Esiste un principio del GDPR che rovescia la logica con cui di solito si tratta la privacy: invece di aspettare la violazione e correre ai ripari, la protegge prima che il problema esista. Si chiama privacy by design e, insieme alla gemella privacy by default, è disciplinato dall'articolo 25 del GDPR (Regolamento UE 2016/679). Due concetti distinti, spesso confusi: capire la differenza serve tanto a chi progetta servizi quanto a chi li usa.
Privacy by design: la privacy si progetta
Letteralmente "privacy fin dalla progettazione": chi sviluppa un pixelprodotto o servizio che tratta dati personali deve integrare le tutele dalla prima fase ideativa, non aggiungerle dopo. L'idea non nasce in Europa: fu formulata negli anni Novanta da Ann Cavoukian, commissario per la privacy dell'Ontario, e adottata a livello internazionale con la risoluzione della 32ª Conferenza mondiale dei Garanti privacy, svoltasi a Gerusalemme nel 2010. Il GDPR l'ha resa un obbligo legale per tutte le organizzazioni.
In pratica significa domandarsi prima di scrivere una riga di codice: quali dati servono davvero? Dove vengono conservati? Chi può accedervi? Come verranno cancellati? Le misure vanno calibrate su stato di arte, costi e rischi concreti del trattamento (approccio risk based, art. 25 GDPR).
Privacy by default: la privacy è la impostazione predefinita
Il secondo comma dell'articolo 25 riguarda cosa succede quando l'utente usa il servizio senza toccare nulla. Traduzione: le impostazioni predefinite devono essere le più protettive possibile, senza che l'utente debba fare nulla. Vanno trattati per default solo i dati necessari per ogni specifica finalità, senza condivisioni con un numero indefinito di persone senza il consenso esplicito.
L'esempio classico è il social network che, appena ti registri, rende pubblici i tuoi post. Con la privacy by default, sarebbero privati: sei tu a decidere eventualmente di aprirli. L'EDPB ha chiarito l'applicazione pratica con le Linee guida 4/2019 sull'articolo 25, indicando tre strategie operative per i titolari: minimizzare, nascondere e informare.
Perché ti deve interessare come utente
Questi principi ti danno un metro di giudizio immediato per valutare i servizi che usi. Chiediti: questa app cifra di default, o devo attivarlo io? Questa piattaforma condivide i miei dati con tutti, a meno che non scelga il contrario?
I servizi migliori non ti chiedono di intervenire per essere protetti: lo sono da subito. Signal applica la crittografia end-to-end a ogni chat, senza opzioni né eccezioni. Proton cifra le email senza configurazioni. GrapheneOS nasce con impostazioni orientate alla privacy rispetto alla comodità. Sono tutti esempi concreti di privacy by design e by default, non a caso citati come riferimento nelle linee guida internazionali sui sistemi sicuri per progettazione.
Le conseguenze per chi non rispetta i principi
Il mancato rispetto dell'articolo 25 comporta sanzioni significative, con il Garante che ha già richiamato la violazione di questi principi in più provvedimenti. Questo mostra che il principio non è un precetto teorico: la mancata attenzione alla progettazione integra violazione dell'accountability complessiva del titolare.
In conclusione
Privacy by design = protezione costruita dentro il prodotto. Privacy by default = protezione attiva senza che tu muova un dito. Quando scegli un servizio digitale, questi due principi sono la spia più affidabile della serietà di chi lo offre.