Storicamente, il termine “clean room” (letteralmente “stanza pulita” in italiano) è stato coniato per descrivere un ambiente sicuro, pulito e sterilizzato, tipico di alcuni settori della ricerca scientifica (ad esempio quelli alimentare, farmaceutico e medicale), nel quale non possono né entrare e dal quale non possono uscire materiali, particelle o elementi contaminanti.
Data Clean Room: sicurezza e protezione dei dati
Lo stesso termine è stato riutilizzato anche nel mondo delle operazioni societarie straordinarie, e quindi della finanza, legale ed in generale del mondo delle fusioni e acquisizioni (“Mergers & Acquisitions”), in cui le clean room sono delle stanze nelle quali si può entrare solo se strettamente autorizzati e nelle quali soggetti esterni alla società hanno la possibilità di accedere ad informazioni rilevanti per effettuare la “due diligence”, ossia l’attività di analisi e valutazione dello stato finanziario, amministrativo, legale e quindi generale di una società (o parte di essa) in ottica di un acquisto di quote o azioni (o altre operazioni straordinarie). Queste stanze fisiche, già da molti anni, si sono trasformate in stanze virtuali, che offrono la possibilità di effettuare le stesse tipologie di attività, ma solo attraverso strumenti informatici.
Le Data Clean room, come concepite al giorno d’oggi, sono strumenti che condividono alcune esigenze di sicurezza e di protezione in relazione ad alcune informazioni (dati), ma che hanno tipicamente contenuti ed ambiti applicativi molto più estesi, relativi a tutte le casistiche di data collaboration immaginabili.
In particolare, sono utilizzate in modo consistente nel mondo della pubblicità digitale e del marketing, oltre che nel mondo della ricerca informatica, per la strutturazione di analisi predittive, nel settore sanitario o farmacologico per finalità di ricerca scientifica ed analisi epidemiologica, nel mondo bancario e finanziario per condivisione di dati e prevenzione di frodi, nonché nel settore pubblico sempre per finalità legate alla condivisione di dati tra enti e l’effettuazione di analisi (ad esempio di dati demografici).
Che cos’è una Data clean room e a cosa serve
Una data clean room, per semplificare il concetto, è un ambiente sicuro tecnologico in cui un soggetto o soggetti diversi possono condividere, combinare tra di loro ed esaminare i propri dati, senza che gli stessi vengano rivelati all’altra parte.
Opportunità per le aziende
Le aziende, infatti, potrebbero voler collaborare e scambiare dati (le c.d. attività di “data collaboration”) per migliorare la loro comprensione dei clienti, o migliorare la precisione delle campagne pubblicitarie. Per farlo, tuttavia, spesso non hanno a disposizione tutte le informazioni necessarie. Un tipico esempio potrebbe essere il seguente:
- un’azienda A di e-commerce potrebbe avere dati sugli acquisti dei propri clienti, ma non sapere esattamente quali pubblicità i clienti guardano su altri siti internet (ad esempio sul sito di un editore);
- un editore B che gestisce pubblicità online può sapere chi ha visto una pubblicità, ma non sapere se quelle persone poi hanno comprato il prodotto.
Condividendo i dati attraverso una data clean room, in modo sicuro, senza esporre i dati dei singoli interessati coinvolti, queste aziende potrebbero ottenere informazioni vitali per il loro business: l’azienda di e-commerce A potrebbe scoprire che una sua pubblicità è stata mostrata al 40% dei suoi clienti sul sito dell’editore B, e l’editore B potrebbe scoprire che il 5% delle persone a cui ha mostrato la pubblicità dell’azienda A ha acquistato il prodotto.
Data Clean Room e attività di arricchimento di dati
Un’altra delle funzioni che le clean room mettono a disposizione delle aziende è la possibilità di effettuare attività di arricchimento di dati (c.d. “data enrichment”), per cui ad esempio un’azienda, partendo grazie ad un dataset appartenente ad un’altra azienda, riesce ad ottenere informazioni relative alla propria popolazione grazie ad informazioni derivanti da un database di un’altra azienda. Questa attività, a seconda del modo in cui è effettuata, ad esempio utilizzando tecniche deterministiche o probabilistiche, o con il supporto di machine learning o altre tecnologie, può presentare vari problemi in termini di privacy, che dopo analizzeremo.
Aspetti da valutare prima di usare strumenti di data clean room
I casi appena riportati sono alcuni esempi di come possa essere sfruttato l’ambiente della data clean room ed indicarli tutti sarebbe attività alquanto complessa. Ciò che però deve subito emergere è che attività come quelle sopra indicate, sono molto complesse e necessitano di analisi ponderate al fine di evitare di commettere azioni non conformi alla normativa applicabile.
Sicurezza nell’accesso ai dati
Uno degli aspetti essenziali che devono essere valutati prima di utilizzare uno strumento di data clean room è quello delle misure di sicurezza che vengono utilizzate per evitare che un delle parti coinvolte nella data collaboration possa accedere o utilizzare in modo non autorizzato i dati dell’altra parte. In questo senso si utilizzano varie tecniche di crittografia, di limitazione di accesso e autenticazione, pseudonimizzazione e anonimizzazione. In particolare, possono assumere grande rilevanza tecniche di differential privacy, che agiscano sul dataset modificandone alcuni contenuti, o l’output restituito o limitando le possibili query, piuttosto che tecniche di zero-knowledge proof, che permettono di rivelare ad esempio l’esistenza di una informazione in entrambi i database senza rivelarne i dettagli, o sistemi di Secure Multi-Party Computation, che permettono di effettuare attività di elaborazione su dati condivisi senza rivelarli alle altre parti coinvolte, e ancora tecniche di Crittografia Omomorfica, che permettono di effettuare attività di calcolo su dati criptati senza decifrarli.
È sicuro che grazie alle data clean room le aziende hanno la possibilità di effettuare molte attività rilevanti per il loro business, tra cui migliorare la qualità dei propri dati, ottenere importanti informazioni sull’efficacia delle proprie strategie e arricchire i propri database con informazioni aggiuntive; tuttavia, va ricordato che la data clean room è uno strumento che può declinarsi in moltissime forme, con diversi livelli di sicurezza e che, in ogni caso il business deve fare i conti con il diritto alla protezione dei dati personali.
I profili in materia di protezione dei dati personali
Vista la varietà di attività che possono essere svolte con le Data clean room, è doveroso analizzare le implicazioni privacy che ne possono derivare. Infatti, bisogna avere la sensibilità di comprendere sin dall’inizio (in applicazione del principio di privacy by design e di privacy by default) se ciò che si vuole immettere nella “macchina” siano dati personali e se, quindi, questi debbano essere trattati secondo quanto previsto dalla normativa vigente. In tali casi, infatti, l’attività costituirebbe un trattamento di dati personali (o varie attività di trattamento) ai sensi del GDPR.
È fondamentale, quando vengono utilizzati servizi di data clean room, comprendere il perimetro degli asset coinvolti, la tipologia di dati che vengono inseriti al suo interno, le finalità che si intendono perseguire, la metodologia applicata nella condivisione, combinazione ed elaborazione dei dati, le misure di sicurezza implementate nonché il “prodotto/risultato” finale creato dall’esito delle attività di analisi.
Coinvolgimento del personale interno
Ed infatti, in questi casi, è buona prassi che l’azienda coinvolga sin da subito il personale interno preposto alle dovute analisi, tra cui l’ufficio privacy e/o il data protection officer, oppure si rivolga a consulenti esterni qualificati al fine di eseguire le opportune valutazioni, tra cui ad esempio: individuare correttamente i ruoli privacy di tutti i soggetti coinvolti; verificare se l’informativa fornita agli interessati sia completa ed esaustiva in relazione a ciò che si intende fare; definire il fondamento giuridico che legittima il trattamento e verificare, ove si decida di adottare come base giuridica il consenso, le relative modalità di acquisizione; integrare il registro dei trattamenti con il nuovo trattamento svolto; valutare se sia necessario effettuare una valutazione d’impatto (DPIA – data protection impact assessment); infine, ma non per questo meno importante, analizzare nel dettaglio le misure di sicurezza della data clean room (tra cui le tecniche crittografiche e di hash utilizzate) e valutare se le stesse siano adeguate al rischio.
Il problema dei ruoli dei soggetti coinvolti
Come anticipato prima, nell’utilizzo di una data clean room si possono verificare diversi scenari che possono coinvolgere diversi soggetti.
Ad esempio, una azienda può decidere di sviluppare internamente sistemi di data clean room, ma può anche (nella maggior parte dei casi) valutare di avvalersi di fornitori terzi, sia a livello nazionale che internazionale, in grado di fornire tale tecnologia.
A ciò si aggiunga che una data clean room può essere utilizzata da una sola azienda per la condivisione dai dati al suo interno o tra sue diverse funzioni, così come da più aziende, partner commerciali, che decidono di effettuare le azioni di data collaboration prima descritte.
In funzione degli scenari applicativi, è essenziale innanzitutto inquadrare i ruoli privacy dei soggetti di volta in volta coinvolti, attività più semplice a dirsi che a farsi. In questo contesto, infatti, l’unico ruolo che sembra facilmente inquadrabile è quello del mero fornitore della data clean room, relativamente al servizio di messa a disposizione dell’ambiente protetto e della tecnologia, che opera per conto delle parti coinvolte, che vi immettono i propri dati, e che dunque dovrebbe essere qualificato come responsabile del trattamento ex art. 28 del GDPR.
Per quanto riguarda gli altri soggetti, tipicamente le aziende che effettuano la data collaboration, il lavoro di inquadramento è molto più complesso e deriva dall’analisi della relazione tra le aziende in questione e delle modalità con cui i servizi vengono richiesti ed erogati.
Infatti, un conto è la mera elaborazione dei dati da parte del fornitore della tecnologia, altro discorso riguarda la creazione di un database di dati “nuovo” o “aggiornato” e conseguente dall’arricchimento del proprio database con informazioni ulteriori fornite da un soggetto terzo.
Le linee guida EDPB
A tal proposito ci possono venire incontro le “Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR” adottate il 7 luglio 2021 da parte dell’EDPB che, quantomeno, forniscono valide indicazioni per comprendere i diversi ruoli assunti dalle parti coinvolte nel trattamento.
Infatti, è facile che in situazioni del genere, in cui due aziende procedono alla attività di data collaboration, possa realizzarsi una contitolarità dei dati in relazione alla attività di messa a disposizione dei database e conseguente arricchimento, o ottenimento di informazioni anche statistiche aggregate relative ai database.
In relazione alla contitolarità, infatti, l’EDPB (European Data Protection Board) nelle citate Linee guida sostiene che: “[…] Un criterio importante è che il trattamento non sarebbe possibile senza la partecipazione di entrambi i soggetti, nel senso che i trattamenti svolti da ciascun soggetto sono tra loro indissociabili, ovverosia indissolubilmente legati. La partecipazione congiunta comprende, da un lato, la determinazione delle finalità e, dall’altro, la determinazione dei mezzi.” oppure “[…] È importante sottolineare che l’uso di un sistema o di un’infrastruttura comuni per il trattamento dei dati non comporterà in tutti i casi la contitolarità del trattamento da parte dei soggetti coinvolti, in particolare allorquando il trattamento da essi effettuato è scindibile e potrebbe essere eseguito da un soggetto senza l’intervento dell’altro, o se il fornitore è un responsabile del trattamento che non persegue una finalità propria (l’esistenza di un mero vantaggio commerciale per le parti coinvolte non è sufficiente a configurare una finalità di trattamento).”
Uno scenario di contitolarità
L’EDPB, inoltre, con le sue Linee guida 8/2020 sul targeting degli utenti di social media indica inoltre all’Esempio 1 un caso che rientrerebbe nella contitolarità: “L’impresa X vende calzature da uomo e desidera promuovere i saldi per la propria collezione invernale. Per la propria campagna pubblicitaria desidera rivolgersi a uomini tra i 30 e i 45 anni che hanno indicato di essere single nel loro profilo sui social media. Utilizza quindi i criteri di targeting corrispondenti offerti dal fornitore di social media come parametri per identificare la platea di destinatari al quale la propria pubblicità dovrebbe essere resa visibile. Inoltre il targeter indica che la pubblicità dovrebbe essere resa visibile agli utenti di social media mentre stanno utilizzando il servizio di social media tra le ore 17:00 e le 20:00. Per consentire il targeting degli utenti di social media sulla base di criteri specifici, il fornitore di social media ha precedentemente determinato quali tipi di dati personali saranno utilizzati per sviluppare i criteri di targeting e quali criteri di targeting saranno offerti. Il fornitore di social media comunica inoltre alcune informazioni statistiche una volta che la pubblicità è stata visualizzata dalla platea dei destinatari (ad esempio per segnalare la composizione demografica delle persone fisiche che hanno interagito con la pubblicità)”, “Nell’esempio 1 tanto il targeter quanto il fornitore di social media partecipano alla determinazione della finalità e dei mezzi del trattamento di dati personali. Ciò si traduce nel mostrare la pubblicità al pubblico destinatario”, il che si traduce in una contitolarità che “si estende soltanto a quei trattamenti per i quali essi determinano concretamente e congiuntamente le finalità e i mezzi. Si estende al trattamento dei dati personali risultanti dalla selezione dei criteri di targeting pertinenti e alla presentazione della pubblicità al pubblico destinatario. Copre inoltre il trattamento dei dati personali intrapreso dal fornitore di social media per riferire al targeter i risultati della campagna di targeting”.
Tuttavia, la contitolarità non è l’unico scenario ipotizzabile. In alcuni casi, in particolare quando una società inserzionista chieda ad una società editrice di effettuare attività di comunicazioni di marketing sul database di quest’ultima, in base ai risultati dell’attività di data collaboration, vanno considerate alcune interpretazioni dell’Autorità Garante per la Protezione dei Dati Personali che inquadrerebbero la società editrice come responsabile del trattamento. La qualifica di responsabile potrebbe evincersi infatti dai principi enunciati nel corso del tempo da parte del garante in relazione all’invio di pubblicità da parte di inserzionisti su database di terzi soggetti.
Le indicazioni del Garante privacy
Lo svolgimento delle attività di marketing su db di fornitori esterni qualifica l’inserzionista quale titolare e il fornitore quale responsabile laddove l’inserzionista fornisca chiare istruzioni sulle attività da svolgere, come indicato dall’Autorità Garante per la Protezione dei dati personali nelle Linee guida in materia di attività promozionale e contrasto allo spam – 4 luglio 2013 [2542348] “Si ricorda inoltre il parere del Gruppo Art. 29 n. 1/2010, che ha ulteriormente chiarito, in linea con la direttiva 95/46/CE, che, ai fini dell’individuazione della titolarità concretamente esercitata, occorre esaminare anche ”elementi extracontrattuali, quali il controllo reale esercitato da una parte, l´immagine data agli interessati e il legittimo affidamento di questi ultimi sulla base di questa visibilità”. Il parere ha evidenziato la necessità di riconoscere la titolarità del trattamento dei dati dei destinatari di iniziative di telemarketing in capo alla società che si avvalga di soggetti esterni incaricati di effettuare campagne promozionali per suo conto, quando ai menzionati soggetti esterni siano state impartite specifiche istruzioni, ed in considerazione, altresì, del controllo esercitato dalla società circa il rispetto di tali istruzioni e delle condizioni contrattuali pattiziamente previste. Ne consegue che i soggetti esterni dovranno essere designati responsabili del trattamento”.
Analisi dei ruoli privacy nel singolo caso concreto e sulla base delle attività di trattamento
Anche le già menzionate Linee guida 07/2020 dell’EDPB in questo senso offrono un esempio che non può non essere preso in considerazione: “La società ABC desidera sapere quali tipi di consumatori sono maggiormente interessati ai suoi prodotti e stipula un contratto con il fornitore di servizi XYZ per ottenere informazioni pertinenti. ABC informa XYZ in merito alle tipologie di informazioni che la interessano e fornisce un elenco di domande da porre ai partecipanti alla ricerca di mercato. ABC riceve da XYZ solo informazioni statistiche (ad esempio, l’identificazione delle tendenze dei consumatori per regione) e non ha accesso ai dati personali. Tuttavia, la società ABC ha deciso che il trattamento doveva aver luogo, il trattamento è effettuato per le sue finalità e attività e la società ABC ha fornito a XYZ istruzioni dettagliate sulle informazioni da raccogliere. ABC va pertanto ancora considerata titolare del trattamento dei dati personali che ha luogo al fine di fornire le informazioni richieste. XYZ può trattare i dati solo per la finalità indicata dalla società ABC e secondo le sue istruzioni dettagliate e va pertanto considerata come responsabile del trattamento”.
Compito pertanto delle aziende coinvolte nella data collaboration è valutare in modo corretto quale sia il grado di coinvolgimento delle stesse in relazione al trattamento effettuato, quali siano le istruzioni fornite dall’una all’altra e se influenzino in modo rilevante il potere decisionale di una o più delle parti. I ruoli privacy devono dunque essere analizzati nel singolo caso concreto e sulla base delle attività di trattamento poste in essere e pertanto non si può, a prescindere da tale analisi, inquadrare un fornitore o un partner a priori con una determinata “veste”.
Inoltre, oltre all’analisi della documentazione legale e alla definizione dei ruoli privacy tra le parti, è bene chiarire che un aspetto di fondamentale importanza è conoscere nel dettaglio la metodologia adottata dal fornitore della piattaforma all’interno della data clean room per permettere alle parti di elaborare i dati garantendo allo stesso tempo la sicurezza degli stessi.
Errori da evitare
Quanto detto consente a ciascuna organizzazione che decida di utilizzare queste tecnologie di valutare le azioni contestuali e propedeutiche per effettuare l’attività nel modo corretto. Tale valutazione dovrà essere effettuata caso per caso anche in ragione delle specificità del contesto del trattamento, quali, ad esempio, la fonte da cui provengono le informazioni, le finalità del trattamento, il settore di riferimento e specifiche situazioni di criticità.
Veniamo dunque al nostro consueto catalogo di riflessioni finali per non commettere errori:
- È stata analizzata nello specifico l’attività che si intende effettuare all’interno della data clean room?
- Sono stati analizzati i diversi trattamenti che vengono effettuati?
- Sono chiari i ruoli di tutte le parti che concorrono all’effettuazione del trattamento? È stato valutato il ruolo che ricopre il fornitore della data clean room?
- Sono state verificate le informative rilasciate agli utenti e se le stesse contengono le informazioni relative al trattamento che si pone?
- Nei casi specifici, è stato verificato se l’utente è al corrente che i suoi dati possano essere arricchiti con informazioni rilasciate a soggetti terzi?
- È stata valutata la base giuridica per l’effettuazione dell’attività? Nel caso di adozione del consenso, l’azienda ha raccolto un consenso valido, specifico?
- È stata valutata la modalità di funzionamento della Data clean room ed il rispetto di tutti i principi del trattamento, con particolare riferimento al principio di minimizzazione dei dati?
- È necessario effettuare verifiche preliminari sul fatto che gli utenti non si siano opposti al trattamento?
- I soggetti terzi hanno valutato la necessità o meno di rilasciare una informativa privacy per poter effettuare l’attività?
- Sono state analizzate nel dettaglio le misure di sicurezza della data clean room?
- È necessario procedere con la nomina ex art. 28 di uno o più dei soggetti coinvolti?
- I dati sono trasferiti al di fuori dell’UE?
- È necessario svolgere la DPIA?
In conclusione, ad avviso di chi scrive l’attività di trattamento effettuata attraverso una data clean room è particolarmente complessa e non deve essere sottovalutata. Anche il semplice fatto che l’attività possa rientrare in un “semplice” servizio fornito da un fornitore, nella sua veste di Responsabile del trattamento, non esime l’azienda dal valutare attentamente il complesso processo sottostante di elaborazione dei dati. Le sfaccettature giuridiche sono molteplici e non gestirle nel modo corretto può determinare l’effettuazione di un’attività non conforme alla normativa di settore.
