[…] il titolare del trattamento fornisce all’interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente: a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo”.

Quanto al principio di limitazione, il Considerando 39, art. 5 lett. e) disciplina che: “i dati personali sono conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica”. Conservazione del dato sino a quando non si sono esaurite le finalità per le quali il dato stesso è stato raccolto o altrimenti trattato (art. 17 e Considerando 65 del Regolamento Europeo nr.679/2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali).

Approcci per l’applicazione delle misure di sicurezza

Vediamo, ora, quali sono i possibili approcci per applicare adeguate tecniche di sicurezza dei dati, con riferimento agli ambienti di sviluppo, test, collaudo e produzione, ove risiedono i dati personali.

La pseudonimizzazione dei dati

Esistono vari riferimenti utili in materia di pseudonimizzazione dei dati. Uno di questi può essere ad esempio la pubblicazione di ENISA su tecniche e buone pratiche di pseudonimizzazione (novembre 2019): il documento riporta una carrellata di tecniche utilizzabili per diverse casistiche e in diversi contesti.

Nonostante tutte le tecniche di pseudonimizzazione conosciute abbiano le loro proprie, ben chiare, caratteristiche intrinseche, ciò non rende, nella pratica, la scelta del giusto approccio un compito banale.

A tal fine è necessario un attento esame del contesto in cui applicare la pseudonimizzazione, considerando tutti gli obiettivi specifici della stessa (da chi proteggere le identità, qual è la funzionalità che si desidera raggiungere dagli pseudonimi ottenuti, e così via), così come la semplicità nella realizzazione.

Pertanto, per quanto attiene la scelta della tecnica di pseudonimizzazione più appropriata, può essere opportuno adottare un approccio basato sul rischio, in modo da valutare e limitare adeguatamente le relative minacce alla privacy, tenendo conto delle finalità e del contesto generale del trattamento dei dati personali, così come i livelli di funzionalità e di scalabilità che si intendono raggiungere.

Infatti, la semplice protezione dei dati aggiuntivi necessari per la re-identificazione, pur essendo un prerequisito, non garantisce necessariamente l’eliminazione di tutti i rischi.

Sarebbe opportuno che i fornitori di prodotti, servizi e applicazioni informino i Titolari del trattamento e i responsabili del trattamento dell’utilizzo delle tecniche di pseudonimizzazione e dei livelli di sicurezza e di protezione dei dati. Inoltre, è importante monitorare le iniziative promosse dalle autorità di regolamentazione (ad esempio le Autorità di controllo e il Comitato Europeo per la Protezione dei Dati) che potrebbero fornire 3 linee guida utili ai titolari e ai responsabili del trattamento dei dati personali circa la valutazione del rischio, promuovendo, al contempo, le buone pratiche in materia di pseudonimizzazione.

Vi sono alcuni approcci operativi attuabili per la pseudonimizzazione dei dati. Le pratiche svolte da istituti di credito/assicurazioni sono:

1. Crittografia con chiave segreta/Encryption/Cifratura. Metodo di criptazione dei dati, cambio di “semantic type”. Con il Data Encryption il dato diventa illeggibile ma sempre in maniera reversibile. Infatti, esiste una chiave di cifratura dell’algoritmo e questa può essere utilizzata per fare il “decrypting” dei dati. Use-case è la cancellazione logica di dati personali ma con possibilità di recupero di questi, se espressamente richiesto dal cliente. Può essere utilizzata anche per la cifratura di database applicativi (tenendo conto del rischio che si potrebbe verificare un peggioramento delle performance dell’applicazione a seguito dell’introduzione di tecniche quali la crittografia diretta sul dato contenuto nel singolo campo del DB). L’encryption può essere eseguita a diversi livelli dello stack infrastrutturale/ applicativo. È logicamente più sicura e trasparente se eseguita dal sistema di gestione dei dati.
2. Hashing (reversibile): il dato non risulta più riconoscibile neanche a livello di formato. È un processo molto simile a quello di Encryption.
3. Tokenizzazione: si tratta di una tecnica che si basa principalmente sull’applicazione di un meccanismo di crittografia univoca o sull’assegnazione, tramite funzione indicizzata, di un numero sequenziale o di un numero generato casualmente che non deriva matematicamente dai dati originali. Chi detiene l’associazione “token-dato reale” deve introdurre misure di sicurezza adeguate (quali la cifratura dell’informazione associativa) per garantire la sicurezza delle informazioni.
4. Shuffling: i dati vengono “mescolati”, ma restano all’interno del sistema informativo. Non adatto per i dati di produzione ma utile in particolare per ambienti di test/collaudo dove si stanno svolgendo ricerche statistiche o attività di “machine learning” sulla base dati. Tecnica non adatta tuttavia per eseguire un “test parallelo alla produzione”.
5. Mascheramento: tecnica che consente di cambiare, solitamente in visualizzazione, il contenuto di determinati dati in base al profilo associato all’utente. Il dato all’apparenza non cambia di formato e semantica, ma di fatto non è più valido ai fini identificativi. Il mascheramento è procedimento reversibile.

Verificare il funzionamento delle operazioni di pseudonimizzazione

Di seguito vengono esposti i controlli di primo, secondo e terzo livello per la verifica dell’effettivo funzionamento delle operazioni di pseudonimizzazione.

Con riferimento ai controlli di primo, secondo e terzo livello indicati nella 285, in caso di “crittografia del dato su una specifica colonna del DB relazionale” si può indicare:

1. con i controlli di primo livello si verifica delle permission per l’accesso ai dati crittografati;
2. con i controlli di secondo livello si verifica delle policy di protezione dei dati e rispondenza con l’attuazione della crittografia degli stessi negli ambienti identificati nelle policy;
3. con i controlli di terzo livello si verifica periodica della conformità alle policy di crittografia (nuovi dati da crittografare, ad esempio), revisione periodica delle permission.

Possono essere impostati dei controlli, ad esempio da parte del DPO, sulla corretta esecuzione delle attività sui dati stand-alone e verifica della quantità di dati non stand-alone non modificati, per verificare che non consentano l’identificazione dell’interessato.

Infine, si possono definire dei controlli da parte di Audit, nell’ambito delle attività di verifica pianificate.

Per supportare le attività di controllo, potrebbe essere utile incoraggiare l’utilizzo di tool interni o di mercato che permettano di:

1. consentire il mascheramento di dati personali e rilevanti per gli utenti di business;
2. fornire regole di mascheramento flessibili consentendo al personale IT di applicare differenti tipologie di logiche per differenti tipologie di dati utilizzati negli ambienti di test, collaudo e non produttivi;
3. attivare il mascheramento sull’interno database o su insiemi limitati di dataset;
4. definire regole e policy di mascheramento anche mediante algoritmi “out of the box” e/o personalizzati;
5. generare report di controllo prima che un dato venga mascherato in modo da verificarne l’esito prima della effettiva applicazione;
6. sostituire dati reali con dati verosimili preservando il tipo di dati e garantendo un utilizzo finale coerente ai vari casi d’uso;
7. l’anonimizzazione dei dati: ricognizione di possibili approcci per applicare adeguate tecniche di anonimizzazione dei dati, con riferimento agli ambienti di sviluppo, test, collaudo e produzione, ove risiedono i dati personali.

NOTE BIBLIOGRAFICHE

I temi affrontati nell’articolo vengono trattati più approfonditamente nel volume scritto dall’Avv. Ilenia Alagna e pubblicato da Giuffrè dal titolo “Diritto all’oblio e mancato oscuramento dei dati sensibili”, il quale si propone di definire, in maniera sistematica, i nuovi diritti della personalità nel web alla luce della normativa privacy, ovvero il diritto all’oblio e il diritto alla deindicizzazione applicati ai motori di ricerca ed il necessario bilanciamento con il diritto all’informazione.