Cancellazione difendibile: come distruggere i dati personali e conservarne la prova
Cancellazione difendibile significa distruggere i dati in un modo che puoi giustificare a posteriori. I dati vengono rimossi secondo una tempistica definita, e puoi comunque dimostrare cosa fossero, perché fossero idonei alla cancellazione, quando questa è avvenuta e che nulla di ciò che era sotto legal hold è finito nella pulizia.
Chiunque può cancellare un file. Il problema è che, una volta sparito il file, di solito sparisce con esso anche la prova che lo hai gestito correttamente. La cancellazione difendibile risolve il problema raccogliendo la prova prima che i dati scompaiano.
Perché cancellare e dimenticare non funziona
Cancellare e dimenticare non funziona perché la cancellazione è essa stessa un’azione di conformità, e il principio di responsabilizzazione dell’articolo 5(2) ti impone di dimostrare di averla eseguita correttamente. Una volta sparito il file, non ti resta nulla con cui dimostrarlo. La cancellazione non è una pulizia facoltativa: il GDPR ti spinge a cancellare i dati personali una volta esaurita la loro finalità, e l’articolo 5(1)(e) rende la conservazione eccessiva una violazione.
Ecco la trappola. Se il tuo processo è “cancella il file e vai avanti”, hai adempiuto al dovere di cancellazione e sei venuto meno al dovere di responsabilizzazione. Quando un ex dipendente presenta un reclamo a un’autorità di controllo, o un revisore esamina a campione la tua prassi di conservazione, la domanda non è “i dati sono spariti?”. È “dimostrami che hai cancellato la cosa giusta, nei tempi, e che hai lasciato tutto ciò che eri obbligato a conservare”. Cancellare e dimenticare non ha una risposta a questo.
I due modi in cui la cancellazione va storta
Cancellare troppo. Fai scadere un periodo di conservazione e ci finisce dentro un record che era sotto legal hold per una controversia in corso. Distruggere dati che avevi il dovere di preservare equivale a distruggere prove. Un processo difendibile verifica ogni hold prima di distruggere qualsiasi cosa, e blocca la distruzione se ce n’è uno attivo. L’hold stesso è applicato a livello di storage.
Cancellare senza prova. Cancelli correttamente ma non ne conservi alcuna registrazione. Due anni dopo non sei in grado di mostrare quali categorie hai cancellato, cosa hai conservato o perché. In pratica è come non aver mai cancellato nulla, perché non puoi dimostrarlo. Una responsabilizzazione che non puoi documentare è una responsabilizzazione che non hai.
La cancellazione difendibile è la disciplina che evita entrambi gli errori.
Cosa richiede la cancellazione difendibile
Cinque elementi devono essere presenti prima, durante e dopo la distruzione:
- Un fattore scatenante che puoi giustificare. La cancellazione è guidata da un piano di conservazione o da una valida richiesta di cancellazione ai sensi dell’articolo 17, non da una decisione estemporanea. Il motivo viene registrato.
- Una verifica del legal hold. Prima di distruggere qualsiasi cosa, il processo conferma che il record non è soggetto a un obbligo di conservazione. Se lo è, la distruzione viene bloccata e il blocco viene registrato.
- Una decisione circoscritta. Registri esattamente cosa viene distrutto e cosa viene conservato, per categoria, con la base giuridica per tutto ciò che viene trattenuto.
- La distruzione stessa. I dati vengono resi inutilizzabili, anche nei backup, secondo una tempistica definita, non con la promessa di una cancellazione istantanea che non raggiunge mai i backup.
- Un certificato dell’evento. Una registrazione datata che riporta tutto quanto sopra e sopravvive ai dati che descrive.
Se ne manca anche solo uno, la cancellazione smette di essere difendibile. Una distruzione senza verifica degli hold è avventata. Una distruzione senza certificato è invisibile.
Cancellare e dimenticare vs cancellazione difendibile
La differenza non sta nel fatto che i dati vengano cancellati. Sta in ciò che sopravvive alla cancellazione.
| Passaggio | Cancellare e dimenticare | Cancellazione difendibile |
|---|---|---|
| Fattore scatenante | Estemporaneo, quando qualcuno se ne accorge | Piano di conservazione o richiesta di cancellazione valida, registrati |
| Legal hold | Non verificato | Verificato, con distruzione bloccata se un hold è attivo |
| Ambito | L’intero file | Per categoria, con una base giuridica per tutto ciò che viene conservato |
| Distruzione | Cancella e vai avanti | Dati resi inutilizzabili secondo una tempistica definita, backup inclusi |
| Prova | Nessuna | Un certificato datato che sopravvive ai dati |
Cosa dovrebbe contenere un certificato di distruzione
Un certificato di distruzione è l’artefatto che conservi dopo che i dati sono spariti. È la prova, quindi deve reggersi da solo. Un certificato utile registra:
- Cosa è stato distrutto, identificato senza riprodurre i dati personali stessi. Un hash del contenuto o un identificativo pseudonimo lo fa bene: dimostra a quale record ti riferisci senza ricrearlo.
- Quando è stata decisa la distruzione e quando è stata completata, con un timestamp affidabile anziché un valore dell’orologio di sistema che chiunque potrebbe modificare.
- Perché il record era idoneo: la regola di conservazione o il motivo di cancellazione che l’ha attivata.
- Lo stato degli hold in quel momento, a dimostrazione che nulla di ciò che andava preservato è stato coinvolto.
- Il livello di garanzia, dichiarato onestamente. Un certificato che afferma più di quanto possa è peggio di nessun certificato, perché crolla la prima volta che qualcuno lo verifica. Un buon certificato dice esattamente cosa attesta e cosa no.
Quest’ultimo punto è quello che la maggior parte dei fornitori salta. Un certificato che dice “distrutto e verificato” senza spiegare come ha funzionato la verifica è un artefatto di marketing, non una prova. Un certificato che dichiara i propri limiti è un certificato su cui un revisore può davvero fare affidamento.
Come si collega a conservazione e cancellazione
La cancellazione difendibile è il livello esecutivo sotto due cose che devi già fare. Il tuo piano di conservazione HR stabilisce quando i dati possono essere cancellati. Il diritto alla cancellazione genera cancellazioni su richiesta tra quelle date programmate. La cancellazione difendibile è il modo in cui entrambe avvengono concretamente senza creare un vuoto di responsabilizzazione. Il meccanismo di legal hold che prevale su entrambe è applicato a livello di storage.
Il principio alla base di un Legal Evidence Pack vale anche qui: la prova deve essere raccolta nel momento dell’evento e deve essere verificabile da qualcuno che non era coinvolto.
Come SealDoc supporta la cancellazione difendibile
SealDoc conserva un hash SHA-256 di ogni documento e registra ogni evento del suo ciclo di vita in una traccia di audit a catena di hash, così qualsiasi modifica successiva è rilevabile e l’ordine degli eventi non può essere riscritto senza che si veda. L’API di SealDoc rifiuta di cancellare un documento entro il suo periodo di conservazione. Una volta che il periodo lo consente, una cancellazione su richiesta viene registrata nella stessa traccia di audit.
Tutto gira su infrastruttura UE senza alcun hyperscaler statunitense nel percorso, così la traccia di audit non diventa a sua volta un problema di trasferimento dei dati.