Il quarto modulo del corso affronta in modo organico la disciplina giuridica e tecnica della protezione dei dati personali. Ogni progetto di Data Science, Business Intelligence o Intelligenza Artificiale che operi su informazioni riferite a persone fisiche deve infatti conformarsi al quadro regolamentare europeo (GDPR) e nazionale, integrando la tutela della riservatezza fin dalla progettazione dell’architettura informatica.
La tutela del diritto fondamentale del cittadino a veder preservata la propria sfera personale e riservata poggia in Italia su tre testi normativi principali, ai quali si aggiungono i provvedimenti, le circolari e le linee guida dell’Autorità Garante:
D.Lgs. 196/2003 (Testo Unico sulla Privacy)
Prima dell’intervento europeo, l’Italia aveva riunito tutte le norme frammentarie in materia di riservatezza all’interno di un unico Decreto Legislativo (atto avente forza di legge emanato dal Governo su legge delega del Parlamento, strumento tipicamente utilizzato per disciplinare materie ad elevata complessità tecnica). Questo Testo Unico ha regolato la materia in Italia fino al 2018.
GDPR — Regolamento Europeo 2016/679 (General Data Protection Regulation)
Emanato dall’Unione Europea nel 2016, è diventato pienamente esecutivo e sanzionabile due anni dopo, nel maggio 2018 (termine concesso a enti e imprese per adeguarsi).
Essendo un Regolamento Europeo, gode di diretta applicabilità all’interno di tutti gli Stati membri senza bisogno di una norma nazionale di recepimento ed è una fonte di rango superiore rispetto alla legge ordinaria o al decreto legislativo: in caso di conflitto tra una norma nazionale e il GDPR, prevale sempre il GDPR.
D.Lgs. 101/2018 (Decreto di Armonizzazione)
Poiché molte disposizioni del vecchio D.Lgs. 196/2003 risultavano in sovrapposizione o in aperto contrasto con il nuovo Regolamento europeo, il legislatore italiano è intervenuto con il D.Lgs. 101/2018. Tale decreto ha abrogato le norme incompatibili del Testo Unico del 2003, trasformandolo in un testo integrativo che disciplina i soli margini lasciati aperti dal GDPR ai singoli Stati membri (come l’individuazione dell’Autorità nazionale competente).
Per applicare correttamente la normativa è indispensabile padroneggiare il significato tecnico-giuridico di cinque concetti chiave:
Dato Personale e Dati Particolari
Dato Personale: qualsiasi informazione che identifica o rende identificabile, direttamente o indirettamente (anche tramite contestualizzazione), una persona fisica (es. nome, cognome, codice fiscale, data di nascita, indirizzo email).
Dati Particolari (ex “Dati Sensibili”): sottocategoria di dati personali che afferisce alla sfera più intima dell’individuo e richiede una tutela rafforzata: stato di salute, orientamento sessuale, origine etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale e condanne penali.
Trattamento
Qualsiasi operazione o insieme di operazioni compiute sui dati personali: raccolta, registrazione, organizzazione, conservazione, consultazione, ricerca, modifica, estrazione o cancellazione. Nota importante: il GDPR si applica non solo ai trattamenti informatici automatizzati, ma anche agli archivi cartacei (es. faldoni conservati in un armadio, per i quali la misura di sicurezza consiste nella chiusura a chiave).
Profilazione
Particolare tipologia di trattamento automatizzato che, partendo dai dati personali già in possesso del titolare, li analizza, incrocia e categorizza per valutare aspetti relativi a gusti, preferenze, comportamenti o solvibilità, generando così nuovi dati personali (etichette o profili) che si aggiungono a quelli di partenza.
Anonimizzazione vs. Pseudonimizzazione
Anonimizzazione: elimina in modo irreversibile ogni legame tra il dato e la persona fisica. Non essendo più possibile risalire all’interessato, il dato esce completamente dal campo di applicazione del GDPR.
Pseudonimizzazione: separa il dato dagli identificativi diretti (es. criptando il codice fiscale), ma il processo è reversibile; pertanto il dato resta soggetto al GDPR.
3. Gli Attori della Privacy e la Catena delle Responsabilità
All’interno dell’architettura organizzativa delineata dal GDPR operano cinque figure distinte, caratterizzate da diversi poteri decisionali e profili di responsabilità:
Figura
Collocazione
Potere Decisionale
Ruolo e Compiti Principali
Interessato
Cittadino / Utente
Titolare dei diritti
La persona fisica a cui si riferiscono i dati personali oggetto del trattamento.
Titolare del Trattamento
Vertice dell’Ente o Azienda
Massimo (Definisce scopi e mezzi)
Soggetto (persona giuridica, ente pubblico, impresa) che determina le finalità e le modalità del trattamento. È sempre il responsabile ultimo del trattamento.
Responsabile del Trattamento
Esterno all’organizzazione
Sì (Delegato dal Titolare)
Soggetto esterno (es. una software house o un fornitore Cloud) delegato tramite contratto dal Titolare a gestire operativamente un trattamento e le relative misure di sicurezza.
Designato al Trattamento
Interno all’organizzazione
Sì (Delegato dal Titolare)
Figura apicale interna (es. un dirigente di settore) a cui il Titolare delega poteri decisionali e gestionali sui trattamenti del proprio ufficio.
Autorizzato al Trattamento
Interno all’organizzazione
No (Mero esecutore)
Dipendente o operatore interno (es. l’impiegato allo sportello) autorizzato a trattare materialmente i dati seguendo le istruzioni ricevute, senza alcun potere decisionale autonomo.
L’intero impianto del GDPR ruota attorno a otto principi cardine che devono essere rispettati in ogni trattamento di dati personali:
Liceità (Lawfulness)
Un trattamento di dati personali è lecito solo se soddisfa almeno uno dei due requisiti alternativi di legittimità:
Esiste una norma di legge che impone o autorizza il trattamento (es. adempimenti fiscali, anagrafici o di sanità pubblica);
Oppure è stato preventivamente acquisito il consenso libero e informato dell’interessato.
Correttezza e Trasparenza Correttezza impone di trattare i dati in modo leale e di non archiviare dati falsi o errati. Trasparenza significa che l’interessato deve sempre essere messo in condizione di sapere se è in corso un trattamento di dati che lo riguardano, con l’obbligo per il Titolare di rispondere a qualsiasi richiesta di accesso entro 30 giorni.
Limitazione della Finalità
I dati devono essere raccolti per finalità determinate, esplicite e legittime dichiarate fin dall’inizio (nella legge o nell’informativa). Non è consentito riutilizzare i dati per uno scopo diverso da quello originario (es. usare i dati raccolti per spedire un acquisto su un sito e-commerce al fine di addestrare un modello di Intelligenza Artificiale), a meno che non si acquisisca un nuovo consenso specifico per la nuova finalità o non si proceda alla preventiva anonimizzazione dei dati.
Minimizzazione dei Dati
Devono essere raccolti e trattati esclusivamente i dati strettamente necessari e indispensabili per raggiungere la finalità prefissata. Richiedere come obbligatori campi superflui (es. chiedere lo stato civile o il nome dei genitori in un modulo che serve solo a calcolare l’età media degli studenti) costituisce un illecito sanzionabile dal Garante ed espone a richieste di risarcimento del danno. Se invece un campo aggiuntivo è chiaramente contrassegnato come facoltativo e coperto da libero consenso separato, non vi è violazione poiché è l’utente a scegliere volontariamente se conferirlo.
Esattezza
I dati personali devono essere esatti e aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati.
Limitazione della Conservazione
I dati possono essere conservati solo per l’arco temporale strettamente indispensabile al conseguimento dello scopo per cui sono stati raccolti; una volta esaurita la finalità, il dato deve essere cancellato o anonimizzato. Esempio settoriale: per legge i dati dell’anagrafe comunale o i referti medici strutturati hanno un obbligo di conservazione illimitato nel tempo (per sempre), mentre le semplici immagini radiologiche non refertate devono essere cancellate trascorsi 10 anni.
Integrità e Riservatezza (La Triade CIA della Sicurezza Informatica)
Il trattamento deve garantire un’adeguata sicurezza dei dati rispettando le tre proprietà fondamentali della sicurezza informatica:
Riservatezza (Confidentiality): il dato può essere letto e visualizzato solo da chi è autorizzato a farlo;
Integrità (Integrity): il dato può essere scritto o modificato solo da chi è autorizzato a farlo;
Disponibilità (Availability): il dato deve essere sempre accessibile e disponibile agli aventi diritto quando serve.
Responsabilizzazione (Accountability)
Rappresenta la principale innovazione di matrice europea/anglosassone rispetto alle tradizionali leggi nazionali (hard law). Mentre le leggi tradizionali elencavano in modo rigido ogni singolo adempimento tecnico (“metti il firewall, metti l’antivirus”), il GDPR fissa l’obiettivo di tutela e lascia al Titolare la responsabilità di scegliere le misure più idonee, introducendo un’inversione dell’onere della prova: se si verifica una violazione, la colpa è presunta in capo al Titolare, a meno che egli non riesca a dimostrare documentalmente di aver fatto tutto il possibile allo stato dell’arte per evitarla (es. provando di aver adottato crittografia, ridondanza e controlli aggiornati, ma di aver subito un attacco informatico zero-day totalmente sconosciuto e imprevedibile).
Il perimetro applicativo del Regolamento UE 2016/679 è definito da tre coordinate:
Ambito Oggettivo (Solo Dati Personali): si applica esclusivamente ai dati personali riferiti a persone fisiche (restano esclusi i dati delle aziende/persone giuridiche e i dati resi irreversibilmente anonimi).
Ambito Territoriale (Residenti e Cittadini UE): si applica a tutti i trattamenti che riguardano dati di persone che si trovano nell’Unione Europea, indipendentemente dalla sede legale dell’azienda o dell’ente che effettua il trattamento (anche se stabilito negli USA o in Asia).
Ambito Soggettivo (Pubblico e Privato): le regole si applicano in misura identica sia alle aziende private sia alle Pubbliche Amministrazioni, senza eccezioni.
È l’Autorità amministrativa indipendente nazionale italiana (analoga per natura ad altre Authority di garanzia quali ANAC, AGCOM, AGCM o Banca d’Italia).
Indipendenza dal Governo: i suoi membri sono eletti dal Parlamento affinché l’Autorità possa vigilare e sanzionare anche i Ministeri e le Pubbliche Amministrazioni (es. la sanzione di 75.000 euro inflitta all’allora Ministero dello Sviluppo Economico per la mancata nomina del DPO).
Funzioni: controlla l’applicazione del GDPR, esamina reclami e segnalazioni dei cittadini, commina sanzioni amministrative ed emana linee guida e circolari tecniche.
EDPB (European Data Protection Board)
Il Comitato Europeo per la Protezione dei Dati è l’organismo europeo di vertice che riunisce e coordina tutte le Autorità Garanti nazionali dei singoli Stati membri dell’UE, emanando orientamenti generali per garantire l’applicazione uniforme del GDPR in tutta l’Unione.
Il GDPR attribuisce al cittadino interessato quattro famiglie di diritti direttamente azionabili nei confronti del Titolare (il quale ha l’obbligo di fornire riscontro entro 30 giorni):
1. Diritto alla Trasparenza e all’Accesso: diritto di sapere in qualsiasi momento se è in corso un trattamento di dati personali che lo riguardano e di accedere alle informazioni sulle modalità e finalità di tale trattamento.
2. Diritto alla Cancellazione (Diritto all’Oblio) e alla Limitazione:
Cancellazione: quando la base giuridica del trattamento è il consenso, l’utente può revocarlo in ogni momento e pretendere la cancellazione definitiva dei propri dati (non può ovviamente chiederla quando il trattamento è imposto da una norma di legge, come per i dati fiscali detenuti dall’Agenzia delle Entrate).
Limitazione: anziché chiedere la distruzione fisica del dato, l’utente chiede che il dato venga conservato ma “congelato”, ossia che non venga più sottoposto a ulteriori elaborazioni per quella specifica finalità.
3. Diritto alla Portabilità dei Dati: diritto di richiedere e ottenere dal Titolare una copia integrale dei propri dati personali in formato strutturato e leggibile (funzionalità implementata direttamente da grandi piattaforme come Facebook/Meta) per poterli conservare o trasferire a un altro fornitore.
4. Diritto di Contestazione (Rettifica, Opposizione e Reclamo): diritto di contestare l’esattezza dei dati personali ottenendone la correzione immediata (es. rettificare un nome o un dato anagrafico registrato in modo errato), di opporsi a un trattamento non conforme e di proporre reclamo formale al Garante della Privacy.
7. Gli Obblighi del Titolare e il Caso del Fascicolo Sanitario Elettronico
Privacy by Design (fin dalla progettazione): le misure a tutela dei dati personali non possono essere aggiunte a posteriori quando il software è già stato sviluppato, ma devono essere progettate fin dalla fase iniziale di analisi dei requisiti e studio di fattibilità.
Privacy by Default (per impostazione predefinita): ogni sistema informativo deve nascere configurato di default con le impostazioni più restrittive e sicure a protezione dei dati personali (poiché il 99% dei sistemi tratta almeno i dati personali relativi alle credenziali di accesso degli utenti).
Quando un nuovo sistema o trattamento comporta rischi elevati per i diritti degli interessati, il Titolare ha l’obbligo di redigere preventivamente il PIA (Privacy Impact Assessment):
Descrive le esigenze, gli obiettivi e le caratteristiche tecniche del sistema;
Individua e misura tutti i rischi calcolando Rischio=Impatto×Probabilitaˋ di accadimento;
Definisce il piano di mitigazione (es. cifratura, autenticazione a doppio fattore) e valuta il rischio residuo;
Acquisisce il parere obbligatorio del DPO. Se il rischio residuo rimane alto e non è ulteriormente comprimibile, il sistema non può essere realizzato, salvo sottoporlo alla consultazione preventiva del Garante della Privacy per progetti di rilevante interesse pubblico.
È un documento strutturato (spesso tenuto sotto forma di prospetto tabellare o file Excel avanzato) in cui l’organizzazione censisce puntualmente tutti i trattamenti effettuati, specificando per ciascuno: chi è il Titolare, i Designati, i Responsabili esterni e gli Autorizzati, quali categorie di dati vengono trattate, per quali finalità, in quali banche dati risiedono e quali misure di sicurezza (es. crittografia) sono applicate. È il primo documento che il Garante richiede in caso di ispezione o violazione: la sua assenza comporta l’immediata applicazione di sanzioni.
4. Consenso (Implicito vs. Esplicito) e Informativa
Consenso: quando il trattamento non è previsto da una legge, il consenso dell’interessato ne costituisce la base di liceità. Per i dati personali comuni può essere sufficiente un consenso per adesione (implicito, es. proseguendo l’uso del servizio); per i dati particolari (sensibili) è invece tassativamente richiesto il consenso esplicito (apposita spunta specifica e separata).
Informativa: deve essere fornita sempre all’utente prima dell’inizio del trattamento (anche quando il trattamento avviene per obbligo di legge e non richiede consenso). Deve indicare: Titolare, contatti del DPO, finalità, natura obbligatoria o facoltativa dei dati, tempi di conservazione ed eventuale trasferimento fuori dall’UE. Il GDPR impone che l’informativa sia chiara, concisa, trasparente e intelligibile, evitando il “legalese” illeggibile e adattando il linguaggio al pubblico di riferimento (es. usando un linguaggio semplice se rivolta a minori/adolescenti).
Un Data Breach (Violazione dei dati personali) si verifica non solo quando un hacker ruba o visualizza abusivamente dei dati, ma anche quando i dati vengono accidentalmente o illecitamente perduti o cancellati prima della scadenza del termine legale di conservazione (es. la distruzione o cancellazione di referti medici che dovevano essere conservati per sempre).
In caso di Data Breach, il Titolare ha due obblighi stringenti:
Notifica al Garante della Privacy entro 72 ore: mentre tutte le altre violazioni del GDPR sono punite con sanzioni amministrative pecuniarie, la mancata notifica di un Data Breach al Garante entro 72 ore è l’unica fattispecie che fa scattare la responsabilità penale.
Comunicazione agli utenti interessati: se la violazione comporta un rischio concreto per i diritti e le libertà delle persone (es. esfiltrazione di credenziali e password che gli utenti potrebbero aver riutilizzato su altri servizi bancari o personali), il Titolare deve avvisare tempestivamente tutti gli interessati affinché possano correre ai ripari (es. cambiando password).
Pubbliche Amministrazioni: è sempre obbligatorio, senza eccezioni.
Aziende Private: è obbligatorio solo in due casi:
Quando l’azienda tratta dati particolari (sensibili) come attività principale (es. anche un piccolo centro medico o laboratorio di analisi privato);
Quando l’azienda effettua trattamenti di dati personali comuni su larga scala (es. grandi piattaforme di e-commerce come Amazon). (Le imprese non obbligate possono comunque decidere di nominarlo volontariamente).
Requisiti Professionali e Indipendenza
Non esistono albi o lauree vincolanti per legge, ma il DPO deve possedere una comprovata doppia competenza: giuridica (normativa privacy) e informatica (sicurezza informatica e architetture dei sistemi informativi).
Deve godere di piena indipendenza e autonomia (oltre che di un ufficio e risorse adeguate): non può ricevere ordini gerarchici su come svolgere la propria attività di controllo né può essere penalizzato o licenziato per aver segnalato un data breach o un’irregolarità al Garante.
Le 4 Funzioni Istituzionali del DPO
Informare e fornire consulenza al Titolare, ai Responsabili e ai dipendenti in merito agli obblighi derivanti dal GDPR;
Sorvegliare e monitorare l’osservanza del Regolamento all’interno dell’organizzazione (avvisando il Titolare in caso di violazioni e segnalandole al Garante qualora il Titolare resti inerte);
Fornire un parere obbligatorio in merito al PIA (Privacy Impact Assessment), assumendosi la responsabilità della correttezza metodologica del documento;
Fungere da punto di contatto diretto con il Garante della Privacy (è il primo soggetto contattato dall’Autorità in caso di ispezioni o data breach).
Profili di Responsabilità del DPO
Il DPO non è di per sé responsabile delle violazioni commesse dal Titolare se viene tenuto all’oscuro o estromesso dalle attività. Tuttavia, in virtù del principio di accountability, risponde direttamente se, pur essendo a conoscenza di un illecito, omette di vigilare e intervenire. Per questo motivo è prassi essenziale per il DPO tenere un registro documentato di tutte le attività svolte (sessioni di formazione erogate, controlli sui log effettuati, segnalazioni inviate).
9. Ricerca Scientifica, Data Science e Trasferimenti Extra-UE (Privacy Shield)
Il trattamento di dati personali (e in particolare di dati sanitari) per finalità di ricerca scientifica è soggetto a regole stringenti dettate dal GDPR e dalle circolari del Garante:
Necessità di una solida base giuridica, dell’acquisizione del consenso dell’interessato e del parere favorevole del comitato etico/tecnico competente;
Obbligo di applicare tecniche di cifratura e pseudonimizzazione (i dataset di ricerca non possono contenere in chiaro nome e cognome dei pazienti);
Adozione di misure di sicurezza avanzate, tra cui sistemi di autenticazione a doppio fattore (2FA) e ridondanza dei dati.
Implicazioni Dirette per la Data Science, l’IoT e il Cloud
Previsione preventiva della finalità di Data Science: se un’organizzazione intende utilizzare i dati raccolti per alimentare analisi di Data Science o per addestrare modelli di Machine Learning, deve dichiararlo fin dal momento della raccolta nell’informativa e nel consenso; in caso contrario dovrà richiedere nuovamente il consenso agli utenti oppure anonimizzare integralmente i dati prima di usarli.
L’IoT come vettore di attacco: i dispositivi Internet of Things presentano spesso standard di sicurezza deboli e possono essere sfruttati dagli attaccanti come punto d’ingresso per violare la rete centrale e compromettere la riservatezza delle banche dati (come avvenuto nel noto attacco informatico all’Acquario di Genova, perpetrato penetrando attraverso le telecamere/dispositivi connessi).
Rischi di Cloud e Virtualizzazione: l’adozione di ambienti Cloud e infrastrutture virtualizzate accresce la complessità architetturale dei sistemi e aumenta il rischio di data breach non intenzionali dovuti a errate configurazioni dei permessi di accesso.
Privacy Shield, Google Analytics e il Trasferimento Dati verso gli USA
La revoca del Privacy Shield: la legislazione di sicurezza nazionale statunitense consente agli organi governativi e alle agenzie federali USA di accedere a tutti i dati detenuti dalle aziende tecnologiche e di comunicazione americane, senza garantire ai cittadini stranieri un effettivo diritto di ricorso giurisdizionale. A causa di questa incompatibilità con i diritti fondamentali europei, l’accordo Privacy Shield è stato revocato/invalidato (fino alla successiva stipula di un nuovo quadro di adeguatezza sotto l’amministrazione Biden).
L’illecito trasferimento tramite Google Analytics: strumenti diffusissimi come Google Analytics inviano i dati di navigazione e gli indirizzi IP dei visitatori dei siti web verso server situati negli USA per finalità di profilazione. Venuto meno il Privacy Shield, i Garanti europei hanno dichiarato illecito l’utilizzo standard di Google Analytics per assenza di garanzie sul trasferimento extra-UE.
L’esempio emblematico della donna in Nebraska e Meta: a dimostrazione della pervasività dei poteri d’accesso governativi negli Stati Uniti, le slide riportano il caso reale di una donna in Nebraska indagata per aver praticato un aborto oltre i termini consentiti dalla legge statale: il governo statunitense ha chiesto e ottenuto direttamente da Meta i log e il contenuto delle chat private scambiate su Facebook Messenger, utilizzandoli come prova nel procedimento penale.