Recentemente, nell’ambito della sua serie Digital Economy Papers, l’ OCSE ha pubblicato un report sulle tecnologie emergenti per il miglioramento della privacy, ovvero quelle soluzioni digitali che consentono di raccogliere, elaborare, analizzare e condividere informazioni proteggendo la riservatezza e la privacy dei dati: i cosiddetti PETs (Privacy-Enhancing Technologies).
Il rapporto fornisce una nuova categorizzazione dei PETs, identificando 14 differenti tipologie, ed esplora i recenti progressi tecnologici compiuti in questo ambito. L’ Organizzazione per la cooperazione e lo sviluppo economico (OCSE) ha come scopo quello di fornire un’occasione di confronto tra i paesi membri su esperienze politiche, risoluzione di problemi comuni, identificazione di pratiche commerciali e coordinamento delle politiche locali ed internazionali, e quello di promuovere iniziative che favoriscano la prosperità, l’uguaglianza, l’opportunità e benessere per tutti…
Esiste una definizione di PET?
Ad oggi non esiste una definizione universalmente accettata di cosa sia una privacy-enhancing technology (PET): esistono, invece, molte definizioni che dipendono in parte dal contesto e dalla tecnologia utilizzata. ENISA, l’Agenzia dell’Unione Europea per la Cybersicurezza, li definisce “soluzioni hardware e software che permettono agli individui di ottenere specifiche funzionalità di protezione della loro privacy o di prevenire rischi correlati alla privacy dei dati”; a sua volta, l’Information Commissioner’s Office (ICO) del Regno Unito li ha definiti come “tecnologie che incarnano i principi fondamentali della protezione dei dati riducendo al minimo l’uso dei dati personali, massimizzando la sicurezza dei dati e/o responsabilizzando le persone”.
Nel recente report OCSE, i PETs sono definiti come “un insieme di tecnologie, approcci e strumenti digitali che consentono l’elaborazione e l’analisi dei dati proteggendo la riservatezza, e in alcuni casi anche l’integrità e la disponibilità dei dati”, evidenziando però che non si tratta di strumenti autonomi: “allo stesso modo in cui gli chef utilizzano una varietà di ingredienti per formare una ricetta”, dice il report, “i PETs sono gli ingredienti che possono essere combinati per raggiungere determinati obiettivi di privacy e protezione dei dati”.
Categorie di PETs
Esistono approcci differenti anche per quanto riguarda la categorizzazione dei PETs (Privacy-Enhancing Technologies). Il report ricorda che ENISA nel 2016 ha suddiviso i PETS in base alla tipologia degli strumenti utilizzati, differenziandoli in:
- Secure Messaging Tools
- Virtual Private Networks
- Anonymising Networks
- Anti-tracking Tools.
L’ufficio del Privacy Commissioner del Canada ha invece considerato i PETs in base alle funzionalità offerte all’utente, identificando categorie quali:
- Informed Consent
- Data Minimization
- Data Tracking
- Anonymity
- Control
- Negotiate Terms and Conditions
- Technical Enforcement
- Remote Audit of Enforcement
- Use of Legal Rights.
Il National Institute of Standards and Technology (NIST) identifica cinque diverse aree funzionali (Identify, Govern, Control, Communicate, Protect) e 18 diverse categorie all’interno di queste aree.
È però la US Federal Reserve Bank (FRB) di San Francisco ad aver fornito a oggi l’approccio più completo dal punto di vista delle nuove tecnologie emergenti, poiché ha scelto di identificarli in base alle loro funzioni e pertanto ha definito tre categorie:
- Altering Data (anymisation, pseudonymisation, differential privacy e synthetic data)
- Shielding Data (encryption, homomorphic encryption, e privacy enhanced hardware)
- Systems and Architecture (multi-party computation, data dispersion, management interfaces, e digital identity).
Originariamente, l’OCSE nel suo report del 2002 aveva categorizzato i PETs in quattro categorie, considerandone gli aspetti architetturali:
- Personal
- Web-Based
- Information Brokers
- Network-Based.
Il report attuale introduce una nuova tassonomia che si basa sulle seguenti:
- Data Obfuscation Tools
- Encrypted Data Processing Tools
- Federated and Distributed Analytics
- Data Accountability Tools
e 14 tipi differenti di PETs, identificati attraverso la tecnologia di riferimento.
Nella categoria Data Obfuscation, ha un posto di primo piano la crittografia, riconosciuta come elemento fondamentale per abilitare, ad esempio, la pseudonimizzazione, ma vi trovano posto anche i Dati Sintetici, la Privacy Differenziale e lo Zero-Knowledge Proofs (ZKP). Come ricorderemo, la Privacy Differenziale è un approccio ben noto a livello accademico, dove sono state presentate diverse ricerche specifiche, ma ad oggi poco applicata su larga scala, approccio che tra l’altro è stato accusato di non fornire sufficienti garanzie privacy. Lo ZKP offre apprezzabili opportunità per la protezione della privacy, ma al momento le applicazioni che ne fanno uso sono ancora poche e dedicate per lo più al mondo delle criptovalute, sebbene si stiano valutando anche impieghi in altri ambiti, come quello sanitario, quello per la verifica dell’età o per la gestione delle identità digitali.
A questo proposito, il Laboratoire d’Innovation Numérique del CNIL, l’Autorità francese per la protezione dei dati personali, ha recentemente condotto una dimostrazione di come sia possibile utilizzare una soluzione basata su ZKP per la verifica dell’età di un individuo, tutelandone la privacy.
Encrypted Data Processing Tools
Gli Encrypted Data Processing Tools rappresentano probabilmente la categoria di PETs (Privacy-Enhancing Technologies) più significativa in ambito privacy. La fase di trattamento dei dati, che richiede che il dato sia in chiaro per essere trattato, può dare origine a importanti vulnerabilità sia da un punto di vista di security che di privacy. I recenti progressi tecnologici hanno permesso di superare questo problema, e gli Encrypted Data Processing Tools permettono di eseguire computazioni sui dati che però rimangono crittografati durante il trattamento. Le tecniche alla base di questi strumenti sono ben note da tempo, ma solo grazie ai moderni calcolatori, e alla loro crescente potenza computazionale, è stato possibile metterle in pratica.
I PETs che fanno parte di questa categoria, tra cui ricordiamo l’Homomorphic Encryption, la Multi-Party Computation (MPC) e la Private Set Intersection (PSI), un sottoinsieme della MPC, hanno le carte in regola per apportare, nei prossimi anni, un grande contributo alla privacy dei dati.
Le Federated and Distributed Analytics consentono di eseguire attività, ad esempio nel campo dell’Intelligenza Artificiale, come l’addestramento di modelli, su dati che non sono visibili o accessibili a coloro che eseguono tale attività. Pertanto, gli eventuali dati sensibili rimangono riservati, e non vengono condivisi con la terza parte che svolge l’analisi. I PETs di questa categoria includono i Federated Learning, dove i dati grezzi non vengono trasferiti ma pre-elaborati, e solo la statistica riassuntiva viene condivisa con chi deve eseguire l’attività, e le Distributed Analytics, dove i dati vengono mantenuti in uno store centrale, e solo la parte relativa all’addestramento viene distribuita, permettendo quindi agli eventuali dati sensibili di essere maggiormente protetti perché permanentemente mantenuti nello store centrale.
Data Accountability Tools
I Data Accountability Tools forniscono nuovi controlli su come i dati possono essere raccolti e utilizzati, e su come garantire l’immutabilità delle transazioni. Fanno parte di questa categoria gli Accountable Systems, ovvero quei sistemi che gestiscono l’uso e la condivisione dei dati, e ne monitorano la conformità, i Threshold Secret Sharing (TSS) noti anche come Multi-party Computation Threshold Signing (MPCts), paragonabili a una versione digitale di una cassetta di sicurezza chiusa con più lucchetti separati, le cui chiavi sono detenute da persone diverse, e i Personal Data Store, che hanno l’obiettivo di fornire agli utenti il controllo granulare dei propri dati.
I PETs nell’ambito dei regolamenti sulla privacy dei dati
Poiché i regolamenti sulla privacy dei dati sono indipendenti dalla tecnologia, non troveremo in essi espliciti riferimenti ai PETs (Privacy-Enhancing Technologies). Tuttavia, come lo stesso report dell’OCSE ci ricorda, i legami con la Privacy By Design e by Default, introdotto per la prima volta nel 2010 dal Commissario per l’informazione e la Privacy dell’Ontario (Canada) Ann Cavoukian, è pressoché evidente.
In ambito europeo, già nel 2019, ci ricorda il report, l’EDPB ha fornito specifici orientamenti riguardo ai PETs e al loro utilizzo, evidenziando come, se maturi, i PETs possano essere utilizzati come misura ai sensi dell’articolo 25 del Regolamento Generale sulla Protezione dei Dati (GDPR) 2016/679, anche se, da soli, senza un approccio basato sul rischio, non possano essere automaticamente sufficienti a coprire i requisiti richiesti dall’articolo 25 del GDPR.
Oltre ad essere considerati nell’ambito della “Privacy by Design”, approccio presente in molti dei regolamenti privacy esistenti, i PETs si rendono utili anche per soddisfare gli obblighi normativi relativi alla sicurezza del trattamento dei dati personali, in particolare per quando riguarda la pseudonimizzazione e la crittografia, che nell’articolo 32 del GDPR, “Sicurezza del Trattamento”, vengono citati come misure adeguate; inoltre, sono generalmente considerati utili anche per dimostrare l’accountability dei Titolari del Trattamento.
Tra le tante iniziative delle Autorità di Protezione dei Dati, ricorderemo quella di ICO che nel settembre 2022 ha pubblicato un draft di orientamento ai PETs, sottoposto a consultazione pubblica, ad oggi forse uno degli esempi più completi sulla materia.
Conclusioni
Con questo report l’OCSE si propone di fornire una panoramica sui PETs esistenti e sul loro stato dell’arte. Si tratta di una panoramica ad alto livello, e non di una indagine approfondita e tecnologica.
Nel mondo iper-connesso e tecnologico in cui viviamo, quando i dati vengono raccolti ed eventualmente trasferiti, è sempre più difficile, se non impossibile, per i singoli individui comprendere come i dati vengono utilizzati, esercitare un controllo efficace, opporsi a certi tipi di raccolta. Inoltre, il rischio di perdere il controllo dei propri dati si moltiplica in tutti quei casi in cui i dati sono ulteriormente condivisi, e in particolare quando queste condivisioni avvengono nell’ambito di giurisdizioni differenti. Tutto ciò ha l’effetto di aumentare considerevolmente il rischio di violazioni dei dati su larga scala e il loro utilizzo improprio, come nel caso che tutti ricordiamo di Cambridge Analytica.
Il report evidenzia come l’obiettivo dei PETs (Privacy-Enhancing Technologies) sia quello di garantire la continuità della protezione della privacy anche dopo che i dati sono stati raccolti o trasferiti ad altri soggetti, sebbene da soli essi non possano garantire la sicurezza dell’intero trattamento o evitare l’insorgenza di certi tipi di rischi, come ad esempio la discriminazione: possono però rivelarsi efficaci ad integrazione delle norme giuridiche esistenti. Le ricerche svolte dall’ OCSE mostrano come l’utilizzo dei PETs sia fondamentale nell’ambito della privacy by design e della security by design.
Attualmente sono molte le iniziative che vedono i PETs protagonisti ma è necessaria una maggiore cooperazione tra i paesi membri, sia a livello normativo che nell’ambito della ricerca scientifica e tecnologica, per identificare modi, mezzi e tecnologie affinché l’utilizzo dei PETs si riveli efficace per la privacy e la protezione dei dati, e per far sì che tali strumenti possano essere applicati su larga scala, e non rimangano relegati al mondo accademico o della ricerca scientifica.
Articolo originariamente pubblicato il 07 Apr 2023
