Distruzione documenti e GDPR
quali prove servono in caso di controllo?
Distruzione documenti e GDPR
quali prove servono in caso di controllo?
Quando nella tua azienda elimini documenti contenenti dati personali, non basta aver seguito una procedura corretta: devi anche essere in grado di dimostrare come quei dati sono stati gestiti e distrutti.
È il principio di accountability previsto dal GDPR: il titolare del trattamento deve rispettare il Regolamento e i principi di limitazione della conservazione, integrità e riservatezza dei dati ed essere in grado di dimostrarlo.
In materia di distruzione documenti e GDPR, quali prove dovresti conservare per dimostrare la correttezza del processo in caso di controllo o audit?
Indice
- Quali prove servono in caso di controllo GDPR?
- Il certificato di distruzione dei documenti basta?
- Chi è responsabile quando la distruzione è affidata a un fornitore esterno?
- Perché è importante documentare ogni fase della distruzione?
- Quali verifiche fare prima di avviare la distruzione dei documenti?
- FAQ
Quali prove servono in caso di controllo GDPR?
Non esiste un unico “documento GDPR” valido per ogni situazione. Le evidenze dipendono dal tipo di trattamento, dall’organizzazione e dai rischi. Per la distruzione di documenti cartacei contenenti dati personali, però, è utile che tu sia in grado di ricostruire almeno questi elementi:
- quali documenti sono stati avviati alla distruzione
- quando sono stati ritirati e distrutti
- chi ha preso in carico il materiale
- quali istruzioni sono state impartite al fornitore, quando applicabile
- come sono avvenuti il trasporto, la custodia e la distruzione
- quale evidenza è stata rilasciata al termine del processo.
Il punto non è accumulare carta, ma poter dimostrare che il processo è stato organizzato, controllato e documentato.
Il certificato di distruzione dei documenti basta?
Da solo, non sempre.
Il certificato di avvenuta distruzione è una prova importante, ma acquista maggiore valore se collegato a un processo tracciabile: identificazione dei documenti, presa in carico e registrazione degli spostamenti delle scatole o dei lotti.
Facciamo un esempio.
Hai affidato a un fornitore la distruzione di 500 kg di documenti. Al termine del processo, ti ha rilasciato il certificato finale. Ma, se durante un controllo ti chiedessero quali documenti sono stati effettivamente distrutti e quali istruzioni hai impartito al fornitore, sapresti dimostrarlo?
Un elenco della documentazione collegato ai codici identificativi delle scatole o dei lotti, i documenti di presa in carico e le istruzioni documentate al fornitore possono aiutarti a ricostruire il processo e a collegare le attività svolte al certificato di avvenuta distruzione.
È quanto abbiamo fatto, ad esempio, nel progetto realizzato per FCA Bank, dove il certificato finale è stato accompagnato da un elenco dettagliato della documentazione distrutta.
Per approfondire la funzione di questa attestazione, puoi consultare l’articolo dedicato al certificato di distruzione dei documenti sensibili.
Chi è responsabile quando la distruzione è affidata a un fornitore esterno?
Affidare la distruzione dei documenti a un fornitore specializzato non elimina le responsabilità del titolare del trattamento.
Se il fornitore tratta dati personali per conto della tua organizzazione, l’articolo 28 del GDPR richiede che il rapporto sia regolato da un contratto o altro atto giuridico che definisca, tra l’altro, le istruzioni da seguire e le misure di sicurezza da adottare.
Devi quindi essere in grado di dimostrare non soltanto l’avvenuta distruzione, ma anche di aver adottato misure appropriate nella scelta e nella gestione del fornitore.
Affidarsi a un fornitore che garantisce un processo tracciabile e documentato ti aiuta a disporre delle evidenze necessarie per ricostruire le attività svolte, dalla presa in carico fino alla distruzione.
Scopri come gestiamo ogni fase del processo.
Perché è importante documentare ogni fase della distruzione?
Perché il rischio non termina quando i documenti escono dall’ufficio.
Una perdita, un accesso non autorizzato o una divulgazione accidentale di dati personali può configurare una violazione dei dati. In caso di data breach, il titolare deve documentare l’accaduto e, nei casi previsti, notificare la violazione al Garante.
Per questo, la distruzione documentale dovrebbe essere trattata come una vera fase del ciclo di vita del dato, non come una semplice attività di smaltimento.
Per approfondire come organizzare le diverse fasi del processo, puoi leggere l’articolo sulla sicurezza e tracciabilità nella distruzione certificata.
Quali verifiche fare prima di avviare la distruzione dei documenti?
Prima di preparare scatole e faldoni, verifica con attenzione che vi siano:
1. Criteri chiari per stabilire quali documenti possono essere distrutti. Devono essere trascorsi i tempi di conservazione previsti e non devono esserci altri obblighi o esigenze che ne richiedano il mantenimento;
2. Un elenco o una modalità di identificazione della documentazione. Per sapere quali documenti sono stati consegnati e seguirne il percorso fino alla distruzione;
3. Procedure e misure di sicurezza adeguate. Per proteggere i dati durante tutte le fasi del processo, anche quando la distruzione viene affidata a un fornitore esterno;
4. Il rilascio previsto di un’attestazione finale di distruzione. Verifica che sia previsto il rilascio di un certificato, verbale o altra documentazione che attesti l’avvenuta eliminazione;
Vuoi essere preparato in caso di controlli o audit sulla distruzione dei documenti?
Affidati a noi per un processo di distruzione certificata, tracciabile e documentato, dalla presa in carico all’avvenuta distruzione.
FAQ
Il GDPR non stabilisce un numero di anni obbligatorio. È buona pratica definire un periodo di conservazione adeguato, che permetta di dimostrare l’avvenuta distruzione in caso di controlli o contestazioni, verificando eventuali obblighi specifici. Conserva il certificato insieme agli elenchi e alle altre evidenze che consentono di identificare la documentazione eliminata.
Non sempre. Se il fornitore tratta dati personali per conto della tua organizzazione, deve essere designato responsabile del trattamento con un contratto o altro atto giuridico conforme all’art. 28 del GDPR. Se invece opera come titolare autonomo, questa nomina non è necessaria. La distinzione dipende dal ruolo effettivamente svolto dal fornitore.
Lo smarrimento di documenti contenenti dati personali può costituire una violazione dei dati (data breach). Il titolare deve documentare l’accaduto, valutarne i rischi e, quando ricorrono le condizioni previste dal GDPR, notificare la violazione al Garante entro 72 ore da quando ne è venuto a conoscenza, ove possibile.
