Privacy by Design e policy di conservazione dei dati

Privacy by Design (PbD) è un framework sviluppato da Ann Cavoukian negli anni Novanta, che considera la privacy un requisito architetturale fondamentale e non un aspetto da aggiungere in un secondo momento. Invece di applicare i controlli della privacy dopo la realizzazione di un sistema, PbD li integra fin dalla prima decisione progettuale. L'articolo 25 del GDPR ha formalmente sancito la PbD come requisito giuridico per i sistemi rivolti all'UE, imponendo la protezione dei dati fin dalla progettazione e per impostazione predefinita: le impostazioni predefinite devono essere sempre l'opzione più protettiva per la privacy tra quelle disponibili.

I sette principi di Cavoukian sono: Proattiva, non reattiva: prevedere e prevenire gli eventi che compromettono la privacy prima che si verifichino. Privacy come impostazione predefinita: non è necessaria alcuna azione dell'utente per proteggere la privacy. Privacy integrata nella progettazione: non aggiunta come livello separato. Funzionalità completa: la privacy non richiede compromessi in termini di sicurezza o funzionalità. Sicurezza end-to-end: protezione lungo tutto il ciclo di vita, dalla raccolta allo smaltimento. Visibilità e trasparenza: operazioni aperte alla verifica indipendente. Rispetto della privacy dell'utente: controlli incentrati sull'utente e impostazioni predefinite solide.

Privacy per impostazione predefinita significa che le impostazioni più protettive per la privacy sono attive fin dall'inizio: gli utenti non dovrebbero dover rifiutare la raccolta dei dati o limitarne la condivisione; al contrario, la condivisione dovrebbe richiedere un consenso esplicito. Esempi pratici: il profilo di un social network dovrebbe essere privato per impostazione predefinita, non pubblico; uno strumento di analytics dovrebbe raccogliere per impostazione predefinita la quantità minima di dati; un'app dovrebbe non richiedere per impostazione predefinita l'autorizzazione alla posizione. I principi PbD richiedono agli ingegneri di rendere automatiche le scelte a tutela della privacy, invece di fare affidamento sulla consapevolezza degli utenti.

La minimizzazione dei dati è un principio PbD e un requisito giuridico del GDPR: raccolga solo i dati personali strettamente necessari per lo scopo specificato. Prima di sviluppare una funzionalità, gli ingegneri dovrebbero chiedersi: 'Ci serve davvero questo campo?' Le tecniche comuni di minimizzazione includono la raccolta di valori derivati invece dei dati grezzi (fascia d'età invece della data di nascita), l'uso della pseudonimizzazione (sostituzione degli identificatori diretti con token) e l'implementazione dell'anonimizzazione quando non è necessaria un'analisi a livello individuale. I dati che non raccoglie non possono essere oggetto di una violazione.

La pseudonimizzazione sostituisce i dati che identificano direttamente una persona con un identificatore artificiale (token), mantenendo però la tabella di corrispondenza, così che la reidentificazione sia possibile disponendo della chiave. Il GDPR riconosce la pseudonimizzazione come tecnica di riduzione del rischio, ma NON esenta i dati pseudonimizzati dal GDPR: restano dati personali. L'anonimizzazione elimina irreversibilmente la possibilità di identificare le persone. I dati realmente anonimi non rientrano nell'ambito del GDPR, ma una vera anonimizzazione è tecnicamente difficile: molti dataset dichiarati anonimi possono essere reidentificati usando dati ausiliari o attacchi basati sull'inferenza.

Una Privacy Impact Assessment (PIA), denominata Data Protection Impact Assessment (DPIA) ai sensi del GDPR, valuta i rischi per la privacy prima dell'avvio di un nuovo sistema o processo. Il GDPR impone le DPIA quando è probabile che il trattamento comporti un rischio elevato, ad esempio in caso di trattamento su larga scala di dati sensibili, profilazione sistematica o impiego di nuove tecnologie. Una DPIA documenta: la finalità del trattamento, la valutazione della necessità, l'identificazione dei rischi e le misure di mitigazione dei rischi. Completare tempestivamente una DPIA evita costose riprogettazioni dopo la realizzazione dei sistemi.

Una policy di conservazione dei dati specifica per quanto tempo viene conservata ciascuna categoria di dati prima di dover essere smaltita in modo sicuro. Le decisioni sulla conservazione bilanciano due esigenze contrapposte: conservare i dati abbastanza a lungo da soddisfare i requisiti legali, operativi e di audit, evitando però di conservarli così a lungo da trasformarli in un rischio inutile. Il principio di limitazione della conservazione del GDPR richiede di eliminare i dati quando non sono più necessari per lo scopo originario. I piani di conservazione devono essere documentati e applicati tecnicamente tramite processi automatici di eliminazione e impostazioni di scadenza degli archivi.

I piani di conservazione devono prevedere un meccanismo di eccezione per i legal hold. Quando è probabile o è già iniziata una controversia, le organizzazioni hanno il dovere di preservare tutti i dati potenzialmente pertinenti, indipendentemente dai normali piani di conservazione. La distruzione di dati soggetti a un legal hold può costituire soppressione di prove e comportare decisioni giudiziarie sfavorevoli o sanzioni. Il software per i legal hold applica ai dati interessati un contrassegno tecnico di conservazione, impedendone l'eliminazione automatica finché il team legale non revoca il hold. I legal hold devono essere monitorati e documentati per tutta la loro durata.

Quando i dati raggiungono la fine del periodo di conservazione, devono essere distrutti in modo da rendere impossibile il recupero. Per i dati digitali: cancellazione crittografica (la distruzione delle chiavi di crittografia rende inutilizzabile il testo cifrato), smagnetizzazione (per i supporti magnetici), sovrascrittura sicura (NIST SP 800-88 Clear o Purge) oppure distruzione fisica (triturazione, incenerimento). Le organizzazioni dovrebbero emettere certificati di distruzione, soprattutto per la distruzione di supporti affidata a terzi, come prova per gli audit di conformità. Per lo storage cloud, la cancellazione crittografica è generalmente l'unico metodo praticabile.

Le organizzazioni che si basano sul consenso come base giuridica devono conservare registri del consenso che dimostrino: chi ha prestato il consenso, quando, a quale trattamento specifico e tramite quale meccanismo. Questi registri devono essere conservati per tutto il tempo in cui prosegue il trattamento, oltre che per un periodo ragionevole successivo, così da consentire la risoluzione di eventuali controversie. Le piattaforme per la gestione del consenso (CMP) automatizzano il consenso per i cookie, la raccolta delle preferenze e la revoca del consenso. Una traccia di audit delle modifiche al consenso è essenziale: se un utente revoca il consenso ma i suoi dati continuano a essere trattati, l'organizzazione è esposta a una significativa responsabilità ai sensi del GDPR.

In pratica, la privacy by design significa che gli architetti dei sistemi si pongono domande sulla privacy già in fase di progettazione. Preferisca il rendering lato server ai beacon di analisi lato client. Utilizzi la tokenizzazione invece di memorizzare i numeri delle carte in chiaro. Applichi la crittografia a livello di colonna nei database per i campi sensibili. Progetti livelli di accesso ai dati che impongano la quantità minima di dati necessaria per ogni query. Memorizzi le PII in uno schema di database separato e soggetto a restrizioni maggiori. Applichi la privacy differenziale ai risultati delle analisi. Nel loro insieme, queste scelte portano a un sistema realmente difficile da sfruttare, anche da parte degli utenti interni.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: la Privacy by Design integra la privacy nei sistemi fin dall'inizio attraverso sette principi fondamentali, tra cui la privacy come impostazione predefinita; la minimizzazione dei dati e la pseudonimizzazione riducono il valore dei dati per gli aggressori, consentendo comunque di eseguire analisi; e le politiche di conservazione dei dati bilanciano gli obblighi legali con il rischio di conservare dati non necessari, prevedendo la distruzione sicura al termine del loro ciclo di vita. Ora passeremo alla sicurezza degli endpoint: piattaforme antivirus, EDR e XDR.