Si parla sempre di più del cosiddetto GDPR (General Data Protection Regulation) cioè del nuovo Regolamento europeo in materia di protezione dei dati personali, n. 679/2016, applicabile dal 25 maggio 2018.
Poco si dice, però, sul nuovo approccio alla sicurezza che viene sostanzialmente ribaltato. Il nuovo regolamento non prescrive le misure da adottare, dettandone l’elenco. Al contrario, lascia al titolare del trattamento la valutazione dei rischi, del valore dei dati, della loro criticità e la scelta delle misure di sicurezza da adottare.
Scelta che poi va sottoposta a continuo monitoraggio.
Occorre, dunque, effettuare un’analisi dei flussi informativi e una valutazione dei rischi che incombono su di essi, per decidere poi quali misure adottare.
Dunque, analisi, scelta, proceduralizzazione, implementazione, monitoraggio e presidio.
Non istruzioni dettate dalla norma, ma autovalutazione e gestione. E ovviamente documentazione precisa delle scelte, motivate, e del processo.
Un approccio nuovo basato sulla accountability, che richiede necessariamente competenze integrate: tecnologiche, organizzative e giuridiche.
Una falla del sistema di sicurezza avrebbe esposto al pubblico l’identità di oltre 1000 lavoratori afferenti a diversi dipartimenti della compagnia californiana, tra questi anche un moderatore che era intervenuto su post di sospetti terroristi e che ora teme per la sua incolumità.
Com’è noto, la policy di Facebook prevede che i moderatori controllino ed eventualmente rimuovano i contenuti sessualmente espliciti, o quelli che incitano all’odio, alla violenza o che contengono propaganda terroristica. La procedura prevede che i contenuti vengano rimossi in modo anonimo, senza un confronto con il moderatore: l’utente i cui contenuti vengono rimossi riceve solamente una comunicazione standard da parte del social network.
Purtroppo questo meccanismo si è recentemente inceppato. Il Guardian ha recentemente reso noto che un bug nel software ha esposto al pubblico i profili personali dei moderatori, i cui nomi sono apparsi come notifiche nell’elenco delle attività dei Gruppi di Facebook che ricevevano moderazioni, tra cui diversi gruppi filoterroristici.
Degli oltre 1000 impiegati coinvolti, 40 lavorano nell’unità anti-terrorismo di Facebook con base a Dublino. Tra questi sembra che in particolare 6 moderatori siano stati individuati da Facebook stessa come ad alto rischio, in quanto il loro profilo è stato visitato da potenziali terroristi. Uno dei moderatori, un ventenne di origine irachena rifugiato in Irlanda da bambino e con una storia familiare di persecuzioni politiche, ha dovuto licenziarsi e lasciare il Paese per nascondersi da 7 simpatizzanti terroristi dell’IS che aveva provveduto a bannare dal social network nell’ambito del suo lavoro.
Il lavoro dei “community operations analysts”, i moderatori di Facebook, è considerato ad alto rischio di burn out per via dell’impatto giornaliero con contenuti di violenza inaudita, basti pensare che su Facebook vengono pubblicati live-stream e video di suicidi, omicidi, assalti sessuali ecc.. Generalmente i moderatori sono giovani e il loro salario è tipicamente basso (13 euro all’ora), anche perché non sono dipendenti di Facebook ma vengono “somministrati” da un’agenzia di outsourcing, la Cpl Recruitement. Lo stesso Guardian, aveva denunciato l’impatto psicologico di questo lavoro in un articolo di qualche mese fa.
Facebook ha confermato il security breach, avvenuto negli ultimi mesi del 2016, e ha reso noto che ha già messo in atto migliorie tecniche volte ad evitare che questi incidenti possano ripetersi.
Il primo allarme riguardo ad una possibile falla di sicurezza era stato scoperto dai moderatori stessi, insospettiti dall’aver ricevuto richieste da amicizia da profili affiliati ai gruppi terroristici su cui stavano lavorando. Anche in seguito alla scoperta del bug da parte dei programmatori, la falla è rimasta scoperta per altre due settimane. In totale, i nomi dei moderatori sono rimasti visibili per oltre un mese.
Nel tentativo di compensare, Facebook ha offerto ai sei moderatori esposti a rischio, l’installazione gratuita di sistemi di sicurezza nelle loro case e il trasporto controllato tra casa e lavoro. Cpl Recruitment ha inoltre offerto ai suoi lavoratori assistenza psicologica.
Nel giugno 2017 il moderatore iracheno ha presentato un esposto contro Facebook e Cpl Recruitment presso l’Injury Board di Dublino, chiedendo un risarcimento per danni morali.
La falla nella sicurezza di Facebook e le sue possibili conseguenze riporta in primo piano il tema della valutazione dei rischi da parte del titolare del trattamento dei dati, sottolineata da Giusella Finocchiaro nel post di questo blog disponibile cliccando QUI.
L’Autorità Antitrust, l’Autorità per le Garanzie e nelle Comunicazioni e l’Autorità Garante per la protezione dei dati personali hanno avviato, in data 30 maggio 2017, un’indagine conoscitiva congiunta riguardante l’individuazione di eventuali criticità connesse all’uso dei cosiddetti big data e la definizione di un quadro di regole in grado di promuovere e tutelare la protezione dei dati personali, la concorrenza dei mercati dell’economia digitale, la tutela del consumatore, nonché i profili di promozione del pluralismo nell’ecosistema digitale.
Li chiamano Big data e, come suggerisce il nome, si tratta di una gigantesca raccolta di dati così estesa in termini di volume, velocità e varietà da richiedere tecnologie e metodi analitici specifici per l’estrazione di valore. Sono informazioni variegate che possono provenire da fonti eterogenee, non soltanto database, ma anche dati non strutturati, come immagini, email, coordinate GPS, informazioni prese dai social network.La mole di dati di cui si parla è dell’ordine degli Zettabyte, ovvero miliardi di Terabyte. Il loro trattamento richiede una potenza di calcolo parallelo e massivo con strumenti dedicati eseguiti su una moltitudine di server che lavorano in contemporanea.
I risultati delle analisi di big data hanno un alto valore economico e rappresentano un notevole patrimonio informativo. La raccolta delle informazioni e la loro gestione rivestono un ruolo strategico per le imprese, in particolare per le piattaforme online che fornendo servizi gratuiti ricorrono sempre più spesso alle informazioni a carattere personale con l’obiettivo di creare nuove forme di valore.
L’utilizzo di queste informazioni comporta tuttavia rischi per la tutela della riservatezza delle persone anche nel caso la raccolta non comprenda dati personali dal momento che, grazie alle nuove tecnologie e alle tecniche di analisi, risulta possibile “re-identificare” un individuo attraverso l’elaborazione ed interconnessione di informazioni apparentemente anonime. La potenzialità dei big data può quindi tradursi in profilazioni sempre più puntuali ed analitiche, con il rischio di nuove forme di discriminazione per le persone e, più in generale, di possibili restrizioni delle libertà.
Dato il significativo e crescente ruolo svolto dai big data sulla concorrenza dei mercati e sul pluralismo dell’informazione, le Autorità intendono analizzare se, e al ricorrere di quali condizioni, i big data possano tradursi in barriere all’entrata nei mercati o favorire comportamenti restrittivi della concorrenza tali da ostacolare lo sviluppo e il progresso tecnologico nonché ledere il diritto alla protezione dei dati delle persone coinvolte. L’analisi si concentrerà sull’impatto delle piattaforme e dei relativi algoritmi sulle dinamiche competitive nei mercati digitali, sulla tutela della privacy e della capacità di scelta dei consumatori e sulla promozione del pluralismo informativo. Ciò anche al fine di verificare gli effetti sull’ecosistema digitale dell’aggregazione di informazioni e dell’accessibilità ai big data ottenuti attraverso forme non negoziate di profilazione dell’utenza.
La delibera AGCM dell’avvio dell’indagine è consultabile QUI.
Le autorità europee per la protezione dei dati del gruppo Article 29 Working Party hanno pubblicato un report relativo alle consultazioni avvenute in seno al Gruppo su aspetti controversi del Regolamento privacy, in particolare sul concetto di “consenso”, sull’adempimento relativo alla notificazione di data breach e sull’attività di profilazione.
Com’è noto il Regolamento europeo 679/2016 sul trattamento dei dati personali, già in vigore dal 24 maggio 2016, sarà pienamente efficace dal 25 maggio 2018. Allo scopo di intervenire tempestivamente con implementazioni e modifiche il gruppo Article 29 Working Party ha organizzato alcuni workshop volti a costruire un confronto con partecipanti provenienti dal settore industriale europeo, dalle università, dal mondo associativo e dalla società civile. All’ultimo workshop, tenutosi in aprile a Bruxelles sono intervenuti 90 partecipanti che hanno dialogato con i Garanti privacy Europei su particolari aspetti del Regolamento Europeo.
Sul tema del “consenso”, che costituisce la principale base legale del trattamento dei dati, è emerso che in alcuni casi la definizione di consenso contenuta nel Regolamento potrebbe non rappresentare una base affidabile per l’utilizzo dei dati. Particolare preoccupazione desta il trattamento di dati relativi ad un minore perché attualmente non c’è un modo si verificare l’età di chi presta un consenso online né è possibile verificare l’identità di colui che dichiara online di detenere la responsabilità genitoriale.
Per quanto riguarda il consenso al trattamento dei dati utilizzati per fini di ricerca, sono state sollevate delle perplessità riguardo l’utilizzo dei dati per fini secondari alla ricerca.
I partecipanti hanno anche espresso incertezza riguardo alla possibilità di ritiro di un consenso già accordato e alle possibili conseguenze che affronta chi non accorda il proprio consenso. Particolare perplessità sono state espresse in merito a quelle situazioni in cui chi non dà il consenso non può usufruire di un servizio.
Un altro tema su cui sono state espresse perplessità riguarda le notifiche dei “data breach”. Dai partecipanti è emersa la necessità di una maggiore flessibilità sul contenuto della notifica in considerazione del danno reputazionale che si profila per le compagnie vittime di attacchi.
Viene inoltre richiesta maggiore chiarezza sui sulle modalità. In particolare, si richiedono chiarimenti sul destinatario della notifica nel caso di dati relativi a cittadini di diversi paesi. E’ necessario comunicare la notifica alle Authority di ogni stato coinvolto?
I partecipanti si sono inoltre confrontati sul tema della profilazione come particolare trattamento dei dati personali. Ci sono molte forme di profilazione che variano da settore a settore e non possono essere regolamentate da un’unica disposizione. È stata dunque richiesta la produzione di linee guida differenziate per tipologia. Inoltre le linee guida dovranno tenere conto delle finalità diverse per cui si fa profilazione. A questo proposito è emerso il dubbio se non ci debba essere una limitazione nelle tipologie di dati utilizzabili. In particolare per quanto riguarda dati di minori. I partecipanti hanno anche obiettato che attualmente non c’è una chiara distinzione tra le profilazioni basate su intervento umano e quelle invece completamente automatizzate.
L’intero report dell’incontro è disponibile sulla pagina della Commissione Europea dedicata all’Article 29 Working Party.
La Guida traccia un quadro generale delle principali innovazioni introdotte dal Regolamento e fornisce indicazioni utili sulle prassi da seguire e gli adempimenti da attuare per dare corretta applicazione alla normativa in materia di protezione dei dati personali.
Il Regolamento UE 2016/679, già in vigore dal 24 maggio 2016, sarà pienamente efficace dal 25 maggio 2018. La Guida vuole essere un primo “strumento” di ausilio ai soggetti pubblici e alle imprese che stanno affrontando il passaggio alla nuova normativa privacy e vuole contribuire a diffondere la consapevolezza sulle garanzie rafforzate e sui nuovi diritti che il Regolamento riconosce alle persone.
Il testo della Guida è articolato in 6 sezioni che illustrano in modo semplice e diretto cosa cambierà e cosa rimarrà immutato rispetto all’attuale disciplina del trattamento dei dati personali, aggiungendo raccomandazioni pratiche per una corretta implementazione delle nuove disposizioni introdotte dal Regolamento. Il testo potrà subire modifiche e integrazioni, allo scopo di offrire sempre nuovi contenuti e garantire un adeguamento costante all’evoluzione della prassi interpretativa e applicativa della normativa.
La guida è disponibile sul sito del Garante in formato ipertestuale navigabile.
Quotidiano Nazionale, testata che riunisce Il Resto del Carlino, Il Giorno e La Nazione, il 15 aprile 2017 ha pubblicato un commento a cura di Giusella Finocchiaro sul tema della privacy e dei minori.
Sono valide le iscrizioni a Facebook (e in generale ad un social network) di bambini e adolescenti? Se per concludere un contratto è necessario essere maggiorenni, perché non occorre esserlo per iscriversi ad un social? Insomma: quanti anni occorre avere per prestare un valido consenso al trattamento dei dati personali? Secondo Facebook tredici, secondo la legge italiana diciotto.
E allora come si spiega la presenza di così tanti bambini e adolescenti italiani sui social? Semplice: secondo la maggior parte dei contratti di iscrizione, non vale la legge italiana, ma quella del social network e quindi per Facebook quella degli Stati Uniti e della California.
Quale legge prevale? È il più classico dei problemi giuridici su Internet: quello della determinazione della legge applicabile e della giurisdizione. Il nuovo Regolamento europeo 679/2016 sul trattamento dei dati personali, che costituisce una nuova disciplina europea sulla privacy, direttamente applicabile dal maggio 2018, lo risolve con un parziale compromesso. Prevede che prevalga il diritto europeo e che bastino 16 anni (ma i singoli Stati membri possono stabilire un’età inferiore, purchè non al di sotto dei 13 anni). Se il minore ha un’età inferiore ai 16 anni, il consenso è prestato o autorizzato dal titolare della responsabilità genitoriale.
Secondo recenti sentenze italiane su casi analoghi (pubblicazioni di foto dei propri figli sui social), in questo caso occorrerebbe il consenso di entrambi i genitori. È evidente che non sarà molto difficile eludere questa norma. Ma, come prevede il Regolamento europeo, è il social che deve controllare, utilizzando la tecnologia disponibile.
Il Quotidiano Nazionale, testata che riunisce Il Resto del Carlino, Il Giorno e La Nazione, il 10 aprile 2017 ha pubblicato oggi un’intervista a Giusella Finocchiaro sul tema della privacy e delle telefonate commerciali.
Il Registro delle opposizioni è stato un tentativo, ma non funziona. Per difenderci abbiamo tre strade giudiziarie. La segnalazione al Garante privacy, la denuncia penale o quella civile.
L’illecito trattamento dei dati è punito dal Codice Privacy con la reclusione dai sei ai diciotto mesi. Si arriva a 24 mesi quando ci sono di mezzo comunicazione e diffusione. Nei casi più gravi, per esempio in caso di violazione delle disposizioni sulle informazioni sensibili, è prevista la reclusione da uno a tre anni.
Il Garante fa un’istruttoria e commina una multa. Il problema è che è oberato di lavoro, i tempi non sono rapidi. Anche se le sanzioni erogate sono state parecchie. Il Garante può anche chiedere una tutela penale per il cittadino. Poi c’è la via civile: se il cittadino riceve disturbi, può chiedere il risarcimento. Alcune decisioni hanno riconosciuto un danno perché era stata turbata la vita di una persona.
Purtroppo per diventare vittime di violazioni della nostra privacy basta stipulare un qualunque contratto. Dovrebbero chiederci un consenso specifico per usare il nostro nome a fini di marketing. Supponiamo di comprare un bene su Internet. per la consegna a casa devo dare indirizzo e email. Sono informazioni necessarie, per legge non dovrebbero nemmeno chiedere il consenso privacy. Ma magari il fornitore vuole usare i miei dati anche per informarmi di altre offerte. Qui il consenso diventa necessario. Ma alcuni pensano che essere poco corretti sia vantaggioso e chiedono un unico sì per fare la consegna prima e il marketing poi. Di solito è scritto tra le righe dell’informativa privacy, ma nessuno la legge, è per addetti ai lavori. Questa cattiva pratica è abbastanza diffusa. Non sono così tanti quelli che si fanno un vanto di seguire le regole.
Ovviamente c’è una strada legale. Ci danno tutte le informazioni corrette, ci chiedono se siamo disponibili affinché i nostri dati vengano usati per fini di marketing. A questo punto le informazioni girano, e non è detto che lo facciano gratuitamente. Nomi numeri e abitudini commerciali hanno un valore. Sono frammenti della nostra personalità ma anche beni economicamente rilevanti. E passano magari da una società all’altra.
Il punto di partenza della violazione è comunque sempre un consenso che non c’è o è mischiato. Poi le liste continuano a viaggiare. I rimedi per opporsi sulla carta ci sono, lo abbiamo verificato. Il problema è che sono parzialmente efficaci. E su internet si vedono anche identità digitali complete.
Anche se pubblicati con una modalità di privacy “elevata”, i post su Facebook non possono essere ritenuti riservati ai soli “amici” pertanto, soprattutto per quanto riguarda le informazioni su minori, l’attenzione deve essere massima.
Con un recente provvedimento il Garante privacy ha ordinato a una donna di rimuovere dal proprio profilo Facebook due sentenze sulla cessazione degli effetti civili del matrimonio, che la donna aveva pubblicato in seguito alla sua separazione dal marito.L’Autorità è intervenuta su segnalazione dell’ex marito che lamentava una violazione del diritto alla riservatezza della figlia, citata nelle sentenze.
Il Garante ha effettivamente ritenuto che la divulgazione dei provvedimenti giurisdizionali in questione fosse incompatibile con quanto stabilito dal Codice privacy. Il Codice vieta infatti la pubblicazione “con qualsiasi mezzo” di notizie che consentano l’identificazione di un minore coinvolto in procedimenti giudiziari, nonché la diffusione di informazioni che possano rendere identificabili, anche indirettamente, i minori coinvolti.
Nel caso specifico, il Garante ha rilevato che le sentenze consentono di rendere identificabile la bambina nella cerchia di persone che condividono le informazioni “postate” dalla madre sul proprio profilo e contengono dettagli molto delicati, anche inerenti alla sfera sessuale, al vissuto familiare e a disagi personali della piccola.
L’Authority ha inoltre ritenuto che la violazione di diritti della persona, in questo caso per giunta minore di età, è aggravata dall’estrema pervasività della divulgazione su Internet. Il fatto che il post pubblicato sul profilo fosse accessibile ad una ristretta cerchia di ”amici” non può essere garanzia di riservatezza perché il profilo è facilmente modificabile, da “chiuso” ad “aperto”, in ogni momento da parte dell’utente. A questa eventualità si aggiunge quella in cui un “amico” condivida il post sulla propria pagina, rendendolo visibile ad altri iscritti “determinando così una possibile conoscibilità “dinamica”, più o meno ampia, del contenuto che può estendersi potenzialmente a tutti gli iscritti a Facebook”.
Il provvedimento ha disposto quindi la rimozione delle sentenze pubblicati dalla madre.
Recentemente la Corte di Cassazione si è trovata ad affrontare il tema della qualificazione della causale di bonifico come dato sensibile ove indichi indennizzi elargiti per malattia o invalidità, esplicitati della dicitura “assegno ex l. 210/1992”, legge che riconosce le indennità a favore dei soggetti danneggiati da complicanze di tipo irreversibile a causa di vaccinazioni obbligatorie, trasfusioni e somministrazioni di sangue o, in caso di decesso, in favore dei congiunti delle vittime.
Sul punto i giudici della Suprema Corte si sono espressi a più riprese con orientamenti contrastanti. In tutti i casi esaminati la questione concerneva i rapporti tra la Regione, erogatrice dell’indennizzo e ordinatrice del bonifico, e la banca del soggetto menomato o contagiato, ricevente il bonifico per conto del suo correntista.
Nella prima pronuncia risalente al 2014 (sentenza del 19 maggio 2014, n. 10947), la Corte ha ritenuto la causale di bonifico recante i menzionati riferimenti legislativi alla stregua di un dato sensibile, evidenziando l’illecito trattamento dei dati da parte della Regione e della banca posto che nel diffondere e conservare tali dati non avevano adottato idonee tecniche di cifratura o numeri di codici non identificabili, come prescritto dall’art. 22, 6° comma del Codice in materia di protezione dei dati personali.
Nella seconda pronuncia – più articolata della precedente – (sentenza del 20 maggio 2015, n. 10280) i giudici supremi hanno ribaltato l’orientamento seguendo un iter decisionale del tutto opposto. In primo luogo, hanno negato alla causale di bonifico così compilata la natura di dato sensibile, rilevando come la legge a cui si faceva riferimento prevedeva che beneficiari dell’indennizzo potessero essere, alternativamente, i soggetti direttamente colpiti o anche i loro familiari. Dal momento che l’elargizione dell’assegno non dipendeva dalla malattia del soggetto che materialmente riceveva il bonifico, i giudici concludevano che l’informazione non fosse sufficiente a rivelare lo stato di salute del beneficiario e, dunque, non fosse dato sensibile.
In secondo luogo, secondo la Corte di Cassazione, non poteva parlarsi di “diffusione” di dati da parte della Regione alla banca giacché tale – a norma dell’art. 4, lett. m) del Codice – può considerarsi solo la comunicazione a soggetti indeterminati, mentre nel caso di specie la comunicazione avveniva solo nei confronti della banca del correntista beneficiario dell’indennizzo.
I giudici hanno poi rilevato che il riferimento all’art. 22, 6° comma del Codice Privacy era privo di fondamento posto che, come correttamente riportato, l’adozione di tecniche di cifratura risulta applicabile solo a casi specifici ove i dati provengano da elenchi o registri e la finalità sia quella di gestione ed interrogazione degli stessi. Neppure la banca poteva essere considerata onerata dell’adozione di tali misure per tre ragioni: la disposizione in oggetto si applicava ai soli soggetti pubblici; in capo ai soggetti privati sorgeva l’obbligo di cifratura solo per i dati idonei a rivelare lo stato di salute e se trattati con strumenti elettronici, condizioni entrambi assenti nel caso di specie; la comunicazione al proprio cliente di dati personali riguardanti esso stesso non costituiva trattamento.
Secondo la Cassazione, infine, la banca operava come rappresentante del correntista che riceveva il pagamento della Regione per conto di quest’ultimo: l’imputazione del pagamento dunque valeva come compiuta dal debitore (Regione) direttamente al creditore (beneficiario dell’assegno).
La Suprema Corte ha così ritenuto legittime le condotte della Regione e della banca, non ravvisando alcun trattamento illecito di dati personali.
Il tema è tornato recentemente all’attenzione della Prima sezione civile della Corte di Cassazione, la quale con due ordinanze interlocutorie (rispettivamente nn. 3455 e 3456 depositate il 9 febbraio 2017) ha demandato alle Sezioni Unite il compito di sanare il contrasto giurisprudenziale in oggetto. In tale occasione, senza aderire all’uno o all’altro orientamento, la Cassazione si è solo espressa circa la qualificazione dell’indicazione dei riferimenti normativi nella causale del bonifico come “dato sensibile”, precisando che, sebbene il pagamento possa avvenire tanto nei confronti dei congiunti quanto del soggetto contagiato o menomato, solo verso quest’ultimo il pagamento sarebbe corrisposto in rate (mentre ai congiunti sarebbe corrisposta una somma una tantum). Tale forma di pagamento sarebbe dunque idonea a identificare inequivocabilmente il soggetto destinatario del pagamento come vittima di contagio o menomazione e, per tale motivo, l’indicazione del pagamento dei ratei costituirebbe dato sensibile.
Si rimane dunque in attesa di conoscere come le Sezioni Unite risolveranno il contrasto giurisprudenziale appena descritto e, in particolare, se daranno un’interpretazione estensiva o restrittiva al concetto di dato sensibile.
-
Dal 2001 specializzato in diritto di Internet e dell'Informatica
-
Tutti i contenuti di questo blog sono sottoposti ad una licenza Creative Commons
