Consigli degli esperti sulla protezione dei dati e la gestione dei rischi

Un numero senza precedenti di aziende online raccoglie e archivia enormi quantità di dati degli utenti. Cosa possono fare per garantirne la protezione? Kristina Drigotaitė, responsabile della gestione dei rischi presso ConnectPay, ci ha spiegato cosa dovrebbero sapere le aziende in materia di protezione dei dati, come ridurre al minimo le violazioni dei dati e perché è opportuno raccogliere il minor numero possibile di dati.

Cosa dovrebbe sapere ogni azienda online in materia di protezione dei dati?

È molto importante che ogni azienda online, indipendentemente dalle sue dimensioni, comprenda cosa siano i dati personali e cosa comprendano. A prima vista, i dati personali includono informazioni sull’identità, informazioni di contatto, informazioni finanziarie, informazioni sugli account online, dati di localizzazione, dati di comunicazione, cronologia di navigazione web, dati dei social media, dati sanitari e medici, dati biometrici e dati sull’utilizzo di app e dispositivi. In un mondo sempre più digitale, gli utenti condividono una quantità sempre maggiore di questi dati con diverse aziende. 

Cosa significa tutto questo per le aziende? Innanzitutto, le imprese online dovrebbero comprendere le norme fondamentali in materia di protezione dei dati personali a cui sono tenute ad attenersi. Ma è importante anche avere la giusta mentalità. Dopotutto, essere al passo con le norme sulla protezione dei dati non significa solo garantire la conformità, ma anche conquistare e mantenere la fiducia dei propri clienti. 

E questo consiglio vale per le attività online di qualsiasi dimensione, giusto?

Senza dubbio. Ritengo che un certo livello di attenzione e consapevolezza riguardo all’importanza della protezione dei dati personali sia fondamentale per ogni singola attività online. E non c’è praticamente nessuna attività online che non raccolga dati personali. 

In ogni caso, la trasparenza è fondamentale. Hai un legame diretto con i tuoi utenti, o come vengono chiamati in questo contesto: “interessati”. Essere trasparenti e aperti riguardo a quali dati, per quali finalità e per quanto tempo vengono raccolti e conservati: tutto questo deve essere presentato in modo comprensibile all’utente finale.

Anche se i dati sono disponibili al pubblico altrove?

Anche in quel caso. Se l'utente finale condivide dei dati con me, ciò non significa che io possa utilizzarli come mi pare e piace.

I dati vengono classificati in base al loro livello di riservatezza?

Il termine “dati personali sensibili” comprende i dati relativi alle opinioni politiche, alla religione, all’orientamento sessuale, ai dati biometrici e simili di una persona. Si tratta di dati più sensibili rispetto, ad esempio, a un indirizzo e-mail, pertanto il GDPR li disciplina in modo più rigoroso. 

Qual è il tuo consiglio per le aziende online che trattano questo tipo di dati?

In qualità di azienda online, devi sempre giustificare adeguatamente la necessità di raccogliere dati personali. Devi dedicare tempo e risorse sufficienti per definire con chiarezza e comprendere quali dati personali ti servono, per quali finalità e su quale base giuridica puoi effettivamente trattarli. In questo caso, la minimizzazione è fondamentale: raccogli il minimo indispensabile. E quando decidi di raccogliere e trattare i dati per poter offrire il miglior prodotto o la migliore esperienza all’utente finale, devi essere pienamente pronto a spiegare su quale base giuridica li tratti e a dimostrare a quale scopo utilizzi tali dati. Ad esempio, se raccogli i miei dati identificativi per verificare la mia identità, come previsto dalla legge, non puoi in alcun caso utilizzare gli stessi dati per finalità di marketing o per altri scopi non correlati.

Un altro aspetto importante è stabilire un periodo di conservazione per ogni attività di trattamento dei dati. Nessun dato personale può essere trattato o conservato all’infinito. I dati devono essere conservati solo per il tempo necessario a raggiungere l’obiettivo inizialmente prefissato. Una volta raggiunto tale obiettivo, i dati devono essere cancellati. Spesso le aziende che stanno avviando la propria attività rimandano questa operazione a un momento successivo. Tuttavia, se non si seguono i principi della «Privacy by Design» e non si gettano le basi giuste fin dall’inizio, in seguito potrebbe risultare complicato implementare e garantire i periodi di conservazione per le varie categorie di dati personali.

Il GDPR è l'unico quadro normativo di cui le aziende online dovrebbero tenere conto?

Il GDPR è un regolamento che tutela i diritti dei cittadini dell’UE. Anche se un’azienda ha sede al di fuori dell’UE ma si rivolge a persone residenti nell’UE e raccoglie dati personali relativi a queste ultime, deve conformarsi al GDPR. E, naturalmente, il GDPR non è l’unico regolamento a cui le aziende devono attenersi. Il GDPR è semplicemente più rigoroso rispetto a molte normative locali, ed è per questo che in alcuni paesi viene considerato come uno standard. Tuttavia, ogni singolo paese può avere normative locali interne in materia di protezione dei dati. Pertanto, la conformità dipende dal mercato a cui l’azienda si rivolge e dall’area geografica in cui si trovano i suoi clienti.

Le aziende come le neobank sono soggette a un controllo più rigoroso in materia di protezione dei dati? Oppure tutti gli operatori del settore online sono più o meno sullo stesso piano?

Credo che gli obblighi siano gli stessi. Per gli istituti finanziari autorizzati, in realtà potrebbe persino essere più facile giustificare la raccolta di una grande quantità di dati, poiché, ad esempio, le leggi antiriciclaggio li obbligano a farlo. 

L'altro aspetto che contraddistingue neo-banche è la loro complessità. In quanto piattaforme, le neobanche potrebbero avere un’ottima idea imprenditoriale, ma non disporre della tecnologia o della licenza necessarie per realizzarla. Pertanto, potrebbero stringere partnership con entità autorizzate oppure avvalersi di altri fornitori e subappaltatori terzi per esternalizzare la soluzione tecnologica. Ciò significa che le neobanche spesso coinvolgono soggetti terzi nella definizione del proprio modello di business e si avvalgono di partner che forniscono una parte dei servizi. 

Ciò rende la protezione dei dati piuttosto complessa, poiché la normativa prevede che le responsabilità delle diverse parti siano definite con estrema chiarezza. Alcune parti potrebbero avere una base giuridica per raccogliere dati, mentre altre no. Anche quando i dati possono essere condivisi tra le parti, ciò comporta automaticamente un rischio aggiuntivo.

Ecco perché, quando si crea una piattaforma, è necessario pensare fin dall’inizio ai dati personali, a chi li si condividerà e a chi ne sarà il titolare. E, sulla base di ciò, occorre definire in che modo i dati verranno trasmessi da una parte all’altra. È inoltre necessario stipulare con loro adeguati accordi sul trattamento dei dati, garantire una supervisione continua ed essere trasparenti con gli interessati riguardo al trasferimento dei loro dati a terzi.

Esiste un modo per assicurarmi che, in caso di violazione dei dati presso la società terza che gestisce i dati dei miei clienti, io non sia ritenuto legalmente responsabile? 

Vorrei avere una soluzione magica a questo problema. Tuttavia, quando un'azienda online è il titolare del trattamento ai sensi di legge – ovvero colui che definisce quali dati personali devono essere raccolti, per quale motivo e così via – ma ha stipulato contratti con fornitori di servizi terzi che trattano tali dati, tale azienda è responsabile anche se un responsabile del trattamento partner commette un errore o qualcosa va storto. In qualità di titolare del trattamento, non può sottrarsi alle proprie responsabilità, poiché è stata proprio lei a scegliere il fornitore di servizi e a stipulare il contratto con lui. Entrambe le parti sono responsabili. 

Naturalmente, la responsabilità potrebbe essere ridotta al minimo se si tracciano linee chiare e si definiscono ruoli e responsabilità ben precisi in relazione ai dati, e se il proprio partner, in qualità di titolare del trattamento, è l’unico responsabile quando qualcosa va storto. Ma nel caso delle neobanche, direi che è molto difficile distinguere questi aspetti. Perché agli occhi dell’utente finale si tratta di un’unica piattaforma: è un pacchetto di soluzioni a cui l’utente affida i propri dati. Quindi, sebbene sia importante che la piattaforma fornisca informazioni sulla condivisione dei dati con terze parti, ciò non la esonera dalla responsabilità. Se un vostro partner stretto, che fornisce servizi per la vostra piattaforma, subisce una violazione dei dati, la reputazione della vostra azienda ne risentirà. E la reputazione è un aspetto che può causare molti danni. In definitiva, non si tratta solo delle multe. 

Nella maggior parte dei casi di violazioni dei dati, si sente spesso parlare di fughe di dati che coinvolgono migliaia o addirittura milioni di utenti. Esistono modi per ridurre al minimo la portata di tali violazioni, in modo che, qualora si verificasse una violazione, ne fosse interessata solo una piccola parte degli utenti?

Dipende davvero dalle attività di una determinata azienda, dal tipo di dati che raccoglie e dall’uso che ne fa. Tuttavia, un modo per ridurre al minimo le violazioni dei dati consiste nella gestione iniziale del rischio, ovvero nell’adottare in modo proattivo determinate misure a tutela dei dati sin dall’avvio dell’attività. Ciò potrebbe comportare rigorosi controlli sull’accesso ai dati, la crittografia dei dati, elevati standard di privacy dei software e altre misure tecniche di sicurezza delle informazioni. 

L’altro aspetto riguarda le misure organizzative da adottare. La formazione è importante, poiché esistono numerosi rischi per la sicurezza dei dati legati all’ingegneria sociale. L’errore umano rappresenta una quota enorme delle violazioni dei dati, pertanto è fondamentale fornire una formazione adeguata per garantire che i dipendenti abbiano responsabilità chiare e possano accedere solo ai dati di cui hanno bisogno. Altre misure organizzative potrebbero includere la definizione di politiche e procedure di sicurezza delle informazioni, nonché un processo chiaro per la gestione delle violazioni dei dati personali; la definizione chiara dei ruoli all’interno dell’organizzazione; la garanzia di una corretta gestione del cambiamento e altro ancora. 

Anche se attraverso la tua neobanca non vengono riciclati fondi, ma il tuo sistema antiriciclaggio è carente, potresti comunque ricevere una sanzione. Vale lo stesso per la protezione dei dati? È possibile essere sottoposti a verifica anche senza aver subito violazioni dei dati?

È possibile. Fortunatamente, in ogni paese esiste un’Autorità per la protezione dei dati, che ha il compito di vigilare sul modo in cui le aziende trattano i dati personali. E se si esaminano le ispezioni programmate dell’Ispettorato statale per la protezione dei dati in Lituania, si nota che riguardano molti settori diversi e non si limitano a seguire i casi di violazione dei dati. 

Ma in caso di violazione, è necessario segnalarla all’SDPI entro 72 ore, specificando in modo molto chiaro cosa è successo, perché è successo, cosa avete fatto, quali misure preventive potete adottare e così via. A volte ciò può portare a un’indagine, come nel caso di CityBee.

Un altro aspetto importante riguarda i reclami. Se non si agisce in modo trasparente, se si fa un uso improprio dei dati, se non si è in grado di garantire i diritti degli utenti finali o se si trascurano le loro richieste, questi potrebbero presentare reclamo direttamente all’autorità di regolamentazione. Ciò potrebbe anche dare luogo a un’indagine.

Che si verifichi o meno una violazione, mantenere un buon rapporto con l'autorità di regolamentazione è molto importante, vero?

Sì. Perché è proprio questo che vogliamo fare con tutte le autorità di regolamentazione, giusto? Vogliamo essere disponibili a rispondere alle loro domande, collaborare, adempiere ai nostri obblighi di legge e rispettare davvero la privacy dei dati e i clienti con cui lavoriamo.

In che modo le autorità di regolamentazione aiutano le aziende a rispettare le norme sulla protezione dei dati?

Forniscono linee guida e interpretazioni chiare del GDPR. Ho partecipato a diverse sessioni di formazione per il settore privato organizzate dall’autorità di controllo lituana. E se state pianificando un cambiamento nella vostra azienda, come l’introduzione di nuovi prodotti o tecnologie, e ciò comporta il trattamento dei dati personali, dovete valutare i rischi. Nei casi in cui la valutazione dei rischi da voi condotta riveli un’esposizione piuttosto significativa anche dopo l’applicazione di una serie di misure di mitigazione, potete sempre rivolgervi direttamente all’autorità di controllo e consultarla in merito a specifiche attività di trattamento dei dati.

Le aziende controllano regolarmente i propri database alla ricerca di dati degli utenti che possono essere cancellati, ad esempio quando un cliente non utilizza il loro servizio da molto tempo?

È un aspetto che va chiarito fin dall’inizio. Nessuna azienda può utilizzare all’infinito i dati personali di un determinato individuo. Qualunque sia l’attività di trattamento per cui l’azienda raccoglie i dati personali, essa deve stabilire un periodo di tempo specifico entro il quale tali dati devono essere cancellati. 

Se sei un istituto finanziario e accetti nuovi clienti, devi rispettare determinati obblighi legali: la legge prevede che tu debba conservare i dati di un utente per otto anni, anche dopo la cessazione del contratto con l’utente stesso. Ma se, ad esempio, aveste voluto diventare clienti ma non lo avete mai fatto – per esempio, avete ritirato la vostra richiesta o avete semplicemente inviato alcune domande ma poi avete cambiato idea – l’istituto finanziario non potrebbe giustificare la conservazione dei vostri dati per otto anni. Dovrebbe cancellare tali dati molto, molto prima.

Quali sono i diritti degli utenti in materia di dati? Hai il diritto di chiedere quali dati sono in possesso dell'azienda, se puoi modificarli o farli cancellare?

Sì, a tutte queste affermazioni. Puoi anche chiedere, ad esempio, che i tuoi dati vengano trasferiti da un’azienda all’altra. Esistono altri diritti, ma non tutti vengono ancora esercitati molto spesso, perché non tutti gli utenti conoscono e comprendono i propri diritti. 

Ciò che va sottolineato è che a volte le persone ritengono di avere il diritto di chiedere a chiunque, ovunque, di cancellare i propri dati. In realtà non è proprio così. Se un'azienda ha un fondamento giuridico per conservare i dati, potrebbe non accogliere integralmente tale richiesta. Ad esempio, in qualità di istituto finanziario, sono tenuto a conservare i tuoi dati, ma tu mi hai chiesto di cancellarli. Cancellerò tutti i dati relativi alle nostre comunicazioni, per esempio, ma conserverò i dati fondamentali richiesti dalla normativa. Tuttavia, le aziende online devono rispettare e attenersi ai diritti degli interessati e rispondere alle loro preoccupazioni in modo tempestivo e rispettoso, fornendo tutte le giustificazioni necessarie sul motivo per cui, ad esempio, determinati dati non possono essere cancellati. Dopotutto, gli interessati hanno anche il diritto di presentare reclamo direttamente all’autorità di controllo.