Le Filippine discutono da anni di privacy dei dati, cybersicurezza, cloud computing e governo digitale. Tuttavia, una domanda di base è spesso rimasta irrisolta: il governo sa davvero quali dati possiede, quanto sono sensibili e quale livello di protezione richiede ciascun dataset?

L’Executive Order No. 119, intitolato “Updating the Government Data Classification, Establishing a Data Residency Framework, and for Other Purposes,” parte da questa preoccupazione. La sua importanza non si limita a stabilire dove possano essere archiviati i dati governativi. Più in profondità, impone alle agenzie di identificare le informazioni che detengono, valutare il danno che potrebbe derivare da un uso improprio o da una divulgazione non autorizzata e applicare protezioni proporzionate al rischio. Il governo non può proteggere dati che non ha correttamente identificato.

L’EO 119 separa le informazioni governative in due ampie categorie: Restricted Access Data e Open Access Data. I Restricted Access Data indicano informazioni che devono essere protette perché una divulgazione non autorizzata potrebbe danneggiare la sicurezza nazionale, le operazioni governative, l’interesse pubblico o gli individui. Gli Open Access Data comprendono le informazioni che non rientrano in tali categorie protette.

Il metodo conta più delle etichette. Le agenzie devono inventariare i dati sotto la loro custodia, condurre valutazioni del rischio e dell’impatto, assegnare la classificazione corretta e riesaminare tali classificazioni nel tempo. Quando le circostanze cambiano, i dati possono essere declassati a un livello inferiore o resi non classificati. Anche la classificazione, la base giuridica e la valutazione del rischio devono essere inserite in un registro governativo.

Questo rappresenta un passaggio necessario dal considerare la classificazione come un semplice timbro su un documento al trattarla come un processo continuo di governance. Sia una classificazione insufficiente sia una classificazione eccessiva creano rischi. Una classificazione debole può esporre lo Stato a violazioni della sicurezza, frodi, violazioni della privacy e interruzioni operative. Una classificazione eccessiva può ostacolare la trasparenza, rallentare il lavoro tra agenzie e rendere più difficile il legittimo accesso pubblico. L’obiettivo deve essere la precisione.

L’Ordine collega inoltre in modo appropriato la residenza dei dati alla classificazione. I dati Top Secret e Secret devono generalmente rimanere nel territorio filippino o in altri territori soggetti alla sovranità o alla giurisdizione delle Filippine. I dati Confidential sono soggetti a un trattamento simile, sebbene l’archiviazione o il trattamento offshore possano essere consentiti nell’ambito di procedure di approvazione rigorose e con adeguate salvaguardie. Le informazioni governative meno sensibili possono essere conservate su piattaforme cloud sicure, a condizione che siano in vigore crittografia e controlli del rischio.

Questo approccio è più pratico rispetto all’obbligo di mantenere tutti i dati governativi all’interno del Paese. Un fascicolo di sicurezza nazionale non dovrebbe essere gestito nello stesso modo di un rapporto statistico pubblicato. Un quadro basato sul rischio consente al governo di allineare i requisiti di sicurezza alla sensibilità effettiva, invece di affidarsi a restrizioni generalizzate. Può anche migliorare gli acquisti tecnologici, offrendo alle agenzie una base più chiara per decidere se le informazioni debbano risiedere su una piattaforma sovrana, un cloud privato, un servizio cloud commerciale o un sistema pubblico aperto.

Anche le implicazioni economiche sono significative. Informazioni classificate in modo inadeguato creano incertezza. Le agenzie esitano a condividere dati, i progetti cloud subiscono ritardi, i fornitori incontrano requisiti incoerenti e le iniziative open data si bloccano perché i funzionari non sono certi di cosa possa essere reso pubblico. Un quadro coerente può rendere gli acquisti cloud più prevedibili, migliorare la condivisione dei dati e fornire standard più chiari ai prestatori di servizi.

Può inoltre sostenere la posizione delle Filippine nell’economia digitale dell’ASEAN. Un Paese che punta a un ruolo più ampio nei servizi cloud, nei data center, nella cybersicurezza e nei servizi digitali ha bisogno di più delle infrastrutture. Ha anche bisogno di regole credibili che governino le informazioni che attraversano tali infrastrutture. In questo senso, la classificazione non è separata dalla trasformazione digitale; è una precondizione per decidere quali sistemi possano essere aperti, quali debbano essere limitati e quali salvaguardie debbano accompagnare la modernizzazione.

L’attuazione, tuttavia, sarà la sfida centrale. Il compito più difficile non sarà produrre registri o modelli, ma costruire una solida capacità di giudizio all’interno delle agenzie. I funzionari devono essere in grado di distinguere le reali preoccupazioni di sicurezza dalla prudenza burocratica. Devono evitare di classificare le informazioni solo per sottrarsi al controllo, garantendo al tempo stesso che il legittimo accesso aperto non indebolisca le protezioni necessarie.

L’EO 119 istituisce un Joint Oversight Committee for Data Classification, co-presieduto dal Department of Information and Communications Technology e dal National Security Council, e concede alle agenzie tre anni per raggiungere la piena conformità. Quel periodo di transizione non dovrebbe trasformarsi in un esercizio di rietichettatura di massa. La qualità degli inventari delle agenzie, delle valutazioni del rischio e delle revisioni successive conterà quanto il rispetto formale della scadenza.

L’obiettivo non è creare più timbri, cartelle e rapporti. È migliorare il modo in cui il governo comprende e governa le informazioni. L’Executive Order No. 119 riguarda in definitiva la disciplina istituzionale: prima che il governo possa proteggere i dati, spostarli, condividerli o utilizzarli per l’intelligenza artificiale, deve innanzitutto sapere che cosa siano quei dati.

Potrebbe essere una delle parti meno appariscenti della trasformazione digitale, ma anche una delle più importanti.

Le opinioni espresse nel presente testo sono personali e non riflettono necessariamente l’opinione del suo ufficio né di FINEX.

Joel Luis E. Dabao è Presidente di Kabankalan Community Antenna Television (K-CAT, Inc.), un importante fornitore di servizi via cavo e internet con sede a Kabankalan City, Negros Occidental. Sotto la sua guida, la società è stata un punto di riferimento per la connettività nel Southern Negros.