Audit logging: mantenere un registro difendibile

Perché merita una trattazione a sé, non solo una menzione altrove

Il logging di audit ricorre in tutta questa base di conoscenza come dettaglio a supporto — un legal hold viene registrato, la risoluzione di una segnalazione di ritorsione viene registrata, una cancellazione viene registrata. Ciò che non viene detto direttamente da nessun'altra parte è perché quella registrazione sia la cosa che conta davvero, non l'azione a cui è collegata. Il principio di responsabilizzazione del GDPR (art. 5, par. 2) non richiede solo che un'azienda rispetti la normativa sulla protezione dei dati — richiede di poterlo dimostrare, e l'art. 24 traduce questo in un obbligo concreto di attuare misure che rendano possibile dimostrarlo. Un registro di quanto accaduto, tenuto onestamente, è ciò che trasforma "abbiamo gestito questo correttamente" da un'affermazione in qualcosa che si può effettivamente mostrare.

Cosa deve davvero registrare un registro difendibile

Il test utile per qualsiasi registro di controllo, qualunque sia la piattaforma che lo produce: qualcuno esterno all'azienda — un'autorità di regolamentazione, un tribunale, un dipendente che ritiene di essere stato trattato ingiustamente — potrebbe ricostruire da esso cosa è successo e quando, senza doversi fidare della parola di nessuno? In genere questo significa registrare, per ogni azione rilevante:

• Chi l'ha fatto. Non "un gestore del caso", ma una persona o un account specifico e attribuibile.
• Quando. Una marca temporale reale, non un ricordo approssimativo ricostruito in seguito.
• Cosa è cambiato. L'effettivo prima e dopo, non solo il fatto che qualcosa sia accaduto.
• Perché, per qualsiasi cosa abbia comportato una valutazione discrezionale. Un cambio di stato o un aggiornamento di routine potrebbe non richiedere un motivo allegato — ma un legal hold, una cancellazione o la risoluzione di un episodio di ritorsione sì, perché sono esattamente le azioni su cui qualcuno potrebbe in seguito chiedere "perché l'avete fatto". Vedere quando applicare un legal hold e gestire una segnalazione di ritorsione per due esempi concreti di decisioni che richiedono un motivo a verbale, non solo una marca temporale.

La lacuna che hanno la maggior parte dei registri: chi ha guardato, non solo chi ha modificato

Un registro che cattura solo le modifiche — cambi di stato, note aggiunte, un esito registrato — trascura metà di ciò che la riservatezza richiede davvero. L'obbligo di sicurezza del canale dell'art. 9(1)(a) riguarda la prevenzione dell'accesso da parte del personale non autorizzato, il che significa che chi ha visualizzato un caso è un fatto rilevante ai fini della riservatezza tanto quanto chi lo ha modificato. Se un'azienda può dimostrare chi ha modificato un caso ma non chi lo ha visualizzato, non può effettivamente rispondere alla domanda che un'indagine su una violazione della riservatezza porrebbe per prima: chi ha avuto occhi su questo. Un registro difendibile copre l'accesso, non solo le modifiche.

Il registro è ciò che assolve l'onere, non solo lo sostiene

Questo conta più concretamente proprio nella situazione trattata in cosa si intende per ritorsione: una volta che chi segnala dimostra di aver effettuato una segnalazione e di aver poi subito un pregiudizio, l'art. 21(5) presume che quel pregiudizio sia stato ritorsivo, ed è onere dell'azienda dimostrare il contrario. A quel punto, un registro documentato e con marca temporale del perché è stata presa una decisione non è un elemento accessorio a sostegno della posizione dell'azienda — è l'unica cosa che può assolvere quell'onere. Un'azienda che si affida alla memoria, o a messaggi Slack informali che nessuno ha pensato di conservare, sta cercando di dimostrare a posteriori un fatto negativo senza nulla costruito appositamente per lo scopo.

Come lo ha implementato Provoxis

Provoxis registra ciascuna di queste azioni — applicare o rimuovere un legal hold, segnalare o risolvere un episodio di ritorsione, cancellare una segnalazione — come voce del registro di controllo creata nella stessa transazione di database dell'azione stessa. È una garanzia strutturale, non procedurale: il sistema è costruito in modo che l'azione non possa mai riuscire senza un corrispondente registro di chi l'ha fatta, quando e perché, invece che la registrazione sia un passaggio separato che potrebbe fallire, essere saltato o aggiunto a posteriori. Un'azienda che gestisce il proprio processo sopra una casella di posta condivisa o un foglio di calcolo si affida al fatto che qualcuno si ricordi di prendere nota — un registro difendibile non dovrebbe dipendere da questo.

Base giuridica

• Art. 5, par. 2, GDPR — il principio di responsabilizzazione: il titolare del trattamento deve poter dimostrare la conformità, non solo rispettarla.
• Art. 24, GDPR — l'obbligo di attuare misure che rendano possibile dimostrare la conformità.
• Art. 21(5), Direttiva (UE) 2019/1937 — l'inversione dell'onere della prova che un registro documentato è ciò che effettivamente assolve.