I dati personali attraversano più sistemi di quanti ne siano mai stati documentati: un CRM, uno strumento per la newsletter, un servizio di analisi, un modulo che da anni scrive in una casella di posta. Una parte si trova su server fuori dalla Svizzera e dall'UE, e nessuno sa con certezza se esista un contratto che lo copra. Finché non succede nulla, non si vede. Si vede esattamente quando qualcuno chiede accesso ai propri dati, quando un grande cliente lo domanda prima di assegnare una commessa – o quando qualcosa esce.
Che cosa fare adesso
La conformità non è una questione di documenti ma di conoscenza: quali dati raccogli, dove finiscono, su quale base e quanto a lungo restano. Finché mancano queste quattro risposte, ogni informativa sulla privacy è una supposizione – e in caso di incidente è proprio la supposizione che verrà esaminata.
Seguiamo il percorso dei tuoi dati attraverso i sistemi reali invece che attraverso un questionario, poi chiudiamo le lacune che contano: contratti, tempi di conservazione, accessi. Dove ha senso spostiamo i dati su server svizzeri che gestiamo noi, e la risposta alla domanda sulla localizzazione diventa molto breve. Per questo non ti serve un secondo fornitore.
Una prima conversazione basta di solito a indicare i due o tre punti che salterebbero all'occhio per primi, se mai dovesse servire.