Insieme all'Avv. Marco Mittone svolgo Data Protection Impact Assessment (DPIA) a partire dall'analisi e dalla verifica delle infrastrutture software aziendali. L'Avv. Mittone segue gli aspetti giuridici, mentre io analizzo come il software tratta effettivamente i dati personali: luoghi e modalità di conservazione, controllo degli accessi, tempi di conservazione, comunicazione a fornitori terzi ed eventuali trasferimenti verso paesi terzi.
Ambiti di intervento
- Analisi tecnica dei trattamenti: mappatura dei flussi di dati personali tra applicazioni, database, servizi cloud e fornitori esterni, a supporto del registro dei trattamenti e della DPIA.
- Valutazione delle misure tecniche: controllo degli accessi, cifratura dei dati a riposo e in transito, gestione dei log, backup, politiche di conservazione e cancellazione.
- Privacy by design e by default nella progettazione del software: modelli dei dati che separano i dati personali da quelli di dominio, minimizzazione, anonimizzazione e pseudonimizzazione, supporto tecnico all'esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, portabilità), cifratura lato client dove appropriata.
- Servizi AI e dati personali: analisi dei dati personali comunicati ai fornitori di modelli linguistici attraverso prompt e log, valutazione dei relativi rischi e delle misure di mitigazione (minimizzazione, filtri, modelli eseguiti in locale).
Interventi pubblici
Ho trattato questi temi a CloudConf 2020 (Privacy by design nelle architetture cloud) e, insieme a Marco Mittone, a FullStackConf 2019 (Privacy nel Cloud: GDPR, Anonimizzazione e Cancellazione).