Le aziende proteggono i dati personali con quattro strategie: piattaforme di governance, servizi DLP nel cloud, oscuramento affidato a un fornitore e cancellatura manuale. Ognuna risponde a una domanda diversa, e nessuna è migliore delle altre in assoluto. Ha senso confrontarle solo dopo averle distinte. promptShield si colloca nella quarta.
Quattro domande in una sola frase
Si chieda a quattro persone dello stesso studio come vengono protetti i dati dei clienti. Il responsabile informatico penserà al servizio che scansiona gli archivi in cloud, il DPO al registro dei trattamenti. Lo sviluppatore penserà a un'API, la praticante al pennarello nero sul PDF stampato. Sono quattro risposte corrette senza nulla in comune.
La confusione del mercato nasce dalla frase "proteggere i dati personali", che contiene quattro domande diverse. Chi compra non è incompetente. Ogni domanda ha il proprio interlocutore, la propria unità di misura e il proprio fornitore:
- L'organizzazione: quali dati abbiamo, dove stanno, chi ne risponde.
- Il volume: come trattare milioni di record senza guardarli uno per uno.
- Le risorse: come ottenere un fascicolo ripulito senza impegnare le ore dello studio.
- Il documento: questo atto, oggi, può uscire con il mio nome sotto?
Ogni strategia funziona bene sul proprio terreno e meno sugli altri tre. Il problema nasce quando una tabella comparativa mette in colonna funzioni che rispondono a domande diverse. L'acquirente sceglie allora lo strumento giusto per un problema che non ha.
Il motivo per cui l'arrivo dell'IA ha cambiato il problema dei dati personali è spiegato in un articolo a parte.
Piattaforme di governance: l'organizzazione
Una piattaforma di governance tiene l'inventario dei trattamenti, mappa i flussi fra sistemi, gestisce le richieste degli interessati e documenta le valutazioni d'impatto. Con essa il titolare costruisce il registro previsto dall'art. 30 GDPR. Prepara anche la risposta che il Garante per la protezione dei dati personali si aspetta in un'istruttoria: dove sono i dati, perché, per quanto tempo.
Per un gruppo con decine di sistemi e centinaia di fornitori è lo strumento giusto, e non ha sostituti. Il suo oggetto è però l'organizzazione, e il singolo documento resta fuori. Sa che un fascicolo contiene dati di salute, ma non rende quel fascicolo condivisibile.
DLP e API nel cloud: il volume
La documentazione di Google Cloud presenta Sensitive Data Protection, un tempo Cloud DLP, come servizio per scoprire, classificare e de-identificare dati sensibili su larga scala, negli archivi e nei flussi di dati. È pensato per un team di ingegneria che tratta tabelle, log e repository interi. Si configura una volta, si applica a milioni di righe e si misura in percentuali.
Su questi volumi il ragionamento statistico è quello giusto. Nessuno può guardare ogni record, e un errore residuo su milioni di righe si gestisce con controlli a campione e soglie. Il fornitore tratta i dati per conto del titolare, e l'art. 28 GDPR chiede un contratto con istruzioni, misure e sub-responsabili.
Questa impostazione presuppone però un flusso di dati e una persona che lo programma. Un avvocato che deve mandare un allegato non gestisce flussi di dati, ma un file, una scadenza e un cliente.
Oscuramento affidato a terzi: si delega il lavoro
Nel terzo modello lo studio consegna i documenti a un fornitore, che li restituisce oscurati, spesso con software e revisori. Funziona per volumi grandi e irregolari: una produzione documentale in un contenzioso, una due diligence con migliaia di allegati. Lo studio compra ore di lavoro che non ha.
Ci sono due conseguenze. Anche qui il fornitore è un responsabile del trattamento e serve il contratto dell'art. 28. Per un avvocato, inoltre, consegnare il fascicolo integro a un terzo è già un gesto da giustificare rispetto al segreto professionale, tutelato dall'art. 622 del codice penale. Molti studi lo fanno con le dovute cautele, ma la valutazione va fatta prima.
Cancellatura manuale: il metodo più antico
Resta il pennarello nero, o il rettangolo nero disegnato in un editor PDF. È un metodo lento e soggetto a errori noti. Il più comune è il rettangolo che copre il testo a schermo e lo lascia intatto nel file.
Ha però un pregio che le altre strategie non hanno: chi oscura è la persona che risponde del documento, e sa di aver guardato ogni pagina. Il codice fiscale nella terza riga, l'IBAN in calce, il numero di tessera sanitaria nel referto allegato: qui conta che qualcuno possa dire di averli visti tutti.
Perché un 99,5% non basta
Si immagini un fornitore che dichiari, nei propri test, di individuare il 99,5% dei dati personali. Il numero è un esempio e non è nostro: promptShield non pubblica qui una cifra di questo tipo. Su un milione di record è un ottimo risultato. Su un contratto con duecento dati identificativi significa, in media, un nome lasciato in chiaro, e nessuno sa quale.
Chi firma un atto risponde di quel documento, e la media gli serve a poco. Il cliente il cui nome è sfuggito non si consola sapendo che gli altri centonovantanove sono coperti. Nelle prime tre strategie questo pesa poco, perché nessuno vi garantisce i singoli documenti. Nella quarta è decisivo.
Dove si colloca promptShield
promptShield appartiene alla quarta strategia: rendere più rapida la cancellatura manuale senza rinunciare al controllo umano. L'applicazione lavora sul file, nella Libreria. La funzione Rileva usa schemi a regole per i valori a forma riconoscibile, come codice fiscale e IBAN, e un modello configurabile di riconoscimento delle entità per nomi, società e indirizzi.
Un'analisi con modello linguistico è facoltativa e disattivata per impostazione predefinita. I risultati vengono fusi, ripuliti dai doppioni e propagati fra le pagine, così che un nome trovato a pagina 1 venga segnalato anche a pagina 4. Poi si scartano le segnalazioni superflue. Nessun modello locale individua ogni identificativo, e il prodotto parte da questa premessa.
Un file con parti da proteggere non si scarica finché una persona non ha completato la revisione delle rilevazioni. Chi preme Scarica prima vede un avviso che indica che cosa manca e porta alla Revisione. Lì confermare ciascun codice nel Registro codici vale come verifica.
Per ogni valore si sceglie fra Rimuovi, che lo elimina in modo irreversibile, e Codifica, che lo sostituisce con un codice breve e reversibile. I codici valgono per cartella: ogni cartella ha il proprio spazio, e solo un codice fissato a mano vale per l'intero archivio. In passato le nostre pagine, in sette lingue, li hanno descritti come coerenti su tutta la libreria, e non era esatto. La Decodifica avviene in locale, con il componente incluso nell'applicazione.
L'applicazione desktop funziona al 100% offline, e la modalità completamente isolata, senza verifiche di licenza né segnalazione degli errori, è riservata al piano Pro. Fa eccezione l'Analisi approfondita, se la si collega a un modello remoto: in quel caso il testo delle pagine lascia il computer.
Nell'app gratuita nel browser il documento resta sul computer, ma l'app invia un conteggio anonimo degli avvii. L'API installabile sui propri server verifica la licenza presso di noi ogni 6 ore e conserva la cache per 3 giorni al massimo. Dipende quindi dai nostri server e non ha una modalità isolata.
Domande frequenti
Di quale strategia ho bisogno?
Dipende dalla domanda a cui deve rispondere: inventario dell'organizzazione, volumi su larga scala, mancanza di personale interno o un documento preciso da far uscire. Ognuna ha la sua strategia, e molte organizzazioni ne usano più d'una.
Perché questi strumenti sono così difficili da confrontare?
Perché rispondono a domande diverse e si misurano in unità diverse: record, flussi, ore di lavoro, singoli documenti. Conviene prima stabilire qual è la propria domanda, e poi confrontare i prodotti di quella strategia.
A chi non è adatto promptShield?
A chi deve inventariare i trattamenti di un'intera organizzazione, a chi de-identifica milioni di righe senza intervento umano e a chi vuole affidare la preparazione a terzi. In questi casi la revisione di ogni file sarebbe un costo senza vantaggio.
Serve davvero che una persona riveda ogni documento?
Nella quarta strategia sì. La rilevazione automatica fa gran parte del lavoro, ma un documento con un nome in calce richiede qualcuno che possa dire di averlo controllato.