Raccolta documenti conforme al RGPD

Il principio di minimizzazione dei dati del RGPD (articolo 5.1.c) impone di richiedere solo i dati personali strettamente necessari alla finalità perseguita, non tutti i documenti che un modello include per abitudine. Prima di pubblicare una checklist, chiediti quale decisione supporta ogni elemento; se la risposta non è chiara, rimuovilo.

Un modello riutilizzabile che richiede per default una copia integrale del documento d'identità, un estratto conto completo o una fattura intera è un rischio di sovraraccolta quando serve solo un dato specifico di quel documento. Quando possibile, richiedi la prova puntuale (un IBAN mascherato, una singola riga di indirizzo) invece del documento sorgente per intero.

Documenta una sola volta, a livello di modello, la finalità di ogni elemento della checklist, così che revisori e clienti comprendano entrambi perché viene richiesto. Questa giustificazione scritta è anche ciò che vorrai avere a disposizione se un'autorità di controllo o un cliente la richiede.

Dove risiedono i dati determina quali garanzie di trasferimento servono. Ospitare fascicoli clienti e relativi metadati presso un fornitore con sede nella UE evita le misure contrattuali e tecniche aggiuntive richieste per i trasferimenti verso paesi privi di una decisione di adeguatezza.

Questo riguarda l'intera catena, non solo l'archiviazione principale: anche l'invio delle email con i magic link, i backup e qualsiasi strumento di log o analisi devono restare nella UE o essere coperti da un meccanismo di trasferimento valido. Verifica l'elenco completo dei subresponsabili, non solo la pagina marketing del fornitore principale.

Se lavori con subappaltatori o revisori esterni, assicurati che accedano ai documenti tramite il portale — con registrazione e accesso revocabile — invece di scaricarli e reinoltrarli: è spesso proprio lì che una configurazione altrimenti ospitata nella UE perde silenziosamente le proprie garanzie.

Una casella email condivisa o un link di trasferimento generico non ha alcun concetto di chi può vedere cosa. L'accesso basato sui ruoli — amministratore dell'azienda, singolo revisore, cliente — garantisce che un revisore veda solo i fascicoli a lui assegnati e che un cliente veda solo la propria richiesta.

L'autenticazione tramite magic link dà a ogni cliente un accesso univoco e limitato nel tempo, senza password condivise né link pubblici inoltrabili. Combinato con un controllo degli accessi a livello di riga sul backend, questo mantiene i fascicoli di un'azienda invisibili a un'altra azienda che usa la stessa piattaforma.

Rivedi periodicamente gli accessi, non solo in fase di configurazione: quando un revisore cambia team o lascia l'azienda, il suo accesso ai fascicoli passati va revocato immediatamente, non lasciato attivo perché nessuno ricordava l'esistenza della cartella condivisa.

Il principio di responsabilizzazione del RGPD (articolo 5.2) impone di poter dimostrare la conformità, non solo dichiararla. Una traccia di controllo — chi ha richiesto un documento, quando è stato inviato, chi lo ha visionato o approvato, e quando ne è cambiato lo stato — è ciò che rende possibile questa dimostrazione.

Lo stato per elemento (richiesto, ricevuto, approvato, respinto) funge da questo registro quando è marcato temporalmente e collegato a un utente preciso. È un netto miglioramento rispetto a un filo di email, dove la stessa informazione è dispersa tra risposte, inoltri e allegati, senza un'unica fonte di verità.

Mantieni il registro di controllo con accesso limitato e distinto dai documenti che descrive, in modo che verificare «chi ha fatto cosa» non richieda di riaprire i dati personali di ogni cliente.

I dati personali non dovrebbero essere conservati indefinitamente per default. Stabilisci un periodo di conservazione legato alla finalità della raccolta (la durata di un incarico, un obbligo legale di conservazione, ecc.) e applicalo in modo coerente a tutti i fascicoli, invece di lasciare che i vecchi documenti si accumulino.

Il diritto alla cancellazione del RGPD (articolo 17) consente a un cliente di chiedere la cancellazione dei propri dati personali una volta che non sono più necessari per la finalità per cui sono stati raccolti. Un portale in cui i documenti vivono in un unico fascicolo identificabile — invece che duplicati tra caselle email, cartelle di download e backup — rende questa richiesta effettivamente soddisfacibile.

Alla chiusura di una pratica, decidi esplicitamente se archiviare, anonimizzare o eliminare i documenti associati, e registra questa decisione. Una regola di conservazione prevedibile applicata dalla piattaforma è molto più difendibile di una pulizia occasionale fatta da chi se ne ricorda.