Windows 365 richieste dell'interessato per il GDPR e il CCPA

2025-06-10

Il regolamento generale sulla protezione dei dati (GDPR) dell’Unione europea attribuisce alle persone (definite nel regolamento soggetti interessati) il diritto di gestire i dati personali raccolti da un datore di lavoro o da un altro tipo di organizzazione o organismo (definito titolare del trattamento dei dati o semplicemente titolare del trattamento). Nel GDPR, i dati personali sono definiti molto ampiamente come qualsiasi dato relativo a una persona fisica identificata o identificabile. In base al regolamento GDPR, ai soggetti dei dati vengono assegnati diritti specifici relativamente ai dati personali, tra i quali il diritto di ottenerne copie, richiedere correzioni, limitarne l'elaborazione, eliminarli o riceverli in formato elettronico in modo che possano essere trasferiti a un altro titolare. Una richiesta formale da un soggetto interessato a un titolare del trattamento di agire sui dati personali viene definita una Richiesta dell’interessato o DSR.

Analogamente, il California Consumer Privacy Act (CCPA) prevede obblighi e diritti in materia di privacy per i consumatori della California, inclusi diritti simili a quelli che il GDPR riconosce all'interessato, ad esempio il diritto di eliminare, ricevere e accedere alle informazioni personali (portabilità). Il CCPA prevede anche determinate divulgazioni, protezioni contro la discriminazione quando si eleggono diritti di esercizio e requisiti di "opt-out/opt-in" per determinati trasferimenti di dati classificati come "vendite". Questo documento illustra le informazioni sul completamento delle richieste degli interessati nell'ambito del GDPR e del CCPA tramite prodotti e servizi Microsoft.

Questa guida illustra su come usare i prodotti, i servizi e gli strumenti amministrativi di Microsoft per consentire ai clienti titolari di individuare i dati personali ed effettuare operazioni su di essi per rispondere alle richieste DSR. In particolare, spiega come reperire i dati o le informazioni personali che si trovano nel cloud di Microsoft, nonché come accedervi e agire su di essi. Ecco una rapida panoramica dei processi descritti in questa guida:

Scoprire: Usare gli strumenti di ricerca e individuazione per trovare più facilmente i dati dei clienti che potrebbero essere oggetto di una richiesta DSR. Dopo aver raccolto i documenti potenzialmente rilevanti, è possibile eseguire una o più delle azioni DSR descritte nei passaggi seguenti per rispondere alla richiesta del soggetto interessato. In alternativa, è possibile determinare che la richiesta non soddisfa le linee guida dell'organizzazione per rispondere alle richieste DSR.
Accesso: recuperare i dati personali che risiedono nel cloud Microsoft e, se richiesto, crearne una copia che può essere disponibile per l'interessato.
Rettificare: apportare modifiche o implementare le azioni richieste sui dati personali, ove applicabile.
Limitare: limitare il trattamento dei dati personali, rimuovendo le licenze per vari servizi di Azure o disattivando i servizi desiderati, dove possibile. È anche possibile rimuovere i dati dal cloud di Microsoft e conservarli in locale o in un'altra posizione.
Eliminare: rimuovere in modo definitivo i dati personali che risiedono nel cloud Microsoft.
Esportazione/ricezione (portabilità): fornire all'interessato una copia elettronica dei dati o delle informazioni personali in un formato leggibile da una macchina.

Ogni sezione di questa guida illustra le procedure tecniche che un'organizzazione titolare del trattamento dei dati può adottare per rispondere a una richiesta DSR per i dati personali nel cloud Microsoft.

Terminologia

Di seguito vengono fornite le definizioni dei termini importanti nella presente guida.

Titolare: la persona fisica o giuridica, l'autorità pubblica, l'agenzia o altro ente che, autonomamente o unitamente ad altri soggetti, determina gli obiettivi e i mezzi del trattamento dei dati personali; laddove gli obiettivi e i mezzi di tale trattamento sono determinati da una normativa europea o di uno specifico Stato membro dell'UE, il titolare del trattamento dei dati o i criteri specifici per la sua designazione potrebbero essere forniti da tale normativa europea o di uno specifico Stato membro dell'UE.
Dati personali e interessato: tutte le informazioni concernenti una persona fisica identificata o identificabile ("interessato"). Una persona fisica è identificabile se può essere identificata, direttamente o indirettamente, in particolare facendo riferimento a un identificatore (ad esempio un nome, un numero di identificazione, dati di posizione o un identificatore online) o a uno o più fattori relativi all'identità fisica, fisiologica, genetica, mentale, economica, culturale o sociale di tale persona fisica.
Responsabile: una persona fisica o giuridica, un'autorità pubblica o altro ente che si occupa del trattamento dei dati personali per conto del titolare.
Dati del cliente: tutti i dati, compresi file di testo, audio, video o immagini e software, forniti a Microsoft dal cliente o per suo conto attraverso i servizi aziendali. I dati dei clienti includono sia (1) informazioni identificabili degli utenti finali (ad esempio, nomi utente e informazioni di contatto in Microsoft Entra ID) che contenuto del cliente caricato o creato da un cliente in servizi specifici (ad esempio, contenuto del cliente in un account di archiviazione di Azure, contenuto del cliente di un database Azure SQL o immagine della macchina virtuale di un cliente in Azure Macchine virtuali).
Log generati dal sistema: i log e i dati correlati generati da Microsoft che consentono a Microsoft di offrire servizi aziendali agli utenti. I log generati dal sistema contengono principalmente dati pseudonimi, ad esempio identificatori univoci, in genere un numero generato dal sistema che non può identificare autonomamente una singola persona, ma viene usato per fornire i servizi aziendali agli utenti. I log generati dal sistema possono anche contenere informazioni identificabili riguardanti gli utenti finali, ad esempio un nome utente.

Come usare questa guida

Questa guida è costituita da due parti:

Parte 1: rispondere alle richieste dei soggetti interessati per i dati dei clienti La Parte 1 di questa guida illustra come accedere, rettificare, eliminare ed esportare i dati dalle applicazioni in cui sono presenti dati creati dall'utente. Questa sezione descrive dettagliatamente come gestire le richieste dell’interessato sia per i contenuti del cliente che per le informazioni che consentono di identificare gli utenti finali.
Parte 2: rispondere alle richieste degli interessati per i log generati dal sistema: quando si usano i servizi aziendali Microsoft, Microsoft genera alcune informazioni, note come log generati dal sistema, per fornire il servizio. La Parte 2 di questa guida illustra come accedere, eliminare ed esportare tali informazioni per Azure.

Informazioni sulle richieste DSR per Microsoft Entra ID e Microsoft Windows 365

Quando si considerano i servizi forniti ai clienti aziendali, l'esecuzione delle richieste DSR deve essere sempre compresa nel contesto di un tenant Microsoft Entra specifico. In particolare, le richieste DSR vengono sempre eseguite all'interno di un determinato tenant Microsoft Entra. Se un utente partecipa a più tenant, è importante sottolineare che un determinato DSR viene eseguito solo nel contesto del tenant specifico in cui è stata ricevuta la richiesta. Questo contesto è fondamentale da comprendere perché significa che l'esecuzione di una richiesta DSR da parte di un cliente aziendale non influirà sui dati di un cliente aziendale adiacente.

Lo stesso vale anche per Microsoft Windows 365 fornito a un cliente aziendale: l'esecuzione di una richiesta DSR su un account Windows 365 associato a un tenant Microsoft Entrariguarda solo i dati all'interno del tenant. Inoltre, è importante comprendere quanto segue quando si gestiscono gli account Windows 365 all'interno di un tenant:

Se un utente Windows 365 crea una sottoscrizione di Azure, la sottoscrizione viene gestita come se fosse un tenant Microsoft Entra. Di conseguenza, l'ambito delle richieste DSR all'interno del tenant è quello descritto in precedenza.
Se una sottoscrizione di Azure creata tramite un account Windows 365 viene eliminata, non influirà sull'account Windows 365 effettivo. Anche in questo caso, come indicato in precedenza, le richieste DSR in esecuzione all'interno della sottoscrizione di Azure sono limitate all'ambito del tenant stesso.

Parte 1: guida sulle richieste DSR per i dati dei clienti

Esecuzione delle richieste DSR rispetto ai dati dei clienti

Microsoft offre la possibilità di accedere, eliminare ed esportare determinati dati dei clienti tramite l'portale di Azure e anche direttamente tramite API (Application Programming Interface) preesistenti o interfacce utente (UIs) per servizi specifici (detti anche esperienze all'interno del prodotto). Informazioni dettagliate su tali esperienze nel prodotto sono disponibili nella documentazione di riferimento dei servizi corrispondenti.

Importante

I servizi che supportano le richieste dell'interessato all'interno dei prodotti richiedono l'uso diretto dell'API (Application Programming Interface) o dell'interfaccia utente del servizio, con la descrizione delle operazioni di creazione, lettura, aggiornamento ed eliminazione applicabili. Windows 365 non è in grado di supportare completamente l'utilizzo diretto delle API (Application Programming Interface) per le richieste DSR, pertanto è necessario inviare le richieste aprendo un caso di supporto (vedere le istruzioni riportate di seguito). Di conseguenza, l'esecuzione di DSR all'interno di un determinato servizio deve essere eseguita oltre all'esecuzione di una richiesta DSR all'interno del portale di Azure per completare una richiesta completa per un determinato interessato. Per maggiori dettagli, consultare la documentazione di riferimento per i servizi specifici.

Passaggio 1: scoprire

Il primo passaggio per rispondere a un DSR consiste nell'individuare i dati personali oggetto della richiesta. Questo primo passaggio, ovvero la ricerca e la revisione dei dati personali in questione, consente di determinare se una richiesta DSR soddisfa i requisiti dell'organizzazione per il rispetto o il rifiuto di una richiesta DSR.This first step - finding and reviewing the personal data in issue - helps you determine whether a DSR meets your organization's requirements for honoring or declining a DSR. Ad esempio, dopo aver trovato e esaminato i dati personali in questione, è possibile determinare che la richiesta non soddisfa i requisiti dell'organizzazione perché ciò potrebbe influire negativamente sui diritti e sulle libertà di altri utenti.

Per le richieste dell'interessato specifiche per Windows 365 dati utente, gli amministratori del tenant devono aprire una richiesta di supporto Microsoft per ottenere assistenza nella ricerca dei dati personali che sono oggetto del DSR. È consigliabile seguire le istruzioni correlate al livello di sottoscrizione Windows 365.

Windows 365 Business

L'accesso alla Guida e al supporto tecnico viene fornito tramite Microsoft Amministrazione Center. Per aprire una richiesta di supporto per una richiesta DSR:

Selezionare l'icona della Guida nel banner Microsoft Amministrazione Center oppure selezionare Guida & supporto nella parte inferiore destra della pagina Microsoft Amministrazione Center.
Nel campo di ricerca digitare "Richiesta dell'interessato" o "DSR" e quindi selezionare il pulsante Contatta supporto .
Completare le informazioni necessarie nella richiesta di servizio online e quindi selezionare Contattami.

Per istruzioni su come ottenere assistenza e aprire un ticket di supporto, vedere Ottenere supporto per Microsoft 365 per le aziende. Il supporto è incluso nell'ambito della sottoscrizione di Windows 365.

Windows 365 Enterprise

L'accesso alla Guida e al supporto viene fornito tramite Microsoft Endpoint Manager. Per aprire una richiesta di supporto per una richiesta DSR:

Passare a Risoluzione dei problemi e supporto in un altro nodo dell'interfaccia di amministrazione e selezionare Guida e supporto per aprire un'esperienza a schermo intero di Guida e supporto tecnico.
Selezionare Windows 365.
Nel campo di ricerca digitare "Richiesta dell'interessato" o "DSR" e quindi fare clic sul pulsante Contatta supporto .
Completare le informazioni necessarie nella richiesta di servizio online e quindi selezionare Contattami.

Per istruzioni su come ottenere assistenza e aprire un ticket di supporto, vedere Come ottenere supporto in Microsoft Endpoint Manager. Il supporto è incluso nell'ambito della sottoscrizione di Windows 365.

Passaggio 2: accedere

Dopo aver trovato i dati dei clienti contenenti dati personali potenzialmente reattivi a una richiesta DSR, spetta all'utente e all'organizzazione decidere quali dati fornire all'interessato. È possibile fornire una copia del documento effettivo, una versione appropriatamente redacted o uno screenshot delle parti che si ritiene appropriate condividere. Per ognuna di queste risposte a una richiesta di accesso, sarà necessario recuperare una copia del documento o di un altro elemento che contiene i dati reattivi.

Quando si fornisce una copia all'interessato, potrebbe essere necessario rimuovere o redigere informazioni personali su altri interessati ed eventuali informazioni riservate.

Passaggio 3: rettificare

Se un interessato ha chiesto di rettificare i dati personali che risiedono nei dati dell'organizzazione, l'utente e l'organizzazione devono determinare se è appropriato rispettare la richiesta. La rettifica dei dati può includere l'esecuzione di azioni quali la modifica, la redazione o la rimozione di dati personali da un documento o da un altro tipo o elemento.

In qualità di responsabile del trattamento dei dati, Microsoft non offre la possibilità di correggere i log generati dal sistema in quanto riflette le attività fattuali e costituisce un record cronologico degli eventi all'interno dei servizi Microsoft. Per quanto riguarda Windows 365, gli amministratori non possono aggiornare informazioni specifiche del dispositivo o dell'app. Se un utente finale vuole correggere i dati personali (ad esempio il nome del dispositivo), deve farlo direttamente nel proprio dispositivo. Tali modifiche vengono sincronizzate la volta successiva che si connettono a Windows 365.

Passaggio 4: limitare

Gli interessati potrebbero richiedere di limitare l'elaborazione dei loro dati personali. Vengono fornite sia le portale di Azure che le API (Application Programming Interface) o le interfacce utente preesistenti. Tali esperienze consentono all'amministratore tenant del cliente aziendale di gestire le richieste degli interessati con una combinazione di esportazione dei dati ed eliminazione dei dati.

Passaggio 5: eliminare

Il "diritto alla cancellazione" attraverso la rimozione dei dati personali dai dati dei clienti di un'organizzazione è una misura di tutela fondamentale prevista dal GDPR. La rimozione dei dati personali include la rimozione di tutti i dati personali e dei log generati dal sistema, tranne le informazioni del log di controllo. Windows 365 usa per impostazione predefinita la procedura standard di Microsoft Endpoint Manager per controllare, esportare o eliminare i dati personali.

Parte 2: log generati dal sistema

I log di controllo forniscono agli amministratori del tenant un record di attività che generano una modifica in Microsoft Windows 365. I log di controllo sono disponibili per molte attività di gestione e in genere per creare, aggiornare (modificare), eliminare e assegnare azioni. È anche possibile esaminare le attività remote che generano eventi di controllo. Questi log di controllo possono contenere dati personali. Gli amministratori non possono eliminare i log di controllo. Per informazioni dettagliate, vedere Controllare i dati personali.

Se è necessaria assistenza per l'esecuzione di un log di controllo, seguire le istruzioni descritte nella parte 1 precedente.