L’EDPB ha recentemente pubblicato un report nell’ambito dell’azione CEF (Coordinated Enforcement Framework) che analizza il diritto all’oblio (art. 17 GDPR) alla luce del crescente suo esercizio da parte degli interessati e della considerevole quantità di reclami presentati alle Autorità di protezione.
Differenti Autorità di protezione dei dati e titolari del trattamento hanno preso parte all’iniziativa: il Report aggrega i dati raccolti ed individua 7 sfide ricorrenti riscontrate dai partecipanti ed enuncia delle raccomandazioni e buone pratiche.
Mancanza di procedure interne documentate per gestire le richieste
- Fra le raccomandazioni per le Autorità di vigilanza e l’EDPB, il rapporto individua:
- fornire modelli per i diversi casi d’uso
- sviluppare linee guida e pubblicizzare quelle già esistenti
- sensibilizzare
- Fra le raccomandazioni per i titolari del trattamento:
- stabilire e aggiornare le procedure interne con scadenze chiare
- assegnare le responsabilità tra i soggetti coinvolti per la gestione delle richieste
- Buone pratiche:
- coinvolgere un team responsabile della gestione delle richieste
- utilizzare indicatori chiave di prestazione (KPI) per monitorarle
- definire i termini tecnici in locuzioni maggiormente comprensibili
Assenza o inadeguatezza della formazione del personale
- Raccomandazioni per i titolari del trattamento:
- sensibilizzare e fornire informazioni chiare sui diritto all’oblio
- valutare l’uso di programmi di e-learning
- Buone pratiche per i titolari del trattamento:
- organizzare sessioni di formazione interna
- testare il personale con richieste false per verificare il processo.
Informazioni insufficienti fornite agli interessati
- Raccomandazioni per Autorità di vigilanza/EDPB:
- rendere disponibile un modello di modulo da fornire agli interessati o rendere più visibili quelli già esistenti
- fornire dei modelli per aiutare i titolari del trattamento a rispondere alle richieste degli interessati
- Raccomandazioni per i titolari del trattamento:
- aggiornare le informative privacy per garantire che gli interessati ricevano le informazioni in merito all’esercizio del diritto all’oblio
- rendere accessibili i dati di contatto o gli altri canali per presentare la richiesta
- preparare modelli per rispondere alle richieste
- Buone pratiche per i titolari del trattamento:
- fornire canali di comunicazione diversi e di facile utilizzo
- confermare la ricezione della richiesta
- pubblicare FAQ e centri di assistenza per facilitare la comprensione del diritto
- dare la possibilità di esercitare prima il diritto di accesso
Uso improprio e incertezza giuridica sulle eccezioni per negare le richieste di cancellazione
- Raccomandazioni per Autorità di vigilanza/EDPB: fornire ulteriori indicazioni mirate e chiarimenti sulla corretta applicazione del diritto all’oblio
- Raccomandazioni per i titolari del trattamento:
- documentare per iscritto le motivazioni al diniego alla cancellazione
- coinvolgere i team di conformità o legali nei processi decisionali relativi al rifiuto o al rinvio delle richieste
Difficoltà nella definizione e nell’attuazione dei periodi di conservazione dei dati
- Raccomandazioni per Autorità di vigilanza/EDPB:
- fornire ulteriori indicazioni pratiche su come definire e attuare i periodi di conservazione, anche tenendo conto degli obblighi nazionali
- precisare come questi interagiscono con il diritto all’oblio
- Raccomandazioni per i titolari del trattamento:
- indicare nel ROPA se vi sono obblighi legali di conservazione
- mantenere e aggiornare la politica di conservazione specificando i periodi applicabili
- Buone pratiche per i titolari del trattamento:
- specificare nelle informative i periodi di conservazione e i criteri per determinarli
- utilizzare un modello di cancellazione dei dati che indicizzi in maniera incrociata le informazioni trattate
Cancellazione dei dati personali nel contesto dei backup
- Raccomandazioni per Autorità di vigilanza/EDPB:
- fornire linee guida per spiegare come i titolari del trattamento dovrebbero gestire la cancellazione nei backup
- cosa significhi “senza ingiustificato ritardo”
- Raccomandazioni per i titolari del trattamento:
- seguire gli standard stabiliti per cancellare i dati in modo sicuro e strutturato
- verificare che la cancellazione sia correttamente avvenuta
- Buone pratiche per i titolari del trattamento:
- sostituire i dati da eliminare con stringhe di caratteri casuali
- usare software che trasferiscono automaticamente i dati in backup inaccessibili
Difficoltà con l’anonimizzazione per rispondere alle richieste di cancellazione
- Raccomandazioni per Autorità di vigilanza/EDPB: continuare a fornire linee guida pratiche sull’argomento
- Buone pratiche per i titolari del trattamento: implementare standard tecnici sui sistemi di gestione.
