Minimizzare i dati in azienda: raccogliere meno, gestire meno

Un parrucchiere a Lugano tiene da anni uno schedario clienti. All’inizio c’erano il nome e il numero di telefono. Poi sono arrivati l’indirizzo per il biglietto di Natale, la data di nascita per uno sconto di compleanno, la professione perché qualcuno pensava potesse servire, e una colonna «osservazioni» dove ormai si legge anche chi è incinta e chi ha una malattia della pelle. Nessuno l’ha voluto così. Ogni colonna, a suo tempo, aveva un motivo.

È così che crescono le raccolte di dati nelle piccole aziende: non per scelta, ma per occasione. La legge federale sulla protezione dei dati (LPD) vi contrappone un’idea sorprendentemente liberatoria nella pratica — solo quanto serve allo scopo.

Che cosa intende la LPD per proporzionalità

I principi si trovano all’art. 6 LPD, e tre di essi si incastrano.

Proporzionato. Il trattamento deve essere conforme al principio della buona fede e proporzionato (art. 6 cpv. 2 LPD). L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) lo spiega così in un promemoria: non raccogliere più dati del necessario e non usarli più del necessario. Il principio riguarda quindi sia la raccolta sia l’uso.

Legato a uno scopo. I dati personali possono essere raccolti solo per uno scopo determinato e riconoscibile per la persona interessata, e trattati solo in modo compatibile con tale scopo (art. 6 cpv. 3 LPD).

Limitato nel tempo. Sono distrutti o resi anonimi non appena non sono più necessari per lo scopo del trattamento (art. 6 cpv. 4 LPD).

A ciò si aggiunge un dovere spesso trascurato: chi tratta dati deve accertarsi che siano esatti e prendere misure adeguate affinché i dati inesatti o incompleti siano rettificati o cancellati (art. 6 cpv. 5 LPD). Ogni colonna in più è anche una colonna che deve essere corretta.

La parola «minimizzazione dei dati» non compare come tale nella LPD. È l’abbreviazione di ciò che questi tre capoversi significano insieme.

Raccogliere meno: la domanda «a che cosa serve?»

Il punto più semplice per minimizzare è il momento in cui i dati nascono: il modulo, la scheda cliente, il foglio d’iscrizione. L’IFPDT dà un esempio eloquente nel promemoria sui moduli per i pazienti. La raccolta sistematica di indicazioni come cognome da nubile, stato civile, cittadinanza, telefono dell’ufficio, professione e nome del datore di lavoro non è di principio necessaria. Ciò non significa che non possano mai essere chieste — la professione può contare in caso di mal di schiena. Problematica è la raccolta sistematica.

Questa distinzione vale per ogni azienda. Per ogni campo aiuta una domanda: a che cosa ci serve, e ci serve da tutti?

Campo nello schedario	Motivo abituale	La domanda dietro
Telefono	Spostare appuntamenti	Serve davvero, o basta l’e-mail?
Indirizzo postale	Biglietto di Natale	La persona desidera posta, o viene semplicemente registrata?
Data di nascita	Sconto di compleanno	Bastano giorno e mese, e solo se interessa?
Professione	«può tornare utile»	C’è uno scopo concreto e riconoscibile?
Note libere	Promemoria	Che cosa c’è scritto, e la persona sarebbe d’accordo?

L’ultima riga merita attenzione. Nei campi liberi finiscono spesso indicazioni che la legge considera degne di particolare protezione, come i dati sulla salute (art. 5 lett. c LPD). Nessuno ha deciso di raccoglierle — sono semplicemente lì. Un campo libero è quindi quello che vale di più la pena rileggere ogni tanto.

Non conservare più del necessario

Il secondo punto è la fine. I dati il cui scopo è raggiunto sono distrutti o resi anonimi (art. 6 cpv. 4 LPD). La legge non fissa un termine, perché il termine dipende dallo scopo.

Dove altre leggi impongono una conservazione, queste si applicano. La più nota si trova nel Codice delle obbligazioni: i libri e i giustificativi contabili, come pure la relazione sulla gestione e la relazione di revisione, sono conservati per dieci anni (art. 958f cpv. 1 CO). La fattura a una cliente vi rientra, il suo colore preferito no.

Nella pratica la conservazione diventa facilmente indistinta: poiché la contabilità resta dieci anni, tutto resta dieci anni. Aiuta la domanda inversa — che cosa deve restare per un motivo preciso, e per quanto? Tutto il resto ha una scadenza, anche se nessuno l’ha ancora fissata.

Usare meno: impostazioni predefinite e accessi

La minimizzazione non riguarda solo quali dati esistono, ma anche chi li vede e a che cosa servono. La LPD obbliga il titolare a garantire, mediante impostazioni predefinite adeguate, che il trattamento sia limitato al minimo necessario per lo scopo, salvo che la persona interessata disponga altrimenti (art. 7 cpv. 3 LPD). E deve tenerne conto sin dalla pianificazione (art. 7 cpv. 1 LPD).

Nella quotidianità di una piccola azienda significa per esempio:

• La casella della newsletter resta vuota finché la persona non la spunta.
• L’aiuto alla reception vede appuntamenti e nomi, ma non le osservazioni.
• Un’esportazione fornisce le colonne necessarie allo scopo, non l’intera tabella.

Anche i datori di lavoro conoscono questa idea. Nelle sue FAQ, l’IFPDT rimanda all’art. 328b CO, secondo cui è ammesso solo il trattamento di dati che riguardano l’idoneità del lavoratore o sono necessari all’esecuzione del contratto di lavoro — il datore di lavoro deve trattare solo i dati necessari.

Meno dati, meno lavoro

La minimizzazione è spesso vista come un limite. Per una piccola azienda è piuttosto il contrario, perché quasi ogni obbligo della LPD cresce con la quantità di dati.

Sicurezza dei dati. I titolari garantiscono una sicurezza adeguata al rischio (art. 8 cpv. 1 LPD). Ciò che non è salvato non va protetto.

Diritto d’accesso. Chiunque può chiedere se sono trattati dati che lo riguardano (art. 25 cpv. 1 LPD). Uno schedario snello si consulta più in fretta e si spiega più facilmente.

Esattezza. Ogni indicazione deve essere corretta o rettificata (art. 6 cpv. 5 LPD). Meno indicazioni, meno manutenzione.

Violazioni della sicurezza dei dati. Se qualcosa va perso o finisce a persone non autorizzate, la necessità di notificarlo all’IFPDT dipende dalla probabilità di un rischio elevato per le persone interessate (art. 24 cpv. 1 LPD). Un elenco di nomi e appuntamenti non è un elenco di note sulla salute.

Da dove cominciare

Riordinare uno schedario raramente è un progetto; piuttosto un’ora con un caffè. Il parrucchiere di Lugano potrebbe procedere così:

1. Elencare i campi dello schedario e annotare accanto a ciascuno lo scopo. I campi senza scopo spariscono.
2. Rileggere le osservazioni e togliere ciò che non serve al lavoro — soprattutto le indicazioni sulla salute che nessuno ha raccolto consapevolmente.
3. Stabilire per ogni tipo di dati quanto resta, tenendo separata la contabilità dalla cura dei clienti.
4. Adattare il foglio d’iscrizione o il modulo online perché chieda solo ciò che è rimasto.

Per i privati l’idea vale al contrario: quando un modulo chiede molte indicazioni, si può domandare a che cosa servano. I campi obbligatori senza legame con la questione ne sono l’occasione.

Costruiamo le nostre app secondo lo stesso principio: raccogliere solo ciò che un’app richiede per il suo compito. È uno dei motivi per cui ognuna delle nostre app fa esattamente una cosa.