Politica di conservazione dei dati

Definire una regola per ogni classe di dati

Una politica di conservazione descrive quali dati si salvano, per quale scopo, per quanto tempo e cosa accade dopo. Comprende l’inizio del periodo e la cancellazione, anonimizzazione o archiviazione limitata previste. Un indicatore di archivio nello stesso database attivo non disciplina da solo l’accesso.

Per i dati personali nel contesto del GDPR dell’UE, la durata dipende dallo scopo del trattamento e dagli obblighi applicabili. Il GDPR non prescrive un numero fisso di giorni per ogni tipo di dato. Una durata tecnica predefinita non deve sostituire questa valutazione.

Gestire una copia di esportazione temporanea

Un portale fittizio genera il file scaricabile export-31. La sua regola di prodotto rende disponibile la copia per 24 ore dalla creazione. Il controllo del download blocca le copie scadute; un’attività di cancellazione rimuove poi il file. La durata è un’ipotesi dell’esempio, non un periodo legale generale. I dati aziendali originali seguono una regola distinta.

Nascondere il file solo nell’interfaccia non esegue la cancellazione. Il team deve anche stabilire se esistono copie in code, cache o backup e quali durate e limiti di accesso valgono per esse.

Dimostrare l’effetto nell’esercizio

Una durata salvata non prova che la cancellazione sia avvenuta. Le attività fallite devono essere rilevabili. Anche il ripristino di un backup richiede un processo che non renda nuovamente scaricabili le copie di esportazione scadute. La regola deve quindi corrispondere ai luoghi effettivi di conservazione e ai percorsi di ripristino.

Fonti

• Data Protection Commission — Data retention periods

• CNIL — Define a data retention period

• OWASP — Logging