Chiavi dei clienti e note d’accesso in un’impresa di pulizie

Un’impresa di pulizie di Winterthur si occupa di undici economie domestiche e due uffici. Per la maggior parte ha una chiave; per alcune sa solo che la chiave si trova nella cassetta accanto alla porta di casa. Le chiavi sono appese in un armadio dell’ufficio, ognuna con un cartellino che riporta il cognome e la via. Le indicazioni per entrare sono su un foglio in una cartella, e la collaboratrice che il lunedì pulisce l’ufficio alla Seestrasse prende la chiave da sé.

Funziona finché tutti si conoscono. Diventa più delicato quando si aggiungono due persone, quando qualcuno porta a casa una chiave per il fine settimana o quando un cliente disdice e nessuno sa più se la chiave è stata restituita. Questo articolo descrive quali dati si riuniscono qui e quali possibilità esistono per gestirli.

Tre dati che insieme dicono più che da soli

Un’impresa di pulizie che lavora in abitazioni e uffici annota tre cose che, prese singolarmente, sono poco appariscenti:

Dato	Che cosa dice da solo
Indirizzo dell’oggetto	dove si pulisce
Nota d’accesso	come si entra, per esempio cassetta delle chiavi o porta
Chiave e il suo stato	chi la ha in questo momento

Insieme mostrano come si entra in una determinata abitazione. Per questo tali dati sono trattati con più cura, per esempio, di un listino prezzi. Dal punto di vista giuridico sono dati personali: l’art. 5 lett. a della legge federale sulla protezione dei dati (LPD, DSG in tedesco) vi include tutte le informazioni concernenti una persona fisica identificata o identificabile, e un indirizzo di abitazione con indicazioni d’accesso vi rientra. Anche l’elenco delle chiavi riguarda persone, perché registra quali collaboratori hanno avuto una chiave e quando.

Per l’impresa non ne deriva nulla di straordinario. Valgono i principi generali della LPD, e due di essi segnano in modo particolare la gestione delle chiavi.

Che cosa richiede la legge in generale

Proporzionalità e scopo. Secondo l’art. 6 cpv. 2 e 3 LPD, il trattamento deve essere proporzionato e può avvenire solo per uno scopo determinato e riconoscibile. Per la nota d’accesso lo scopo è ristretto: dice come la persona dell’intervento entra nell’oggetto. Tutto ciò che va oltre, come le abitudini degli abitanti o indicazioni sulla loro salute, non vi trova posto.

Sicurezza dei dati. L’art. 8 LPD richiede al responsabile misure tecniche e organizzative adeguate al rischio per la sicurezza dei dati. L’ordinanza sulla protezione dei dati (OPDo, DSV in tedesco) menziona all’art. 3 cpv. 1 lett. a il controllo dell’accesso: le persone autorizzate devono avere accesso solo ai dati personali di cui hanno bisogno per svolgere i loro compiti. Per un’impresa di pulizie questo significa: chi il martedì pulisce un vano scale ha bisogno della sua nota d’accesso, ma non di quelle degli altri oggetti.

Che cosa contiene una nota d’accesso

La nota d’accesso porta una frase: dove si trova la chiave o quale porta si intende. Alcune imprese annotano deliberatamente ciò che non vi scrivono, cioè i codici di porte e allarmi. I codici li trasmettono ai collaboratori per un’altra via, per esempio a voce o per telefono. L’idea è semplice: una nota letta da più persone non contiene nulla con cui si possa entrare in un oggetto senza altro.

Sul luogo in cui si tengono le chiavi esiste un’osservazione della polizia. Nel suo opuscolo «Riegel vor!», la Prevenzione Svizzera della Criminalità (PSC) scrive che i ladri, davanti a una cassaforte per chiavi, presumono sempre subito che da qualche parte in casa sia nascosta una chiave di riserva; la cercano e per lo più la trovano. L’opuscolo lo dice a proposito di una cassaforte nella propria abitazione, non di imprese di pulizie. Mostra però che i nascondigli sono considerati luoghi che altri conoscono o trovano. Alcune imprese descrivono perciò la posizione di una cassetta delle chiavi sulla casa solo con la precisione che l’intervento richiede.

Numeri neutri invece di nomi sulla chiave

Il cartellino sulla chiave è la parte che si perde più facilmente. Se riporta nome e indirizzo, una chiave persa è subito riconducibile a un oggetto. Se riporta solo un numero, per esempio «K-014», serve l’elenco per sapere dove appartiene.

Un sistema del genere ha tre componenti:

• Il numero. Un identificativo progressivo e neutro, senza nome, via o località.
• L’elenco. Per ogni numero, l’oggetto, il numero di chiavi e la data di consegna da parte del cliente.
• La cronologia. Chi ha preso la chiave, l’ha restituita o l’ha dichiarata persa, e quando, ogni volta con la data.

La cronologia risponde alla domanda che ricorre più spesso nella quotidianità: dov’è K-014? Ha anche un secondo effetto. Poiché contiene i nomi dei collaboratori, è essa stessa un insieme di dati personali e soggiace al principio dello scopo: serve alla gestione delle chiavi e non alla sorveglianza del personale.

Chi vede che cosa

In un’impresa di cinque persone emergono esigenze diverse:

Persona	Ha bisogno di
Personale in intervento	la nota d’accesso dell’oggetto in cui lavora, il giorno dell’intervento
Pianificazione	tutte le note e l’elenco, per pianificare
Titolare	tutto, con traccia di chi ha consultato che cosa

La guida dell’Incaricato federale della protezione dei dati e della trasparenza (IFPDT, EDÖB in tedesco) sulle misure tecniche e organizzative descrive la logica con l’esempio dei locali server: meno persone hanno accesso, meglio è per la sicurezza, e l’accesso viene registrato. Un locale server non è l’abitazione di un cliente, ma il ragionamento si trasferisce a chiavi e note: il minor numero di persone possibile, e una traccia di chi ha avuto accesso.

La visibilità può essere limitata anche nel tempo. Una collaboratrice ha bisogno della nota il giorno del suo intervento; dopo l’intervento, o dopo una riassegnazione, non più.

Quando un incarico termina

Qui si applica l’art. 6 cpv. 4 LPD: i dati personali sono distrutti o resi anonimi non appena non sono più necessari per lo scopo del trattamento. Lo scopo della nota d’accesso è l’accesso per gli interventi. Quando l’incarico termina, viene meno.

In pratica si pongono due domande, che si possono separare:

• La chiave. Torna al cliente. La cronologia registra che è stata restituita, e una breve conferma al cliente può documentarlo.
• La nota. Può essere cancellata dopo un termine stabilito, per esempio alcune settimane dopo la fine dell’incarico, perché non rimanga per anni nella cartella o nel sistema.

La cronologia delle consegne delle chiavi è un caso diverso dalla nota, perché documenta anche che una chiave è tornata indietro. Per quanto tempo un’impresa la conserva è una sua decisione. Un termine stabilito si può indicare quando qualcuno vuole sapere per quanto tempo i dati vengono conservati.

Che cosa valga in caso di perdita di una chiave, sul piano contrattuale e assicurativo, dipende dall’incarico e dalla polizza dell’impresa. Questo articolo non lo tratta.

Un ordine adatto all’impresa

In sintesi, un ordine per le chiavi dei clienti consta di poche parti: note che dicono solo come si entra, chiavi con numeri neutri, una cronologia di chi le ha avute, visibilità secondo il bisogno e un termine per la cancellazione. La LPD fornisce il quadro; l’attuazione spetta all’impresa e dipende dalle sue dimensioni e dai suoi clienti.

L’idea per le imprese di pulizie a cui lavoriamo riprende questo ordine: l’app terrà per ogni oggetto una nota d’accesso che resta nascosta finché qualcuno non la mostra, e la mostrerà ai collaboratori solo il giorno del loro intervento. Le chiavi riceveranno numeri neutri e ogni consegna comparirà nella cronologia. Quando un oggetto termina, la nota dovrebbe essere cancellata dopo un termine. L’app salverà i dati su un’infrastruttura in Svizzera.