30 / 53
SPECIALE GDPR
3VHXGRQLPL]]D]LRQH DQRQLPL]]D]LRQH H LO UXROR GHOOH FHUWL¼FD]LRQL H GHL FRGLFL GL FRQGRWWD
I
l cambiamento delle misure di sicurezza da adottare in
azienda con l’arrivo del GDPR rispetto alla precedente
normativa, costituita dalla Direttiva 95/46/CE (Codice
Privacy) abrogata dal nuovo regolamento, è una delle
novità che merita di essere approfondita e conosciuta
da ogni responsabile aziendale che potrà essere coin-
volto nell’importante processo di adozione del nuovo
Regolamento.
Il tema entra in gioco con quanto disposto dall’art. 32
del regolamento in merito all’obbligo del titolare del
trattamento a “mettere in atto misure tecniche e orga-
nizzative adeguate per garantire un livello di sicurezza
adeguato al rischio”. Misure che devono comprendere
“la capacità di assicurare su base permanente la riserva-
tezza, l’integrità, la disponibilità e la resilienza dei sistemi
e dei servizi di trattamento”.
I NUOVI STRUMENTI
PER METTERE
IN SICUREZZA I DATI
Giuseppe Serafini
Avvocato del Foro di Perugia
Andrea Petrozzi
Dottore in Giurisprudenza
I soggetti interessati che trattano dati personali dovran-
no perciò assicurare al proprio cliente, titolare del trat-
tamento, l’adeguatezza dei dispositivi a quanto previsto
dalla suddetta nuova normativa.
Misure adeguate invece di misure minime
Prima di affrontare l’argomento, in via preliminare, è im-
portante far notare l’importante novità rappresentata
dal fatto che il GDPR abbandona il concetto di “misu-
re minime”, contenuto nel precedente Codice Privacy,
sostituendolo con quello di “misure adeguate”, dove il
concetto di adeguatezza deve comunque tener conto
di una serie di elementi tra cui i rischi per i diritti e le
libertà delle persone fisiche. Questo cambio di approc-
cio ha aperto quindi un importante dibattito ponendo al
centro il tema della crittografia dei dati, soluzione tec-
nologica che viene menzionata diverse volte all’interno
del regolamento.
Per esempio il ‘Considerando 83’ cita: “Per mantene-
re la sicurezza e prevenire trattamenti in violazione al
presente regolamento, il titolare del trattamento o il
responsabile del trattamento dovrebbe valutare i rischi
inerenti al trattamento e attuare misure per limitare tali
rischi, quali la cifratura”.
Tale considerando è stato tradotto nell’art. 32 che di-
spone: “Tenendo conto dello stato dell’arte e dei co-
sti di attuazione, nonché della natura, dell’oggetto, del
contesto e delle finalità del trattamento, come anche
del rischio di varia probabilità e gravità per i diritti e le
libertà delle persone fisiche, il titolare del trattamento
e il responsabile del trattamento mettono in atto misu-
60
dicembre 2017
Come si applica la pseudonimizzazione
La pseudonimizzazione consiste nella sostituzione di un at-
tributo (di solito un attributo univoco) di un dato con un
altro. Ciò comporta dunque che la persona fisica, alla quale
il dato sensibile è collegato, potrebbe pertanto essere an-
cora identificata in maniera indiretta.
Nella pratica si tratta di un effetto di mascheramento dei
dati ottenuto associando a questi uno pseudonimo. In que-
sto caso il collegamento a un’identità certa e definita esiste
ancora, seppur sotto forma di pseudonimo associato ad
una chiave di decifratura, ma solamente chi ha il diritto ad
utilizzare la chiave di decifratura è in grado di risalire all’i-
dentità cui quei dati si riferiscono.