Il Regolamento europeo per la protezione dei dati personali (GDPR) impone al titolare del trattamento l'adozione di misure tecniche ed organizzative adeguate al fine di tutelare i dati da trattamenti illeciti. Per questo motivo nel regolamento si fa riferimento ai principi di privacy by design e privacy by default.
Questi principi promuovono un approccio concettuale innovativo che impone alle aziende l'obbligo di avviare un progetto prevedendo, fin da subito, gli strumenti e le corrette impostazioni a tutela dei dati personali. Scopriamoli nell’articolo.
Privacy by design definizione
Il principio di privacy by design è stato introdotto nel 2010 da Ann Cavoukian, Privacy Commissioner dell'Ontario (Canada).
L’utilizzo di questo principio all’interno del GDPR vuole fare riferimento alla necessità di considerare la privacy e la protezione dei dati personali in ogni processo e attività aziendale, sin dalla loro progettazione.
Ogni tipo di operazione che coinvolge il trattamento di dati personali deve essere progettata facendo riferimento alla tutela e alla protezione dei dati. Ciò richiede di tenere in considerazione aspetti come la natura del trattamento, l'ambito di applicazione, il contesto, le finalità, i mezzi utilizzati e tanto altro.
Alla base di questo concetto sono presenti i seguenti principi:
- Prevenire e non correggere: i problemi vanno valutati nella fase di progettazione, e l'applicativo deve prevenire il verificarsi dei rischi;
- Privacy come impostazione di default: ad esempio, non deve essere obbligatorio compilare un campo di un form il cui conferimento di dati è facoltativo;
- Privacy incorporata nel progetto: ad esempio, l'utilizzo di tecniche di pseudonimizzazione o minimizzazione dei dati;
- Massima funzionalità, in modo da rispettare tutte le esigenze;
- Sicurezza durante tutto il ciclo del prodotto o servizio;
- Visibilità e trasparenza del trattamento: tutte le fasi operative devono essere trasparenti in modo che sia verificabile la tutela dei dati;
- Centralità dell'utente: tutela effettiva da un punto sostanziale, non solo formale. Non è sufficiente che la progettazione dei sistemi sia conforme alla norma se poi l'utente non è tutelato.
Privacy by default cosa significa
Il principio di privacy by default è più semplice da spiegare.
Questo concetto stabilisce che la privacy debba essere protetta e garantita in tutti i processi per impostazione predefinita (di Default), senza che l’interessato debba esercitare azioni correttive specifiche.
Ad esempio, il principio prevede che, per impostazione predefinita, le imprese dovrebbero trattare solo i dati personali nella misura necessaria e sufficiente per le finalità previste e per il periodo strettamente necessario a tali fini.
Occorre, quindi, progettare il sistema di trattamento di dati garantendo la non eccessività dei dati raccolti, in modo che l'interessato riceva un alto livello di protezione anche se non si attiva per limitare la raccolta dei dati.
Differenze tra privacy by design e privacy by default
Questi principi sono piuttosto complessi e molto integrati tra loro. Per comprendere al meglio il loro significato cerchiamo di sottolinearne le differenze.
Da un lato, la Privacy by Design stabilisce che la protezione dei dati debba avvenire fin dalla progettazione di un prodotto/servizio/processo conformemente alle tutele imposte dal GDPR.
Dall’altro, la Privacy by Default allude invece alla necessità di tutelare la vita privata dei cittadini “di Default”, ovvero come impostazione predefinita.
Valutazione del rischio
L'introduzione di tali principi obbliga le imprese a predisporre una valutazione di impatto privacy ogni volta che il trattamento di dati dovrebbe comportare rischi per le persone.
Il GDPR ha previsto la nomina di una figura aziendale il cui compito è proprio di verificare la corretta applicazione dei principi per la privacy. Per maggiori informazioni su questa figura ti invitiamo a leggere il nostro articolo “DPO la nuova figura garante della privacy”.
Una delle distinzioni concettuali più comuni in materia di protezione dei dati personali è sicuramente quella di privacy by design e by default, tra le novità principali introdotte dal Regolamento europeo per la protezione dei dati personali.
Dicotomia concettuale piuttosto importante per comprendere la privacy, attraverso due sfere che servono a spiegare chiaramente in che modo e in che misura le aziende e le organizzazioni sono incoraggiate ad attuare misure tecniche e organizzative per salvaguardare il trattamento dei dati dell’utente. Vediamo insieme il significato e la definizione per spiegare questi concetti, e quali sono le differenze che intercorrono tra essi.
Veniamo subito alla distinzione dicotomica tra privacy by design e by default. Come abbiamo già accennato in precedenza, si tratta di una separazione del tutto concettuale, che tuttavia riflette due facce della stessa medaglia. Si tratta, infatti, di due principi che, seppur per certi versi opposti, convivono continuamente, contribuendo allo stesso fine.
Cosa sono privacy by design e by default: definizione e traduzione
Possiamo desumere facilmente una definizione di privacy by design adottando una traduzione italiana di ‘protezione dei dati fin dalla progettazione’, laddove con questa espressione indichiamo il fatto che qualsiasi azione intrapresa da un'azienda che coinvolga il trattamento dei dati personali deve essere eseguita tenendo presente la protezione dei dati e la privacy in ogni sua fase.
Dunque, per il principio di privacy by design, tutte le attività progettate e realizzate dall’impresa devono tenere conto della protezione dei dati personali dei soggetti coinvolti. È proprio la parola ‘design’ a essere particolarmente significativa, indicando appunto la progettazione, in questo caso di ogni azione aziendale.
Per quanto riguarda la privacy by default, possiamo rendere questa espressione con l’italiano ‘protezione dei dati per impostazione predefinita’. La privacy by default significa che una volta che un prodotto o servizio è stato rilasciato al pubblico, le impostazioni di privacy più rigorose dovrebbero essere applicate per impostazione predefinita.
Il concetto alla base di questo principio stabilisce che una piattaforma di social media, un portale di informazione, un sito di notizie, dovrebbero impostare in modo predefinito le più stringenti impostazioni per quanto riguarda la protezione dei dati personali.
Differenze tra privacy by design e by default: ecco quali sono
Sebbene la separazione tra questi due principi sia esistente, agli occhi dei meno esperti in materia di protezione dei dati personali, questa potrebbe essere non immediatamente evidente. Sostanzialmente, le differenze tra privacy by design e by default risiedono tutte nelle definizioni che abbiamo già enunciato in precedenza.
La privacy by design è un concetto che va ad agire direttamente sulla ‘fabbricazione’ di un prodotto, sulla progettazione di un’attività. Dunque, possiamo collocare idealmente questo principio in una fase del tutto preliminare alla vera e propria realizzazione del prodotto o del servizio.
Pur essendo in qualche modo molto simile alla prima, la privacy by default esprime un concetto diverso, che piuttosto sembra essere una sorta di raccomandazione di carattere generale a considerare come predefinita la più stringente protezione dei dati personali, per non correre il rischio di adottare politiche ‘morbide’, considerate poco efficaci in una materia come quella della privacy.
Ultimi Articoli dell'Autore