Per il rispettare il Regolamento (UE) 2016/679 sulla protezione dei dati, cosa deve fare un’organizzazione che intende introdurre un nuovo processo aziendale o una nuova tecnologia che prevede il trattamento di dati personali?
Deve valutare sin dalla fase di progettazione l’introduzione di quelle misure che garantiscono la protezione dei dati, un procedimento previsto dall’art. 25 “Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita” e integrato dal Considerando 78.
La norma, che trova la prima origine nelle linee-guida FIPP (Fair Information Practice Principles) del 1974, richiedono che siano “messe in atto adeguate misure tecniche e organizzative volte ad attuare in modo efficace i principi di protezione dei dati e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati, sia al momento di determinare i mezzi del trattamento (by design) sia all’atto del trattamento”. Compare inoltre il concetto di “privacy by default” secondo il quale per “impostazione predefinita” sono trattati e protetti solo i dati personali necessari.
La prescrizione del GDPR ha una sua intrinseca razionalità: infatti implementare le misure di protezione dei dati personali successivamente all’introduzione della nuova tecnologia o al varo del nuovo processo aziendale comporta diversi svantaggi, tra i quali un costo economico fino a dieci volte superiore di quello sostenuto all’inizio, tempi di realizzazione notevolmente più lunghi, possibilità che resti aperta una vulnerabilità.
Per aiutare le organizzazioni nell’operazione di verifica, è stato messo a punto un sistema digitale di autovalutazione ASG© (Analisi dei Sistemi di Gestione), che utilizza specifici elenchi di domande (check list).
Tutti i dettagli sono alla pagina Privacy by design-default e software engineering