L’accesso non è una nozione univoca. È, anzitutto, il diritto dell’interessato di conoscere i dati che lo riguardano e le modalità del trattamento; ma è anche l’operazione con cui un soggetto entra in un archivio, consulta un fascicolo, utilizza un applicativo o supera il varco di un luogo nel quale dati personali sono custoditi.

Muovendo da questa duplicità, è possibile leggere la protezione dei dati come una disciplina delle soglie.

La disciplina delle soglie

I dati personali non abitano uno spazio indistinto ed evanescente: sono conservati e trattati in archivi, uffici, dispositivi, piattaforme, server e infrastrutture cloud.

Anche quando il trattamento si svolge in ambienti digitali, esso poggia su infrastrutture, dispositivi, luoghi e assetti organizzativi concreti.

La loro tutela dipende dalla capacità dell’organizzazione di progettare e governare soglie fisiche, logiche, organizzative, temporali e conoscitive: stabilire chi possa entrare, quali operazioni possa compiere, in base a quale titolo, per quanto tempo e con quali possibilità di verifica.

In questa prospettiva, il diritto di accesso ex art. 15 GDPR rende l’archivio permeabile a livello conoscitivo alla persona cui i dati si riferiscono, senza attribuirle le chiavi dei sistemi o un diritto di ingresso nei locali del titolare.

L’art. 32 presidia, invece, tra gli altri, gli accessi indebiti, mentre l’art. 25 impone che tali confini siano progettati fin dall’origine del trattamento.

Privacy by design e security by design non coincidono, ma convergono nel governo selettivo degli accessi: proteggere i dati non significa chiudere ogni porta, bensì disegnare soglie appropriate, tracciabili, revocabili e proporzionate.

L’accesso come parola-ponte

Nel lessico della protezione dei dati personali, “accesso” è una parola più densa di quanto sembri.

È il diritto riconosciuto alla persona di conoscere i dati che la riguardano e il modo in cui vengono trattati.

Ma è anche l’operazione materiale con cui qualcuno entra in un archivio, apre un fascicolo, consulta una cartella condivisa, supera il varco di un’area riservata.

Le due dimensioni non sono estranee l’una all’altra. Il GDPR può essere letto anche come una disciplina delle soglie: protegge i dati erigendo confini fisici, logici e organizzativi contro gli accessi indebiti, ma impone che quel perimetro resti attraversabile dalla persona cui i dati si riferiscono.

La protezione dei dati è anche una disciplina dei confini: non impone di chiudere ogni porta, ma di stabilire quali porte possano aprirsi, per chi, in quali circostanze, per quali finalità e con quali garanzie.

Entrambe le accezioni di significato di “accesso” interrogano quindi il perimetro del trattamento e il titolo abilitante all’accesso stesso.

Il Regolamento Generale sulla Protezione dei Dati non disciplina soltanto dati, diritti e misure di sicurezza separatamente, ma disciplina le condizioni di attraversamento delle soglie che separano persone, luoghi, sistemi e conoscenza.

Dall’archivio cartaceo al cloud, la materialità dei dati e dei loro spazi

I dati personali abitano luoghi concreti. Questa può apparire un’osservazione ovvia, ma è una premessa decisiva.

Lo spazio digitale ha infatti una dimensione logica e astratta, ma si realizza attraverso luoghi, dispositivi, infrastrutture e persone: archivi cartacei, uffici, armadi, aree riservate, postazioni di lavoro, computer, corrispondenza cartacea e caselle di posta elettronica, repository documentali, server, data center e infrastrutture cloud.

Il GDPR non protegge i dati rendendoli semplicemente segreti o inaccessibili; costruisce, invece, un sistema di soglie, stabilendo chi possa entrare negli spazi nei quali i dati sono custoditi, a quale titolo, per quali finalità, con quali limiti e con quale possibilità di controllo.

Non sempre tra il piano fisico e quello logico corre una cesura netta. Una porta chiusa, un tesserino (badge), una chiave, un armadio, una password, un sistema di autenticazione multifattoriale e un profilo autorizzativo (livello di accesso) rispondono tutti alla stessa domanda: chi può oltrepassare questa soglia? Ecco la risposta.

L’architettura delle soglie: accessi, poteri e conoscibilità

Il governo degli accessi e delle soglie chiama in causa direttamente l’articolo 32 del General Data Protection Regulation: tale norma richiede misure tecniche e organizzative adeguate al rischio e considera espressamente il rischio di distruzione, perdita, modifica, divulgazione o accesso non autorizzato, accidentale o illecito, a dati personali.

L’idea di fondo è che la sicurezza non consiste nell’avere molte barriere, ma nell’averle appropriate, differenziate e verificabili. Questa lettura trova conferma anche nella guida pratica dell’EDPB rivolta alle piccole e medie imprese.

Nel trattare la sicurezza dei dati personali, il Comitato richiama il controllo dell’accesso ai locali, la protezione fisica di documenti e apparecchiature, la differenziazione (o segregazione) delle aree in relazione al rischio, la gestione dei visitatori e il riesame delle autorizzazioni d’ingresso.

Ogni trattamento delinea una soglia

Si tratta di indicazioni applicative, non di un elenco di misure obbligatorie e uniformi; esse mostrano, però, che la sicurezza del trattamento non coincide con la sola protezione logica dei sistemi, ma include anche la progettazione adeguata dei luoghi nei quali dati, supporti e apparati risultano concretamente custoditi o accessibili.

Le soglie possono essere fisiche, logiche, organizzative, temporali e conoscitive; a ciascun tipo sono associati una funzione, rischi e domande operative da porsi.

Ogni trattamento disegna una soglia.

Una porta dell’ufficio, un armadio chiuso, un badge e una password sono espressioni diverse della stessa funzione: decidere chi può entrare, a quali condizioni e per fare cosa.

Dimensioni attraverso cui osservare il medesimo accesso

Le soglie non costituiscono categorie rigidamente separate né un elenco tipizzato dal GDPR.

Sono piuttosto dimensioni attraverso le quali osservare il medesimo accesso: un varco può essere al tempo stesso fisico, organizzativo e temporale; l’accesso a un applicativo può richiedere autenticazione, autorizzazione e istruzioni interne; la conoscibilità del trattamento costituisce, infine, il contrappeso di trasparenza rispetto alla necessaria selettività degli ingressi.

La tabella

Le 5 soglie

Le cinque soglie non operano isolatamente. La soglia fisica impedisce l’ingresso materiale; quella logica traduce il perimetro autorizzativo in poteri tecnici; quella organizzativa attribuisce tali poteri a un titolo e a una responsabilità; quella temporale ne impedisce la sopravvivenza oltre la necessità; quella conoscitiva rende l’intero assetto comprensibile e controllabile.

La protezione dei dati non è dunque il risultato di una sola barriera, ma della coerenza tra tutte queste soglie.

Il badge e il lettore di badge sono un esempio immediato della funzione della soglia fisica, con una dimensione di tracciabilità organizzativa: abilitano in combinazione fra loro l’ingresso in un luogo protetto, dietro decisione aziendale, ma registrano anche il passaggio della persona attraverso il varco; quelle registrazioni, poiché riferibili a un individuo, sono a loro volta dati personali e richiedono un trattamento conforme.

Il diritto di accesso come soglia conoscitiva

Nel sistema appena delineato, l’interessato non è un estraneo da tenere fuori. Il diritto di accesso sancito dall’articolo 15 del GDPR, infatti, come ben spiegano le Linee guida 1/2022 sui diritti degli interessati – Diritto di accesso, si articola in tre elementi: la conferma che sia o meno in corso un trattamento di dati personali riguardanti l’interessato; l’accesso a tali dati personali; l’accesso alle informazioni concernenti il trattamento, come le finalità, le categorie dei dati e i destinatari.

Il diritto di accesso non attribuisce un diritto di visita ai locali, di consultazione autonoma dei database o di utilizzo degli applicativi del titolare; attribuisce il diritto a ricevere dati e informazioni idonei a rendere effettiva la conoscenza del trattamento.

L’interessato, dunque, non ottiene le chiavi del sistema né un titolo per entrare nei locali del titolare, ma qualcosa di diverso e decisivo: il potere di imporre al titolare di rendere conoscibili i dati che lo riguardano e il trattamento che lo coinvolge.

L’interessato, pur riuscendo a ottenere i dati in forza del diritto, potrebbe non riuscire a oltrepassare la soglia conoscitiva effettiva a causa della complessità del trattamento e delle modalità di conservazione e custodia dei dati da parte del titolare del trattamento.

Diritto di accesso e misure di sicurezza

È qui che il GDPR, letto alla luce delle citate Linee guida, si spinge oltre chiedendo al titolare stesso di fornire le informazioni in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro.

Quindi, il diritto di accesso rende l’archivio permeabile a livello conoscitivo alla persona cui i dati si riferiscono; le misure di sicurezza ne preservano invece l’impermeabilità rispetto a chi non disponga di un titolo legittimo.

Progettare le soglie: privacy by design e security by design

Letta come disciplina delle soglie, la protezione dei dati mostra con chiarezza il punto di incontro tra privacy by design e security by design, intendendo con quest’ultima espressione (nell’accezione di sicurezza fisica o physical security) l’approccio che, combinando elementi architettonici, tecnologie e procedure, integra le misure di protezione contro minacce e intrusioni fin dalle prime fasi di pianificazione, progettazione e costruzione di un’installazione o di un impianto.

L’articolo 25 GDPR impone al titolare di incorporare garanzie adeguate fin dalla progettazione del trattamento e della scelta dei suoi mezzi, affinché i principi del regolamento e i diritti dell’interessato risultino effettivi nella pratica.

Non si tratta quindi di aggiungere un’informativa, una policy o un controllo di sicurezza quando il sistema è già in funzione, bensì di decidere in anticipo quali dati entreranno nel sistema, quali spazi li ospiteranno, chi potrà raggiungerli e per quali finalità.

I due concetti, allora, letti insieme, non si limitano a chiedere di ridurre la quantità di dati raccolti o il periodo della loro conservazione, ma incidono sul disegno stesso delle soglie: una cartella condivisa non deve essere accessibile a tutti per impostazione predefinita; al profilo di un applicativo non devono essere attribuiti privilegi più ampi del necessario; un archivio cartaceo non deve restare disponibile a chi transita nell’ufficio; un account deve essere disattivato quando cessano le funzioni che ne giustificavano l’abilitazione.

I concetti di security e privacy by design

La security by design dà concretezza fisica, tecnica e organizzativa alla privacy by design: autenticazione, segregazione dei ruoli, cifratura, controllo degli accessi fisici, registri di log e procedure di revoca, assieme alla protezione fisica degli spazi, non proteggono soltanto l’infrastruttura, ma rendono effettiva la selettività dell’accesso che la protezione dei dati richiede.

Protezione dei dati e sicurezza non coincidono: la prima comprende anche finalità, minimizzazione, trasparenza e diritti degli interessati; la seconda presidia la protezione degli asset e degli spazi nei quali i dati si trovano o diventano accessibili.

Quando, però, il trattamento è osservato con la chiave di lettura delle soglie, i concetti finiscono per rafforzarsi reciprocamente: non può esservi privacy by design se le porte dell’archivio restano indistintamente e costantemente aperte; non può esservi allo stesso tempo security by design adeguata, se il sistema non distingue tra l’accesso necessario, quello eccedente e quello privo di titolo.

Governare l’apertura, presidiare il confine

Il titolare conforme non è, dunque, quello che rende l’archivio ermeticamente chiuso.

È quello che sa renderlo selettivamente accessibile: aperto alla conoscenza dell’interessato, circoscritto a chi opera per necessità e su istruzione, precluso agli estranei, tracciabile nelle sue aperture e richiudibile quando viene meno il titolo abilitante.

La qualità di questo disegno può essere misurata ponendo alcune domande semplici, ma tutt’altro che formali e banali. Chi può oltrepassare il perimetro materiale nel quale sono custoditi i dati o strumenti che consentono di raggiungerli o trattarli? Chi può visualizzare estrarre, modificare, cancellare o trasmettere dati e con quali limiti? Chi è autorizzato a trattare secondo quali istruzioni e con quali responsabilità? Quali sono i criteri con i quali un’abilitazione o un permesso vengono assegnati, riesaminati e revocati?

Sono domande che non richiedono necessariamente l’implementazione di ulteriori e più sofisticate tecnologie, ma impongono al titolare di conoscere e progettare il trattamento sotto tutte le dimensioni.

Solo così la protezione dei dati diviene un criterio organizzativo che mette il titolare in condizione di essere accountable..