Quotidiano Nazionale, testata che riunisce Il Resto del Carlino, Il Giorno e La Nazione, il 18 luglio 2017 ha pubblicato un’analisi di Giusella Finocchiaro sulle implicazioni giuridiche correlate alla pubblicazione online non autorizzata di foto reperite da una casella email.
Non è possibile e non è corretto commentare sotto il profilo tecnico-giuridico una sentenza di cui non si conoscono le motivazioni, che saranno depositate entro 90 giorni.
Per questo dobbiamo attendere. Si legge che il Tribunale di Milano avrebbe assolto tre blogger accusati dalla Procura di avere abusivamente sottratto fotografie della festa di George Clooney ed Elisabetta Canalis dall’account di posta elettronica di una delle invitate all’evento. Ma non conosciamo in dettaglio i fatti. I reati contestati erano in particolare l’accesso abusivo al sistema informatico, l’intercettazione illecita di comunicazioni e la violazione di corrispondenza. Si è letto dalle prime indiscrezioni di stampa che il giudice avrebbe in parte disposto l’assoluzione perché il fatto non sussiste e in parte qualificato la condotta nel reato meno grave di rivelazione di corrispondenza altrui assolvendo gli imputati perché, in mancanza di querela delle parti offese, il reato non sarebbe procedibile. DUNQUE, in parte, essenzialmente motivazioni tecniche. Non conosciamo neppure le prove che sono state prodotte in giudizio e la produzione di prove telematiche nel processo costituisce un terreno ancora in piena esplorazione. Certo una considerazione di carattere generale deve essere fatta: Internet non è il Far West e le regole valgono tutte anche online. Comprese le regole processuali. Le stesse norme che si applicano fuori dalla Rete si applicano nella Rete, con le difficoltà che a volte questo comporta (basti ricordare il caso di Tiziana Cantone). Dunque se i giudici hanno assolto non possiamo che ritenere che ci siano argomentazioni tecnicogiuridiche adeguate. Ma certamente la diffusione non autorizzata di foto o la violazione di corrispondenza, adeguatamente provate in giudizio, sono illeciti dentro e fuori da Internet.
Il 22 luglio 2017 il Sole 24 Ore ha pubblicato un’analisi di Giusella Finocchiaro e Max Bergami sulle implicazioni in materia di responsabilità sulla sicurezza in capo alle imprese introdotte dal nuovo regolamento europeo sulla privacy.
La protezione dei dati personali basata sulla valutazione del rischio e sui concetti di «Privacy by design and by default» è ora legge. È quanto prescrive il cosiddetto Gdpr (General data protection regulation) cioè il nuovo regolamento europeo in materia di protezione dei dati personali (n. 679/2016) che sarà applicato da tutti gli stati membri dell’Unione europea a partire dal 25 maggio 2018.
A differenza delle direttive, i regolamenti non richiedono provvedimenti legislativi da parte degli stati membri. Le infrazioni saranno sanzionate pesantemente, potendo raggiungere ammende fino a 20 milioni di euro o fino al 4 per cento del fatturato annuale. Si tratta di una rivoluzione di grande portata perché ribalta completamente l’approccio alla sicurezza rispetto alla normativa attuale. Il Gdpr non prescrive quali siano le misure da adottare, dettando un elenco di adempimenti; al contrario, lascia all’impresa o all’ente titolare del trattamento, la valutazione dei rischi, del valore dei dati, della loro criticità e, dunque, la scelta delle misure di sicurezza da adottare per proteggerli; queste misure andranno poi sottoposte a un continuo monitoraggio.
La definizione di dati personali della direttiva è molto ampia e include «ogni informazione relativa a un individuo che riguardi la sua vita privata, professionale o pubblica. Può essere qualunque cosa, da un nome, una foto, un indirizzo email, informazioni bancarie, i post sui social network, le informazioni mediche a un indirizzo Ip di un computer».
Si tratta di una riforma che unifica le regole degli stati europei, superando inutili norme burocratiche, oggi diverse da paese a paese, la cui applicazione ha un costo stimato in circa 2,3 miliardi di euro all’anno. Le imprese e gli altri enti saranno ritenuti direttamente responsabili per la gestione dei dati. Tra i vantaggi, ogni organizzazione avrà relazioni con un’unica autorità nazionale per la protezione dei dati, nel paese in cui ha il centro dei propri interessi, anche per le attività svolte all’estero e per i dati riguardanti i cittadini degli altri paesi; si tratta di una norma che si applica anche ai soggetti extra-europei che operano nell’Unione europea.
Sostanzialmente viene rinforzato il concetto secondo cui i proprietari dei dati sono gli individui che possono in questo modo avere maggiore trasparenza e chiedere di trasferire i propri dati o di cancellarli più agevolmente.
A prima vista questo regolamento potrebbe esser visto come un inasprimento delle norme per le imprese, mentre in realtà rappresenta una grande semplificazione e soprattutto un’opportunità per strutturare meglio le proprie attività in questo settore e costruire solide relazioni di fiducia con i propri clienti. Forse non servirebbe neppure ricordare che la rapida diffusione delle tecnologie digitali, dalla manifattura ai servizi, dall’education alla sanità, dalla comunicazione alla mobilità, pone i dati in una posizione centrale nella società contemporanea. Così come è avvenuto per la globalizzazione, anche in questo caso non si tratta più di un dibattito ideologico tra chi è favorevole o contrario, ma semplicemente un fatto da affrontare con lungimiranza, senso etico e illuminato pragmatismo.
Il principio di «Privacy by design and by default» prevede che la tutela della privacy sia incorporata nella progettazione dei processi aziendali, considerando le implicazioni per l’utente non come fatto accessorio, ma a partire dalle modalità con cui vengono concepiti i servizi o le modalità di utilizzo dei prodotti. Le organizzazioni saranno chiamate ad analizzare i rischi, decidere come affrontarli mediante processi affidabili che dovranno poi essere implementati, presidiati e monitorati.
Evidentemente ci sarà molto lavoro da fare, ma soprattutto sarà necessario immaginare un nuovo approccio interdisciplinare che riesca a coniugare competenze di business, organizzative, tecnologiche e giuridiche. Si tratta di una sfida per le imprese, per le pubbliche amministrazioni e per le organizzazioni no profit, soprattutto per quelle che non hanno per Dna una cultura avanzata della sicurezza. Infatti, questa attività non potrà coinvolgere solo chi si occupa di Ict, legale e compliance, ma anche chi gestisce il core business.
Per quanto la normativa europea possa introdurre elementi nuovi, gli operatori di grandi dimensioni sono tendenzialmente più attrezzati, mentre quelli di dimensioni medie o piccole si troveranno generalmente di fronte a nuove attività che potrebbero però consentire anche il perseguimento di un nuovo vantaggio competitivo, nella misura in cui non saranno viste come adempimenti, ma come modalità di consolidamento organizzativo e potenziamento della propria posizione sul mercato.
Servono nuovi percorsi formativi che consentano di affrontare questo tema in modo rotondo e offrano anche la possibilità di apprendere dal confronto con esperienze diverse. In questa prospettiva, sono particolarmente efficaci i percorsi anticonvenzionali e collaborativi che aiutino a rinforzare la competitività del sistema produttivo, in modo che intelligenza artificiale e intelligenza umana facciano squadra per migliorare la società contemporanea.
Vi proponiamo qui l’articolo di Giusella Finocchiaro, pubblicato su Agenda Digitale il 14 luglio 2017.
Si parla sempre di più del cosiddetto GDPR (General Data Protection Regulation) cioè del nuovo Regolamento europeo n. 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati. Ma non abbastanza del nuovo approccio alla sicurezza che caratterizza il Regolamento, ribaltando la precedente concezione.
Come è noto, il Regolamento sarà applicabile dal 25 maggio 2018, data in cui la direttiva 95/46/CE – che dettava il quadro normativo precedente – cesserà di aver effetto. Alla base della spinta riformatrice la volontà (e la necessità) di uniformazione del diritto tra gli Stati membri, nonché l’aspirazione, ancora una volta ribadita, alla creazione di un mercato unico digitale europeo.
Il Regolamento ha innovato l’assetto normativo in materia di protezione dei dati personali, cercando di adeguarsi alle esigenze di una realtà digitale e interconnessa. D’altronde, il modello normativo precedente si è rivelato obsoleto, giacché individuava un’unica tipologia di scambio di dati: dall’interessato al titolare del trattamento. Al contrario, oggi il modello è quello di condivisione e di cogestione di dati e di informazioni e questo ha imposto una revisione del paradigma non solo organizzativo ma, appunto, regolatore.
Trasparenza del trattamento, ripartizione delle responsabilità, maggiori diritti per gli interessati, inasprimento del profilo sanzionatorio (le sanzioni arriveranno fino a 20 milioni di euro o al 4% del fatturato mondiale totale annuo): sono questi alcuni punti focali della riformata disciplina in materia di privacy che il Regolamento rende più stringente.
Tuttavia, poco si parla ancora del nuovo approccio alla sicurezza che viene sostanzialmente ribaltato. Il nuovo Regolamento non detta più un elenco di specifiche misure da adottare. In questo ambito, a regole dettagliate e circostanziate il Regolamento preferisce un approccio di largo respiro che ben possa applicarsi anche alle future e innovative misure di sicurezza che gli sviluppi tecnologici in costante evoluzione saranno in grado di realizzare. Per tale ragione, il Regolamento lascia al titolare del trattamento ampia discrezionalità in sede di determinazione di tali misure. Un unico vincolo: la valutazione dei rischi unitamente alla considerazione della natura, dell’oggetto, del contesto e delle finalità del trattamento.
In altre parole, il titolare deve procedere all’individuazione delle misure di sicurezza sulla base delle specificità del trattamento che si appresta ad effettuare. Vero è infatti che i rischi cui son esposti i dati sono intrinsecamente correlati alle caratteristiche del trattamento: il trattamento di dati dei dipendenti di una impresa a conduzione familiare non è paragonabile al trattamento sistematico di dati sensibili effettuato da una struttura sanitaria pubblica operante a livello nazionale.
Si tratta, dunque, di una valutazione case-by-case, cui si aggiunge un ulteriore requisito: la valutazione deve essere preliminare rispetto al trattamento stesso. Occorre cioè effettuare in primo luogo un’analisi dei flussi informativi e una valutazione dei rischi che incombono su di essi, per decidere poi quali misure adottare. La scelta delle misure di sicurezza interverrà dunque solo a seguito dell’analisi della tipologia di dati oggetto del trattamento e della valutazione dell’impatto delle operazioni su di essi.
Continua su Agenda Digitale.it.
Vi proponiamo qui l’articolo di Giusella Finocchiaro e Laura Greco, pubblicato su ICT4Executive il 10 luglio 2017.
Il Regolamento europeo sulla privacy (General Data Protection Regulation) che entrerà in vigore l’anno prossimo introduce la possibilità per il responsabile del trattamento di nominare un altro responsabile in caso di relazioni contrattuali “multilivello” sottostanti al trattamento di dati personali.
25 maggio 2018: data in cui sarà direttamente applicabile il Regolamento europeo n. 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, ormai comunemente noto come “GDPR” (General Data Protection Regulation).
Concepito nel contesto di una realtà ove condivisione e interconnessione sono i nuovi pilastri fondanti del modello di scambio delle informazioni, il Regolamento non poteva che – tra le altre innovazioni – recepire anche i mutamenti connessi alla crescente tendenza alla differenziazione organizzativa. In altre parole, lo sviluppo di catene di prestazioni di servizi e il ricorso al subappalto o all’esternalizzazione delle attività portano al coinvolgimento di più soggetti e alla creazione di molteplici relazioni. Il Regolamento ha dunque colto la complessità delle relazioni contrattuali “multilivello” sottostanti al trattamento di dati personali, introducendo l’inedita figura del sub-responsabile. Il legislatore europeo prevede così la possibilità per il responsabile del trattamento di nominare un altro responsabile “previa autorizzazione scritta, specifica o generale, del titolare”.
Un potere da sempre proprio del titolare (la designazione dei responsabili) diventa oggetto di possibile delega, a conferma di una nuova ripartizione delle responsabilità prevista dal Regolamento. Il titolare mantiene però il potere di opporsi alle modifiche riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento ad opera del responsabile iniziale. A tal fine, il Regolamento stabilisce un rilevante onere informativo a carico di quest’ultimo che sarà quindi tenuto a comunicare adeguatamente al titolare le eventuali modifiche.
Se la fonte dell’investitura formale (cioè della designazione) muta, resta invece invariato il rapporto di subordinazione nei confronti del titolare. Il sub-responsabile risulterà infatti legato al titolare e al trattamento da un contratto o da un altro atto giuridico, che riprodurrà gli obblighi contenuti nell’atto di designazione con cui il titolare ha nominato a suo tempo il responsabile iniziale. Il sub-responsabile dovrà quindi eseguire le attività e le operazioni di trattamento per conto del titolare, nonché agire in via strumentale rispetto alle finalità dal medesimo determinate.
Tuttavia, analogo rapporto gerarchico potrebbe rilevarsi anche nei confronti del responsabile iniziale: a norma del Regolamento, questi dovrà infatti rispondere al titolare dell’eventuale inadempimento del sub-responsabile. Dunque, il Regolamento pone indirettamente a carico del responsabile iniziale una responsabilità per culpa in eligendo e per culpa in vigilando che legittimano implicitamente la possibilità per quest’ultimo di impartire istruzioni al sub-responsabile, purché conformi a quelle del titolare e strumentali alle finalità di trattamento.
In conclusione, il Regolamento ha introdotto un’ipotesi di designazione diretta tra responsabili la cui attuazione non tarderà a rivelare la propria efficacia. D’altronde le relazioni fattuali della società contemporanea risentivano da tempo di una normativa lacunosa che non riconosceva sulla carta ciò che ormai era prassi comune. Tuttavia, l’opera di adeguamento non pare ancora conclusa: occorre implementare il riconosciuto schema relazionale tra responsabili in tutti i contesti del trattamento dei dati personali. In ambito di flusso transfrontaliero di dati, ad esempio, è auspicabile che le ipotesi di trasferimento di dati all’estero tra responsabile e sub-responsabile vengano normativamente regolate o, perlomeno, che possano essere impiegate anche in tale contesto clausole contrattuali standard, analoghe a quelle già previste per le ipotesi di trasferimento di dati tra titolare e responsabile.
Giusella Finocchiaro
Laura Greco
Dal 3 al 21 luglio 2017 si terrà a Vienna la cinquantesima sessione annuale della Commissione UNCITRAL. Nel corso della sessione la Commissione esaminerà le deliberazioni e le decisioni che riguardano la progettazione del modello di Legge sugli Electronic Transferable Records, messo a punto dal IV Working Grupo dedicato al Commercio Elettronico.
Nel 2011, la Commissione ha delegato al Gruppo di Lavoro il processo di definizione e regolamentazione degli electronic transferable records. Il Working Group si è occupato della materia dal 2011 al 2016 quando, durante la sua 45esima sessione di lavoro, ha chiesto al Segretariato di valutare il modello di legge messo a punto e la documentazione allegata e di trasmettere questi testi alla Commissione per la valutazione finale.
Allo stesso tempo, nel 2016 la Commissione ha assegnato al Gruppo di Lavoro sul commercio elettronico il compito di lavorare in tema di identity management nei servizi fiduciari e cloud computing, senza assegnare una priorità preventiva. Durante la sessione di lavoro varrà ascoltato il primo report sul tema, grazie al quale si potrà procedere alla definizione di un ordine di attuazione. L’intenzione annunciata è quella di basare la priorità su necessità pratiche piuttosto che sull’interesse delle tematiche o sulla fattibilità di una eventuale regolamentazione.
Quotidiano Nazionale, testata che riunisce Il Resto del Carlino, Il Giorno e La Nazione, il 28 giugno 2017 ha pubblicato un’analisi di Giusella Finocchiaro sulle implicazioni giuridiche correlate al predominio di Google sul reperimento delle informazioni.
Google ha visto infliggersi una sanzione di 2.4 miliardi di euro, per abuso di posizione dominante, dalla Commissione europea.
Il servizio Google Shopping, infatti, sarebbe favorito nel ranking di ricerca, rispetto ad analoghi servizi dei concorrenti. Secondo l’argomento della Commissione, ad esempio, e l’esempio è di fantasia, se si vuole comprare un iphone e si digita su Google “compra iphone”, il servizio Google Shopping è quello che risulta al primo posto, anche prima dell’annuncio a pagamento effettuato su Google dalla stessa Apple.
Secondo la Commissione, Google avrebbe impedito alle altre società di competere sul mercato, sottraendo ai consumatori europei la possibilità di scegliere liberamente tra i diversi servizi offerti e di beneficiare pienamente dell’innovazione.
Ora, in questo caso, il tema è squisitamente commerciale.
Ma lo scenario muta radicalmente se si sostituisce l’iphone dell’esempio ad un’informazione non commerciale, dal momento che “l’accessibilità universale delle informazioni su Internet dipende dai motori di ricerca, dato che trovare informazioni rilevanti senza di essi sarebbe troppo complicato e difficile e produrrebbe risultati limitati”, come affermava l’avvocato generale della Corte di giustizia dell’Unione europea nella sentenza Google Spain che ha sancito il cosiddetto “diritto all’oblio”. In pratica, oggi se cerchiamo un’informazione su Internet ci serviamo dei motori di ricerca. Ma questo crea le condizioni per un naturale predominio dei motori di ricerca sulle informazioni e non è difficile immaginare scenari che vanno dalla censura alle fake news. Tutto dipende dal punto di vista e il motore di ricerca fornisce un punto di vista che ovviamente è relativo: se non c’è su Internet, allora non esiste. D’altronde, “se un albero cade in una foresta e nessuno lo sente, fa rumore?”
Google ha annunciato che il servizio Gmail cesserà di scandagliare i contenuti delle email degli utenti per proporre inserzioni pubblicitarie mirate, come faceva ormai da molti anni.
Finalmente gli utilizzatori di Gmail nella sua versione gratuita godranno dello stesso livello di privacy assicurato dalla versione business e le parole contenute nelle loro email non saranno più oggetto di automatizzazione pubblicitaria. Questo è quanto comunicato da Google nel suo blog. D’ora in avanti la modalità della pubblicità visualizzata si baserà sulle preferenze dichiarate dagli utenti nelle impostazioni della casella elettronica, che ora includono il comando che disabilita la “ads personalization”.
Attualmente. Gmail è il più grande provider email del mondo e conta oltre 1 miliardo e 200 milioni di utenti.
Ogni utente ha la possibilità di controllare le informazioni che condivide con Big G attraverso la pagina myaccount.google.com.
Si parla sempre di più del cosiddetto GDPR (General Data Protection Regulation) cioè del nuovo Regolamento europeo in materia di protezione dei dati personali, n. 679/2016, applicabile dal 25 maggio 2018.
Poco si dice, però, sul nuovo approccio alla sicurezza che viene sostanzialmente ribaltato. Il nuovo regolamento non prescrive le misure da adottare, dettandone l’elenco. Al contrario, lascia al titolare del trattamento la valutazione dei rischi, del valore dei dati, della loro criticità e la scelta delle misure di sicurezza da adottare.
Scelta che poi va sottoposta a continuo monitoraggio.
Occorre, dunque, effettuare un’analisi dei flussi informativi e una valutazione dei rischi che incombono su di essi, per decidere poi quali misure adottare.
Dunque, analisi, scelta, proceduralizzazione, implementazione, monitoraggio e presidio.
Non istruzioni dettate dalla norma, ma autovalutazione e gestione. E ovviamente documentazione precisa delle scelte, motivate, e del processo.
Un approccio nuovo basato sulla accountability, che richiede necessariamente competenze integrate: tecnologiche, organizzative e giuridiche.
Una falla del sistema di sicurezza avrebbe esposto al pubblico l’identità di oltre 1000 lavoratori afferenti a diversi dipartimenti della compagnia californiana, tra questi anche un moderatore che era intervenuto su post di sospetti terroristi e che ora teme per la sua incolumità.
Com’è noto, la policy di Facebook prevede che i moderatori controllino ed eventualmente rimuovano i contenuti sessualmente espliciti, o quelli che incitano all’odio, alla violenza o che contengono propaganda terroristica. La procedura prevede che i contenuti vengano rimossi in modo anonimo, senza un confronto con il moderatore: l’utente i cui contenuti vengono rimossi riceve solamente una comunicazione standard da parte del social network.
Purtroppo questo meccanismo si è recentemente inceppato. Il Guardian ha recentemente reso noto che un bug nel software ha esposto al pubblico i profili personali dei moderatori, i cui nomi sono apparsi come notifiche nell’elenco delle attività dei Gruppi di Facebook che ricevevano moderazioni, tra cui diversi gruppi filoterroristici.
Degli oltre 1000 impiegati coinvolti, 40 lavorano nell’unità anti-terrorismo di Facebook con base a Dublino. Tra questi sembra che in particolare 6 moderatori siano stati individuati da Facebook stessa come ad alto rischio, in quanto il loro profilo è stato visitato da potenziali terroristi. Uno dei moderatori, un ventenne di origine irachena rifugiato in Irlanda da bambino e con una storia familiare di persecuzioni politiche, ha dovuto licenziarsi e lasciare il Paese per nascondersi da 7 simpatizzanti terroristi dell’IS che aveva provveduto a bannare dal social network nell’ambito del suo lavoro.
Il lavoro dei “community operations analysts”, i moderatori di Facebook, è considerato ad alto rischio di burn out per via dell’impatto giornaliero con contenuti di violenza inaudita, basti pensare che su Facebook vengono pubblicati live-stream e video di suicidi, omicidi, assalti sessuali ecc.. Generalmente i moderatori sono giovani e il loro salario è tipicamente basso (13 euro all’ora), anche perché non sono dipendenti di Facebook ma vengono “somministrati” da un’agenzia di outsourcing, la Cpl Recruitement. Lo stesso Guardian, aveva denunciato l’impatto psicologico di questo lavoro in un articolo di qualche mese fa.
Facebook ha confermato il security breach, avvenuto negli ultimi mesi del 2016, e ha reso noto che ha già messo in atto migliorie tecniche volte ad evitare che questi incidenti possano ripetersi.
Il primo allarme riguardo ad una possibile falla di sicurezza era stato scoperto dai moderatori stessi, insospettiti dall’aver ricevuto richieste da amicizia da profili affiliati ai gruppi terroristici su cui stavano lavorando. Anche in seguito alla scoperta del bug da parte dei programmatori, la falla è rimasta scoperta per altre due settimane. In totale, i nomi dei moderatori sono rimasti visibili per oltre un mese.
Nel tentativo di compensare, Facebook ha offerto ai sei moderatori esposti a rischio, l’installazione gratuita di sistemi di sicurezza nelle loro case e il trasporto controllato tra casa e lavoro. Cpl Recruitment ha inoltre offerto ai suoi lavoratori assistenza psicologica.
Nel giugno 2017 il moderatore iracheno ha presentato un esposto contro Facebook e Cpl Recruitment presso l’Injury Board di Dublino, chiedendo un risarcimento per danni morali.
La falla nella sicurezza di Facebook e le sue possibili conseguenze riporta in primo piano il tema della valutazione dei rischi da parte del titolare del trattamento dei dati, sottolineata da Giusella Finocchiaro nel post di questo blog disponibile cliccando QUI.
L’Autorità Antitrust, l’Autorità per le Garanzie e nelle Comunicazioni e l’Autorità Garante per la protezione dei dati personali hanno avviato, in data 30 maggio 2017, un’indagine conoscitiva congiunta riguardante l’individuazione di eventuali criticità connesse all’uso dei cosiddetti big data e la definizione di un quadro di regole in grado di promuovere e tutelare la protezione dei dati personali, la concorrenza dei mercati dell’economia digitale, la tutela del consumatore, nonché i profili di promozione del pluralismo nell’ecosistema digitale.
Li chiamano Big data e, come suggerisce il nome, si tratta di una gigantesca raccolta di dati così estesa in termini di volume, velocità e varietà da richiedere tecnologie e metodi analitici specifici per l’estrazione di valore. Sono informazioni variegate che possono provenire da fonti eterogenee, non soltanto database, ma anche dati non strutturati, come immagini, email, coordinate GPS, informazioni prese dai social network.La mole di dati di cui si parla è dell’ordine degli Zettabyte, ovvero miliardi di Terabyte. Il loro trattamento richiede una potenza di calcolo parallelo e massivo con strumenti dedicati eseguiti su una moltitudine di server che lavorano in contemporanea.
I risultati delle analisi di big data hanno un alto valore economico e rappresentano un notevole patrimonio informativo. La raccolta delle informazioni e la loro gestione rivestono un ruolo strategico per le imprese, in particolare per le piattaforme online che fornendo servizi gratuiti ricorrono sempre più spesso alle informazioni a carattere personale con l’obiettivo di creare nuove forme di valore.
L’utilizzo di queste informazioni comporta tuttavia rischi per la tutela della riservatezza delle persone anche nel caso la raccolta non comprenda dati personali dal momento che, grazie alle nuove tecnologie e alle tecniche di analisi, risulta possibile “re-identificare” un individuo attraverso l’elaborazione ed interconnessione di informazioni apparentemente anonime. La potenzialità dei big data può quindi tradursi in profilazioni sempre più puntuali ed analitiche, con il rischio di nuove forme di discriminazione per le persone e, più in generale, di possibili restrizioni delle libertà.
Dato il significativo e crescente ruolo svolto dai big data sulla concorrenza dei mercati e sul pluralismo dell’informazione, le Autorità intendono analizzare se, e al ricorrere di quali condizioni, i big data possano tradursi in barriere all’entrata nei mercati o favorire comportamenti restrittivi della concorrenza tali da ostacolare lo sviluppo e il progresso tecnologico nonché ledere il diritto alla protezione dei dati delle persone coinvolte. L’analisi si concentrerà sull’impatto delle piattaforme e dei relativi algoritmi sulle dinamiche competitive nei mercati digitali, sulla tutela della privacy e della capacità di scelta dei consumatori e sulla promozione del pluralismo informativo. Ciò anche al fine di verificare gli effetti sull’ecosistema digitale dell’aggregazione di informazioni e dell’accessibilità ai big data ottenuti attraverso forme non negoziate di profilazione dell’utenza.
La delibera AGCM dell’avvio dell’indagine è consultabile QUI.
-
Dal 2001 specializzato in diritto di Internet e dell'Informatica
-
Tutti i contenuti di questo blog sono sottoposti ad una licenza Creative Commons
