Questo sito utilizza i cookie per migliorare la navigazione e raccogliere statistiche. Per conoscere in dettaglio la nostra policy sui cookie consulta l'informativa completa.
Continuando a navigare o cliccando X, acconsenti all'uso dei cookie.

IT EN
@1xBG BIG COVER Ideas_01 blockchain GDPR
ideas

Data Processing Manager:
la blockchain per la conservazione dei consensi privacy

Blockchain & GDPR

Sfruttare una tecnologia espressamente sviluppata per la gestione affidabile, trasparente e controllata di qualsiasi tipo di transazione di dati, per assicurare dati e contenuti certi al set dei Consensi Privacy prestati/negati

Scopri di più

Il GDPR (Regolamento Generale sulla Protezione dei Dati, UE 679/2018), operativo dal 25 maggio 2018, è un primo, riconosciuto e apprezzato, tentativo di porre i diritti digitali dell’utente della Rete prima di ogni altro interesse privato, economico e politico.

L’utilizzo di qualsiasi strumento digitale e dei servizi Internet lascia inevitabilmente tracce del passaggio e, soprattutto negli ultimi anni, ci si è resi conto di quanto queste tracce rappresentino un valore inestimabile. Soprattutto se un’azienda ha scelto di abbracciare i paradigmi data-driven e customer centric. Il mix dei due, infatti, agisce inevitabilmente nella sfera delle informazioni personali e coinvolge l’ambito tecnologico del Data Processing Management.

Le aziende oggi sono in grado di costruire il loro business sulla raccolta, il monitoraggio, l’archiviazione e lo scambio di dati personali ed aziendali, elaborando in modo sistematico e su larga scala schemi comportamentali, preferenze e abitudini di consumo. I modelli di business emergenti, inoltre, implicano che la gestione di questi dati e la raccolta dei consensi per il loro utilizzo venga svolta in modalità digitale e quindi totalmente dematerializzata.

Regolamentato chiaramente dal GDPR, l’utilizzo dei dati personali oggi è subordinato in via esclusiva e non delegabile al meccanismo del Consenso al Trattamento dei Dati, detto brevemente “Consenso Privacy”.

Ogni azienda che, in qualche modo, si configuri come Titolare di Dati Personali, e questo praticamente vale per qualsiasi entità, pubblica o privata, deve essere in grado di dimostrare di essere autorizzata a svolgere ogni specifico trattamento, incluso quello denominato Comunicazione a Terzi, ovvero l’eventuale trasferimento a Terzi per finalità commerciale e operative. È comprensibile come, in questa catena potenzialmente infinita, sia alto il rischio di una certa perdita di controllo da parte del soggetto cui i Dati Personali si riferiscono.

Focus on

Gestione digitale e dematerializzata della raccolta e del tracciamento dei consensi

Attenzione all'inversione dell'onere della prova

Ciò che è interessante, e che dovrebbe ulteriormente alzare il livello di attenzione delle aziende sulla raccolta dei dati personali, è che la Giurisprudenza Italiana equipara la Responsabilità di chi effettua il Trattamento dei Dati Personali a quella di chi “esercita attività pericolose”, tale responsabilità è chiaramente inquadrata dall’Art. 2050 del Codice Civile: Responsabilità per l’esercizio di attività pericolose: “…chiunque cagiona danno ad altri nello svolgimento di un’attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee a evitare il danno”.

Pertanto, chi tratta Dati Personali si trova nella situazione della cosiddetta “inversione dell’onere della prova” che prevede che l’azienda Titolare del Trattamento sia ritenuta colpevole da subito e fino a prova contraria: la prova per dimostrare di non essere responsabili del danno deve essere prodotta a cura dell’azienda stessa.

Da qui, le conseguenze, ben esplicitate dal GDPR, per le aziende che, in qualche modo e in qualsiasi momento, non ottemperano al regolamento. È evidente, insomma, che ogni azienda che tratta dati deve mettersi nelle condizioni di potersi difendere da qualsiasi contestazione mossa dall’Interessato riguardo al presunto utilizzo illecito o irregolare dei suoi dati, dimostrando in modo inequivocabile e non opponibile di disporre dell’autorizzazione dell’Interessato stesso (Consenso Privacy) per i trattamenti dei dati che l’azienda stessa svolge.

Consensi dematerializzati e nuovo regolamento UE 679/2018 GDPR

Nel caso in cui i Consensi Privacy siano raccolti e conservati unicamente in formato digitale, la validità e il valore della prova sono subordinati al rispetto di requisiti tecnici che ne imporrebbero la conservazione mediante “misure adeguate” (articolo 32, paragrafo 1 del GDPR). “Misure adeguate” non relativamente al rischio di perdita o violazione dei dati, ma alla possibilità da parte del Titolare di dimostrare di disporre degli effettivi consensi da parte degli interessati.

Interessante, a proposito di tracciabilità dei dati, segnalare il curioso conflitto di interessi per l’azienda che tratta dati: essa è Titolare del Trattamento e quindi beneficiaria del Consenso Privacy raccolto in formato digitale ma - allo stesso tempo - ne è la conservatrice in formato digitale, il che presuppone che ne possa avere il pieno e illimitato controllo - a meno che non abbia posto in essere misure adeguate di autolimitazione, che ne garantiscano la marcatura temporale e la non modificabilità).

In caso di impossibilità di dimostrare di aver applicato le suddette misure adeguate, chi tratta Dati Personali va incontro a condanna e sanzione, perché non può dimostrare che il Consenso di cui dispone in formato digitale sia stato raccolto in data certa e non sia stato modificato nel frattempo.

L'approccio Lutech per la conservazione dei consensi

Lutech Privacy - Consent - Server

Focus sulla chiave crittografica memorizzata nella blockchain, a garanzia di data certa e immodificabilità

È evidente, quindi, che un controllo porrebbe in condizioni di analisi praticamente qualsiasi azienda nel mondo. E se l’azienda in questione non è adeguatamente attrezzata sia in termini di competenze che di tecnologie, il rischio di sanzioni che, ricordiamo, possono essere calcolate anche in percentuale rispetto al fatturato, è alto.

Fin dall’introduzione del GDPR, Lutech ha introdotto una soluzione studiata appositamente per mettere l’azienda al riparo dai rischi legati alla non adeguata conservazione dei “Consensi Privacy” digitali. La soluzione sfrutta una tecnologia espressamente sviluppata per la gestione affidabile, trasparente e controllata di qualsiasi tipo di transazione di dati. Parliamo, evidentemente, di una rete decentralizzata peer-to-peer e di un registro pubblico: la blockchain.

La declinazione di Lutech consiste nell’utilizzare una blockchain di tipo “distributed ledger” per assicurare dati e contenuti certi al set dei Consensi Privacy prestati/negati da un Interessato a un Titolare per il trattamento dei dati personali, esclusivamente per specifiche finalità e secondo precise modalità. D’altronde, la “non modificabilità” e la “marcatura temporale” - intrinseche e associate a ogni transazione blockchain – possano e devono essere considerate “misure adeguate” ai sensi della GDPR.

La soluzione Lutech PCS (Privacy-Consent-Server) è una piattaforma tecnologica basata su blockchain che consente a qualsiasi azienda che tratta dati di certificare la “data certa” e il “contenuto” dei Consensi Privacy raccolti sulle proprie piattaforme digitali da chiunque vi interagisca.

In particolare, sulla blockchain (permissionless) gestita dalla piattaforma viene aggiunta una nuova transazione che include la chiave crittografica (hash) costruita in modo strutturato in base ai seguenti dati:

  • il codice NDG dell’Interessato (il Cliente che presta/nega il consenso)
  • l’identificativo univoco del Titolare del Trattamento Dati (l’azienda che raccoglie i consensi)
  • la stringa dei consensi effettivamente prestati/negati
  • il timestamp (data/ora/minuti/secondi) della transazione alla quale i consensi si riferiscono.

Una volta memorizzato sulla blockchain, la chiave crittografica diviene immutabile e rimane intrinsecamente rappresentativa in modo definitivo e immutabile de dati che l’hanno originata: soggetti, consensi, marca temporale. Costituendo quindi una misura adeguata in caso di contestazioni legali da parte di qualsiasi soggetto coinvolto nel trattamento dei dati personali.

Gli attori e il processo di interazione con il servizio Lutech Privacy-Consent-Server sono illustrati nello schema in figura 1.

Le fasi di processo di Lutech Privacy-Consent-Server

Illustriamo nello specifico il flusso operativo della soluzione blockchain di Lutech:

  1. Raccolta del Consenso Privacy 
    L’interessato (normalmente il cliente che sta acquistando un bene/servizio) fornisce il proprio consenso in modo specifico per ogni tipologia di trattamento (presto/nego) attraverso la piattaforma digitale del Titolare (che gli sta offrendo un bene/servizio).
  2. Registrazione su blockchain del Consenso Privacy
    La piattaforma digitale del Titolare effettua una chiamata al servizio Lutech PCS che genera una chiave crittografica HASH contenente soggetti/consensi/marca temporale e la registra in una nuova transazione blockchain.
    Per massima trasparenza nei confronti dell’Interessato, il Titolare invia anche una mail all’Interessato stesso, contenente tutto quanto scritto sulla blockchain, inclusa la chiave crittografica.
  3. Verifica dei Consensi Privacy da parte del Titolare del Trattamento
    Le applicazioni e i processi operativi del Titolare accedono on-line al PCS per verificare quali siano le effettive specifiche autorizzazioni (Consensi) per i diversi Trattamenti.
  4. Trattamento dei dati da parte di Terze Parti autorizzate
    Eventuali terze parti qualificate (e debitamente autorizzate dal Titolare sulla base di uno specifico Consenso prestato a suo tempo dall’Interessato) possono richiedere in tempo reale al Privacy-Consent-Server di Lutech la versione aggiornata dei Consensi (registrati e aggiornati sulla blockchain), così da accedere solamente ai dati per i quali l’Interessato ha prestato il Consenso al Titolare.
  5. Aggiornamento Consensi da parte dell’Interessato e diritto all’oblio
    Sulla base dell’effettivo contratto/transazione in essere o conclusa con il Titolare, il soggetto Interessato può modificare in ogni momento i propri Consensi Privacy per i soli trattamenti che non siano obbligatori per la continuazione del rapporto commerciale/giuridico in essere con il Titolare. Per esempio, il Soggetto può negare un consenso a suo tempo prestato per l’invio da parte del Titolare di informative marketing, così da non ricevere più quello specifico tipo di comunicazioni.

    L’aggiornamento dei Consensi può essere svolto in autonomia dal Soggetto Interessato (cliente) tramite l’accesso a una funzione fornita dal Titolare (azienda) che, tramite l’integrazione con Lutech Privacy-Consent-Server, scrive una transazione blockchain che rettifica e sostituisce – di fatto – quella precedente, aggiornando i Consensi in base alla volontà dell’Interessato.

    Questo risponde ad un preciso requisito del Regolamento UE GDPR (Diritto all’oblio, art. 17 GDPR - Diritto alla Cancellazione)

    Nel caso sussistano le condizioni stabilite dall’Art. 17 del GDPR, Lutech Privacy-Consent-Server consente al Cliente di esprimere in modo univoco e inequivocabile la propria volontà di ottenere dal Titolare del Trattamento la cancellazione dei dati personali che lo riguardano, così come stabilito del Regolamento stesso.

    L’azione sarà certificata dalla scrittura di una nuova transazione blockchain contenente la relativa chiave crittografica (hash) a garanzia di data certa ed immodificabilità.
  6. Verifica da parte delle Autorità di Controllo
    Lutech Privacy-Consent-Server è uno strumento semplice, efficace e adeguato per opporsi a qualsiasi contestazione mossa dal Cliente in merito al trattamento dei propri dati: infatti è sufficiente che l’azienda metta a disposizione del Soggetto Interessato ed eventualmente dell’Organo di Controllo (Garante Privacy, Guardia di Finanza, Magistrato) l’accesso alla piattaforma per constatare quali siano le effettive autorizzazioni, e cioè la versione dei Consensi Privacy che era in vigore nel momento a cui la contestazione si riferisce.

Lutech Privacy-Consent-Server è uno strumento semplice, efficace e sicuro per opporsi a qualsiasi contestazione mossa dal Cliente

Contatta Lutech

Ti invitiamo a prendere visione dell' informativa marketing.

Inserire un valore
Inserire un valore
Inserire un'email valida
Inserire un numero di telefono valido
Inserire un valore
Inserire un valore
Inserire un valore

Cliccando sul pulsante “Conferma” dichiaro di aver letto e compreso l'informativa marketing

Acconsento a ricevere comunicazioni commerciali e promozionali relative a servizi e prodotti nonché messaggi informativi relativi alle attività di marketing, così come esplicitato nella suddetta Informativa

Per favore, seleziona la casella.

Si è verificato un errore, si prega di riprovare più tardi

Grazie per il tuo interesse


Abbiamo ricevuto la tua richiesta di contatto, ti contatteremo a breve per approfondire le tue esigenze di business.
 

ideas

Vision & Trends sulla Digital Transformation