Diritto all'oblio e condivisione file: cosa devi sapere

L'Articolo 17 del GDPR (diritto alla cancellazione) obbliga i servizi di condivisione file e i loro clienti a eliminare i dati personali su richiesta entro un mese, incluse le copie detenute da sub-responsabili e nei backup, salvo che si applichi un'esenzione specifica. Per i trasferimenti file, questo significa dotarsi di un meccanismo di cancellazione che raggiunga ogni livello di archiviazione: object storage primario, cache CDN, backup a freddo e destinatari a valle che hanno già scaricato il file. I servizi con scadenza automatica tra 7 e 30 giorni soddisfano la maggior parte delle richieste di cancellazione per impostazione predefinita; quelli che conservano i file a tempo indeterminato necessitano di un flusso di eliminazione documentato e verificabile.

Cosa richiede effettivamente l'Articolo 17(1)

L'Articolo 17(1) elenca sei motivi che attivano la cancellazione: i dati non sono più necessari per lo scopo originale (a), l'interessato revoca il consenso (b), l'interessato si oppone ai sensi dell'Articolo 21 e non sussiste un fondamento legittimo prevalente (c), i dati sono stati trattati illecitamente (d), obbligo legale di cancellazione (e), dati di minori raccolti ai sensi dell'Articolo 8(1) (f). Per la condivisione file, (a) e (b) sono i casi dominanti. La finestra "necessario per lo scopo" predefinita per un deliverable client corrisponde alla durata del progetto più un breve margine per la risoluzione delle controversie — raramente superiore a 12 mesi.

Il termine di risposta di un mese

L'Articolo 12(3) concede ai titolari un mese per rispondere a una richiesta dell'interessato, prorogabile di due mesi per casi complessi con comunicazione all'interessato. Questo è il termine di risposta, non il termine tecnico di cancellazione. Ma se stai ancora eliminando file manualmente tramite ticket JIRA tre settimane dopo la ricezione della richiesta, stai operando ai limiti. I servizi con cancellazione guidata da API — DELETE /transfers/{id} con risposta 204 — permettono di rispettare la scadenza senza straordinari. Integra la chiamata di cancellazione nel modulo di gestione delle richieste GDPR in modo che si attivi automaticamente quando un ticket viene approvato.

Backup, cache e il problema della "cascata"

Eliminare un file dall'archiviazione primaria non lo cancella dal backup di ieri, dalla cache CDN della settimana scorsa o dal laptop del destinatario. Le linee guida EDPB sull'Articolo 17 (pubblicate nel 2019, riviste nel 2022) accettano che i backup possano essere in ritardo, ma richiedono un calendario di cancellazione documentato — tipicamente rotazione completa entro 90 giorni — e l'impegno che i dati nei backup non vengano ripristinati nei sistemi attivi. Per le cache CDN, le chiamate di invalidazione (purge API di Cloudflare, invalidation di AWS CloudFront) devono far parte della pipeline di cancellazione. Per le copie dei destinatari, notifica ai sensi dell'Articolo 17(2) e documenta la notifica.

La scadenza del link come cancellazione strutturale

Il percorso di conformità più efficace è non conservare i file oltre il necessario. I servizi costruiti attorno a link di breve durata — SwissTransfer a 30 giorni, Firefox Send a 1-7 giorni prima della chiusura, WeTransfer Free a 7 giorni, HexaTransfer a 7 giorni — eliminano automaticamente indipendentemente da qualsiasi richiesta. Si tratta di "privacy by design" ai sensi dell'Articolo 25: la configurazione predefinita minimizza la conservazione. Se stai costruendo uno strumento di trasferimento o scegliendo uno esistente, una scadenza predefinita inferiore a 30 giorni rende la maggior parte delle richieste di cancellazione un'operazione nulla perché il file è già scomparso.

Esenzioni ai sensi dell'Articolo 17(3)

L'Articolo 17(3) elenca cinque esenzioni: libertà di espressione (a), obblighi legali incluse le norme di conservazione (b), interesse pubblico nel settore sanitario (c), archiviazione per interesse pubblico, ricerca scientifica o storica (d), e accertamento o difesa di diritti in sede giudiziaria (e). Nella condivisione file, (b) ed (e) sono i casi più frequenti. Un contratto PDF condiviso con un cliente potrebbe dover essere conservato per sette anni ai sensi della normativa IVA o dieci anni ai sensi del codice commerciale — documenta la legge di conservazione applicabile, pseudonimizza ove possibile e non cancellare su richiesta. Documenta il rifiuto per iscritto con il fondamento giuridico.

Cancellazione crittografica per l'archiviazione immutabile

Alcuni sistemi di archiviazione (object storage immutabile, backup WORM, certi archivi adiacenti alla blockchain) non possono sovrascrivere fisicamente i dati. La cancellazione crittografica — distruggere la chiave di cifratura in modo che il ciphertext diventi inutilizzabile — è accettata da ENISA e dall'EDPB come equivalente alla cancellazione ai fini del GDPR, a condizione che il cifrario sia robusto (AES-256-GCM o superiore) e la chiave fosse adeguatamente protetta. I servizi che utilizzano chiavi per file o per trasferimento possono onorare la cancellazione eliminando la chiave, lasciando un ciphertext che nessuno può decifrare. Questo è più rapido della sovrascrittura di terabyte e funziona su sistemi immutabili.

Log di cancellazione e il principio di responsabilizzazione

L'Articolo 5(2) richiede ai titolari di dimostrare la conformità. I log di cancellazione sono la tua prova. Per ogni cancellazione, registra: data della richiesta, identificativo dell'interessato, riferimento al ticket, sistemi coinvolti (archiviazione primaria, backup, CDN, elenco notifiche ai destinatari), metodo di cancellazione (chiamata API, distruzione della chiave, sovrascrittura), timestamp di completamento e operatore. La conservazione del log per sei mesi è una base comune. Alcuni provider espongono un PDF di "conferma del diritto alla cancellazione" da inviare all'interessato; altri semplicemente aggiornano il ticket. In ogni caso, conserva la documentazione per tutto il tempo in cui un'indagine dell'autorità di controllo è plausibile — tipicamente tre anni.

Cartelle condivise e destinatari a valle

Un file inviato a cinque destinatari vive in cinque caselle di posta più cinque hard disk locali. L'Articolo 17(2) richiede ai titolari di adottare misure ragionevoli — incluse misure tecniche — per informare gli altri titolari che trattano i dati che è stata richiesta la cancellazione. "Ragionevole" è proporzionale al rischio. Per un executive summary pubblico inviato a 50 giornalisti, "ragionevole" è quasi zero. Per un referto medico inviato a tre specialisti, si tratta di un'email a ciascuno con la richiesta di eliminazione. Documenta le notifiche; l'obbligo riguarda lo sforzo, non il risultato.

Dati dei minori e soglie più severe

Ai sensi dell'Articolo 17(1)(f), i dati personali raccolti da minori ai sensi dell'Articolo 8(1) — dove era richiesto il consenso genitoriale per i servizi della società dell'informazione — godono di un trattamento preferenziale in materia di cancellazione. Se la piattaforma di trasferimento file ha condotto una campagna di marketing raccogliendo recapiti di minori (raro ma non impossibile), le richieste di cancellazione devono essere soddisfatte senza il bilanciamento abituale. Le leggi nazionali abbassano la soglia di età dell'Articolo 8 in alcuni Stati membri (13 anni in Svezia e nel Regno Unito, 15 in Francia, 16 in Germania). I provider che si rivolgono ai mercati educativi devono avere flussi di gestione per le richieste presentate dai genitori per conto di minori.

Automatizzare la cancellazione con lo strumento di trasferimento

Il modello efficiente è un singolo endpoint API che, dato un identificativo utente, enumera tutti i trasferimenti che coinvolgono quell'utente (come mittente o email del destinatario), li elimina su livelli primari e cache, invalida i margini CDN, attiva la soppressione dei backup ed emette una ricevuta di conformità. Tresorit, Proton Drive e Box Enterprise espongono varianti di questo pattern. Il modello di HexaTransfer — scadenza automatica a 7 giorni con cifratura lato client — semplifica il problema: la maggior parte dei file è già scomparsa quando arrivano le richieste, e il ciphertext rimanente è inutilizzabile senza la chiave detenuta dall'utente.

Progetta pensando prima alla cancellazione e il diritto all'oblio si risolve da solo. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.