Il GDPR introduce, tra i vari principi, quelli di privacy by design e privacy by default. Concentrandoci più attentamente sul primo di questi, esso intende tutelare il dato personale fin dalla progettazione del sistema informatico che ne prevede l’utilizzo.

Il principio viene introdotto dall’articolo 25 del Regolamento UE 679/2016 (GDPR) al primo comma: ”Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati”

Il titolare del trattamento quindi dovrà adottare e attuare misure tecniche e organizzative sin dal momento di progettazione del sistema che andrà ad utilizzare i dati personali, che nella successiva fase di esecuzione del trattamento.

La Privacy by Design comprende una trilogia di applicazioni:

1. Sistemi IT;
2. Pratiche commerciali corrette;
3. Progettazione strutturale e infrastrutture di rete

E 7 principi che esprimono pienamente il senso di questa prospettiva:

1. Proattivo non reattivo
2. Privacy come impostazione di default
3. Privacy incorporata nella progettazione
4. Massima funzionalità
5. Sicurezza fino alla fine
6. Visibilità e trasparenza
7. Rispetto per la privacy dell’utente

L’obiettivo del principio di Privacy by Design è quello di mettere al centro, oltre la protezione dei dati, la protezione degli utenti. Infatti l’utente diventa il punto di partenza per sviluppare il progetto, in base ad un approccio user-centric.

Secondo questo principio, quindi, viene escluso che si possa fare una valutazione di conformità successivamente alla redazione od alla esecuzione di un progetto o evento.

Tale principio, dobbiamo ricordare, può essere applicato oltre che ai progetti nuovi, anche ai progetti già esistenti.

Dott. Luca Visconti

Per maggiori info clicca qui

Fonti:

• GDPR
• Manuale di diritto alla protezione dei dati personali – Maggioli editore, 2017