Excel ha nel Protezione dei dati ha un impatto maggiore di quanto alcuni fornitori di software siano disposti ad ammettere.
Molte organizzazioni che si occupano di protezione dei dati hanno iniziato con una tabella. Per l'elenco di Attività di elaborazione Sono stati registrati i processi, inseriti i responsabili, integrate le basi giuridiche, documentati i destinatari e aggiornati i termini di conservazione. All’inizio, spesso si è trattato di un approccio pragmatico e corretto. Se un’azienda prima non aveva alcuna visione d’insieme, un file Excel ben strutturato non è affatto un cattivo primo passo. Si ha una visione d’insieme. Si mette ordine in una materia che prima forse esisteva solo nelle e-mail, nelle menti delle persone e nei vecchi documenti di progetto.
Il problema si presenta più avanti.
Non nel momento in cui si utilizza Excel, ma nel momento in cui Excel è destinato ad assumere in modo permanente il ruolo di sistema di protezione dei dati.
Non è stato progettato per questo.
In breve: Excel può rappresentare un utile punto di partenza in materia di protezione dei dati, ma a lungo termine non può sostituire un sistema di gestione della protezione dei dati. Per un RoPA solido sono necessari ruoli, responsabilità, approvazioni, gestione delle versioni, documentazione, rielaborazioni, audit trail e report. Excel può riprodurre questi processi solo manualmente – una piattaforma come Ailance RoPA le rende controllabili.
Excel è in grado di salvare i dati. Excel è in grado di ordinare. Excel è in grado di filtrare. Excel è in grado di fornire un’istantanea. Ma Gestione della protezione dei dati Non è costituito da istantanee. È costituito da responsabilità, modifiche, verifiche, approvazioni, documentazioni, riesami, dipendenze, versioni e decisioni. È proprio lì che, prima o poi, una tabella si trasforma in un rischio.
Ho visto in molte aziende come questa transizione avvenga in modo graduale. All’inizio il file è ancora ben strutturato. Qualche operazione di trattamento, qualche colonna, un responsabile. Poi si aggiunge un’altra scheda. Poi una colonna per i sistemi. Poi una per i fornitori di servizi. Poi una per i TOM. Poi una per i termini di cancellazione. Poi una per la rilevanza ai fini del DSFA. Poi una per lo stato. Poi una per i commenti. Poi qualcuno copia il file perché ha bisogno di una versione per il reparto. Poi nasce una seconda versione per l’audit. Poi una terza con le correzioni. A un certo punto nessuno sa più quale file contenga effettivamente le informazioni corrette.
Excel è paziente. Troppo paziente.
Il fascino di Excel è proprio il suo problema
Excel sembra facile perché tutti lo conoscono. Non c’è bisogno di avviare un progetto per creare un foglio di calcolo. Non c’è bisogno di coinvolgere il reparto acquisti, redigere un piano di implementazione o organizzare corsi di formazione. Basta aprire un file, creare delle colonne, compilare le righe e si ha subito la sensazione di poter agire.
Questo è il motivo per cui Excel è così potente. Ed è anche il motivo per cui può diventare pericoloso in termini di protezione dei dati.
La protezione dei dati è una questione trasversale. Un registro delle attività di trattamento non è solo un elenco destinato al team responsabile della protezione dei dati. Riguarda i reparti specialistici, l’IT, l’ufficio legale, la sicurezza, gli acquisti, le risorse umane, il marketing, le vendite, la direzione aziendale e, talvolta, anche i comitati aziendali. Le informazioni contenute nel registro sono raramente statiche. I processi cambiano. I sistemi vengono sostituiti. Si aggiungono nuovi fornitori di servizi. I flussi di dati vengono ampliati. I termini di cancellazione vengono definiti in modo più preciso. Le funzioni di intelligenza artificiale fanno la loro comparsa nelle applicazioni esistenti. Un processo inizialmente semplice diventa improvvisamente soggetto a verifica.
Un file Excel può rappresentare tutto questo, a patto che qualcuno lo aggiorni con costanza. Ed è proprio qui che sta il problema: l’efficacia del file dipende interamente dall’efficienza dell’organizzazione che lo circonda.
Excel non impone alcuna responsabilità. Non ricorda in modo affidabile a nessuno di effettuare un controllo. Non guida i reparti specialistici attraverso le domande giuste. Documenta le approvazioni solo nella misura in cui qualcuno le inserisce manualmente. Non mostra automaticamente quali elaborazioni siano interessate da una modifica al sistema. Non impedisce che due persone lavorino in parallelo su versioni diverse. Non rende visibile se un’informazione sia stata confermata dal punto di vista tecnico o sia stata semplicemente ripresa dall’anno precedente.
In qualche modo si riesce a organizzare tutto questo. Con convenzioni di denominazione, autorizzazioni di SharePoint, commenti, celle colorate e una persona molto paziente nel team responsabile della protezione dei dati.
Ma se la gestione della protezione dei dati dipende dal fatto che una singola persona tenga insieme l’intero mondo di Excel, l’azienda non ha un sistema. Ha solo un’eroina o un eroe esperto di fogli di calcolo.
È una soluzione simpatica. Ma non è scalabile.
Il RoPA viene sottovalutato se lo si considera alla stregua di una tabella
Il registro delle attività di trattamento viene spesso considerato come una documentazione obbligatoria. L’articolo 30 del GDPR richiede un registro, quindi ne viene tenuto uno. In molte aziende la discussione strategica si ferma qui. L’importante è che ci sia. L’importante è che sia esportabile. L’importante è che possa essere presentato durante l’audit.
Questo ragionamento non è abbastanza approfondito.
Il RoPA è uno degli elementi chiave che mette in luce il modo in cui un’azienda tratta effettivamente i dati personali. In esso si intrecciano processi, sistemi, categorie di dati, destinatari, fornitori di servizi, basi giuridiche, termini di conservazione, rischi e responsabilità. Chi gestisce il registro solo sotto forma di tabella, tratta una mappa come se fosse uno schedario.
Un buon armadio per documenti è ben ordinato. Una buona mappa aiuta a prendere decisioni.
La differenza è notevole.
Quando viene integrato un nuovo fornitore di servizi, dovrebbe essere chiaro quali attività di trattamento siano interessate. Se un dipartimento desidera utilizzare una funzione di IA in un sistema esistente, dovrebbe essere evidente quali flussi di dati e finalità siano già documentati. Quando perviene una richiesta da parte di un interessato, l’azienda dovrebbe sapere quali processi e sistemi siano probabilmente rilevanti. Quando si prepara un audit, non dovrebbe essere necessario ricostruire a posteriori chi abbia confermato quali informazioni e quando. Quando sorge una questione relativa alla valutazione d’impatto sui dati (DSFA), il RoPA non dovrebbe essere un elemento a sé stante, ma fornire il contesto tecnico.
In una struttura basata esclusivamente su Excel, ciò avviene solo se si dispone di una grande disciplina nel lavoro manuale. Il file di per sé non è di grande aiuto. È lì, in attesa. La gestione della protezione dei dati, però, richiede qualcosa che funzioni.
I limiti di Excel in materia di protezione dei dati
| Requisiti nella gestione della protezione dei dati | Excel | Piattaforma per la protezione dei dati / Ailance RoPA |
|---|---|---|
| Registrare le attività di lavorazione | possibile | strutturato e basato sui processi |
| Mappare le responsabilità | manuale | basato sui ruoli |
| Documentare le approvazioni | manuale | basato sul flusso di lavoro |
| Tracciare le modifiche | limitato | con controllo delle versioni e verificabile |
| Coinvolgere i dipartimenti | complesso | in modo mirato su compiti e processi |
| Creare report | manuale | ricavabile dai dati strutturati |
Il primo punto chiave è l’attualità. Un’attività di trattamento raramente rimane immutata per sempre. Le aziende modificano processi, sistemi, fornitori e flussi di dati. In Excel è possibile inserire una data relativa all’ultima verifica. È meglio di niente. Ma una data non equivale ancora a una governance affidabile. Ciò che conta è se da ciò deriva un’attività, se viene coinvolta la persona giusta, se viene inviato un promemoria, se il feedback viene documentato e se le modifiche rimangono tracciabili.
Il secondo punto chiave è la responsabilità. In una tabella può figurare un responsabile. Ciò non significa però che tale responsabile sia effettivamente coinvolto in un processo. La responsabilità in materia di protezione dei dati non è una semplice voce in una colonna; deve avere un effetto concreto. Una persona responsabile deve sapere quando è chiamata in causa, quali informazioni sono richieste, quali sono le scadenze e quali conseguenze comporta la sua risposta. Excel può memorizzare un nome. Una piattaforma può trasformarlo in lavoro concreto.
Il terzo punto chiave è la gestione delle versioni. La protezione dei dati si basa sulla tracciabilità. Non basta sapere come si presenta oggi una voce. In molte situazioni è importante capire perché è stata modificata, chi ha apportato la modifica, chi l’ha verificata e su quali basi è stata presa la decisione. Le versioni di Excel presentano spesso una sorta di „archeologia“. Si trovano file denominati „final“, „final_nuovo“, „final_2024“, «final_final» e, occasionalmente, il file che è stato effettivamente utilizzato. È umano. Ma in sede di audit è un problema.
Il quarto punto chiave è l’approvazione. Molte informazioni relative alla protezione dei dati non devono solo essere registrate, ma anche confermate. Una base giuridica, un termine di cancellazione, una valutazione dei rischi o la rilevanza ai fini della valutazione d’impatto sulla protezione dei dati (DSFA) non dovrebbero limitarsi a figurare in una cella. Dovrebbero essere il risultato di un processo. Qualcuno ha verificato. Qualcuno ha confermato. Qualcuno ha deciso. È proprio da questo che nasce una prova documentale. In Excel, spesso si trasforma in un misto di commenti, colori e fiducia.
Il quinto punto chiave è la connessione. Le informazioni sulla protezione dei dati hanno valore se sono collegate tra loro. Un trattamento è collegato ai sistemi. I sistemi sono collegati ai fornitori di servizi. I fornitori di servizi sono collegati a contratti, TOM e sub-responsabili del trattamento. I rischi sono collegati alle misure. Le misure sono collegate ai titolari del trattamento. Queste interconnessioni possono essere rappresentate in tabelle, ma rimangono fragili. Più aumentano le interconnessioni, più Excel diventa un archivio di dati che fatica a gestire la propria complessità.
Ed è proprio a questo punto che Excel va in crash.
All'inizio garantisce trasparenza. In seguito comporta un onere amministrativo.
Il vero problema non è il file
Non credo che si debba denigrare Excel in modo generalizzato. Sarebbe un atteggiamento semplicistico e anche tecnicamente errato. Excel è uno strumento eccellente per l’analisi, la trasformazione dei dati, la strutturazione e un rapido orientamento. Senza Excel, molte aziende non avrebbero mai mosso il primo passo. Nelle organizzazioni più piccole, un foglio di calcolo ben curato può sicuramente funzionare per un certo periodo di tempo.
Il vero problema sorge quando Excel deve sostituire in modo permanente ruoli, autorizzazioni, versioni, flussi di lavoro e documentazione.
A quel punto viene caricato un file contenente delle attività che in realtà fanno parte dell'organizzazione.
Ciò risulta particolarmente evidente quando l’organizzazione della protezione dei dati cresce. Finché una sola persona è a conoscenza di tutto, Excel può funzionare. Non appena entrano in gioco più reparti, società, sedi, responsabili della protezione dei dati o soggetti esterni, la situazione cambia. A quel punto l’azienda non ha bisogno solo di dati, ma anche di sicurezza dei processi. Occorre chiarezza su chi è responsabile, qual è lo stato attuale, quali informazioni sono state confermate e quali attività sono ancora in sospeso.
Excel offre questa sicurezza solo in modo indiretto. Una piattaforma può integrarla nel flusso di lavoro.
Questa è la differenza fondamentale.
Perché la gestione della protezione dei dati richiede qualcosa di più della semplice documentazione
In molte aziende la protezione dei dati viene ancora vista troppo spesso come un semplice compito di documentazione. Si ritiene che sia sufficiente poter dimostrare che determinati obblighi siano stati adempiuti. È vero, ma questa è solo una parte della verità. Chi si limita a documentare la protezione dei dati, si trova sempre a rincorrere l’azienda. Chi invece la gestisce in modo proattivo, viene coinvolto sin dalle prime fasi.
La differenza si nota nella vita di tutti i giorni.
Quando un dipartimento pianifica un nuovo processo, la protezione dei dati non dovrebbe limitarsi ad aggiornare una tabella solo poco prima del go-live. Dovrebbe essere parte integrante del processo. Quando viene introdotto un nuovo sistema, non si dovrebbe chiedere a posteriori quali trattamenti siano interessati. Il nesso dovrebbe emergere chiaramente dalla struttura esistente. Quando si cambia fornitore di servizi, l’impatto sui trattamenti, sui contratti, sulle misure tecniche e organizzative (TOM) e sui rischi dovrebbe essere tracciabile. Quando la direzione chiede quali siano le questioni critiche in materia di protezione dei dati, la risposta non dovrebbe essere ricavata da ricerche manuali.
La gestione della protezione dei dati necessita quindi di una base operativa. Il RoPA ne costituisce una parte importante, ma solo se non viene gestito in modo isolato. Deve essere collegato a responsabilità, processi di verifica, rielaborazioni, audit trail, report e tematiche correlate.
Un file Excel può descrivere questa esigenza. Una piattaforma può realizzarla.
Il passaggio da Excel a una piattaforma non rappresenta un cambiamento radicale
Molte aziende esitano a sostituire le loro strutture Excel perché hanno familiarità con il file. È comprensibile. Un foglio di calcolo è tangibile. Si vede tutto a colpo d’occhio. Si possono spostare, filtrare, copiare e commentare le colonne. Una piattaforma sembra, a prima vista, un passo più impegnativo.
Il cambiamento, però, non deve necessariamente essere un salto nel buio.
Le piattaforme efficaci non iniziano con l’obiettivo di sommergere l’azienda con la complessità. Prendono la struttura già esistente e la trasformano in un processo gestibile. Il file Excel esistente non è quindi motivo di imbarazzo, ma si rivela utile. Mostra quali informazioni sono disponibili, quali colonne si sono dimostrate efficaci, dove ci sono lacune e quale logica l’azienda ha utilizzato finora.
La scelta più saggia non è quindi quella di condannare Excel. La scelta più saggia è quella di utilizzare Excel come punto di partenza e di rendere più professionali gli aspetti fondamentali per un funzionamento duraturo.
Con Ailance RoPA ciò significa che le attività di trattamento non vengono semplicemente importate o registrate, ma organizzate in una struttura che supporta ruoli, responsabilità, verifiche, modifiche, documentazione e report. I reparti specializzati possono essere coinvolti in modo mirato. I team addetti alla protezione dei dati mantengono una visione d’insieme. Le modifiche rimangono tracciabili. La documentazione può essere fornita più rapidamente in sede di audit. Il patrimonio di dati non viene messo a rischio da ogni adeguamento di processo. E il RoPA diventa parte integrante di una logica di piattaforma in grado di gestire anche tematiche di governance correlate.
Questo è particolarmente importante per le aziende che oggi hanno iniziato la loro attività in modo pragmatico e domani dovranno operare in modo più professionale.
Quando Excel è ancora sufficiente e quando non lo è più
La risposta sincera è: dipende dall'organizzazione.
Se una piccola impresa svolge poche attività di elaborazione dati, subisce pochissimi cambiamenti e coinvolge solo una o due persone, Excel può essere sufficiente per un certo periodo. Sarebbe artificioso imporre immediatamente una discussione sulla piattaforma in questo caso. La protezione dei dati deve rimanere proporzionata.
Tuttavia, non appena sono coinvolti più reparti, si verificano modifiche regolari, occorre preparare audit, i processi delle parti interessate devono essere supportati in modo adeguato, la gestione dei fornitori riveste un ruolo importante, sono coinvolte diverse società o sedi oppure sono richiesti rapporti di gestione, Excel diventa solo uno strumento provvisorio.
Quando qualcuno del team addetto alla protezione dei dati dedica più tempo a raccogliere informazioni, confrontare versioni e ricostruire prove che a valutare i rischi e migliorare i processi, significa che il limite è stato raggiunto.
Allora Excel non è più una soluzione pratica. Allora Excel è costoso.
Non a causa dei costi delle licenze. Ma a causa del tempo, dell’incertezza, del lavoro aggiuntivo e della dipendenza da singole persone.
Questo aspetto viene sottovalutato in molte aziende, perché Excel costa quasi nulla. A ben vedere, però, non è vero. La licenza costa poco, ma i costi di gestione che ne derivano possono rivelarsi molto elevati.
Il vero grado di maturità si rivela durante il funzionamento
Un sistema di protezione dei dati non è valido solo perché ha molti campi. È valido se si rivela utile nella vita di tutti i giorni.
Un dipartimento è in grado di fornire le proprie informazioni in modo comprensibile? Il team responsabile della protezione dei dati può verificare le modifiche senza dover tenere traccia manualmente di tutto? Un revisore è in grado di capire perché una voce si presenta in un determinato modo? La direzione è in grado di individuare quali sono le questioni critiche? Un coordinatore della protezione dei dati può vedere quali attività sono ancora in sospeso? È possibile collegare un trattamento dei dati a sistemi, fornitori di servizi, termini di cancellazione, rischi e misure? L’azienda può crescere senza dover ricostruire la stessa documentazione ogni due anni?
Queste sono le domande su cui deve misurarsi la gestione della protezione dei dati.
Excel raramente offre una soluzione definitiva. Non perché Excel sia un cattivo programma, ma perché è uno strumento diverso.
Un coltellino tascabile è pratico. Ma non ci si può certo costruire un centro di calcolo.
Perché Ailance RoPA offre prestazioni superiori rispetto a un foglio di calcolo Excel
Ailance RoPA è nata dall’esperienza secondo cui la protezione dei dati non fallisce a causa della normativa, ma a causa della sua attuazione operativa. La maggior parte delle aziende sa di aver bisogno di un registro. Molte sanno anche quali informazioni debbano esservi inserite in linea di principio. La gestione a lungo termine è invece più complessa. Chi fornisce le informazioni? Chi le verifica? Chi approva le modifiche? Chi individua le voci obsolete? Chi individua i rischi? Chi è in grado di spiegare perché un trattamento è stato documentato in quel modo?
Proprio per questo ci vuole più di una tabella.
Ailance RoPA considera il registro come punto di partenza per la gestione della protezione dei dati. L’attività di trattamento dei dati non è un insieme di dati isolato, bensì un punto nevralgico all’interno dell’azienda. In qualità di piattaforma di gestione della protezione dei dati, Ailance RoPA collega reparti, sistemi, fornitori di servizi, categorie di dati, finalità, basi giuridiche, termini di conservazione, rischi, verifiche, documentazione e report.
Non è solo più pulito. Cambia il modo di lavorare.
I team incaricati della protezione dei dati devono dedicare meno tempo a rincorrere gli adempimenti. Ai reparti specialistici vengono assegnati compiti più chiari. Le modifiche diventano più visibili. Gli audit si svolgono in modo meno frenetico. I rapporti di gestione vengono redatti sulla base di informazioni strutturate. E l’organizzazione può continuare a sviluppare i processi di protezione dei dati senza dover reinventare ogni volta l’intera documentazione.
Questa è la differenza tra un file che contiene dati e una piattaforma che organizza il lavoro.
Conclusione
Excel rappresenta spesso un buon punto di partenza in materia di protezione dei dati. A volte è addirittura il punto di partenza migliore. Obbliga un’azienda a raccogliere informazioni, a mettere ordine e, innanzitutto, a rendere visibili i trattamenti esistenti.
Come soluzione a lungo termine, Excel diventa problematico quando la gestione dei dati personali va oltre un semplice elenco. È proprio ciò che accade in ogni organizzazione che cresce, cambia o vuole diventare realmente gestibile.
A quel punto le colonne non bastano più. Servono ruoli, autorizzazioni, versioni, documentazione, rielaborazioni, collegamenti e report. Non come ulteriore burocrazia, ma come sollievo per chi deve effettivamente occuparsi della protezione dei dati all’interno dell’azienda.
Il passaggio da Excel a una piattaforma non è quindi fine a se stesso. Rappresenta il passaggio dalla documentazione al controllo.
O, per dirla in modo più chiaro: Excel è un buon punto di partenza. Ma se la vostra gestione della protezione dei dati dipende in modo permanente da un file, probabilmente dipende dalla cosa sbagliata.
Domande e risposte
Perché Excel non è adatto, nel lungo periodo, alla gestione della protezione dei dati?
A lungo termine, Excel non è adatto se la gestione della protezione dei dati deve andare oltre una semplice panoramica. La protezione dei dati richiede ruoli, autorizzazioni, gestione delle versioni, documentazione, attività, promemoria e modifiche tracciabili. Excel può memorizzare le informazioni, ma riproduce questi processi solo manualmente e in modo soggetto a errori.
È possibile tenere l'elenco delle attività di trattamento in Excel?
Sì, soprattutto all'inizio può capitare che un VVT gestiti in Excel. Per le piccole organizzazioni con poche attività di elaborazione, questa soluzione può risultare pragmatica. Non appena si aggiungono più reparti, modifiche regolari, audit, fornitori di servizi, rischi o report gestionali, Excel raggiunge rapidamente i propri limiti.
Quando un'azienda dovrebbe passare da Excel a un software RoPA?
Un cambiamento diventa opportuno quando le informazioni vengono gestite in più luoghi, circolano diverse versioni, è difficile coinvolgere i reparti specializzati, le documentazioni devono essere ricostruite manualmente o il team responsabile della protezione dei dati dedica molto tempo al monitoraggio. Anche gli audit, i processi di valutazione d’impatto sulla protezione dei dati (DSFA), i diritti degli interessati e la gestione dei fornitori di servizi sono fattori tipici che determinano il passaggio a una nuova soluzione.
Qual è la differenza principale tra Excel e una piattaforma per la protezione dei dati?
Excel salva i dati. Una piattaforma per la protezione dei dati organizza i processi. La differenza principale sta nel fatto che una piattaforma integra nel flusso di lavoro responsabilità, controlli, approvazioni, gestione delle versioni, documentazione e report. In questo modo, la protezione dei dati non solo viene documentata, ma diventa anche gestibile.
Perché il RoPA è più di un semplice registro obbligatorio ai sensi dell’articolo 30 del GDPR?
Il RoPA illustra le modalità effettive di trattamento dei dati personali da parte di un’azienda. Mette in relazione processi, sistemi, categorie di dati, destinatari, fornitori di servizi, basi giuridiche, termini di conservazione, rischi e responsabilità. Se queste informazioni sono aggiornate e correlate tra loro, il RoPA diventa uno strumento di controllo per la gestione della protezione dei dati.
In che modo Ailance RoPA facilita il passaggio dal database Excel alla piattaforma per la protezione dei dati?
Ailance RoPA può utilizzare le strutture esistenti in Excel come punto di partenza e trasformarle in un processo gestibile. Le attività di trattamento vengono associate a ruoli, responsabilità, controlli, modifiche, documentazione e report. In questo modo, da un elenco statico nasce un sistema operativo di protezione dei dati.
Marcus Belke è CEO di 2B Advice, nonché avvocato ed esperto di informatica per la protezione dei dati e la conformità digitale. Scrive regolarmente di governance dell'IA, conformità al GDPR e gestione del rischio. Potete trovare maggiori informazioni su di lui sul sito Pagina del profilo dell'autore.
German 
English 
Italian 
French