Diritto all'oblio

1) Cos'è il diritto all'oblio e quando viene applicato

Right to Erasure è il diritto di un soggetto di dati di richiedere l'eliminazione dei propri dati personali. L'UE è fissata nell'articolo 17 del GDPR; ci sono analogie in una serie di giurisdizioni (rimozione da CCPA/CPRA, LGPD, ecc.).

• Non servono più i dati per gli scopi per cui dovevamo farlo.
• L'elaborazione è basata sul consenso e l'S.I. l'ha ritirata.
• L'S.I. si oppone al trattamento (non ci sono motivi legali prevalenti).
• I dati sono stati trattati illegalmente o devono essere eseguiti obblighi legali di rimozione.
• I dati sono raccolti dal bambino quando offre i servizi della società dell'informazione (base speciale).

2) Eccezioni: quando non è possibile eliminare (o non tutti)

• Obblighi legali (ad esempio AML/KYC, contabilità, documenti contabili).
• Stabilire, attuare o proteggere i requisiti legali (controversie legali/reclami).
• Libertà di espressione/diritto all'informazione, interesse pubblico in materia di salute, obiettivi scientifici, storici e statistici con adeguate garanzie.

3) Elimina vs disattivazione vs anonimizzazione

L'eliminazione è una distruzione irrevocabile dei dati personali.
Anonimato: esclusione irreversibile del legame con la persona; i dati possono rimanere nell'aggregatore di analisi/ML senza ID.
Disattivazione (chiusura dell'account) - Disattiva accesso/funzionalità, i dati rimangono fino a scadenza/esclusione.

Raccomandazione: applicare l'ibrido - eliminazione massima + anonimizzazione per gli analisti alimentari, se del caso.

4) Processo DSR da eliminare: dalla richiesta alla conferma

1. Accetta la richiesta tramite i canali disponibili (modulo Web, email, profilo).
2. Verifica del richiedente (il livello di verifica dipende dal rischio/sensibilità).
3. Controllo delle eccezioni (AML/tasse/contenziosi, investigazioni funzionali/frod).
4. Classificazione della copertura: profilo completo/categorie specifiche/marketing.
5. Mark-for-Deletion + avvia Delation Orchestrator (vedere l'articolo 7).
6. Notifica dei venditori/terzi (processori/fornitori) e fissa le risposte.
7. Conferma all'S.I. che è stato eliminato, che è stato anonimato, che è stato bloccato per eccezioni, la data di scadenza delle bacapi.
8. Loging: registro WORM delle prove di eliminazione.

SLA - Risposta entro 30 giorni (prorogabile di altri 60 con notifica e giustificazione).

5) Matrice «Base, decisione, spiegazione»

6) Cosa eliminare esattamente: copertura per livello

Livello transazionale: profilo, dati di contatto, token (dove è consentito), ID di pagamento, manufatti KYC (se non ci sono eccezioni).
Livelli di dati derivati: cache, indici di ricerca, code, feature store ML, DWH, vetrine BI, report.
Login/traccia: dove esistono ID personali - maschera/rimozione; È possibile aggregare/anonimizzare.
Marketing/Assegnazione: ID (cookie/SDK/MAID), postback di affiliati, pubblico pubblicitario - pulizia e supplence.
Profilatura/modello - Rimuove i dataset di apprendimento delle future iterazioni, contrassegnando «do-not-use» nello store.

7) Rimozione orchestrale (cascata e bacap)

• Mark-for-Deletion → Grace (7-30 giorni) → Soft Delete → Hard Delete/Anonymize nei sistemi → Cascade in cache/indici/DWH/ML → Evidence Log.
• Backups: non è possibile modificare direttamente i backup; la rimozione viene eseguita attraverso l'interruzione della finestra di conservazione e il ripristino che porta all'identificazione e all'identificazione. Durante il ripristino, lo script sanitization rimuove nuovamente gli ID contrassegnati.

• Operazioni idipotenti, retrai, deduplicazione dei comandi.
• Traccia lineage (dove le copie e le unità).
• Un unico subject-key per la cascata su tutti i sistemi.
• Archivio WORM degli atti di eliminazione.

8) Venditori/processori: notifiche e contratti

La DPA obbliga i processori a rimuovere/restituire i dati delle istruzioni, ad aiutare con il DSR, a logificare l'eliminazione, a notificare i risultati.
Registro dei sottoprocessori Tempi di risposta alle richieste di eliminazione (SLA).
Per le piattaforme promozionali/analitiche, le modalità restrited processing, i segnali API delete/suppress.

9) Modelli di comunicazione (sezioni)

• "Abbiamo ricevuto la richiesta di eliminazione dei dati. Per proteggere la sua privacy, dobbiamo confermare la sua identità. Si prega di fare un breve controllo al link/codice"

• "Abbiamo eliminato/impersonato i vostri dati personali nei prodotti e nei sistemi di analisi. I record che devono essere conservati in base alla legge (ad esempio, AML/tasse) sono bloccati e non sono disponibili per altri scopi prima della scadenza di N anni. I dati dei backup verranno eliminati in base alla pianificazione di archiviazione. ID richiesta: # XXXX"

• "Non possiamo rimuovere alcune voci a causa dell'obbligo legale di conservazione (AML/tasse/contenzioso). Questi record sono isolati e utilizzati solo a scopo obbligatorio. Abbiamo cancellato il resto delle informazioni e interrotto l'elaborazione facoltativa

10) Matrice "categoria dati" metodo di scadenza "

11) UX e sfumature alimentari

Il profilo contiene il pulsante «Rimuovi i miei dati/chiudi account» per spiegare le conseguenze (perdita di progresso/bonus).
Opzione separata per l'eliminazione del marketing (non uguale all'eliminazione dell'account).
Stato della richiesta (in esecuzione/completato), scadenza, ID della richiesta.
La rimozione non deve compromettere i rapporti finanziari: memorizzare aggregazioni non personalizzate.

12) Metriche e controllo

DeLetion SLA è una mediana/95 percentile dalla richiesta al completamento.
Cascade Complection Rate è la quota di sistemi in cui la cascata è completata.
Backups Window Compliance: conformità alle finestre di archiviazione dei backup.
Legale Hold Review Rate: tempestività della revisione delle colline.
DSR Rejection Rate (per motivi) - Percentuale di errori con giustificazione.
Evidence Completeness è una quota di valigette con un pacchetto completo di manufatti.
Avanzation Efficieness: nessun accesso di marketing dopo l'eliminazione.

13) Assegno fogli (operativi)

Prima dell'avvio del processo

• Verifica della personalità completata.
• Eccezioni verificate (AML/tasse/controversie).
• Copertura definita (totale/parziale).
• È stata creata una voce in Evidence Log.

Esecuzione

• Mark-for-Delation e Grace sono impostati.
• Completato da Hard Delete/Anonymize in un livello transazionale.
• La cascata è avviata nella cache/indici/DWH/ML.
• Invio di notifiche a processori/venditori.
• È stata aggiornata la lista supplence.

Termina

• Conferma all'utente con le parti.
• La matrice RoPA/Retention è stata aggiornata se necessario.
• Post-assegno report: SLA/errori/ripetizioni.

14) Ruoli e responsabilità (RACI)

Supporto/Privacy Ops: accezione, verifica, comunicazione.
DPO/Legale: valutazione dei motivi/eccezioni, legale hold.
Sicurezza/CISCO: controllo dell'accesso, login WORM, backup.
Data Engineering - Orchestratore di rimozione, lineage, cascate.
Marketing/CRM: superpressione, interruzione delle comunicazioni.
Finance/Compliance - Controllo dei rapporti/AML.

15) Road map di implementazione (6 passi)

1. Criteri e registri: aggiorna Privacy Policy (sezione relativa al diritto di eliminazione), RoPA, Retention Matrix.
2. Orchestratore: un unico subject-key, cascate, idempotency, Evidence Log (WORM).
3. Vendor: requisiti DPA, canali delete/suppress, SLA.
4. Richiesta di eliminazione comprensibile, stato, modelli di posta elettronica.
5. Backup: finestre di memorizzazione, disabilitazione dei ripristini non autorizzati, igienizzazioni-script.
6. Misura: dashboard SLA, Cascade, Evidence, Suppressione; verifiche trimestrali.

16) Differenze di giurisdizione (brevemente)

GDPR: ampio diritto di eliminazione + esclusioni chiare; Data di risposta 1 mese.
CCPA/CPRA: diritto di cancellazione per i consumatori; eccezioni obbligatorie (sicurezza/manutenzione/errori/obblighi legali); richiede la registrazione di GPC per opt-out da «sale/share» e i meccanismi di eliminazione dei dati non esclusivi.
TGPD: rimozione al raggiungimento dell'obiettivo/scadenza/revoca del consenso; eccezioni e blocchi sono simili allo spirito GDPR.

Totale

Il diritto all'oblio non è un pulsante, ma un processo completo: la valutazione legale dei motivi e delle eccezioni, la verifica, la rimozione a cascata e/o l'anonimato in tutti gli strati, la gestione di bacapi e venditori è dimostrabile e le metriche. Integrando questo tracciato nell'architettura e nelle operazioni, è possibile soddisfare i requisiti dei regolatori, ridurre la superficie di rischio e mantenere la fiducia degli utenti, senza compromettere l'azienda e la qualità del prodotto.