GDPR – Crittografia

Le aziende possono ridurre la probabilità di una violazione dei dati e quindi ridurre il rischio di sanzioni in futuro, se scelgono di utilizzare la crittografia dei dati personali. Il trattamento dei dati personali è naturalmente associato a un certo grado di rischio. Soprattutto al giorno d’oggi, dove gli attacchi informatici sono quasi inevitabili per le aziende di una certa dimensione. Pertanto, la gestione del rischio svolge un ruolo sempre più grande nella sicurezza IT e la crittografia dei dati è adatta, tra altri mezzi, per queste aziende.

In generale, la crittografia si riferisce alla procedura che converte il testo in chiaro in un codice hash utilizzando una chiave, dove le informazioni in uscita diventano leggibili nuovamente solo usando la chiave corretta. Questo minimizza il rischio di un incidente durante l’elaborazione dei dati, poiché i contenuti crittografati sono fondamentalmente illeggibili per le terze parti che non possiedono la chiave corretta. La crittografia è il miglior modo per proteggere i dati durante il trasferimento e un modo per proteggere i dati personali memorizzati. Riduce anche il rischio di abusi all’interno di un’azienda, poiché l’accesso è limitato solo alle persone autorizzate con la chiave giusta.

Il Regolamento riconosce anche questi rischi quando si trattano dati personali e pone la responsabilità sul titolare e sul responsabile del trattamento all’art. 32(1) del Regolamento Generale sulla Protezione dei Dati di implementare misure tecniche e organizzative adeguate per proteggere i dati personali. Il GDPR non definisce deliberatamente quali specifiche misure tecniche e organizzative siano considerate idonee in ciascun caso, al fine di adattarsi a fattori individuali. Tuttavia, fornisce al titolare del trattamento un catalogo di criteri da considerare nella scelta dei metodi per proteggere i dati personali. Questi sono lo stato dell’arte, i costi di attuazione e la natura, la portata, il contesto e le finalità del trattamento. Oltre a questi criteri, si deve sempre considerare la gravità dei rischi per i diritti e le libertà dell’interessato e la probabilità che tali rischi possano manifestarsi. In pratica, questo si riduce a quanto segue: maggiore è il rischio coinvolto nel trattamento dei dati e più è probabile che si manifesti, più forti devono essere le misure di sicurezza adottate e più misure devono essere prese. La crittografia come concetto è esplicitamente menzionata come una possibile misura tecnica e organizzativa per proteggere i dati nell’elenco dell’art. 32(1) del GDPR, che non è esaustivo. Ancora una volta, il GDPR non menziona esplicitamente i metodi di crittografia per adattarsi al rapido progresso tecnologico. Nella scelta di un metodo, si devono anche applicare i criteri del catalogo sopra. Per rispondere alla domanda su cosa sia attualmente considerato lo “stato dell’arte”, i responsabili della protezione dei dati di solito si affidano alle definizioni stabilite negli standard di sicurezza delle informazioni come ISO/IEC 27001 o altre linee guida nazionali sulla sicurezza informatica.

La crittografia dei dati personali ha vantaggi aggiuntivi per i titolari del trattamento e/o i responsabili del trattamento. Ad esempio, la perdita di un supporto di archiviazione mobile crittografato allo stato dell’arte che contiene dati personali non è necessariamente considerata una violazione dei dati, che deve essere segnalata alle autorità di protezione dei dati. Inoltre, in caso di violazione dei dati, le autorità devono considerare positivamente l’utilizzo della crittografia nella loro decisione su se e quale importo di una sanzione viene imposto come da Art. 83(2)(c) del GDPR.