Si è tentati di vedere il GDPR come una lunga, fastidiosa e talvolta contorta casella di controllo della conformità. Tuttavia, il GDPR è stato concepito come un modello di buona governance dei dati piuttosto che come una semplice lista di cose da fare e da non fare. Potete esaminare ogni articolo, assicurarvi di essere conformi e andare avanti. Oppure si può guardare al regolamento come ispirazione per strategie che possono essere vantaggiose oltre che conformi.
La scorsa settimana Miloš Novović e Rie Aleksandra Walle hanno toccato alcune importanti regole di buona governance dei dati nel loro fantastico podcast Grumpy GDPR, tra cui la minimizzazione dei dati. La loro discussione ha ispirato anche noi a scriverne.
Vogliamo mostrare come la minimizzazione dei dati possa gettare le basi per strategie intelligenti di governance dei dati che mettano insieme privacy, conformità e decisioni aziendali solide.
- Che cos'è la minimizzazione dei dati?
- Meno può essere più?
- I dati non sono il nuovo petrolio, ma le nuove azioni
- Come posso ridurre al minimo i miei dati?
- Conclusioni
Immergiamoci in questa storia!
Che cos'è la minimizzazione dei dati?
L'articolo 5, paragrafo 1, lettera c) del GDPR recita: "i dati personali sono (...) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati". In una parola: dovete raccogliere e trattare solo i dati di cui avete bisogno. Questo è ciò che intendono i legali dei dati quando parlano di minimizzazione dei dati.
La minimizzazione dei dati è uno dei principi fondamentali del GDPR ed è strettamente legata ad altri principi come la limitazione delle finalità e la limitazione della conservazione. La minimizzazione dei dati svolge un ruolo fondamentale per la conformità, ma ci sono altri motivi per prendere sul serio questo principio.
Meno può essere più?
La maggior parte delle aziende tratta i dati come un bene: ne vuole il più possibile. È facile accettare questo atteggiamento generale e dimenticare che i dati hanno un costo. È ovvio che i costi tecnici aumentano con il volume dei dati, sia che l'elaborazione avvenga internamente sia che venga esternalizzata a un elaboratore.
Ma i costi operativi non sono gli unici da considerare. Il trattamento dei dati personali comporta elevati costi di conformità. I responsabili del trattamento sono soggetti a numerosi obblighi: devono rispondere alle richieste degli interessati, occuparsi della sicurezza informatica e organizzativa e così via. Se si affidano a un incaricato del trattamento, devono anche assicurarsi che questo sia conforme al GDPR. Tutto questo non è semplice e diventa più costoso e complicato quando si trattano più dati.
I costi e i rischi di conformità non dipendono solo dal volume dei dati: anche la loro natura ha un impatto significativo. Come regola generale, più i dati sono sensibili, più i costi aumentano. I dati relativi all'ubicazione sono più sensibili delle informazioni di contatto, quindi è necessario predisporre sistemi di sicurezza più solidi per affrontare i rischi. Questo vale soprattutto per le categorie specifiche di dati soggette a una protezione speciale ai sensi del GDPR, come i dati sanitari, l'orientamento sessuale e le convinzioni politiche. Il trattamento di questi tipi di dati rende inoltre più onerosa la conformità per il responsabile del trattamento, poiché si applicano regole più severe.
Infine, maggiore è il numero di dati trattati, maggiore è la probabilità che qualcosa vada storto a un certo punto e peggiore sarà la vostra posizione in caso di incidente. Supponiamo che la vostra azienda sia sottoposta a un'indagine per qualsiasi motivo. In questo caso, l'ultima cosa che volete è che un'autorità per la protezione dei dati scopra che avete trattato dati di cui non avete realmente bisogno, poiché le autorità per la protezione dei dati tendono a prendere molto sul serio il principio della minimizzazione dei dati. Inoltre, la memorizzazione di grandi quantità di dati comporta il rischio di una violazione dei dati più significativa, che potrebbe avere conseguenze gravi e attirare sulla vostra azienda un'attenzione mediatica indesiderata.
I dati non sono il nuovo petrolio, ma le nuove azioni
"I dati sono il nuovo petrolio" è un'espressione ormai comune, ma le azioni sono probabilmente una metafora migliore. Le azioni possono farvi guadagnare molto o farvi perdere molto. Gli investitori di successo hanno una strategia chiara in mente e sono consapevoli dei rischi che corrono.
Idati devono essere affrontati con la stessa mentalità. Non bisogna raccogliere dati solo perché si può. Dovreste chiedervi: quale obiettivo voglio raggiungere con l'elaborazione dei dati? Di quali dati ho realmente bisogno per raggiungere l'obiettivo? L'obiettivo vale il rischio? Ho davvero bisogno di tutti i dati che già possiedo o posso trarre beneficio dalla cancellazione di alcuni?
Una mentalità di minimizzazione dei dati può farvi risparmiare denaro e problemi di conformità, semplificare l'aspetto tecnico della vostra attività e aiutare la vostra azienda a costruirsi una reputazione di buona governance dei dati e di rispetto della privacy. Infine, ma non meno importante, può contribuire a costruire un Internet migliore, in cui ogni singola comunicazione, clic e interazione non sia più tracciata per avidità insensata.
Come posso ridurre al minimo i miei dati?
Non esiste una risposta univoca, ma porsi le domande giuste può essere un buon punto di partenza:
- quali dati personali tratto?
- per quale scopo li tratto?
- li tratto in modo da perseguire tale scopo?
- per quanto tempo conservo i dati? E per quanto tempo ho bisogno di conservarli?
Naturalmente, è probabile che trattiate diversi tipi di dati personali: ad esempio, i dati analitici per il vostro sito web, le informazioni di contatto per la vostra newsletter, i dati dei dipendenti e le informazioni di pagamento dei vostri clienti. È meglio pensare a ciascuno di questi tipi di dati separatamente, piuttosto che buttarli tutti insieme.
La prima domanda è probabilmente la più difficile perché la definizione di dati personali ai sensi del GDPR è complessa. I dati personali non sono solo informazioni che identificano una persona, come un nome o un'e-mail. Abbiamo affrontato questo argomento non molto tempo fa nelle nostre FAQ sul GDPR, ma abbiamo a malapena scalfito la superficie.
Nessuna di queste domande è facile e va bene se non avete ancora tutte le risposte. Tenerle a mente può comunque aiutarvi a capire meglio le vostre operazioni di trattamento dei dati, il che è un punto di partenza per ridurre al minimo i vostri dati. Una volta che avrete un quadro abbastanza chiaro, probabilmente troverete alcune opportunità di miglioramento.
Ad esempio, alcune API utilizzano i cookie e altre no. Forse alcune API del vostro sito web possono essere facilmente sostituite con altre meno invasive con pochi o nessun inconveniente. Ma questo potrebbe non essere evidente finché non avrete un quadro completo dei dati raccolti dal vostro sito web.
Conclusioni
Abbiamo costruito Simple Analytics come risposta all'invasività della privacy di Google Analytics. Crediamo in un web indipendente che sia amichevole per i visitatori del sito. Se questo vi convince, non esitate a provarci.