Nel Regolamento UE 2016/69, uno dei principi più importanti è quello della privacy by design e della privacy by default. Ma cosa si intende con i due termini?

Privacy by design.

Ai sensi dell’articolo 25, paragrafo 1, del GDPR, per privacy by design si intende l’obbligo per il titolare di mettere in atto “misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati”.

Il Considerando 78 del Regolamento europeo, esplica con maggiore chiarezza il disposto dell’art. 25: la tutela dei diritti e delle libertà delle persone fisiche relativamente al trattamento dei dati personali richiede l’adozione di misure tecniche e organizzative adeguate a garantire il rispetto delle disposizioni del presente regolamento. Al fine di poter dimostrare la conformità con il presente regolamento, il titolare del trattamento dovrebbe adottare politiche interne e attuare misure che soddisfino in particolare i principi della protezione dei dati fin dalla progettazione e della protezione dei dati per impostazione predefinita. Tali misure potrebbero consistere, tra l’altro:

- nel ridurre al minimo il trattamento dei dati personali,

- pseudonimizzare i dati personali il più presto possibile,

- offrire trasparenza per quanto riguarda le funzioni e il trattamento di dati personali,

- consentire all’interessato di controllare il trattamento dei dati

- e consentire al titolare del trattamento di creare e migliorare caratteristiche di sicurezza.

In fase di sviluppo, progettazione, selezione e utilizzo di applicazioni, servizi e prodotti basati sul trattamento di dati personali o che trattano dati personali per svolgere le loro funzioni, i produttori dei prodotti, dei servizi e delle applicazioni dovrebbero essere incoraggiati a tenere conto del diritto alla protezione dei dati allorché sviluppano e progettano tali prodotti, servizi e applicazioni e, tenuto debito conto dello stato dell’arte, a far sì che i titolari del trattamento e i responsabili del trattamento possano adempiere ai loro obblighi di protezione dei dati.

I principi della protezione dei dati fin dalla progettazione e della protezione dei dati per impostazione predefinita dovrebbero essere presi in considerazione anche nell’ambito degli appalti pubblici”.

Con riferimento agli Enti Locali e in genere agli Enti Pubblici, il principio di privacy by design (o meglio di protezione dei dati fin dalla progettazione) comporta che le Amministrazioni, quando avviano la progettazione di un nuovo servizio o quando intendano affidare in appalto un servizio o anche procedere all’appalto di forniture di un prodotto informatico, devono richiedere e verificare che quel servizio e/o quel prodotto sia stato progettato e venga eseguito nel rispetto dei dati personali che vengono trattati.

Tale verifica comporta che siano chiari, all’ente stesso, quanti dati di persone fisiche e di quale categoria verranno trattati per la gestione del servizio stesso e quali misure vengono adottate per la tutela del dato dal fornitore.

Tale verifica andrebbe condotta già in fase di gara, richiedendo, ad es. una relazione in cui il concorrente esplichi:

• se l’accesso al programma o alla piattaforma è protetto da credenziali di accesso
• i dati vengono trattati in modo anonimizzato o criptato
• se vengono previsti back-up e con quale frequenza e con quale modalità
• dove vengono conservati i dati, se su server fisici o in cloud

La verifica preliminare della sicurezza nel trattamento dei dati da parte degli operatori economici selezionati è determinante a maggior ragione laddove il fornitore diviene poi anche Responsabile del trattamento dei dati ai sensi dell’art. 28 del Regolamento.

Basti pensare che lo stesso art. 28 dispone che il Titolare “ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato”.

L’applicazione dell’art. 28 del REG. UE 2016/679 comporta, quindi, che già in sede di gara o prima della stipula del contratto di appalto o concessione, l’Ente titolare del trattamento abbia verificato che l’operatore economico adotti misure di sicurezza che tutelino i dati personali trattati per conto del Titolare.

Tale aspetto viene invece talvolta tralasciato, dando per scontato che sia compito del Responsabile realizzare le misure senza alcun onere di controllo da parte del Titolare.

Ma il principio di privacy by design comporta altresì che l’Ente non si limiti a verificare le misure di sicurezza adottate dall’operatore economico ma che lo stesso Ente, nel progettare il servizio pubblico che deve adottare, tenga conto delle esigenze di tutela dei dati personali.

Pertanto, nel progettare e prima dell’avvio del servizio deve essere definita:

• la minimizzazione dei dati: il servizio deve essere gestito raccogliendo solo i dati strettamente necessari per il servizio offerto e non dati eccedenti, a meno che in tal caso si richieda il consenso espresso al destinatario del servizio.
• Limitazione dello scopo: utilizzare i dati raccolti solo per gli scopi dichiarati e non per altri fini. Se i dati (per esempio elenco di nominativi o anche indirizzi mail) sono raccolti da un Servizio (ad es. Servizio Sociali) non possono poi essere utilizzati da altri Uffici per scopi diversi (ad es. dall’Ufficio Tributi).
• Sicurezza integrata: se l’appaltatore fornisce un servizio che comprende anche un prodotto informatico, applicare le misure di sicurezza di cui è dotato e prevederlo, ad es. con una formazione specifica degli operatori dell’ente, già in fase di progettazione del servizio.
• Trasparenza: il titolare deve predisporre le informative chiari su come vengono raccolti, utilizzati e protetti i dati. Predisporre in via preventiva l’informativa è necessario per assicurarsi che, nella progettazione si siano intesi tutti le modalità di trattamento dei dati, i destinatari di comunicazione di tali dati, le categorie dei dati trattati e degli interessati, i tempi di conservazione dei dati,

Privacy by default.

L’articolo 25, paragrafo 2, del GDPR, prevede che “Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l’intervento della persona fisica”.

In altri termini, per impostazione predefinita, devono essere trattati esclusivamente i dati personali necessari per la specifica finalità del trattamento e per il periodo strettamente necessario, garantendo inoltre la non eccessività di tutti i dati raccolti.

Il principio di privacy by default, quindi, prevede un’impostazione predefinita del trattamento dei dati: cioè automatismi, procedure che appunto, di default, riducono le possibilità di data breach e conseguenti rischi per l’interessato. In tal senso diventa importante l’adozione di un Regolamento sul trattamento dei dati e, soprattutto, la formazione specifica di tutto il personale che tratti i dati e che venga designato o incaricato dal Titolare del trattamento.

Le procedure e il regolamento così come le indicazioni contenute negli atti di nomina non devono restare solo indicazioni formali ma, attraverso la formazione specifica, devono diventare azione concreta a tutela dei dati personali che si vengono a trattare.

Il trattamento deve avvenire solamente nella misura necessaria e sufficiente alle finalità previste e nel tempo minimo utile ai fini del trattamento. I dati personali in eccesso non devono essere raccolti. Un esempio può essere riscontrato nella compilazione di un modulo: non si deve rendere obbligatorio l’inserimento di dati personali che in realtà sono facoltativi e quindi non strettamente necessari alle finalità previste dal trattamento.