Dove vengono archiviati i dati dei vostri visitatori? Una checklist sulla residenza dei dati per le organizzazioni europee

Quando i visitatori si registrano presso la vostra organizzazione tramite un sistema di registrazione dei visitatori, vengono trattati dati personali. Spesso non si tratta solo del nome e dell’orario di arrivo: i visitatori condividono, ad esempio, anche dati di contatto, una firma, una targa o una foto.

Ma dove vengono archiviati quei dati? Dove si trovano esattamente le informazioni quando sono “nel cloud”? Chi vi ha accesso? E fornitori, sub-responsabili del trattamento o addetti al supporto al di fuori dello Spazio economico europeo (SEE) possono consultare i dati? Da quando il GDPR è diventato applicabile nel 2018, queste domande sono diventate ancora più pressanti.

La residenza dei dati, ovvero il luogo geografico in cui i dati vengono fisicamente archiviati, è un aspetto importante del trattamento dei dati dei visitatori ai sensi della normativa europea sulla privacy. Per dirigenti, responsabili IT e responsabili della protezione dei dati (DPO) è quindi un criterio di selezione rilevante nella scelta di un sistema di gestione dei visitatori (VMS).

La sede del data center primario è però solo una parte della storia. L’archiviazione all’interno dell’UE, ad esempio, non significa automaticamente che un sistema sia pienamente conforme al GDPR. Anche la posizione dei backup, i trasferimenti internazionali di dati, i diritti di accesso e i periodi di conservazione hanno un ruolo.

La nostra checklist pratica vi aiuta a verificare dove un sistema di gestione dei visitatori archivia e tratta i dati, chi vi ha accesso e se avvengono trasferimenti internazionali. Potete così valutare con occhio critico le affermazioni di marketing e confrontare i fornitori sulla base di informazioni concrete.

In questo articolo:

• Perché il luogo di archiviazione dei dati dei visitatori è importante
• Il GDPR richiede che i dati dei visitatori restino all’interno dell’UE?
• Checklist: come valutare la residenza dei dati di un sistema di gestione dei visitatori
• Segnali d’allarme nel confronto tra fornitori
• Come Vizito archivia, tratta ed elimina i dati dei visitatori
• Conclusione

Perché il luogo di archiviazione dei dati dei visitatori è importante

Durante le demo, in Vizito ci viene chiesto regolarmente dove vengono archiviati i dati dei visitatori. Non c’è da stupirsi. Per molte organizzazioni la residenza dei dati è, giustamente, un criterio di selezione importante.

Con la registrazione dei visitatori vengono infatti trattati dati personali, come nomi, dati di contatto, foto, firme e orari di arrivo e di uscita. Il luogo in cui questi dati vengono archiviati e trattati è rilevante per la conformità alla normativa sulla privacy e per la gestione dei rischi della vostra organizzazione. La trasparenza sul luogo di archiviazione può inoltre rafforzare la fiducia dei visitatori.

Normativa sulla privacy

Se la vostra organizzazione tratta dati personali dei visitatori nell’UE, tale trattamento deve essere conforme al GDPR. Il luogo in cui i dati vengono archiviati e trattati contribuisce a determinare quali regole e garanzie giuridiche si applicano. Quando i dati vengono trattati al di fuori del SEE o sono accessibili da lì, si applicano requisiti aggiuntivi per i trasferimenti internazionali di dati.

Anche la legislazione straniera può avere un ruolo. Un esempio noto è il CLOUD Act statunitense, in base al quale i fornitori di servizi americani possono essere obbligati, a determinate condizioni, a fornire i dati.

Gestione dei rischi

Un’organizzazione è responsabile dei dati dei visitatori che raccoglie. Dovete quindi sapere dove vengono archiviati i dati originali, i backup e le eventuali copie, e chi vi ha accesso. Meno incertezze ci sono su questo punto, meglio potete limitare i rischi. Per questo motivo molte organizzazioni stabiliscono nelle proprie politiche sulla privacy e sulla sicurezza dove i dati personali possono essere archiviati e trattati.

Leggete anche: Policy per i visitatori: come crearla (modello gratuito)

Fiducia dei visitatori

Molte persone sono sempre più attente alla privacy e alla protezione dei dati. L’archiviazione all’interno del SEE può rafforzare la fiducia dei visitatori sensibili alla privacy, soprattutto se comunicate in modo trasparente dove, perché e per quanto tempo conservate i loro dati personali e come li proteggete.

Il GDPR richiede che i dati dei visitatori restino all’interno dell’UE?

La risposta breve sorprende molti: no.

Il GDPR non prescrive che i dati personali, compresi i dati dei visitatori, debbano restare fisicamente all’interno dell’UE. Il regolamento impone però condizioni aggiuntive quando i dati personali vengono trasferiti al di fuori dello Spazio economico europeo (SEE).

All’interno del SEE

All’interno dell’Unione europea il GDPR è direttamente applicabile. Le regole valgono anche negli altri paesi del SEE: Norvegia, Islanda e Liechtenstein. Se la vostra organizzazione archivia o tratta i dati dei visitatori in un altro paese del SEE, non si applicano condizioni aggiuntive per i trasferimenti internazionali.

Al di fuori del SEE

Tutti i paesi al di fuori del SEE sono definiti paesi terzi. Quando i dati personali finiscono al di fuori del SEE, si parla di trasferimento internazionale di dati (in inglese: international data transfer). Questo avviene, ad esempio, quando vengono archiviati su un server in un paese terzo, ma anche quando un fornitore o un sub-responsabile del trattamento accede da un tale paese a dati che si trovano all’interno del SEE.

Il trasferimento internazionale di dati è consentito, ma solo se sono soddisfatte le condizioni del capo V, articoli da 44 a 50, del GDPR. A tal fine esistono diversi meccanismi:

1. Decisione di adeguatezza

La Commissione europea può stabilire che un paese, un territorio o un settore specifico offre un livello adeguato di protezione dei dati. Ne sono esempi il Regno Unito, la Svizzera, il Giappone, la Corea del Sud e la Nuova Zelanda. Per il Canada la decisione vale solo per le organizzazioni commerciali soggette alla legge sulla privacy PIPEDA.

Per un trasferimento basato su una decisione di adeguatezza non sono necessarie garanzie adeguate separate. Poiché le decisioni di adeguatezza vengono riesaminate periodicamente, è sempre meglio controllare l’elenco aggiornato della Commissione europea.

2. Garanzie adeguate

In assenza di una decisione di adeguatezza, servono misure aggiuntive per proteggere i dati. Ciò può avvenire sulla base di garanzie adeguate. Ne sono esempi le clausole contrattuali tipo della Commissione europea, note anche come Standard Contractual Clauses (SCC), e le norme vincolanti d’impresa o Binding Corporate Rules (BCR).

Un contratto da solo non è sempre sufficiente. Le organizzazioni coinvolte devono anche valutare se la legislazione del paese destinatario consente di rispettare effettivamente gli accordi. A seconda del rischio, possono essere necessarie misure supplementari.

3. Eccezioni

Il GDPR prevede anche alcune eccezioni. Un trasferimento può essere possibile, ad esempio, previo consenso esplicito dell’interessato o quando è necessario per l’esecuzione di un contratto o per motivi di interesse pubblico. Queste eccezioni sono pensate per situazioni specifiche, non per trattare sistematicamente i dati dei visitatori al di fuori del SEE.

E per quanto riguarda gli Stati Uniti?

Qui la storia si complica. La Commissione europea ha finora approvato tre regimi per il trasferimento di dati personali verso organizzazioni statunitensi. Il primo, Safe Harbor, è stato invalidato nel 2015 dalla Corte di giustizia dell’Unione europea. Il suo successore, l’EU-US Privacy Shield, ha subito la stessa sorte nel 2020.

Da luglio 2023 è in vigore l’EU-US Data Privacy Framework. I dati personali possono quindi essere nuovamente archiviati negli Stati Uniti senza garanzie aggiuntive per il trasferimento internazionale, ma solo da organizzazioni statunitensi certificate presenti nell’elenco ufficiale dei partecipanti. Negli altri casi sono necessarie garanzie adeguate.

Poiché i due regimi precedenti sono stati invalidati, il trasferimento verso gli Stati Uniti resta un punto di attenzione. Verificate quindi sempre che la decisione sia ancora valida e che l’organizzazione in questione sia certificata.

In breve: il GDPR non impone alle organizzazioni un obbligo generale di mantenere i dati dei visitatori in Europa. L’archiviazione e il trattamento all’interno del SEE rendono però di norma più semplice la valutazione giuridica, perché in tal caso non si applicano le regole aggiuntive per i trasferimenti verso paesi terzi. Non verificate solo il luogo di archiviazione primario, ma anche dove si trovano backup e copie e da quali paesi fornitori e sub-responsabili del trattamento hanno accesso.

Leggete anche: GDPR e gestione dei visitatori: una guida pratica

Checklist: come valutare la residenza dei dati di un sistema di gestione dei visitatori

Usate questa checklist per verificare dove i dati dei visitatori vengono effettivamente archiviati e trattati.

1. Verificate tutti i luoghi di archiviazione

• In quale paese o regione cloud si trova il database primario?
• Dove vengono archiviati i backup e le copie per il ripristino del sistema?
• Dove sono conservati foto e documenti firmati?
• Dove finiscono i file di log e le copie temporanee?
• Vengono archiviati dati personali al di fuori del SEE? In caso affermativo, quali e dove?

2. Verificate chi ha accesso

• Chi è il fornitore del sistema di gestione dei visitatori e in quale paese ha sede?
• Quale provider cloud utilizza il fornitore e dove hanno sede tale provider e la sua società madre?
• Quali sub-responsabili del trattamento trattano i dati dei visitatori e da quali paesi?
• Il personale di supporto o del reparto tecnico può consultare i dati dei visitatori? In caso affermativo, quando e da quali paesi?
• Questo accesso è limitato al personale autorizzato, adeguatamente protetto e registrato?
• Qualcuno al di fuori del SEE può accedere ai dati?

3. Verificate i trasferimenti internazionali di dati

• I dati dei visitatori vengono archiviati, trattati o resi accessibili al di fuori del SEE?
• Verso quali paesi e organizzazioni vengono trasferiti?
• Per il paese destinatario esiste una decisione di adeguatezza?
• Si tratta di un’organizzazione statunitense? È certificata ai sensi dell’EU-US Data Privacy Framework?
• In assenza di una decisione di adeguatezza: sono state utilizzate garanzie adeguate, come le clausole contrattuali tipo?
• I rischi del trasferimento sono stati valutati e, se necessario, sono state adottate misure tecniche o organizzative supplementari?
• Il fornitore può dimostrare questi accordi per iscritto?

Attenzione: la residenza dei dati è solo una parte della protezione dei dati e di per sé non garantisce la conformità al GDPR. Verificate anche di raccogliere solo i dati personali necessari per la finalità della registrazione dei visitatori (minimizzazione dei dati) e valutate i periodi di conservazione, le procedure di cancellazione, la crittografia e la protezione degli accessi del sistema.

Segnali d’allarme nel confronto tra fornitori

La checklist qui sopra vi aiuta a valutare i fornitori in modo mirato. Prestate attenzione a quanto le risposte siano concrete e complete. Siate cauti quando un fornitore:

• indica soltanto che i dati si trovano “nel cloud” o “in Europa”;
• comunica esclusivamente la posizione del database primario;
• non fa chiarezza su backup, copie e file di log;
• non è in grado di fornire un elenco aggiornato dei sub-responsabili del trattamento;
• non specifica da quali paesi il personale ha accesso;
• non indica una base giuridica chiara per i trasferimenti al di fuori del SEE;
• non può confermare per iscritto le affermazioni sulla residenza dei dati.

Come Vizito archivia, tratta ed elimina i dati dei visitatori

Se utilizzate Vizito, i dati dei vostri visitatori restano all’interno dell’Unione europea. Vizito li ospita su server ad Amsterdam e a Francoforte. Per l’hosting, Vizito collabora con Leaseweb Global B.V. Gli altri sub-responsabili del trattamento e le rispettive sedi sono indicati nell’accordo sul trattamento dei dati (DPA).

Come cliente, decidete voi quali dati dei visitatori raccogliere e per quanto tempo conservarli. Una volta scaduto il periodo di conservazione impostato, la registrazione viene eliminata automaticamente. Vizito tratta i dati dei visitatori esclusivamente per fornire il servizio e non li utilizza per pubblicità, profilazione o altre finalità commerciali proprie.

I dati dei visitatori sono crittografati sia in transito sia a riposo. Inoltre, Vizito possiede la certificazione ISO 27001, il che significa che il suo sistema di gestione della sicurezza delle informazioni è stato verificato da un ente indipendente.

Per maggiori informazioni potete consultare la nostra pagina su Vizito e il GDPR.

Conclusione

Dove vengono archiviati i dati dei visitatori non è una semplice questione tecnica. Il luogo contribuisce a determinare quali regole sulla privacy e quali condizioni per il trasferimento internazionale si applicano, e quanta visibilità la vostra organizzazione ha sul trattamento di quei dati.

Non si tratta solo del database primario, ma anche dei backup e delle altre copie, dei sub-responsabili del trattamento coinvolti e dei paesi da cui il personale può accedere ai dati.

Il GDPR non impone che i dati dei visitatori restino all’interno del SEE. L’archiviazione e il trattamento all’interno del SEE rendono però di norma più semplice rispettare la legge. Ma la residenza dei dati è solo una parte della protezione dei dati: anche la minimizzazione dei dati, la sicurezza, i periodi di conservazione e la cancellazione tempestiva restano essenziali.

Volete scoprire di persona come Vizito vi aiuta a gestire i dati dei visitatori in modo sicuro e ordinato? Provate Vizito gratis per 14 giorni o prenotate una demo.