Una sanzione di 280.000 euro comminata dal Garante per la protezione dei dati personali riporta l’attenzione su un tema che riguarda da vicino tutte le organizzazioni: la gestione dei dati personali all’interno dei processi aziendali.

Le criticità, infatti, non nascono necessariamente da un attacco informatico o da una violazione dei sistemi. Possono emergere anche dalla gestione quotidiana delle informazioni: dati raccolti durante procedure non completate, comunicazioni commerciali effettuate nonostante un’opposizione o informazioni che continuano a essere utilizzate senza un adeguato controllo sulla loro origine e finalità.

Il punto è semplice: la conformità GDPR non si esaurisce nel momento in cui un utente compila un modulo o seleziona una casella di consenso.

Il dato non finisce quando viene raccolto

Quando un’azienda acquisisce un nuovo contatto attraverso il sito web, una landing page, un evento o una richiesta commerciale, quel dato entra normalmente in diversi sistemi.

Può passare dal sito al CRM, essere utilizzato da una piattaforma di marketing automation, essere consultato dal reparto commerciale e successivamente gestito dai sistemi di customer care.

Ogni passaggio deve essere coerente con le finalità per cui il dato è stato raccolto.

Un indirizzo e-mail presente nel CRM, ad esempio, potrebbe appartenere a:

• una persona che ha richiesto semplicemente informazioni;
• un utente che non ha completato una procedura di registrazione;
• un contatto che non ha fornito il consenso per finalità promozionali;
• un cliente che si è opposto alle comunicazioni commerciali;
• un interessato che ha modificato nel tempo le proprie preferenze.

Trattare tutte queste informazioni allo stesso modo può generare criticità.

La governance dei dati coinvolge anche l’IT

È qui che privacy e tecnologia diventano strettamente collegate.

Una corretta governance dei dati richiede infatti che processi, applicazioni e sistemi informativi siano in grado di gestire correttamente le informazioni durante tutto il loro ciclo di vita.

Non basta quindi sapere che un consenso è stato raccolto. È necessario che questa informazione venga registrata, aggiornata e, quando necessario, resa disponibile agli altri sistemi coinvolti nel trattamento.

Lo stesso vale per revoche, opposizioni, modifiche dei dati e richieste degli interessati.

Quando i sistemi non comunicano correttamente tra loro o i processi non prevedono controlli adeguati, aumenta il rischio che informazioni non più utilizzabili continuino a essere trattate.

Dalla compliance all’accountability

Il principio di accountability richiede alle organizzazioni non solo di rispettare gli obblighi previsti dal GDPR, ma anche di essere in grado di dimostrare le proprie scelte e i propri processi.

Per questo è importante poter ricostruire elementi come:

• origine del dato;
• finalità del trattamento;
• base giuridica;
• consensi e autorizzazioni;
• modifiche intervenute nel tempo;
• revoche e opposizioni;
• modalità con cui queste informazioni vengono propagate nei sistemi aziendali.

La conformità diventa quindi parte integrante dell’organizzazione e non soltanto della documentazione privacy.

5 domande per capire quanto è sotto controllo il dato

Ogni organizzazione dovrebbe chiedersi:

1. Sappiamo perché ogni dato personale è presente nei nostri sistemi?

2. Possiamo ricostruire la finalità e la base giuridica che ne giustificano il trattamento?

3. CRM, software gestionali, piattaforme di marketing e altri strumenti utilizzano informazioni coerenti e aggiornate?

4. Revoche, opposizioni e modifiche alle preferenze vengono recepite correttamente da tutti i sistemi coinvolti?

5. Effettuiamo verifiche periodiche sui processi che gestiscono dati personali?

Se rispondere a una di queste domande richiede verifiche manuali, informazioni disperse o procedure non documentate, potrebbe essere il momento di approfondire la propria governance del dato.

La tecnologia come supporto alla conformità

Una gestione efficace dei dati personali richiede la collaborazione tra organizzazione, processi, persone e tecnologia.

M2 Informatica può supportare imprese e professionisti nell’analisi dell’infrastruttura e dei sistemi IT, nell’individuazione delle criticità e nella verifica dei processi tecnologici che intervengono nella gestione delle informazioni.

L’obiettivo non è soltanto ridurre il rischio di non conformità, ma costruire un ambiente IT nel quale sicurezza, controllo e gestione dei dati siano parte integrante dei processi aziendali.

Il dato personale è una risorsa. Governarlo correttamente è una responsabilità.

Vuoi capire se i sistemi e i processi della tua azienda sono realmente in grado di governare i dati personali?

Contattaci per approfondire la situazione della tua organizzazione.