L'oscuramento reversibile sostituisce ogni dato con un codice che chi riceve il documento non sa leggere e lo studio sì. In promptShield si chiama Codifica, e un codice vale dentro la sua cartella. La corrispondenza resta sul computer dello studio, e un solo file la porta fuori: l'esportazione.
A che cosa serve
L'art. 52 del Codice privacy (d.lgs. 196/2003) consente all'interessato di chiedere che dalle copie diffuse di una sentenza siano omesse le sue generalità. Per i minori l'omissione è dovuta. La copia in banca dati porta iniziali e omissis, mentre l'originale resta intatto in cancelleria e non viaggia con la copia.
Uno studio usa lo stesso metodo per il lavoro che esce e rientra: un fascicolo per un perito, una revisione presso un fornitore, un secondo parere. Al rientro i nomi devono tornare al loro posto, quindi la rimozione irreversibile non serve. Il documento in chiaro consegnerebbe codice fiscale, IBAN e numero di tessera sanitaria di persone che il perito non ha mai incontrato.
La versione precedente di questa pagina diceva che un valore aveva un solo codice in tutto l'archivio. Era sbagliato, e lo stesso errore era arrivato ai testi pubblicati in sette lingue.
Che cosa diventa un nome
Le lettere di tipo sono quindici: P persona, O organizzazione, A indirizzo, L luogo, D data, T telefono, E e-mail, I indirizzo IP, B IBAN, C carta di credito, X passaporto, R patente, S numero d'identificazione nazionale (il codice fiscale, per esempio), K valore definito dall'utente o identificativo senza lettera propria, U altro. Chi riceve il documento sa che cosa c'era in quel punto, ma non a chi si riferisce.
La lunghezza del codice segue quella del testo sostituito. Ogni carattere di riempimento ha la larghezza visiva di quello che rimpiazza, e nel PDF il codice occupa l'ingombro dell'originale. Così le colonne restano allineate e le intestazioni non vanno a capo.
Mario Rossi diventa una sigla del tipo [PRKW1FJR], e un IBAN una sigla che comincia per [B. Sono solo esempi: il riempimento dipende da una chiave propria di ogni Registro codici. L'app gratuita nel browser genera i codici nello stesso modo, con una chiave propria. Anche lì il documento resta sul computer, ma l'app invia un segnale anonimo all'avvio. «100% offline» vale solo per il desktop.
Il codice vale nella sua cartella
Dentro una cartella lo stesso valore riceve sempre lo stesso codice. La perizia, le lettere e il contratto di una pratica restano leggibili insieme, e il perito ragiona su una parte senza saperne il nome.
Fra cartelle diverse i codici sono separati. Se lo stesso nome compare in due pratiche, il generatore estrae un altro codice finché i due non divergono, perché due pratiche non devono potersi ricollegare. Fa eccezione solo il codice fissato a mano nelle impostazioni, che vale per l'intero archivio.
Per chi vuole seguire una persona in dieci pratiche è un limite. È anche una protezione: un documento codificato finito nelle mani sbagliate non dice nulla senza la tabella dei suoi codici.
Dove sta la tabella
Il Registro codici resta sul disco e non viaggia con il documento. La Decodifica avviene in locale, tramite un componente installato con l'applicazione. Quando la relazione del perito rientra scritta con le sigle, la si decodifica sulla stessa macchina.
Il registro non è cifrato, per scelta. Chi riesce ad aprirlo ha davanti lo stesso disco con i documenti originali in chiaro. Per i documenti coperti da segreto professionale, si veda come oscurare i PDF di uno studio legale senza passare dal cloud.
Il file che annulla tutto
L'esportazione del Registro codici è un file JSON in chiaro, con ogni codice accanto al nome, al codice fiscale o all'IBAN che sostituisce. Un documento codificato spedito con la sua esportazione è un documento decodificato.
L'art. 4, n. 5 del GDPR chiede che le informazioni aggiuntive siano «conservate separatamente», e un'esportazione allegata alla stessa e-mail è il contrario. Se esporta il registro, custodisca quel file come gli originali. Non va allegato a una richiesta di assistenza né lasciato in una cartella condivisa con il fornitore.
Codificare o rimuovere
Una memoria depositata o un allegato per la controparte non tornano in studio. Per loro c'è Rimuovi, che elimina il contenuto dal file in modo irreversibile invece di lasciarlo sotto un rettangolo nero. Codifica serve quando il documento deve restare leggibile e poi rientrare.
Al download, il valore viene sostituito anche dove la pagina non lo mostra: ActualText e Alt, metadati XMP, PieceInfo, destinazioni con nome, campi modulo e il loro aspetto. Lì va il codice, o un segnaposto neutro se il valore è stato rimosso. Le miniature di pagina generate prima vengono eliminate, perché in un'immagine non si può sostituire nulla.
Si codifica solo ciò che è stato rilevato, e nessun modello locale trova ogni dato. Per questo un file protetto non si scarica finché una persona non ha verificato le rilevazioni nella Revisione, dove si aggiunge a mano ciò che è sfuggito.
Che cosa dice il GDPR
Per il considerando 26 del GDPR i dati pseudonimizzati restano informazioni su una persona identificabile. Il GDPR cita la pseudonimizzazione all'art. 25 e all'art. 32, fra le misure di protezione e di sicurezza. Come vanno considerati i dati per chi non ha la tabella è spiegato in che cosa conta davvero come anonimizzazione.
Il fornitore che esegue la revisione resta responsabile del trattamento ai sensi dell'art. 28, perché la Codifica riduce ciò che riceve e lascia intatto il rapporto con lo studio. Il segreto professionale (art. 622 c.p.) si misura su ciò che esce dallo studio, e se basti nel singolo caso lo valuta il titolare. Il Garante per la protezione dei dati personali guarda alle misure adottate e a come sono documentate.
Domande frequenti
Un dato sostituito da un codice resta un dato personale?
Per chi conserva il Registro codici, sì, come dice il considerando 26 del GDPR. Lo studio mantiene quindi i propri obblighi.
Due persone diverse possono ricevere lo stesso codice?
No. Ogni codice è unico in tutto il Registro codici, anche fra cartelle diverse, perché la Decodifica deve risalire a un solo valore. È lo stesso valore a ricevere un codice diverso in ogni cartella.
Dove si trova la chiave per tornare ai dati originali?
Sul computer dove il documento è stato codificato, nel Registro codici. Non viaggia con i file e non arriva a noi.
Che cosa succede se si esporta la tabella dei codici?
Si ottiene un JSON in chiaro con ogni codice e il suo valore. Insieme al documento codificato rivela l'originale, perché manca la conservazione separata.
La copia circola, l'originale resta
L'affidabilità del metodo dipende dal luogo in cui sta la tabella. Servono due abitudini dello studio: tenere ogni pratica nella sua cartella e non spedire l'esportazione con il documento.