Da qualche giorno l’AEPD, l’Autorità Garante per la protezione dei dati spagnola, ha pubblicato sul proprio sito una Guida alla protezione dei dati by default (“Guìa de Protecciòn de Datos por Defecto” – di seguito la “Guida”), che potete trovare nella sezione “documenti utili” del Blog , cliccando qui ,
La Guida si pone l’obiettivo di fornire consigli pratici per l’implementazione di sistemi conformi al principio di privacy by default sancito dall’art. 25 del GDPR, il cui secondo comma, lo ricordo per comodità, recita: “il Titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità di trattamento. Tale obbligo vale per la quantità di dati raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita (N.d.r.: by default), non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l’intervento della persona fisica”.
Ma quali sono le modalità attraverso le quali è possibile, concretamente, rispettare il principio di privacy by default ?
Secondo l’AEPD, occorre, innanzitutto, analizzare i trattamenti sulla base di tre criteri generali, costituiti da:
- ottimizzazione (intesa come efficienza ed efficacia in correlazione con la protezione dei dati), attraverso l’analisi del trattamento, l’applicabilità pratica del medesimo nei diversi contesti in cui si realizza, l’interrelazione con altri trattamenti e, infine, la sua adattabilità ai principi di minimizzazione e di conservazione, nonché ai criteri di accesso; il tutto valutando quale capacità di controllo il trattamento conferisce all’utilizzatore;
- configurabilità del trattamento, inteso come la capacità di un trattamento di offrire più opzioni di configurazione all’utilizzatore in dipendenza del suo specifico utilizzo. Questa caratteristica si suddivide, secondo l’AEPD, in quattro elementi: a) individuazione dei requisiti di configurazione; b) identificazione dei parametri di configurazione; c) intervalli di valori tecnicamente possibili; d) valore by default assegnato a ciascun parametro. Il tutto, tenendo conto che l’utilizzazione di componenti di terze parti potrebbe limitare la capacità di configurazione del trattamento previsto dal Titolare;
- limitazione by default. La caratteristica che deve sempre avere un sistema al suo primo utilizzo è quella di consentire all’utilizzatore di accedere alle sole funzionalità di base. Le “impostazioni di fabbrica” devono, pertanto, garantire il principio di minimizzazione allo scopo di mettere l’utilizzatore in condizione di fare una scelta consapevole e volontaria, ampliando, se così desidera, la capacità del sistema di svolgere trattamenti ulteriori dei propri dati, più ampi di quelli originariamente impostati, in funzione delle proprie necessità specifiche.
Nella seconda parte del documento (da pagina 21), l’AEPD si sofferma, invece, sulle concrete e specifiche misure da tenere in considerazione per il rispetto del principio di protezione dei dati by default, che sono (in estrema sintesi) individuate nelle seguenti:
- quantità di dati raccolti, sia in senso quantitativo che qualitativo (livello di dettaglio, categorie di dati, tipologia, etc.);
- estensione del trattamento (con limitazione alle sole azioni realmente necessarie per la finalità perseguita);
- periodo di conservazione, che deve sempre essere motivato;
- accessibilità dei dati ai soli soggetti che ne hanno effettiva necessità;
- definizione degli specifici parametri di configurazione, stabilendo il rango di ciascuno ed i valori che potranno essere modificati dall’utilizzatore. Per quest’ultima attività, l’AEPD fornisce una dettagliata check-list (di ben 8 pagine) che potete trovare in fondo al documento (pag. 30 e seguenti) come “Anexo II”.
Si tratta sicuramente di un documento molto utile, da tenere presente e consultare per lo sviluppo di prodotti e servizi che asprino ad essere concretamente rispettosi del principio di privacy by default sancito dal GDPR.