GDPR e trattamento dati personali: privacy by default e privacy by design

Il GDPR richiede ai titolari del trattamento di adottare tutte le misure atte a tutelare i dati personali dei soggetti coinvolti. Queste misure sono sia tecniche che procedurali e trovano un riferimento nell’art.25 del Regolamento Europeo, nel quale si parla di privacy by design e privacy by default.

Cerchiamo di capire meglio il significato dei due termini.

PRIVACY BY DEFAULT

Come suggerisce il nome, la privacy by default prevedere che:
– la tutela dei dati personali sia una impostazione predefinita della tecnologia, del servizio, del processo o altro che l’utente utilizza;
– che le aziende trattino solo i dati strettamente necessari alle finalità e per il tempo previsti.

L’onere di impostare questo livello di privacy non ricade sull’utente ma sull’azienda. L’utente non deve quindi trovarsi nella situazione di dover cercare nello smartphone o in un sito internet l’opzione specifica.

Un esempio ce lo offre il browser Firefox.
Nel 2019 Firefox ha introdotto la funzione “Enhanced Tracking Protection”, ovvero il blocco dei cookie di tracciamento di terze parti. Questa protezione è attivata come impostazione predefinita, non è l’utente a doverla attivare. A lui rimane comunque la scelta di visionare quali cookies vengano bloccati in automatico e consentire eventuali eccezioni.

PRIVACY BY DESIGN

Il concetto di privacy by design è un’evoluzione di quello di privacy by default.

In questo caso, la tutela dei dati personali viene considerata fin dalla fase di progettazione di una qualsiasi tecnologia ma anche di ogni processo aziendale (servizi, procedure, luoghi). Possiamo dire che l’intero processo creativo viene disegnato intorno alla tutela della privacy.

L’approccio si basa su 7 principi:
1. proattività non reattività (prevenire è meglio che curare)
2. privacy come impostazione di default
3. privacy incorporata nella progettazione
4. massima funzionalità (l’obiettivo è doppio: realizzare un buon prodotto/servizio e garantire la privacy)
5. sicurezza dall’inizio alla fine, lungo tutto il processo
6. visibilità e trasparenza
7. centralità dell’utente

La privacy by design non contempla valutazioni di conformità successive alla realizzazione del progetto: ogni rischio e ogni ipotetica situazione vanno considerate prima.

Non si deve però credere che la privacy by design si applichi solo alle tecnologie.
Un esempio semplice ma poco scontato è la progettazione delle sale d’attesa o di uffici pubblici. Immaginate di recarvi in un centro medico privato e alla reception vi chiedono alcuni vostri dati personali nonché il motivo per cui siete lì. Se lo spazio è progettato male, gli altri pazienti nella sala d’attesa comune sentiranno la conversazione. Al contrario, se progettato bene la vostra privacy sarà al sicuro

Per passare alle tecnologie, immaginate un sistema di controllo domestico che potete controllare da remoto con il vostro smartphone. Mentre siete a lavoro potete assicurarvi che le luci siano spente, che nessuno sia entrato in casa, che il forno si accenda all’ora che avete deciso per farvi trovare l’arrosto pronto quando tornate. Tutto il sistema è collegato alla rete e a un vostro account che, in fase di registrazione, vi ha chiesto dei dati personali. Se il sistema di domotica (e persino lo smartphone) non viene progettato fin dall’inizio considerando i rischi per la privacy, un cybercriminale prenderebbe facilmente il controllo della vostra casa o dei vostri dati. O magari sareste proprio voi stessi, incautamente, a condividerli.

L’UTENTE AL CENTRO

Privacy by default e privacy by design sono dunque due approcci, legati tra loro, per lo sviluppo di strumenti, processi, luoghi e situazioni che garantiscano un più alto livello di tutele in caso di trattamento di dati personali.

Non esistono però modelli preconfezionati e ogni caso va valutato singolarmente. Lo stesso GDPR specifica che le misure di protezione della privacy vanno messe in atto “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento”.

Al di là degli aspetti puramente pratici, il GDPR chiede alle aziende una cosa, tutto sommato, semplice: cambiare il modo in cui pensano i propri processi, mettendo l’utente al centro di tutto.