Le aziende raccolgono una quantità incredibile di dati durante le loro attività, ma raramente si fermano a esaminarli o addirittura a eliminare i dati.
Una Policy di Conservazione dei dati definisce per quanto tempo la tua azienda conserva i diversi tipi di informazioni, perché le conserva, chi può accedervi e come devono essere eliminate quando non sono più necessarie. Per le piccole e medie imprese, è uno dei modi più pratici per ridurre il rischio di non conformità senza complicare eccessivamente le attività quotidiane.
Molte aziende conservano i dati più a lungo del necessario perché l’eliminazione sembra rischiosa. I vecchi record dei clienti rimangono in un CRM. I File degli ex dipendenti restano nei drive condivisi. I contratti rimangono nelle caselle di posta in arrivo per anni. I fogli di calcolo esportati vengono salvati “giusto in caso”. Con il tempo, l’azienda finisce per archiviare più informazioni di identificazione personale (PII), record finanziari e informazioni interne di quante possa gestirne correttamente.
Questo crea un problema ai sensi del GDPR. Il principio di limitazione dell’archiviazione significa che i dati personali non dovrebbero essere conservati più a lungo del necessario per lo scopo per cui sono stati raccolti. Una Policy di Conservazione aiuta a trasformare questo principio in un sistema funzionante: cosa conservi, per quanto tempo, dove si trova, a chi appartiene, come viene rimosso e come viene protetto l’accesso ai dati conservati.
Questo è importante perché le password deboli rimangono una delle vulnerabilità più comuni per le aziende di tutte le dimensioni, e i dati conservati rimangono esposti se i controlli di accesso sono deboli.
Che cos’è una Policy di Conservazione dei dati?
Perché una Policy di Conservazione dei dati è importante?
Che tipo di dati ha bisogno di un programma di Conservazione?
Requisiti di Conservazione dei dati nel Regno Unito: cosa dovrebbero sapere le PMI
Modello di Policy di Conservazione dei dati per le PMI
Controllo dell’accesso e dati conservati
Errori comuni nella Policy di Conservazione dei dati
Trasformare le regole di Conservazione nella pratica quotidiana
Che cos’è una Policy di Conservazione dei dati?
Una Policy di Conservazione dei dati è un insieme di regole che definisce per quanto tempo diverse categorie di dati devono essere conservate all’interno di un’azienda e cosa succede al termine del periodo di Conservazione. Di solito copre dati personali, record dei clienti, File dei dipendenti, documenti finanziari, contratti, comunicazioni, record operativi e documenti critici per l’azienda.
Una Policy utile dovrebbe rispondere a queste quattro domande:
- Che tipo di dati conserviamo?
- Perché abbiamo bisogno di conservarli?
- Per quanto tempo dovremmo conservarli?
- In che modo li elimineremo, li renderemo anonimi o li archivieremo in modo sicuro?
Il GDPR non stabilisce limiti di tempo specifici per ogni tipo di dato, quindi le organizzazioni devono decidere cosa è necessario per i propri scopi, documentare tale ragionamento ed essere pronte a giustificarlo.
Una Policy di Conservazione dei dati è molto più di un elenco di date. È un registro delle decisioni alla base di quelle date. Se qualcuno chiede perché i dati dei clienti sono stati conservati per tre anni o i record dei candidati sono stati eliminati dopo sei mesi, un’azienda deve essere in grado di indicare una chiara ragione.
Perché una Policy di Conservazione dei dati è importante?
Una Policy di Conservazione aiuta con la conformità, la sicurezza e la chiarezza operativa. Protegge un’azienda in tre modi:
- Riduce la quantità di dati che potrebbero essere esposti in una violazione
- Riduce i rischi legali e di non conformità derivanti dalla conservazione delle informazioni più a lungo del necessario
- Taglia i costi di archiviazione legati ai record obsoleti.
Dal punto di vista della conformità, supporta gli obblighi di Conservazione dei dati del GDPR mostrando che la tua azienda non conserva i dati personali a tempo indeterminato senza un motivo. Nel Regno Unito, l’ICO è chiaro sul fatto che i dati personali non debbano essere conservati “giusto in caso”, ma solo per il tempo necessario allo scopo pertinente.
Dal punto di vista della sicurezza, meno dati non necessari significano meno esposizione. Se la tua azienda subisce una violazione, ogni record di clienti obsoleto, vecchio File di buste paga, esportazione inutilizzata o allegato dimenticato nella posta in arrivo può aumentare la quantità di informazioni colpite.
Ecco perché la Conservazione dovrebbe far parte del tuo approccio più ampio alla prevenzione delle violazioni dei dati. Per quanto tempo conservi i dati influisce direttamente sull’esposizione: più a lungo i record non necessari rimangono nei tuoi sistemi, più dati ci saranno per un utente malintenzionato da accedere, rubare o esporre.
Dal punto di vista operativo, le regole di Conservazione riducono le incertezze. I dipendenti dovrebbero sapere cosa conservare, dove archiviarlo, quando eliminarlo e a chi spetta la decisione. Questo è particolarmente importante per i team in crescita in cui i dati possono essere distribuiti tra email, archiviazione cloud, sistemi delle risorse umane, software finanziari, CRM, drive condivisi e piattaforme dei fornitori.
Che tipo di dati ha bisogno di un programma di Conservazione?
Un programma di Conservazione dei dati è la parte operativa di una Policy di Conservazione dei dati. Mappa ogni categoria di dati a un periodo di Conservazione, a un proprietario, a una Posizione di archiviazione, a un metodo di eliminazione, a misure di protezione dalle violazioni dei dati e al motivo della conservazione.
Le PMI dovrebbero iniziare con le categorie di dati che utilizzano ogni giorno.
Record dei dipendenti
I record dei dipendenti non seguono tutti la stessa logica di Conservazione. Alcuni devono essere conservati a causa di requisiti legali, altri perché potrebbero essere necessari per risolvere controversie e altri ancora solo finché esiste un chiaro motivo aziendale.
Ad esempio, l’ACAS(nuova finestra) afferma che i datori di lavoro devono conservare i record delle ferie per almeno sei anni dalla data in cui sono stati creati, mentre la guida di GOV.UK(nuova finestra) sui record del personale afferma che le informazioni sui dipendenti dovrebbero essere conservate solo per il tempo in cui l’azienda ne ha una chiara necessità, per poi essere smaltite in modo sicuro.
Dati dei clienti e dei potenziali clienti
I dati dei clienti possono includere dettagli di contatto, cronologia degli acquisti, ticket di supporto, informazioni di fatturazione, contratti, record dell’account e cronologia delle comunicazioni. I dati dei potenziali clienti possono includere lead di marketing, registrazioni a eventi, abbonamenti alla newsletter e note di vendita.
Conserva i dati dei clienti per tutto il tempo necessario a fornire il servizio, adempiere agli obblighi contrattuali, gestire le controversie, rispettare le regole contabili o soddisfare i requisiti legali. I dati di marketing richiedono particolare attenzione perché il consenso, l’interesse legittimo, le richieste di annullamento dell’iscrizione e i limiti di finalità influiscono tutti sulla durata della loro Conservazione.
Record finanziari e fiscali
I record finanziari includono fatture, ricevute, buste paga, estratti conto bancari, note spese, record IVA, scritture contabili, documentazione fiscale, contratti e ordini di acquisto, relazioni di audit, record di carte di credito e prestiti, e record di benefici o pensioni dei dipendenti, ove applicabile.
In molte giurisdizioni, la legge societaria e fiscale stabilisce un periodo minimo per la conservazione delle scritture contabili e dei record finanziari, sebbene la durata esatta vari a seconda del paese e del tipo di azienda.
Contratti e documenti legali
Contratti, dichiarazioni di lavoro, accordi con i fornitori, accordi con i clienti, contratti di locazione e corrispondenza legale potrebbero dover essere conservati per la durata del contratto e per un periodo successivo in caso di controversie.
Il periodo esatto dipende dal contratto, dai termini di prescrizione, dai requisiti del settore e dalla consulenza legale. La Policy dovrebbe definire un proprietario per questi record, solitamente l’ufficio legale, finanziario, operativo o la dirigenza.
Comunicazioni email e documenti interni
Le email aziendali sono spesso il banco di prova delle Policy di Conservazione. Le caselle di posta in arrivo possono contenere contratti, dati personali, allegati, reclami dei clienti, fatture, informazioni sui candidati, password e decisioni aziendali riservate.
Un programma di Conservazione di solito definisce cosa appartiene alle email, cosa dovrebbe essere spostato in un sistema approvato e quando i vecchi messaggi dovrebbero essere eliminati o archiviati. La stessa logica si applica ai documenti interni, ai report esportati, ai fogli di calcolo, alle cartelle condivise e agli allegati delle chat. Ma la Policy necessita anche di un meccanismo di applicazione.
Le regole di Conservazione dovrebbero essere collegate a sistemi approvati, impostazioni di eliminazione automatica ove possibile, regole di archiviazione e verifiche di proprietà, in modo che i dati non rimangano a tempo indeterminato solo perché nessuno è intervenuto al termine del periodo di Conservazione.
Credenziali, registri di accesso e log di sicurezza
La Conservazione si applica anche ai registri di sicurezza. Questi possono includere log di accesso, percorsi di controllo, record di password, codici di recupero, attività dell’amministratore, rapporti sugli incidenti e record di autenticazione.
Alcuni registri di sicurezza devono essere conservati per indagini, conformità o revisione operativa. Altri dovrebbero essere conservati solo per uno scopo definito e un periodo documentato, quindi eliminati o archiviati in base alla Policy, in particolare quando rivelano il funzionamento dei tuoi sistemi o espongono dettagli di accesso sensibili.
La Conservazione dei dati, la gestione delle credenziali e il controllo degli accessi si sovrappongono: i registri di sicurezza conservati necessitano di forti controlli di accesso perché possono rivelare come funzionano i sistemi aziendali.
Requisiti di Conservazione dei dati nel Regno Unito: cosa dovrebbero sapere le PMI
I requisiti di Conservazione dei dati nel Regno Unito variano. Dipendono dal tipo di dati, dal motivo della conservazione e dall’obbligo legale, fiscale, contrattuale o aziendale alla base di essa.
Per la Conservazione dei dati ai sensi del GDPR, il punto di partenza è la limitazione dell’archiviazione: i dati personali dovrebbero essere conservati solo per il tempo necessario allo scopo. Il GDPR del Regno Unito non ha un periodo fisso per ogni categoria, quindi le aziende devono stabilire i propri periodi di Conservazione e giustificarli.
Alcuni record hanno regole più chiare. Le società a responsabilità limitata generalmente devono conservare le scritture contabili per sei anni dalla fine dell’esercizio finanziario a cui si riferiscono, e talvolta più a lungo in circostanze specifiche. I record del personale variano in base al tipo di record, quindi i dati sensibili sull’occupazione dovrebbero essere classificati attentamente e rivisti con una consulenza legale o delle risorse umane, ove necessario.
In definitiva, non è possibile applicare un unico periodo di Conservazione a tutto. I dati dovrebbero essere suddivisi per categoria, definendo il motivo della conservazione e documentando perché ciascun periodo è appropriato.
Modello di Policy di Conservazione dei dati per le PMI
Usa questa struttura come un semplice modello di Policy di Conservazione dei dati. Adatta il testo alla tua azienda, al settore e ai requisiti legali.
1. Scopo e ambito di applicazione
Copia del modello: Questa Policy di Conservazione dei dati spiega come [Company Name] memorizza, conserva, archivia, elimina e protegge i dati aziendali e personali. Si applica a dipendenti, collaboratori esterni, fornitori, sistemi e servizi che raccolgono, elaborano, memorizzano o accedono ai dati aziendali.
2. Categorie di dati
Copia del modello: [Company Name] raggruppa i dati in categorie, tra cui dati dei clienti, dati dei potenziali clienti, record dei dipendenti, record finanziari, contratti, record operativi, log di sicurezza e comunicazioni interne. Ciascuna categoria deve avere un proprietario, una Posizione di archiviazione, un periodo di Conservazione e un metodo di eliminazione.
3. Programma di Conservazione
Copia del modello: I dati devono essere conservati solo per il tempo necessario a scopi commerciali, legali, normativi, contrattuali o di sicurezza. Ciascuna categoria di dati deve essere elencata nel programma di Conservazione con un periodo e un motivo di Conservazione definiti.
Esempio di programma:
| Categoria di dati | Record di esempio | Approccio di Conservazione suggerito | Proprietario | Metodo di eliminazione |
| Dati dei clienti | Record dell’account, ticket di supporto, cronologia del servizio | Conservare finché il rapporto con il cliente è attivo, quindi conservare solo se necessario per scopi legali, contrattuali o di risoluzione di controversie | Operazioni o Customer Success | Eliminare o rendere anonimo da CRM e sistemi di supporto |
| Record finanziari | Fatture, ricevute, buste paga, documenti fiscali | In genere conservare per sei anni dopo l’esercizio finanziario di riferimento, a meno che non sia richiesta una Conservazione più lunga | Finanza | Archiviare in modo sicuro, quindi eliminare |
| Record dei dipendenti | Contratti, buste paga, record delle ferie, File delle risorse umane | Conservare in base al tipo di record, alle norme di legge e alle esigenze aziendali | Risorse umane o operazioni | Eliminare in modo sicuro dai sistemi delle risorse umane e dall’archiviazione condivisa |
| Contratti | Accordi con i clienti, contratti con i fornitori, dichiarazioni di lavoro | Conservare per la durata del contratto più un periodo definito per le controversie | Ufficio legale, finanza o dirigenza | Archiviare in modo sicuro, quindi eliminare |
| Log di sicurezza | Log di accesso, attività dell’amministratore, record degli incidenti | Conservare per esigenze di indagine, sicurezza e responsabilità, quindi eliminare o archiviare in base al rischio | IT o responsabile della sicurezza | Eliminare o archiviare in modo sicuro |
| Dati di marketing | Lead, elenchi di newsletter, record di campagne | Conservare finché esiste uno scopo valido e vengono rispettate le regole di esclusione | Marketing | Eliminare, rendere anonimo o escludere a seconda dei casi |
4. Controlli di accesso
Copia del modello: L’accesso ai dati conservati deve essere limitato alle persone che ne hanno bisogno per il proprio ruolo. I dati sensibili devono essere archiviati in sistemi approvati, protetti da una forte autenticazione e verificati regolarmente. Le credenziali condivise non devono essere utilizzate per accedere ai dati conservati a meno che non siano gestite tramite un gestore di password aziendale approvato.
In questa sezione la Conservazione si connette direttamente alla gestione delle credenziali. I dati che devono essere conservati necessitano comunque di protezione. Se i vecchi contratti, i File delle buste paga, i record dei clienti o i log di sicurezza rimangono accessibili a persone che non ne hanno più bisogno, la Policy di Conservazione sta risolvendo solo metà del problema.
Un gestore di password aziendale supporta il controllo degli accessi aiutando i team a creare credenziali forti, a memorizzarle in modo sicuro e a condividere l’accesso solo con persone autorizzate. Proton Pass for Business aiuta i team a gestire le credenziali in casseforti crittografate e a utilizzare la condivisione sicura, in modo che i dati conservati abbiano meno probabilità di essere esposti a causa di password riutilizzate o accessi informali.
5. Eliminazione e smaltimento
Copia del modello: Al termine del periodo di Conservazione, i dati devono essere eliminati in modo sicuro, resi anonimi o archiviati in base al programma di Conservazione. I documenti cartacei devono essere distrutti o smaltiti in modo sicuro. I record digitali devono essere eliminati dai sistemi approvati, dai drive condivisi, dai backup ove opportuno e da qualsiasi Posizione di archiviazione non gestita. L’eliminazione dovrebbe essere documentata per i dati sensibili. I dipendenti dovrebbero anche sapere dove non memorizzare le informazioni, come drive personali, fogli di calcolo non approvati o Thread di chat. Se una categoria di dati diventa oggetto di un blocco legale, di una controversia, di un audit o di un’indagine, l’eliminazione deve essere messa in pausa finché l’ufficio legale o la dirigenza non autorizzano la fase successiva.
6. Responsabilità
Copia del modello: Ogni categoria di dati deve avere un proprietario responsabile delle decisioni di Conservazione, delle verifiche degli accessi, dell’eliminazione e degli aggiornamenti della Policy. I dipendenti sono responsabili dell’archiviazione dei dati nei sistemi approvati e della segnalazione dei dati che ritengono obsoleti, duplicati o archiviati nel posto sbagliato.
7. Frequenza di revisione
Copia del modello: Questa Policy e il programma di Conservazione saranno rivisti almeno annualmente, e più frequentemente se [Company Name] introduce nuovi sistemi, modifica gli obblighi di legge, subisce un incidente di sicurezza o cambia il modo in cui raccoglie o elabora i dati personali.
Controllo dell’accesso e dati conservati
Una Policy di Conservazione non dovrebbe mai essere separata dal controllo degli accessi. Conservare i dati per un motivo valido non significa che tutti debbano potervi accedere.
I dati conservati spesso includono informazioni sensibili: File dei dipendenti, record dei clienti, documenti fiscali, contratti, log di sicurezza e rapporti sugli incidenti. Se l’accesso non è gestito, i dati più vecchi possono diventare un facile bersaglio in caso di compromissione dell’account. Possono anche creare un rischio interno se i dipendenti possono aprire record non correlati al proprio ruolo.
I controlli di accesso dovrebbero rispondere a:
- Chi può accedere a ciascuna categoria di dati conservata?
- Quali sistemi li memorizzano?
- Quali credenziali li proteggono?
- L’MFA è attivata?
- Le credenziali condivise sono controllate?
- Quando è stato verificato l’accesso l’ultima volta?
- Cosa succede quando qualcuno se ne va o cambia ruolo?
- Ai fornitori e ai venditori di terze parti viene concesso l’accesso, e questo è controllato?
La Conservazione dei dati è collegata alla gestione delle credenziali. Per la prevenzione delle violazioni, il controllo degli accessi riduce anche il raggio d’impatto. Se un utente malintenzionato compromette un account, non dovrebbe raggiungere automaticamente anni di dati dei clienti archiviati, vecchi contratti o record dei dipendenti. Creare una Policy delle password può aiutare i team a definire regole per la creazione di password, la condivisione, la gestione degli accessi e l’autenticazione.
Per la prevenzione delle violazioni, il controllo degli accessi riduce anche il raggio d’impatto. Se un utente malintenzionato compromette un account, non dovrebbe raggiungere automaticamente anni di dati dei clienti archiviati, vecchi contratti o record dei dipendenti. La guida di Proton sulla protezione dalle violazioni dei dati per le aziende spiega perché limitare l’accesso e ridurre l’esposizione non necessaria sono importanti prima che si verifichi un incidente.
Un gestore di password aziendale come Proton Pass for Business può anche aiutare i team a controllare e verificare l’accesso alle credenziali che sbloccano i dati conservati, con una gestione centralizzata, una condivisione sicura e una proprietà più chiara attraverso il pannello dell’amministratore.
Errori comuni nella Policy di Conservazione dei dati
Molte PMI hanno già abitudini di Conservazione informali, mas non una Policy affidabile. Gli errori più comuni sono facili da commettere: conservare troppi dati, applicare una sola regola a ogni record, dimenticare copie nei sistemi quotidiani, eliminare senza verificare i blocchi legali o mantenere i dati conservati accessibili a troppe persone.
| Errore | Perché crea rischi | Cosa fare invece |
| Conservare tutto per sempre | Archiviare i dati “giusto in caso” può aumentare il rischio di non conformità e l’esposizione alle violazioni. | Conserva i dati solo se esiste un chiaro motivo legale, contrattuale, di sicurezza o aziendale. |
| Utilizzare un unico periodo di Conservazione per tutto | Record finanziari, File dei dipendenti, lead di marketing, contratti e log servono a scopi diversi. | Definisci i periodi di Conservazione per categoria di dati. |
| Dimenticare email, fogli di calcolo ed esportazioni | Le copie possono rimanere nelle caselle di posta in arrivo, nelle cartelle dei download, nei drive condivisi o nei File non gestiti. | Includi le Posizioni di archiviazione secondarie nella Policy. |
| Eliminare senza verificare i blocchi legali | Alcuni dati potrebbero dover essere conservati per controversie, audit, indagini o obblighi normativi. | Aggiungi una fase di revisione prima dell’eliminazione. |
| Ignorare l’accesso ai dati conservati | I dati conservati possono comunque essere esposti se troppe persone possono accedervi. | Assegna proprietari, limita i permessi e verifica l’accesso regolarmente. |
Trasformare le regole di Conservazione nella pratica quotidiana
Una Policy pratica inizia con i dati già in possesso della tua azienda e li trasforma in un programma che le persone possono seguire. Ciascuna categoria dovrebbe avere un motivo per essere conservata, un proprietario, una frequenza di revisione e un chiaro processo di eliminazione. Finché questi dati rimangono nei tuoi sistemi, l’accesso dovrebbe rimanere limitato alle persone che ne hanno realmente bisogno.
Per molte PMI, la gestione delle credenziali è uno degli aspetti più semplici in cui apportare miglioramenti. Password forti, condivisione sicura e accesso controllato aiutano a garantire che i dati conservati siano disponibili solo per le persone che ne hanno bisogno.
Controlla chi può accedere ai dati conservati nella tua azienda con un gestore di password aziendale sicuro.
