Creare un modulo online sicuro: la guida pratica

Creare un modulo online è la cosa più semplice che farete questa settimana. Qualsiasi editor sul mercato vi porta dalla pagina bianca al link funzionante in circa dieci minuti, e in nessuno di quei dieci minuti si prende una sola decisione di sicurezza. Il problema è proprio questo. Il modulo da cui escono i dati non è quasi mai quello violato: è quello che chiedeva una data di nascita che nessuno usava, che è circolato come link pubblico in una chat di gruppo, che ha raccolto risposte per quattro anni e che sei persone ormai uscite dall'azienda potevano leggere.

Questa guida è volutamente indipendente dal prodotto: ogni passaggio vale sia che usiate Schweizerform, Google Forms, un tenant Microsoft o un LimeSurvey installato in casa. Dove un passaggio dipende da una funzione della piattaforma lo diciamo esplicitamente, e usiamo il nostro prodotto come esempio concreto senza sostenere che sia l'unica opzione. Se state ancora scegliendo lo strumento, la nostra panoramica degli strumenti per moduli online per le aziende svizzere è il punto di partenza migliore.

Che cosa significa davvero « sicuro » per un modulo?

« Sicuro » indica quattro proprietà diverse, che i fornitori raramente distinguono. Capire quale state comprando — e quale dovete ancora costruire voi — è la parte più consistente del lavoro.

• Riservatezza in transito. Nessuno sulla rete può leggere l'invio. Ci pensa HTTPS, ovunque e senza clamore. È un requisito minimo, non una funzione — e si ferma alla porta del server, motivo per cui abbiamo scritto perché HTTPS da solo non basta.
• Riservatezza a riposo. I dati archiviati sono cifrati sul disco. Quasi tutti i fornitori lo fanno con chiavi proprie: protegge da un disco rubato, non dal fornitore, dai suoi strumenti di assistenza o da un ordine dell'autorità rivolto a lui.
• Riservatezza nei confronti del fornitore. Solo voi potete leggere le risposte, perché la decifratura avviene nel vostro browser con una chiave che il fornitore non riceve mai. È la crittografia end-to-end, l'unica delle quattro che cambia chi si trova dentro il vostro perimetro di fiducia.
• Integrità e disponibilità. Le risposte che leggete sono quelle inviate, il mese prossimo sono ancora lì e potete estrarle. Poco affascinante — ed è il tipo di guasto che le organizzazioni vivono davvero.

A queste si aggiunge la proprietà che non ha nulla a che vedere con la crittografia: i dati che non avete mai raccolto non possono uscire, essere richiesti da un'autorità, essere condivisi per errore né dover essere cancellati. Ogni passaggio che segue deriva da questa idea.

Passo 1: stabilire che cosa potete chiedere

Partite dai campi, non dallo strumento. Secondo l'art. 6 della legge federale svizzera sulla protezione dei dati il trattamento deve essere lecito, avvenire secondo il principio della buona fede ed essere proporzionato, restando legato alla finalità indicata al momento della raccolta. In pratica: ogni campo merita una frase che spieghi cosa ne farete. Se la frase è « potrebbe servire in futuro », quel campo non ha posto nel modulo.

Attenzione particolare alle categorie che la legge considera degne di particolare protezione — dati sulla salute, opinioni religiose, filosofiche, politiche o sindacali, origine razziale o etnica, dati genetici e biometrici, sfera intima, procedimenti e sanzioni amministrativi e penali, misure di aiuto sociale (art. 5 lett. c nLPD; l'equivalente nel GDPR è l'art. 9). Una casella dall'aspetto innocuo può spostare tutto il modulo in questa categoria, con la conseguenza di richiedere un consenso esplicito dove il consenso è la vostra base e una valutazione d'impatto ai sensi dell'art. 22 quando il rischio è elevato.

Passo 2: formulare le domande perché le risposte siano utilizzabili

Il disegno delle domande è una misura di protezione dei dati, non solo una questione di usabilità. Le risposte strutturate si aggregano, si filtrano, si esportano e si cancellano con precisione. Il testo libero no: raccoglie ciò che il rispondente decide di raccontarvi, comprese cose per cui non avete alcuna base giuridica, ed è il tipo di campo più difficile da anonimizzare in seguito.

• Preferite risposte chiuse dove farete analisi. Scelta singola, scelta multipla, scala, data, elenco a tendina. I dati restano ordinati e l'analisi onesta.
• Usate il testo libero con intenzione, e avvertite. Una frase — « non indicate dati sulla salute né nomi di terzi » — cambia in modo misurabile ciò che le persone scrivono.
• Rendete obbligatori solo i campi davvero necessari. Ogni campo obbligatorio costa completamenti ed è una costrizione: senza consegnare il dato la persona non prosegue. Un campo non necessario alla finalità non deve essere obbligatorio — e spesso non dovrebbe esserci affatto.
• Dividete i moduli lunghi in pagine o passaggi. I tassi di completamento salgono e diventa possibile raccogliere la parte sensibile solo dopo aver spiegato perché serve.
• Etichettate nella lingua dei rispondenti. In Svizzera significa almeno DE, FR e IT. Una domanda di consenso tradotta male non è un consenso.

Un trucco pratico per definire l'elenco dei campi: scrivete prima l'esportazione che volete ottenere — le colonne che userete davvero nella riunione di analisi — e derivate il modulo da quelle. I campi che non producono nessuna colonna scompaiono da soli. Se preferite partire da qualcosa di collaudato, i nostri modelli sono costruiti proprio con questa disciplina, e il centro assistenza spiega la meccanica in le basi dell'editor di moduli e i tipi di domanda.

Passo 3: dire ai rispondenti che cosa accade ai loro dati

L'art. 19 nLPD richiede che il titolare informi preventivamente la persona interessata, in modo comprensibile, sulla propria identità e sui dati di contatto, sulla finalità del trattamento, se del caso sui destinatari e sullo Stato verso cui i dati potrebbero essere comunicati all'estero, insieme alla garanzia utilizzata. Un modulo è il punto di raccolta: l'informativa appartiene dunque al modulo, non a tre clic di distanza in un piè di pagina che nessuno apre.

Quattro o cinque righe in linguaggio chiaro bastano: chi raccoglie, perché, chi vedrà, per quanto tempo, dove rivolgersi con una richiesta — più un link all'informativa completa. La lunghezza non è qui una misura di qualità; un rispondente che capisce l'informativa vale più di un testo giuridicamente esaustivo davanti al quale ha fatto scorrere lo schermo.

Passo 4: trattare i caricamenti di file come il campo più rischioso

Il campo di caricamento è l'unico punto in cui perdete il controllo su ciò che state raccogliendo. Chiedete un attestato di domicilio e riceverete estratti conto; chiedete una foto e riceverete la scansione di un passaporto; chiedete « documentazione » e riceverete una cartella clinica completa. Tre regole tengono la situazione gestibile: nominate con precisione i documenti accettati, limitate tipi e dimensioni dei file perché le sorprese siano più difficili, e assicuratevi che i file siano protetti come le risposte — un invio cifrato con allegati in chiaro in un archivio a oggetti non è un invio cifrato.

I caricamenti portano anche metadati che si dimenticano: le fotografie possono contenere coordinate GPS e identificatori del dispositivo, i PDF conservano nomi degli autori e cronologia delle revisioni, i documenti da ufficio mantengono le revisioni tracciate. Se inoltrate o ripubblicate ciò che ricevete, inoltrate anche quello. Il modello di minaccia completo, dal browser all'archiviazione, è nella guida completa ai caricamenti di file sicuri.

Passo 5: condividere il link senza trasformarlo in un documento pubblico

È qui che si verificano la maggior parte degli incidenti reali, e non ha nulla a che fare con la crittografia. Un link a un modulo è un URL. Gli URL vengono inoltrati, incollati nelle chat di gruppo, indicizzati appena compaiono su una pagina pubblica, salvati nella cronologia di computer condivisi e fotografati dentro presentazioni. Un link non indovinabile è una lieve forma di segretezza, non un controllo d'accesso.

1. Decidete chi deve poter inviare, poi scegliete il meccanismo che lo impone: link aperto, codice di sblocco, inviti individuali o autenticazione quando la platea è nota.
2. Usate un codice di sblocco per tutto ciò che è riservato. Trasforma « chiunque abbia il link » in « chiunque abbia ricevuto il codice »: un insieme molto più piccolo e più difendibile.
3. Definite una finestra temporale. Un modulo che apre lunedì e chiude venerdì non può essere compilato sei mesi dopo da qualcuno che ha ritrovato il link in una vecchia e-mail.
4. Fissate un tetto di risposte quando la platea è finita — 40 posti, 200 soci, un invio per pratica. Un tetto è anche la difesa più economica contro un'ondata.
5. Non mettete mai il link dove non mettereste le risposte. Una pagina intranet aperta, un post sui social e un QR code su un manifesto sono decisioni di pubblicazione.

La meccanica di ciascun punto è documentata nel centro assistenza — condividere link e QR code, codici di sblocco, pianificazione e limiti di risposte e regole.

Passo 6: tenere fuori bot e duplicati senza costruire un sistema di tracciamento

Qualsiasi modulo con link pubblico prima o poi riceverà spazzatura, e qualsiasi modulo dietro cui c'è qualcosa di desiderabile riceverà duplicati. La trappola è che ogni meccanismo di blocco è un identificatore: un indirizzo IP, un cookie, un indirizzo e-mail, un accesso con account. Ognuno riduce l'anonimato che forse avete promesso e diventa un dato personale la cui conservazione dovrete giustificare.

La via di mezzo praticabile è preferire misure che non identificano nessuno — limiti di frequenza, campi trappola, validazione dei campi obbligatori, chiusura del modulo appena arriva il numero atteso di risposte — e ricorrere agli identificatori solo quando il problema dei duplicati è reale, nella forma più debole che lo risolve, con una durata di conservazione associata. Sviluppiamo tutto il bilanciamento, incluso lo schema « anonimo ma verificato », in prevenire spam, bot e invii duplicati.

Passo 7: controllare chi può leggere le risposte

Ponete la domanda esattamente così: elencate ogni soggetto che oggi potrebbe leggere un invio. Per un tipico modulo in cloud l'elenco onesto comprende il titolare del modulo, ogni collega con accesso all'account, chi amministra l'account, il personale del fornitore con accesso alla produzione, i suoi subincaricati e qualsiasi autorità in grado di obbligare giuridicamente il fornitore. Quell'elenco è la sicurezza del vostro modulo. Il resto è dettaglio.

Due leve lo accorciano. La prima è organizzativa: accessi basati sui ruoli, perché ciascuno veda le risposte che gli servono e non l'intero archivio, con revoca quando qualcuno cambia funzione. La seconda è architetturale: la crittografia end-to-end, in cui le risposte sono cifrate nel browser del rispondente e possono essere decifrate solo da chi detiene la chiave — il che rimuove del tutto il fornitore e i suoi subincaricati dall'elenco e fa sì che un ordine rivolto al fornitore produca testo cifrato. Il meccanismo è descritto nella nostra pagina sicurezza e il ragionamento in architettura a conoscenza zero spiegata.

Passo 8: fissare la regola di conservazione prima del primo invio

L'art. 6 cpv. 4 nLPD impone di distruggere o anonimizzare i dati personali appena non sono più necessari alla finalità del trattamento. Nessuno viola questa regola di proposito; la si viola non decidendo mai. Un modulo creato per una selezione del personale conserva ancora le candidature tre anni dopo, perché cancellare non era il compito di nessuno.

• Scrivete la durata nella documentazione del modulo, in mesi, accanto alla finalità. « Conservato sei mesi dopo l'evento, poi cancellato » è una regola; « conservato per il tempo necessario » è un auspicio.
• Distinguete il record dalla copia di lavoro. Le esportazioni sui portatili, le notifiche e-mail che contengono le risposte e i fogli di calcolo sulle unità condivise sopravvivono al record della piattaforma — e sono le copie da cui i dati escono davvero.
• Verificate che la cancellazione raggiunga esportazioni e backup, e sappiate per quanto tempo la rotazione dei backup rende recuperabile un record cancellato.
• Conservate la prova. Un revisore non chiede se cancellate, ma come lo dimostrate: un registro delle cancellazioni, una procedura datata, la schermata di un archivio vuoto.

Le durate di conservazione si intrecciano con obblighi di legge — documenti contabili secondo il CO, cartelle cliniche, dossier del personale — quindi nemmeno « cancellare tutto in fretta » è automaticamente la risposta prudente. Il nostro articolo sulla conservazione dei dati dei moduli spiega come fissare durate difendibili, e l'elenco operativo degli altri obblighi è nella checklist di conformità nLPD per moduli e sondaggi.

Passo 9: testare come farebbe una persona distratta

La versione in dieci minuti

Se il modulo vi serve oggi e non potete condurre una revisione completa, questa sequenza vi dà la maggior parte della protezione con poco sforzo.

1. Cancellate due campi che non sapete giustificare in una frase ciascuno.
2. Rendete tutto facoltativo tranne ciò su cui agirete davvero.
3. Aggiungete quattro righe: chi raccoglie, perché, chi vede, per quanto tempo.
4. Limitate i caricamenti a documenti nominati e a una dimensione sensata.
5. Mettete un codice di sblocco se il contenuto è riservato, e una data di chiusura.
6. Riducete le notifiche a un avviso senza le risposte.
7. Scrivete la data di cancellazione in agenda il giorno della pubblicazione.

Sei errori che vediamo continuamente

• Considerare il link un segreto. Non lo è. Se non deve essere pubblico, mettetegli un controllo.
• Le risposte nelle e-mail di notifica. Il modo più comune in cui invii cifrati finiscono in chiaro in archivi fuori dalla piattaforma.
• Duplicare un modulo e dimenticare la copia. I duplicati ereditano le domande e perdono la decisione sulla conservazione. Le vecchie copie con link ancora attivi sono una fonte ricorrente di invii sperduti.
• Raccogliere « in forma anonima » inviando link di invito personalizzati. O una risposta si può ricondurre a una persona o no; vedi moduli anonimi e pseudonimi.
• Dare per scontato che un fornitore dall'aspetto svizzero archivi in Svizzera. Un dominio .ch non dice nulla sul database: la questione della localizzazione è affrontata in quali strumenti per moduli sono ospitati in Svizzera.
• Nessun responsabile. Un modulo senza una persona indicata come responsabile non verrà rivisto, chiuso né cancellato da nessuno.

In conclusione

Un modulo online sicuro è soprattutto un modulo ben delimitato. Meno campi, formulazioni più chiare, un'informativa onesta, un link controllato, un elenco corto di lettori e una data di cancellazione fanno per chi lo compila più di qualsiasi confronto di funzionalità — e sono tutte decisioni che prendete voi, non funzioni che comprate. Il compito della piattaforma è più stretto di quanto suggerisca il marketing: mantenere i dati riservati in transito e a riposo, tenere il fornitore fuori dal vostro perimetro di fiducia dove serve, e rendere i controlli sopra facili da applicare e difficili da dimenticare.

Se di questa guida applicate una cosa sola, applicate il passo 1. Ogni altro passo costa meno quando i dati da proteggere sono meno.