Dal momento dell’entrata in vigore del Regolamento Generale sulla Protezione dei Dati (Reg. UE 2016/679 ou GDPR) nel maggio 2018 – le cui linee guida sono state presentate in un altro articolo di questo blog –, i principi di privacy by design e privacy by default si sono imposti come pilastri essenziali della protezione dei dati personali.
Inscritti nell’articolo 25 del GDPR, questi concetti traducono l’esigenza di un approccio proattivo e responsabile nella gestione dei dati. Questo articolo esplora questi due principi, le loro applicazioni concrete e le sanzioni applicabili in caso di violazione delle disposizioni previste dal GDPR.
Privacy by Design: Integrare la protezione fin dalla concezione delle attività di trattamento
Il principio di privacy by design impone ai responsabili del trattamento di integrare le esigenze di protezione dei dati fin dalla fase di progettazione di ogni nuova attività di trattamento.
Radicalmente ancorato nell’articolo 25 e collegato al considerando 78 del GDPR, questo principio deriva direttamente dal concetto di responsabilità (accountability) definito all’articolo 24, che richiede ai responsabili del trattamento di dimostrare la loro conformità in ogni fase del trattamento, inclusa la progettazione di nuovi sistemi o servizi.
In concreto, privacy by design significa che la protezione dei dati deve essere una componente centrale del processo di compliance by privacy, e non una riflessione tardiva. Per essere considerato pienamente responsabile (accountable) nello sviluppo di nuovi prodotti o servizi, il responsabile del trattamento deve adottare misure tecniche e organizzative adeguate per garantire che solo i dati strettamente necessari alla realizzazione delle finalità specifiche del trattamento siano raccolti e trattati.
L’articolo 25 del GDPR menziona esplicitamente alcune misure, tra cui:
- La pseudonimizzazione o l’anonimizzazione dei dati per minimizzare i rischi di identificazione delle persone.
- La restrizione degli accessi ai dati, seguendo il principio di separazione dei compiti (segregation of duty).
- L’implementazione di sistemi sicuri per prevenire violazioni dei dati.
Ad esempio, un’azienda che sviluppa un’applicazione mobile deve, fin dalla fase di sviluppo, analizzare i tipi di dati raccolti, limitarne la portata allo stretto necessario e integrare meccanismi di sicurezza robusti, come la crittografia dei dati sensibili. Inoltre, potrebbe considerare l’utilizzo di tecnologie all’avanguardia, come algoritmi di trattamento che minimizzano l’esposizione dei dati personali, per rafforzare la conformità.
Il GDPR non stabilisce misure specifiche da adottare, ma richiede che quelle scelte dal responsabile del trattamento siano proporzionate alle esigenze dell’organizzazione, ai rischi sostenuti e ai progressi tecnologici disponibili. Queste misure devono proteggere efficacemente i diritti e le libertà delle persone interessate.
Privacy by Default: Limitare il trattamento ai dati strettamente necessari per impostazione predefinita
Strettamente legato al principio di privacy by design, il principio di privacy by default garantisce che, per impostazione predefinita, un trattamento di dati raccolga e utilizzi solo i dati strettamente necessari alla finalità definita.
Questo principio si basa su alcuni concetti chiave del GDPR, come la minimizzazione dei dati, la limitazione della conservazione, la liceità e la lealtà. Impone inoltre di restringere l’accesso ai dati a un numero limitato di persone autorizzate e di limitare la durata di conservazione al minimo richiesto.
Un caso di scuola classico è quello dei banner di cookie sui siti web. Troppo spesso, questi banner presentano caselle pre-selezionate per cookie di marketing o di profilazione, obbligando l’utente a disattivare manualmente queste opzioni (opt-out).
Secondo le linee guida delle autorità di protezione dei dati, come la CNIL in Francia e l’Autorità Garante in Italia, questa pratica contravviene al principio di privacy by default. In conformità all’articolo 7 del GDPR, il consenso deve essere libero, specifico e risultare da un’azione positiva esplicita.
Un banner di cookie conforme proporrebbe, per impostazione predefinita, solo i cookie strettamente necessari al funzionamento del sito, lasciando all’utente la scelta di attivare altre categorie.
Misure tecniche e organizzative adeguate
Il principio di responsabilità (accountability) impone ai responsabili del trattamento di definire e implementare misure tecniche e organizzative appropriate per rispettare i principi di privacy by design (protezione dei dati fin dalla progettazione) e di privacy by default (protezione dei dati per impostazione predefinita).
L’articolo 25 del GDPR non propone una soluzione universale, ma richiede una valutazione caso per caso, in funzione delle specificità del trattamento, della valutazione dei rischi e della natura dei dati. Questo approccio su misura garantisce che le misure scelte siano proporzionate ed efficaci per assicurare una conformità rigorosa.
Il GDPR stabilisce quindi criteri precisi che il responsabile del trattamento deve prendere in considerazione per definire le misure più appropriate, sia durante la progettazione dei processi sia nella configurazione predefinita dei trattamenti. Secondo il GDPR, il responsabile del trattamento deve considerare:
- Lo stato dell’arte e i costi di implementazione: i progressi tecnologici devono essere sfruttati per adottare soluzioni performanti, pur rimanendo economicamente realizzabili.
- La natura, la portata, il contesto e le finalità del trattamento: ogni trattamento deve essere analizzato in funzione delle sue specificità, degli obiettivi perseguiti e dei tipi di dati trattati.
- I rischi per i diritti e le libertà delle persone: un’analisi d’impatto relativa alla protezione dei dati (AIPD, articolo 35) può risultare necessaria per identificare le misure adeguate rispetto ai rischi potenziali.
L’applicazione dei principi di privacy by design e privacy by default impone quindi ai responsabili del trattamento di adottare misure volte a garantire una conformità effettiva alle esigenze del GDPR e a assicurare i risultati attesi per ogni tipo di trattamento.
In conclusione, i principi di privacy by design e privacy by default sono complementari e si inseriscono nel quadro del principio generale di responsabilità (accountability). Si rafforzano a vicenda per definire un insieme di misure coerenti che consentono di rispondere alle esigenze del RGPD, proteggendo al contempo i diritti delle persone interessate.
Sanzioni previste dal GDPR
I principi di privacy by design e privacy by default costituiscono un obbligo per tutti i responsabili del trattamento, indipendentemente dalla dimensione e dalla complessità del trattamento, e devono essere rispettati dalla progettazione all’implementazione effettiva delle misure di protezione dei dati personali.
La mancata osservanza dei principi di privacy by design e privacy by default è severamente sanzionata dall’articolo 83, paragrafo 4, del GDPR, con ammende che possono raggiungere i 10 milioni di euro o il 2% del fatturato annuo mondiale.
Queste sanzioni sottolineano l’importanza di questi principi per garantire una protezione effettiva dei dati personali e rafforzare la fiducia degli utenti e dei consumatori.
Conclusione
I principi di privacy by design e privacy by default mirano a rafforzare la conformità dei responsabili del trattamento dei dati personali, proteggendo al contempo i diritti e le libertà delle persone interessate.
La loro implementazione, guidata dal principio di responsabilità (accountability), richiede una valutazione rigorosa e su misura delle misure tecniche e organizzative adeguate. Di fronte alle significative sanzioni previste dal GDPR, il loro rispetto si impone come una priorità strategica per qualsiasi organizzazione, contribuendo così a costruire una fiducia duratura con gli utenti e a promuovere una gestione etica dei dati personali.
gp@giovannellapolidoro.com