Privacy Impact Assessment
Il Privacy Impact Assessment (in italiano Valutazione dell'Impatto sulla Privacy) noto con la sigla PIA, è un processo che aiuta le organizzazioni a identificare e ridurre al minimo i rischi per la privacy di nuovi progetti o politiche.[1]
Storia[modifica | modifica wikitesto]
Negli anni '70 la Technology Assessment (TA) è stata creata dall'Ufficio di valutazione tecnologica degli Stati Uniti. Un TA è stato utilizzato per determinare le ripercussioni sociali e sociali delle nuove tecnologie. Allo stesso modo in questo periodo arrivarono le valutazioni dell'impatto ambientale (EIA), una reazione alla spinta sociale dei movimenti ecologisti degli anni sessanta. La metodologia di entrambe queste valutazioni d'impatto ha agito da precursore alla creazione del PIA. La Dichiarazione sull'impatto sulla privacy era una versione molto meno ampia del PIA che avvenne alla fine degli anni 80. Durante gli anni 90 è diventato necessario misurare l'efficacia della sicurezza dei dati di un'azienda o dell'organizzazione, in particolare con la maggior parte dei dati ora memorizzati su computer o altre piattaforme elettroniche.
A partire dalla metà degli anni '90, le più ampie commissioni pubbliche hanno iniziato a essere utilizzate più frequentemente dalle corporazioni e dai governi e ora sono utilizzate da organizzazioni di tutto il mondo e da diversi governi, tra cui Nuova Zelanda, Canada, Australia e Stati Uniti per valutare il rischio di privacy dei loro sistemi. Inoltre, molti altri paesi e società utilizzano sistemi di valutazione simili ai PIA per l'analisi del rischio dei dati.[2][3]
Descrizione[modifica | modifica wikitesto]
Il PIA, cioè la Valutazione dell'Impatto sulla Privacy, è un tipo di valutazione di impatto condotta da un'organizzazione (in genere, un'agenzia governativa o una società con accesso a una grande quantità di dati sensibili relativi a cittadini che utilizzano i loro servizi). L'organizzazione verifica i propri processi e vede come questi processi influenzano o potrebbero compromettere la privacy delle persone di cui detiene, raccoglie o elabora i dati. Diversi PIA sono già stati effettuati da varie sub-agenzie del Dipartimento della Sicurezza Nazionale degli Stati Uniti (DHS)[4][5] e da molte altre aziende.
Un PIA è progettato per raggiungere tre obiettivi:
- Garantire la conformità con i requisiti legali, normativi e politici in tema di privacy personale;
- Determinare i rischi ed effetti che può causare;
- Valutare protezioni e processi alternativi per mitigare i potenziali rischi per la privacy.
Un rapporto sull'impatto sulla privacy cerca di identificare e registrare le componenti essenziali di qualsiasi sistema proposto contenente quantità significative di informazioni personali e di stabilire in che modo è possibile gestire i rischi per la privacy associati a tale sistema. Un PIA a volte va oltre la valutazione di un "sistema" e considera gli effetti che potrebbe comportare sulle persone interessate.[6]
Scopo[modifica | modifica wikitesto]
Poiché le PIA sono una misura della capacità di un'organizzazione di mantenere le informazioni private al sicuro, dovrebbe essere condotta una PIA ogni qualvolta l'organizzazione è in possesso delle informazioni personali dei dipendenti e/o dei clienti, inclusi, a titolo esemplificativo, nome, età, telefono numeri, e-mail, ecc.
Un PIA dovrebbe anche essere condotto in ogni caso in cui l'azienda o l'organizzazione in questione è in possesso di informazioni che sono altrimenti sensibili, o nei casi in cui i sistemi di sicurezza per le informazioni private o sensibili di organizzazioni sono in fase di modifiche ciò potrebbe portare al rischio di perdite di privacy.[7][8]
Benefici[modifica | modifica wikitesto]
Secondo una presentazione al Congresso Internazionale dei professionisti della privacy, i PIA hanno i seguenti vantaggi[9]:
- Forniscono un sistema di allerta precoce, un modo per rilevare i problemi di privacy, costruire garanzie prima, non dopo;
- Evita errori di privacy costosi o imbarazzanti;
- Fornisce prove che un'organizzazione ha tentato di prevenire i rischi per la privacy (ridurre la responsabilità, pubblicità negativa, danni alla reputazione);
- Migliora il processo decisionale durante lo sviluppo;
- Aiuta l'organizzazione a guadagnare la fiducia dei propri clienti o utenti;
- Dimostra a dipendenti, appaltatori, clienti, cittadini che l'organizzazione prende sul serio la privacy.
Implementazione[modifica | modifica wikitesto]
Le valutazioni dell'impatto sulla privacy possono essere riassunte in un processo in quattro fasi:[7][8]
- Inizio progetto: questo passaggio è dove si definisce l'ambito del processo PIA (che varia in base all'organizzazione), se il progetto che si sta eseguendo è nelle fasi iniziali e le informazioni dettagliate sono sconosciute l'organizzazione può scegliere di fare un PIA preliminare e quindi una PIA completa una volta si hanno abbastanza dati e informazioni.
- Analisi del flusso di dati: questo passaggio prevede la mappatura del processo aziendale proposto, per quanto riguarda le informazioni personali, l'identificazione di cluster di informazioni personali e la creazione di un diagramma di come le informazioni personali passano attraverso l'organizzazione a seguito delle attività commerciali in questione.
- Analisi della privacy: questo passaggio richiede che tutto il personale coinvolto nel trasferimento di informazioni private completi i questionari di analisi della privacy, nonché i check-in secondari sulle risposte ai questionari che richiedono maggiori dettagli e la discussione delle questioni relative alla privacy e delle implicazioni sollevate come risultato dei questionari.
- Rapporto sulla valutazione dell'impatto sulla privacy: questo passaggio richiede che l'organizzazione crei una valutazione documentata dei rischi per la privacy e delle potenziali implicazioni di suddetti rischi sollevati dai risultati delle fasi precedenti, nonché una discussione sui possibili sforzi che potrebbero essere fatti per mitigare o porre rimedio ai rischi.
PIA nel mondo[modifica | modifica wikitesto]
USA[modifica | modifica wikitesto]
La legge sull'E-Government del 2002, sezione 208, stabilisce l'obbligo per le agenzie di condurre valutazioni dell'impatto sulla privacy (PIA) per i sistemi di informazione elettronica e la loro raccolta. La PIA è un metodo pratico per valutare la privacy nei sistemi e database di informazioni e sono una garanzia documentata che le questioni relative alla privacy sono state identificate e adeguatamente trattate. Il processo è progettato per guidare i proprietari e gli sviluppatori del sistema SEC nella valutazione della privacy durante le prime fasi di sviluppo e durante il ciclo di sviluppo dei sistemi (SDLC), per determinare in che modo il loro progetto influenzerà la privacy delle persone e se gli obiettivi del progetto possono essere raggiunti proteggendo anche la privacy.[10]
Europa[modifica | modifica wikitesto]
Il GDPR (regolamento generale sulla protezione dei dati) stabilisce che la valutazione dell'impatto sulla protezione dei dati (DPIA) è obbligatoria in alcuni casi.
Open source[modifica | modifica wikitesto]
È stato sviluppato un software open source (PIA CNIL)[11] per valutare in modo semplice e intuitivo le implicazioni che possono avere le scelte effettuate in tema di privacy, è completamente aperto e accessibile su GitHub[12] a tutti per miglioramenti o implementazioni future.
Questo strumento è indirizzato principalmente ai responsabili del trattamento dei dati che hanno una certa familiarità con il processo PIA. A questo proposito, una versione stand-alone può essere scaricata e facilmente avviata offline su qualunque computer. È anche possibile utilizzare lo strumento sui server di un'organizzazione per integrarlo con altri strumenti e sistemi già utilizzati internamente.
Note[modifica | modifica wikitesto]
- ^ Conducting privacy impact assessments code of practice (PDF), su ico.org.uk, Information Commissioner's Office, February 2014. URL consultato il 20 luglio 2016.
- ^ Roger Clarke, A History of Privacy Impact Assessments, su Roger Clarke's Web-Site. URL consultato l'8 luglio 2016.
- ^ Siani, David, Andrew Pearson, Tancock, Charlesworth, The Emergence of Privacy Impact Assessments (PDF), su hpl.hp.com, HP. URL consultato l'8 luglio 2016 (archiviato dall'url originale il 6 agosto 2016).
- ^ Janice Jackson, Donald Hawkins e Mary Ellen Callahan, Privacy Impact Assessment for the Systematic Alien Verification for Entitlements (SAVE) Program (PDF), su dhs.gov, U.S. Department of Homeland Security, 26 agosto 2011. URL consultato il 13 maggio 2016.
- ^ Elizabeth Gaffin e Hugo Teufel III, Privacy Impact Assessment for the Verification Information System Supporting Verification Programs (PDF), su dhs.gov, U.S. Department of Homeland Security, 1º aprile 2007. URL consultato il 13 maggio 2016.
- ^ Privacy Impact Assessment Handbook (PDF), su privacy.org.nz. URL consultato il 6 gennaio 2017.
- ^ a b Privacy Impact Assessment Guidelines: A Framework to Manage Privacy Risks Guidelines, su Government of Canada. URL consultato l'8 luglio 2016 (archiviato dall'url originale il 13 luglio 2016).
- ^ a b PRIVACY IMPACT ASSESSMENT (PIA) GUIDE (PDF), su sec.gov, U.S. Securities and Exchange Commission. URL consultato l'8 luglio 2016.
- ^ David Wright, The state of the art in privacy impact assessment (PDF), su iapp.org, 14 novembre 2012.
- ^ U.S. Securities and Exchange Commission (PDF), su sec.gov.
- ^ (EN) The open source PIA software helps to carry out data protection impact assesment | CNIL, su www.cnil.fr. URL consultato il 3 giugno 2018.
- ^ (EN) LINCnil/pia, su GitHub. URL consultato il 3 giugno 2018.
