Inizia Ora
GDPR, cookie, AI Act: come vengono trattati i dati personali nei progetti, chi risponde di cosa e cosa succede alla fine.
Quando un progetto tratta dati personali, il perimetro viene definito prima di scrivere codice: quali dati servono davvero, chi vi accede, dove restano e per quanto tempo. Si applicano minimizzazione, permessi per ruolo e registro degli accessi. Le scelte tecniche vengono documentate, così restano verificabili anche a distanza di tempo e in caso di controllo.
Nella maggior parte dei progetti l'azienda cliente è il titolare del trattamento: decide finalità e mezzi, perché i dati sono i suoi e i suoi clienti sono i suoi. Chi realizza e gestisce il sistema opera come responsabile, cioè tratta quei dati per conto del titolare e secondo le sue istruzioni. I ruoli vanno messi per iscritto, perché da essi discendono obblighi diversi.
Quando un fornitore tratta dati personali per conto del cliente, l'articolo 28 del GDPR richiede un atto giuridico che disciplini il trattamento: è il cosiddetto DPA. Non è un adempimento facoltativo e va firmato prima che il trattamento cominci. Lo stesso vale a cascata per i servizi terzi coinvolti, che vanno elencati come sub-responsabili.
Dipende dall'infrastruttura scelta per il progetto: hosting gestito, cloud pubblico, server dedicato o installazione presso l'azienda. La collocazione non è un dettaglio tecnico ma una scelta da fare in fase di analisi, valutando sensibilità dei dati, requisiti del settore, latenza e costi. Va indicata nel contratto e nell'informativa, non lasciata implicita.
Molti servizi diffusi hanno infrastrutture fuori dall'Unione Europea, quindi la domanda va posta per ogni componente: hosting, posta, analytics, pagamenti, modelli AI. Un trasferimento extra-UE non è vietato, ma richiede una base giuridica e garanzie adeguate. Dove il requisito è stringente si privilegiano fornitori con regioni europee, verificando che la scelta sia effettivamente disponibile nel piano attivato.
I cookie tecnici non richiedono consenso; quelli di misurazione, profilazione o pubblicità sì, e devono restare inattivi finché l'utente non sceglie. Un banner conforme permette di rifiutare con la stessa facilità con cui si accetta e registra la scelta. Va verificato che gli script si attivino davvero solo dopo il consenso: molti banner lo dichiarano senza farlo.
Sì, ed è il caso più comune: chi scrive in chat lascia nome, email o dettagli del proprio caso. Vanno quindi definiti quali dati il sistema può conservare, per quanto tempo, chi li consulta e come si comporta quando l'utente chiede qualcosa che non deve trattare. L'utente va informato che sta parlando con un sistema automatico.
Dipende da come viene configurato, ed è una decisione da prendere consapevolmente: registrazione integrale, sola trascrizione, oppure nessuna delle due. In ogni caso l'interlocutore va informato all'inizio della chiamata, va indicata la finalità e vanno stabiliti tempi di conservazione e chi può riascoltare. Le registrazioni di telefonate sono dati personali a tutti gli effetti.
Non deve succedere, ma non si può darlo per scontato: dipende dal fornitore del modello e dal piano attivato. I piani business e le API di norma escludono l'uso dei contenuti per l'addestramento, mentre le versioni gratuite spesso no. È un punto da verificare nelle condizioni del fornitore prima di collegare documenti aziendali, non dopo.
L'AI Act gradua gli obblighi in base al rischio dell'uso, non alla tecnologia. Un assistente che risponde a domande o smista richieste rientra di norma fra gli usi a rischio limitato, con l'obbligo di dire chiaramente all'utente che sta interagendo con un sistema di AI. Gli obblighi crescono se il sistema incide su selezione del personale, credito o altri ambiti sensibili.
L'interessato può chiedere la cancellazione dei propri dati e il titolare deve poter rispondere entro i termini di legge. Perché sia possibile, il sistema va progettato fin dall'inizio per trovare tutti i punti in cui quel dato compare, backup e sistemi collegati compresi. Alcuni dati vanno però conservati quando una norma lo impone, per esempio quelli fiscali.
Va deciso prima, non alla scadenza: di norma i dati vengono restituiti in un formato leggibile e poi cancellati dai sistemi del fornitore, entro un termine concordato e con conferma scritta. Vanno considerati anche backup e servizi terzi, che hanno cicli di cancellazione propri. È il punto che si trascura più spesso e che rende difficile cambiare fornitore.
Raccontaci la situazione: ti diciamo se e come possiamo aiutarti.
Parla con il team