Le Privacy Enhancing Technologies (PETs)

Il fenomeno delle Privacy Enhancing Technologies

A marzo del 2023 l'OECD (Organisation for Economic Co-operation and Development – in italiano Organizzazione per la Cooperazione e lo Sviluppo Economico – OCSE. Sul sito istituzionale si legge che “l'OCSE è un' Organizzazione internazionale che opera per creare politiche migliori per una vita migliore”) ha pubblicato il report dal titolo “Emerging Privacy Enhancing Technologies - current regulatory and policy approaches”. Il rapporto, articolato in cinque paragrafi, costituisce uno studio aggiornato sul fenomeno delle Privacy Enhancing Technologies, con l'obiettivo di fornire una valutazione della loro maturità nell'attuale stato dell'arte. Essa si basa sui principi delle Linee guida OCSE sulla privacy e sul modo in cui le PET possono contribuire all'attuazione di tali principi.

Sebbene non esista una definizione comunemente accettata di PET, il documento in questione propone alcune definizioni presenti sia in report istituzionali sia in contributi dottrinali. Il fenomeno delle PET non è nuovo.

L'espressione "Privacy Enhancing Technologies" è stata coniata nel 1995, utilizzata come titolo di un innovativo rapporto commissionato dal Commissario per l'informazione e la privacy dell'Ontario, in Canada, e dall'Autorità olandese per la protezione dei dati (precisamente: a) Information and Privacy Commissioner, Ontario, Canada and Registratiekamer, The Netherlands. Privacy-enhancing technologies: the path to anonymity, volume 1. Technical report, 1995; b) Information and Privacy Commissioner, Ontario, Canada and Registratiekamer, The Netherlands. Privacy-enhancing technologies: the path to anonymity, volume 2. Technical report, 1995. Entrambi i contributi non sono più disponibili online nella versione originale; tuttavia, i riferimenti sono disponibili nel report dal titolo “Privacy by Design An Overview of Privacy Enhancing Technologies” del 26/11/2008). In realtà, dal rapporto del 1995 appena menzionato emerge che oltre un decennio prima era stato realizzato un software ("Mix networks"), classificabile come la prima PET ideata da David Chaum (David Chaum ha pubblicato il concetto di Mix Networks nel 1979 nel suo articolo dal titolo "Posta elettronica non rintracciabile, indirizzi di ritorno e pseudonimi digitali") come mezzo per ottenere comunicazioni anonime e non osservabili su una rete.

È appena il caso di rilevare che in Europa, prima del Regolamento UE 2016/679 (GDPR), la Direttiva 95/46/CE, al considerando 26 stabiliva che “i principi della tutela non si applicano a dati resi anonimi in modo tale che la persona interessata non è più identificabile”, per cui nella stessa era già contenuto il riferimento, sia pur non esplicito, all'anonimizzazione. L'art. 6 della Direttiva 95/46/CE, inoltre, prevedeva un limite alla conservazione dei dati e dopo la scadenza del termine i dati stessi potevano essere conservati solo per determinate finalità.

Il Codice della Privacy (d.lgs. 196/2003), nella sua versione antecedente a quella vigente, recepiva questo concetto all'art. 3, che stabiliva come “i sistemi informativi sono configurati riducendo al minimo l'utilizzazione dei dati personali e di dati identificativi”. L'espressione “riducendo al minimo” richiama proprio l'approccio delle PETs.

Le Privacy-enhancing technologies assumono rilievo primario in quanto costituiscono il primo gradino verso la Privacy by Design (PbD), concetto che poi è stato cristallizzato nei ben noti principi “Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita” codificati nel GDPR (art. 25).

Successivamente, nel 2007 la Commissione europea pubblicava il documento “Comunicazione della Commissione al Parlamento Europeo e al Consiglio sulla promozione della protezione dei dati mediante tecnologie di rafforzamento della tutela della vita privata (PET) - COM(2007) 228 definitivo”, nel quale si legge “Che cosa sono le tecnologie Pet? Esistono diverse definizioni delle PET nell'ambito della comunità accademica e dei progetti pilota in questo settore. Secondo il progetto PISA finanziato dalla CE, ad esempio, con PET si intende un sistema coerente di misure nel settore delle TCI che tutela la privacy sopprimendo o riducendo i dati personali ovvero evitando un qualunque trattamento innecessario e/o indesiderato dei dati personali, preservando al contempo la funzionalità del sistema di informazione. L'uso delle PET può contribuire all'ideazione di sistemi e servizi di informazione e comunicazione che permettono di ridurre al minimo la raccolta e l'uso di dati personali e di favorire il rispetto delle norme sulla protezione dei dati. La Commissione, nella sua prima relazione sull'attuazione della direttiva relativa alla protezione dei dati, ha affermato che "l'utilizzo di misure tecnologiche appropriate costituisce un compromesso essenziale agli strumenti giuridici e dovrebbe costituire parte integrante di qualunque sforzo volto a conseguire un livello sufficiente di tutela della privacy ...". L'uso delle tecnologie PET dovrebbe consentire di contrastare le violazioni di talune norme sulla protezione dei dati o di contribuire al loro rilevamento”.

Nell'ottobre 2010, circa 15 anni dopo il primo documento sulle PETs, la 32ma Conferenza internazionale dei Garanti privacy (International Conference of Data Protection and Privacy Commissioners - ICDPPC), tenutasi a Gerusalemme, su proposta del Commissioner dell'Ontario (Ann Cavoukian), adottò una risoluzione sulla privacy by design che è una pietra miliare nel percorso storico che porterà all'art. 25 GDPR. 

Subito dopo, la Commissione europea, non potendo ignorare la risoluzione su PbD, pubblicò la “comunicazione della Commissione al Parlamento Europeo, al Consiglio, al Comitato Economico e Sociale Europeo e al Comitato delle Regioni - Un approccio globale alla protezione dei dati personali nell'Unione europea COM(2010) 609” del 4 novembre 2010. Con questa comunicazione la Commissione europea, tra l'altro, affermava che “potrebbe rivelarsi importante a questo proposito promuovere l'uso delle tecnologie di rafforzamento della tutela della vita privata (PET - Privacy Enhancing Technologies), come già evidenziato dalla comunicazione della Commissione del 2007 sull'argomento, e del principio "privacy by design, anche per garantire la sicurezza dei dati.”

In nota si legge che «in base al principio della "privacy by design" la protezione della vita privata e dei dati personali è integrata in tutto il ciclo di vita delle tecnologie, dalla fase di progettazione iniziale allo sviluppo, uso e smaltimento finale. Questo principio figura tra l'altro nella comunicazione della Commissione "Un'agenda digitale europea", COM(2010) 245».

In sostanza, la Commissione europea prendeva coscienza di quanto fosse rilevante il tema della PbD, tanto da averlo addirittura recepito nell'agenda digitale europea già nel 2010.

Il tema della PbD continuò a essere sviluppato sempre più dopo la conferenza del 2010, tanto da ricevere una conferma a livello istituzionale, in quanto nel 2011 il Commissioner dell'Ontario  presentò alla 33ma Conferenza il documento dal titolo “Privacy by Design - Strong Privacy Protection – Now, and Well into the Future - A Report on the State of PbD to the 33rd International Conference of Data Protection and Privacy Commissioners”.

Nel 2012 veniva avviato il progetto di riforma della disciplina europea in materia di protezione dei dati personali che poi è sfociato nel Regolamento 2016/679 (GDPR).

Come su riportato, i principi della “protezione dei dati fin dalla progettazione e protezione per impostazione predefinita” sono attualmente regolati dall'art. 25 GDPR e, specificamente:

• al paragrafo uno, il principio “fin dalla progettazione” (“by design”), indicando, tra le “misure tecniche e organizzative adeguate”, la pseudonimizzazione;
• al paragrafo due, il principio “per impostazione predefinita” (“by default”).

Si tratta di una assoluta novità sul piano normativo, in quanto precedentemente non esistevano tali principi sia nell'ordinamento europeo sia in quello nazionale, sebbene anche nella Convenzione n. 108/1981 e nella sua versione “modernizzata” (Protocollo di modifica della Convenzione per la protezione delle persone delle persone fisiche con riguardo al trattamento dei dati personali, adottato dal Comitato dei Ministri nella sua 128a Sessione a Elsinore il 18 maggio 2018) sussista il riferimento alla conservazione dei dati e al limite di conservazione degli stessi.

Nel 2022 la Casa Bianca ha pubblicato un documento dal titolo “Advancing a Vision for Privacy-Enhancing Technologies” nel quale si legge che «Lo sviluppo delle tecnologie di potenziamento della privacy, comunemente note come “PET”, può fornire un percorso verso questo futuro, sfruttando le tecnologie basate sui dati, come l'intelligenza artificiale (AI), e preservando al contempo la privacy».

Come funzionano le PET?

Si è detto che le PET costituiscono soluzioni per implementare strumenti finalizzati a favorire la protezione delle informazioni personali, mediante l’utilizzo di tecniche, tra le quali, la crittografia, l'anonimizzazione, la pseudonimizzazione, il controllo degli accessi e la privacy by design (PbD).

Con la crittografia si convertono i dati in codice illeggibile, in modo che solo gli utenti autorizzati possano accedere alle informazioni, mentre mediante l'anonimizzazione e la pseudonimizzazione si rimuovono o sostituiscono le informazioni personali che rendono identificabile la persona fisica, in modo che i dati possano anche essere utilizzati, ad esempio, per la ricerca o altri scopi evitando o riducendo il rischio di identificazione dell’interessato.

Più specificamente, l’art. 4 GDPR definisce la pseudonimizzazione nei termini seguenti: “il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile”.

Tale definizione, quindi, indica una tecnica che ha la finalità di evitare l’associazione di informazioni personali che potrebbero individuare direttamente o indirettamente una persona.

Riguardo alle tecniche di anonimizzazione, va menzionato il parere del Gruppo ex art. 29 (attualmente Comitato europeo per la protezione dei dati - European Data Protection Board - EDPB) contenuto nel documento WP 126 che illustra diverse tecniche di anonimizzazione e nel quale si precisa come l’anonimizzazione sia operazione diversa dalla pseudonimizzazione.

In realtà, da tempo è stato dimostrato (Latanya Sweeney, “Computational disclosure control: a primer on data privacy protection”, 2001) quanto sia facile effettuare attacchi a dataset di dati anonimizzati con il risultato dell’identificazione del soggetto.

Altra tecnica interessante è quella nota come “Differential privacy”. Nel citato parere WP126 si indica che la privacy differenziale è una tecnica di anonimizzazione riconducibile alla randomizzazione e viene collocata tra le soluzioni di anonimizzazione.

Le categorie di PET

L’imponente sviluppo tecnologico realizzatosi nel corso del tempo consente oggi di fare ricorso a diverse soluzioni algoritmiche e infrastrutturali per potenziale la privacy delle persone fisiche. Ci sono stati diversi tentativi di classificazione delle PET.

Il documento dell’OCSE individua quattro generali categorie di PET e precisamente:

1. Data obfuscation tools (strumenti di offuscamento dei dati);
2. Encrypted data processing tools (strumenti di elaborazione dati criptati);
3. Federated and distributed analytics (analisi federata e distribuita);
4. Data accountability tools (strumenti di responsabilizzazione dei dati).

L’OCSE considera le tecniche di anonimizzazione, pseudonimizzazione, differential privacy, synthetic data, zero-knowledge proofs (ZKP) esempi rientranti nella categoria “Data obfuscation”. Allo stesso modo, per l’OCSE federated learning e distributed analytics costituiscono esempi classificabili nella categoria “Federated and distributed analytics”.

Tuttavia, si registrano altre classificazioni, soprattutto in ambito sanitario, posto che alcuni (Jordan Sara, Fontaine Clara, Hendricks-Sturrup Rachele, "Selecting Privacy-Enhancing Technologies for Managing Health Data Use", in Frontiers in Public Health, vol. 10, 2022, www.frontiersin.org/articles/10.3389/fpubh.2022.814163) ritengono che le PET appartengano alle tre seguenti categorie generali:

• Algorithmic;
• Architectural;
• Augmentation based.

All’interno di tali categorie generali si individua un’ulteriore classificazione declinabile come segue:

• Algorithmic PETs: 1) Homomorphic encryption; 2) Differential privacy; 3) Zero-knowledge proofs,
• Architectural PETs: 1) Federated learning; 2) Multi-party computation,
• Augmentation PETs: 1) Synthetic data; 2) Digital twinning.

È evidente che, nonostante ci siano diverse proposte di classificazione, alcune categorie di PET sono comuni come il federated learning; ciò conferma che non esiste univocità nel processo di categorizzazione.

Il documento dell’OCSE già menzionato evidenzia diverse categorizzazioni delle PET anche in ragione dell’istituzione dalla quale provengono. Tali differenze si basano fondamentalmente sul diverso approccio che esiste negli USA e in Canada rispetto all’Europa.

Il documento dell’OCSE precisa che l'OPC (Office of the Privacy Commissioner of Canada di Ottawa) nel 2017 ha realizzato una tassonomia delle PET basata sulle "funzionalità/capacità che forniscono a all’utente finale", che includono: (i) consenso informato, (ii) minimizzazione dei dati, (iii) tracciamento dei dati, (iv) anonimato, (v) controllo, (vi) negoziazione di termini e condizioni, (vii) applicazione tecnica, (viii) verifica a distanza dell'applicazione e (ix) uso dei diritti legali. Tuttavia, il rapporto dell’OPC sottolinea la difficoltà di classificare le tecnologie in base alle funzionalità, poiché alcune tecnologie possono offrirne diversi tipi.

PET principali e più diffuse

Ci sono molte soluzioni disponibili che possono essere qualificate come PET, alcune delle quali sono utilizzate in modo più ampio di altre.

Le PET sono quanto mai rilevanti oggigiorno, soprattutto con riferimento alla comunicazione digitale per la quale si utilizzano sistemi di messaggistica istantanea (es., WhatsApp, Messenger, ecc.). Le Privacy Enhancing Technologies, pertanto, risultano efficaci per proteggere la privacy degli utenti nella comunicazione digitale. Tra le più note e diffuse PET, preferibilmente open source, vi sono:

• strumenti di crittografia per criptare file, quali VeraCrypt, Cryptomator, PicoCrypt;
• Browser, tra i quali meritano di essere menzionati LibreWolf, Firefox, Brave, Mullvad Browser, TOR (il progetto per l’anonimato nella navigazione in rete);
• Motori di ricerca quali SearXNG (motore di metaricerca che rispetta la privacy), DuckDuckGo e Brave Search;
• Password Manager quali Bitwarden e KeePass XC;
• Multi factor authenticator quali le chiavette Yubico Yubikey e Nitrokey e il software Raivo OTP;
• App di messaggistica istantanea quali Session, XMPP, Matrix - Element e Signal;
• Email quali ProtonMail e Tutanota;
• Cloud quali Nextcloud e Filein;
• Social Network quali Mastodon e Minds;
• VPN (acronimo di Virtual Private Network, ossia rete virtuale privata, per stabilire una connessione privata quando si utilizzano le reti pubbliche; con la VPN il traffico Internet è cifrato e nasconde l’identità online) quali ProtonVPN e Mullvad VPN.

In conclusione

Le PET, quindi, si possono identificare con qualsiasi soluzione che sia finalizzata, mediante l’utilizzo di specifiche tecnologie, a migliorare la protezione dei dati personali e la privacy delle persone fisiche.

Le PET, nonostante esistano da oltre quaranta anni, sono in continuo sviluppo in ragione dell’evoluzione delle tecnologie più innovative che via via vengono realizzate (si pensi, ad esempio, alla blockchain e al Web3).

Dall’approfondimento delle Privacy Enhancing Technologies emerge come tale fenomeno abbia avuto impatti anche su altri ambiti, tra i quali la governance dei dati, la protezione dei dati personali e la privacy. Da ciò ne consegue che si rende necessario un approccio che faccia riferimento non solo agli strumenti legislativi vigenti ma anche alle norme tecniche contenute in standard approvati dagli organismi istituzionali (UNI, CEN, ISO).

Peraltro, così come è evidente il cambiamento determinato dal progresso tecnologico, allo stesso modo vi è stata un’evoluzione culturale, probabilmente realizzatasi non parallelamente, che ha segnato profondamente altri settori, tra i quali quelli della protezione dei dati personali e della privacy.

Tutto ciò impone, così come per altri fenomeni (ad esempio, l’intelligenza artificiale), la necessità di approfondire nuovi modelli che consentano di adottare un approccio innovativo e diverso rispetto al passato. Ne è un esempio DAPPREMO, acronimo di “Data Protection and Privacy Relationships Model”, che costituisce un modello innovativo in ambito protezione dei dati personali e privacy, basato su alta matematica e teoria degli insiemi.

La scelta di utilizzare le PET impone un rafforzamento della formazione e della cultura della protezione dei dati personali e della privacy, specialmente in Europa ove essi costituiscono diritti fondamentali.