Data Processing Manager:
la blockchain per la conservazione dei consensi privacy

Il GDPR (Regolamento Generale sulla Protezione dei Dati, UE 679/2018), operativo dal 25 maggio 2018, è un primo, riconosciuto e apprezzato, tentativo di porre i diritti digitali dell’utente della Rete prima di ogni altro interesse privato, economico e politico.

L’utilizzo di qualsiasi strumento digitale e dei servizi Internet lascia inevitabilmente tracce del passaggio e, soprattutto negli ultimi anni, ci si è resi conto di quanto queste tracce rappresentino un valore inestimabile. Soprattutto se un’azienda ha scelto di abbracciare i paradigmi data-driven e customer centric. Il mix dei due, infatti, agisce inevitabilmente nella sfera delle informazioni personali e coinvolge l’ambito tecnologico del Data Processing Management.

Le aziende oggi sono in grado di costruire il loro business sulla raccolta, il monitoraggio, l’archiviazione e lo scambio di dati personali ed aziendali, elaborando in modo sistematico e su larga scala schemi comportamentali, preferenze e abitudini di consumo. I modelli di business emergenti, inoltre, implicano che la gestione di questi dati e la raccolta dei consensi per il loro utilizzo venga svolta in modalità digitale e quindi totalmente dematerializzata.

Regolamentato chiaramente dal GDPR, l’utilizzo dei dati personali oggi è subordinato in via esclusiva e non delegabile al meccanismo del Consenso al Trattamento dei Dati, detto brevemente “Consenso Privacy”.

Ogni azienda che, in qualche modo, si configuri come Titolare di Dati Personali, e questo praticamente vale per qualsiasi entità, pubblica o privata, deve essere in grado di dimostrare di essere autorizzata a svolgere ogni specifico trattamento, incluso quello denominato Comunicazione a Terzi, ovvero l’eventuale trasferimento a Terzi per finalità commerciale e operative. È comprensibile come, in questa catena potenzialmente infinita, sia alto il rischio di una certa perdita di controllo da parte del soggetto cui i Dati Personali si riferiscono.

Nel caso in cui i Consensi Privacy siano raccolti e conservati unicamente in formato digitale, la validità e il valore della prova sono subordinati al rispetto di requisiti tecnici che ne imporrebbero la conservazione mediante “misure adeguate” (articolo 32, paragrafo 1 del GDPR). “Misure adeguate” non relativamente al rischio di perdita o violazione dei dati, ma alla possibilità da parte del Titolare di dimostrare di disporre degli effettivi consensi da parte degli interessati.

Interessante, a proposito di tracciabilità dei dati, segnalare il curioso conflitto di interessi per l’azienda che tratta dati: essa è Titolare del Trattamento e quindi beneficiaria del Consenso Privacy raccolto in formato digitale ma - allo stesso tempo - ne è la conservatrice in formato digitale, il che presuppone che ne possa avere il pieno e illimitato controllo - a meno che non abbia posto in essere misure adeguate di autolimitazione, che ne garantiscano la marcatura temporale e la non modificabilità).

In caso di impossibilità di dimostrare di aver applicato le suddette misure adeguate, chi tratta Dati Personali va incontro a condanna e sanzione, perché non può dimostrare che il Consenso di cui dispone in formato digitale sia stato raccolto in data certa e non sia stato modificato nel frattempo.

È evidente, quindi, che un controllo porrebbe in condizioni di analisi praticamente qualsiasi azienda nel mondo. E se l’azienda in questione non è adeguatamente attrezzata sia in termini di competenze che di tecnologie, il rischio di sanzioni che, ricordiamo, possono essere calcolate anche in percentuale rispetto al fatturato, è alto.

Fin dall’introduzione del GDPR, Lutech ha introdotto una soluzione studiata appositamente per mettere l’azienda al riparo dai rischi legati alla non adeguata conservazione dei “Consensi Privacy” digitali. La soluzione sfrutta una tecnologia espressamente sviluppata per la gestione affidabile, trasparente e controllata di qualsiasi tipo di transazione di dati. Parliamo, evidentemente, di una rete decentralizzata peer-to-peer e di un registro pubblico: la blockchain.

La declinazione di Lutech consiste nell’utilizzare una blockchain di tipo “distributed ledger” per assicurare dati e contenuti certi al set dei Consensi Privacy prestati/negati da un Interessato a un Titolare per il trattamento dei dati personali, esclusivamente per specifiche finalità e secondo precise modalità. D’altronde, la “non modificabilità” e la “marcatura temporale” - intrinseche e associate a ogni transazione blockchain – possano e devono essere considerate “misure adeguate” ai sensi della GDPR.

La soluzione Lutech PCS (Privacy-Consent-Server) è una piattaforma tecnologica basata su blockchain che consente a qualsiasi azienda che tratta dati di certificare la “data certa” e il “contenuto” dei Consensi Privacy raccolti sulle proprie piattaforme digitali da chiunque vi interagisca.

In particolare, sulla blockchain (permissionless) gestita dalla piattaforma viene aggiunta una nuova transazione che include la chiave crittografica (hash) costruita in modo strutturato in base ai seguenti dati:

• il codice NDG dell’Interessato (il Cliente che presta/nega il consenso)
• l’identificativo univoco del Titolare del Trattamento Dati (l’azienda che raccoglie i consensi)
• la stringa dei consensi effettivamente prestati/negati
• il timestamp (data/ora/minuti/secondi) della transazione alla quale i consensi si riferiscono.

Una volta memorizzato sulla blockchain, la chiave crittografica diviene immutabile e rimane intrinsecamente rappresentativa in modo definitivo e immutabile de dati che l’hanno originata: soggetti, consensi, marca temporale. Costituendo quindi una misura adeguata in caso di contestazioni legali da parte di qualsiasi soggetto coinvolto nel trattamento dei dati personali.

Gli attori e il processo di interazione con il servizio Lutech Privacy-Consent-Server sono illustrati nello schema in figura 1.

Illustriamo nello specifico il flusso operativo della soluzione blockchain di Lutech:

1. Raccolta del Consenso Privacy 
   L’interessato (normalmente il cliente che sta acquistando un bene/servizio) fornisce il proprio consenso in modo specifico per ogni tipologia di trattamento (presto/nego) attraverso la piattaforma digitale del Titolare (che gli sta offrendo un bene/servizio).
2. Registrazione su blockchain del Consenso Privacy
   La piattaforma digitale del Titolare effettua una chiamata al servizio Lutech PCS che genera una chiave crittografica HASH contenente soggetti/consensi/marca temporale e la registra in una nuova transazione blockchain.
   Per massima trasparenza nei confronti dell’Interessato, il Titolare invia anche una mail all’Interessato stesso, contenente tutto quanto scritto sulla blockchain, inclusa la chiave crittografica.
3. Verifica dei Consensi Privacy da parte del Titolare del Trattamento
   Le applicazioni e i processi operativi del Titolare accedono on-line al PCS per verificare quali siano le effettive specifiche autorizzazioni (Consensi) per i diversi Trattamenti.
4. Trattamento dei dati da parte di Terze Parti autorizzate
   Eventuali terze parti qualificate (e debitamente autorizzate dal Titolare sulla base di uno specifico Consenso prestato a suo tempo dall’Interessato) possono richiedere in tempo reale al Privacy-Consent-Server di Lutech la versione aggiornata dei Consensi (registrati e aggiornati sulla blockchain), così da accedere solamente ai dati per i quali l’Interessato ha prestato il Consenso al Titolare.
5. Aggiornamento Consensi da parte dell’Interessato e diritto all’oblio
   Sulla base dell’effettivo contratto/transazione in essere o conclusa con il Titolare, il soggetto Interessato può modificare in ogni momento i propri Consensi Privacy per i soli trattamenti che non siano obbligatori per la continuazione del rapporto commerciale/giuridico in essere con il Titolare. Per esempio, il Soggetto può negare un consenso a suo tempo prestato per l’invio da parte del Titolare di informative marketing, così da non ricevere più quello specifico tipo di comunicazioni.
   
   L’aggiornamento dei Consensi può essere svolto in autonomia dal Soggetto Interessato (cliente) tramite l’accesso a una funzione fornita dal Titolare (azienda) che, tramite l’integrazione con Lutech Privacy-Consent-Server, scrive una transazione blockchain che rettifica e sostituisce – di fatto – quella precedente, aggiornando i Consensi in base alla volontà dell’Interessato.
   
   Questo risponde ad un preciso requisito del Regolamento UE GDPR (Diritto all’oblio, art. 17 GDPR - Diritto alla Cancellazione)
   
   Nel caso sussistano le condizioni stabilite dall’Art. 17 del GDPR, Lutech Privacy-Consent-Server consente al Cliente di esprimere in modo univoco e inequivocabile la propria volontà di ottenere dal Titolare del Trattamento la cancellazione dei dati personali che lo riguardano, così come stabilito del Regolamento stesso.
   
   L’azione sarà certificata dalla scrittura di una nuova transazione blockchain contenente la relativa chiave crittografica (hash) a garanzia di data certa ed immodificabilità.
6. Verifica da parte delle Autorità di Controllo
   Lutech Privacy-Consent-Server è uno strumento semplice, efficace e adeguato per opporsi a qualsiasi contestazione mossa dal Cliente in merito al trattamento dei propri dati: infatti è sufficiente che l’azienda metta a disposizione del Soggetto Interessato ed eventualmente dell’Organo di Controllo (Garante Privacy, Guardia di Finanza, Magistrato) l’accesso alla piattaforma per constatare quali siano le effettive autorizzazioni, e cioè la versione dei Consensi Privacy che era in vigore nel momento a cui la contestazione si riferisce.