Il diritto alla portabilità dei dati (art. 20 RGPD): infografica del Garante e linee guida

0001

Linee-guida sul diritto alla “portabilità dei dati” – WP242
adottate dal Gruppo di lavoro Art. 29 il 13 dicembre 2016

english version

Le risposte alle domande più frequenti – FAQ
Allegato alle Linee-guida sul diritto alla “portabilità dei dati” – WP242

english version

Accountability needs technology!

shutterstock_363192542-700x467

From the very beginning, data protection has been about the processing of personal data by means of technology. When the first data protection laws were adopted in the 1970s, computers were just starting to become standard tools in business and public administration. The Internet had just been invented and was only accessible to a few researchers and computer specialists. But still, the founders of data protection saw the big possibilities and the dangers of uncontrolled collection, analysis and evaluation of personal data with the help of the still emerging technologies and they managed to convince legislators to enact a set of controls and safeguards to protect fundamental rights.
Over the last 40 years, the technological tools for data processing have grown in capabilities and availability, the amounts of data processed have increased by astronomical orders of magnitude. Data protection authorities have long realized that technology can not only be the tool for processing but that it must also contribute to implementing the safeguards and the principles of data protection. The EDPS strategy 2015-2019 demands that “Data protection goes digital”.  

With the recent adoption of the new General Data Protection Regulation of the EU, a new chapter has been opened for data protection. One of the most important developments is that now the principle of accountability becomes a key concept in data protection.

Accountability means that those processing personal data:

  • have to take full responsibility for their actions and
  • must be able to demonstrate that they did all what is necessary in order to comply with their data protection obligations.

At the same time, the GDPR also introduces the principle of data protection by design and by default. This principle obliges the controller to take technical and organisational measures in order to implement data protection principles, such as data minimisation and purpose limitation, and the necessary safeguards. Choosing and using technology in this way will become a means to enable accountability and to demonstrate compliance and commitment to protecting fundamental rights.

How can we ensure that appropriate technologies will be available?

The GDPR establishes the “state of the art” as one of the criteria for the appropriate technological measures. This means that the most privacy-friendly solutions available contribute to setting the threshold for what can be accepted as appropriate solution.

If a good solution for a common data protection issue has been found and implemented in practice, there is no good excuse anymore for applying a less data protection compliant solution. This evolution of the state of the art can drive a dynamic process of continuous improvement of privacy-friendly technologies: the more and better data protection by design is implemented, the more it will become the baseline for all controllers to achieve in their implementations.

There are many technology developers who want to contribute to raising this bar.

Research in PETs (privacy enhancing technologies) has been a subject of growing interest in academia and industry for several years now, and a number of publications and conferences have been established and attract a growing number of contributors.

This week, the Annual Privacy Forum organised by ENISA has been a showcase for the state of the art in privacy enhancing technologies, and also an opportunity for discussing the factors that can accelerate or impede their further deployment and adoption in real life data processing. The developers presented tools to give more control to users about their data being processed, better information and transparency about the processing, improving the security of personal data and models to make PETs more accessible to developers. I participated in a panel on this project. One of the questions discussed was who could be the best keeper of a repository of information about the maturity of PETSs. There are many legal questions to be solved, possibly the future EDPB may be best placed to look at this issue.

The following day is reserved for a workshop of the Internet Privacy Engineering Network IPEN which the EDPS and colleagues from other data protection authorities, industry, academia and civil society created two years ago. IPEN was a welcome response to the need felt by many developers and designers of Internet technologies and services to find a response by the widespread surveillance revealed by Edward Snowden in 2013. Also some of those who are designing the technologies of the Internet, in the IETF and other organisations decided to join the exchange about more privacy friendly tools, building blocks and protocols.

With the GDPR, the environment has changed considerably.

When Data Protection Authorities will assess data processing operations in the future, they will look at the implementation of the solution, including all technical and organisational measures, in addition to legal and administrative tools, and transparency of personal data processing.

At the IPEN workshop, the discussion between stakeholders will focus on the question, how the new GDPR obligations which apply directly only to controllers can contribute to improving the state of the art in privacy engineering in such a way that also manufacturers and suppliers of tools, products and services will step by step upgrade the privacy feature of their offerings.

This is clearly an ambitious objective, but one that needs to be pursued in order to deliver better data protection and privacy to EU citizens, and that can have a global impact if we are successful.

25 maggio 2018: save the date

image_galleryPubblicato sulla Gazzetta Ufficiale Ue il nuovo Pacchetto protezione dati

Sono stati pubblicati oggi, mercoledì 4 maggio 2016, sulla Gazzetta Ufficiale dell’Unione Europea (GUUE) i testi del Regolamento europeo in materia di protezione dei dati personali e della Direttiva che regola i trattamenti di dati personali nei settori di prevenzione, contrasto e repressione dei crimini.

Si tratta del passaggio finale per l’entrata in vigore del nuovo “Pacchetto protezione dati”, l’insieme normativo che definisce un quadro comune in materia di tutela dei dati personali per tutti gli Stati membri dell’UE.

Il Regolamento sarà vigente 20 giorni dopo la pubblicazione in GUUE, per diventare definitivamente applicabile in via diretta in tutti i Paesi UE a partire dal 25 maggio 2018, quando dovrà essere garantito il perfetto allineamento fra la normativa nazionale e le disposizioni del Regolamento.

La Direttiva, invece, sarà vigente da domani, 5 maggio, e da qual momento impegnerà gli Stati membri a recepire le sue disposizioni nel diritto nazionale entro 2 anni.

Data Protection, cosa cambia con il Regolamento Europeo

how-comply-gdprFonte: PuntoInformatico

Di Avv. V. Frediani

La direttiva del 1995 non è più sufficiente a garantire diritti e stabilire doveri, in un presente in cui i dati personali sono sempre più preziosi ed ambiti

Via alle nuove regole sulla protezione dei dati: con il voto  del Parlamento Europeo dello scorso giovedì si inaugura una nuova era per la privacy, tagliando un ambizioso traguardo dopo quattro anni di lavoro tra gli Stati membri e tracciando un importante punto di partenza per un nuovo concetto di governance dei dati, dove la trasparenza e la tutela delle informazioni rappresentano i perni centrali.
Una manovra economica, oltre che una svolta legislativa, tesa a porre fine all’obsoleto mosaico di norme nazionali, incapaci di creare un comune fronte d’azione e un quadro di riferimento omogeneo.

Del resto era chiaro come il trattamento dei dati fosse diventato un tema troppo caldo per essere gestito dall’attuale Direttiva privacy, datata 1995, quando Internet era solo agli esordi. Le continue pressioni dei colossi industriali per ottenere informazioni sui consumatori e le esigenze di sicurezza di raccogliere quanti più dati possibili su eventuali sospetti di reati transnazionali o di terrorismo, scandite da accesi dibattiti e feroci battaglie politiche tra industria e Autorità Garanti, hanno reso più che mai necessario nel tempo un regolamento generale a misura di Società “digitale”, dove tutto viaggia su smartphone, social media e trasferimenti di dati da un capo del mondo all’altro.

Ma cosa comprende nello specifico il pacchetto di protezione dati?

  • Diritto all’oblio,
  • condizioni per un “consenso chiaro” per il trattamento dei dati privati dell’interessato,
  • diritto di trasmettere i propri dati a un altro titolare del trattamento oltre che
  • trasparenza in materia di data breach ovvero il diritto di essere informati di eventuali violazioni dei propri dati personali.

Un tema di particolare interesse, quest’ultimo, che dovrà costituire argomento di adeguata analisi da parte delle aziende, le quali dovranno essere in grado di monitorare gli eventi relativi alla violazione dei dati e notificare all’Autorità competente, entro 72 ore decorrenti dalla conoscibilità dell’evento, i dettagli del medesimo. Con il possibile obbligo a notificare anche agli interessati eventuali violazioni subite.

Si tratta di un aspetto sintomatico del principio di trasparenza nel trattamento dei dati che questo Regolamento evidenzia in vari punti. Molti diritti, quindi, per gli interessati, che per le aziende si traducono in obblighi ed evidentemente in costi. Ma non solo.

Con riferimento alle figure del titolare e responsabile, viene specificato che “tenuto conto della natura, del campo di applicazione, del contesto e delle finalità del trattamento nonché dei rischi di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il controller/processor del trattamento mette in atto misure tecniche ed organizzative adeguate per garantire ed essere in grado di dimostrare, che il trattamento dei dati è conforme al regolamento. Tali misure sono riesaminate ed aggiornate qualora necessario. Esse includono politiche adeguate in materia di protezione dei dati”. Quindi ampia discrezionalità circa la tipologia, ma, al tempo stesso, con l’onere di dimostrare il processo logico che ha portato ad adottarle, con tanto di politiche annesse.

Saranno obbligatori i cosiddetti privacy impact assessment (PIA) ovverosia una procedura interna che sintetizza in un documento i rischi sussistenti e le modalità per contenerli, sia dal punto di vista tecnico che di acquisizione dei dati in caso di conservazione o cancellazione. Sarà importante non solo la creazione del primo PIA, ma anche le successive modifiche che il trattamento potrà subire e che coinvolgeranno anche l’aspetto documentale.

Sul fronte della sicurezza occorre citare diversi concetti ricorrenti nel testo del Regolamento:

  • la puntualizzazione di cosa si intenda per pseudonimizzazione,
  • nonché cosa si intenda per minimizzazione (tecniche da applicarsi ai dati) piuttosto che
  • il rimarcato concetto di data retention, ancora non abbastanza conosciuto dalle aziende italiane, ovvero l’obbligo di dotarsi di un piano di conservazione temporale dei dati con la possibilità di pianificare la cancellazione per trattamenti o database.

Sul fronte dei rapporti cliente-fornitore cambiano vari aspetti.

Innanzitutto si evidenzia nel Regolamento la necessità che in caso di sviluppo prodotto o servizi, siano ben chiare le responsabilità relative alla gestione dei dati piuttosto che alle soluzioni di privacy by design e by default.
Come ci indica il legislatore europeo, tenendo conto “della tecnologia disponibile, dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche della probabilità e della gravità del rischio per i diritti e le libertà delle persone fisiche costituite dal trattamento, i Controllers del trattamento, sin dal momento della progettazione degli strumenti che trattano dati personali, nonché durante il trattamento stesso, mettono in atto misure organizzative e tecniche appropriate, come la pseudonimizzazione dei dati, che mirano ad attuare i principi di protezione dei dati, come la minimizzazione, in modo che il trattamento soddisfi i requisiti del regolamento e tuteli i diritti degli interessati”.

Secondariamente il ruolo del Fornitore dovrà essere proattivo in caso di implementazioni che impattino lato privacy piuttosto che partecipativo in caso di PIA. Il tutto ovviamente dovrà essere gestito attraverso una contrattualistica preventiva, a livello almeno di data processing agreement.

Ricordiamo infine il concetto di accountability richiamato dal legislatore rispetto all’attuazione del Regolamento nelle aziende: sarà onere del controller dimostrare di aver correttamente rispettato quanto sancito dal Regolamento anche attraverso un vero e proprio modello organizzativo integrato rispetto ai vari processi aziendali affinché la privacy divenga materia propedeutica alle attività.

L’allineamento delle imprese rispetto al nuovo assetto che, ricordiamo, entrerà in vigore dopo la pubblicazione sulla Gazzetta Ufficiale dell’UE e prevede due anni per l’adeguamento prima che le disposizioni siano applicabili in tutti gli Stati Membri, comporterà necessariamente una metamorfosi nel modus operandi, o perlomeno nella mentalità degli addetti ai lavori rispetto alla governance delle informazioni.

La svolta legislativa non deve di fatto rappresentare solo una disposizione alla quale conformarsi, ma deve essere colta come un’opportunità, una occasione di ripensamento dei processi interni nell’ottica di una razionalizzazione dei flussi informativi dell’azienda: interni, rispetto ai dipendenti, ed esterni rispetto ai fornitori.

Una presa di coscienza fondamentale, soprattutto a fronte degli aspetti sanzionatori previsti in caso di violazione delle disposizioni:

  • fino a 20 milioni di euro o, per le imprese,
  • fino al 4 per cento del fatturato mondiale totale annuo.

Privacy by Design: l’approccio corretto alla protezione dei dati personali

Il tema della privacy riguarda il diritto degli individui alla protezione dei propri dati personali. L’evoluzione tecnologica ha inciso ovviamente anche sulla privacy poiché è necessario prevenire i rischi e comunque garantire la protezione dei dati personali.

I dati relativi alla rete internet e al numero di utenti ad essa connessi sono sufficientemente eloquenti e attestano come siano mutate in modo radicale nel corso degli anni sia le attività lavorative sia le abitudini di vita delle persone.

Questo complesso scenario ha determinato la necessità di una evoluzione anche per la privacy. Infatti, già a metà degli anni ’90, il contesto internazionale ha evidenziato il cambiamento apportato alla privacy proponendo le c.d. PET (acronimo di Privacy Enhancing Technologies), ossia tutte quelle tecnologie in ambito ICT che sono utili ad accrescere la protezione dei dati personali.

Del resto, un riferimento a questo importante concetto delle PET è contenuto nell’art. 3 del codice della privacy, rubricato “Principio di necessità nel trattamento dei dati”, che recita

“I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità”. Successivamente alle PET si è giunti alla Privacy by Design.

Question-Mark-Man

Ma che cos’è la Privacy by Design (PbD) e cosa rappresenta?

La Privacy by Design è un ulteriore tassello nella evoluzione dei principi relativi alla protezione dei dati personali e rappresenta il futuro della privacy. Si tratta di un innovativo approccio concettuale che va utilizzato in ogni occasione e contesto in cui sia necessario garantire la protezione dei dati personali; è il sistema attuale per affrontare la privacy mediante il quale si devono sdoganare criteri ed approcci meno recenti.

In sostanza la Privacy by Design rappresenta il futuro della privacy.

Nel 2010 la 32ma Conferenza mondiale dei Garanti privacy ha adottato la risoluzione sulla Privacy by Design (PbD) rendendo in tal modo ufficiale questo nuovo concetto che era comunque già noto ed utilizzato negli Stati Uniti e in Canada. Con la PbD si è inteso istituzionalizzare il cambiamento e l’evoluzione della privacy che, pertanto, richiede un nuovo approccio per garantire una migliore protezione dei dati personali.

Successivamente, il concetto di Privacy by Design – sebbene con una qualificazione diversa (privacy by design and by default) – è stato introdotto nella proposta di riforma europea della normativa in materia di dati personali che attualmente attende l’approvazione definitiva. Infatti, il 25 gennaio 2012 la Commissione europea ha proposto il nuovo quadro giuridico europeo in materia di protezione dei dati e la proposta di Regolamento introduce (articolo 23) l’espressione “data protection by design and by default”. Secondo il testo di questo articolo è chiaro che la Commissione europea esamini i termini “by design” e “by default” come concetti diversi, anche se utilizzati congiuntamente come unica espressione.

Nel contesto internazionale, però, è presente unicamente la descrizione ben strutturata della Privacy by Design, frutto della elaborazione della Dott.ssa Ann Cavoukian (che, quale Information and Privacy Commissioner of Ontario, Canada, fu tra i promotori della risoluzione adottata nel 2010).

Secondo questa impostazione, l’utente è considerato il centro del sistema privacy(per definizione, quindi, è “user centric”). Qualsiasi progetto (sia strutturale sia concettuale) va realizzato considerando dalla progettazione (appunto by design) la riservatezza e la protezione dei dati personali.

La PbD comprende una trilogia di applicazioni:

  1. sistemi IT
  2. pratiche commerciali corrette
  3. progettazione strutturale e infrastrutture di rete

e vengono individuati 7 principi definiti fondazionali che esprimono pienamente l’intero senso di questa prospettiva:

  1. Proattivo non reattivo – prevenire non correggere
  2. Privacy come impostazione di default
  3. Privacy incorporata nella progettazione
  4. Massima funzionalità − Valore positivo, non valore zero
  5. Sicurezza fino alla fine − Piena protezione del ciclo vitale
  6. Visibilità e trasparenza − Mantenere la trasparenza
  7. Rispetto per la privacy dell’utente − Centralità dell’utente.

Si tratta, indubbiamente, di un approccio metodologico ben strutturato che garantisce una neutra e solida funzionalità operativa indipendente da specifiche soluzioni tecnologiche. Del resto, ciò è del tutto conforme con i valori fondamentali dell’individuo.

L’obiettivo principale è quello di elaborare due concetti: la protezione dei dati e degli utenti.

In realtà, si presta attenzione in primo luogo alla privacy e, dopo si cerca di rispettare il diritto. L’approccio alla protezione dei dati personali e alla privacy, infatti, non può essere basata su una valutazione di conformità normativa perché è necessario che un qualsiasi processo proceda dall’utente, mettendo lui/lei al centro.

L’utente diventa il punto di partenza per sviluppare il progetto in base alla legge sulla privacy e quindi con un approccio user-centric.

Ogni volta che un progetto inizia deve prendere in considerazione, prima di tutto, il ruolo dell’utente, progettando tutto attorno alla persona fisica. Secondo questo metodo è molto semplice evitare i rischi privacy e di sicurezza.

La PbD esclude, pertanto, che si possa effettuare una valutazione di conformità alla normativa successivamente alla redazione del progetto o comunque posteriormente in occasione di un evento, in quanto la privacy va considerata già nella fase di progettazione.

La valutazione di “PbD compliance” costituisce un valore aggiunto di rilievo perché attesta che tutti i processi sono stati seguiti considerando adeguatamente la protezione dei dati personali.

La proposta europea di Regolamento contiene il riferimento alla “data protection by design and by default” ma – sebbene indichi chiaramente il senso di un cambio di prospettiva rispetto al passato – l’approccio utilizzato nel testo normativo sembra più attento alle tecnologie applicate alla privacy piuttosto che alla metodologia da utilizzare e all’essenza del concetto di “by design”.

In realtà, non si può prescindere dal preminente ruolo dell’utente i cui dati personali devono essere trattati in maniera adeguata anche al fine di prevenire o ridurre al minimo i rischi privacy.
Le applicazioni pratiche della Privacy by Design sono molteplici e non soggette a limiti (dalla progettazione strutturale di edifici o di ambienti, alla realizzazione di un progetto tecnologico o organizzativo, ad ogni soluzione progettuale in ambito IT). L’approccio alla PbD non richiede un’applicazione solo su nuovi progetti, poiché anche quelli esistenti possono beneficiare di questo sistema senza pregiudizio per quanto già realizzato.

Ad oggi, nonostante la risoluzione sulla Privacy by Design sia stata adottata nel 2010 anche con la partecipazione del Garante italiano, non risultano provvedimenti dell’Autorità che richiamino i principi contenuti nella citata risoluzione e sarebbe auspicabile che in essi si possano leggere considerazioni e determinazioni in ordine ad applicazioni concrete dei principi della Privacy by Design rispetto ai casi specifici.

Lo scrivente da tempo sostiene la opportunità e la necessità di sviluppare e strutturare norme uniformi per uno standard privacy internazionale che garantisca, nel rispetto delle normative degli Stati, un framework comune di riferimento con cui agevolare i trattamenti di dati personali e garantirne la protezione nel rispetto della privacy.