Cogliamo l’occasione di questi due atti contrapposti eppure entrambe tutelanti nei confronti dei cittadini, per fare il punto della situazione.

Come sempre, assistiamo alla contrapposizione tra due diritti : PRIVACY (Garante) contro TRASPARENZA (ANAC).

Nel dubbio, riduciamo la trasparenza a favore della privacy. Nella tutela dei diritti, la privacy prevale.

Cosa occorre fare per proteggere la privacy nel trattamento dei dati personali? Occorre:

  1. trattare i dati personali delicati (talvolta sensibili) garantendo che le identità dei soggetti coinvolti non siano accessibili a soggetti non autorizzati e garantendo altresì trattamento e rispetto dei tempi
  2. garantire la sicurezza degli strumenti digitali adottati (piattaforme di gestione delle segnalazioni) che devono conformarsi secondo il principio dell’effettività, all’adozione di misure tecniche e organizzative idonee.

Vediamo, nel dettaglio, su cosa punta l’attività ispettiva del Garante rispetto rispetto ai due punti su indicati:

  • si accerta che il trattamento dei dati sia limitato al minimo necessario per il perseguimento delle finalità previste dalla normativa
  • si accerta che la gestione dei tempi di conservazione delle informazioni sia corretta
  • si accerta della corretta configurazione dei sistemi di accesso ai dati in quanto a tracciabilità delle operazioni compiute, la cifratura dei dati personali, il corretto inquadramento dei ruoli tra committente e fornitori delle piattaforme digitali (es. in cloud) che devono offrire adeguate garanzie nel rispetto dell’art. 28 del GDPR (Regolamento UE 2016/679 che disciplina la figura del Responsabile del trattamento, che può affidare operazioni di trattamento dati solo a soggetti che offrano garanzie adeguate al rispetto della normativa)

Occupiamoci di capire questo ultimo accertamento: le piattaforme devono essere progettate secondo i principi previsti dall’art. 25 del GDPR, il cd “privacy by design e by default”, vale a dire che si impongono misure tecniche e organizzative fin dal momento della progettazione della piattaforma, in ossequio al diritto alla privacy.

Nel dettaglio:

  • Privacy by Design riguarda le garanzie come la pseudonimizzazione e la minimizzazione

  • Privacy by Default imposta il trattamento dei soli dati necessari, incidendo su conservazione e accessibilità

     

     

Ma scendiamo ancora più nel dettaglio, definendo per bene i termini di pseudonimizzazione e minimizzazione. Non sono uno scioglilingua ma quasi.

Si parla di pseudonimizzazione quando finiamo per usare uno pseudonimo: un alias oppure un codice alfanumerico. Quindi anziché Mario Rossi, utilizzerò supertosto oppure M56è£: preferenze? Dipende da quanto fanciullino di Pascoliana memoria c’è in ognuno di voi. Di certo vostro figlio o il vostro nipotino saprebbero inventare degli alias meravigliosi e irrintracciabili, se di vocazione nerd saranno fortissimi nei codici alfanumerici.

Si parla di minimizzazione quando finiamo per usare al minimo i dati oggetto di trattamento, solo per quel che serve, non di più, solo quelli strettamente necessari.

Ne deriva che gli adempimenti e le valutazioni in materia di protezione dei dati personali sono indispensabili per:

  1. garantire il rispetto della normativa ed evitare sanzioni
  2. assicurare l’equilibrio tra trasparenza e tutela della privacy

Dotarsi di una policy interna sarebbe quanto mai opportuno, considerando che uno stesso processo o procedimento amministrativo può incorrere in rischi sia di trasparenza che di privacy.

Facciamo l’esempio dell’ACCESSO AGLI ATTI

  • Per questo procedimento incontriamo i rischi legati alla Trasparenza (da tabella PNA Anac) per la violazione di norme per interesse/utilità
  • D’altra parte per questo stesso procedimento incontriamo i rischi legati alla Privacy in quanto limite all'accesso ai documenti che contengono dati personali

Talvolta sarete responsabili del procedimento e dovrete fare lo slalom tra due rischi opposti. Trasparenza sì, nel rispetto del diritto alla Privacy. Compito non facile, mi rendo conto. Ma con le necessarie tutele, può essere portato a termine.

Prima di tutto si valutano i rischi, secondariamente si mettono in campo le misure per ridurli.

Esattamente con me per la trasparenza, che siamo, diciamo, più abituati a maneggiare. Stesso metodo per difendere entrambe le creature, le anime opposte del nostro Ordinamento.