Il 26 gennaio 2024 l’Agenzia dell’Unione europea per la sicurezza informatica (ENISA) ha pubblicato un report intitolato Engineering Personal Data Protection in EU Data Spaces con lo scopo di approfondire il ruolo dell’ingegneria della data protection in modo da guidare i professionisti e le organizzazioni nello sviluppo pratico dei principi espressi nel GDPR in merito alla protezione dei dati personali.
In particolare, il documento evidenzia le modalità e le strategie di salvaguardia dei dati personali che si trovano negli archivi dei dati europei: tali spazi comuni costituiscono un concetto abbastanza nuovo, introdotto nel 2020 dalla European Strategy e in seguito elaborato attraverso il Data Governance Act (DGA).
Data Spaces, ecco come rispettare la privacy nella condivisione dei dati: le linee guida ENISA
Indice degli argomenti
Garantire trasparenza e protezione dal riutilizzo dei dati
Si tratta di uno spazio unico in cui vengono raccolti i dati e le informazioni personali a livello europeo; da ciò la necessità di attivare specifiche strategie volte alla protezione di questi dati e a impedirne la diffusione.
Infatti, le nuove tecnologie per la raccolta e l’elaborazione dei dati sono sempre più efficienti e capillari ma al contempo implicano anche la nascita di nuove minacce per la sicurezza e di nuove strategie per violare e sottrarre i dati personali.
La sfida attuale consiste proprio nel controllo di tali informazioni, al fine di garantire trasparenza e protezione dal riutilizzo dei dati.
La mole di tali informazioni rende complicata la loro gestione e apre le porte a problematiche come la re-identificazione, l’interferenza tra dati e la presenza di processi automatizzati che minacciano la sicurezza della privacy.
La questione è stata introdotta per la prima volta nel 2016 – quando venne promulgato il GDPR – in particolare, nell’articolo 25, il quale afferma il principio della privacy by default e by design, che rappresenta un approccio concettuale innovativo secondo cui le organizzazioni e gli esperti hanno l’obbligo di includere gli strumenti e le strategie per la tutela della privacy e dei dati personali fin dalla fase di progettazione degli archivi e degli spazi informatici.
Di cosa si occupa l’ingegneria della protezione dei dati
Di fatto, in questo contesto, è essenziale studiare preventivamente delle specifiche strategie di controllo e protezione dei dati personali e proprio di ciò si occupa l’ingegneria della protezione dei dati.
Quest’ultima ha lo scopo di progettare e supportare la selezione, l’implementazione e la configurazione di misure tecniche e organizzative atte a proteggere i dati sensibili, in modo da garantire i diritti degli interessati e ridurre al minimo il rischio di violazione e furto delle informazioni.
Il report ENISA contestualizza i principi di progettazione
Il report di ENISA sull’Engineering personal data protection, dunque, mira a contestualizzare gli odierni principi di progettazione relativi alla protezione dei dati e di mostrare come funzioni l’ingegneria della protezione dei dati attraverso un caso studio che immagina l’applicazione del piano ad un ipotetico archivio di dati europeo del settore farmaceutico.
Esso, inoltre, descrive dettagliatamente in quale maniera avviene la protezione dei dati sensibili, illustrando l’uso di tecnologie volte a preservare la privacy, le cd. PET (Privacy Enhancing Technologies), che rappresentano un insieme di tecniche volte a mettere in atto i principi di protezione dei dati a livello sistemico, che possono variare da uno specifico strumento alla realizzazione di una determinata procedura dipendentemente dal contesto e dalla natura della procedura stessa.
Tipologia e classificazione delle tecnologie volte a preservare la privacy
Le PET possono essere classificate in base alla tecnologia che utilizzano per la protezione dei dati e vengono definite anche “Truth-preserving”, quando il fine è quello di salvaguardare l’accuratezza dei dati riducendo, allo stesso tempo, il loro potere di identificazione.
Al contrario, se lo scopo invece è quello di mantenere l’intelligibilità dei dati, allora la PET viene definita “Intelligibility-preserving”.
Mediante tecniche di “noising” o iniezione del rumore, si procede con l’immissione di variazioni extra all’interno dei dati originali, quest’ultimi completamente casuali – e per questo detti “rumore” – che ne rendono molto più complicata l’individuazione.
Più complesse e più conosciute, invece, sono le tecnologie che fanno riferimento alla cosiddetta “Operable Technology”.
In questo caso, i metodi per raggiungere l’anonimizzazione variano dalla cifratura al più complesso hashing, un metodo crittografico che prende il dato, trasformandolo e convertendolo nel valore hash.
Ovviamente, l’hashing si serve della crittografia per poter riconvertire il dato al suo stadio originale, ma per farlo l’utente ha bisogno della chiave crittografica, dell’algoritmo di riferimento e di conoscere quale dato è stato associato al valore hash.
Per questo motivo, tale metodo crittografico viene ritenuto generalmente più efficace della traditional encryption che si basa invece solo su chiavi e algoritmi.
La protezione dei dati si basa sulla condivisione sicura e corretta
Il report sottolinea peraltro come la buona riuscita delle strategie di protezione dei dati dipenda da una condivisione sicura e corretta, basata sulla collaborazione tra i proprietari dei dati ed i loro intermediari.
Per agevolare questo rapporto di collaborazione, il documento fornisce anche alcune specifiche raccomandazioni riguardanti una chiara definizione delle reciproche responsabilità e degli obblighi, in modo da tutelare entrambe le parti; una gestione dei dati dall’interno secondo un’organizzazione efficace; una gestione della condivisione dei dati dall’esterno, che si basi sulla cooperazione tra diversi enti; infine, l’ufficializzazione delle pratiche di condivisione dei dati attraverso un contratto.
Dunque, il report propone di utilizzare un archivio dati del settore farmaceutico come caso di studio. Uno spazio dati di questo tipo permetterebbe di studiare la disponibilità di prodotti farmaceutici sul mercato in base all’attuale domanda e di calcolare le esigenze future.
Le informazioni iniziali per questa analisi possono essere ottenute dalle prescrizioni, dalle aziende farmaceutiche che offrono i prodotti sul mercato, dagli operatori sanitari, dagli istituti di ricerca e dalle autorità regolatorie nazionali.
Tale spazio dati in ambito farmaceutico avrebbe lo scopo di eseguire una serie di analisi per conto dell’Autorità Sanitaria Nazionale, che potrebbero permettere di stabilire sia la disponibilità dei prodotti medicinali sul mercato, sia la loro efficienza terapeutica.
Come gestire e progettare un archivio di dati personali
Inoltre, nel paper vengono descritte anche le modalità e le strategie attraverso le quali un archivio andrebbe gestito e progettato al fine di preservare i dati personali che gli utenti comunicano all’intermediario. Nel caso specifico, l’intermediario dovrebbe essere in grado di rispondere alle richieste del proprietario dei dati senza poterlo identificare in quanto singolo individuo.
Le strategie di protezione dei dati citate nel report sull’Engineering personal data protection in relazione al caso studio vanno dalla pseudonimizzazione alla crittografia polimorfa, il tutto in un contesto in cui è il titolare stesso dei dati a eseguirne il mascheramento e la generalizzazione.
Tutto ciò avviene in una fase precedente alla condivisione delle informazioni personali con l’intermediario, che procederà a sua volta ad un ulteriore processo di protezione. In tal modo, si rafforza il ruolo dell’intermediario in quanto organizzatore affidabile dei dati e non solo come semplice intercessore.
Conclusioni
Il report sull’Engineering personal data protection prodotto dall’ENISA si pone all’interno dell’European Strategy for Data con il fine di sensibilizzare circa le attività di economia dei dati.
Nella relazione con enti pubblici e privati il trattamento dei dati dovrà sempre rispettare determinati requisiti e obblighi legali.
Proprio su questo nuovo orizzonte si apre la strada della Data protection Engineering, che non si limita a svolgere un ruolo tecnico e invisibile, ma che diventa vero e proprio garante dell’esercizio dei diritti dei cittadini: lo scopo della ricerca è infatti lo sviluppo di un metodo pratico e sicuro per la condivisione dei dati, riducendo al minimo il rischio di violazione della privacy, di furto d’identità o altre minacce alla sicurezza dell’utente.
