Il principio di minimizzazione dei dati nel GDPR
Nel mondo degli affari si dice spesso che, in caso di dubbio, è meglio raccogliere e memorizzare più informazioni del necessario da un cliente, perché le informazioni aggiuntive potrebbero essere utili in qualche momento. Tuttavia, spesso si trascura il fatto che la stragrande maggioranza di queste informazioni aggiuntive non viene mai utilizzata e che le informazioni effettivamente utili sono più difficili da trovare tra le raccolte di dati, solitamente piuttosto ampie.
Inoltre, un'ampia raccolta di dati richiede risorse corrispondenti, ad esempio tempo di lavoro e denaro. A prescindere da ciò, essa viola regolarmente il cosiddetto principio di minimizzazione dei dati del GDPR.
Che cos'è la minimizzazione dei dati e come potete implementare i requisiti del GDPR?
Importanza del principio di minimizzazione dei dati ai sensi del GDPR
Definizione del principio di minimizzazione dei dati
L'articolo 5 del Regolamento generale sulla protezione dei dati (GDPR) elenca i principi fondamentali della protezione dei dati che devono essere osservati nel trattamento dei dati personali.
Nell'ambito dei requisiti di minimizzazione dei dati, il GDPR stabilisce che i dati personali devono essere "adeguati, pertinenti e limitati a quanto necessario in relazione alle finalità per le quali sono trattati". Ciò significa che devono essere osservati i seguenti requisiti:
La raccolta dei dati deve essere idonea a soddisfare gli scopi specificati del trattamento. Quando ci si registra per una newsletter, ad esempio, la raccolta dell'indirizzo dell'interessato non è idonea a soddisfare lo scopo (invio di newsletter digitali via e-mail) e non può essere raccolta per questo scopo quando ci si registra per una e-newsletter. La situazione è diversa quando ci si registra per ricevere il catalogo mensile dei prodotti, che viene inviato per posta.
Tuttavia, il fatto che la raccolta di un certo tipo di dati sia appropriata per raggiungere lo scopo del trattamento non è sufficiente da solo. Il principio di minimizzazione dei dati richiede anche che tale raccolta sia necessaria perché lo scopo del trattamento non può essere raggiunto altrimenti. Un esempio: la raccolta di dati biometrici nell'ambito di un controllo delle impronte digitali all'ingresso di un edificio ha lo scopo di impedire l'accesso non autorizzato. Tuttavia, sarebbe anche possibile utilizzare il controllo delle impronte digitali per registrare l'orario di lavoro dei dipendenti in Germania. Tuttavia, questo scopo può essere raggiunto (senza l'utilizzo di categorie speciali di dati) utilizzando, ad esempio, un orologio o un software separato, entrambi mezzi più blandi rispetto al trattamento di categorie speciali di dati (dati biometrici).
Il fatto che la raccolta di determinati dati sia adatta e necessaria per raggiungere lo scopo non è sempre sufficiente. Anche il contesto in cui i dati vengono elaborati svolge un ruolo importante. Ad esempio, un sistema di geolocalizzazione può essere installato su un camion al fine di pianificare efficacemente il percorso, ma può essere attivo solo durante l'orario di lavoro del conducente. Un altro esempio è la videosorveglianza. Può essere utilizzata per la sicurezza degli edifici e la prevenzione dei furti. Tuttavia, le telecamere possono essere utilizzate solo in determinate aree: ad esempio, all'ingresso dell'edificio, ma non negli spogliatoi.
La minimizzazione dei dati è un bene o un male per l'azienda?
Per molti, la minimizzazione dei dati sembra inizialmente positiva solo per le persone di cui vengono trattati i dati ("soggetti interessati": clienti, visitatori di siti web, ecc.) ed è solitamente vista dall'imprenditore come una limitazione delle proprie opzioni nell'ambito delle proprie attività. La minimizzazione dei dati e l'economia dei dati sono anche nell'interesse delle aziende. Oltre a evitare possibili sanzioni, tra cui multe per violazioni della protezione dei dati, non conservare i dati rende più facile trovare dati utili. Liberando spazio per l'archiviazione dei dati, si possono anche risparmiare risorse.
La creazione e la revisione del registro delle attività di trattamento è una buona occasione per riordinare i processi utilizzati e i dati memorizzati. Le procedure superflue vengono eliminate. I dati il cui trattamento non può essere giustificato saranno cancellati. Oltre ai dati memorizzati, questo vale anche per i dati che non è più possibile identificare. Ad esempio, se disponete di dati di contatto di persone ma non sapete più chi sono e in quale contesto sono stati raccolti i dati, è segno che questi dati non devono più essere conservati.
È importante capire che la minimizzazione dei dati non implica il divieto di raccogliere determinati dati, ma solo la necessità di avere una giustificazione per la raccolta e il trattamento dei dati nel loro complesso.
Inoltre, la minimizzazione dei dati è sempre più importante per la fiducia dei clienti. Se i clienti si rendono conto che vengono utilizzati "trucchi" per scoprire più informazioni su di loro di quanto sia necessario, potrebbero decidere di non continuare a lavorare con l'azienda.
Quali diritti ha l'interessato se il principio di minimizzazione dei dati viene disatteso?
Gli interessati godono di tutti i diritti di cui al capitolo III e all'articolo 77 del GDPR. In particolare, hanno il diritto di cancellare i dati se non sono necessari per raggiungere lo scopo del trattamento.
Qual è la durata massima di archiviazione dei dati?
A un certo punto, anche i dati devono essere cancellati, ossia quando non vi è più la necessità o l'obbligo di conservarli. I periodi di conservazione specifici dipendono fortemente dal contesto del trattamento dei dati. Si raccomanda pertanto di creare e implementare un concetto di cancellazione. In modo molto semplificato, i dati esistenti vengono classificati e dotati di scadenze in termini di necessità; in particolare, devono essere rispettati i periodi di conservazione previsti dalla legge e dagli standard industriali. Nell'ambito di questo concetto, i periodi di conservazione per le diverse categorie di dati conservati insieme vengono armonizzati e viene fissato un termine comune. Tuttavia, un termine da solo non è sufficiente, in quanto è necessario determinare anche il momento in cui tale periodo inizia. Ad esempio, si potrebbe specificare che il periodo di cancellazione di un file di un cliente inizia non appena non ci sono più contatti con il cliente per tre anni.
Come garantite la minimizzazione dei dati?
Quale domanda dovete porvi?
Per ogni operazione di trattamento dei dati, è necessario chiedersi quali dati sono necessari per raggiungere lo scopo. Tutti gli altri dati ("conservazione dei dati") non possono essere trattati in questo contesto, oppure è necessario utilizzare una norma di autorizzazione o una base giuridica separata (ad esempio, il consenso).
Anche la trasparenza è molto importante. Non nascondete i riferimenti al trattamento dei dati in lunghi testi contrattuali o fate dipendere la conclusione del contratto dalla presentazione del consenso per altri trattamenti. Ad esempio, dovreste contrassegnare come obbligatori in un modulo solo i campi che sono necessari per raggiungere lo scopo del trattamento principale.
Un altro esempio: Di norma, ai fini dell'esecuzione di un contratto, non vi servono informazioni sul fatto che un cliente abbia figli o su quando sia stato in vacanza. Queste informazioni non possono quindi essere trattate sulla base dell'articolo 6, paragrafo 2, lettera b) del GDPR ("adempimento del contratto"). Tuttavia, in qualità di venditore, avete naturalmente un interesse legittimo a creare una base di fiducia con il cliente e scambiate alcune informazioni private a tale scopo. Queste informazioni possono essere trattate sulla base del consenso del cliente ai fini di una buona relazione con il cliente stesso. Tuttavia, dovreste essere l'unica persona ad avere accesso a queste informazioni; gli elementi non devono essere inseriti in un CRM, ad esempio. Se un altro venditore subentra al cliente, non potete trasmettere queste informazioni.
Impostazioni predefinite favorevoli alla protezione dei dati come attuazione del principio di minimizzazione dei dati
Il principio di minimizzazione dei dati si sovrappone al principio delle impostazioni predefinite favorevoli alla protezione dei dati (privacy by design), elencato nell'art. 25, par. 2 del GDPR.
Questo principio stabilisce che misure tecniche e organizzative adeguate devono garantire che, per impostazione predefinita, vengano trattati solo i dati personali il cui trattamento è necessario per la specifica finalità di trattamento in questione. Il principio riguarda, tra l'altro, i mezzi che devono essere effettivamente implementati per rispettare il principio di minimizzazione dei dati. Ad esempio, i campi facoltativi e quelli obbligatori di un modulo devono essere facilmente distinguibili per il cliente.
Oltre alle impostazioni predefinite che rispettano la protezione dei dati e che attuano il principio della minimizzazione dei dati, vi consigliamo di evitare i campi di immissione a forma libera nei moduli e di preferire le opzioni di selezione a discesa o le caselle di controllo se non si tratta di moduli di contatto e se sono richiesti solo alcuni dati. Se le persone non sanno cosa inserire, rischiano di fornire informazioni non necessarie per l'elaborazione.
Come secondo esempio, vorremmo citare la questione dei campi di commento nei file gestiti dai vostri dipendenti. Le autorità di vigilanza hanno, ad esempio, imposto multe perché i dipendenti dei call center avevano inserito nei campi di commento del sistema CRM informazioni molto precise sui clienti (sulla loro salute, ecc.) che non erano pertinenti allo scopo del trattamento, a volte contenenti anche commenti offensivi. Oltre alla necessaria formazione dei vostri dipendenti in materia di protezione dei dati, vi consigliamo di impostare un banner di avvertimento per l'uso di tali campi di commento, o di limitare gli inserimenti mediante menu a discesa.
Conclusione: come si può implementare con successo un'iniziativa di minimizzazione dei dati?
Dovete valutare tutti i dati personali che avete nel vostro database, chiedendovi per ogni operazione di trattamento se i dati raccolti sono in linea con questo principio. Dovete poi verificare se i dati raccolti che non sono necessari possono essere trattati in un contesto diverso. Infine, dovete cancellare i dati per i quali non è possibile trovare un contesto e non potete più raccoglierli in futuro.
La raccolta di informazioni per il registro delle attività di trattamento dovrebbe in realtà fornire molti elementi che consentono di ottenere un quadro dello stato della vostra organizzazione in termini di principio di minimizzazione dei dati.
In che modo 2B Advice può aiutarvi ad attuare il principio di minimizzazione dei dati?
Possiamo aiutarvi a determinare quando i dati sono necessari per l'elaborazione e a consigliare quadri alternativi per l'elaborazione dei dati aggiuntivi, ove ciò sia possibile. Di norma, svolgiamo questo lavoro nel contesto della creazione o dell'aggiornamento di un registro, nell'ambito di mandati esterni di responsabile della protezione dei dati o di un incarico speciale a questo scopo. Inoltre, vi forniamo consulenza sulla migliore implementazione di impostazioni predefinite rispettose della protezione dei dati.