Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Il diritto alla cancellazione non impone sempre di eliminare ogni traccia, ma non consente neppure di conservare tutto per abitudine. Occorre distinguere dati e finalità, individuando i presupposti del diritto e le eventuali eccezioni applicabili.
La situazione.
Scenario illustrativo fittizio. Dopo aver chiuso il rapporto, un cliente chiede a una società di cancellare ogni suo dato. Il gestionale contiene account, ticket, documenti fiscali, note commerciali e consensi marketing. L’amministrazione vorrebbe respingere l’intera richiesta perché alcune fatture devono essere conservate per obblighi di legge.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
La presenza di documenti da conservare non giustifica il mantenimento di dati ulteriori per qualsiasi scopo.
- 02
Dati necessari a obblighi legali o alla difesa di diritti devono essere distinti dal marketing.
- 03
L’identità del richiedente va verificata proporzionalmente, evitando nuove raccolte di documenti non necessarie.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’articolo 17 GDPR definisce presupposti ed eccezioni della cancellazione. La valutazione va svolta per trattamento: una finalità cessata può richiedere eliminazione o altra gestione appropriata anche se alcuni documenti restano conservabili. Il titolare deve spiegare quali categorie mantiene, per quale motivo e con quali limiti, invece di opporre una formula generale sugli obblighi fiscali.
La richiesta va gestita con i tempi e le informazioni dell’articolo 12, normalmente entro un mese e con le condizioni previste per eventuali proroghe. È importante coordinare sistemi, fornitori e copie, senza promettere una scomparsa immediata da ogni backup quando ciò non corrisponde alla realtà tecnica. La conservazione giustificata non autorizza nuovi utilizzi commerciali, accessi diffusi o mantenimento indiscriminato nell’account attivo.
Cosa fare, in pratica.
- 01
Identificare il richiedente e comprendere la domanda attraverso il rapporto già esistente, chiedendo informazioni aggiuntive soltanto se necessarie e proporzionate alla verifica.
- 02
Inventariare categorie e rispettive finalità, separando documenti obbligatori, pratiche ancora necessarie, marketing, profili e dati del servizio che risulta effettivamente cessato.
- 03
Decidere quali dati cancellare e quali mantenere con una motivazione specifica, verificando norme e termini applicabili invece di assegnare un’unica scadenza a tutto.
- 04
Eseguire e tracciare le operazioni nei sistemi e presso i responsabili pertinenti, governando le copie residue e impedendo che un ripristino riattivi usi non più ammessi.
- 05
Rispondere comprensibilmente con esito e ragioni delle eventuali limitazioni, fornendo le informazioni sui rimedi previste dal GDPR quando non si dà seguito alla domanda.
L’errore da evitare.
Respingere l’intera richiesta perché una fattura va conservata, mantenendo anche note, profili e campagne che non servono a quell’obbligo.
Tre verifiche da portare con te.
- Categorie e finalità separate.
- Eccezioni motivate con riferimento al caso.
- Esecuzione e risposta tracciate nei tempi applicabili.
Il principio operativo è separare, non scegliere fra cancellare tutto e non cancellare nulla. Ogni conservazione deve avere una ragione riconoscibile.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.