In Capire la protezione dei dati: il regolamento UE in poche parole, l’integrità (insieme all’accuratezza) è stata motivata dal fatto che l’accuratezza dei dati è necessaria per essere adatti agli scopi dichiarati. Qualsiasi elaborazione che non sia adatta allo scopo non può giustificare un guadagno di potere su un soggetto di dati. Vedi Divieto di trattamento che non è adatto allo scopo per i dettagli. La riservatezza invece è stata motivata dalla limitazione dell’accesso al potere. Vedi Limitazione dell’accesso al potere per i dettagli. La disponibilità era motivata dalla protezione del patrimonio dell’interessato. Vedere 1.6.6 Protezione del patrimonio dell’interessato per i dettagli.

Il GDPR definisce il principio come segue:

Definizione nell’art. 5(1)(f) GDPR: I dati personali sono trattati in modo da garantire un’adeguata sicurezza dei dati personali, compresa la protezione contro il trattamento non autorizzato o illegale e contro la perdita accidentale, la distruzione o il danneggiamento, utilizzando misure tecniche o organizzative adeguate (“integrità e riservatezza“).

La struttura dell’art. 5(1)(f) e rischi per la sicurezza

Ciò che è evidente dalla formulazione dell’art. 5(1)(f) è che il GDPR parla di eventi indesiderati, cioè:

• trattamento non autorizzato o illegale, e
• perdita accidentale, distruzione o danno.

Chiaramente, questi eventi non fanno parte dell’elaborazione come previsto; idealmente, dovrebbero essere evitati del tutto. Poiché nella sicurezza questo non è mai possibile con il 100% di certezza, c’è una probabilità residua che tali eventi si verifichino.

È anche evidente che il verificarsi di tali eventi ha conseguenze indesiderabili.

I lettori che hanno familiarità con la sicurezza informatica avranno riconosciuto che questa discussione ha introdotto gli elementi utilizzati nella definizione di rischio. Ciò è reso esplicito in quanto segue:

Rischio di sicurezza = probabilità di un evento indesiderabile * gravità delle conseguenze indesiderabili

Questo è un rischio “individuale” e il rischio totale è quindi una somma su tutti i rischi individuali applicabili.

I lettori attenti avranno notato che la terminologia usata qui differisce un po’ da quella comune nella sicurezza^[1] informatica. In particolare, è stato usato il termine “rischio di sicurezza”, molto più che solo “rischio” e allo stesso modo, è stata usata la “gravità delle conseguenze indesiderabili” invece di “danno”. La motivazione di questa scelta di termini è spiegata nel seguito:

Differenza principale da altri rischi nel GDPR e dai rischi nella sicurezza informatica

Il GDPR si riferisce ad almeno due tipi di rischio fondamentalmente diversi (ma senza rendere esplicita questa distinzione). Di seguito si introducono quindi due termini diversi per rendere esplicita questa distinzione. Vale a dire, sono il rischio di sicurezza e il rischio di protezione dei dati.

Nel GDPR, il rischio di sicurezza è implicito in entrambi gli articoli 5(1)(f) e 32. Come risulta dalla sottosezione precedente, la sua definizione deriva dall’esistenza di eventi indesiderabili che non fanno parte delle operazioni di trattamento previste.

Al contrario, il GDPR considera chiaramente anche i rischi derivanti dal trattamento dei dati stesso – in assenza di eventi indesiderati – cioèdurante il trattamento indisturbato come previsto. Chiamiamo questo tipo di rischio:rischio diprotezione dei dati. È presente anche se la sicurezza fosse perfetta e tutti i possibili eventi indesiderati potessero essere evitati con il 100% di certezza.

Quindi è importante capire che i rischi di sicurezza sono solo un sottoinsieme dei rischi che i titolari del trattamento sono obbligati a mitigare attraverso l’implementazione di misure tecniche e organizzative appropriate.

Dopo aver distinto i rischi di sicurezza dai rischi di protezione dei dati, confrontiamo i rischi di sicurezza del GDPR con quelli della sicurezza informatica. Dato che la sua definizione fornita nel riquadro della sottosezione precedente ha la stessa struttura, si può concludere che i rischi di sicurezza nel GDPR sono gli stessi della sicurezza informatica?

Questo indica la scelta del secondo termine, cioè la gravità delle conseguenze indesiderabili invece del danno.

Nella sicurezza informatica, il danno è una quantificazione delle conseguenze indesiderabili rispetto alla missione e ai valori dell’organizzazione che gestisce l’attività di elaborazione. È spesso quantificato in termini di valore monetario, coerente con un’organizzazione la cui missione è produrre profitto.

In netto contrasto con questo, c’è la gravità delle conseguenze indesiderabili inerenti al principio di integrità e riservatezza nel GDPR. Questa misura si riferisce ai diritti e alle libertà delle persone fisiche come sono definiti nella Carta europea dei diritti fondamentali. L’effetto indesiderato può quindi consistere nell’impedire o negare il libero esercizio dei propri diritti e libertà^[2]. Tali effetti non possono generalmente essere misurati in termini di valori monetari. È anche generalmente impossibile quantificarli, e possono essere espressi solo su una scala di misura ordinale (per esempio quella composta da basso, medio e alto).

Quindi la differenza tra la sicurezza informatica e la sicurezza secondo l’art. 5(1)(f) GDPR è la valutazione delle conseguenze indesiderate, anche se gli eventi indesiderati possono essere gli stessi. In molti casi, un evento che infligge solo conseguenze minori per la missione dell’organizzazione del titolare del trattamento, può infliggere gravi interferenze nei diritti e nelle libertà di un individuo interessato (e viceversa).

Obiettivi di protezione inerenti all’art. 5(1)(f)

Il GDPR nomina questo principio definito nell’art. 5(1)(f) solo integrità e riservatezza. Questi sono due dei tre noti obiettivi di protezione della sicurezza informatica. Il terzo è la disponibilità. Questa trinità di obiettivi di protezione è spesso indicata semplicemente con l’acronimo CIA.

Mentre il nome del principio dato nel GDPR sembra suggerire che la disponibilità sia esclusa, sia l’esatta formulazione dell’art. 5(1)(f) che l’art. 5(1)(f) del GDPR sono stati modificati. 5(1)(f) che dell’Art. 32 “Sicurezza del trattamento” suggeriscono il contrario. In particolare:

• la dicitura “protezione contro le perdite accidentali” può essere chiaramente associata alla disponibilità, e
• L’art. 32(1)(b) impone ai titolari del trattamento di “assicurare la costante riservatezza, integrità, disponibilità e resilienza dei sistemi e dei servizi di trattamento”.

La resilienza è nominata qui come quarto obiettivo di protezione. È anche chiaramente accettato come un obiettivo della sicurezza informatica, spesso trattato come un aspetto della disponibilità.

In conclusione, l’art. 5(1)(f) GDPR fa riferimento all’intero spettro di obiettivi di protezione conosciuti dalla sicurezza informatica. Saranno tutti discussi qui senza limitare la discussione solo ai due che fanno parte del nome del principio.

Per una discussione approfondita, vedere le pubblicazioni dell’ENISA sull’argomento^[3].^[4] Qui di seguito verrà data solo una breve descrizione di ogni obiettivo di protezione.

Integrità

L’integrità si riferisce all’aspetto dell’art. 5(1)(f) che richiede la protezione dei dati personali “contro i danni accidentali”, per esempio a causa di un errore di trasmissione. Mira quindi a prevenire qualsiasi tipo di evento che possa “corrompere” i dati in un modo che li renda inadatti alle finalità del trattamento.

Riservatezza

La riservatezza si riferisce all’aspetto dell’art. 5(1)(f) che richiede la protezione dei dati personali “contro il trattamento non autorizzato o illegale”. È importante notare che nel GDPR, il trattamento comprende anche la divulgazione dei dati (vedi art. 4(2) GDPR). Quindi la riservatezza richiede di proteggere i dati personali dalla divulgazione indesiderata mentre sono a riposo, in transito e in uso^[5]. Inoltre, richiede che nessuna persona non autorizzata possa interagire con l’operazione di trattamento, ad esempio inserendo decisioni che riguardano una persona, modificando o cancellando dati personali, o innescando qualsiasi altra operazione che è riservata al personale autorizzato che lavora secondo precise istruzioni del titolare del trattamento.

Disponibilità, resilienza e portabilità

La disponibilità si riferisce all’aspetto dell’Art. 5(1)(f) che richiede la protezione dei dati personali “contro la perdita o la distruzione accidentale”, per esempio a causa del guasto di un componente di memorizzazione.

La resilienza sembra essere definita nell’art. 32(1)(c) come “la capacità di ripristinare la disponibilità e l’accesso ai dati personali in modo tempestivo in caso di incidente fisico o tecnico”. Si tratta quindi chiaramente di un aspetto della disponibilità ed è legato alla nota misura del Disaster Recovery.

Probabilmente, un altro aspetto della disponibilità è la portabilità dei dati come viene definita nell’art. 20 GDPR. Mentre la disponibilità è di solito intesa a proteggere gli interessati dalla perdita dei loro dati mentre sono trattati da un determinato titolare del trattamento, la portabilità dei dati protegge gli interessati dalla perdita quando si spostano da un titolare del trattamento (ad esempio, nel ruolo di fornitore di servizi) ad un altro. La portabilità comporta che gli interessati possano ottenere i loro dati in un formato leggibile da una macchina (vedi Art. 20(1) GDPR) e, se fattibile, di farli trasmettere direttamente da un titolare del trattamento a un altro (vedi Art. 20(2) GDPR).

 

 

1. Vedi per esempio https://en.wikipedia.org/wiki/IT_risk#Measuring_IT_risk (ultima visita 19/05/2020). ↑
2. Felix Bieker, Benjamin Bremert, Identifizierung von Risiken für die Grundrechte von Individuen, in : ZD, 2020, p. 7 e seguenti. (in tedesco, abstract in inglese). ↑
3. ENISA, Linee guida per le PMI sulla sicurezza del trattamento dei dati personali, 27 gennaio 2017, https://www.enisa.europa.eu/publications/guidelines-for-smes-on-the-security-of-personal-data-processing (ultima visita 19/05/2020). ↑
4. ENISA, Handbook on Security of Personal Data Processing, 29 gennaio 2018, https://www.enisa.europa.eu/publications/handbook-on-security-of-personal-data-processing (ultima visita 19/05/2020). ↑
5. L’art. 32(2) GDPR utilizza l’espressione “trasmesso, memorizzato o altrimenti trattato”. ↑