Conservare i dati a tempo indeterminato è una responsabilità. Le leggi sulla privacy richiedono di eliminare i dati quando non ti servono più. Questo capitolo tratta le policy di conservazione (per quanto tempo tenere i dati) e i processi di eliminazione (come gestire le richieste degli utenti e le pulizie di sistema).
Perché le policy di conservazione dei dati contano
Obbligo di legge
Il GDPR e leggi simili richiedono policy di conservazione dei dati. Devi eliminare i dati dopo aver raggiunto lo scopo dichiarato. «Tenere i dati per sempre, non si sa mai» viola i principi di minimizzazione dei dati ed espone a sanzioni.
Vantaggio operativo
I dati più vecchi servono meno. Un evento di 2 anni fa raramente influenza le decisioni di oggi. Eliminare i vecchi dati riduce i costi di archiviazione, semplifica i backup e riduce l'esposizione in caso di violazione (un insieme di dati più piccolo da esporre).
Aspettative degli utenti
Gli utenti si aspettano che elimini i loro dati quando non servono più. Un'app di liste di cose da fare nel cloud dovrebbe eliminare le tue attività quando chiudi l'account, non tenerle all'infinito. Policy di eliminazione chiare creano fiducia.
Definire le policy di conservazione
Quali dati? Per quanto tempo?
Tipi di dati diversi hanno esigenze di conservazione diverse:
Eventi di analisi: 12 mesi è la norma. Dopo un anno, gli eventi storici si analizzano di rado. Se ti serve più tempo, 24 mesi è ragionevole. Non tenerli per sempre.
Dati degli account dei clienti: Conservali finché l'account è attivo. Eliminali 90 giorni dopo la chiusura dell'account (lascia un margine per il recupero). Non conservarli a tempo indeterminato.
Ticket di assistenza: Conservali per 2-3 anni (termine di prescrizione per le controversie). Poi eliminali.
Documenti finanziari: Conservali per 7 anni (obblighi fiscali e legali). Poi eliminali.
Liste di marketing: Conservale finché il cliente è nella lista. Elimina i dati 30 giorni dopo la disiscrizione.
Conservazione più lunga per casi d'uso specifici
Alcuni dati possono richiedere una conservazione più lunga: rilevamento delle frodi (da tenere come traccia di audit), controversie legali (da tenere fino alla risoluzione), conformità normativa (varia per settore). Sono eccezioni. La regola di base deve essere: elimina appena i dati non servono più.
Documentare la tua policy
Scrivi la tua policy di conservazione: quali tipi di dati, il periodo di conservazione per ciascuno, la base giuridica della conservazione. Mettila a disposizione degli utenti nell'informativa sulla privacy. «Conserviamo i tuoi dati per X mesi, poi li eliminiamo.» La trasparenza crea fiducia.
Automatizzare l'eliminazione
Attività di eliminazione programmate
Imposta attività automatiche che girano con una cadenza (mensile, trimestrale) per eliminare i dati oltre la data di conservazione. Esempio: un'attività che elimina tutti gli eventi di analisi più vecchi di 12 mesi. Falla girare in automatico, così l'eliminazione non è manuale né dimenticata.
Eliminazione attivata da eventi
Alcune eliminazioni sono attivate da eventi: quando un utente chiude l'account, elimini i suoi dati. Quando un utente si disiscrive, elimini la sua email. Imposta flussi automatici che eliminano quando si verificano certi eventi.
Registrare le eliminazioni
Registra quando i dati vengono eliminati (quali dati, quando, perché). Si crea così una traccia di audit. Se le autorità chiedono perché mancano certi dati, puoi mostrare che sono stati eliminati secondo la policy, non nascosti.
Gestire le richieste di eliminazione degli utenti
Il diritto all'oblio
Il GDPR dà alle persone il «diritto all'oblio». Gli utenti possono chiedere l'eliminazione dei loro dati personali. Hai 30 giorni per rispondere (con eccezioni per gli obblighi di legge). Significa che devi poter eliminare i dati di un utente su richiesta.
Impostare i flussi di eliminazione
Passo 1: ricevi la richiesta. L'utente invia la richiesta di eliminazione tramite un modulo di assistenza o le impostazioni dell'account.
Passo 2: verifica l'identità. Conferma che la richiesta arrivi dal titolare dell'account (non una richiesta falsa).
Passo 3: individua i dati. Trova tutti i dati legati a questo utente: account, eventi di analisi, ticket di assistenza, liste email, backup.
Passo 4: elimina. Rimuovi dai sistemi attivi e dai backup. Conferma l'eliminazione per iscritto all'utente.
Passo 5: registra. Documenta l'eliminazione: chi l'ha richiesta, quando, cosa è stato eliminato.
Eccezioni all'eliminazione
Non sei obbligato a eliminare se: hai un obbligo di legge di conservare i dati (documenti fiscali, ordini del tribunale), ti servono per uno scopo dichiarato ancora in corso, oppure l'utente ha acconsentito a un ulteriore trattamento dopo la richiesta di eliminazione. Ma sono eccezioni. La regola è eliminare quando richiesto.
Difficoltà nell'applicazione
Dati distribuiti
I dati degli utenti sono spesso sparsi in più sistemi: database attivo, backup, servizi di terze parti (fornitori di analisi, provider email), portatili dei dipendenti. Trovare tutti i dati da eliminare è complesso. Soluzione: tieni un inventario dei dati. Sappi dove vivono i dati degli utenti. Inserisci i requisiti di eliminazione negli accordi con i fornitori.
Conservazione dei backup
I backup contengono dati degli utenti anche dopo l'eliminazione dai sistemi attivi. Per quanto tempo tieni i backup? Probabilmente non puoi ripristinare ogni giorno da backup di 3 anni fa, ma i blocchi legali potrebbero richiedere di conservarli. Chiarisci: i backup possono essere tenuti più a lungo dei dati attivi, ma prima o poi vanno eliminati anche loro.
Dati anonimizzati
I dati davvero anonimizzati non sono coperti dai diritti di eliminazione (non sono dati personali). Ma la maggior parte dei dati «anonimizzati» è in realtà aggregata o pseudonimizzata (reversibile). Se puoi reidentificarli, sono dati personali e vanno eliminati su richiesta. Capisci cosa stai davvero archiviando.
Privacy by design: l'eliminazione nell'architettura
Progetta i sistemi pensando fin dall'inizio all'eliminazione. Usa strutture di dati che rendano l'eliminazione efficiente. Non mescolare tipi di dati con esigenze di conservazione diverse. Rendi facile cercare ed eliminare i dati di un utente. Se costruisci subito la capacità di eliminare, la conformità sarà più semplice dopo.
Qual è una tempistica realistica di conservazione dei dati di analisi per diversi tipi di attività?
Blog e contenuti: bastano 12 mesi (poca necessità di dati vecchi). SaaS: 24 mesi (serve l'analisi dei trend). Negozio online: 24-36 mesi (analisi della stagionalità, rilevamento delle frodi). Finanza e sanità: segui la normativa (spesso 6+ anni). Controlla i report degli ultimi 6 mesi: se non hai analizzato dati più vecchi di X mesi, elimina oltre quel limite. Imposta nella tua piattaforma di analisi l'eliminazione automatica.
Qual è il processo esatto per rispondere a una richiesta di eliminazione entro i tempi di legge?
Giorno 1: ricevi la richiesta, verifica l'identità, registrala nel sistema delle richieste. Giorni 2-7: individua tutti i dati nei sistemi (database, backup, servizi di terze parti). Giorni 8-20: esegui l'eliminazione, verifica nei log. Giorno 28: invia all'utente la conferma di cosa è stato eliminato. Documenta tutto. I 30 giorni sono un limite rigido; iniziare subito è fondamentale.
Come capisco se i miei dati «anonimizzati» sono davvero anonimizzati o ancora personali?
Vera anonimizzazione: impossibile reidentificare (solo statistiche aggregate: «il 50% degli utenti ha cliccato il pulsante»). Pseudonimizzazione: reversibile con una chiave (ID utente con hash; sono ancora dati personali). Regola sicura: se hai una chiave di corrispondenza o puoi incrociarli con altri dati, sono dati personali e vanno eliminati su richiesta. Nel dubbio, trattali come dati personali.
Per quanto tempo devo tenere i backup e come gestisco le richieste di eliminazione dei dati nei backup?
Eliminazione dei dati attivi: immediata. Backup di 0-30 giorni: elimina da tutte le copie. Backup di 30-90 giorni: puoi tenerli se non li ripristini per le attività quotidiane. Backup di oltre 90 giorni: vanno eliminati prima o poi secondo il GDPR (niente archiviazione a tempo indeterminato). Crea un piano di eliminazione dei backup: revisione trimestrale, elimina i backup più vecchi della data prevista dalla policy. Includi la conferma di eliminazione nella risposta all'utente.
Qual è un flusso di eliminazione passo passo per dati sparsi tra analisi, email, CRM e strumenti dei fornitori?
Passo 1: un documento di inventario dei dati elenca dove vivono i dati degli utenti (database, GA, piattaforma email, CRM e così via). Passo 2: un'attività di eliminazione automatica agisce sul database principale. Passo 3: eliminazione manuale o tramite API negli strumenti di terze parti. Passo 4: i contratti con i fornitori richiedono la conferma dell'eliminazione (SLA: 7 giorni). Passo 5: raccogli le conferme di eliminazione e inviale all'utente entro 30 giorni in totale.
Qual è la differenza tra «ritardo operativo» e violazione della regola dei 30 giorni?
Ritardo accettabile: scoperta di dati in un posto inatteso, problemi tecnici legittimi (8-10 giorni al massimo). Non accettabile: «Prima o poi ci arriveremo», attendere l'esecuzione dell'attività mensile, ritardi nel recupero dei dati oltre 15 giorni. I 30 giorni sono per la tua risposta e spiegazione, non per i tempi di esecuzione. Se non riesci a eliminare entro 30 giorni, è una violazione. Comunica subito i ritardi e documenta il motivo.