Valutazione d’impatto privacy e ISO 29134: linee guida per una corretta realizzazione della DPIA

La valutazione d’impatto privacy (Data Protection Impact Assessment, DPIA), adempimento fra i più impegnativi del GDPR, è centrale nella rappresentazione degli obiettivi di quest’ultimo, in quanto si focalizza sulle conseguenze per gli interessati e cerca di iniettare le tutele per le persone nel trattamento stesso.

Su come stabilirne la necessità, e quando procedere con tale adempimento, è stato già scritto tanto. Né si intende reiterare le specifiche peculiarità dell’adempimento della valutazione di impatto, per la quale linee guida specifiche dell’EPDB e delle Autorità di controllo europee hanno fornito, e continuano a dettagliare, i casi di necessità ovvero di esimenza nell’applicazione del Regolamento (UE) 2016/679.

Si desiderano invece puntualizzare alcuni aspetti importanti in relazione alla ricerca di parametri il più oggettivi possibile per inquadrare metodologie il più possibile coerenti.

Il ricorso alle norme tecniche standard

Ogni processo di valutazione, essendo un processo, ossia un insieme di attività tese al raggiungimento di un obiettivo, ha i suoi rischi; questo è piuttosto semplice da comprendere.

Chi si occupa di valutazione dei rischi, dunque, sa bene che al fine di ridurre il più possibile il margine di errore o di interpretazione soggettiva degli scenari, è essenziale l’utilizzo di riferimenti standard, possibilmente approvati e ufficiali, anche per esigenze di rappresentazione di garanzia e affidabilità nell’esecuzione di tali delicati processi.

La protezione dati personali è un ambito che si suole far rientrare nel più ampio dominio della sicurezza delle informazioni, la quale dispone da tempo di strumenti normativi tecnici che, maturati negli Anni 90, sono costantemente aggiornati e rielaborati, e da tempo tendono a includere in modo sempre maggiore gli aspetti correlati alla personal data protection.

Non si vuole qui, di certo, ribadire l’elenco delle norme a supporto, è piuttosto agevole recuperare la letteratura in materia, e diversi standard sono ormai “famosi” quali strumenti volontari di autoregolazione; ad esempio, è ormai ben noto che la famiglia di norme ISO/IEC 27000 si occupa dei sistemi di gestione per la sicurezza delle informazioni, e quindi anche degli aspetti connessi al risk assessment in ambito information security; invece la famiglia di norme ISO/IEC 29100, nata nel 2011, ha ristretto l’ambito di applicazione alla privacy (in un quadro generale più ampio della data protection regolamentata nel GDPR), e alle Personally Identifiable Information (PII) ossia le informazioni riferite a persone.

Le norme standard, che nascono con modalità democratiche per stabilire riferimenti di conformità per i sistemi di gestione aziendali o per le caratteristiche di un prodotto, di un processo, di un servizio (dimensionali, prestazionali, ambientali, di qualità, di sicurezza, di organizzazione), hanno sempre avuto un approccio universale e al di sopra delle giurisdizioni internazionali.

Per questo motivo, ad esempio, quelli che sono i data subjects, ossia gli interessati del GDPR, nelle norme dell’ISO (International Standard Organization) e dell’IEC (International Electrotechnical Commission) si chiamano PII principals (i “protagonisti” delle informazioni identificabili personalmente… chissà se tale accezione debba intendersi quale tentativo di soggettivazione “epica” della persona a cui si riferiscono i dati oppure, forse più verosimilmente, ha inteso mantenere il significato basilare e scientifico del soggetto a cui le informazioni si riferiscono). Il Nist (National Institute of Standards and Technology), invece, usa ad esempio il termine data about individuals, più semplice e immediato.

Tornando alla protezione dati, oltre alla normazione standard ISO/IEC e alle specifiche Framework del NIST, va detto che esistono, e sono altrettanto importanti, sia linee guida e pubblicazioni scientifiche molto contestualizzate sulla protezione dati, vedi documenti ENISA, dell’EDPB o delle Autorità di Controllo Garante, CNIL, ICO ecc., sia schemi di valutazione per la conformità (molto più specifiche, come la ISDP10003:2018 o la Europrise).

Tutti questi documenti hanno in comune la volontarietà di applicazione per dimostrare, a seconda dei casi, conformità e rispetto delle previsioni normative, impegno, garanzie di affidabilità; alcune norme sono “certificabili” (ovvero possono essere verificate da un ente terzo accreditato per i requisiti di un certo ambito), altre no.

Senza entrare nel complesso meccanismo delle certificazioni, accreditamento ecc., restiamo sulla valutazione di impatto privacy, per la quale la norma ISO/IEC 29134 ha la forma di Linee guida.

Norma ISO/IEC 29134: linee guida per la DPIA

La norma ISO/IEC 29134, pubblicata nel 2011 e aggiornata nel 2017, è probabilmente la norma più utilizzata, attualmente, come riferimento per la definizione, preparazione, esecuzione e predisposizione delle valutazioni di impatto privacy.

Poiché le previsioni dell’art. 35 del GDPR, relativo alla DPIA, possono essere ricondotte, in qualche modo, ai requisiti della ISO/IEC 29134, molti software o tool si sono ispirati a questa norma, anche solo per il fatto che essa è l’unica linea guida standard sul privacy impact assessment, e per il fatto che ha definito sin dal principio che la valutazione di impatto privacy è un processo, e non un adempimento formale e documentale fine a se stesso.

Tuttavia, a parere dello scrivente è doveroso far notare che non tutte le fattispecie della valutazione di impatto privacy del GDPR possono essere ricondotte ai requisiti della norma ISO/IEC 29134; ad esempio, quest’ultima non considera la valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità; né traccia specifiche indicazioni per valutare i rischi per i diritti e le libertà degli interessati, come previsto dall’art. 35 del GDPR.

La norma ISO/IEC 29134 dedica i paragrafi fondamentali, il 5, il 6 e il 7, rispettivamente a:

• preparazione delle basi per il Privacy Impact Assessment;
• linee guida sulla conduzione del processo di valutazione di impatto;
• risultanze e report del privacy impact assessment.

I paragrafi sono, al loro interno, ulteriormente articolati e dettagliati, soprattutto per la parte di follow up (trattamento dei rischi), includendo requisiti per individuare gli owner dei processi di trattamento dei rischi e modalità di reporting, volte a coinvolgere le figure apicali del Titolare del trattamento. Questo aspetto inerente i ruoli e responsabilità, e le relative decisioni finali, e il riesame da parte del Titolare del trattamento, è utile nell’inquadrare le previsioni dell’art. 35.

Molti esperti di normazione standard, tuttavia, non amano questa norma, che sebbene abbia avuto l’indiscutibile pregio di fornire riferimenti sulle modalità di conduzione del processo di valutazione, risulta in alcune parti poco attenta al trattamento di dati personali in questione, e quindi non coerente; ma facciamo qualche esempio.

Nel paragrafo 6.4.4.1 sull’identificazione dei rischi privacy, la norma invita a considerare altri aspetti sulla sicurezza del trattamento oltre ai casi di distruzione, perdita, modifica, divulgazione non autorizzata delle informazioni riferite agli interessati; non soltanto va valutato l’impatto derivante dalla perdita di una o più delle caratteristiche della sicurezza delle informazioni, ossia riservatezza, integrità e disponibilità, che rappresenta la gravità del danno diretto o indiretto causato agli interessati: dovrebbero essere considerati altri fattori relativi alla trasparenza e consapevolezza, e al rispetto di principi applicabili ai trattamenti di dati personali, e ritrovabili fra quelli previsti dal GDPR come fondamentali.

Questo è, a parere dello scrivente, il punto più “nobile” della norma, perché mette al centro le persone.

Infatti, nei modelli di DPIA che ho realizzato e che in genere utilizzo, per la determinazione del livello di impatto utilizzo una tabella come quella che segue e che consente di individuare quali sono le possibili conseguenze per gli interessati in riferimento al trattamento analizzato:

Tabella 1 – Valutazione d’impatto privacy e ISO 29134: determinazione impatti per gli interessati.

Nella Tabella 1 ho tradotto, in sostanza, gli altri aspetti che la ISO/IEC 29134 invita a considerare oltre ai classici (accesso illegittimo ai dati, modifiche indesiderate ai dati, perdita di dati). Si dovrebbero infatti considerare, nella DPIA, conseguenze derivanti anche da rischi non propriamente correlati alla “sicurezza” dei dati trattati (ad esempio, si pensi a informazioni agli interessati non pienamente comprese o alla mancanza di consapevolezza sul riuso dei dati, sui tempi di conservazione ecc. che hanno assolutamente degli impatti per i diritte e le libertà delle persone).

Le conseguenze per gli interessati dovrebbero essere il vero fulcro della valutazione di impatto privacy; infatti in altre metodologie le possibili conseguenze vengono ulteriormente dettagliate, insieme al flusso delle operazioni di trattamento. La CNIL nella sua metodologia per la valutazione di impatto ha provato ad elencare una lista di possibili conseguenze, che vanno da un disagio e un senso di fastidio a impatti concreti, discriminazione, perdite di opportunità economiche o professionali, conseguenze per la salute, fino a danni irreparabili e gravissimi.

Questa tabella (tradotta in italiano dallo scrivente) categorizza le possibili conseguenze per tipo di impatto (psicologico, materiale, fisico) e per gravità.

Dunque, nella 29134 troviamo spunti interessanti che ampliano il paradigma classico denominato RID (riservatezza, integrità e disponibilità); peccato però che, dopo questo importante suggerimento, la norma ISO/IEC 29134 si concentri, per l’analisi delle vulnerabilità e la stima dei rischi, praticamente soltanto sugli assets per preparare il trattamento dei rischi.

Infatti, nel proseguimento della gestione del processo non si fa poi più alcuna menzione degli aspetti di rischio suggeriti, come si può dedurre anche dall’Annex B della norma (quello sulle minacce generiche, molto utilizzato come riferimento).

Per comodità, rappresento di seguito una traduzione (non ufficiale, realizzata dallo scrivente) delle categorie di minacce della 29134.

Tabella 2 – Traduzione della tabella “Generic Threats” – Annex B della ISO/IEC 29134.

L’apporto di altre norme nel processo di valutazione d’impatto

Ma possono altre pubblicazioni e norme tecniche essere usate come riferimento nella DPIA?

Sicuramente sì. Diverse Autorità di Controllo (es. ICO, CNIL) hanno pubblicato specifiche linee guida e tools (fra tutti, il PIA Tool del CNIL, tradotto in molte lingue e utilizzatissimo anche in Italia grazie al lavoro di traduzione dell’Autorità Garante, che dedica alla DPIA anche un’apposita area tematica sul sito web).

Inoltre, diverse metodologie proprietarie sono basate su valutazione dei rischi che fanno riferimento alle norme standard (es. ISO 31000, ISO/IEC 27005), ad esempio.

Lo schema di valutazione ISDP10003:2018, specifico per il GDPR, dedica adeguata attenzione alla valutazione di impatto nei requisiti di conformità, assegnandole un intero macro-processo, l’A6, con punti di controllo assolutamente coerenti con i requisiti del GDPR.

Più in generale, l’utilizzo delle norme tecniche si ritrova negli aspetti relativi ai contenuti della documentazione a supporto del processo (è un processo documentato, questo non bisogna dimenticarlo).

Infatti, il requisito dei contenuti della DPIA di cui all’Art. 35 p. 7 c):

“una valutazione dei rischi per i diritti e le libertà degli interessati”;

e quello del p. 7 d):

“le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione”,

ben si prestano a riferirsi a molti punti di controllo delle norme tecniche.

Il considerando 76 del GDPR vorrebbe addirittura che il rischio venisse “considerato in base a una valutazione oggettiva mediante cui si stabilisce se i trattamenti di dati comportano un rischio o un rischio elevato”.

Darsi una metodologia il più possibile oggettiva, ripetibile, in grado di mantenere la coerenza e le relazioni d’ordine con altre valutazioni è tutt’altro che semplice.

Qui gli standard possono aiutare, ma per la valutazione di impatto solo fino ad un certo punto.

In sostanza, se è vero che per la valutazione dei rischi è obbligo individuare gli asset a supporto del trattamento (ma anche i processi di rispetto dei principi applicabili al trattamento) e valutare minacce, vulnerabilità, e individuare le misure di mitigazione dei rischi specifiche, la valutazione di impatto prevede ragionamenti ulteriori, come abbiamo visto.

Le norme tecniche, comunque, sono di fondamentale supporto, anche perché l’accountability richiesta dal GDPR prevede espressamente una governance dei processi.

I punti di controllo dell’Annex A della ISO/IEC 27001:2013, argomentati nella ISO/IEC 27002:2013 (una raccolta di “best practice” che possono essere adottate per applicare i controlli e soddisfare i requisiti della 27001 al fine di proteggere gli assets informativi), coprono molti ambiti operativi della governance per la Information security.

Nel 2017, nell’ambito della famiglia di norme 29000 specifiche per la privacy, un’altra Codice di buone pratiche, la ISO/IEC 29151 ha esteso l’ambito dei punti di controllo inserendone altri specifici per il rispetto degli 11 principi del framework 29100:

1. libera scelta e consenso;
2. finalità, legittimità e specificità;
3. limitazione della raccolta;
4. minimizzazione dei dati;
5. limitazione dell’uso, conservazione e divulgazione;
6. accuratezza e qualità;
7. apertura, trasparenza e informativa;
8. partecipazione e accesso individuale;
9. accountability;
10. information security;
11. compliance privacy.

Nel 2019, la norma ISO/IEC 27701:2019 – Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines ha ulteriormente esteso i controlli per realizzare, nell’ambito di un Sistema di Gestione per la Sicurezza delle informazioni (ISMS o, in italiano, SGSI) un PIMS – Personal Information Management System), un Sistema di Gestione per I dati personali.

Esistono anche importanti documenti di riferimento italiani, fra i quali è doveroso segnalare:

• la UNI/PdR 43.1:2018 – Linee guida per la gestione dei dati personali in ambito ICT secondo il Regolamento UE 679/2016 (GDPR) – Gestione e monitoraggio dei dati personali in ambito ICT;
• la Framework Nazionale per la Cybersecurity e la Data Protection;
• le Misure minime di sicurezza ICT per le pubbliche amministrazioni emanate dall’AgID (Agenzia per l’Italia digitale).

Ovviamente, non va dimenticato lo schema di valutazione per la conformità al GDPR ISDP10003:2018 citato in precedenza.

Ora, con tante norme a fornire strumenti di controllo delle operazioni per la sicurezza e a fornire prassi, spesso, per gli stessi processi, c’era da aspettarsi un proliferare di strumenti di mappature dei controlli fra i diversi documenti tecnici, e in alcuni casi con gli articoli del GDPR.

In alcuni modelli, come quelli del NIST, del Framework Nazionale per la Cybersecurity e la Data Protection italiano (che deriva dalla framework Nist) e le Misure minime AgID, le mappature con altri riferimenti sono previste espressamente, proprio per “rafforzare” l’importanza del punto di controllo.

Ecco un esempio:

Tabella 3 – Controllo DP-ID-RA-7 del Framework Nazionale per la Cybersecurity e la Data Protection.

Nella fase di valutazione dei rischi all’interno del processo di DPIA, dunque, il costante rimando ai riferimenti standard è diventato molto comune.

Attenzione, però. Il trattamento e le conseguenze per le persone vanno analizzati in modo specifico! Le misure di mitigazione dei rischi individuati devono essere contestualizzate all’attività di trattamento oggetto di esame, e non generiche.

Ecco perché si suggerisce sempre di ragionare, fatto salvo l’ausilio di cataloghi di minacce e vulnerabilità di riferimento, sugli eventi dannosi effettivamente applicabili, e sulle misure realmente applicate per ridurre il livello di rischio.

Poi, per l’ottimizzazione dei processi, potremo anche usare riferimenti di prassi standard; infatti il presidio dei controlli è un aspetto di governo delle misure di mitigazione molto importante, e i riferimenti alle norme tecniche contribuiscono alla dimostrazione di aver implementato le misure in modo efficace.

D’altro canto, l’opportunità di poter spiegare, nel report di Valutazione di impatto, che la governance viene eseguita con certe misure, perché lo raccomandano i controlli A, B, C delle norme X, Y, Z è un elemento di accountability non irrilevante, perché attesta che sono state acquisite e considerate le migliori prassi standard.

Quali prassi utilizzare, fra le tante?

Ovviamente, non esistono regole. È necessario sicuramente considerare il contesto dell’attività di trattamento oggetto di Valutazione di impatto, l’ambito di eventuale pubblicazione e traduzione dei documenti eccetera.

Ad esempio, per giustificare meglio le misure di mitigazione applicate (in modo specifico) per ridurre il rischio, si può utilizzare un self-assessment “di governo” per giustificare con maggior dettaglio il rischio residuo.

Si immagini di poter assegnare un livello di adeguatezza alle seguenti famiglie di controlli dove i valori sono:

1. Inadeguato
2. Parzialmente adeguato
3. Quasi adeguato
4. Adeguato

Una tabella come quella rappresentata di seguito evidenzia, ad esempio, che si rilevano mancanze nella gestione (applicazione non è pienamente conforme, es. per errori formali o sostanziali ancora presenti, o perché non sono state condotte verifiche di efficacia e audit).

Tabella 4 – Esempio punti di controllo con riferimenti per self-assessment di governance

Nell’esempio della tabella, lo scrivente ha deliberatamente scelto di non selezionare controlli specifici di questa o quella norma, considerando invece “Famiglie” di controlli quali ambiti di governo applicabili ai processi di gestione dei trattamenti di dati personali, indicando i riferimenti incrociati alla 27001/29151/27701 e ISDP10003.

Tale scelta, e le modalità con le quali il self-assessment incida nella stima del livello di rischio residuo, deve essere ovviamente documentata nel Report di valutazione di impatto; così come eventuale ricorso ad altri riferimenti (pubblicazioni CNIL, cataloghi e norme ecc.)

Conclusioni

Le norme tecniche, gli schemi di valutazione, le linee guida e le pubblicazioni tecniche sulla sicurezza delle informazioni e sulle tecniche di protezione dati costituiscono senz’altro riferimenti che aiutano a condurre il processo di valutazione di impatto per la protezione dati con elementi di oggettività che possono aiutare sia chi partecipa al processo di valutazione, sia chi ne deve verificare le risultanze.

La norma standard ISO/IEC 29134, Linee guida per il privacy impact assessment, sebbene nata nella framework ISO 29000 con focus sulle informazioni riferite alle persone, non è idonea a soddisfare tutti i requisiti dell’art. 35 del GDPR; ciò nonostante, è uno dei principali strumenti tecnici che forniscono indicazioni per la conduzione del processo di valutazione di impatto.

Offre spunti interessanti, ma presenta anche alcune contraddizioni.

Abbiamo visto che anche altre norme tecniche, alcune delle quali piuttosto recenti, possono essere utili per i necessari presidi di controllo che garantiscano l’efficacia delle misure di mitigazione adottate per ridurre il livello di rischio che, come abbiamo visto, nella DPIA è elevato già in partenza.

Strumenti utilissimi, dunque, il cui utilizzo ha però come prerequisito un’adeguata conoscenza della documentazione, che si ottiene con impegno a letture non sempre “digeribilissime”.

Andrebbe dunque sfatata che le norme tecniche siano delle “checklist standard pronte per l’uso”; per l’applicazione alla delicata materia della protezione dati, c’è da molto da studiare, al fine di ottenere strumenti di governance efficaci e soprattutto calati sull’attività di trattamento oggetto di valutazione.