Da quando il
GDPR (
General Data Protection Regulation) o Regolamento Generale per la protezione dei dati personali è entrato in vigore nel 2018, è cambiata la gestione di tutti i dati.
Le novità principali che hanno cambiato le carte in gioco sono state l’uniformazione della tutela della privacy a livello europeo e l’inasprimento delle sanzioni in caso di violazione.
Accanto a queste importanti novità, con il GDPR è stato introdotto anche un nuovo approccio responsabilizzante alla tutela dei dati personali, attraverso due principi (di cui si parla nell’articolo 25 del Regolamento): quello di
privacy by design e quello di
privacy by default. Si tratta in sostanza di
due principi rivolti alla tutela dei dati personali volti a valutare e mitigare preventivamente il rischio di violazione, perdita, distruzione, utilizzo illegittimo dei dati, cioè di data breach. La finalità è in ogni caso la protezione del soggetto i cui dati sono trattati, ciò che cambia è l’impostazione che viene data al trattamento.
Per comprendere meglio questi concetti, è utile vederne i principi che stanno alla base:
- tutela del soggetto i cui dati vengono trattati;
- prevenzione, al posto di correzione: i problemi legati alla tutela della privacy devono essere presi in considerazione in anticipo, attraverso una valutazione del rischio (che viene svolta attraverso la valutazione della natura del dato personale, della sua portata, del contesto nel quale viene utilizzato);
- funzionalità del trattamento: il trattamento deve poter rispettare le esigenze di tutte le parti;
- visibilità e trasparenza del trattamento: in ogni momento deve essere chiaro e verificabile.
Vediamo nel dettaglio di cosa si tratta.
Privacy by design
Il concetto di
privacy by design non è in realtà una novità assoluta nel mondo legislativo; infatti fu introdotto in Canada nel
2010 dalla Privacy Commissioner dell’Ontario, Ann Cavoukin. Con il GDPR, dal 2018 ha fatto il suo ingresso anche nel continente europeo.
Con
privacy by design si intende l’
introduzione della protezione dati sin dalla progettazione del trattamento dei dati stessi
e, ovviamente,
anche in fase di realizzazione. Ciò significa che il
Titolare del trattamento dati deve organizzare sin dall’inizio il trattamento in base al contesto, introducendo e adottando modalità e strumenti adatti a mitigare il rischio. Un esempio di azione frutto del principio di privacy by design è la pseudonimizzazione dei dati personali.
Privacy by default
Il principio di
privacy by default, al contrario, prevede un’
impostazione predefinita del trattamento dei dati: cioè meccanismi, automatismi, procedure che appunto, di default, automaticamente, riducono le possibilità di data breach e conseguenti rischi per l’interessato. In particolare, il principio di privacy by default prevede che vengano adottate impostazioni iniziali standard predefinite che limitino al massimo la raccolta dei dati personali. Il trattamento deve avvenire solamente nella misura necessaria e sufficiente alle finalità previste e nel tempo minimo utile ai fini del trattamento. I dati personali in eccesso non devono essere raccolti. Un esempio può essere riscontrato nella compilazione di un modulo: non si deve rendere obbligatorio l’inserimento di dati personali che in realtà sono facoltativi e quindi non strettamente necessari alle finalità previste dal trattamento.
Privacy by design e by default sono dunque due principi cardine del GDPR; su questi si fonda il nuovo approccio responsabilizzante della norma, che assegna al
Titolare del trattamento il compito di analizzare i dati trattati, le finalità, la durata necessaria, dovendo introdurre tutte le misure organizzative e tecniche utili per mitigare il rischio sui dati.
