Il prossimo 8 febbraio verrà posata una pietra miliare per la protezione dei dati personali: il principio di privacy by design diverrà uno standard internazionale. l’International Organization for Standardization[1] adotterà, infatti, la ISO 31700 che fornirà a tutti i titolari del trattamento i requisiti e tutte le indicazioni necessarie per implementare correttamente la protezione dei dati fin dalla progettazione in tutto il processo di gestione all’interno delle organizzazioni.
Il principio di privacy by design riveste, dunque, un’importanza notevole per le organizzazioni nella garanzia di un’efficace protezione dei dati personali e per questo è stata accolta con favore la notizia dell’adozione di uno standard internazionale sulla privacy per la protezione di prodotti e servizi di consumo.
GDPR, una protezione tra rischi e pericoli per le persone fisiche e per l’economia
Indice degli argomenti
La privacy by design e by default
In molti hanno iniziato a sentir parlare di privacy by design in seguito all’entrata in vigore del Regolamento europeo 2016/679 sulla protezione del dati personali (GDPR): l’art. 25 del GDPR, infatti, concerne proprio i principi della privacy by design e della privacy by default, due principi fondamentali volti a garantire la protezione dei dati fin dalla progettazione e per impostazione predefinita.
Ai sensi dell’art. 25 par. 1 del GDPR il principio di privacy by design si basa sulla predisposizione, da parte del titolare del trattamento di misure tecniche e organizzative adeguate come pseudonimizzazione e anonimizzatine “[…] tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi”, allo scopo di attuare in modo efficace i principi di protezione dei dati e integrare nel trattamento le necessarie garanzie, al fine di soddisfare i requisiti del GDPR e tutelare i diritti degli interessati.
In altre parole, il principio di privacy by design è relativo all’incorporazione di strumenti per la protezione dei dati a partire dalla fase di progettazione di un processo, prodotto o servizio, il quale implichi un trattamento di dati personali.
Il secondo paragrafo della norma invece presenta il principio di privacy by default, secondo cui: “il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. […]”.
La privacy by design prima del GDPR
Tuttavia, il principio di privacy by design (protezione dei dati fin dalla progettazione) ha origini ben più antiche del GDPR.
Di tale concetto si è discusso nel corso della trentaduesima conferenza mondiale dei Garanti per la privacy tenutasi a Gerusalemme nel 2010, ma esso è stato elaborato per la prima volta da Anna Cavoukian (ex commissaria per l’informazione e la privacy dell’Ontario, Canda) intorno agli Anni 90 del secolo scorso.
Cavoukian ha sviluppato il concetto di privacy by design alla luce dei sempre più crescenti effetti sistemici che le tecnologie ICT avevano sul trattamento dei dati.
In particolare, Cavoukian ha fin da subito sostenuto che il principio di privacy by design anticipi la visione secondo cui il futuro della privacy non può essere garantito solo dal mero adempimento al framework normativo, poiché i principi posti a tutela della privacy dovrebbero sempre costituire parte integrante del modus operandi di ogni organizzazione.
I sette principi fondamentali della privacy by design
Il concetto di privacy by design così come elaborato da Ann Cavoukian si basa su sette principi fondamentali:
- approccio proattivo e preventivo che anticipi e prevenga eventuali violazioni della privacy;
- privacy come impostazione di default. Nel senso che le impostazioni per la tutela dei dati personali devono essere inglobate, per impostazione predefinita, in qualsiasi prodotto, servizio o pratica commerciale;
- privacy incorporata nel progetto. Ossia, le impostazioni come pseudonomizzazione e minimizzazione dei dati devono essere incorporate fin dalla fase di progettazione di un prodotto, servizio o pratica commerciale;
- massima funzionalità per assolvere alle svariate esigenze e rifiutando pericolose dicotomie come “privacy contro sicurezza”, dal momento che entrambe possono essere assicurate al tempo stesso;
- protezione e sicurezza durante tutto il ciclo-vita del prodotto/servizio offerto;
- visibilità e trasparenza dell’intero processo di trattamento del dato personale;
- centralità dell’utente: l’interesse dell’utente di un servizio o prodotto deve essere messo al primo posto attraverso il pieno rispetto dei suoi diritti, tra le altre cose.
I dettagli della ISO 31700
Alla notizia della standardizzazione della privacy by design non è potuta mancare, ovviamente, la reazione entusiasta di Ann Cavoukian, la quale ha affermato che l’adozione dell’ISO “dà vita all’operatività del concetto di privacy by design. Lo standard è progettato per essere utilizzato da un’intera gamma di aziende: startup, imprese multinazionali, organizzazioni di tutte le dimensioni. Speriamo che la privacy venga incorporata in modo proattivo nella progettazione delle operazioni [di un’organizzazione] e integri le leggi sulla protezione dei dati”.
Lo standard ISO 31700 conterrà 30 requisiti e indicazioni su come implementare il principio di privacy by design, allo scopo di consentire ai consumatori di “far valere i propri diritti alla privacy, assegnando rilevanti ruoli alle autorità pertinenti, fornendo informazioni sulla privacy ai consumatori, conducendo privacy risk assessment, stabilendo e documentando i requisiti per i controlli sulla privacy, determinando come progettare i controlli sulla privacy e la gestione dei dati durante il loro ciclo di vita, predisponendo misure per la gestione del data breach“.
Infine, è importante osservare come questo standard sulla privacy by design sia non solo una grossa opportunità per garantire al meglio la tutela dei dati personali, ma anche un’occasione per le imprese per rafforzare il loro business.
Quel che è certo è che con il passare del tempo la sensibilità per la protezione dei dati personali aumenterà sempre di più e ciò richiederà importanti passi in avanti non solo dal punto di vista legislativo, ma anche in termini di adeguamento.
NOTE
L’ISO è un’organizzazione internazionale indipendente e non governativa alla quale aderiscono 167 enti di normazione nazionali. ↑
