Privacy Impact Assessment

Il Privacy Impact Assessment (in italiano Valutazione dell'Impatto sulla Privacy) noto con la sigla PIA, è un processo che aiuta le organizzazioni a identificare e ridurre al minimo i rischi per la privacy di nuovi progetti o politiche.^[1]

Storia

Negli anni '70 la Technology Assessment (TA) è stata creata dall'Ufficio di valutazione tecnologica degli Stati Uniti. Un TA è stato utilizzato per determinare le ripercussioni sociali e sociali delle nuove tecnologie. Allo stesso modo in questo periodo arrivarono le valutazioni dell'impatto ambientale (EIA), una reazione alla spinta sociale dei movimenti ecologisti degli anni sessanta. La metodologia di entrambe queste valutazioni d'impatto ha agito da precursore alla creazione del PIA. La Dichiarazione sull'impatto sulla privacy era una versione molto meno ampia del PIA che avvenne alla fine degli anni 80. Durante gli anni 90 è diventato necessario misurare l'efficacia della sicurezza dei dati di un'azienda o dell'organizzazione, in particolare con la maggior parte dei dati ora memorizzati su computer o altre piattaforme elettroniche.

A partire dalla metà degli anni '90, le più ampie commissioni pubbliche hanno iniziato a essere utilizzate più frequentemente dalle corporazioni e dai governi e ora sono utilizzate da organizzazioni di tutto il mondo e da diversi governi, tra cui Nuova Zelanda, Canada, Australia e Stati Uniti per valutare il rischio di privacy dei loro sistemi. Inoltre, molti altri paesi e società utilizzano sistemi di valutazione simili ai PIA per l'analisi del rischio dei dati.^[2]^[3]

Descrizione

Il PIA, cioè la Valutazione dell'Impatto sulla Privacy, è un tipo di valutazione di impatto condotta da un'organizzazione (in genere, un'agenzia governativa o una società con accesso a una grande quantità di dati sensibili relativi a cittadini che utilizzano i loro servizi). L'organizzazione verifica i propri processi e vede come questi processi influenzano o potrebbero compromettere la privacy delle persone di cui detiene, raccoglie o elabora i dati. Diversi PIA sono già stati effettuati da varie sub-agenzie del Dipartimento della Sicurezza Nazionale degli Stati Uniti (DHS)^[4]^[5] e da molte altre aziende.

Un PIA è progettato per raggiungere tre obiettivi:

Garantire la conformità con i requisiti legali, normativi e politici in tema di privacy personale;
Determinare i rischi ed effetti che può causare;
Valutare protezioni e processi alternativi per mitigare i potenziali rischi per la privacy.

Un rapporto sull'impatto sulla privacy cerca di identificare e registrare le componenti essenziali di qualsiasi sistema proposto contenente quantità significative di informazioni personali e di stabilire in che modo è possibile gestire i rischi per la privacy associati a tale sistema. Un PIA a volte va oltre la valutazione di un "sistema" e considera gli effetti che potrebbe comportare sulle persone interessate.^[6]

Scopo

Poiché le PIA sono una misura della capacità di un'organizzazione di mantenere le informazioni private al sicuro, dovrebbe essere condotta una PIA ogni qualvolta l'organizzazione è in possesso delle informazioni personali dei dipendenti e/o dei clienti, inclusi, a titolo esemplificativo, nome, età, telefono numeri, e-mail, ecc.

Un PIA dovrebbe anche essere condotto in ogni caso in cui l'azienda o l'organizzazione in questione è in possesso di informazioni che sono altrimenti sensibili, o nei casi in cui i sistemi di sicurezza per le informazioni private o sensibili di organizzazioni sono in fase di modifiche ciò potrebbe portare al rischio di perdite di privacy.^[7]^[8]

Benefici

Secondo una presentazione al Congresso Internazionale dei professionisti della privacy, i PIA hanno i seguenti vantaggi^[9]:

Forniscono un sistema di allerta precoce, un modo per rilevare i problemi di privacy, costruire garanzie prima, non dopo;
Evita errori di privacy costosi o imbarazzanti;
Fornisce prove che un'organizzazione ha tentato di prevenire i rischi per la privacy (ridurre la responsabilità, pubblicità negativa, danni alla reputazione);
Migliora il processo decisionale durante lo sviluppo;
Aiuta l'organizzazione a guadagnare la fiducia dei propri clienti o utenti;
Dimostra a dipendenti, appaltatori, clienti, cittadini che l'organizzazione prende sul serio la privacy.

Implementazione

Le valutazioni dell'impatto sulla privacy possono essere riassunte in un processo in quattro fasi:^[7]^[8]

Inizio progetto: questo passaggio è dove si definisce l'ambito del processo PIA (che varia in base all'organizzazione), se il progetto che si sta eseguendo è nelle fasi iniziali e le informazioni dettagliate sono sconosciute l'organizzazione può scegliere di fare un PIA preliminare e quindi una PIA completa una volta si hanno abbastanza dati e informazioni.
Analisi del flusso di dati: questo passaggio prevede la mappatura del processo aziendale proposto, per quanto riguarda le informazioni personali, l'identificazione di cluster di informazioni personali e la creazione di un diagramma di come le informazioni personali passano attraverso l'organizzazione a seguito delle attività commerciali in questione.
Analisi della privacy: questo passaggio richiede che tutto il personale coinvolto nel trasferimento di informazioni private completi i questionari di analisi della privacy, nonché i check-in secondari sulle risposte ai questionari che richiedono maggiori dettagli e la discussione delle questioni relative alla privacy e delle implicazioni sollevate come risultato dei questionari.
Rapporto sulla valutazione dell'impatto sulla privacy: questo passaggio richiede che l'organizzazione crei una valutazione documentata dei rischi per la privacy e delle potenziali implicazioni di suddetti rischi sollevati dai risultati delle fasi precedenti, nonché una discussione sui possibili sforzi che potrebbero essere fatti per mitigare o porre rimedio ai rischi.

PIA nel mondo

USA

La legge sull'E-Government del 2002, sezione 208, stabilisce l'obbligo per le agenzie di condurre valutazioni dell'impatto sulla privacy (PIA) per i sistemi di informazione elettronica e la loro raccolta. La PIA è un metodo pratico per valutare la privacy nei sistemi e database di informazioni e sono una garanzia documentata che le questioni relative alla privacy sono state identificate e adeguatamente trattate. Il processo è progettato per guidare i proprietari e gli sviluppatori del sistema SEC nella valutazione della privacy durante le prime fasi di sviluppo e durante il ciclo di sviluppo dei sistemi (SDLC), per determinare in che modo il loro progetto influenzerà la privacy delle persone e se gli obiettivi del progetto possono essere raggiunti proteggendo anche la privacy.^[10]

Europa

Il GDPR (regolamento generale sulla protezione dei dati) stabilisce che la valutazione dell'impatto sulla protezione dei dati (DPIA) è obbligatoria in alcuni casi.

Open source

È stato sviluppato un software open source (PIA CNIL)^[11] per valutare in modo semplice e intuitivo le implicazioni che possono avere le scelte effettuate in tema di privacy, è completamente aperto e accessibile su GitHub^[12] a tutti per miglioramenti o implementazioni future.

Questo strumento è indirizzato principalmente ai responsabili del trattamento dei dati che hanno una certa familiarità con il processo PIA. A questo proposito, una versione stand-alone può essere scaricata e facilmente avviata offline su qualunque computer. È anche possibile utilizzare lo strumento sui server di un'organizzazione per integrarlo con altri strumenti e sistemi già utilizzati internamente.