I principi di Privacy by Design e Privacy by Default sono stati recepiti all’art. 25 del GDPR e la loro applicazione è divenuta obbligatoria, almeno in Unione Europea, soltanto a partire dal 2018.
Tuttavia, l’origine di questi due principi risale alla metà degli anni ’90 e la loro ideazione è da attribuirsi all’allora commissario per l’informazione e la privacy della provincia Canadese dell’Ontario: Ann Cavoukian.
Privacy by Design e by Default non nascono come due principi separati. Piuttosto, la Privacy by Default deve considerarsi un corollario del più ampio principio di Privacy by Design, il quale si sviluppa in 7 diverse declinazioni, che devono guidare un’organizzazione verso il pieno recepimento della normativa.
I 7 corollari della Privacy by Design
Esaminiamo uno per uno i requisiti della Privacy by Design secondo il concetto originale sviluppato da Ann Cavoukian.
Proattività, non reattività; prevenzione, non correzione
In altre parole: “prevenire è meglio che curare”. I rischi privacy devono essere previsti e anticipati, non attesi passivamente.
Questo principio trova la sua massima applicazione pratica nelle analisi dei rischi privacy e nella conduzione di DPIA (Data Protection Impact Assessment), necessarie ogni volta in cui si progetta un nuovo progetto aziendale che richiede il trattamento di dati personali.
Privacy by Default, ovvero privacy come impostazione predefinita
Privacy by Default significa che, in qualunque sistema (software, sito web, social network, dispositivo IoT etc.), la privacy non dovrebbe richiedere un’azione da parte degli individui ma essere la modalità operativa predefinita.
Un esempio di Privacy by Default si trova nella disciplina sui cookies. Come impostazione predefinita, un sito web non deve installare cookies profilanti sui dispositivi degli utenti. Questa possibilità è consentita solo dopo che essi hanno espresso il consenso.
Un’altra applicazione del principio di Privacy by Default si trova nelle impostazioni privacy di un social media. Come impostazione predefinita, la condivisione dei post e degli altri dati personali degli utenti dovrebbe essere il più ristretta possibile. Per limitare la condivisione delle informazioni, non deve essere richiesta un’azione da parte degli utenti (es. limitare la condivisione soltanto agli “amici”). Piuttosto, dovrebbe essere il contrario.
Privacy integrata nel design
La privacy deve essere integrata nel design di un sistema (App, smartphone, piattaforma web etc.) e tenuta in considerazione come parte integrante delle sue funzionalità di base.
Ad esempio, una software house che sviluppa un software CRM dovrebbe prevedere una funzione per la registrazione e la gestione dei consensi al trattamento dei dati ed una funzione per gestire i termini di cancellazione dei dati personali.
Funzionalità Completa: somma positiva, non somma zero
Si potrebbe pensare che per migliorare la privacy sia necessario sacrificare altre funzionalità, oppure che per aggiungere funzionalità si debba ridurre la privacy. Il principio di “non somma zero” respinge questa idea, proponendo invece un approccio di “somma positiva” o “win win”, dove la privacy è integrata in modo tale da coesistere armoniosamente con altri obiettivi, come l’innovazione, l’efficienza o la sicurezza.
Questo principio incoraggia a progettare sistemi e processi in cui tutti gli interessi e gli obiettivi, compresi quelli relativi alla privacy, possono essere soddisfatti senza la necessità di compromessi.
Sicurezza End to End: protezione completa del ciclo di vita
La sicurezza deve essere integrata e mantenuta in ogni fase del trattamento dei dati, dal momento in cui i dati vengono raccolti, passando per la loro elaborazione, archiviazione, trasmissione e utilizzo, fino alla loro cancellazione o distruzione finale. In altre parole, non ci devono essere punti deboli o interruzioni nella catena della sicurezza.
Questo principio sottolinea che la protezione dei dati non può essere limitata a una fase specifica del loro ciclo di vita, ma deve estendersi a tutte le fasi. Ciò include misure per prevenire accessi non autorizzati, assicurare l’integrità e la riservatezza dei dati, e garantire che i dati vengano distrutti in modo sicuro quando non sono più necessari.
Ad esempio, quando un’organizzazione raccoglie dati personali, deve garantire che quei dati siano protetti con misure di sicurezza adeguate (come la crittografia) sia mentre sono in transito (trasferiti attraverso la rete) sia quando sono archiviati nei sistemi aziendali. Inoltre, l’organizzazione deve assicurarsi che, una volta che i dati non sono più necessari, vengano eliminati in modo sicuro, magari mediante distruzione fisica di supporti di archiviazione o cancellazione sicura dei file digitali.
Visibilità e trasparenza
Le operazioni di trattamento dei dati devono essere visibili e tracciabili. Un’organizzazione deve essere in grado di dimostrare come i dati vengono raccolti, utilizzati, conservati e protetti.
Le organizzazioni devono comunicare in modo chiaro e accessibile come trattano i dati personali. Gli utenti devono essere informati sui loro diritti e su come i loro dati vengono utilizzati. Questo può includere l’uso di informative privacy facili da comprendere, la disponibilità di strumenti per gestire le proprie preferenze privacy, e la garanzia che le pratiche di trattamento dei dati siano coerenti con le dichiarazioni pubbliche dell’organizzazione.
Rispetto per la privacy degli utenti
Il principio di Privacy by Design richiede di dare priorità agli interessi degli individui, offrendo impostazioni di privacy robuste, avvisi chiari e opzioni user-friendly.
Questo principio pone l’utente al centro delle decisioni relative alla privacy, assicurando che i suoi diritti e le sue aspettative siano rispettati e che gli venga garantito il massimo controllo possibile sui propri dati personali.
La Privacy by Design nel GDPR
Il principio di Privacy by Design viene ripreso e semplificato all’interno del GDPR, all’art 25 e al Considerando 78.
In particolare, l’art. 25 del GDPR stabilisce che i titolari del trattamento devono implementare, sin dalle prime fasi della progettazione di un sistema o di un processo, misure tecniche e organizzative adeguate che rispettino i principi di protezione dei dati, come la minimizzazione, la pseudonimizzazione e altre misure di sicurezza.
Il Considerando 78 si rivolge anche ai produttori e fornitori di beni e servizi, i quali dovrebbero progettare e sviluppare i loro prodotti in modo tale da consentire a titolari e responsabili di rispettare le normative privacy.
Definizione di Privacy by Design
In sintesi, cosa significa Privacy by Design?
Per Privacy by Design si intende l’approccio proattivo che integra la protezione dei dati personali fin dalla fase di progettazione di sistemi, prodotti e servizi, garantendo che la privacy sia considerata e rispettata in ogni fase del loro ciclo di vita, e che le impostazioni predefinite offrano il massimo livello di tutela della privacy possibile.
