L’European Data Protection Board (EDPB) ha pubblicato delle Linee guida sulla protezione dei dati per progettazione e per difetto[1]. Sottolinea l’importanza di comprendere e applicare i principi di protezione dei dati (vedi la sezione “Principi fondamentali” nella parte generale di queste Linee guida) e di implementare i diritti degli interessati (vedi la sezione “Diritti degli interessati” nella parte generale di queste Linee guida).
L’importanza dei principi di protezione dei dati è per esempio espressa nel paragrafo 61: “I titolari del trattamento devono attuare i principi per realizzare il DPbDD. Questi principi includono: trasparenza, legittimità, equità, limitazione delle finalità, minimizzazione dei dati, accuratezza, limitazione della conservazione, integrità e riservatezza, e responsabilità. Questi principi sono delineati nell’articolo 5 e nel considerando 39 del GDPR. Per avere una comprensione completa di come implementare il DPbDD, si sottolinea l’importanza di comprendere il significato di ciascuno dei principi.”
L’importanza dei diritti degli interessati è dichiarata nel paragrafo 63: “Mentre questa sezione si concentra sull’attuazione dei principi, il titolare del trattamento dovrebbe anche attuare modi appropriati ed efficaci per proteggere i diritti degli interessati, anche secondo il capo III del GDPR dove ciò non è già previsto dai principi stessi.”
La linea guida EDPB dedica la sua sezione 3 all’attuazione dei principi di protezione dei dati. Le Linee guida PANELFIT vanno oltre, fornendo una descrizione più dettagliata di ogni principio insieme a molti esempi di misure tecniche e organizzative adatte a implementare quei principi.
Come le Linee guida EDPB, anche il seguente testo analizza il significato dell’articolo 25 GDPR. Tuttavia, il presente testo cerca di fornire ulteriori indicazioni concrete. Per raggiungere questo obiettivo, non solo fornisce un’analisi legale delle fasi del trattamento secondo il GDPR, ma anche un’analisi tecnica di quali compiti sono necessari per ogni fase. In particolare, questo viene fatto per determinare i mezzi di trattamento e per il trattamento stesso. In ognuno dei compiti che sono identificati, i principi di protezione dei dati possono essere applicati e le misure tecniche e organizzative identificate e implementate.
Una seconda grande differenza tra il presente testo e le Linee guida dell’EDPB è che il primo discute l’effettivo processo necessario per applicare il DPbDD nelle varie fasi.
Una differenza minore è che il presente testo entra in ulteriori dettagli su come i titolari del trattamento possono trasmettere i requisiti ai produttori di software e servizi. Il testo non entra nel merito della certificazione, comunque; se questo dovesse essere rilevante per i lettori, sono rimandati alle Linee guida EDBP.
- Comitato europeo per la protezione dei dati, Linee guida 4/2019 sull’articolo 25 sulla protezione dei dati per progettazione e per impostazione predefinita, versione 2.0, adottata il 20 ottobre 2020, https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_en.pdf (ultima visita 30/11/2021). ↑