GDPR Privacy

Privacy By Design: esempi e differenze di approccio

Si parla spesso di Privacy By Design come di un approccio consulenziale per software, algoritmi e applicativi in genere. Lo stato dell’arte, però, tradisce il vero spirito di questo principio.
Il classico approccio, infatti, è di tipo Reattivo e non Proattivo. Ci si ferma spesso a ragionare su cosa manca (ad esempio non c’è l’informativa privacy, non è stato individuato un termine di cancellazione dei dati o una base giuridica di un trattamento).
Si tende a monitorare la presenza o l’assenza di singole misure tecniche e organizzative senza avere uno sguardo di insieme sui rischi derivanti dall’utilizzo di un sistema algoritmico o una piattaforma.
Generalmente, questo dipende da un elemento temporale: la consulenza viene attivata ad algoritmo già allenato, a software già sviluppato. A quel punto si è nella sola condizione di poter apporre dei “cerotti” su lacune di sicurezza, per cercare di salvare il salvabile, ma si è impossibilitati a fare una valutazione di sistema incentrata sui rischi.
Purtroppo non ragionare in termini di rischio fin dall’inizio, ma ragionare in termini di controlli di sicurezza, di misure tecniche e organizzative è molto limitante.

Privacy By Design: programmatori e legali devono dialogare

Il primo effetto di questo errato approccio è una divisione netta delle competenze: da una parte i legali e dall’altra i “tecnici”. I due mondi non si uniscono, è preclusa qualsiasi contaminazione che generi un brainstorming positivo, nessuna possibilità di allargare lo sguardo oltre al proprio punto di vista necessariamente parziale perché dipeso dal proprio background accademico e professionale.
Solitamente è il personale tecnico che definisce e sviluppa il progetto. Solo in una seconda fase vengono coinvolti gli esperti privacy per procedere ad una valutazione dei rischi. Questo scenario, però, non fa che rafforzare i pregiudizi già esistenti all’interno di questi due gruppi.
I primi sono portati ad affrontare il tema della privacy, concentrandosi quasi esclusivamente sulla crittografia e sul controllo degli accessi, in quanto considerano la privacy come un problema ristretto alla famosa “Triade RID” (Riservatezza, Integrità e Disponibilità).

Dall’altra gli avvocati e i legali in genere, si focalizzano su elementi di trasparenza e accountability, come la redazione delle informative o le ipotesi di consenso.
Si finisce così per inserire controlli e misure che sono “reattive” rispetto al progetto iniziale proposto dai tecnici, mentre dovrebbero essere i rischi privacy del progetto a guidare proattivamente la creazione di un’architettura Privacy-Friendly e a quel punto (solo a quel punto) implementare i controlli di sicurezza che mitigano ulteriormente tali rischi. La differenza sembra sottile, ma in realtà il risultato che ne deriva è di gran lunga diverso.

Privacy By Design: la necessità di un approccio proattivo

Il secondo effetto, conseguente al primo, è che con un approccio reattivo sarà difficile discostarsi da un livello minimo di conformità.
Ad esempio, limitare la conservazione dei dati personali o prevedere la cancellazione di un account utente sono controlli che riducono i rischi di identificazione degli utenti o di aggregazione dei dati con data set esterni.
Ma partendo appunto dai controlli e non dai rischi purtroppo non avremo mai un quadro davvero generale dei possibili controlli applicabili allo scenario particolare, limitando enormemente le nostre possibilità di progettazione.
Magari potremmo non aver considerato misure di sicurezza più efficaci, tecnicamente più semplici e meno dispendiose in termini di soldi e tempo.

Come procedere per una Privacy By Design fatta bene?

Immagine tratta dal paper “Check or Mate: Strategic Privacy By Design” di IAPP.

Il primo passo per identificare correttamente tutti i rischi è quello di descrivere lo specifico use case, definendo tutti gli attori coinvolti e le funzionalità del sistema o applicativo che stiamo progettando.

Successivamente, ci dovremo affidare ad una metodologia che sappia guidarci nella valutazione dei rischi e dei cosiddetti “Privacy Harms”, intesi come potenziali impatti e danni conseguenti ad una violazione dei dati personali o ad un loro trattamento illegittimo.

Il nostro Studio Legale si affida, ad esempio, alla metodologia del Professore Daniel Solove che nel suo saggio “Taxonomy of Privacy” suddivide i Privacy Harms in 4 macro-categorie:

Information Collection (Raccolta di informazioni);
Information Processing (Trattamento delle informazioni);
Information Dissemination (Divulgazione di Informazioni);
Invasion (Intrusione).

Ognuna di esse contiene all’interno una serie di eventi dannosi che ci consente di avere un approccio molto sistematico tenendo conto di tutti i potenziali Privacy Harms.

Privacy by Design: come e quanto proteggere i Dati Personali?

Immagine tratta dal paper “Check or Mate: Strategic Privacy By Design” di IAPP.

L’ultimo passo è di mitigare i rischi identificati, scegliendo l’architettura di base dell’applicativo che stiamo progettando.
Qui sta il cuore di ogni scelta in materia di “Privacy by Design”.

I due parametri che dovranno essere valutati sono sostanzialmente due:

il grado di centralità dei dati,
e il grado di identificabilità dei dati.

Come è ovvio, se limitiamo il grado di centralità dei dati personali e parallelamente riduciamo il livello di identificabilità dei dati personali, cresce il livello di protezione e riusciamo a mitigare alla radice gran parte dei rischi identificati.

Tuttavia non è sempre possibile raggiungere questo scenario ideale. Anzi, talvolta non è neppure auspicabile per le finalità del progetto stesso. Le funzionalità del sistema potrebbero infatti richiedere un certo grado di identificabilità dei dati personali, rendendo ad esempio non praticabile l’ipotesi di una loro pseudonimizzazione.

L’obiettivo è quello di raggiungere il miglior compromesso fra i due parametri e, una volta scelte le caratteristiche generali del sistema, procedere con la implementazioni di ulteriori misure di sicurezza e controlli che aiutino a rafforzare il livello di protezione.

La giusta consulenza Privacy by Design per il tuo progetto imprenditoriale

Come avrete intuito, applicare davvero la Privacy by Design richiede un nuovo approccio e una grande unione tra competenze diverse, legali e tecniche. Per questo motivo, il nostro Studio Legale da anni ha avviato una collaborazione con sviluppatori, esperti di cyber security e tecnici di diversa estrazione per offrire una consulenza completa in questo ambito.
In altri casi, invece, forniamo le nostre competenze legali, integrandole a quelle già presenti all’interno delle aziende clienti per guidarle verso l’approccio che abbiamo qui cercato di descrivervi sia pure brevemente.
Per avere maggiori informazioni puoi contattarci per capire insieme a noi qual è la direzione migliore da intraprendere per iniziare un percorso di Privacy by Design che conduca il tuo progetta ad uno standard di protezione ormai richiesto dal mercato attuale.