Non rimandare la conformità sui dati personali alla settimana del lancio
Le decisioni sui dati personali sono decisioni di architettura. Rendere la conformità parte del progetto ne abbassa il costo.
La legge turca n. 6698 sulla protezione dei dati personali arriva sul tavolo della maggior parte dei team nell'ultima settimana di progetto. A quel punto la conformità diventa uno strato di testo incollato sul prodotto a posteriori: si scrive un'informativa, si aggiunge una casella e il lavoro si considera fatto.
Ma ciò che la legge chiede davvero non sono testi: sono decisioni. Quali dati raccogli, su quale base giuridica ti fondi, per quanto tempo li conservi, con chi li condividi? Le risposte determinano direttamente il tuo modello dati e la tua architettura.
Le domande da porsi in fase di progettazione
- Dobbiamo davvero raccogliere questo campo? (minimizzazione dei dati)
- Su quale base giuridica lo trattiamo: consenso esplicito o esecuzione di un contratto?
- Il record viene cancellato automaticamente allo scadere del periodo di conservazione?
- Come gestiremo una richiesta di esportazione o cancellazione dei dati?
- C'è un trasferimento all'estero e, in tal caso, con quale meccanismo?
I team che rispondono a queste domande all'inizio del progetto scrivono il periodo di conservazione come colonna del database e affidano la cancellazione a un job pianificato. Quelli che provano a rispondere alla fine procedono con script lanciati a mano: esposti sia agli errori sia al rischio in caso di ispezione.
