Legale Hold e congelamento dei dati

1) Cos'è Legale Hold e perché è necessario

Legale Hold (moratoria legale sulla rimozione/modifica dei dati) è un «congelamento» gestito di dati specifici potenzialmente rilevanti per indagini, verifiche, reclami, processi legali o regolatori. Lo scopo è quello di mantenere l'integrità probatoria: impedire la distruzione, la modifica o la pulizia automatica secondo gli orari di rettifica, mentre esiste un rischio legale.

• Puntualità: hold viene introdotto senza ritardi dopo la «ragionevole attesa» del contenzioso/controllo.
• Precisione: vengono congelati solo i set rilevanti (data minimization).
• Osservabilità e audibilità: tutte le attività sono logiche e verificabili.
• Reversibilità - Esiste una procedura comprensibile per rimuovere hold e tornare ai normali grafici di rimozione.

2) Quando viene immesso un trigger di tipo Legale Hold

Notifica del reclamo, denuncia del regolatore, istruzioni di supervisione.
Indagine interna (compliance/sicurezza/finanza/AML).
eDiscovery/richieste di consulenti esterni.
Incidenti di sicurezza (fuga di notizie, frode).
Segnali delle linee di protezione: Legale, DPO, CISCO, Internal Auditel.

3) Volume di congelamento: origini dati

Archivi operativi: database transazioni, login di pagamento, KYC/KYB, segnali AML.
Comunicazioni aziendali: posta, chat, call-paper, ticket.
I file repository e i datalake DWH sono livelli crudi e derivati.
Backup e archivi: snapshot, storage WORM, S3 Object Lock/immutability.
Processori di terze parti: provider KYC, PSP, piattaforme di marketing, cloud.

Importante: il congelamento si estende a copie e derivati (ETL/vitorchi/caschi).

4) Ruoli e responsabilità (RACI)

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Processo passante (SOP)

1. Avvio: Legale registra il caso, crea scope: argomenti, date, soggetti, sistemi.
2. Valutazione e mappatura: Data Owners + Ops legali creano un elenco di origini/tabelle/bacap.

• Includi tag/regole hold in DLP/EDRM/Backup.
• Blocca rimozione/anonimizzazione automatica nei circuiti interessati.
• Per i backup: applicare immutability/WORM; fissa la retence override.
• 4. Notifiche - I destinatari sono obbligati a salvare e non eliminare.
• 5. Controllo di esecuzione: conferma, promemoria, addestramento, monitoraggio delle violazioni.
• 6. Recensione periodica: minimo mensile - se hold è rilevante, se la copertura è eccessiva.
• 7. Ritiro hold: soluzione scritta Legale; assegno-foglio di ripristino delle normali regole.
• 8. Defensible Dispensishn: riattivazione delle cancellazioni pianificate e dell'anonimizzazione, fissazione sui registri.

6) Criteri di reticenza e congelamento: come combinarli

Regola: Hold sospende i tempi di ritenzione appropriati solo per gli oggetti interessati.
Conflitto con Privacy by Design: espandere al minimo scope; Non bloccare insiemi «non rilevanti».
Granularità: oggetto (ID/soggetto), tabella/partitura, spazio/bustino, tipo di documento.

7) Controlli tecnici

Storage immutabile: WORM/S3 Object Lock, Write-Once volumi, file system registrabili.
Controllo integrità: hashtag, catene di prova, registro di verifica (append-only).
Congelamento in database: flag policy e trigger che impediscono UPDATE/DELETE con le chiavi specificate.
Archiviazione delle comunicazioni: registrazione automatica delle e-mail/chat con Legale Hold API (journaling, AIP/EDRM).
DLP/EDRM Integrazioni: etichette «LegalHold=true», disinstallazione, esportazione tramite valigetta.
Backups: test di ripristino personalizzato con tempo di conservazione prolungato.
Osservabilità: dashboard di valigette hold, SLA, errori di applicazione, «deriva» di regole.

8) Punti di integrazione (architettura di riferimento)

Case Management - Sistema di casi, catalogo dati, orchestratore di regole.
IAM/Secret - Delega l'accesso minimo necessario per l'esportazione/visualizzazione.
Data Catalog/Lineage - Colorare automaticamente i dataset dipendenti.
I/CD delle configurazioni di retenza: regole hold - come codice (policy-as-code), gelosia/versione.
SIEM/SOAR: alert su tentativi di rimozione/modifica sotto hold.

9) Conflitti e come risolverli

DSAR/diritto di rimozione vs Legale Hold: la richiesta di un soggetto può essere legittimamente ritardata se i dati devono essere salvati per soddisfare obblighi legali; registriamo la giustificazione e informiamo l'S.I. del ritardo.
Ridimensionamento e proporzionalità: rivedere scope; separare i dati personali non correlati.
Trasferimenti cross-border: se teniamo copie in altre giurisdizioni, controlliamo le basi legali e i meccanismi di trasferimento (SCC/BCR/registri locali).
Crittografia e chiavi: non è possibile aggirare hold con la distruzione delle chiavi; Le rotazioni KMS sono documentate.

10) Contesto regolatore (a scopo di riferimento)

eDiscovery/standard del processo civile (ad esempio FRCP 37 e) - sanzioni per la perdita dell'ESI.
GDPR/leggi locali sui dati: conservazione legale, notifiche, limitazione degli obiettivi.
I tempi di conservazione prescritti (transazioni, KYC) possono essere più lunghi di quelli normali.
(Norme aggiornate vengono chiarite da Legale per la vostra giurisdizione/mercato).

11) Metriche e SLA

Time-to-Hold - Dal trigger all'applicazione in tutti i sistemi di destinazione (obiettivo ≤24 h).
Coverage:% di custodians/sistemi confermati sotto hold (obiettivo 100%).
Drift/Violations - Tentativi di eliminazione/modifica bloccati da regole.
Scope Creep - Percentuale di oggetti non riconducibili - Ridurre la visualizzazione mensile.
Time-to-Release: dalla soluzione Legale al ritiro completo (obiettivo -72 ore).

12) Assegno-foglio di avvio Legale Hold

• Registrare la valigetta e i motivi legali.
• Crea scope (entità, date, sistemi, tipi di dati).
• Aggiorna mappa dati e lineage.
• Includi regole hold in DLP/archivi/database/file/backap.
• Invia a Legale Hold Notice e istruzioni.
• Attiva il monitoraggio e gli alert.
• Fissa i firewall (immutability) e prova il ripristino.
• Piano di revisione regolare e data di revisione successiva.

13) Modello Legale Hold Notice (breve)

Tema: Legale Hold - Obbligo di conservazione dei dati

Destinatari: [Elenco custodiani/proprietari dati]

Base: [numero valigetta/tipo di processo]

Cosa salvare: [sistemi/cartelle/tabelle/caselle di posta/intervallo di date]

Non è consentito rimuovere, modificare, cancellare, sovrascrivere, crittografare senza concordare

Istruzioni su dove e come memorizzare, tag/etichette, contatto Ops legali

Data di scadenza fino a un preavviso separato

Conferma collegamento/modulo per confermare la lettura e l'esecuzione

14) Procedura di ritiro Legale Hold (Release)

1. Soluzione Legale + descrizione delle cause.
2. Esportazione/consolidamento finale delle prove (se necessario).
3. Recensione delle notifiche, logica dei tempi.
4. Ripristina le normali regole di rettificazione e anonimizzazione.
5. Report di chiusura: cosa c'era sotto hold, chi è stato informato, quali rimozioni sono state ripristinate.

15) Errori frequenti e come evitarli

Scope impreziosite, eccesso di storage, rischi di privacy e costi.
Ignorare bacapi e caschi, congelamento incompleto, vulnerabilità del caso.
Nessuna immutabilità → il rischio di modifiche non autorizzate.
Una cattiva comunicazione con i custodiani è il fattore umano e le violazioni.
L'assenza di una revisione regolare è «eterna» holds senza bisogno.

16) Mini playbook «a terra» (operativo)

DBA: applica gli attributi «legale _ hold = true» alle partizioni/chiavi interessate; Attivare i trigger audit bloccare le modifiche DDL agli schemi.
Storage - Trasferire i bustini/cartelle corrispondenti in modalità WORM/Retention Lock; Creare snapshot.
Posta/Chat: abilita la registrazione e l'esportazione sotto la valigetta; Divieto purge.
DWH/ETL - contrassegna le tabelle come read-only; congelare le pulizie pianificate delle partiture storiche.
Backups: repliche dedicate con durata prolungata Verifica settimanale del ripristino.
Monitoring: avvisi in Slack/Email per qualsiasi evento DELETE/TTL scope.

17) Criterio (modello di formulazione)

L'organizzazione introduce Legale Hold immediatamente in caso di ragionevole attesa di una disputa/verifica.
Il volume hold è determinato dai principi di necessità e proporzionalità.
Tutti i dipendenti devono rispettare le notifiche e confermare l'esecuzione.
L'immutabilità tecnica è garantita da immutabilità e verifiche-logging.
Hold viene rivisto almeno 1 volta ogni 30 giorni.
Il ritiro hold è scritto e accompagnato dal ripristino di regole standard.

18) Sezioni wiki collegate

Privacy by Design e minimizzazione dei dati

Grafici per la conservazione e l'eliminazione dei dati

Eliminazione e anonimato dei dati

Legal/Regulatory Requests & eDiscovery

Incidente-gestione e forenseria

DLP/EDRM e archiviazione delle comunicazioni

Totale

Legale Hold è un congelamento controllato, misurato e verificabile dei dati rigorosamente definiti. Un programma forte si basa su: (1) trigger rapido e scope accurato, (2) invariabilità tecnica (WORM, object lock, auditing), (3) ruoli trasparenti e SLA, (4) revisione regolare e rimozione sicura hold con ritorno alla normale reticenza.