GDPR Privacy — Cheat Sheet

Tag: gdpr, privacy, security, compliance, data-protection, backend

Livello: intermedio

TL;DR: Principi cardine del GDPR, basi giuridiche per il trattamento e pattern architetturali per garantire privacy by design e gestione sicura dei dati personali.

Concetti chiave

Dato Personale: qualsiasi informazione che identifica o rende identificabile una persona fisica, direttamente o indirettamente.

Ruoli: Data Controller determina finalita e mezzi; Data Processor tratta i dati per conto del Controller.

Basi Giuridiche: consenso esplicito, obbligo contrattuale, obbligo legale, interesse vitale, pubblico interesse o legittimo interesse.

Principi Fondamentali: liceita, correttezza, trasparenza, limitazione delle finalita, minimizzazione dei dati, esattezza e limitazione della conservazione.

Privacy by Design: integrazione della protezione dati nell'architettura software fin dalla fase di progettazione.

Privacy by Default: configurazione automatica dei sistemi per trattare unicamente i dati strettamente necessari.

Diritti dell'Interessato: accesso, rettifica, cancellazione (diritto all'oblio), limitazione, portabilita e opposizione.

Misure di Sicurezza: cifratura at rest e in transit, pseudonimizzazione, anonimizzazione e auditing continuo.

Data Breach: obbligo di notifica all'autorita garante entro 72 ore dalla scoperta se sussiste rischio per i diritti.

DPIA: valutazione d'impatto obbligatoria per trattamenti ad alto rischio prima dell'avvio operativo.

Domande tipiche e risposte pronte

Q: Come affronti il diritto all'oblio (Right to be Forgotten) in un database relazionale con vincoli di foreign key?R: Implemento strategie di soft delete e successiva anonimizzazione o pseudonimizzazione irreversibile dei campi sensibili (PII), preservando la consistenza referenziale e gli obblighi legali o contabili.

Q: Qual e la differenza pratica tra anonimizzazione e pseudonimizzazione in fase di sviluppo?R: La pseudonimizzazione separa i dati identificativi usando chiavi di mapping protette (reversibile), mentre l'anonimizzazione distrugge il legame con l'interessato in modo permanente (irreversibile, uscendo dal perimetro GDPR).

Q: Quando e obbligatorio registrare e notificare un data breach?R: Va documentato internamente qualsiasi incidente di sicurezza; la notifica all'autorita garante va inviata entro 72 ore se c'e rischio per gli interessati, informando anche gli utenti se il rischio e elevato.

Insidie e errori comuni

Salvare PII in chiaro all'interno dei log applicativi o nei messaggi di tracciamento degli errori.

Confondere il consenso dell'utente con l'esecuzione contrattuale come base legale per il trattamento essenziale.

Mancata definizione di policy rigide di data retention e assenza di job schedulati di purge automatico.

Esposizione di dati personali nei backup senza cifratura o con permessi di accesso non segregati.

Trasferimento di dati personali su server o servizi SaaS extra-UE senza adeguate garanzie o clausole contrattuali standard (SCC).

Snippet e comandiTypeScript

// Esempio di mascheramento/pseudonimizzazione PII prima del logging
interface UserProfile {
  id: string;
  email: string;
  fullName: string;
  role: string;
}

export function sanitizeUserForLogging(user: UserProfile) {
  return {
    userId: user.id,
    role: user.role,
    emailDomain: user.email.split('@')[1] ?? 'unknown',
    isMasked: true,
  };
}

Da ripassare

[ ] Mappatura delle basi giuridiche per ciascun flusso dati del sistema

[ ] Pipeline e script di cancellazione dati e gestione cascade soft-delete

[ ] Meccanismi di criptazione simmetrica e asimmetrica at rest per colonne DB

[x] Conoscenza dei diritti fondamentali dell'interessato e tempi di risposta (30 giorni)

[x] Principi di minimizzazione dati nelle API payload e risposte JSON

Riferimenti

Regolamento (UE) 2016/679 (General Data Protection Regulation - GDPR)

Linee guida EDPB (European Data Protection Board) su Data Protection by Design and by Default

Jarvis Interviews
Jarvis