Ideazione di Privacy by Design

1) A cosa serve (obiettivo e area)

PbD garantisce che la privacy sia incorporata nel prodotto predefinito e non «incollata» in alto. Ciò riduce i rischi regolatori (GDPR/ePrivacy/leggi locali), protegge gli utenti vulnerabili, aumenta la fiducia e riduce i costi degli incidenti. Copertura: web/mobile, KYC/AML/RG, pagamenti, marketing/CRM, analista/DWH, logi/ARM, partner/venditori.

2) Sette principi (e come atterrarli nelle operazioni)

1. Proattività, non reattività

Threat modeling (LINDDUN/STRIDE) nella fase discovery.
Privacy-accettance criteri nei modelli Jira/PR.

2. Privacy di default

Tutti i nebbler di marketing/personalizzazione sono off finché non c'è consenso.
Raccoglie solo gli ID predefiniti «strettamente necessari».

3. Privacy integrata nel design

PII è memorizzato in un tracciato regionale (data residency), control plane senza PII.
Tokenizzazione/alias delle chiavi negli eventi di assistenza.

4. Funzionalità completa (win-win)

Modalità di «analisi anonime» e «personalizzazione con consenso».
Uguale a UX senza discriminazione di chi ha rifiutato il tracking.

5. Sicurezza attraverso il ciclo di vita

Crittografia at rest/in transit; BYOK/HYOK; segmentazione delle reti segreto-gestione.
Registri WORM per prove e verifiche.

6. Trasparenza

Regole brevi e «summary box» condizioni chiave; il pannello privacy del profilo.
Report: chi/cosa/quando/perché era disponibile ai dati.

7. Orientamento utente

Testi semplici, nessun pattern scuro, disponibilità WCAG AA +.
Facile ritiro del consenso e comodi canali DSAR.

3) Ruoli e RACI

DPO/Head of Compliance - Politica di controllo dei rischi, DPIA/TRA. (A)

Sicurezza/Infra Lead - crittografia, accessibilità, riviste, venditori. (R)

Product/UX - Requisiti privacy nei file, nessun dark patterns. (R)

Engineering/Architettura - tokenizzazione, isolamento tenant/region, appalti API. (R)

Data/Analytics - Convider de-PII, PETs, aggregazione. (R)

Legale - basi legali, testi e locali. (C)

Marketing/CRM - consenso/suppressione, comunicazioni oneste. (R)

Controllo internazionale - campionamento di manufatti, CAPA. (C)

4) Classificazione e tassonomia dei dati

PII base: FIO, e-mail, telefono, indirizzo, data di nascita, dispositivo IP/ID.
Sensibili PII: biometria (selfie/live), documenti KYC, informazioni di pagamento, RG/SE states.
Operativi: eventi di gioco, login/trailer (PII-free di default).
Marketing/analisi: cookies/SDK (consensuale).

Regole: minimizzazione, conservazione separata, obiettivo esplicito e conservazione.

5) Ciclo di vita dati (Data Lifecycle)

1. Raccolta: solo i campi necessari; CMR/consenso; Controlli sull'età.
2. Trasmissione - TLS 1. 2+/mTLS, firma webhoot, routing regionale.
3. Archiviazione - crittografia, tornizzazione, rotazione delle chiavi, isolamento dei mercati.
4. Uso: RBAC/ABAC, «need-to-know», PETs per gli analisti.
5. Scambio - DPA/SCC, set minimi, canali di controllo.
6. Ritenzione/rimozione - termine per categoria; delete jobs a cascata; crypto-rimozione degli archivi.
7. Report/controllo - Logi di accesso ed esportazione, artefatti DPIA/DSAR.

6) DPIA/TRA (come fare breve)

Trigger: nuove categorie di PII, categorie speciali, nuove vendette, trasferimenti transfrontalieri, rischi elevati di RG/biometria.
Modello DPIA - Obiettivo della categoria dati , base giuridica, flusso/mappa, rischi di azione (t/org), rischio residuo di soluzione.
Artefatti: diagramma dei flussi, elenco dei campi, tabella dei rischi, protocollo delle negoziazioni.

7) Pattern architettonici

Tenant/Region Isolation: segregazione fisica/logica di database, chiavi e segreti.
Controllo globale vs Data Plane - senza PII; PII solo localmente.
De-PII Pipeline: prima di esportare in DWH - hash/sale, taglio, k-anonimato/cocorting.
Tokenization Gateway - Token al posto degli identificatori primari nel bus di servizio.
Edge senza PII: CDN/edge-cache - solo contenuti pubblici.
Fail-Closed: «player _ region» sconosciuto, impedisce le operazioni con PII.

8) Misure tecniche e standard

Crittografia: AES-256/GCM at rest; TLS 1. 2+/1. 3; PFS.
Chiavi: KMS, BYOK/HYOK, rotazione, accesso ai ruoli HSM, registro delle operazioni chiave.
Accesso: RBAC/ABAC, disponibilità JIT, ruoli di controllo e controllo separati.
Registri invariati (WORM), catene hash, storage nella regione.
DevSecOps: segreti in Vault, SAST/DAST, linter dei campi PII, test di privacy in CI.
Dati di prova: sintetico predefinito; se i dati re sono di identificazione e ritenzione breve.

9) PETs (Privacy-Enhancing Technologies)

Alias - Sostituisce l'ID con i token chiave-map memorizzata separatamente.
Anonimato: aggregazioni, K- Diversity, Bining/Kohort.
Privacy differenziale, rumore sui rapporti, privacy budget.
Analisi federale: modelli locali, esportazione solo pesi/aggregazioni.
Maschera/redazione - Elimina EXIF, blocca i campi nei documenti KYC.

10) UX senza pattern scuri

Uguale visibilità Rifiuta tutto/Accetta tutto/Configura.
Testo comprensibile degli obiettivi e esempi di utilizzo dei dati.
La mancata personalizzazione non compromette l'esperienza di base.
Pannello privacy in 1-2 click dappertutto; disponibilità AA +.

11) Venditori e trasferimento dati

Registro dei venditori: giurisdizione DC, sottoprodotti, certificazione, aree di storage, DPA/SCC/IDTA.
Criterio «set minimo»: solo i campi desiderati, impedendo l'esportazione libera.
Notifica e revisione durante il cambio di posizione/sottoprodotto.

12) Dati ed eventi (modello minimo)

data_asset{id, category{KYC    PCI    RG    CRM    LOG    ANON}, region, owner, retention_days, lawful_basis, pii{yes/no}}
processing_event{id, actor, purpose, lawful_basis, started_at, ended_at, records_count, export{yes/no, basis_id}}
access_log{id, subject_id_hash, actor, action{read/write/export/delete}, ts_utc, reason, ticket_id}
erasure_job{id, subject_id_hash, scope, started_at, completed_at, evidence_id}

13) KPI/KRI e dashboard

PII Minimization Index (numero medio di campi PII per ficu).
Residency Coverage (% dei record nella regione corretta).
Esport Justication Rate (numero di esportazioni con riferimento alla base).
DSAR SLA (mediana di esecuzione/precisione).
Tag senza consenso.
Auditability Score (% delle valigette con pacchetto completo di manufatti).
Incidents/Findings (osservazioni di controllo/regolatore ripetute).

14) Assegno fogli

A. Prima di sviluppare le finestre (Design)

• Individuati gli obiettivi e le basi legali dell'elaborazione.
• Mappa dei dati e elenco dei campi PI/sensibili.
• DPIA/TRA completati; rischi residui accettati.
• È stata elaborata la modalità anonima o la modalità con minimi dati.

B. Prima del lancio (Build/Release)

• Segreti nel gestore, chiavi/crittografia configurate.
• Loghi senza PII; eventi e verifiche sono inclusi.
• Routing e retention regionale sono attivi.
• Test: consent-gate, deny-by-default per i tag, erasure-percorso.

C. In operazioni

• Gelosia trimestrale di disponibilità ed esportazioni.
• Monitoraggio delle violazioni firing e delle richieste transfrontaliere.
• I DSAR/Rimozioni vengono eseguiti entro la data di scadenza; gli artefatti sono conservati.

15) Modelli (inserimento rapido)

A) Modello DPIA (breve)

B) Criteri di minimizzazione dei campi

C) Clausola con venditore (impegno PbD)

D) Risposta a DSAR (estrazione)

16) Errori frequenti e come evitarli

Raccogliendo «per sicurezza».
Crudi da PII in APM. → Occultamento/redazione su agente, archivi locali.
DWH globale con PII.
Nessun artefatto DPIA/consent. repository WORM, istantanee automatiche UI/testi.
Venditori non registrati/SDK.

17) Piano di implementazione di 30 giorni

Settimana 1

1. Approva criteri PbD e modelli DPIA/TRA.
2. Mappa dati/flussi su zone chiave (KYC/PCI/RG/CRM/Logi).
3. Seleziona perimetri regionali (EU/UK/...); Definire un modello di chiavi (BYOK/HYOK).

Settimana 2

4) Abilita la tornitura/de-PII e deny-by-default per i tag.
5) Configura i registri WORM (disponibilità/esportazioni/consent/rimozione).
6) Aggiorna i contratti con i venditori (DPA/SCC, località, processori secondari).

Settimana 3

7) Implementare test di privacy in CI (Linter PII, Crin Screen CMP, erasure-E2E).
8) Rilascio del pannello privacy del profilo; migliorare testi e locali.
9) Esercitare i comandi (Product/Eng/Data/CS/Legale).

Settimana 4

10) Esegui il top fich DPIA, chiudi CAPE.
11) Avvia il dashboard KPI/KRI (Residency, Exports, DSAR SLA).
12) Piano v1. 1: diff. privacy per i rapporti, pipeline federate.

18) Sezioni interconnesse

GDPR: gestione del consenso utente/Cookie e CMP

Localizzazione dei dati per giurisdizione

Controllo dell'età e filtri dell'età

AML/KYC e deposito di manufatti

Dashboard compilazione e monitoraggio/Report regolatori

Controllo interno/esterno e foglio di controllo

BCP/DRP/Crittografia At Rest & In Transit