DPIA e valutazione del rischio elevato

DPIA e valutazione del rischio elevato

DPIA e valutazione del rischio elevato

Nel precedente articolo abbiamo parlato della DPIA, ossia della valutazione d’impatto sulla protezione dei dati personali. Abbiamo anche visto come questo tema si ricolleghi a quello di accountability.

Come anticipato, oggi parleremo di un argomento molto importante. Ossia dei 9 criteri che ci servono per valutare se eseguire un certo trattamento possa portare ad un rischio elevato per i diritti e le libertà delle persone fisiche.Abbiamo già visto che solo in presenza di questa tipologia di rischio vi è l’obbligo di effettuare il Data Protection Impact Assessment.

Tuttavia, è importante sottolineare che anche se riscontrassimo uno di questi criteri, questo non porterebbe ad affermare che si tratti di rischio elevato anche se è molto probabile. Infatti, per configurarsi con certezza la fattispecie “rischio elevato”, e sussistere l’obbligo di fare la DPIA in capo al titolare del trattamento, è necessaria la sussistenza di almeno 2 criteri su 9.

I 9 criteri di valutazione del rischio elevato

Diciamo subito una cosa: questi non sono criteri frutto della fantasia di qualcuno. È infatti stato il Gruppo di lavoro Art. 29 ad aver elaborato questi criteri all’interno del WP248. Partiamo adesso con analizzarli uno per uno:

  1. Profilazione: se la profilazione porta ad una valutazione o assegnazione di un punteggio, in particolare del rendimento professionale ma anche della salute, degli interessi personali ecc…
  2. Trattamento che prevede un processo decisionale automatizzato: quando ciò vada ad incidere in modo significativo sulle persone fisiche.
  3. Monitoraggio sistematico:  ossia monitorare gli interessati e raccogliere i loro dati senza che loro lo sappiano. Un esempio è il tracciamento attraverso l’utilizzo del GPS.
  4. Dati sensibili o altamente personali: cioè dati come ad esempio le informazioni sulle opinioni politiche.
  5. Trattamenti su larga scala: di base si potrebbe trattare di trattamenti che non rappresenterebbero un rischio elevato. Ma l’essere su larga scala determina questo rischio. Rientrano in questa fattispecie, la durata cioè la persistenza dell’attività di trattamento e la sua estensione geografica.
  6. Estrazione dell’informazione nascosta: attraverso l’utilizzo delle nuove tecnologie (come gli strumenti di business intelligence), dall’elaborazione dei dati è possibile estrapolare informazioni nascoste.
  7. Interessi vulnerabili: cioè uno squilibrio di potere nella relazione tra l’interessato ed il titolare del trattamento. Ad esempio: se l’interessato è un malato, un minore, un dipendente o un anziano.
  8. Nuove tecnologie.
  9. Trattamento che impedisce di esercitare un diritto.

Sonia Lavoratti

[contact-form-7 id=”6739″ title=”Send request: 2 column SONIA LAVORATTI”]

 

Valutazione d’impatto sulla protezione dei dati

Valutazione d’impatto sulla protezione dei dati

Valutazione d’impatto sulla protezione dei dati personali

Legame tra accountability e DPIA

Il precedente articolo era incentrato sul concetto di accountability. In questo, parleremo della valutazione d’impatto sulla protezione dei dati personali. Il motivo per il quale vedremo oggi questa tematica, è che è strettamente legata al principio di accountability. Infatti, la valutazione d’impatto, è un documento che dimostra se il titolare è stato responsabile nella progettazione del trattamento. Questo tema è conosciuto anche con il nome di DPIA (data protection impact assessment), ed è lo strumento di prevenzione più potente previsto dal GDPR che si basa sulla valutazione dei rischi.

Ma quali rischi?

I rischi sono quelli ai quali possono andare incontro i dati personali nel momento in cui vengono trattati. Quindi, il fatto che il titolare del trattamento debba valutare questi rischi, gli permette di offrire una maggiore tutela ai dati dell’interessato.

Documentazione della valutazione d’impatto

Questa valutazione deve essere sempre documentata nel Registro dei trattamenti. In questo registro devono essere inserite anche le misure di sicurezza. Ciò consente di responsabilizzare il titolare in quanto prende consapevolezza di quello che sta facendo. Nel caso in cui venga poi fatta una ispezione, è probabile che l’ispettore chieda che gli venga fornito il Registro dei trattamenti.

Quando abbiamo l’obbligo di fare la DPIA?

Per i trattamenti di dati personali “normali”, non vi è questo obbligo. Invece, per i trattamenti di dati personali che il Codice Privacy definisce “sensibili” è previsto l’obbligo di fare la valutazione d’impatto.

Ma perché?

Perché in questo caso il trattamento dei dati personali determina un rischio elevato per la tutela dei dati. Purtroppo il concetto di “rischio elevato” non è definito dal GDPR.

Qual’è il momento giusto per redigere la valutazione d’impatto?

La DPIA deve essere fatta prima che il trattamento dei dati abbia luogo. Sono tre le motivazioni che ci portano a dire questo:

  1. capire se il trattamento che vogliamo porre in essere sia o no lecito.
  2. individuare quali sono i rischi che eventualmente il trattamento presenta.
  3. comprendere come mitigare i rischi.

 

Nel prossimo articolo parleremo dei 9 criteri in base ai quali è probabile che ci troveremo di fronte ad un rischio elevato che giustifichi l’obbligo di redigere una DPIA.

 

Sonia Lavoratti

[contact-form-7 id=”6739″ title=”Send request: 2 column SONIA LAVORATTI”]

Privacy by design e GDPR

Privacy by design e GDPR

Privacy by design e GDPR

In un precedente articolo abbiamo già accennato al concetto di privacy by design. Avevamo detto che privacy by design significa proteggere i dati fin dalla loro progettazione. Ossia il trattamento prima di metterlo in atto va pensato per capire come proteggere i dati. Una misura che rappresenta questa tipologia di privacy è quella della pseudonimizzazione.

Art. 25, par. 1: privacy by design

Oggi parleremo più approfonditamente di questa tematica. Innanzitutto, possiamo trovare la privacy by design all’art. 25, par. 1 del GDPR, e la sua traduzione in italiano è protezione dei dati fin dalla progettazione.

La privacy by design deve essere attuata tenendo conto:

  1. dello stato dell’arte e dei costi di attuazione;

  2. della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento;

  3. dei rischi aventi probabilità e gravità diverse di verificarsi che possano andare ad incidere sui diritti e sulle liberà delle persone fisiche.

I rischi

La tematica dei rischi la avevamo già affrontata in due precedenti articoli:

Il GDPR fa spesso riferimento al concetto di rischio e di rischio elevato. Infatti potremmo dire che le due colonne portanti in tema di protezione dei dati personali sono:

  1. da un lato i rischi;
  2. dall’altro il tema della responsabilizzazione.

Se perciò volessimo sintetizzare questo concetto, potremmo scrivere la seguente equazione:

Accountability + Risck-based approch = Privacy/ Data protection impact assessment

Quando deve essere attuata la protezione dei dati fin dalla progettazione? Quali sono le sue caratteristiche?

Fin dal momento dell’inizio del trattamento. Infatti per valutare se si è conformi al GDPR, la privacy è necessario che sia incorporata nella progettazione del prodotto stesso. Cioè si dovrebbe poter valutare la conformità del nostro trattamento fin dall’inizio della progettazione del prodotto o del servizio o dell’offerta. E tale valutazione si deve basare su una documentazione.

Altro punto fermo importante è quello di garantire la sicurezza del prodotto o del servizio lungo tutta la sua vita. Quindi se ad esempio vi è stato il rischio di cyber attack, ci deve essere la possibilità di prevedere una distruzione dei dati conservati in un determinato dispositivo.

Sonia Lavoratti

[contact-form-7 id=”6739″ title=”Send request: 2 column SONIA LAVORATTI”]

 

Call Now Button