Il percorso parte nel 2017, con le iniziative avviate dall’istituto in tema di privacy.

Una prima fase ha coinvolti i responsabili dei sistemi applicativi nell'analisi delle proprie basi dati, attraverso l'individuazione delle informazioni sensibili e la loro correlazione con contratti, posizioni, carte e altri oggetti gestiti dai sistemi.

Il tema successivo è stato intervenire sulle informazioni che avevano superato i tempi previsti di conservazione, impedendone l’accessibilità.

Dal punto di vista applicativo, le strade individuate sono state due: cancellazione oppure anonimizzazione, quando occorre preservare dati e relazioni necessari al corretto funzionamento delle procedure.

Oggi questa logica viene portata su una scala più ampia, con l'obiettivo di realizzare una cancellazione massiva accelerata dei dati personali su un ampio perimetro applicativo, favorendo il riutilizzo degli strumenti di svecchiamento già esistenti, l'automazione dei processi di data deletion e la progressiva riduzione dello storico non più necessario, nel rispetto dei vincoli normativi e di continuità operativa.

Il progetto prevede inoltre il completamento delle attività già avviate nell'ambito normativo e l'estensione delle logiche di cancellazione a ulteriori applicativi del Gruppo. 

È un intervento corposo, trasversale e duraturo, che comporta la necessità di coinvolgere i diversi referenti, coordinare gli interventi sui singoli applicativi e garantire il rispetto delle tempistiche definite a livello centrale.

I numeri restituiscono la dimensione dell’operatività: sei aree coinvolte, 17 procedure interessate, articolate in molteplici sottoprocedure, e quasi mille giornate di lavoro. La suddivisione delle attività in wave successive, l'allineamento continuo tra i gruppi di lavoro e la condivisione di metodologie, strumenti e obiettivi comuni sono funzionali a una gestione efficace delle dipendenze e una progressiva industrializzazione degli interventi.

La complessità non è soltanto organizzativa.

Ogni applicativo richiede un’analisi specifica per stabilire come implementare anonimizzazione o cancellazione senza compromettere l’operatività. A questo si aggiunge la necessità di assorbire nuove specifiche e imprevisti, facendo convivere un programma prioritario con gli altri progetti già in carico ai team.

La capacità di adattarsi e trovare soluzioni che non mettano in difficoltà il progetto è fondamentale. In tal senso, la combinazione tra competenza tecnica e capacità di orchestrazione diventa un tema di governance IT: non più una serie di interventi isolati, ma un processo enterprise che attraversa applicazioni, competenze e organizzazione.