GDPR – Privacy by Design

“Privacy by Design” e “Privacy by Default” sono stati argomenti frequentemente discussi in relazione alla protezione dei dati. I primi pensieri di “Privacy by Design” sono stati espressi negli anni ’70 e sono stati incorporati negli anni ’90 nella direttiva sulla protezione dei dati RL 95/46/CE. Secondo il considerando 46 di questa Direttiva, misure tecniche e organizzative (TOM) devono essere adottate già al momento della progettazione di un sistema di trattamento per proteggere la sicurezza dei dati.

Il termine “Privacy by Design” non significa altro che “protezione dei dati attraverso la progettazione tecnologica.” Alla base c’è il pensiero che la protezione dei dati nelle procedure di trattamento dei dati sia meglio rispettata quando è già integrata nella tecnologia al momento della sua creazione. Tuttavia, c’è ancora incertezza su cosa significhi “Privacy by Design” e su come si possa implementare. Questo è dovuto, da un lato, alla parziale attuazione della Direttiva in alcuni Stati membri e, dall’altro, al principio “Privacy by Design” che è presente nel Regolamento Generale sulla Protezione dei Dati, l’attuale approccio nelle linee guida sulla protezione dei dati, che richiede alle persone responsabili di includere già le definizioni dei mezzi per elaborare gli TOM nel momento in cui vengono definiti per soddisfare le basi e i requisiti di “Privacy by Design”. La legislazione lascia completamente aperto quali misure di protezione esatte devono essere adottate. Come esempio, basta solo citare la pseudonimizzazione. Nessun ulteriore dettaglio è fornito nel considerando 78 del regolamento. Almeno in altre parti della legge, viene nominata la crittografia, così come l’anonimizzazione dei dati come possibili misure di protezione. Inoltre, l’autenticazione dell’utente e l’implementazione tecnica del diritto di opposizione devono essere considerati. Inoltre, quando si scelgono le precauzioni, si possono utilizzare altri standard, come gli standard ISO. Nella scelta in casi individuali, si deve garantire che lo stato dell’arte così come i costi di implementazione ragionevoli siano inclusi.

Oltre ai criteri nominati, devono essere considerati il tipo, l’ambito, le circostanze e lo scopo del trattamento. Questo deve essere confrontato con le varie probabilità di occorrenza e la gravità dei rischi collegati al trattamento. Il testo della legge porta a concludere che spesso diverse misure protettive devono essere utilizzate insieme per soddisfare i requisiti di legge. Nella pratica, questa considerazione è già effettuata in una fase di sviluppo iniziale quando si prendono decisioni tecnologiche. La certificazione riconosciuta può servire come indicatore per le autorità che le persone responsabili hanno rispettato i requisiti di legge del “Privacy by Design”.