Storia e origini delle PET

Le PET, acronimo dell’espressione “Privacy Enhancing Technologies” (Tecnologie di potenziamento della privacy), costituiscono un fenomeno che non è nuovo e risale a metà degli anni ‘90.

Difatti, nel 1995 il titolo di un innovativo rapporto commissionato dal Commissario per l’informazione e la privacy dell’Ontario, in Canada, e dall’Autorità olandese per la protezione dei dati1 conteneva la frase “Privacy-enhancing technologies: the path to anonymity” (Tecnologie per la tutela della privacy: il percorso verso l’anonimato).

Tuttavia, il rapporto appena menzionato faceva riferimento al software denominato “Mix networks”, sviluppato da David Chaum2 per ottenere realizzare comunicazioni anonime e non osservabili su una rete, considerando proprio tale prodotto come la prima PET.

Nello stesso anno 1995, precisamente il 23/11/1995, veniva pubblicata nella Gazzetta Ufficiale delle Comunità europee (oggi Gazzetta Ufficiale dell’Unione europea) la Direttiva 95/46/CE “relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”, che costituiva la prima disciplina europea in materia di protezione dei dati personali.

Va sottolineato che la menzionata Direttiva conteneva un riferimento – seppure non esplicito – all’anonimizzazione, posto che il Considerando 26 statuiva “i principi della tutela non si applicano a dati resi anonimi in modo tale che la persona interessata non è più identificabile”.

Inoltre, l’art. 6(1)(e) della Direttiva 95/46/CE stabiliva che i dati personali devono essere “conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati”.

Assume, quindi, rilievo la previsione di un limite alla conservazione dei dati e l’obbligo di cancellazione dopo la scadenza del termine, fatta salva la conservazione solo per determinate finalità. Tale concetto è stato confermato nel Regolamento UE 2016/679 (GDPR).

È appena il caso di evidenziare come in Italia, il Codice della privacy (D.Lgs. 196/2003), prima della modifica apportata dal D.Lgs. 101/2018 che lo ha reso compatibile con le norme del GDPR, conteneva un riferimento al concetto di PET all’art. 3 ove si leggeva “i sistemi informativi sono configurati riducendo al minimo l’utilizzazione dei dati personali e di dati identificativi”. L’espressione “riducendo al minimo” richiama proprio l’approccio delle PET.

Cosa è accaduto in Europa?

Nel 2007 la Commissione europea pubblicava il documento “COMUNICAZIONE DELLA COMMISSIONE AL PARLAMENTO EUROPEO E AL CONSIGLIO sulla promozione della protezione dei dati mediante tecnologie di rafforzamento della tutela della vita privata (PET) - COM(2007) 228 definitivo”, nel quale si legge:

«CHE COSA SONO LE TECNOLOGIE PET? - Esistono diverse definizioni delle PET nell'ambito della comunità accademica e dei progetti pilota in questo settore. Secondo il progetto PISA finanziato dalla CE, ad esempio, con PET si intende un sistema coerente di misure nel settore delle TCI che tutela la privacy sopprimendo o riducendo i dati personali ovvero evitando un qualunque trattamento innecessario e/o indesiderato dei dati personali, preservando al contempo la funzionalità del sistema di informazione. L'uso delle PET può contribuire all'ideazione di sistemi e servizi di informazione e comunicazione che permettono di ridurre al minimo la raccolta e l'uso di dati personali e di favorire il rispetto delle norme sulla protezione dei dati. La Commissione, nella sua prima relazione sull'attuazione della direttiva relativa alla protezione dei dati, ha affermato che "l'utilizzo di misure tecnologiche appropriate costituisce un compromesso essenziale agli strumenti giuridici e dovrebbe costituire parte integrante di qualunque sforzo volto a conseguire un livello sufficiente di tutela della privacy ...". L'uso delle tecnologie PET dovrebbe consentire di contrastare le violazioni di talune norme sulla protezione dei dati o di contribuire al loro rilevamento».

Nell’ottobre 2010 la 32ma Conferenza internazionale dei Garanti privacy (32nd International Conference of Data Protection and Privacy Commissioners - ICDPPC), tenutasi a Gerusalemme (27-29 Oottobre 2010), su proposta del Commissioner dell’Ontario dell’epoca (Ann Cavoukian), adottò la Risoluzione sulla privacy by design che è una pietra miliare nel percorso storico che porterà all’art. 25 del GDPR.

La Commissione europea, non potendo quindi ignorare la risoluzione su PbD, pubblicò la “COMUNICAZIONE DELLA COMMISSIONE AL PARLAMENTO EUROPEO, AL CONSIGLIO, AL COMITATO ECONOMICO E SOCIALE EUROPEO E AL COMITATO DELLE REGIONI - Un approccio globale alla protezione dei dati personali nell’Unione europea - COM(2010) 609” del 4.11.2010.

Con questa comunicazione la Commissione europea, tra l’altro, affermava che:

«Potrebbe rivelarsi importante a questo proposito promuovere l'uso delle tecnologie di rafforzamento della tutela della vita privata (PET - Privacy Enhancing Technologies), come già evidenziato dalla comunicazione della Commissione del 2007 sull'argomento, e del principio "privacy by design, anche per garantire la sicurezza dei dati».

In nota si legge:

«In base al principio della "privacy by design" la protezione della vita privata e dei dati personali è integrata in tutto il ciclo di vita delle tecnologie, dalla fase di progettazione iniziale allo sviluppo, uso e smaltimento finale. Questo principio figura tra l'altro nella comunicazione della Commissione "Un’agenda digitale europea", COM(2010) 245».

Evidentemente, la Commissione europea non poteva ignorare il tema della PbD e così, già nel 2010, lo recepì nell’agenda digitale europea.

Il tema della PbD ebbe ulteriore sviluppo dopo la 32ma Conferenza internazionale dei Garanti privacy del 2010 e fu consolidato nel documento dal titolo “Privacy by Design - Strong Privacy Protection – Now, and Well into the Future - A Report on the State of PbD to the 33rd International Conference of Data Protection and Privacy Commissioners” (che menziona anche noi), presentato nel 2011 dalla Commissioner dell’Ontario dell’epoca, Ann Cavoukian, alla 33ma Conferenza internazionale dei Garanti privacy (33rd International Conference of Data Protection and Privacy Commissioners - ICDPPC).

In Europa nel 2012 veniva avviavo il progetto di riforma della disciplina in materia di protezione dei dati personali, sfociato nel Regolamento 2016/679 (GDPR).

Come su riportato, i principi della “protezione dei dati fin dalla progettazione e protezione per impostazione predefinita” sono attualmente regolati dall’art. 25 del GDPR, rispettivamente al paragrafo uno (by design) e al paragrafo due (by default).

Tale previsione normativa ha rappresentato un’assoluta novità in quanto precedentemente nella legislazione europea e nazionale tali principi non esistevano.

I recenti interventi a livello internazionale sulle PET

Il tema delle PET è stato abbandonato o ha continuato a suscitare interesse?

Si tratta ovviamente di una domanda retorica perché quanto descriviamo di seguito conferma che l’interesse per le Privacy Enhancing Technologies (PET) è accresciuto nel corso degli anni e, quindi, non si è mai esaurito.

Infatti, nel 2022 la Casa Bianca ha pubblicato un documento dal titolo “Advancing a Vision for Privacy-Enhancing Technologies” nel quale si legge (Ndr, la traduzione è nostra):

«Lo sviluppo delle tecnologie di potenziamento della privacy, comunemente note come “PET”, può fornire un percorso verso questo futuro, sfruttando le tecnologie basate sui dati, come l'intelligenza artificiale (AI), e preservando al contempo la privacy».

Infine, a marzo del 2023, l’OECD (Organisation for Economic Co-operation and Development – in italiano, Organizzazione per la Cooperazione e lo Sviluppo Economico – OCSE) ha pubblicato il report dal titolo “Emerging Privacy Enhancing Technologies - current regulatory and policy approaches”.

Tale rapporto costituisce uno studio aggiornato sul fenomeno delle Privacy Enhancing Technologies, con l’obiettivo di fornire una valutazione sul loro livello di maturità nell’attuale contesto.

Per esigenze di trattazione approfondiremo questo documento nella seconda parte.

Le PET e i c.d. PIMS

Ragionando per acronimi - che spiegheremo a breve - il tema delle PET è collegato a quello dei PIMS.

Difatti, le Privacy Enhancing Technologies (PET) dovrebbero essere basate su “sistemi di gestione”.

A cosa ci riferiamo con l’acronimo PIMS?

Tale acronimo è idoneo a esprimere due concetti differenti, sebbene compatibili tra loro.

Infatti, PIMS esprime entrambe le definizioni riportate di seguito:

  1. “Personal Information Management Systems” (Sistemi di gestione delle informazioni personali);
  2. “Privacy Information Management System” (Sistema di gestione delle informazioni sulla privacy);

Con riferimento al primo (Personal Information Management Systems) la Commissione Europea (DG CONNECT) il 23 novembre 2016 ha pubblicato lo studio - concluso nel gennaio 2016 - dal titolo “An emerging offer of ‘personal information management services’ - Current state of service offers and challenges”.

Il focus di questo studio, in conformità alla comunicazione sulla data-driven economy, era sul “concetto di tecnologie basate sul cloud controllate dall’utente per l’archiviazione e l’utilizzo dei dati personali (“spazi per i dati personali”)”. Detto documento, da un lato, richiamava servizi quali mydex, myWave, Digi.me, Meeco, Qiy Foundation. Dall’altro, descriveva sistemi open di identificazione dell’identità online (open identification) fra i quali OAuth, OpenID, OpenID Connect, Kantara UMA16, Universal Authentication Framework e Universal Second Factor.

Sempre riguardo ai Personal Information Management Systems, si è espresso anche l’EDPS (European Data Protection Supervisor) dapprima con l’"Opinion 9/2016 on Personal Information Management Systems - Towards more user empowerment in managing and processing personal data" del 20 ottobre 2016, nella quale sintesi iniziale leggiamo (Ndr, la traduzione è nostra):

«Il presente parere esplora il concetto di tecnologie ed ecosistemi che mirano a mettere gli individui in condizione di controllare la condivisione dei propri dati personali ("sistemi di gestione delle informazioni personali" o, in breve, "PIMS")».

Successivamente, l’EDPS il 6 gennaio 2021, all’interno del TechDispatch #3/2020, ha pubblicato il documento dal titolo “Personal Information Management Systems”, con il quale descrive proprio i Personal Information Management Systems (PIMS). Detto documento inizia con la domanda “Cosa sono i Sistemi di getione delle informazioni personali?”.

Riportiamo di seguito la prima parte della risposta dell’EDPS, utile a fornire i necessari chiarimenti di base (Ndr, la traduzione è nostra).

«Il concetto di PIMS offre un nuovo approccio in cui gli individui sono i "detentori" della propria formazione personale. I PIMS consentono agli individui di gestire i propri dati personali in sistemi di archiviazione sicuri, locali o online, e di condividerli quando e con chi desiderano. Gli individui potranno decidere quali servizi possono utilizzare i loro dati e quali terze parti possono condividerli. Ciò consente un approccio umano centrico ai dati personali e ai nuovi modelli di business, proteggendo dalle tecniche illegali di tracciamento e profilazione che mirano ad aggirare i principi chiave della protezione dei dati».

Pertanto, i sistemi di gestione delle informazioni personali (Personal Information Management Systems) sono quelli che consentono agli individui di avere il controllo sui propri dati personali. In particolare, qualsiasi servizio online (cloud, archivi, vault, blockchain, ecc.) o anche offline, i quali sistemi consentano alle persone fisiche di avere il controllo sui propri dati personali (anche autorizzando, negando o revocando il consenso a terzi per l’accesso ai propri dati personali) e di gestire la propria identità online. Il tema del controllo da parte dell’interessato dei propri dati personali è, comunque, contenuto nel Considerando(7) del GDPR.

Riguardo, invece, al secondo, Privacy Information Management System occorre fare riferimento alla norma ISO/IEC 27701:2019 Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines. Questo documento, infatti, specifica i requisiti e fornisce una guida per la creazione, l’implementazione, il mantenimento e il miglioramento continuo di un sistema di gestione delle informazioni per la protezione dei dati personali.


In conclusione, com’è evidente, sebbene i due ambiti (Personal Information Management Systems e Privacy Information Management System) siano espressi dal medesimo acronimo PIMS, gli stessi fanno riferimento a contesti differenti ma non opposti tra loro che potrebbero anche convivere. Difatti, lo sviluppatore di una PET che adotti un sistema di gestione delle informazioni personali potrà decidere anche di implemetare un sistema di gestione delle informazioni sulla privacy secondo la norma ISO/IEC 27701.

Terminiamo qui la prima parte di questo contributo sulle PET, rinviando l’approfondimento alla seconda parte che pubblicheremo a breve.


(A) Image by stockgiu

Se questa risorsa è stata utile, puoi contribuire con

Buy me a coffee

o donare via

Liberapay


Follow us on Mastodon

Stay tuned!


  1. a) Information and Privacy Commissioner, Ontario, Canada and Registratiekamer, The Netherlands. Privacy-enhancing technologies: the path to anonymity, volume 1. Technical report, 1995. b) Information and Privacy Commissioner, Ontario, Canada and Registratiekamer, The Netherlands. Privacy-enhancing technologies: the path to anonymity, volume 2. Technical report, 1995 (entrambi non più disponibili online nella versione originale). Tuttavia, i riferimenti sono disponibili nel report dal titolo “Privacy by Design An Overview of Privacy Enhancing Technologies” del 26/11/2008. ↩︎

  2. David Chaum ha pubblicato il concetto di Mix Networks nel 1979 nel suo articolo: “Posta elettronica non rintracciabile, indirizzi di ritorno e pseudonimi digitali”. ↩︎