Privacy by design: ecco come implementarla nel design di prodotti tecnologici

La privacy by design rappresenta, tra gli adempimenti richiesti dal GDPR, uno di quelli forse meno compresi e applicati. Per sanare questa difficoltà, arriva in aiuto una nuova guida alla privacy by design, messa a disposizione online questo mese dall’autorità di controllo del Regno Unito, cioè l’ICO, liberamente applicabile da parte di tutti.

Include sia esempi di buone pratiche che misure pratiche ed è diretta specificamente a chi è coinvolto nella realizzazione di software/prodotti digitali: progettisti UX, product manager, QA tester, ingegneri e via dicendo.

Il tema “rischia” di diventare ancora più attuale con il dilagante sviluppo di applicazioni di intelligenza artificiale. Pertanto, una guida più “operativa” e pensata per chi deve concretizzare i prodotti, chi deve prima capire e poi applicare quelli che – per chi ha una formazione tecnica e non necessariamente specialistica – possono sembrare ingombranti limitazioni.

Invece, queste linee guida vogliono accompagnare proprio questo tipo di professionisti: vediamo come.

Privacy by design, si va verso lo standard applicativo: ecco la ISO 31700

Privacy by design: non solo Europa

Ribadiamo brevemente l’ambito concettuale: il riferimento in esame è solitamente all’art. 25 GDPR, ove la privacy by design è descritta come “protezione dei dati (personali) fin dalla progettazione”. Ovvero per tutto il ciclo di vita – sia al momento di determinare i mezzi e i fini del trattamento, sia all’atto del trattamento stesso – il titolare deve mettere in atto misure tecniche e organizzative adeguate. Adeguate ad attuare – in modo efficace – i principi di protezione dei dati, come ad es. la minimizzazione degli stessi.

Il concetto, è noto, viene da lontano, “importato” in particolare dalla sua razionalizzazione in sette principi a opera della professoressa canadese Anne Cavoukian. Tutto sommato li troviamo oggi riassunti nel predetto art. 25 GDPR.

Sul tema si è altresì espresso tempo fa l’EDPB, il consesso delle autorità europee, con apposite linee guida 4/2019 (riviste nel 2020), di grande interesse pur se focalizzate sui principi applicativi e la loro declinazione ad alto livello. Uno dei problemi maggiori del tema in parola è la sua difficoltà a trovare indicazioni più “pragmatiche” e applicative, un framework preciso e operativo, rendendolo davvero attuabile in sede di progettazione da parte di tutti gli stakeholder. Senza che degradi in una mera “compliance” a fine progetto, quando ormai è spesso troppo tardi per sanare errori progettuali oppure per scoprire che si dovrebbero apportare gravose modifiche.

Un paragone può aiutare a far capire meglio i non addetti ai lavori. Quando un architetto progetta una casa, considera le esigenze e le preferenze dei suoi clienti su come debba essere, ma allo stesso tempo tiene in considerazione altri fattori come la sicurezza, la sostenibilità e l’efficienza energetica, non certo “rimediabili” a lavori ultimati né capricciosamente alterabili da parte dei clienti. Allo stesso modo, nella Privacy by design un progettista dovrebbe considerare la privacy come un requisito fondamentale e parte integrante del prodotto stesso, fin dalle prime fasi del suo processo di sviluppo.

Come accade ai prodotti con marcatura CE per la sicurezza dei consumatori, così la Privacy by design rappresenta una forma di protezione dei dati personali degli interessati (consumatori inclusi). Segnaliamo che di recente anche l’ISO ha sfornato un proprio apposito standard, a tutela dei consumatori, il 31700:2023 e dedicato alla Privacy by design.

L’approccio “product design lifecycle” da parte dell’ICO

Le linee guida pubblicate dall’ICO si distinguono per l’articolazione in fasi del processo di design, destinato a realizzare un prodotto tecnologico che faccia uso di dati personali. Le fasi del ciclo di vita del design del prodotto (iterativo, come vedremo oltre) sono le seguenti, che comprendono quelle del tradizionale design-thinking:

1. una fase preliminare, in cui si identificano sia le normative da rispettare che altre considerazioni cogenti, come quelle etiche (si pensi ai rischi sociali) e aziendali (dalla reputazione aziendale al valore aggiunto sul mercato nel rispetto della privacy);
2. una fase iniziale (kick-off), dall’avvio del progetto alla mappatura delle esigenze di dati personali del prodotto, fino alle idee su come integrarvi la privacy;
3. una fase di ricerca, dai test ai modi per proteggere i dati personali dei partecipanti alla ricerca;
4. una fase di progettazione, focalizzata proprio sul design del modo e del momento giusto in cui fornire informazioni comprensibili ad es. per ottenere un consenso valido, se necessario;
5. una fase di sviluppo, compresa la definizione della quantità appropriata di dati personali richiesti, l’esplorazione di soluzioni tecniche che migliorano la privacy e la protezione dei dati personali negli ambienti di sviluppo;
6. una fase di lancio, tra cui l’esecuzione di controlli pre-release, oppure come comunicare nel migliore dei modi eventuali modifiche;
7. una fase post-lancio, incluso il monitoraggio e la valutazione delle correzioni, la rivalutazione delle aspettative e – perché no – la celebrazione dei successi conseguiti in materia di privacy.

Le indicazioni sono specifiche, con esempi per ogni fase. Di seguito ne riprendiamo solo alcune e solo alcuni punti, lasciando alla consultazione del sito dell’ICO la possibilità di approfondire l’insieme.

Oltretutto si badi che l’ICO si indirizza specificamente a produttori che risultino titolari del trattamento (così chiede l’art. 25 GDPR). Ma non si vede ragione per non estendere queste prescrizioni anche a chi si ritroverà nel ruolo di responsabile ex art. 28 GDPR, se si realizza comunque un prodotto poi destinato a gestire i dati personali di terzi titolari propri clienti/utilizzatori. Così fornendo, al contempo, strumenti di propria progettazione o comunque nel proprio dominio e che non potranno essere utilizzati dai titolari se non nel rispetto di questo fondamentale requisito.

La fase preliminare: partire col piede giusto

1. Far salire a bordo gli stakeholder pertinenti è una delle sfide principali del percorso di privacy by design, sia quanto a team che a tempistiche. Il momento fondamentale è quello di kick-off del progetto, dopo potrebbe essere troppo tardi per correggere una serie di problemi che potevano essere risolti solo in fase di progettazione. Quindi non ci si può limitare solo all’approvazione finale, bensì si dovrebbero avere confronti continuativi o perlomeno per vari step con i vari soggetti coinvolti. L’ICO suggerisce l’uso di strumenti centralizzati di confronto come un wiki condiviso, o altri strumenti di team management, per aiutarlo a prendere visione dei progressi effettuati e verificarne la conformità passo dopo passo.
2. Oltretutto andrebbe stabilito chi è responsabile nel prendere decisioni in materia di privacy: un eventuale DPO ha sicuramente voce in capitolo ma non scordiamoci che è il titolare, o suo delegato, ad avere l’ultima parola e gli oneri annessi.
3. Ogni prodotto è diverso e ha funzioni differenti: per garantire la protezione dei dati, è necessario anzitutto considerare quali siano tutti i dati personali utilizzati, mappando specialmente quelli di tipo particolare o relativi a minori. Molto importante è la valutazione di come gli utenti interagiranno con il prodotto, poiché ogni modalità di interazione può portare differenti questioni sul tavolo, lato privacy.
4. I rischi sono da identificare e ponderare a seconda della fonte dei dati (sono forniti dall’utente? oppure osservati dal comportamento utente? ecc.). In tal senso, è importante pure considerare il rapporto corrente tra utente e titolare, l’impatto di eventuali nuove funzioni, l’immaginare scenari di possibili utilizzi malevoli dei dati da parte di agenti malintenzionati.

La fase di design vera e propria (design-thinking)

1. Il documento ICO suggerisce che le questioni relative alla privacy possano essere affrontate attraverso una serie di attività di progettazione, tra cui lo sketching UI, l’architettura dell’informazione, la prototipazione, ecc. Eventuali prototipi o mockup non dovrebbero mai utilizzare dati personali reali o identificativi.
2. I responsabili della fase di design non dovrebbero fornire il loro sign-off fino all’avvenuto confronto sugli aspetti privacy del progetto. Si consiglia di evitare di utilizzare dati di utenti reali durante la prototipazione.Inizio modulo
3. Quanto alla trasparenza, le informative e le informazioni sul trattamento dei dati dovrebbero essere sempre concise, trasparenti, comprensibili, facilmente accessibili e utilizzare un linguaggio chiaro e semplice. Tuttavia spesso, è noto, gli interessati non leggono le informative e si dovrebbero utilizzare più tecniche per catturare l’attenzione degli interessati, come ad es. le notifiche “just-in-time” segnalando solo le informazioni pertinenti al momento in cui sono rilevanti. La tempistica è davvero rilevante: oltre al momento della raccolta dei dati, è importante considerare altri momenti nella “user journey“, come ad es. spiegazioni mostrate durante la fase di registrazione dell’account utente. Ciò per permettere a ogni singolo utente di prendere decisioni informate, quando sono nello stato d’animo migliore per fare scelte ragionevoli. Identificare i momenti giusti può variare a seconda delle persone target e dei loro bisogni specifici.
4. Ancora, si deve permettere agli interessati di esercitare i propri diritti, come il diritto di accesso, di rettifica e di portabilità dei dati, direttamente nell’interfaccia del prodotto. Ad es. può essere fatto fornendo opzioni come moduli online, oppure il download dei dati in locale, come illustrato da alcune immagini fornite dall’ICO.

La fase post-lancio: non è finita qui

1. Una volta immesso il prodotto sul mercato, il ciclo non è affatto concluso: va monitorato quanto accade, ad es. potrebbero sorgere problemi imprevisti (si pensi a un data breach) o scoprirsi aspetti non evidenti prima (ad es. quanto a prodotti basati su soluzioni di machine learning).
2. Si può verificare come le persone interagiscono con le informazioni sulla privacy del prodotto e come compiono scelte relative ai dati, tramite social media, forum o customer service. Se appropriato, si possono analizzare statisticamente e quantificare queste interazioni, pur minimizzando i dati raccolti allo scopo – e tenuto conto che potrebbe essere necessario un consenso per svolgere alcune di queste analisi.
3. L’introduzione di aggiornamenti e nuove funzionalità può cambiare il modo con cui gli utenti comprendono e interagiscono con il prodotto. Se le nuove funzionalità influenzano significativamente le aspettative sulla privacy delle persone o introducono nuovi rischi in tal senso, è necessario riesaminarle e tenerle in considerazione nella prossima funzionalità o iterazione. Se si notano comportamenti significativamente diversi dopo il lancio – in particolare comportamenti non previsti – è opportuno valutarne le eventuali implicazioni privacy.
4. L’ICO menziona un esempio: quello del lancio di una nuova piattaforma di condivisione video, in cui la ricerca successiva ha rivelato che il prodotto è particolarmente popolare tra i minori di 18 anni. Tuttavia il team aveva progettato il prodotto per adulti e non ha considerato i rischi per la privacy dei minori. Questi dati ottenuti post-lancio devono scatenare una revisione dei rischi privacy, da risolvere prioritariamente. Il team può proporre così di introdurre nuove funzionalità per mitigare questi rischi, così che il ciclo di progettazione del prodotto ricominci da capo.
5. La revisione dei progetti passati può aiutare a migliorare la gestione della privacy, ad es. discutendo le sfide affrontate in precedenza e valutando cosa è andato bene e cosa poteva essere migliorato. Infine, si possono celebrare i successi ottenuti nella protezione della privacy con il proprio team, condividendo ciò che si è imparato per migliorare la tutela della privacy in futuro.

Conclusioni

In conclusione, possiamo notare come il fenomeno dell’intelligenza artificiale sia in continua evoluzione e rappresenti una delle sfide più grandi nel prossimo futuro, specie dati i rischi connessi.

È importante, quindi, che le aziende lavorino per sviluppare tecnologie avanzate e allo stesso tempo garantire la sicurezza dei dati e la protezione dei diritti fondamentali.

Tanto più considerata la mole di dati personali utilizzata da queste soluzioni tecnologiche e le possibili operazioni di trattamento, incluso il decision-making, e i connessi, tanti rischi per gli interessati.

Uno degli strumenti elettivi per farlo è e resterà la privacy by design e le indicazioni dell’ICO rappresentano un’utile bussola, di facile consultazione per tutti. Per poter valutare e incorporare in tecnologie anche all’avanguardia, nel miglior modo possibile, i valori sottesi al rispetto della disciplina dei dati personali e dei suoi principi.