Il precedente articolo ha brevemente descritto le principali tecniche utilizzate per ottenere un database anonimizzato, concludendo con un rimando all’analisi del processo di anonimizzazione nel suo complesso e agli ulteriori adempimenti cui è soggetto il Titolare prima di poter costituire ed utilizzare un database anonimizzato.
Viene così anticipata la risposta alla prossima domanda.
È sufficiente aver individuato un’efficace tecnica di anonimizzazione?
La scelta di una tecnica adatta ed efficace è necessaria, ma non è sufficiente.
Infatti, il Titolare è tenuto anche ad informare gli interessati i cui dati saranno sottoposti ad anonimizzazione e ad individuare una corretta base giuridica. Inoltre, è necessario che adotti le misure di sicurezza ritenute più adeguate alle caratteristiche del trattamento che si accinge ad effettuare.
Come per ogni trattamento, si dovrà quindi valutare di adottare le misure di sicurezza che possiamo suddividere in:
- tecniche, attinenti al sistema informatico ed informativo del Titolare, nonché agli strumenti informatici;
- organizzative interne, che si risolvono nel sistema di gestione dei dati personali implementato;
- organizzative contrattuali, nel caso in cui vi siano più soggetti coinvolti nel trattamento, che prevedano (almeno) una chiara distinzione dei ruoli, l’impegno a non condividere determinate informazioni, accordi di riservatezza.
Una volta determinate ed implementate le misure di sicurezza ritenute necessarie ed ottimali, al Titolare è richiesto un ultimo sforzo di verifica della solidità dell’intero processo e di dimostrazione delle analisi effettuate.
Ma come può il Titolare verificare la solidità del processo di anonimizzazione?
Per svolgere questo controllo finale può essere di supporto il “motivated intruder test” proposto dal Codice di condotta per la gestione dell’anonimizzazione e del rischio dell’ICO.
Si tratta, in buona sostanza, di valutare l’efficacia del processo di anonimizzazione tenendo conto di ogni suo aspetto, compresi: il contesto e le finalità del trattamento, la natura dei dati trattati, i mezzi di cui è ragionevolmente possibile avvalersi per re-identificare i dati, l’insieme dei fattori obiettivi, le tecniche e le modalità di anonimizzazione utilizzate, le misure di sicurezza tecniche ed organizzative implementate.
Questa analisi porterà alla luce tutte le (ragionevoli ed ipotizzabili) azioni che dovrebbero essere poste in essere da un “intruder” – come lo definisce l’ICO – o da un “attaccante”, per poter riuscire nell’impresa di re-identificazione del database.
L’esito della valutazione sarà positivo se risulterà basso il rischio che un attaccante riesca a re-identificare i dati. In caso contrario, occorrerà rivedere le caratteristiche del processo di anonimizzazione, così da apportare le modifiche che possono abbassare il rischio.
Come è possibile dimostrare la bontà del processo?
Aver delineato un trattamento di dati compliant dal punto di vista privacy non è sufficiente. Il Titolare, infatti, deve dar conto delle proprie scelte. Per questo, secondo il già citato principio di accountability, il Titolare – con il supporto dei soggetti coinvolti nel trattamento e del DPO (se nominato) – è tenuto a riportare in un documento ogni analisi, valutazione e conclusione.
Il Documento prenderà in considerazione:
- le finalità del trattamento;
- quali dati personali saranno sottoposti ad anonimizzazione;
- la panoramica sul processo di anonimizzazione e descriverne i passaggi chiave;
- le modalità di informativa degli interessati, se necessaria;
- le tecniche di anonimizzazione utilizzate;
- il contesto;
- le misure di sicurezza adottate;
- le prove di solidità del processo.
Come posso risolvere i miei ultimi dubbi sul tema?
Nel prossimo articolo cercheremo di riassumere brevemente i punti chiave di questo percorso con l’aiuto del Paper on 10 misunderstandings related to anonymisation redatto dall’Autorità garante spagnola e dall’EDPB.
