L’Organizzazione per la Cooperazione e lo Sviluppo Economico (OCSE) ha pubblicato un rapporto in cui esamina i recenti progressi sulle tecnologie che migliorano la privacy.
Ad essere analizzate sono le soluzioni che consentono di raccogliere e garantire la riservatezza dei dati, denominate Privacy Enhancing Technologies (PET).
Armonizzare le regole UE per una cibersicurezza fondata sulla privacy
Indice degli argomenti
Come è migliorata la governance dei dati
Secondo quanto emerso, i nuovi approcci di sicurezza sono basati su tecniche crittografiche sul trattamento dei dati personali, consentendo una maggiore privacy informatica.
In particolar modo, attraverso l’utilizzo delle PET, si attuerebbe l’analisi collaborativa, facilitando la condivisione di dati sicuri, legittimi ed economicamente rilevanti. Le autorità di tutela della privacy hanno identificato in questi tipi di tecnologie delle soluzioni importanti per migliorare la governance complessiva dei dati.
Un altro importante progresso sarebbe rappresentato dalla dichiarazione del 2022 dell’OCSE, da cui emergono approcci comuni alla salvaguardia della privacy nell’accesso ai dati personali per finalità di sicurezza nazionale e applicazione delle normative.
Secondo la dichiarazione, l’accesso dei governi ai dati personali detenuti da entità private ha l’obiettivo di migliorare la fiducia nei flussi transfrontalieri di dati, ritenuti essenziali per le attività economiche e per la trasformazione digitale, stabilendo, in base al contesto giuridico esistente, le modalità attraverso cui i servizi di sicurezza possono accedere ai dati personali.
Le sfide per la sicurezza digitale dei dati
Tuttavia, la dichiarazione segna un importante impegno politico, in cui si amplificano le sfide in termini di sicurezza digitale. Un accordo che riconosce nei Paesi dell’OCSE salvaguardie comuni per affrontare il fenomeno delle tecnologie emergenti mediante la promozione di un settore innovativo, al fine di essere in grado di trasferire dati oltre confine garantendo la sorveglianza e la protezione degli stessi.
La suddetta intesa integra le linee guida dell’OCSE sulla privacy del 1980 e aggiornate l’ultima volta nel 2013. Tali principi rappresentano la base delle norme sulla protezione dei dati di molti Stati, fornendo un riferimento comune per sostenere i valori di democrazia e libertà all’interno di uno Stato di diritto.
Analogamente, la proliferazione delle PET ha permesso di introdurre una panoramica dei principali sviluppi tecnologici, consentendo alle autorità politiche di comprendere i loro potenziali benefici.
Gli esperti hanno rilevato la necessità di un esame approfondito nell’uso delle nuove tecnologie emergenti che migliorano la privacy. Sebbene alcune di queste non siano nuove, molte si stanno evolvendo e possono contribuire a rinnovare l’assetto normativo sulla raccolta e l’elaborazione dei dati.
Uno degli incentivi per questo fine sarebbe considerare queste tecnologie come una sfida chiave. Di fatto, questi sistemi sono altamente complessi e creano una distanza tra gli ingegneri che li costruiscono e i responsabili politici che determinano come utilizzarli.
Per ovviare a questa contrapposizione, il rapporto dell’OCSE sottolinea come la sicurezza digitale sia soggetta a nuovi paradigmi.
I nuovi paradigmi della sicurezza digitale dei dati
Uno di questi sarebbe quello denominato zero trust, in cui la sicurezza digitale verrebbe applicata bloccando tutti i dati, ad eccezione di usi approvati da persone autorizzate; i rischi e i danni sarebbero ridotti, impedendo l’accesso alle risorse interne e ad eventuali autori malevoli.
Questi strumenti si basano su tecnologie volte a garantire la privacy anche dopo che i dati sono stati raccolti ed eventualmente trasferiti ad altre entità.
La ricerca OCSE ha sostenuto gli obiettivi di “privacy by design” e “security by design” rilevando l’importanza del ruolo svolto dalle PET e le loro implicazioni all’interno della società globale.
Sebbene il concetto di tecnologie che migliorano la privacy non sia nuovo, si assiste ad una diffusione del loro uso, pur in assenza di una definizione omogenea del termine.
Uno stimolo altrettanto importante sarebbe emerso dalla relazione OCSE “Inventario delle tecnologie che migliorano la privacy”, in cui si fornisce una definizione ampia delle PET. Dall’analisi si evince il riferimento a strumenti in grado di fornire anonimato e di consentire all’utente quando divulgare le informazioni personali.
L’esperto sloveno Jerman-Blažič sostiene che l’avanzare della trasformazione digitale consentirebbe agli individui di prendere il controllo sulla modalità di raccolta dei loro dati, rendendo l’autodeterminazione informativa una realtà da attuare anche attraverso provvedimenti politici, al fine di determinare una riduzione significativa dei tentativi di violazione della privacy.
Tecnologie a servizio della privacy: le categorie
Malgrado i progressi fatti di recente, gli Stati necessiterebbero di nuove tecnologie per ottimizzare i propri obiettivi di sicurezza.
La relazione dell’OCSE segnala come negli ultimi due decenni si stia assistendo a progressi significativi, come per il trattamento dei dati crittografati.
Nel panorama odierno, vengono individuati 14 tipi di PET, classificate in quattro categorie generali.
Tecnologie concepite per l’offuscamento dei dati
La prima è quella riguardante le tecnologie concepite per l’offuscamento dei dati. Questi sistemi sono progettati per elaborare i dati sul dispositivo dell’interessato, alterandoli o rimuovendone i dettagli identificativi. Esempi di strumenti di offuscamento sono:
- l’anonimizzazione. Si tratta del processo di rimozione degli elementi identificativi dai dati per impedire l’identificazione dell’utente. Questa tecnica è utilizzata in modo diffuso in quanto permette di rimuovere le caratteristiche peculiari dei dati in modo da poterle utilizzare senza violare la privacy dei cittadini;
- la pseudonimizzazione. Rispetto all’anonimizzazione, questa tecnica rappresenta una forma più debole di camuffamento; le informazioni potenzialmente identificabili vengono parzialmente rimosse, anche se rimane un rischio residuo. I dati pseudonimizzati possono essere infatti ricondotti ad un soggetto se combinati con informazioni memorizzate a distanza o con insiemi di dati identificabili dall’esterno;
- i dati sintetici. Questo approccio implica che i dati vengano generati da uno o più modelli di popolazione. L’idea è quella di creare informazioni con proprietà statistiche simili a quelle dei dati originali;
- la privacy differenziale. Questa tecnica apporta piccole modifiche ai dati grezzi per mascherare i dettagli degli input. La ratio è che le alterazioni ai singoli record possano nascondere gli input senza un impatto significativo sui risultati aggregati;
- le zero-knowledge proof (ZKP). Questa procedura cela i dati sottostanti rispondendo a domande semplici. Le ZKP offrono possibilità di migliorare la privacy, in quanto eliminerebbero la necessità per gli interessati di consegnare i propri dati personali per usi di routine.
Strumenti di elaborazione dei dati crittografati
La seconda categorizzazione è quella degli strumenti di elaborazione dei dati crittografati. A differenza dell’offuscamento, i dati sottostanti non vengono modificati ma nascosti da un sistema di cifratura.
Tra le tecniche di crittografia più diffuse vi sono:
- la crittografia omomorfica. Con questa funzionalità, i soggetti interessati bloccano i dati con una chiave prima di trasmetterli all’incaricato del trattamento. L’elaboratore può eseguire calcoli per estrarre un risultato che però può essere sbloccato solo con la chiave dell’utente;
- il calcolo multipartitico. Questo insieme di strumenti permette ai partecipanti di calcolare congiuntamente una funzione sui loro dati di ingresso, mantenendoli privati ed eliminando la necessità di una terza parte per gestirli;
- l’intersezione privata degli insiemi. Consiste in una forma di calcolo multipartitico che consente alle organizzazioni di trovare elementi comuni nei loro insiemi di dati senza rivelarne il contenuto;
- gli ambienti di esecuzione affidabili. Sono aree separate dal sistema operativo dove sono contenuti dati sensibili e possono utilizzare codici per proteggere il proprio perimetro.
Tecnologie basate sull’analisi federata e distribuita
La terza classificazione riguarda le tecnologie basate sull’analisi federata e distribuita, la quale consente di eseguire attività analitiche su dati che non sono visibili o accessibili a chi esegue le attività.
Tra queste funzionalità figurano:
- l’apprendimento federato. Con questo metodo, i dati grezzi vengono elaborati localmente; solo le statistiche e i risultati vengono trasferiti all’elaboratore per essere combinati con dati simili;
- l’analisi distribuita. Tramite essa, i dati risiedono in una posizione centrale ma la formazione dei modelli è distribuita su vari nodi. Questo permette alle informazioni sensibili di rimanere sotto la custodia.
Strumenti di data accountability
L’ultima categoria fa riferimento agli strumenti di data accountability. Questi non sono considerati come PET in senso stretto, in quanto non mirano a proteggere la riservatezza dei dati personali a livello tecnico. Tuttavia, queste tecniche sono associate a questo ambito, poiché intendono fornire modi per far rispettare le norme sul trattamento dei dati.
Ricadono in questa tipologia:
- i sistemi responsabili. Questi software controllano e tengono traccia di come i dati possono essere raccolti, come vengono elaborati e quando possono essere utilizzati;
- la condivisione del segreto a soglia, uno strumento crittografico che richiede un numero predeterminato di chiavi per sbloccare i dati crittografati;
- gli archivi di dati personali i quali forniscono agli utenti il controllo sull’archiviazione, l’accesso e l’elaborazione dei propri dati.
Conclusioni
Le PET, sottolinea il report, potrebbero avere vari campi di applicazione come lo sviluppo di un apprendimento automatico capace di preservare la privacy, l’elaborazione dei dati criptati e la definizione di regole sui tempi di utilizzo dei dati.
Allo stesso tempo, sarebbero ancora presenti criticità ed elementi da perfezionare, tra cui la preservazione delle informazioni, gli elevati costi dei sistemi di crittografia e il filtraggio dei dati.
Al fine di affrontare queste sfide, l’OCSE suggerisce ai politici e alle autorità nazionali preposte alla protezione della privacy di valutare l’impatto che le PET possono avere negli ordinamenti giuridici.
Sarebbero quindi necessari strumenti, test e procedure complementari per garantire un utilizzo sicuro e conforme alle leggi di queste tecnologie.
Inoltre, l’OCSE invita le parti ad approfondire la cooperazione normativa transfrontaliera e intersettoriale al fine di studiare gli sviluppi tecnici nel campo della privacy.
