Privacy by Default e Privacy by Design sono due principi che il GDPR richiama e a cui i titolari devono attenersi nell’applicazione pratica della tutela dei dati personali e sensibili. A più di un anno dall’entrata in vigore del GDPR cosa è effettivamente cambiato nel modo di progettare e realizzare il software sanitario?
Nei capitolati dai gara, la Privacy By Design è di norma presente nei requisiti non funzionali come mero richiamo, senza alcuna specifica su come debba intendersi e declinarsi questo principio. Una frase o poco più che richiede al fornitore che il software debba essere progettato secondo questi principi.
Cosa è invece cambiato lato fornitori, a livello di progettazione e realizzazione del software? A mia percezione poco o nulla. L’attenzione dei progettisti si è focalizzata sulle misure di sicurezza e sulla gestione del consenso informato, due aspetti che rientrano certamente nell’ambito della Privacy by Design ma che non la esauriscono. Bisogna poi osservare che la superficialità della domanda e dei requisiti che questa esprime non stimola certo i fornitori a fare di più.
Quanti sono i fornitori che hanno adottato una metodologia e un framework per l’applicazione della Privacy by Design? Quali sistemi sono stati valutati e progettati – se nuovi – partendo da un’analisi del rischio?
Cosa possono fare allora le aziende sanitarie per adempiere a quanto richiesto dal GDPR? Ecco alcuni suggerimenti pratici per formulare un capitolato tecnico più puntuale:
- Richiedere al fornitore quale metodologia e quale framework hanno adottato per la Privacy by Design, chiedendo di descriverla
- Richiedere al fornitore una completa analisi di rischio del sistema (che andrà poi integrata e calata rispetto all’infrastruttura IT e all’organizzazione dell’azienda sanitaria)
- Richiedere al fornitore un elenco completo delle misure di sicurezza che sono state adottate per mitigare i rischi del sistema
- Richiedere al fornitore un elenco delle possibili contromisure per mitigare i rischi del sistema (oltre quelle tecniche descritte nel punto precedente)
- Richiedere al fornitore una descrizione puntuale della metodologia e della tecnologia impiegata per il controllo degli accessi in funzione dei ruoli e i conseguenti diritti di consultazione dei dati.
L’idea è di spingere i fornitori a dotare le loro soluzioni di una documentazione relativa all’implementazione della Privacy by Default e Privacy by Design; documentazione che, per essere realizzata, richiede un approccio globale e ragionato al tema.
La tematica della Privacy by Design è molto ampia e complessa; non mancano però studi, analisi e metodologie, anche perché questo principio è stato enunciato da Ann Cavoukian nella metà degli anni novanta.
Tra i tanti documenti disponibili online vi segnalo “Privacy by Design“, di John Nwachukwu Okoye della Norvegian University of Science and Technology che potete leggere qui.
È un testo interessante perché, oltre a fornire una buona panoramica sul tema e sulle metrologie e gli approcci fin qui seguiti, approfondisce l’analisi del rischio applicandone i principali attraverso l’esame pratico e la valutazione reale di quattro sistemi di cure remote.
È una lettura che consiglio a tutti coloro che sono interessati al tema.