Un esempio di classificazione dei dati

Un esempio di classificazione dei dati

Come compilare il registro del trattamento dei dati personali previsto dal nuovo regolamento? Una difficoltà che il titolare può incontrare è legata al contrassegno temporale ed all’individuazione del luogo dove i dati sono custoditi.

Bisogna proprio dire che quando i dati erano custoditi su supporto cartaceo, la vita di chi doveva rintracciarli era relativamente più facile. Bastava entrare nell’archivio, normalmente ad accesso controllato, aprire qualche cassetto, dove le cartelle, ad esempio del personale, erano conservate secondo un ordine alfabetico e lì trovare tutti i dati di interesse. Situazione analoga poteva applicarsi agli uffici commerciali.

Oggi, con la digitalizzazione crescente dei dati, il problema della archiviazione dei dati è diventato decisamente complesso, perché la estrema facilità con cui lo stesso dato può essere archiviato su vari supporti, in varie località fisiche, può creare problemi non indifferenti quando, ad esempio, si deve provvedere all’aggiornamento del dato od alla sua cancellazione. Se non si ha una chiara idea di dove i dati sono custoditi, l’operazione diventa piuttosto complessa e aumentano le probabilità che il titolare possa essere sottoposto a sanzioni perché, ad esempio, non ha cancellato un dato dopo che un interessato aveva avanzato una richiesta specifica, oppure non ha cancellato un dato, quando era stata superata la data ultima utile di archiviazione.

Pubblicità

Supporti per formatori - Modello per Corsi GDPR - Protezione Dati Materiale didattico per tenere corsi sul regolamento europeo protezione dati (RIF. NORMA UNI 11697:2017)

Una classificazione dei dati personali

Uno specialista del settore ha pensato di offrire una classificazione di massima delle categorie dei dati, perché egli ritiene che con questo approccio possa essere facilitato, anche se non del tutto risolto, il problema del rintraccio dei dati.

La suddivisione che questo specialista propone è la seguente:

• big data
• operational data,
• dark data.

Big Data

Ormai quasi tutti sanno che con l’espressione big data si fa riferimento alla straordinaria quantità di dati che possono essere raccolti da gestori specializzati, per essere poi sottoposti a esame da parte di specifici algoritmi, che da questa moltitudine di dati sanno estrarre il proverbiale ago nel pagliaio.

Le cronache quotidiane sono piene di notizie in merito ai trattamenti, più o meno legittimi, cui vengono sottoposti i Big data e sono altrettanto numerosi i difensori della privacy dei cittadini, che ritengono che queste operazioni dovrebbero essere effettuate nell’ambito di una procedura controllata da enti pubblici o comunque da soggetti terzi indipendenti. Le resistenze, sia di qua sia di là dell’Atlantico, che le grandi aziende di trattamento dei dati fanno, servono solo ad accrescere ancora di più le perplessità dei cittadini su una situazione, che presto o tardi dovrà certamente essere risolta, preferibilmente a favore degli interessati coinvolti.

Dati operativi

I dati operativi invece sono i dati, all’interno di un’azienda, che vengono usati quotidianamente o quasi per la gestione dell’azienda stessa. Si pensi per esempio ai dati di ingresso e uscita dall’azienda, la presenza di un dipendente in un particolare insediamento, per svolgere specifiche attività, la presenza in mensa e via dicendo: sono questi i dati che vengono quotidianamente raccolti per fini legittimi ed utilizzati per elaborare i compensi che spettano ai dipendenti. Parimenti, i dati relativi ad interventi di manutenzione presso i clienti, i dati relativi a reclami ed altre simili dati vengono quotidianamente raccolti, valutati e gestiti, per garantire la continuità operativa dell’azienda, in un quadro di soddisfazione delle esigenze del cliente.

Questi dati per solito sono raccolti sia su supporto cartaceo, sia con strumenti informatici, e sono perlopiù custoditi all’interno dell’azienda, salvo quantità di dati, relativamente modeste, che per esigenze operative possono essere conservate in un cloud. In vista però della quantità relativamente modesta di questi dati, soprattutto nelle piccole e medie aziende, è possibile che il server aziendale sia perfettamente in grado di custodire questi dati, senza necessità di trasferirli ad un soggetto terzo, come il gestore del cloud, con tutti i problemi che potrebbero nascere.

Dark data

Infine, cerchiamo di esaminare quelli che lo specialista ha chiamato dark data.

Si tratta di un’informazione digitale, presente all’interno dell’azienda ma che non viene correntemente utilizzata. In particolare la nota azienda di ricerche di mercato, Gartner, ha dato questa definizione dei dark data: “informazioni che una organizzazione raccoglie, tratta e archivia, nel corso della sua regolare attività professionale, ma che per solito non utilizzare per altre finalità.”.

A questo punto, ci si potrebbe domandare perché una azienda non provveda subito a cancellare questi dati, ma vi sono delle ragioni pratiche da prendere in considerazione. Ad esempio il dato potrebbe essere parzialmente inquinato e la energia necessaria per pulire il dato potrebbe non essere compensata dai costi. Inoltre il tempo richiesto per la pulizia del dato potrebbe nel frattempo rendere il dato obsoleto.

Non parliamo poi dei dati che vengono custoditi a lungo su formati che, con la rapidità dell’evoluzione tecnica, potrebbero non essere più leggibili o recuperabili. Sono pronto a scommettere qualche euro che parecchi dei nostri lettori hanno in casa dei floppy disk, con dati che ai tempi erano importanti, e che oggi non sono nemmeno più leggibili, per indisponibilità del lettore di floppy disk. C’è chi prende il coraggio a due mani e butta via questi floppy disk, mentre altri, forse per un fattore emotivo, continuano a custodirli.

È questa una situazione che il regolamento generale europeo prende sotto tiro, quando impone, persino a pena di sanzioni, che ad ogni dato che viene raccolto venga applicata una etichetta temporale, in modo da poterlo distruggere quando il dato stesso avrà terminato la sua vita utile.

L’applicazione di una targhetta temporale al dato non è, ancora ad oggi, una pratica molto diffusa ed ecco il motivo per cui la mancanza di un contrassegno temporale, abbinata a dubbi circa la esatta ubicazione del dato, fa sì che la prescrizione del regolamento generale, all’articolo 17-diritto alla cancellazione, spesso possa essere di difficile soddisfazione.

La raccomandazione che offriamo a tutti i lettori, che si stanno avviando, spero frettolosamente, sul cammino che porterà alla piena attuazione dei dettati del regolamento entro il 25 maggio 2018, è quella di provvedere ad una ricognizione di tutti i dati personali trattati, individuandone l’origine, la durata prevista di conservazione e la effettiva ubicazione. Si faccia anche attenzione al fatto che spesso lo stesso dato è archiviato contemporaneamente su più supporti e quindi l’operazione di cancellazione può andare a buon fine solo se tutti i supporti sono stati correttamente individuati.

Mi rendo conto che potrebbe essere un impegno non trascurabile, ma prima lo si comincia e prima lo si porterà a termine.

Adalberto Biasiotti

Regolamento (Ue) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016

Questo articolo è pubblicato sotto una Licenza Creative Commons.