La cancellazione dei dati può essere sistematica (by default) o conseguente a richiesta dell'interessato (on demand), e rappresenta la fase conclusiva del ciclo naturale di vita dei dati personali:
● Data;
● Life-cycle.
In riferimento all'acquisizione dei dati e consenso al relativo trattamento viene fornita idonea informativa privacy all'interessato ai sensi dell'art. 13 del GDPR.
I dati personali degli interessati vengono acquisiti dai Titolari, andando a costituire un tassello del suo database. Unitamente ai dati, qualora necessario, viene raccolto il consenso dell'interessato, che ne costituisce la base giuridica del relativo trattamento (c.d. database consensato).
I dati vengono trattati nei limiti previsti nell'informativa privacy, e sulla base degli eventuali consensi forniti, di cui i dati vengono conservati per la durata prevista dalle diverse finalità che insistono sugli stessi, nel rispetto delle politiche di conservazione cartacee ed informatiche adottate.
In riferimento alla cancellazione dei dati questi:
● vengono cancellati dai supporti informatici e/o distrutti dai supporti cartacei allo scadere dei termini di conservazione previsti;
● vengono cancellati su richiesta dell'interessato, qualora lecita ed accoglibile, ai sensi dell'art. 17 del GDPR.
La cancellazione on demand avviene entro massimo un mese ed è prorogabile di ulteriori due mesi tenuto conto della complessità e del numero delle richieste (art. 12 GDPR); in riferimento alla cancellazione by default, avviene sistematicamente allo scadere dei termini previsti dai diversi Titolari del trattamento.
La cancellazione sistematica (by default) è una modalità di cancellazione caratterizzata dal fatto di operare «sistematicamente», allo scadere dei termini previsti dai diversi Titolari del trattamento, per ottemperare al periodo di retention individuato dal Titolare con riferimento alle finalità, alle diverse norme trasversali in materia di conservazione dei dati o alle esigenze di business.
L'Organizzazione dovrebbe indirizzare alcune regole di base per gestire la cancellazione dei dati personali, considerando la tipologia dei sistemi, l'utilizzo e l'eventuale esternalizzazione:
● per gli archivi elettronici e cartacei su cui non insistono obblighi normativi e per i quali non vi è un interesse legittimo del Titolare alla conservazione, dovrebbero essere sottoposti alla distruzione fisica, in modo da garantire che non sia tecnicamente possibile il recupero dei dati personali;
● per le banche dati strutturate che contengono dati personali, dovrebbero essere identificati e implementati meccanismi di cancellazione sicura dei dati, in modo da garantire le funzionalità dei sistemi e l'integrità referenziale dei data base;
● per gli archivi elettronici presenti sui dispositivi a disposizione degli addetti al trattamento, oppure sui server gestiti dal Titolare o dalle terze parti, dovrebbero essere individuate e attuate tecniche di cancellazione logica, tali da non consentire tecnicamente il recupero dei dati;
● tutti gli archivi elettronici e cartacei, che sono stati acquisiti da terze parti per perseguire le finalità di specifici trattamenti, dovrebbero essere restituiti alle stesse terze parti al termine dei trattamenti.
Gli interventi tecnici per implementare la cancellazione sistematica dei dati sono spesso impegnativi. È importante definire un perimetro di partenza su cui avviare le attività, utilizzando un approccio basato sul rischio che consiste nel definire i periodi di conservazione e cancellazione dei dati, le Organizzazioni dovrebbero tener conto di alcuni principi guida, improntanti sul rispetto delle disposizioni normative Data Protection.