IT EN
Avvia una prova

Note operative Osservatorio

Chi può leggere davvero i dati? La DPIA diceva una cosa, i permessi un’altra

8 min di lettura

Parete di armadietti numerati lungo un corridoio, con alcune chiavi lasciate nelle serrature e foglietti adesivi sugli sportelli, in bianco e nero
Il numero sullo sportello dice a chi è assegnato l’armadietto. La chiave lasciata nella serratura dice chi può aprirlo.

Il 28 luglio 2026 il National Data Guardian per la sanità e l’assistenza sociale inglese — la dott.ssa Nicola Byrne, figura indipendente che consiglia il servizio sanitario sull’uso dei dati dei pazienti — ha aggiornato una dichiarazione pubblicata il 3 giugno sulla Federated Data Platform, la piattaforma dati del sistema sanitario inglese il cui fornitore è Palantir. L’aggiornamento riporta la risposta di NHS England a una richiesta di chiarimenti. Il contenuto sta in due righe: la valutazione d’impatto sulla protezione dei dati che l’ufficio aveva esaminato indicava l’accesso ai dati identificativi dei pazienti come limitato al personale del servizio sanitario; vi accede anche personale di fornitori esterni.

Non è una sanzione e non è una violazione accertata. È qualcosa che, per chi compra tecnologia, pesa di più: la dimostrazione che un documento di conformità e la configurazione reale di un sistema possono divergere per mesi senza che nessuno se ne accorga — nemmeno chi quel documento lo aveva letto per mestiere.

I fatti, in ordine

  • 3 giugno 2026 — il National Data Guardian pubblica la dichiarazione, sollecitato da cittadini che si sono rivolti al suo ufficio attraverso la campagna «Not With My NHS Data». Scrive di aver esaminato la valutazione d’impatto sulla protezione dei dati (DPIA) della piattaforma «insieme all’Information Commissioner’s Office», nell’ambito della consulenza sulla governance delle informazioni.
  • Il punto contestato — la DPIA esaminata «indicava che l’accesso alle informazioni identificative dei pazienti fosse limitato al personale del servizio sanitario con una necessità legittima». Cronache di stampa e successiva conferma del gruppo di programma indicano invece che vi accede anche personale di appaltatori esterni, all’interno dell’ambiente National Data Integration Tenant (NDIT) associato alla piattaforma. Testuale: «Non ne eravamo a conoscenza. Abbiamo quindi scritto al programma per chiedere chiarimenti su questa incoerenza».
  • 28 luglio 2026 — la dichiarazione viene aggiornata con la risposta. NHS England afferma che «alcuni membri del personale di fornitori esterni che supportano la piattaforma possono accedere a informazioni identificative dei pazienti per finalità tecniche specifiche, sotto la sua direzione» e che tale accesso è «tecnicamente necessario». Ammette inoltre che «la valutazione d’impatto sulla protezione dei dati originaria che abbiamo esaminato non rifletteva accuratamente gli assetti operativi in essere», riconosce l’errore, si scusa e si impegna a correggerlo. Sulla necessità tecnica il National Data Guardian aggiunge: «In quanto organismo indipendente non coinvolto nel funzionamento della piattaforma, non siamo nella posizione di verificare in modo indipendente quella valutazione».
  • 29 luglio 2026 — la vicenda è ripresa dal Register (Lindsay Clark), che ricorda il contratto da 330 milioni di sterline assegnato nel 2023 e i 60 milioni di affidamenti dell’epoca covid senza gara. Un portavoce di NHS England: «Riconosciamo che la DPIA conteneva un errore nel modo in cui descriveva l’accesso del fornitore ai dati, quindi stiamo correggendo quell’errore, e ci scusiamo per la confusione che ha causato».

Due precisazioni che quasi tutte le riprese saltano. La dichiarazione del National Data Guardian parla di «personale di fornitori esterni» e non nomina Palantir come titolare di quegli accessi: l’identificazione la fa la stampa, ed è plausibile perché Palantir è il fornitore della piattaforma, ma resta un passaggio di attribuzione distinto dalla fonte. E l’Information Commissioner’s Office ha esaminato la DPIA insieme all’ufficio del National Data Guardian: non risulta alcun provvedimento o richiamo dell’autorità di protezione dei dati su questo punto. Il rilievo è del National Data Guardian.

Il documento descrive, la matrice dei permessi dispone

Una DPIA non è un controllo: è una fotografia. Descrive quali trattamenti avvengono, su quali dati, per quali finalità e chi vi accede. Il controllo, quello che decide davvero chi legge cosa, sta altrove — nei ruoli, nei gruppi, nelle grant su tabelle e viste, nella configurazione del tenant. Quando la fotografia e la configurazione divergono, non è la fotografia a governare.

La conseguenza di secondo ordine è più scomoda della prima. Una descrizione inesatta non produce solo un documento sbagliato: produce assicurazione infondata in tutti quelli che vi si appoggiano. L’organo che approva, il regolatore che esamina, il cittadino che legge l’informativa. Tutti hanno letto la stessa frase e hanno concluso la stessa cosa. Nessuno ha letto la lista degli utenti abilitati, perché nessuno di loro ha il mandato o gli strumenti per farlo. È ciò che il National Data Guardian mette per iscritto quando dice che non può verificare in modo indipendente. La catena di garanzia si interrompe in un punto preciso: chi valuta legge documenti, e i documenti li scrive chi è valutato.

«Tecnicamente necessario» è un’affermazione, non una prova

La formula usata da NHS England è la più ricorrente nei rapporti con i fornitori, e la meno verificabile così com’è. Rendere verificabile quell’affermazione significa scrivere altro: quale operazione concreta richiede quell’accesso (una migrazione, un’indagine su un difetto, la ricostruzione di una pipeline), per quali ruoli nominati, su quali tabelle e campi, se gli identificativi sono visibili in chiaro oppure oscurati al livello di interrogazione, per quanto tempo, con quale registrazione delle sessioni e chi le rilegge. Nessuno di questi elementi risulta pubblicato.

E la domanda successiva è quella che manca sempre: che cosa sostituirebbe quell’accesso. Pseudonimizzazione al livello di query, ambiente di riproduzione con dati sintetici, accesso a scadenza concesso caso per caso con approvazione tracciata. Se nessuna alternativa è stata istruita per iscritto, «necessario» significa «così è stato costruito», che non è la stessa cosa.

Sotto il GDPR questa scena ha i numeri degli articoli

Il caso è britannico, la struttura è identica ovunque si applichi il GDPR. Se in un ente o in un’azienda la valutazione d’impatto, il registro dei trattamenti e l’informativa dicono «solo personale interno» mentre la matrice dei permessi dice altro, i documenti sbagliati non sono uno ma tre:

  • art. 35, par. 7, lett. a) — la valutazione d’impatto contiene una descrizione sistematica dei trattamenti previsti. Descrizione sistematica, non descrizione auspicata.
  • art. 30, par. 1, lett. d) — il registro dei trattamenti indica le categorie di destinatari a cui i dati sono comunicati. Un fornitore che accede all’ambiente è un destinatario, anche se «solo per finalità tecniche».
  • art. 13, par. 1, lett. e) — l’informativa indica i destinatari o le categorie di destinatari. È il documento su cui l’interessato costruisce le proprie aspettative: qui il diritto europeo dice, con altre parole, la stessa cosa dell’ottavo principio Caldicott britannico, quello del «no surprises», che il National Data Guardian richiama espressamente.
  • art. 28, par. 3 — il contratto con il responsabile del trattamento impone istruzioni documentate del titolare (lett. a) e l’impegno alla riservatezza delle persone autorizzate al trattamento (lett. b). «Sotto la sua direzione» è precisamente questo, e si dimostra con un atto scritto, non con una consuetudine operativa.

Sopra tutti, l’art. 5, par. 2: il titolare deve essere in grado di comprovare il rispetto dei principi. Comprovare, non dichiarare. Chi acquista è il titolare, e la responsabilità di allineare documenti e configurazione non si trasferisce col contratto — chi fa cosa fra chi vende e chi usa è la prima cosa da mettere per iscritto.

Cosa fare, prima che lo chieda qualcun altro

  1. Allegate alla DPIA la matrice dei permessi effettiva, non la sua descrizione: ruolo, ambiente, tabelle e campi raggiungibili, visibilità degli identificativi, chi concede e chi revoca. Un estratto generato dal sistema, con data.
  2. Trattate ogni accesso del fornitore come un trattamento da autorizzare per iscritto: istruzioni documentate, elenco per ruolo delle persone autorizzate, impegno di riservatezza, durata, e la procedura per chiuderlo.
  3. Datate la revisione. La valutazione d’impatto non è un documento di avvio: va riletta a ogni cambio di ambiente, di tenant, di sub-responsabile, di modalità di supporto.
  4. Fate combaciare tre testi — valutazione d’impatto, registro, informativa. Se divergono fra loro, la divergenza è già il rilievo: non serve che arrivi un’ispezione a scoprirla.
  5. Pretendete la prova al posto della dichiarazione: estrazione dei permessi da un ambiente in esercizio, log delle sessioni del fornitore, e la possibilità che a rileggerli sia qualcuno che non è il fornitore.

La stessa piattaforma l’abbiamo già guardata da due angolature — come si misura se un sistema ha funzionato e chi risponde dei numeri di beneficio — e in entrambi i casi il tema era la misura degli esiti. Qui è un’altra cosa: chi apre lo sportello. È la stessa domanda emersa quando Londra ha definito il fornitore «un punto di debolezza» delle proprie infrastrutture pubbliche.

Il punto architetturale

Meno persone esterne devono entrare nell’ambiente, meno documenti devono descrivere il loro ingresso — e meno occasioni ci sono che descrizione e configurazione si allontanino. Per questo lavoriamo in due modalità, e solo due: on-premise, con l’AI installata nell’ambiente del cliente, oppure su un cloud dedicato riservato al singolo cliente, con VPN dedicata, data center in Italia e locali presidiati direttamente da noi. In entrambe la matrice dei permessi è leggibile dal cliente in qualunque momento, e l’elenco di chi accede è un documento che il cliente firma, non che riceve. Dove girano i modelli e a chi appartiene l’infrastruttura è l’altra metà della stessa domanda: l’abbiamo messa per iscritto.

Volete sapere se la vostra valutazione d’impatto descrive ancora il sistema che avete in esercizio? Mezz’ora con un nostro esperto per confrontare documenti e permessi reali.

Fonti