Harbor al Privacy Shield
2.7 Data protection by design and by default
I principi della “data protection by design and by default” sono stati co- dificati con l‟art. 25 del Regolamento (UE) 2016/679 rubricato “protezione
153
dei dati fin dalla progettazione e protezione per impostazione predefinita”56. Con la loro introduzione si rafforza la tutela dei diritti e delle libertà degli interessati in quanto, fin dal momento della progettazione, è necessario adot- tare adeguate misure tecniche e organizzative che garantiscano il rispetto della disciplina di protezione dei dati personali.
L‟art. 25 del Regolamento Privacy è espressione del principio di necessi- tà, già contenuto nell‟art. 3 del D.lgs. 196/03, da intendere nella sua duplice valenza di necessità di ricorrere all‟utilizzo del dato personale solo in casi estremi, da una parte, e necessità anche di strutturare i servizi che utilizzano nuove tecnologie in modo tale da garantire il rispetto della riservatezza degli utenti, dall‟altra.
Non si tratta, però, di concetti completamente nuovi, la “data protection
by design and by default” può essere, infatti, definita l‟evoluzione delle tra-
dizionali PET (Privacy Enhancing Technologies)57 al passo con l‟evoluzione
56 È nella versione ufficiale in lingua inglese dell‟art. 25 Regolamento (UE) 2016/679 che la già
nota “privacy by design and by default” è stata codificata come “data protection by design and
by default”.
57 Con “Privacy Enhancing Technologies” ci si riferisce all‟insieme di strumenti, non
particolarmente invasivi della sfera privata, attraverso cui modellare i sistemi informativi. I principi chiave su cui si basano le “Privacy Enhancing Technology” sono essenzialmente tre: a) minimizzazione di raccolta, di utilizzo, di divulgazione e di conservazione dei dati identificativi dei pazienti; b) partecipazione e coinvolgimento attivi degli utenti, assicurati, tra l‟altro, con l‟esercizio di poteri di controllo durante il ciclo di vita dei dati personali trattati; c) maggiore sicurezza delle informazioni sensibili, sia sotto il profilo del diritto alla riservatezza sia sotto il profilo dell‟integrità dei dati, ottenuta attraverso tecniche di anonimizzazione e di de- identificazione delle informazioni sensibili (contenute nello standard ISO/IEC 15408:1999, de- dicato alla definizione dei “Common Criteria” per la valutazione della sicurezza dei sistemi in- formativi, ). Per approfondimenti sulle “Privacy Enhancing Technologies” si vedano, tra gli al- tri: LONDON ECONOMICS, Study on the economic benefits of privacy‐enhancing technolo- gies (PETs). Final Report to The European Commission DG Justice, Freedom and Security,
London, 2010, pp. 238; D. MARTIN, A. SERJANTOV (edited by), Privacy Enhancing Tech-
nologies, Proceeding of 4° international workshop, PET 2004, Toronto, May 2004, Berlin,
2004; ORGANISATION FOR ECONOMIC CO-OPERATION AND DEVELOPMENT, DI- RECTORATE FOR SCIENCE, TECHNOLOGY AND INDUSTRY - COMMITTEE FOR IN- FORMATION, COMPUTER AND COMMUNICATIONS POLICY, Working Party on Infor-
mation Security and Privacy. Inventory of Privacy-Enhancing Technologies (PETs),
DSTI/ICCP/REG(2001)1/FINAL, 2002, pp. 29; J. BORKING, C. RAAB, Laws, PETs and Oth-
er Technologies for Privacy Protection, Refereed Article, 2001 (1), The Journal of Information,
154 della tecnologia e, in particolare, delle comunicazioni elettroniche. L‟espressione PET comparve, per la prima volta nel report dal titolo “Privacy-enhancing technologies: the path to anonymty” pubblicato nel 1995 dalla “Dutch Registratierkamer”58
in collaborazione con il “Informa-
tion and Privacy Commissioner of Ontario”59: uno studio volto a dedicato all‟uso della tecnologia come strumento per contenere gli abusi di dati per- sonali dei consumatori, attraverso limitazioni d‟uso e di trattamento60.
Information Security: Embedding Security Issues in the Design Process of Telematics Systems,
Technical Report 6, Telematica Instituut, Enschede, The Netherlands, 2000.
58
Autorità garante per la protezione dei dati personali olandese.
59 Organismo indipendente che, dal 1988, sostiene e promuove il tema della protezione dei dati
personali in Ontario (Canada).
60
Nel periodo successivo alla sua prima elaborazione, il concetto di Privacy-Enhancing Te-
chnology si è evoluto in quello di “PETs Plus”. In tal senso, Ann Cavoukian (“the Information
and Privacy Commissioner of Ontario”), ha individuato la novità principale legata allo sviluppo di sistemi ICT nella realizzazione di veri e propri modelli inclusivi, in cui tutela dei dati perso- nali del singolo utente ed interessi economici non siano antitetici (“positive-sum paradigm”:). Così la protezione degli utenti può addirittura migliorare la sicurezza dei mercati, con beneficio per tutti i soggetti coinvolti e non soltanto dei consumatori individualmente considerati. La Commissaria dell‟Ontario ha ritenuto essenziale valorizzare la funzione che le infrastrutture hanno nella tutela dei dati, anche, sensibili, di conseguenza ha ritenuto di importanza centrale la crescente implementazione di profili tecnici, che garantiscano l‟efficienza e l‟efficacia delle nuove tecnologie in termini di sicurezza e protezione dei dati personali. Su questi aspetti, si ve- dano, le seguenti fonti: CAVOUKIAN, A. Moving Forward From PETs to PETs Plus: The
Time for Change is Now, 2009, consultabile su http://www.privacybydesign.ca/index.php
/paper/moving-forward-frompets-to-pets-plus-the-time-for-change-is-now/; CAVOUKIAN, A.
Privacy by Design. The 7 Foundational Principles, Toronto, 2009, consultabile su http://www.
privacybydesign.ca/index.php/about-pbd/7-foundationalprinciples/; CAVOUKIAN, A. e EL EMAM, K., A Positive-Sum Paradigm in Action in the Health Sector, 2010, consultabile su http://www.ipc.on.ca/English/Resources/Discussion-Papers/DiscussioPapersSummary/?id=943; CAVOUKIAN, A., Moving Forward From PETs to PETs Plus: The Time for Change is Now,
2009, consultabile su http://www.privacybydesign.ca/index.php/paper/moving-forward-
frompets- to-pets-plus-the-time-for-change-is-now/; CAVOUKIAN, A., Privacy by Design …
Take the Challenge, 2009, consultabile su http://www.ipc.on.ca/english/Resources/Discussion-
Papers/Discussion-Papers-Summary/?id=856. CAVOUKIAN, A., Privacy by Design. The 7
Foundational Principles. Implementation and Mapping of Fair Information Practices, 2010,
consultabile su http://www.privacybydesign.ca/index.php/paper/implementation-andmapping- of-fair-information-practices/. CAVOUKIAN, A., Privacy by Design and the Promise of
SmartData, 2012, in HARVEY, I., CAVOUKIAN, A., TOMKO, G., BORRETT, D., KWAN,
H. E HATZINAKOS, D. (eds.), SmartData: Privacy Meets Evolutionary Robotics, New York, Springer; CAVOUKIAN, A., Privacy by Design : Leadership, Methods, and Results, 2013, in
155
Design e default, anche se strettamente connessi, hanno una valenza dif-
ferente: il primo è da intendere rivolto direttamente ai dati personali, o me- glio, al ciclo di vita degli stessi in connessione alla tecnologia, dal principio alla fine (progettazione, distribuzione, utilizzo e eliminazione finale); la “da-
ta protection by default”, invece, riguarda i servizi e i prodotti, che devono
essere impostati con tutela della vita privata e, quindi, devono rispettare i principi generali della protezione dei dati, come, ad esempio, la minimizza- zione e la limitazione delle finalità.
Considerando i tradizionali ambiti nei quali assume rilievo la “data pro-
tection by design e by default”, i tre principali sono:
1) la tecnologia dell‟informazione (IT systems);
2) le pratiche commerciali responsabili (accountable business practices); 3) la progettazione delle strutture (physical design and infrastructure). Con riferimento al primo dei tre ambiti considerati, va rilevato che la tecnologia è da inquadrare come ausilio per la riduzione dei rischi legati al trattamento dei dati personali e non come una minaccia per gli stessi.
Anche per le pratiche commerciali responsabili, la “data protection by
design e by default” non va interpretata come un onere, un costo che appe-
santisce l‟attività imprenditoriale ma, al contrario, come un vantaggio per una migliore competitività.
L‟effetto positivo, infine, deve contaminare anche la fase di progettazio- ne delle strutture, soprattutto in tutti i casi in cui i dati personali subiscono un‟esposizione in aree pubbliche progettate, senza una valutazione in termini di privacy: si pensi, ad esempio, alle sale d‟attesa degli ospedali o degli uffi- ci, ove si rischia l‟illecita divulgazione delle informazioni personali.
Con la codificazione di tali principi, viene espressamente imposto, al ti- tolare del trattamento, di mettere in atto adeguate misure e procedure tecni- che e organizzative (tenuto conto dell‟evoluzione tecnica e dei costi di attua- zione) in modo tale che il trattamento sia conforme al Regolamento e assicu- ri la tutela dei diritti dell‟interessato. In particolare, il titolare del trattamento (ferma la facoltà di scelta dell‟interessato relativamente al trattamento dei GUTWIRTH, S., LEENES, R., DE HERT, P. E POULLET, Y. (eds.), European Data Protec-
tion: Coming of Age, New York, Springer; CAVOUKIAN, A. E CHANLIAU, M., Privacy and Security by Design: A Convergence of Paradigms, 2013, consultabile in http://www.privacyby
156 dati personali) garantisce che siano trattati, di default, solo i dati personali necessari per ciascuna finalità specifica del trattamento e che, in particolare, la quantità dei dati raccolti e la durata della loro conservazione non vadano oltre il minimo necessario per le finalità perseguite. In tal modo si garantisce che i dati personali non siano resi accessibili a un numero indefinito di per- sone e che gli interessati siano in grado di controllarne la distribuzione. Un ruolo fondamentale, in tutto ciò, spetta ai produttori, i quali hanno l‟obbligo di attuare le misure e le procedure tecniche e operative adeguate per garanti- re che i loro servizi e prodotti consentano ai titolari del trattamento di con- formarsi ai principi quivi esposti.
A conclusione di questa breve panoramica, è utile richiamare la voce di chi ha correttamente osservato che progettare sistemi informativi in un‟ottica di “privacy by design” “significa, infatti, primariamente, permettere
all’utente, principale beneficiario delle misure considerate, di essere centro dei flussi di dati, appunto grazie alla definizione di strumenti privacy-
friendly”61 .
In ambito sanitario, di centrale interesse per il presente lavoro, l‟adozione di una politica “data protection by design and by default” rappre- senta la base per “il design di nuove infrastrutture per la gestione della salu-
te, consentendo di raggiungere un buon bilanciamento tra esigenze di cura individuale, tutela di diritti fondamentali del paziente e interessi di salute pubblica”62.
61
R. BRIGHI; M.G. VIRONE, Una tutela “by design” del diritto alla salute. Prospettive di
armonizzazione giuridica e tecnologica, in: A Matter of Design: Making Society trough Science and Technology, Milano, Open Access Digital Publication by STS Italia Publishing, 2014, p.
1218.
62 R. BRIGHI; M.G. VIRONE, cit.: le autrici, auspicando che “gruppi di esperti riflettano sulle
nuove fattispecie, nate dalla sempre più diffusa applicazione delle Tecnologie dell’Informazione e della Comunicazione anche al settore sanitario” compiono espresso riferi-
mento, tra le altre, alla possibilità di raccogliere e trattare i dati sanitari in infrastrutture e servizi di “cloud computing” o nei dispositivi “mobile”.
157