Scegliere una politica di conservazione

La domanda che sta dietro a "per quanto tempo dovremmo conservarlo"

Il principio di limitazione della conservazione del GDPR (art. 5, par. 1, lett. e) afferma che i dati personali dovrebbero essere conservati "per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati". È un vero obbligo legale, qualunque canale gestiate — ma "necessario" non si definisce da sé, e un'azienda che configura un canale da zero deve tradurlo in numeri concreti prima del primo giorno, non dopo che un revisore lo chiede. Il quadro seguente è come ragionare su quella traduzione; come lo ha implementato Provoxis è un esempio pratico, non l'unica risposta corretta.

L'esito di un caso dovrebbe determinare per quanto tempo viene conservato, non un'unica finestra generale

L'errore da evitare è scegliere un unico periodo di conservazione e applicarlo a tutto ciò che passa per il canale. Una questione che si rivela non avere nulla a che fare con il canale non ha bisogno della stessa conservazione di un accertamento fondato, e un accertamento fondato ancora oggetto di un procedimento legale o disciplinare attivo richiede di nuovo un trattamento diverso — cancellare prove che un'azienda è legalmente tenuta a conservare è un problema molto più grande che cancellarle qualche mese prima dell'ideale. Una progettazione della conservazione solida inizia chiedendosi cosa implichi davvero l'esito di un caso su per quanto tempo il registro conti ancora, non scegliendo un unico numero per ogni caso.

Una forma generale ragionevole, indipendente da qualsiasi fornitore specifico:

• Fuori ambito — una questione che non era realmente qualcosa che questo canale avrebbe dovuto gestire. Una conservazione breve è difendibile; c'è poco scopo continuativo nel conservarla a lungo.
• Un caso fondato senza procedimenti in corso — conservato per una finestra pluriennale significativa, abbastanza lunga da essere utile come registro se lo stesso schema si ripete o una pretesa viene sollevata in seguito, abbastanza breve da non essere conservata indefinitamente per default.
• Un caso soggetto a un procedimento legale o disciplinare attivo o ragionevolmente prevedibile — conservato indefinitamente, o almeno finché quel procedimento non si conclude davvero, e mai soggetto a cancellazione automatica nel frattempo. È qui che l'esenzione del GDPR dal diritto alla cancellazione per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria (art. 17, par. 3, lett. e) diventa direttamente rilevante — vedere la sezione sul legal hold più sotto per come viene esercitata caso per caso, al di sopra di qualunque piano seguano gli altri livelli.

Come lo ha implementato oggi Provoxis

I valori predefiniti di Provoxis seguono esattamente questa forma. Quando un gestore del caso chiude un caso, registra l'esito (Fondato, Parzialmente fondato, Infondato o Segnalato esternamente) e, separatamente, quale livello di conservazione si applica — i due sono indipendenti, quindi un caso Infondato può comunque trovarsi nello stesso livello di uno Fondato:

• Fuori ambito — conservato 60 giorni dopo la chiusura, poi idoneo alla cancellazione automatica.
• Standard — il livello predefinito per un caso fondato senza procedimenti in corso. La durata dipende dal paese di registrazione del vostro account: dove la legge nazionale di quel paese di recepimento della direttiva fissa un periodo specifico, Provoxis lo utilizza — abbiamo trovato valori che vanno da 3 mesi (Cipro) a 5 anni (Italia, tra gli altri) nell'UE, con Germania e Polonia entrambe a 3 anni. Dove la legge di un paese non fissa un periodo specifico, il valore predefinito è 5 anni. In entrambi i casi, una volta trascorso il periodo il caso diventa idoneo alla cancellazione automatica.
• Procedimento disciplinare o legale — per un caso in cui i procedimenti sono ancora in corso. Conservato indefinitamente; mai cancellato automaticamente. L'unico modo per uscire da questo livello è che un gestore del caso lo riapra una volta che i procedimenti si concludono davvero e scelga un livello diverso quando viene richiuso.

Le finestre di "Fuori ambito" e "Procedimento disciplinare o legale" sono fisse e si applicano allo stesso modo per ogni azienda che oggi usa Provoxis; la finestra Standard viene invece determinata automaticamente in base al paese di registrazione del vostro account, anziché essere qualcosa che configurate voi stessi. È una posizione di partenza deliberata, non una lacuna: i valori predefiniti — inclusa la cifra specifica per paese — sono costruiti per soddisfare il principio di limitazione della conservazione fin dal momento in cui un canale va live, invece di lasciare che un'azienda progetti da zero il proprio piano prima di poter essere conforme dal primo giorno. Se il vostro ragionamento porta a numeri diversi da questi specifici, è un esito legittimo dell'applicare voi stessi il quadro sopra descritto — il quadro conta più che far coincidere le cifre esatte con quelle di Provoxis.

L'override di cui ogni quadro ha bisogno: il legal hold

Qualunque sia il piano a cui arrivate, una cancellazione automatica che agisce senza controllo su un caso soggetto a un procedimento legale attivo o ragionevolmente prevedibile sarebbe un problema reale, non un semplice fastidio — e l'esenzione dell'art. 17, par. 3, lett. e) del GDPR esiste proprio perché la conservazione possa prevalere sul piano predefinito quando questo accade. In Provoxis, un amministratore applica un hold — è richiesto un motivo, ed è registrato — e il caso viene escluso del tutto dalla cancellazione automatica, indipendentemente dal livello in cui si trova effettivamente. Anche rimuovere un hold richiede un motivo ed è registrato allo stesso modo; solo una volta rimosso il caso torna a essere governato di nuovo dal proprio livello.

Separatamente, un amministratore del tenant può cancellare manualmente su richiesta i dati di un caso — per dare seguito, ad esempio, a una richiesta di cancellazione di un interessato non coperta dall'esenzione per le pretese legali. Questo è del tutto bloccato mentre un legal hold è attivo: il hold deve prima essere esplicitamente rimosso, il che è a sua volta un'azione registrata, così un hold non può mai essere aggirato silenziosamente con una cancellazione manuale.

Base giuridica

• Art. 5, par. 1, lett. e), GDPR — il principio di limitazione della conservazione: dati personali conservati non più a lungo di quanto necessario per la finalità per cui sono stati trattati.
• Art. 17, par. 3, lett. e), GDPR — l'esenzione dal diritto alla cancellazione per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria, la base su cui il legal hold prevale sulla cancellazione automatica.