Cosa sono le Fair Information Practices? | FIPP

Cosa sono i principi delle pratiche corrette di gestione delle informazioni (FIPP)?

Le Fair Information Practices, note anche come Fair Information Practice Principles (FIPP), sono un insieme di otto principi relativi all'utilizzo, alla raccolta e alla privacy dei dati. Sono state pubblicate nel 1980 dall'Organizzazione per la cooperazione e lo sviluppo economico (OCSE) e diversi paesi le hanno approvate in linea di principio.

Sebbene non facciano ufficialmente parte di alcuna normativa sulla privacy, questi principi continuano a essere rilevanti e influenti ancora oggi. Molte organizzazioni li utilizzano come guida per la gestione dei dati personali. Molti dei principi elencati nelle FIPP sono inclusi in importanti quadri normativi sulla privacy come il Regolamento generale sulla protezione dei dati (GDPR) e il California Consumer Privacy Act (CCPA).

Gli otto principi delle prassi informative eque sono:

1. Principio di limitazione della raccolta. Devono esserci dei limiti alla raccolta di dati personali, e tali dati devono essere ottenuti con mezzi leciti e equi e, ove appropriato, con la conoscenza o il consenso dell'interessato.
2. Principio di qualità dei dati. I dati personali devono essere pertinenti alle finalità per le quali sono elaborati e, nella misura necessaria rispetto a tali finalità, devono essere esatti, completi e aggiornati.
3. Principio di specificazione delle finalità. Le finalità per le quali i dati personali vengono raccolti devono essere specificate, al più tardi, al momento della loro raccolta. L'utilizzo successivo è limitato al raggiungimento di tali finalità o ad altre non incompatibili con esse, che devono specificate in occasione di ogni modifica delle finalità.
4. Principio di limitazione dell'uso. I dati personali non devono essere divulgati, resi disponibili o altrimenti utilizzati per scopi diversi da quelli specificati in conformità al [principio di specificazione delle finalità], salvo nei seguenti casi: a) con il consenso dell'interessato; o b) per disposizione di legge.
5. Principio delle salvaguardie di sicurezza. I dati personali devono essere protetti mediante adeguate misure di sicurezza per prevenire rischi quali perdita, accesso non autorizzato, distruzione, utilizzo improprio, modifica o divulgazione.
6. Principio di trasparenza. È opportuno che viga una politica complessiva di trasparenza in merito a sviluppi, pratiche e politiche riguardanti i dati personali. Devono essere prontamente disponibili strumenti per stabilire l'esistenza e la natura dei dati personali, le finalità principali del loro utilizzo, nonché l'identità e la residenza abituale del titolare del trattamento.
7. Principio di partecipazione individuale. Un individuo deve avere il diritto di:
   1. ottenere da un titolare del trattamento, o in altro modo, la conferma che quest'ultimo detenga o meno dati relativi all'interessato;
   2. ricevere comunicazione, in un tempo ragionevole, sui dati a lui pertinenti; a un costo non eccessivo; in modo ragionevole; e in un formato a lui facilmente comprensibile;
   3. di ricevere una motivazione qualora una richiesta presentata ai sensi delle sottoparagrafi (a) e (b) venga respinta, e di poter contestare tale rifiuto; e
   4. di contestare i dati che lo riguardano e, in caso di esito positivo della contestazione, di ottenere la cancellazione, la rettifica, l'integrazione o la modifica dei dati stessi.
8. Principio di responsabilità. Un titolare del trattamento dei dati deve essere responsabile della conformità alle misure che danno attuazione ai principi di cui sopra.

Come si sono sviluppate le Fair Information Practices?

I FIPP, nella loro fisionomia corrente, si basano sulle raccomandazioni proposte nel 1973 da un comitato consultivo del Dipartimento della Salute, dell'Istruzione e del Welfare degli Stati Uniti. Il rapporto del comitato aveva evidenziato che "le misure di protezione della privacy personale, basate sul nostro concetto di reciprocità nell'archiviazione dei dati, esigono che le istituzioni che archiviano tali dati aderiscano a determinati principi fondamentali di corretta gestione delle informazioni". Il rapporto proseguiva descrivendo diversi principi per la protezione dei dati.

Nel 1980 l'OCSE elaborò ulteriormente queste raccomandazioni, suddividendole negli otto FIPP sopra elencati. Da allora, alle FIPP si è fatto riferimento molte volte, soprattutto negli Stati Uniti. Esse continuano a essere una parte importante delle linee guida sulla privacy e sulla protezione dei dati.

Le Fair Information Practices sono integrate nelle normative sulla privacy?

Le FIPP non fanno parte di alcun requisito ufficiale o legale. Tuttavia, hanno costituito la base per diverse linee guida sulla privacy. Inoltre, riflettono molti principi sulla privacy ampiamente accettati presenti in altri framework ufficiali.

Ad esempio, il principio di partecipazione individuale (n. 7) elenca una serie di diritti che le persone dovrebbero avere. Il CCPA ha codificato alcuni di questi in legge, prevedendo un "diritto di accesso alle informazioni", proprio come descritto nelle parti a) e b) del principio della partecipazione individuale. Il GDPR include anche un "diritto all'oblio", simile alla possibilità di "ottenere la cancellazione dei dati" come descritto nella parte d) del principio di partecipazione individuale.

Come ulteriore esempio, il principio FIPP sulla qualità dei dati ha una controparte nel GDPR: l'articolo 5 stabilisce infatti che i dati personali devono essere "esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per garantire che i dati personali inesatti, tenuto conto delle finalità per le quali sono trattati, siano cancellati o rettificati senza indugio".

È importante notare che questi quadri normativi per la privacy non corrispondono esattamente, per descrizioni e requisiti, ai FIPP. Le organizzazioni che vogliono mantenere la conformità al GDPR, al CCPA o a qualsiasi altra legislazione sulla privacy, devono assicurarsi di ottemperare ai requisiti specifici di questi regolamenti, e non solo ai FIPP.

Cloudflare segue le Fair Information Practices?

Tutti i dipendenti di Cloudflare sono tenuti a seguire una formazione sulla protezione dei dati che illustra le Fair Information Practices, oltre al GDPR e ad altre importanti leggi sulla protezione dei dati. Inoltre, Cloudflare ha rilasciato diversi prodotti (alcuni dei quali gratuiti) per migliorare la privacy degli utenti. Questi prodotti includono:

• Certificati SSL gratuiti
• Web Analytics e privacy-first
• DNS-over-HTTPS
• 1.1.1.1, Un resolver DNS che non traccia le query DNS

Per saperne di più sull'impegno di Cloudflare per la privacy dei dati, leggi gli ultimi aggiornamenti sul blog di Cloudflare.