TL;DR
Tjugoen vägledande dagar för anställdas e-postmetadata; förbudet att fråga om cancer som behandlats för mer än tio år sedan; skyldigheten att bevara motiveringen till en penningtvättsrapport man beslutat att INTE skicka. Tre registerposter som nästan ingen skriver.
Ett: e-postmetadata, som leverantören ställer in
Den italienska tillsynsmyndighetens vägledningsdokument av den 6 juni 2024 anger tjugoen dagar som vägledande lagringstid för de metadata som e-postprogram genererar — avsändare, mottagare, datum, tid, storlek. Inte innehållet: loggarna. Det är regeln en personuppgiftsansvarig oftast bryter mot utan att veta det, eftersom det är standardinställningen i den svit man köpt som bryter mot den: många behåller loggar i månader eller år, ingen har valt det, och just därför har ingen fört in det i registret. Att gå utöver tjugoen dagar är inte absolut förbjudet — dokumentet är vägledande och dokumenterade tekniska behov kan motivera det — men art. 4 i arbetstagarstadgan gäller fortfarande där lagringen möjliggör kontroll på distans.
Två: cancerglömska är ingen lagringstid, det är ett insamlingsförbud
Lag 193 av den 7 december 2023 förbjuder att fråga om cancersjukdom vars aktiva behandling avslutades utan återfall för mer än tio år sedan; fem år om sjukdomen uppkom före tjugoett års ålder. Den omfattar bank-, finans- och försäkringsavtal, adoption och offentliga uttagningar. Ett frågeformulär som frågar «har du någonsin haft cancer» utan tidsgräns är olagligt redan i grunden, och ingen lagringstid gör det lagligt. Ministerdekretet av den 22 mars 2024 pekar dessutom ut sjukdomar där rätten inträder tidigare än tio år: att tillämpa den allmänna fristen på alla är fortfarande en överträdelse.
Tre: akten över den som INTE rapporterade
Art. 35 i lagdekret 231/2007 kräver rapport om misstänkta transaktioner. Det registren utelämnar är den andra halvan: den granskning som föregår beslutet och motiveringen till intern arkivering när ingen rapport skickas. Den akten innehåller ett omdöme om en identifierad person — en misstanke som prövats och lagts åt sidan — och är känsligare än själva rapporten, eftersom den stannar internt och inte omfattas av den sekretess lagen ger en inskickad rapport. Vem som får öppna den och hur länge den ligger kvar måste stå skrivet.
- Det gemensamma: ingen av de tre uppstår ur ett beslut att samla in uppgifter. Loggarna finns redan, frågeformuläret är äldre än lagen, akten är resten av ett avslagsbeslut.
- Vad som händer vid en granskning: det är verkliga register som registret inte beskriver, och deras frånvaro är inte ett formfel — det betyder att ingen satt en frist, och därmed att ingen raderar.
- Var man börjar: fråga e-postleverantören hur länge loggarna sparas, läs om hälsoformulären, öppna lådan med arkiverade penningtvättsbedömningar.
Den röda tråden
Ett behandlingsregister beskriver vad organisationen beslutat att göra. Dessa tre register finns utan att någon beslutat om dem: de skapades av en standardinställning, ett ärvt formulär, ett förfarande som producerar papper även när det slutar med ett nej. Det är där registret åldras — inte i de aktiviteter någon utformat.
Alla tre finns nu i den italienska lagringsmatrisen, med källan angiven och verifieringsstatus deklarerad post för post.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
