Privacy by design e GDPR

Privacy by design e GDPR

Privacy by design e GDPR

In un precedente articolo abbiamo già accennato al concetto di privacy by design. Avevamo detto che privacy by design significa proteggere i dati fin dalla loro progettazione. Ossia il trattamento prima di metterlo in atto va pensato per capire come proteggere i dati. Una misura che rappresenta questa tipologia di privacy è quella della pseudonimizzazione.

Art. 25, par. 1: privacy by design

Oggi parleremo più approfonditamente di questa tematica. Innanzitutto, possiamo trovare la privacy by design all’art. 25, par. 1 del GDPR, e la sua traduzione in italiano è protezione dei dati fin dalla progettazione.

La privacy by design deve essere attuata tenendo conto:

  1. dello stato dell’arte e dei costi di attuazione;

  2. della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento;

  3. dei rischi aventi probabilità e gravità diverse di verificarsi che possano andare ad incidere sui diritti e sulle liberà delle persone fisiche.

I rischi

La tematica dei rischi la avevamo già affrontata in due precedenti articoli:

Il GDPR fa spesso riferimento al concetto di rischio e di rischio elevato. Infatti potremmo dire che le due colonne portanti in tema di protezione dei dati personali sono:

  1. da un lato i rischi;
  2. dall’altro il tema della responsabilizzazione.

Se perciò volessimo sintetizzare questo concetto, potremmo scrivere la seguente equazione:

Accountability + Risck-based approch = Privacy/ Data protection impact assessment

Quando deve essere attuata la protezione dei dati fin dalla progettazione? Quali sono le sue caratteristiche?

Fin dal momento dell’inizio del trattamento. Infatti per valutare se si è conformi al GDPR, la privacy è necessario che sia incorporata nella progettazione del prodotto stesso. Cioè si dovrebbe poter valutare la conformità del nostro trattamento fin dall’inizio della progettazione del prodotto o del servizio o dell’offerta. E tale valutazione si deve basare su una documentazione.

Altro punto fermo importante è quello di garantire la sicurezza del prodotto o del servizio lungo tutta la sua vita. Quindi se ad esempio vi è stato il rischio di cyber attack, ci deve essere la possibilità di prevedere una distruzione dei dati conservati in un determinato dispositivo.

Sonia Lavoratti

[contact-form-7 id=”6739″ title=”Send request: 2 column SONIA LAVORATTI”]

 

Dati personali e GDPR

Dati personali e GDPR

I dati personali nel GDPR

Tipologie e caratteristiche dei dati

Tipologie di dati

Ogni dato per essere tale deve avere la capacità di descrivere un elemento. Ovviamente a questa definizione si riferiscono anche i dati personali. Ci sono varie tipologie di dati.

  1. Abbiamo i raw data sono quei dati non processati che possono anche essere definiti dati grezzi.
  2. I data set o linked data sono invece quelli che sono collegati fra loro e che possono essere letti solo in combinato tra loro. Un esempio di questa tipologia di dati fa riferimento al concetto di pseudonimizzazione. Questa è una misura tecnica che presuppone che due dati vengano letti assieme. Poi, oscurando uno dei due dati è concesso al titolare del trattamento di usare l’altro.
  3. real data sono quei dati che rappresentano un momento della storia che si è concluso oppure sono la descrizione di una realtà attuale. I cosiddetti real time data.
  4. Si parla poi anche di open data, ossia di dati liberamente accessibili e fruibili. Per contro abbiamo i dati proprietari. Questi possono essere utilizzati solo da chi ne detiene la proprietà o da chi ha avuto una concessione di licenza.

Caratteristiche dei dati

Ogni dato personale deve avere diverse caratteristiche per essere oggetto di applicazione delle disposizioni del GDPR:

  • Interoperabilità: ossia consentire a chiunque indipendentemente dal sistema operativo nel quale sta operando, di fruire di quel dato e di operarvi. Quindi di modificarlo, rimetterlo in rete ecc…
  • Accessibilità: è una caratteristica che fa riferimento ai formati non proprietari. Tutti i materiali sono accessibili al pubblico e vengono messi a disposizione attraverso l’impiego di standard aperti e formati non proprietari.
  • Conservazione a lungo termine: è la caratteristica dei dati personali di essere mantenuta dentro un archivio conservando le sue proprietà. Quelle cioè di chiarezza, completezza, integrità e univocità del dato.
  • Sicurezza: a tal proposito il GDPR prevede tre elementi che vanno a definire il concetto di sicurezza:
  1. confidentiality (riservatezza);
  2. integrity (integrità);
  3. availability (dato reso disponibile).

Il d.lgs 196/2003 prevede in più altre 3 caratteristiche afferenti al tema della                sicurezza:

  1. autenticità;
  2. non ripudiabilità: il dato deve cioè essere sempre veritiero. In questo modo l’interessato non è mai messo in condizione di poter ripudiare quel dato;
  3. completezza.

I dati personali come dati qualitativi

Queste caratteristiche che distinguono i dati, sono state standardizzate dall’organizzazione internazionale degli standard ISO.

Quindi, i dati personali che soddisfano i requisiti di interoperabilità, accessibilità, conservazione a lungo termine e sicurezza sono dati che qualitativamente rispettano le caratteristiche previste dal GDPR.

Sonia Lavoratti

[contact-form-7 id=”6739″ title=”Send request: 2 column SONIA LAVORATTI”]

Accountability. La novità più grande del GDPR

Accountability. La novità più grande del GDPR

Accountability. La novità più grande del GDPR

Cos’è l’accountability?

Accountability come nuovo modo di pensare dei titolari del trattamento

Il principio di responsabilizzazione (accountability) è un nuovo modo di pensare che deve essere adottato dai titolari del trattamento. Ma cosa significa questo? Significa inversione dell’onere della prova. Infatti, il titolare dovrà dimostrare di aver adottato tutte le misure tecniche e organizzative necessarie a rispettare il dettato del Regolamento. Accountability significa quindi che il titolare del trattamento dimostra di essere stato responsabile nel trattare i dati personali. Perciò, un titolare del trattamento che voglia svolgere bene il suo lavoro, dovrà sempre chiedersi se il suo operato rispetti i principi posti dall’art. 5 del GDPR. Anche nel Codice Privacy si parlava dell’inversione dell’onere della prova, ma non in questi termini.

Quali sono i compiti dei titolari del trattamento in base al principio di responsabilizzazione?

I due compiti fondamentali in base a questo principio sono:

  1. assicurare il rispetto dei principi applicabili al trattamento dei dati personali stabiliti all’art. 5 par. 1 del GDPR.
  2. Essere in grado di comprovare il rispetto di detti principi.

Come può fare il titolare del trattamento in concreto a rispettare il principio di accountability e non rischiare sanzioni?

Ogni titolare del trattamento farebbe bene ad adottare più strumenti possibili atti a dimostrare di aver seguito un percorso logico. È questo percorso che lo ha portato a compiere certe scelte, sia di natura tecnica che organizzativa. Il titolare deve quindi dimostrare di aver rispettato i principi a base dell’accountability lungo tutto questo tragitto.

Il legame tra accountability e i principi di privacy by design e privacy by default

Il principio di accountability si lega ai principi di privacy by design e privacy by default. Molto sinteticamente:

  • privacy by design: significa protezione dei dati fin dalla loro progettazione. Ossia il trattamento prima di metterlo in atto lo devo pensare e nel fare questo devo capire come proteggere i dati. Una misura che rappresenta questa tipologia di privacy è quella della pseudonimizzazione.
  • privacy by default: significa che la protezione dei dati deve essere la regola predefinita. Ciò implica che vengano raccolti solo quei dati personali necessari per la specifica finalità. In conformità a quanto stabilito dal principio di minimizzazione.

Questo è quanto ci dice l’art. 25 del GDPR ai commi 1 e 2.

Quali sono gli strumenti che dimostrano se il titolare del trattamento ha trattato i dati personali con responsabilità?

  • Il Registro del trattamento dei dati personali
  • La valutazione di impatto sulla protezione dei dati

 

Di entrambi questi temi ne parleremo in un prossimo articolo.

 

Sonia Lavoratti

[contact-form-7 id=”6739″ title=”Send request: 2 column SONIA LAVORATTI”]

Sicurezza dei dati personali e accountability

Sicurezza dei dati personali e accountability

Sicurezza dei dati personali e accountability

L’accountability: il vero cuore del GDPR

Prima di parlare del tema della sicurezza dei dati personali, riprendiamo ancora una volta la tematica dell’accountability che ho trattato in più articoli. Ecco l’elenco degli articoli dove possiamo trovare un collegamento a questo tema:

  1. Valutazione d’impatto sulla protezione dei dati;
  2. DPIA e valutazione del rischio elevato;
  3. Privacy by design e GDPR;
  4. Privacy by default;
  5. Il titolare del trattamento nel GDPR;
  6. Titolare del trattamento e adempimenti;
  7. Il DPO (Data Protection Officer) nel GDPR;

Il motivo per cui ho trovato importante affrontare questa tematica più volte, e per cui ne parlo ora e ne riparlerò almeno in un altro articolo, è che è questo il vero cuore del GDPR. E ciò lo vediamo dalla lista di questi articoli. Essi fanno tutti riferimento ad argomenti diversi, ma hanno come minimo comune denominatore sempre l’accountability. Tutto Il GDPR ruota intorno a questo concetto: chi tratta i dati di qualcuno deve trattarli responsabilmente, e deve dare prova del suo corretto operato. Collegato a questo concetto ovviamente c’è anche quello della sicurezza dei dati personali. Infatti, il titolare che tratta i dati in modo responsabile, assicura anche la loro sicurezza lungo tutta la fase del trattamento.

Sicurezza dei dati personali

Della tematica della sicurezza se ne parla all’interno dell’art. 5, par. 1 lett. f del GDPR. Qui si dice che i dati personali sono:

trattati in maniera da garantirne un’adeguata sicurezza, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (“integrità e riservatezza”).

Ciò che è importante sottolineare, è che la sicurezza, non si riferisce solo al dato. È infatti importante che la sicurezza sia garantita lungo tutto il ciclo di trattamento dei dati personali.

Misure di sicurezza

Ci sono varie tipologie di misure di sicurezza. Tra queste troviamo:

  1. Misure organizzative;
  2. Misure tecniche.

Tra le misure tecniche abbiamo la pseudonimizzazione, di cui abbiamo già parlato in altri articoli, e la cifratura.

Sicurezza del trattamento

Ma quali requisiti devono essere soddisfatti al fine di poter parlare di sicurezza? La risposta la troviamo all’interno dell’art. 32 del GDPR, al par. 1 alle lettere b), c) e d).

b) la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;

c) la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico;

d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.

Sonia Lavoratti

[contact-form-7 id=”6739″ title=”Send request: 2 column SONIA LAVORATTI”]

La pseudonimizzazione

La pseudonimizzazione

La pseudonimizzazione nel GDPR

In un precedente articolo abbiamo già accennato al concetto di pseudonimizzazione. Lì, ne parlavamo con riferimento ai data set o linked data, ossia quei dati che sono collegati fra loro e che possono essere letti solo in combinato tra loro.

Ma quindi, cos’è la pseudonimizzazione? Innanzitutto possiamo dire che insieme alla cifratura costituisce il novero delle misure di sicurezza citate nel GDPR. Più nello specifico, è una misura tecnica che presuppone che due dati vengano letti assieme e poi, oscurando uno dei due dati è concesso al titolare del trattamento di usare l’altro.

Definizione di pseudonimizzazione

Il GDPR dà la definizione di pseudonimizzazione all’art. 4 par. 5:

il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile.

Dal dettato di questo articolo si evince che attraverso la pseudonimizzazione si realizza una interruzione momentanea e selettiva che dà origine ad un distacco tra il dato e la persona cui esso è riferito. L’identificazione del soggetto rimane possibile, ma solo per via indiretta e solo attraverso passaggi ulteriori.

Ma come si attua in concreto la pseudonimizzazione?

Introducendo una chiave per cifrare il contenuto riferentesi ad un messaggio tra due persone in modo tale che questo non sia leggibile da altri. Sarà quindi oggetto di protezione la chiave che servirà a decifrare il messaggio.

 

Il legame tra privacy by design e pseudonimizzazione

In un precedente articolo avevamo accennato a questo legame. Come abbiamo visto, privacy by design significa che il trattamento prima di metterlo in atto lo dobbiamo pensare. E nel fare questo, dobbiamo capire come proteggere i dati. La pseudonimizzazione, come possiamo capire da quanto detto, è una misura che rientra in questa tipologia di privacy.

Codici di condotta e pseudonimizzazione

I codici di condotta la indicano come una delle misure che il titolare del trattamento deve rendere note, affinché possa dimostrare di essere conforme al GDPR.

Sonia Lavoratti

[contact-form-7 id=”6739″ title=”Send request: 2 column SONIA LAVORATTI”]

 

 

 

Call Now Button