Semplificazione privacy e misure di sicurezza: quali sono le novità ?

Dopo aver avviato nei mesi scorsi un iter di  semplificazione di certi aspetti della normativa a tutela della privacy, relativi soprattutto all'informativa ed alla raccolta del consenso, il Garante è nuovamente intervenuto, questa volta con riferimento alla portata delle misure minime di sicurezza.

Campo di applicazione

Il nuovo intervento di semplificazione, applicabile automaticamente senza bisogno di particolari comunicazioni o richieste, riguarda i soggetti pubblici e privati che:

• utilizzano dati personali non sensibili o che trattano come unici dati sensibili riferiti ai propri dipendenti e collaboratori anche a progetto  quelli costituiti dallo stato di salute o malattia senza indicazione della relativa diagnosi, ovvero dall'adesione a organizzazioni sindacali o a carattere sindacale;
• trattano dati personali unicamente per correnti finalità amministrative e contabili, in particolare presso liberi professionisti, artigiani e piccole e medie imprese (cfr. art. 2083 cod. civ. e d.m. 18 aprile 2005, recante adeguamento alla disciplina comunitaria dei criteri di individuazione di piccole e medie imprese, pubblicato nella Gazzetta Ufficiale 12 ottobre 2005, n. 238);

Trattamenti effettuati con strumenti elettronici

Dal contenuto del provvedimento risulta che i soggetti interessati:

• possono impartire agli incaricati le istruzioni in materia di misure minime anche oralmente;
• possono utilizzare per l'accesso ai sistemi informatici qualsiasi sistema di autenticazione basato su username e password, provvedendo però a disattivare lo username nei casi in cui venga meno il diritto di accesso ai dati (es. fine del rapporto di lavoro per qualsiasi causa);
• possono assegnare agli incaricati, singolarmente o per categorie, profili di autorizzazione utilizzando meccanismi o funzioni insite negli applicativi software o nei sistemi operativi;
• possono adottare procedure o modalità che consentano l'operatività e la sicurezza del sistema (ad es. l'invio automatico delle mail ad un altro recapito accessibile) in caso di assenze prolungate o di impedimenti del dipendente;
• devono aggiornare i programmi diretti a prevenire le vulnerabilità dei sistemi (antivirus, personal firewall, ecc..) o a correggerne i difetti (patch, hotfix) almeno una volta l'anno, oppure con cadenza biennale nel caso in cui i sistemi stessi non siano connessi con reti di comunicazione elettronica accessibili al pubblico (Internet);
• devono effettuare il backup dei dati almeno una volta al mese; 

Trattamenti senza l'impiego di strumenti elettronici

In relazione ai trattamenti cd. cartacei si prevede che:

• i soggetti interessati possano impartire agli incaricati, anche oralmente, istruzioni per il controllo e la custodia degli atti e dei documenti contenenti dati personali durante l'intero ciclo delle operazioni di trattamento;
• gli incaricati, ai quali siano stati affidati atti e documenti contenenti dati personali sensibili o giudiziari, devono controllarli e custodirli, per evitare che ad essi accedano persone prive di autorizzazione, e restituirli al termine delle operazioni;

Con lo stesso provvedimento state inoltre fornite indicazioni per la redazione semplificata del documento programmatico sulla sicurezza mentre una ulteriore semplificazione è stata introdotta in relazione al modello utilizzato per le notificazioni.

Pur condividendo l'esigenza avvertita dal garante di rendere più snella l'applicazione della normativa da parte delle organizzazioni di dimensioni più piccole, mi pare però che la finalità di "mantenere un adeguato livello per le misure minime di sicurezza" non sia stata soddisfatta in pieno a causa di una eccessiva semplificazione di alcune misure.

Mi riferisco, in particolare, alla frequenza di aggiornamento dei programmi per la sicurezza e la correzione della vulnerabilità dei sistemi e di esecuzione del backup che rischia di rendere tali misure alquanto inefficaci in considerazione di fattori quali:

• il numero crescente delle vulnerabilità che vengono quotidianamente scoperte nel software applicativo e nei sistemi operativi
• l'incremento del grado di sofisticazione degli attacchi nei confronti dei sistemi informatici anche per mezzo di codice nocivo (malware)
• gli altri rischi legati all'obsolescenza dell'hardware, agli errori umani imputabili a disattenzione, scarsa formazione del personale, ecc...

E' quindi opportuno valutare sempre l'efficacia di tali misure semplificate alla luce dell'effettiva situazione di rischio che si riscontra in un determinato ambiente operativo.

Del resto non dimentichiamo che la semplificazione non appare idonea ad escludere la responsabilità per danni connessi al trattamento di dati personali, quando tali danni siano imputabili alla mancata adozione di misure preventive, diverse da quelle minime, che, in base al progresso tecnico, alla natura dei dati ed alle caratteristiche del trattamento, siano idonee a ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta (art. 31 d.lgs. 196/03).

Il consiglio perciò è di semplificare ma con attenzione.

Fonte: Semplificazione delle misure di sicurezza contenute nel dispciplinare tecnico di cui all'Allegato B) al Codice in materia di protezione dei dati personali

Privacy e certificati di malattia: nessuna diagnosi in assenza di disposizione contrarie

I datori di lavoro non sono legittimati a raccogliere i certificati medici di malattia dei dipendenti con l'indicazione della relativa diagnosi in assenza di contrarie e specifiche disposizioni.

Ne deriva che il lavoratore assente può e deve far pervenire al datore di lavoro un certificato con la sola indicazione della prognosi e della data di inizio e della durata della condizione di malattia, essendo ciò sufficiente anche ai fini del riconoscimento dei congedi per malattia.

E' questo quanto emerge da un provvedimento con il quale il garante ha vietato ad una amministrazione pubblica il trattamento dei dati relativi allo stato di salute del personale scaturenti dalla indicazione della diagnosi medica.

Fonte: Niente diagnosi nei certificati di malattia

Informativa sulla privacy: se incompleta scattano le sanzioni

Anche nel caso di informazioni raccolte attraverso il web, così come in ogni altra ipotesi di trattamento di dati personali, ai soggetti interessati deve essere resa preventivamente una idonea informativa.

Per tale deve intendersi una comunicazione comprendente le informazioni elencate nell'art. 13 del d.lgs. 196/03 (finalità e modalità di trattamento, soggetti o categorie di soggetti ai quali i dati possono essere comunicati o che possono venirne a conoscenza, estremi identificative del titolare e del responsabile, ecc...).

In mancanza, infatti, l'autorità di controllo può contestare l'illecito di omessa od inidonea informativa previsto dall'art. 161 del codice e punito con la sanzione amministrativa del pagamento di una somma di entità variabile in relazione alla gravità del fatto.

E' questo ciò che risulta da un provvedimento con il quale il garante della privacy ha, oltrettutto, ribadito la natura personale di dati come l'indirizzo di posta elettronica e il numero di telefonia mobile.

Fonte: Il garante sanziona le informative incomplete

Localizzazione e geo-tecnologie: un asset del marketing mix o un allarme privacy ?

Riporto un mio contributo, estratto dal mio ultimo ebook, e pubblicato sul portale della business community Eccellere.

La diffusione e l'evoluzione delle tecnologie di comunicazione mobili alimenta la continua ricerca di nuove opportunità di business che siano in grado di catalizzare l'attenzione, dal punto di vista commerciale, di un bacino di utenti davvero enorme, non soltanto a livello nazionale, ma anche comunitario.

La possibilità di determinare, tramite la rete satellitare GPS o quella cellulare, la posizione di qualunque individuo od oggetto sul globo terrestre, abbinata ad una ritrasmissione di questi stessi dati mediante tecnologie "always-on", come quelle GPRS/UMTS, rende oggi tecnicamente possibile la fornitura di servizi a valore aggiunto basati sulla localizzazione, indicati con la sigla LBS acronimo di Location Based Services.

Dato che il concetto di localizzazione può assumere una portata differente, a seconda delle finalità perseguite, tali servizi hanno conseguentemente un campo di applicazione molto vasto che abbraccia le applicazioni destinate alla navigazione su strada, alla gestione delle emergenze ed alla sicurezza delle persone, delle cose o degli animali, ma anche quelle relative all'intrattenimento, alla comunicazione sociale ed a quella di natura commerciale (informazioni sulla vicinanza di ristoranti, alberghi, centri commerciali, stazioni di rifornimento, ecc....).

In particolare la diffusione di informazioni di natura promozionale attraverso questo canale rappresenta, per lo più, il risultato dello sviluppo di apposite strategie di marketing geografico dirette a definire le azioni più appropriate in relazione al particolare ambito territoriale in cui si trova od opera una determinata realtà.

Siamo quindi in presenza di strumenti innovativi che possono inserirsi, a pieno titolo, nell'ambito del processo di pianificazione ed implementazione del marketing mix.
Ma, c'è un ma, non possiamo dimenticare alcune questioni di natura giuridica, specificamente connesse con la tutela della riservatezza, che vanno prontamente affrontate.

Da un punto di vista tecnologico il funzionamento dei sistemi di localizzazione può essere incentrato su una rete cellulare oppure esterno, a seconda che la sorgente delle informazioni rientri o meno sotto il controllo di un operatore di comunicazioni elettroniche.
Alla prima categoria appartengono le reti GSM/UMTS, mentre nel secondo gruppo rientrano la rete satellitare GPS (Global Positioning System), Galileo, i sistemi di posizionamento peer-to-peer o quelli basati su ponti radio o su reti wireless.

L'architettura complessiva prevede, di regola, il coinvolgimento di tre entità: un fornitore di servizi, l'utente ed un operatore che agisce da intermediario, trasmettendo i dati di localizzazione al fornitore che li combina con quelli geografici per erogare i servizi richiesti.
E' chiaro quindi che, nell'ambito del funzionamento di questa architettura, i dati relativi all'ubicazione assumono un ruolo centrale.

D'altra parte essi riguardano spesso una persona fisica, identificata od identificabile e, nella misura in cui consentono di determinare il posizionamento di quest'ultima, finiscono per acquisire un valore commerciale non trascurabile.

Proprio per queste ragioni la normativa, anche europea, prevede che tutte le parti coinvolte nella fornitura di servizi basati su dati di ubicazione debbano attenersi ai principi vigenti in materia di protezione dei dati personali, soprattutto per ciò che riguarda il consenso, specifico ed informato, della persona interessata, e l'adozione di opportune misure di sicurezza concernenti l'accesso ai dati e la durata della loro conservazione, come del resto ribadito anche dal gruppo europeo dei garanti della privacy.

In questo modo si garantisce un approccio che, senza sminuire il valore e la portata dei servizi che possono essere resi, soddisfa l'esigenza, altrettanto importante, di evitare il rischio che il trattamento di questi dati possa tradursi in  una indebita invasione della sfera di riservatezza e di dignità della persona umana.

Photo credit: Rotorhead

Social media: come sfruttarli proteggendo la nostra privacy ?

Segnalo che sul blog di Luigi Centenaro, autore di un interessantissimo ebook gratuito dal titolo Personal Branding con i Social Media, è stato pubblicato un mio guest post con lo stesso titolo.

Ringrazio Luigi per la gentilezza di avermi ospitato sul suo blog ed attendo fiducioso i vostri commenti.

I modelli organizzativi del d.lgs. 231/01 e la criminalità informatica: chi, cosa, come e quando

La criminalità informatica è un fenomeno ormai noto a tutti e reso ancora più familiare, se vogliamo, dal clamore che, spesso, si accompagna alle notizie di attacchi o di violazioni di sicurezza diffuse dagli organi di informazione.

Tradizionalmente la figura del criminale informatico si identifica con quella del soggetto che, per profitto proprio o dell'associazione criminosa cui appartiene, si dedica con regolarità a violare i sistemi informatici altrui.

Tuttavia la crescita di importanza dell'ICT in risposta alla sua diffusione a vari livelli della società e, soprattutto, in realtà aziendali od organizzative eterogenee, dove più avvertite sono le esigenze di competitività, automazione ed ottimizzazione dei processi che tali tecnologie consentono di soddisfare, rende rilevante, dal punto di vista statistico, la probabilità che i reati informatici possano essere commessi anche dai soggetti che occupano posizioni di vertice oppure, per inosservanza degli obblighi di direzione e vigilanza, dai soggetti ad essi subordinati.

La convenzione di Budapest del 2001, ratificata e resa esecutiva con legge 18 marzo 2008, n. 48, ha cercato di fornire una soluzione al problema della cyber criminalità, sotto forma di un maggiore stimolo alla prevenzione, attraverso la previsione di una specifica ed autonoma forma di responsabilità in capo agli enti forniti di una personalità giuridica, alle società ed associazioni, anche prive di personalità giuridica, quando gli illeciti siano commessi nel loro interesse od a loro vantaggio.

L'unico rimedio per far fronte a questa responsabilità è quello che consiste nella adozione ed efficace implementazione dei modelli organizzativi previsti dal d.lgs. 231/01 che disciplina la materia della responsabilità da reato, non soltanto di matrice informatica, degli enti collettivi.

Cosa sono i modelli organizzativi ?

Possono ritenersi un insieme di misure di natura differente (organizzativa, tecnologica, finanziaria, formativa, ecc...) dirette a prevenire la commissione di alcune tipologie di illecito, tra cui anche quelli informatici.

Prima di poter essere applicate queste misure vanno, ovviamente, identificate attraverso una analisi, il cui scopo è definire quali sono le aree operative, organizzative o tecnologiche nelle quali il rischio della commissione dei reati si presenta come probabile.

I modelli (misure) vanno documentati per iscritto, devono essere efficacemente adottati e supportati da ulteriori attività:

• la costituzione di un organismo interno dotato di autonomi poteri di iniziativa e controllo per vigilare sul funzionamento e sull'osservanza dei modelli
• la verifica periodica e l'aggiornamento
• la predisposizone di un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure identificate
• l'adempimento di obblighi di informazione nei confronti dell'organo di vigilanza

Come si configura l'adozione ed attuazione dei modelli ?

Non si tratta di un obbligo ma, piuttosto, di un onere necessario per evitare la responsabilità.
Questo significa che la mancata adozione dei modelli non è sanzionata in modo autonomo ma solo come comportamento passivo che non ha evitato la commissione degli illeciti.

In che cosa consiste la responsabilità da reato ?

Nella applicazione di sanzioni differenti a seconda della gravità del fatto e del comportamento dell'ente: in pratica accanto a sanzioni pecuniarie ed alla confisca sono previste sanzioni interdittive (ad es. interdizione dall'esercizio dell'attività, sospensione o revoca di autorizzazioni, divieto di contrattare con la P.A., esclusione da agevolazioni, ecc...) ed accessorie (pubblicazione della sentenza di condanna).

Quando devono essere adottati i modelli ?

Non c'è una scadenza precisa ma è ovvio che prima si adottano modelli efficaci e prima si riduce il rischio della commissione dei reati e, di conseguenza, dell'addebito di responsabilità che ne può derivare.

Photo credit: scol22

Cloud computing: considerazioni ed altri aspetti (legali)

Da qualche tempo si fa un gran parlare di cloud computing, soprattutto oltreoceano, dove le tendenze in materia di information technology, generalmente, si delineano e diffondono per prime.

Il termine fa riferimento ad uno sviluppo ed utilizzo delle tecnologie dell'informazione basato su Internet e, da qui, la metafora dell'immagine della nuvola (cloud) impiegata nei diagrammi per indicare, appunto, la rete.

Non si tratta, per la verità, di un idea innovativa ma di una rivisitazione di concetti, forse un pò datati, tecnologicamente parlando, come, ad esempio, quelli del network computing, degli application service provider, del software-as-a-service, ecc...

I vantaggi del cloud computing

Al di là delle immancabili discussioni che precedono o accompagnano spesso l'adozione di una determinata tecnologia, questo modello presenta delle caratteristiche che lo rendono appetibile da più punti di vista:

• le capacità di archiviazione ed elaborazione delle informazioni vengono fornite sotto forma di servizio online accessibile, in quanto tale, anche a chi è privo delle conoscenze, dell'esperienza e delle capacità necessarie per il controllo e la gestione di una infrastruttura IT
• il risparmio sui costi di acquisto dell'hardware, delle licenze software e di supporto
• la mancanza di oneri di gestione della infrastruttura
• la grande flessibilità che permette di creare applicazioni di capacity-on-demand, soprattutto in combinazione con la tecnologia della virtualizzazione, in grado di supportare in modo efficiente data center o nuove linee di business

Considerati questi vantaggi, la tecnologia potrebbe suscitare l'interesse delle startup e delle piccole e medie imprese, normalmente alle prese con problemi di budget e con la mancanza, al loro interno, di figure in possesso delle competenze tecnologiche adeguate.

Gli aspetti legali

La perdita di controllo, a causa della centralizzazione delle architetture hardware e software di data storage e processing, pone però alcune questioni di natura legale, di non facile risoluzione.

Cominciamo con la privacy, ovviamente: l'obbligo, da parte di chi tratta dati personali, di esercitare su questi ultimi uno stretto controllo e di adottare idonee e preventive misure di protezione non si concilia affatto con la gestione da parte di terzi della infrastruttura nella quale gli stessi dati sono memorizzati.

Visto che la responsabilità del titolare permane, anche nel caso in cui i dati siano gestiti  e conservati presso un fornitore di servizi, nel contratto sarà necessario prevedere, a carico di quest'ultimo - probabilmente in qualità di responsabile esterno - l'obbligo di attenersi alle misure di sicurezza individuate.

Inoltre non è da sottovalutare il fatto che il mantenimento dei dati su server esterni possa comportare una violazione del divieto di trasferimento verso paesi, fuori dell'Unione Europea, il cui quadro normativo non assicura adeguati livelli di tutela.

Si tratta di un rischio tutt'altro che remoto, considerato che i fornitori di servizio possono adottare meccanismi di storage ridondanti, distribuiti in posti geograficamente distanti, per far fronte alle inevitabili esigenze di disaster recovery.

Ulteriori esigenze potrebbero poi avere origine nella necessità di garantire la sicurezza di tutti gli altri dati, diversi da quelli personali, e la conformità (compliance) a standard e normative, anche di settore o regolamentari.

Per tutti questi aspetti è ovvio che il contratto assume un ruolo essenziale: è quindi fondamentale è che i rapporti tra le parti risultino inquadrati sulla base di clausole molto dettagliate concernenti:

• tutte le condizioni che regolano la fruizione del servizio/i (modalità di accesso, strumenti, controlli, durata degli accordi, pagamenti, garanzie, eccezioni, obblighi specifici, ecc...)
• i livelli di servizio (Service Level Agreement) per la cui erogazione vi dovrebbe essere una garanzia di conformità a parametri di funzionamento, quantitativi e qualitativi, ben definiti e compatibili con le varie esigenze

Un ultimo aspetto, infine, è quello relativo alla difficoltà di identificare, a priori, l'autorità giudiziaria competente a decidere in materia di eventuali controversie od illeciti, anche penali, derivanti dal contratto od attinenti alla sua esecuzione.

Photo credit: Lucretious

Semplificazione privacy: vantaggi e svantaggi di autocertificazione e dps

Ancora sul tema della semplificazione in materia di privacy per evidenziare alcuni aspetti, relativi alla sostituzione dell'obbligo del dps con l'autocertificazione, che possono essere fonte di perplessità o di pericolosa sottovalutazione nell'applicazione della normativa.

L'autocertificazione, innanzitutto, non è un obbligo ma una facoltà la cui applicazione è rimessa alla discrezionalità del soggetto, persona fisica o giuridica, titolare dei dati.

L'esercizio di questa facoltà implica, tuttavia, una attività di accertamento diretta a verificare che:

1. la tipologia dei dati sensibili trattati sia soltanto quella prevista dalla legge
2. i dati sensibili trattati siano riferibili esclusivamente ai soggetti indicati
3. i dati sensibili trattati siano protetti da misure di sicurezza

Per quanto riguarda le prime due verifiche, l'accertamento deve condurre, in sostanza, alle seguenti conclusioni:

• non esiste alcuna documentazione concernente dati sensibili diversi da quelli relativi allo stato di salute o malattia oppure all'adesione ad organizzazioni sindacali
• nessun documento concernente lo stato di malattia o salute deve riportare informazioni di natura diagnostica
• i dati sensibili devono essere riferiti o riferibili ai soli dipendenti e collaboratori, anche a progetto, del titolare

La casistica documentale da esaminare può essere molto ampia, a seconda del contesto di riferimento, ma è comunque consigliabile un impegno particolare nella identificazione di tutti i possibili trattamenti.

A questo proposito alcuni dei documenti nei quali possono "nascondersi", più spesso, dati di natura sensibile non ammessi al beneficio della semplificazione sono i curriculum vitae (informazioni su attività politica o adesione a particolari fedi religiose, ecc...) e gli altri atti concernenti la gestione del personale (permessi per attività politica o manifestazioni religiose, aspettativa per cariche politiche, documentazione sanitaria recante l'indicazione di una diagnosi, particolari accorgimenti alimentari nella fruizione del servizio mensa, ecc... ).

Se supportata da una adeguata fase di verifica dei presupposti, la semplificazione può comportare una riduzione delle spese, mentre, in caso contrario, questa riduzione rischia di essere vanificata dall'assunzione di responsabilità, anche di tipo penale, connesse con l'autocertificazione stessa.

Altra questione di una certa importanza è poi quella connessa alla scomparsa del documento programmatico sulla sicurezza ed ai conseguenti vantaggi che esso offre.

Al di là delle inevitabili tendenze a fare di tale adempimento un atto puramente burocratico o uno sterile esercizio di copia ed incolla, il dps costituisce, infatti, una evidenza documentale dell'approccio adottato dal titolare per garantire la sicurezza dei dati trattati, sia in termini di analisi dei rischi che di identificazione, pianificazione ed attuazione delle misure di protezione.

Esso svolge una funzione utilissima, non soltanto a livello organizzativo, ma anche in caso di controlli ed in un contesto difensivo derivante da eventuali controversie.

Ovviamente l'adozione dell'autocertificazione determina una rinuncia a tali vantaggi che va ponderata attentamente, anche perchè la mancata redazione ed aggiornamento del documento non implica, altresì, una esenzione dall'obbligo di protezione dei dati, essendo il titolare tenuto a proteggerli in modo specifico mediante idonee e preventive misure di sicurezza di cui deve dichiarare l'attuazione in fase di autocertificazione.

Ebook: privacy, marketing ed attività promozionali

Ho appena terminato la preparazione di un ebook dal titolo

La tutela della privacy nelle attività di marketing e promozionali

La pianificazione e la realizzazione di efficaci strategie di marketing richiede, sempre più, dei flussi informativi articolati, spesso basati su dati di natura personale.

L'interdipendenza creatasi tra marketing, tecnologia ed informazioni è ormai tale che la problematica della tutela dei dati personali sta assumendo in tale contesto una rilevanza significativa, come si evince del resto dalla corposa normativa vigente e dai sempre più numerosi provvedimenti ed interventi operati dall'autorità garante della privacy.

Nel mondo odierno, dominato dal business e dalle tecnologie, per poter vendere con successo non è più sufficiente essere "online", dotarsi delle tecnologie più giuste ed aver sviluppato una propria strategia, ma occorre anche adottare un approccio più consapevole dei vincoli e dei presupposti richiesti dalla legge.

In mancanza di tale approccio ci si espone soltanto a rischi che possono minare non soltanto la credibilità e l'immagine di qualsiasi azienda ma la stessa possibilità di fare business.

Da queste premesse scaturisce, perciò, l'idea di questo volume, frutto della osservazione della realtà e di esperienze professionali, il cui scopo è quello di offrire una analisi sintetica ma abbastanza comprensiva dei complessi rapporti esistenti tra gli obblighi imposti dalla normativa a tutela della privacy (D.Lgs. 196/2003) e le attività di marketing e promozionali, specie se realizzate con l'ausilio delle tecnologie di comunicazione elettronica.

Il libro prevede ovviamente anche una parte generale, dedicata all'inquadramento dei principali obblighi e requisiti di liceità del trattamento dei dati, insieme con la trattazione di fenomeni più specifici, come quelli concernenti il bluetooth advertising, il marketing comportamentale, il marketing geografico ed i servizi basati sulla localizzazione (LBS o Location Based Services)

Alla fine è inclusa inoltre una appendice normativa con il testo degli articoli del codice della privacy e dei provvedimenti dell'autorità garante richiamati.

L'ebook è disponibile per il download gratuito su lulu.

Corso online (gratuito) su direct marketing e privacy

Privacy e comunicazioni elettroniche: sulle modifiche della direttiva 2002/58/CE il parere del garante europeo

Prosegue l'iter di revisione della direttiva 2002/58/CE, relativa alla tutela dei dati personali e della vita privata nelle comunicazioni elettroniche.
Rispetto al mio precedente post, segnalo che il garante europeo della protezione dei dati personali è intervenuto, nel frattempo, con un suo parere (2008/C 181/01).

L'opinione espressa è abbastanza articolata ed il giudizio che emerge è globalmente positivo, anche se non mancano punti, peraltro condivisibili, sui quali il garante chiede un maggior sforzo da parte del legislatore europeo.

In sintesi le questioni toccate riguardano il campo di applicazione della normativa, la notifica delle violazioni di sicurezza dei dati, la possibilità per le persone fisiche e giuridiche di promuovere azioni giudiziarie contro gli spammer e l'archiviazione di informazioni nel terminale dell'utente.

Campo di applicazione

Viene giudicata favorevolmente l'estensione del campo di applicazione alle reti di comunicazione pubbliche che supportano i dispositivi di raccolta ed identificazione dei dati (in pratica le applicazioni basate sull'identificazione a radiofrequenza o RFID).

Si richiede inoltre di includere in tale ambito anche i fornitori di servizi di comunicazione elettronica su reti miste (pubbliche/private) o private.

Questo allargamento, condiviso anche dal gruppo di lavoro dell'art. 29, sarebbe giustificabile in rapporto alla tendenza dei servizi di comunicazione a diventare sempre più un mix di risorse pubbliche e private e, quindi, alla crescente importanza che vanno assumendo queste reti e, con esse, al maggior numero di rischi per i dati personali degli utenti.

Notifica delle violazioni di sicurezza dei dati

Nel nuovo testo l'obbligo di notifica delle violazioni di sicurezza dei dati si applicherebbe ai soli fornitori di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche.

Tuttavia il garante europeo segnala l'opportunità di una attuazione su più vasta scala che ricomprenda anche i fornitori di servizi della società dell'informazione (banche, assicurazioni, servizi sanitari ed altre attività commerciali online).

Le ragioni sono da ricercare nell'ingente volume di dati trattati ormai anche da tali soggetti e nella loro natura spesso sensibile (dati inerenti la salute, carte di credito, ecc...).

A questo proposito condivido l'opinione sui riflessi indubbiamente positivi che questo comporterebbe, nel senso che:

• l'obbligo di notifica migliorerebbe l'affidabilità dei fornitori di servizi
  
• l'incremento di responsabilità costituirebbe una motivazione valida per aumentare gli investimenti in sicurezza e migliorare le misure applicate (spesso riconducibili alle sole misure tecnologiche)
  
• la notifica delle violazioni agirebbe come elemento di contrasto al fenomeno crescente dei furti di identità dal momento che i soggetti notificati potrebbero adottare le misure necessarie per impedire un utilizzo illecito dei propri dati (ad esempio una modifica, nel caso di credenziali di accesso, od un blocco, nel caso di carte di credito, e così via)

Tutela giudiziaria contro gli spammer

La modifica proposta prevede la possibilità per le persone fisiche e giuridiche, portatrici di un legittimo interesse, di intentare azioni giudiziarie nei confronti di coloro che violano le disposizioni relative all'invio di comunicazioni elettroniche indesiderate (in pratica i cd. spammer).

Ciò vale soprattutto per i fornitori dei servizi di comunicazione che hanno ovviamente tutto l'interesse commerciale di perseguire coloro che abusano delle loro reti ma anche per le associazioni di consumatori vittime del fenomeno.

Il garante, pur apprezzando la portata della nuova formulazione, la ritiene limitante in quanto non sarebbe, comunque, consentito proporre azioni con riferimento a violazioni di altre disposizioni della direttiva, cosa questa che, in effetti, mgliorerebbe sensibilmente l'efficacia e l'applicazione della stessa.

Archiviazione ed accesso alle informazioni sul terminale dell'utente

Viene espresso un particolare apprezzamento per la modifica dell'art. 5, paragrafo 3, della direttiva 2002/58/CE riguardante l'ipotesi di archiviazione ed accesso alle informazioni sul terminale dell'utente mediante tecnologie come cookies, spyware ed altri dispositivi simili.

L'eliminazione dal testo della norma del riferimento alle "reti di comunicazione elettronica", equivarrebbe a rendere operanti le particolari cautele, connesse all'esigenza di informare gli utenti ed al loro diritto di rifiutare il trattamento dei propri dati, anche nei casi di accesso ed archiviazione mediante supporti esterni (cd, dvd, chiavi usb, ecc..) e non soltanto tramite reti di comunicazione.

Il bluetooth marketing è spam ?

Il marketing si arricchisce continuamente di nuove opportunità e, tra queste, si fa un gran parlare di marketing di prossimità.

Il marketing di prossimità è una tecnica che fa uso di strumenti e metodi attraverso i quali risulta possibile instaurare forme di comunicazione, generalmente di natura promozionale o informativa, con gli individui presenti all'interno di un area circoscritta (cinema, caffè, aree commerciali, fiere, aeroporti, ecc...).

Ci troviamo quindi di fronte ad un espressione particolare di marketing territoriale, dove l'aggettivo territoriale deve essere inteso nel senso che la comunicazione avviene sul territorio senza un target predefinito.

Una particolare estensione del marketing di prossimità è rappresentata dal bluetooth marketing o advertising che consiste, appunto, nell'impiego di una rete di comunicazione wireless, basata sul protocollo bluetooth, attraverso la quale i messaggi sono indirizzati ai terminali mobili degli utenti (pda, smartphone, computer portatili, ecc...) che si trovano in un area specifica.

Tale forma di comunicazione elettronica pone, però, dei dubbi circa la sua natura di comunicazione indesiderata (cd. spamming) e sotto il profilo della relativa privacy degli utenti destinatari.

Navigando in rete mi sono imbattuto in un post nel quale vengono illustrate le ragioni per le quali si ritiene che il bluetooth marketing non sia spam, motivi che di seguito riepilogo brevemente, invitando comunque ad una attenta lettura del post:

• identificazione del mittente: i messaggi inviati conterrebbero sempre l'indicazione del mittente
• richiesta di accettazione: per ogni messaggio inviato il destinatario riceverebbe sul suo terminale una richiesta di conferma, assumendo in tal modo un ruolo attivo nella scelta delle comunicazioni
• attinenza dei messaggi: i messaggi inviati avrebbero una stretta attinenza con il contesto geografico nel quale sono confinati

In realtà la questione non appare di così facile risoluzione e le motivazioni addotte, seppure in parte condivisibili, non prendono in considerazione l'aspetto giuridico del fenomeno, sul quale ritengo pertanto opportuno soffermarmi.

La normativa di riferimento è, ancora una volta, rappresentata dal codice della privacy (d.lgs. 196/03) ed, in particolare, dall'art. 130, intitolato proprio alle "Comunicazioni indesiderate".

Come è noto i primi due commi della norma citata subordinano al preventivo consenso dell'interessato la possibilità di utilizzare i sistemi automatici di chiamata, la posta elettronica, il fax, i messaggi sms, mms o di altro tipo per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

Il primo dubbio è se un sistema di comunicazione via bluetooth possa rientare nell'ambito di questa definizione, quanto meno sotto il profilo di una ipotetica assimilazione ai messaggi di "altro tipo" cui la disposizione fa riferimento.

Anche se così non fosse, però, il successivo comma 3 stabilisce che le comunicazioni effettuate per le stesse finalità, ma con mezzi diversi da quelli indicati, sono comunque consentite se c'è il consenso del destinatario oppure se ricorre una ipotesi di trattamento dei dati personali senza consenso.

La natura aperta dell'espressione "mezzi diversi da quelli indicati" sembrerebbe legittimare l'inclusione anche dei sistemi bluetooth, ma, a questo punto, si prospettano due quesiti di non facile soluzione.

Il primo é: una comunicazione via bluetooth implica una qualche forma di trattamento di dati personali ?

Senza entrare nei dettagli tecnici, ciò potrebbe accadere se, tra i vari dati scambiati durante la connessione tra periferiche, ve ne sia qualcuno che possa qualificarsi come "dato personale", secondo la definizione che ne fornisce l'art. 4 del codice della privacy.

A questo riguardo mi viene da pensare, innanzitutto, al nome identificativo del device, utilizzato anche nella pratica cd. del toothing, ma anche ad uno degli altri dati gestiti dal Link Manager Protocol.

Ed inoltre, potrebbe configurarsi come consenso dell'utente l'eventuale risposta positiva alla richiesta di accettazione del messaggio ?

Probabilmente sì, anche se ciò non risolve il problema della potenziale invasività della tecnica (quanti messaggi si potrebbero ricevere in un area commerciale di una certa grandezza ?)

Nel caso in cui, invece, il sistema non sia configurato in modo da richiedere esplicitamente un permesso per ogni messaggio inviato, difficilmente si potrebbe parlare di consenso.

Sull'intera problematica non si è, comunque, ancora pronunciato il nostro garante della privacy mentre, in ambito comunitario, il gruppo di lavoro dei garanti europei sembra orientato verso una maggiore protezione dei cittadini.

In un parere è stata infatti evidenziata l'opportunità di ampliare la definizione di sistemi di chiamata, contenuta nell'art. 13 della direttiva 2002/58/CE, in modo tale da ricomprendervi anche quei sistemi legati allo sviluppo tecnologico, tra i quali quelli basati sulla tecnologia bluetooth, il cui funzionamento è difficilmente equiparabile ad una chiamata sul terminale dell'utente, almeno nell'attuale impianto normativo.

Pertanto la questione è abbastanza aperta e nuovi sviluppi potrebbero essere imminenti su vari fronti.

Photo courtesy by re-ality

Teleselling: nuovo stop per le telefonate indesiderate

Il fenomeno del teleselling o marketing telefonico sta assumendo una importanza sempre maggiore con riferimento alla normativa sulla tutela dei dati personali contenuta nel codice della privacy (D.Lgs. 196/03).

Il garante è intervenuto nuovamente per vietare ad alcune società specializzate nella creazione e nella vendita di banche dati l'ulteriore trattamento di dati personali - numeri telefonici - di milioni di utenti, raccolti ed utilizzati illecitamente, senza aver informato gli interessati ed in assenza di uno specifico consenso da parte loro alla cessione degli stessi dati ad altre società.

Lo stesso divieto è scattato ovviamente anche per le società che hanno acquistato le banche dati per il compimento delle attività promozionali tramite call center.

In effetti, contrariamente a quanto prescritto dalla normativa e ribadito in altre occasioni dalla stessa autorità (Provvedimento generale 29 maggio 2003, Spamming. Regole per un corretto invio delle email pubblicitarie), gli acquirenti delle banche dati non si erano premurati di accertare che gli interessari avessero acconsentito alla comunicazione dei propri dati nonchè al loro utilizzo a fini commerciali.

Corso online (gratuito) su direct marketing e privacy

Agcom: integrazione linee guida a tutela dei consumatori

Il comma 3 dell'art. 1 della legge 40/07 prevede, a tutela di coloro che stipulano contratti per adesione con operatori di telefonia, di reti televisive e di comunicazioni elettroniche, il diritto di recedere dal contratto senza vincoli temporali o ritardi non giustificati, senza spese non giustificate da costi dell'operatore e senza un obbligo di preavviso superiore ai 30 giorni.

A seguito di una serie di richieste, l'autorità per le garanzie nelle comunicazioni ha ritenuto che tale forma di tutela debba trovare applicazione pure nei confronti degli utenti business come, ad esempio, i liberi professionisti o le imprese, poichè anche tale categoria di utenti non gode di un effettivo potere negoziale, limitandosi nella maggior parte dei casi a sottoscrivere le clausole predisposte dal contraente forte.

Alla luce di questo importante chiarimento interpretativo è stata pertanto predisposta una integrazione del punto 3 delle linee guida della Direzione Tutela dei Consumatori esplicative per l'attività di vigilanza da effettuare ai sensi dell'art.1, comma 4, della Legge n. 40/2007.

Passaggio degli utenti finali tra operatori: siamo ancora in alto mare ?

Dopo un iniziale ventata di ottimismo legata alla circolare del 9 aprile 2008 dell'AGCOM, contenente le modalità di attuazione della delibera 274/07/CONS, sembra che la questione del passaggio degli utenti finali tra operatori sia tornata nell'oblio, con buona pace di chi auspicava, giustamente, una maggiore flessibilità e competitività del mercato delle telecomunicazioni in Italia.

Sui siti dei vari operatori non è possibile rinvenire traccia delle modalità attraverso le quali gli utenti dei servizi di telefonia ed ADSL potrebbero passare da un operatore ad un altro, senza dover transitare nuovamente attraverso Telecom.

Nella circolare del 9 aprile si da atto del raggiungimento di un accordo tecnico tra gli operatori per l'implementazione delle procedure di migrazione e, al tempo stesso, si pone come termine ultimo per l'implementazione la data del 26 maggio 2008.
Peraltro, tra le procedure da attuare, vi sarebbe anche quella che prevede l'attribuzione agli utenti di un codice di migrazione.

Ma allora perchè tanto silenzio da parte degli operatori ?
Viene spontaneo domandarsi se questo non sia un sintomo della paura che una tale misura possa agevolare il passaggio di utenti insoddisfatti, finora frenati dalla necessità di dover compiere il passaggio intermedio per Telecom, prima di rivolgersi ad altri operatori.

Sperimentazioni cliniche di medicinali:le linee guida

La sperimentazione clinica di medicinali riveste un ruolo cruciale ai fini della verifica degli effetti sulla salute umana e della efficacia dei nuovi medicinali nel combattere particolari stati patologici.

L'importanza di questi studi ai fini del progresso medico e la particolare natura sensibile delle informazioni, oggetto di trattamento durante la fase di sperimentazione, richiedono un approccio orientato ad un equo contemperamento tra le esigenze operative e quelle di protezione dei dati stessi.

In mancanza di misure ed accorgimenti idonei, la riservatezza di questi dati può essere infatti messa a repentaglio, anche a causa del numero elevato di soggetti che, normalmente, risultano coinvolti nella sperimentazione e che, in alcuni casi, possono risiedere al di fuori del territorio nazionale, in paesi che non offrono un adeguato livello di protezione dei dati personali.

Un ulteriore aspetto da non sottovalutare è poi quello relativo al lungo tempo di conservazione di questi dati a seguito della chiusura della sperimentazione stessa.

Per questi motivi, l'autorità garante della privacy, ha emanato delle linee guida rivolte a individuare gli accorgimenti e le misure necessari ed opportuni riguardo al trattamento dei dati personali dei partecipanti a sperimentazioni cliniche da parte dei promotori degli studi.

Misure ed accorgimenti che devono essere, comunque, applicate da tutti gli altri titolari di trattamenti di dati personali effettuati a fini di sperimentazione clinica, quali promotori diversi dalle società farmaceutiche, organizzazioni di ricerca a contratto e centri di sperimentazione.

Fonte: Linee guida per i trattamenti di dati personali nell'ambito delle sperimentazioni cliniche di medicinali

Differimento dei termini per le misure di conservazione dei dati del traffico telefonico e telematico

In data 24 luglio l'autorità garante della privacy, su sollecitazione dei fornitori dei servizi di comunicazione elettronica accessibili al pubblico, ha emanato un provvedimento contenente alcune modifiche al precedente provvedimento del 17 gennaio 2008 concernente l'adozione di specifici accorgimenti e misure a garanzia dei dati di traffico, conservati per finalità di accertamento e repressione dei reati.

La principale novità consiste nel differimento dei termini per adempiere alle prescrizioni relative all'attuazione delle misure di sicurezza previste.
Infatti il termine originariamente fissato al 31 ottobre 2008 è ora differito al 30 aprile 2009 mentre, per l'adozione delle misure di strong authentication concernenti gli incaricati che accedono ai dati di traffico nell'ambito delle attività di call center, il termine slitta al 30 giugno 2009.

Questa decisione prende le mosse dalla considerazione della complessità degli interventi tecnici richiesti ma anche delle recenti modifiche apportate sia dalla legge 18 marzo 2008, n. 48 che ha introdotto una particolare ipotesi di conservazione temporanea dei dati relativi al traffico telematico, ai fini dello svolgimento di investigazioni preventive o di accertamento e repressione dei reati, sia dal decreto legislativo 30 maggio 2008, n. 109 con il quale è stata data attuazione alla direttiva europea 2004/26/CE.

Fonte: Recepimento normativo in tema di dati di traffico telefonico e telematico

Privacy: niente più obbligo del DPS in presenza di certi requisiti

Con l'art. 29 del decreto legge n. 112 del 25/06/2008, convertito in legge 6 agosto 2008 n. 133, sono state introdotte ulteriori misure di semplificazione destinate ai soggetti che trattano esclusivamente dati personali non sensibili, quando gli unici dati sensibili di cui sono in possesso sono quelli relativi allo stato di salute o di malattia dei propri dipendenti o collaboratori, senza indicazione della relativa diagnosi, oppure all'adesione ad organizzazioni sindacali o a carattere sindacale.

Queste misure, che in pratica interessano una larga fetta di piccole e medie imprese e datori di lavoro, sono inserite in un nuovo comma (1-bis) dell'articolo 34 del codice della privacy (D.Lgs. 196/2003).

La principale novità è data dall'abolizione dell'obbligo di tenere un aggiornato documento programmatico della sicurezza e dalla sua sostituzione con una autocertificazione, resa ai sensi dell'art. 47 del D.P.R 445/2000, con la quale il titolare dovrà dichiarare di:

1. trattare generalmente solo dati personali non sensibili
   
2. essere in possesso dei soli dati sensibili previsti
   
3. trattare, comunque, questi ultimi nell'osservanza delle misure di sicurezza previste dal codice e dall'allegato B.
   

A scanso di equivoci e di pericolose sottovalutazioni è bene ribadire che:

1. l'obbligo del DPS decade soltanto se risultano trattati dati sensibili della stessa specie di quella prevista , mentre in presenza anche di un solo altro dato sensibile di natura differente (ad es. quelli relativi all'adesione a partiti politici, organizzazioni di carattere religioso, ecc...) tutto rimane come prima;
   
2. non viene meno l'obbligo di applicare le altre misure di sicurezza previste;
   
3. l'autocertificazione non è un semplice adempimento burocratico, poichè in caso di false attestazioni (ad es. sulla natura dei dati trattati e/o sull'osservanza delle misure di sicurezza) comporta una responsabilità da parte del titolare dei dati;
   

Lo stesso decreto prevede che, entro due mesi dall'entrata in vigore della legge di conversione, sarà aggiornato il disciplinare tecnico del codice della privacy in modo da prevedere delle misure semplificate per la redazione del DPS, in favore di coloro che trattano dati personali per le sole finalità amministrative e contabili.

Nel caso in cui tali ulteriore misure non verranno adottate nei termine previsti, tutti coloro che trattano dati personali per le sole finalità amministrative e contabili potranno beneficiare dell'esenzione dall'obbligo di redazione del DPS.

Complessivamente queste ulteriore misure si possono quindi già ricollegare alle semplificazioni per i trattamenti con finalità amministrative e contabili definite recentemente dal garante.

Infine, per concludere, il decreto contiene anche la seguente modifica del comma 2° dell'art. 38 del codice della privacy (Modalità di notifica):

La notificazione e' validamente effettuata solo se e' trasmessa attraverso il sito del Garante, utilizzando l'apposito modello, che contiene la richiesta di fornire tutte e soltanto le seguenti informazioni:

1) le coordinate identificative del titolare del trattamento e, eventualmente, del suo rappresentante, nonche' di un responsabile del trattamento se designato
2) la o le finalita' del trattamento
3) una descrizione della o delle categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime
4) i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;
5) i trasferimenti di dati previsti verso Paesi terzi
6) una descrizione generale che permetta di valutare in via preliminare l'adeguatezza delle misure adottate per garantire la sicurezza del trattamento

Trattamenti per finalità amministrative e contabili: la semplificazione voluta dal garante

Sulla base di una esigenza avvertita dagli operatori, il garante della privacy è tornato a pronunciarsi sul tema delle possibili misure di semplificazione del trattamento dei dati personali da parte delle piccole e medie imprese, sia pubbliche che private, dei liberi professionisti e degli artigiani.

Dopo una fase istruttoria, dalla quale sono emerse alcune evidenti distorsioni burocratiche nell'applicazione del codice della privacy, l'autorità ha ritenuto di emettere un apposito provvedimento nel quale sono state individuate soluzioni concrete per agevolare ulteriormente l'ordinaria attività di gestione amministrativa e contabile, in particolare per i casi in cui i dati trattati non sono di carattere sensibile o giudiziario.

Le misure proposte riguardano soprattutto l'informativa, in relazione alla quale i soggetti destinatari sono invitati a:

1. fornire agli interessati un unica informativa in cui, con linguaggio semplice e senza inutili ripetizioni o frammentazioni, venga effettuata una ricostruzione dell'insieme dei trattamenti, con l'indicazione delle informazioni essenziali nell'ambito della lealtà e correttezza
   
2. redigere, se possibile, una prima informativa breve in cui si chiariscono sinteticamente le caratteristiche essenziali del trattamento (tale informativa può essere realizzata sfruttando gli spazi bianchi normalmente presenti nel materiale cartaceo e nella corrispondenza)
   
3. prevedere una informativa più articolata, richiamabile da quella breve e disponibile, agevolmente e senza oneri, per gli interessati in luoghi e con modalità accessibili anche con strumenti informatici e telematici
   
4. prevedere invece una informativa specifica quando il trattamento ha caratteristiche particolari

Dal punto di vista del consenso degli interessati, il garante ribadisce che esso non è necessario nel caso in cui il trattamento dei dati è svolto, anche in relazione all'adempimento di obblighi normativi, precontrattuali o contrattuali, per finalità amministrative e contabili, o quando i dati sono estratti da registri pubblici o sono relativi allo svolgimento di attività economiche o trattati da trattati da un soggetto pubblico.


Un particolare bilanciamento degli interessi si attua, nel caso della vendita di prodotti o servizi, per il riutilizzo, senza consenso, del recapito di posta cartacea dell'interessato per finalità promozionali, di comunicazione commerciale o di ricerche, purchè vi siano le condizioni già previste dall'art. 130, comma 4, del codice con riferimento alla posta elettronica.

Alle competenti autorità di Governo è stata infine segnalata l'opportunità di modificare il Codice nella parte relativa alla disciplina delle misure minime di sicurezza e al documento programmatico, in modo da bilanciare le necessarie cautele di sicurezza dei dati e dei sistemi con l'esigenza di adattarle alle attività che, specie presso piccole e medie imprese, liberi professionisti e artigiani, vengono svolte in relazione a finalità di gestione amministrativa e contabile.

A tal fine è stata proposta l'aggiunta all'art. 33 di un ulteriore comma (1-bis) dal seguente contenuto: 

Il Garante può individuare con proprio provvedimento modalità semplificate in ordine all'adozione delle misure minime di cui al comma 1, con riferimento ai trattamenti effettuati per correnti finalità amministrative e contabili, in particolare presso piccole e medie imprese, liberi professionisti e artigiani.

La protezione dei dati personali da parte dei motori di ricerca: il rispetto della normativa UE

In un documento adottato il 4 aprile 2008, concernente le problematiche sulla protezione dei dati personali da parte dei motori di ricerca, il gruppo di lavoro delle autorità europee in materia di privacy ha ribadito che i motori di ricerca devono rispettare la direttiva 95/46, informando gli utenti in modo adeguato sui dati raccolti ed evitando di conservare questi ultimi in assenza di una reale necessità.

Le autorità ritengono che i motori di ricerca debbano valutare attentamente la natura delle operazioni che essi gestiscono in relazione ai dati personali, sia come fornitori di servizi che di contenuti, sottolineando inoltre la necessità che i requisiti fondamentali in materia di protezione dei dati siano incorporati negli stessi meccanismi operativi secondo il principio di "privacy by design".

Di fondamentale importanza appare poi il riconoscimento secondo cui la direttiva 95/46 si applica al trattamento dei dati personali effettuato dai motori di ricerca, anche quando questi ultimi siano situati in paesi al di fuori del territorio Ue e dello spazio economico europeo, purchè utilizzino per il trattamento dispositivi localizzati nel territorio di uno stato membro (ad esempio i cookies).

Viene invece esclusa l'applicabilità delle direttive 2002/58/CE (e-privacy) e 2006/24/CE (data retention) poichè queste ultime non riguardano i servizi tipici della società dell'informazione, come quelli offerti appunto dai motori di ricerca.

Nel documento sono poi formulate una serie di raccomandazioni relative a:

1. adeguata informativa degli interessati (soggetto titolare del trattamento, natura dei dati raccolti, scopi del trattamento);
2. ottenimento del consenso quando i dati siano utilizzati per attività di profilazione o siano comunque messi a confronto con altre informazioni in possesso del motore;
3. cancellazione od anonimizzazione dei dati qualora non siano più necessari per le specifiche finalità
   

Per quanto riguarda la conservazione dei dati il gruppo propone, in linea di principio, una conservazione non superiore a sei mesi, spettando comunque ai motori di ricerca la giustificazione di un eventuale periodo più lungo.

Infine, con riferimento al meccanismo di memorizzazione dei dati nella cache, deve essere garantito il diritto all'oblio delle persone, evitando che persistano in rete informazioni obsolete o superate, con un conseguente diritto degli interessati di esercitare i propri diritti di accesso, rettifica e cancellazione previsti dalla direttiva citata.

Fonte: Autorità Garante della Privacy - Newsletter nr. 306 21 maggio 2008 - I motori di ricerca devono rispettare le norme UE sulla protezione dei dati

Social network e privacy online

Di ritorno dal convegno E-privacy 2008, tenutosi a Firenze il 9/10 maggio scorso, pubblico le slide del mio intervento.

| View | Upload your own

Elenchi dei contribuenti online: illegittima la pubblicazione

L'Autorità Garante per la privacy ha concluso l'istruttoria avviata sulla diffusione, tramite il sito web dell'Agenzia delle entrate, dei dati relativi alle dichiarazioni dei redditi dei contribuenti italiani.

Il Collegio nel ribadire quanto già sostenuto nel provvedimento con il quale aveva immediatamente invitato a sospendere la pubblicazione on line, ha stabilito che la modalità utilizzata dall'Agenzia è illegittima.

L'Agenzia delle entrate dovrà quindi far cessare definitivamente l'indiscriminata consultabilità, tramite il sito, dei dati relativi alle dichiarazioni dei redditi per l'anno 2005.

L'Autorità ha altresì specificato che va ritenuta illecita anche l'eventuale ulteriore diffusione dei dati dei contribuenti da parte di chiunque li abbia acquisiti, anche indirettamente, dal sito Internet dell'Agenzia. Tale ulteriore diffusione può esporre a conseguenze di carattere civile e penale.

Fonte: Autorità Garante della privacy (Redditi online: illegittima la diffusione dei dati sul sito Internet dell'agenza delle entrate).

Spamming via fax ? Cosa fare per evitarlo

Le comunicazioni via fax di natura commerciale o promozionale rientrano nell'ambito delle comunicazioni elettroniche indesiderate (spam) quando avvengono senza il consenso del soggetto interessato.

Per inciso questo vale anche per la posta elettronica, gli sms e gli mms: è quanto si trova infatti enunciato nell'articolo 130, 1° e 2° comma, del codice della privacy, attraverso il quale è stata data attuazione alla direttiva 2002/58/CE.

Nonostante il tenore abbastanza chiaro della norma, il relativo principio è molto spesso disatteso nella pratica e una delle giustificazioni più ricorrenti è quella della reperibilità dei recapiti elettronici in elenchi, registri o banche dati online pubbliche.

Questa tesi è completamente erronea e ciò è stato confermato più volte dal garante della privacy con provvedimenti differenti, l'ultimo dei quali è proprio relativo allo spam via fax.

Cerchiamo allora di ribadire un unico ma importante concetto:

1. il consenso dell'interessato è necessario anche quando i suoi recapiti sono estratti da elenchi categorici (pagine gialle, registri e banche dati online pubbliche, ecc...)

In mancanza del consenso l'invio di materiale pubblicitario determina un trattamento illecito dei dati con tutte le responsabilità del caso.

Dunque cosa è necessario fare per poter agire nel rispetto delle prescrizioni ?
La risposta è molto semplice: acquisire il consenso del soggetto interessato.

Con quali modalità può essere acquisito il consenso e quali caratteristiche deve avere ? In qualsiasi modo valido e, preferibilmente, attraverso un contatto telefonico, sempre che esso sia:

1. acquisito prima della comunicazione (non è quindi valida una comunicazione via fax contenente una richiesta di consenso, quando essa abbia già un contenuto promozionale)
2. informato e specifico, cioè fornito proprio con riferimento alla fattispecie della comunicazione commerciale

Corso online (gratuito) su direct marketing e privacy

Convenzione di Budapest - Legge 18 Marzo 2008, n. 48

| View | Upload your own

Come rendere più sicure le password ?

Le password rappresentano, ancora oggi, uno dei metodi di autenticazione più utilizzati e, purtroppo, meno sicuri per accedere a sistemi informatici di varia natura.

Alcuni di questi sistemi (postazioni di lavoro, fisse e mobili, server aziendali, posta elettronica) ci permettono di gestire, direttamente o tramite soggetti incaricati, i dati personali altrui (clienti, fornitori, ecc...); altri, invece, rendono possibile un accesso ai nostri dati (social network), alle nostre risorse finanziarie (e-banking) oppure ai contenuti che creiamo e diffondiamo sulla rete (blog, sito web, ecc...).

Fatto sta che in tutti questi casi la riservatezza e l'integrità delle nostre e delle altrui informazioni viene a dipendere molto dal livello di sicurezza della componente di autenticazione della classica coppia userid/password.

Per rendere le password meno sensibili agli attacchi di guessing e brute-forcing e ridurre il rischio o mitigare gli effetti di una loro eventuale compromissione si possono adottare alcune contromisure:

1. lunghezza adeguata (dovrebbe essere variabile in relazione alla sensibilità delle informazioni da proteggere ma una buona base di partenza potrebbe essere di 8 caratteri)
2. differenziazione (una password diversa per ogni sistema, non la stessa per tutti i sistemi !)
   
3. estraneità con qualsiasi parola esistente in un normale vocabolario o riconducibile al soggetto (dimenticate i nomi di coniugi, figli, date di nascita, targhe di automobili, ecc..)
   
4. composizione alfanumerica (numeri e lettere con l'aggiunta di eventuali segni di interpunzione) con caratteri misti (maiuscole e minuscole)
   
5. custodia adeguata
   
6. modifica frequente

Molte persone che conosco o con le quali entro in contatto sono restie ad applicare questi accorgimenti.
In particolare i parametri di lunghezza, differenziazione e composizione rendono la generazione e la conservazione delle credenziali un vero e proprio incubo, con tutte le conseguenze negative del caso (password identiche, facili da indovinare, per di più scritte su fogli di carta, post-it, fogli excel, ecc...).

Non bisogna neanche dimenticare le responsabilità legali: chiunque tratta dati personali è infatti obbligato a rispettare le prescrizioni minime (e non solo !) dettate per la sicurezza dei dati dal d.lgs. 196/03, tra le quali rientrano appunto determinati requisiti di lunghezza, composizione e conservazione delle password di autenticazione.

Sulla rete sono disponibili diversi software utilizzabili per assicurare la conformità con questi requisiti/misure: uno di questi è Keepass gratuito e rilasciato con licenza open source.

Keepass è un gestore che memorizza le password all'interno di un database, costituito da un file crittografato con una chiave scelta dall'utente (master key).

Lo schema di cifratura adottato è l'AES (lo standard utilizzato dal governo U.S.A) oppure Twofish.

Il principale vantaggio è che l'utente deve ricordare una sola password, quella per accedere al database nel quale possono essere conservate tutte le altre credenziali, relative ai servizi/sistemi più disparati.

Alcune caratteristiche apprezzabili di Keepass sono:

1. la leggerezza del programma in termini di risorse utilizzate
2. la facilità d'uso (esiste anche una versione portabile per l'uso immediato con dispositivi removibili come le chiavette usb)
   
3. la presenza di plugin di estensione delle funzionalità
   
4. la presenza di un modulo per la generazione di password che rispettino i requisiti di complessità impostati dall'utente
   
5. la possibilità di memorizzare le password per categorie (internet, email, e-banking, ecc...) e di fissarne una scadenza
   
6. la notifica delle password scadute
7. il controllo di altri aspetti come, ad esempio, la pulizia automatica della clipboard trascorsi un certo numero di secondi
   

Ovviamente in un sistema del genere il principale punto debole è costituito dalla master key che deve essere particolarmente robusta ed adeguatamente custodita per evitare l'accesso non autorizzato all'intero database della credenziali.

Convenzione di Budapest: la legge di ratifica è in gazzetta ufficiale

Nella gazzetta ufficiale n. 80 del 4/4/2008 - Suppl ordinario n. 79 è stata pubblicata la legge 18 marzo 2008, nr. 48 di ratifica ed esecuzione della convenzione di Budapest del 2001 concernente la criminalità informatica.

La legge prevede alcune modifiche ai codici penale e di procedura penale, al decreto legislativo 231/2001 (responsabilità degli enti da reato) ed al decreto legislativo 196/2003 (codice della privacy).

Per quanto riguarda le varie ipotesi di reato, oltre alla "Diffusione di programmi diretti a danneggiare o interrompere un sistema informatico o telematico", vengono punite alcune condotte specifiche di danneggiamento dei sistemi informatici, la falsa dichiarazione o attestazione al certificatore di firma elettronica e la frode informatica del certificatore di firma elettronica.

Le modifiche al decreto legislativo 231/2001 riguardano nuove ipotesi di responsabilità degli enti e delle società nel caso di commissione, da parte dei soggetti apicali o sottoposti a vigilanza e controllo, dei seguenti reati:

1. tutte le nuove fattispecie previste
   
2. accesso abusivo ad un sistema informatico o telematico
   
3. detenzione o diffusione abusiva dei codici di accesso a sistemi informatici o telematici
   
4. intercettazione, impedimento o interruzione illecita di comunicazioni informatiche e telematiche
   
5. installazione di apparecchiature atte ad intercettare, impedire od interrompere comunicazioni informatiche o telematiche
   

Oltre alle sanzioni pecuniarie, nei casi di condanna potranno essere applicate le sanzioni interdittive.

Alla luce di queste ultime modifiche gli enti e le società avranno l'onere di modificare o adottare nuovi modelli organizzativi e di controllo che prendano in adeguata considerazione i rischi di commissione dei reati informatici ed adottino le opportune contromisure per prevenirli.

La legge è entrata in vigore a partire dal 5/4/2008.

Clustering e mappe mentali: un connubio vincente

Ho da poco terminato di leggere "Business Writing" di Alessandro Lucchini, un ottimo libro che consiglio a chiunque si occupi di scrittura professionale.

Tra le varie tecniche illustrate per migliorare l'efficienza del processo di scrittura, la prima che mi ha colpito e che ho cominciato ad applicare è stata quella del clustering.
Il clustering è una tecnica di pre-writing che consente di superare i limiti del modo di organizzare i pensieri attraverso la tradizionale "scaletta".

In effetti, mentre quest'ultima costringe ad esplorare i pensieri in modo sequenziale, limitando la fase di creatività in quanto i pensieri non rispettano un ordine predeterminabile, il clustering consente invece di sviluppare le idee, così come si presentano, secondo la naturalezza derivante dalle associazioni logiche.

Mettere i pratica questa tecnica richiede inizialmente un semplice foglio di carta ed una matita ed è abbastanza semplice:

1. collocare al centro l'idea da sviluppare e racchiuderla in un cerchio
2. registrare con una o due parole, sempre racchiuse in un cerchio, i vari pensieri associati all'idea
   
3. congiungere con una linea ogni cluster di parole con quello che l'ha generato
4. fare gli aggiustamenti: unire più cluster, dividerne uno in più piccoli, eliminare quelli che non si desidera utilizzare, ecc...
   
5. individuare il primo ed il secondo cluster per importanza e marcarli rispettivamente con una I (Inizio) ed F (Fine)
6. assegnare ai cluster rimanenti un ordine numerico sulla base dei criteri ritenuti più opportuni (ordine crescente o descrescente, cronologia, importanza, ecc...)

Il risultato finale consiste nella naturale trasposizione della creatività in un ordine sequenziale di argomenti da sviluppare con la scrittura vera e propria.

Una volta compresa e sperimentata l'efficienza di questo metodo di lavoro possiamo anche avvalerci dell'ausilio di strumenti software.

Credo che uno degli strumenti più utili a tale proposito possa essere Freemind, un software multipiattaforma rilasciato con licenza GPL, che permette di creare e gestire le cd. mappe mentali per la generazione e la rappresentazione delle idee e del pensiero mediante associazioni.

In questo modo possiamo sfruttare tutta la potenza della tecnica citata organizzando digitalmente i nostri pensieri !

Software: i dati dei clienti a rischio nel test delle applicazioni

Mi sono imbattuto in un sondaggio realizzato da Compuware e Ponemon ove vengono riportati i risultati di una recente ricerca sulla natura dei dati impiegati nello sviluppo e nel test delle applicazioni software.

Sulla base di questi risultati sembrerebbe che il 64% delle aziende europee intervistate utilizzi, nel corso di questi test, dati reali dei clienti al posto di dataset fittizi o, se preferite, anonimizzati.
Per la verità, anche in virtù di passate esperienze, sospetto che questa percentuale, almeno per quanto riguarda l'Italia, sia molto superiore.

Qualcuno a questo punto potrebbe obiettare che non c'è nulla di strano perchè nessuno è interessato a questi dati, perchè i test vengono condotti in ambienti separati rispetto a quelli di produzione (anche qui ho delle forti perplessità e, comunque, è peggio che andar di notte, vista la scarsità di misure di protezione che, generalmente, affligge i primi) eccetera, eccetera...

Ovviamente quando passiamo all'esame della reale tipologia dei dati ci troviamo di mezzo un pò di tutto, quindi non soltanto dati anagrafici, recapiti telefonici, elettronici e quant'altro, ma anche numeri di carte di credito, numeri di previdenza sociale, e chi più ne ha più ne metta.

Come se non bastasse il 42% del campione intervistato esternalizza i test ed il 60% condivide con l'organizzazione in outsourcing i dati reali.

Chissà quante di queste "condivisioni" sono citate nelle informative e sono oggetto di consenso specifico ?
Posso già immaginarmelo: "Gentile cliente...la informiamo che i suoi dati più riservati verranno utilizzati durante i test di applicazioni software...non meglio precisate e saranno condivisi con organizzazioni esterne...ma comunque sempre nel rispetto della normativa vigente..."

Infine, per concludere, più di un terzo del campione (35%) non riesce a rendersi conto del fatto che i dati sono stati eventualmente compromessi, il 45% dichiara esplicitamente che questi dati sono soggetti a smarrimento o furto ma, nonostante tutto, il 50% non adotta alcuna procedura per la protezione delle informazioni.

Con buona pace, non soltanto di ogni normativa in materia, ma anche di qualunque elementare forma di buon senso (per favore non chiamiamola sicurezza, significherebbe scomodare un concetto troppo elevato !) .

Social network e privacy: quali sono i rischi per i dati personali ?

Youtube, MySpace, Facebook, Linkedin sono soltanto i nomi di alcune delle più note piattaforme di social network, un fenomeno socio-tecnologico di grande interesse, contraddistinto da elevatissimi tassi di crescita degli utenti.

Ma perchè queste piattaforme riscuotono così tanto successo ?
E, soprattutto, quali rischi presentano per la sicurezza e la riservatezza dei nostri dati personali ?

Diversi sono i fattori che influenzano il successo dei social network:

• la possibilità di instaurare nuove relazioni ed interagire con individui anche molto distanti da noi
• la presenza di strumenti ed infrastrutture che facilitano la collaborazione online
• l'idoneità a supportare la nascita e lo sviluppo di nuove iniziative e relazioni di business
• il senso di intimità nelle relazioni tra gli utenti
• la garanzia per gli utenti di esercitare un certo controllo sui dati generati
  

D'altra parte, come sempre accade, questi vantaggi hanno anche un rovescio della medaglia: proprio a causa del falso senso di intimità, gli utenti di queste reti manifestano la propensione a rivelare informazioni personali con più facilità rispetto a ciò che accade in una relazione tradizionale, dimostrandosi nel contempo poco selettivi nella scelta delle persone con le quali allacciare nuovi contatti.
I social network stanno inoltre vivendo un periodo di intenso sviluppo commerciale, dominato dalla necessità di catturare l'attenzione e l'interesse di nuovi utenti: questo si traduce, spesso, in una scarsa attenzione verso le problematiche relative alla sicurezza ed alla privacy.
Infine molti degli aspetti che andremo ad analizzare non risultano adeguatamente regolamentati nell'ambito delle normative comunitarie e nazionali, emanate in periodi in cui il fenomeno era ancora poco noto.

Partendo da una ricerca dell'Enisa (agenzia europea per la sicurezza delle reti e delle informazioni), i principali rischi che, allo stato attuale, le piattaforme di social network pongono con riferimento ai dati personali degli utenti possono essere classificati in:

1. rischi relativi alla riservatezza dei dati
2. rischi concernenti le identità digitali
3. rischi di natura tecnologica
4. rischi di natura sociale
   

In questo post ci soffermiamo sui rischi del primo tipo che, generalmente, hanno come presupposti la mancanza, la scarsa trasparenza o l'ambiguità delle politiche di trattamento dei dati e delle condizioni di utilizzo dei servizi, ma anche la possibilità di associare immagini ai profili oppure di etichettare le immagini con particolari metadati.

In questo contesto esistono dunque delle pericolosità specifiche:

1. creazione di dossier digitali ed aggregazione di dati secondari
2. tecniche di riconoscimento facciale
3. content-based image retrieval
4. metadati associati o relativi alle immagini
5. problemi nella cancellazione dei dati degli utenti
   

Sul primo punto c'è poco da aggiungere salvo che chiunque abbia accesso ad un qualsiasi servizio (l'accesso è libero, basta registrarsi, ed i controlli previsti in fase di registrazione sono spesso carenti) può acquisire e raccogliere i dati degli utenti, all'insaputa di questi ultimi, ed utilizzarli per le finalità più disparate (spam, pubblicità, attacchi diretti alla persona, discriminazione, ecc....) che, raramente, corrispondono a quelle per le quali è stato prestato il consenso.
Questo inconveniente non può ritenersi superato nemmeno in virtù dei tanto sbandierati controlli di accesso, sia perchè a volte i dati personali, apparentemente non visibili, risultano accessibili mediante una semplice ricerca, sia per la debolezza intrinseca di molte impostazioni predefinite (pochi utenti si preoccupano di modificarle !), sia perchè, in realtà, è molto facile diventare "amici" di tutti ed avere così accesso ai dati.
Considerazioni analoghe le possiamo fare anche per i dati di natura, per così dire, secondaria (indirizzi ip, data e durata delle connessioni, profili visitati, messaggi scambiati, ecc...): questi sono di regola accessibili ai fornitori per asserite finalità miglioramento dei servizi ma, in realtà, non esistono di fatto adeguate garanzie di protezione e, soprattutto, di trattamento per le finalità consentite.

In relazione al secondo punto, l'enorme progresso tecnico raggiunto nel campo degli algoritmi rende tutt'altro che teorico il rischio di una correlazione tra i profili, di cui gli utenti sono spesso titolari su servizi o piattaforme differenti, proprio per effetto del riconoscimento delle relative immagini (a tale proposito sembra che Google abbia già integrato nella sua ricerca immagini delle tecniche di riconoscimento facciale; vedi questo esempio su Albert Einstein ).
Lo stesso livello di rischio deriva dalla possibilità di utilizzare tecniche di content-based image recognition (CBIR), originariamente sviluppate nel settore della digital forensic, per dedurre informazioni utili alla geolocalizzazione degli utenti attraverso il riconoscimento delle caratteristiche degli oggetti o dei luoghi raffigurati nelle immagini associate ai profili.

La questione dei metadati abbraccia due evenienze diverse: da un lato c'è l'eventualità, offerta da alcune piattaforme, di associare alle immagini delle etichette contenenti informazioni personali relative alla persona ritratta (nome, cognome, indirizzo di posta elettronica, ecc...), senza prima aver ricevuto il consenso da parte di quest'ultima.
L'inclusione, invece, di particolari metadati nelle immagini digitali che vengono caricate sulle piattaforme, in particolare il numero seriale della fotocamera, può costituire una minaccia per la privacy dell'utente a causa della associazione con i dati relativi al suo indirizzo riportati nella cartolina di registrazione della garanzia.

Infine una ulteriore questione da non sottovalutare è quella relativa alla eventuale cancellazione dal servizio: raramente, infatti, l'eliminazione dei dati principali si accompagna ad una completa rimozione di tutti i contenuti generati dall'utente (post, commenti, contenuti audio-video, ecc...).
Questa ambiguità è ulteriormente esasperata quando, a fronte di una richiesta di cancellazione, c'è soltanto una disattivazione del profilo, con conseguente mantenimento di una copia "nascosta" dei dati: entrambe le ipotesi costituiscono una violazione palese della direttiva 95/46/CE essendo gli individui privati di un mezzo efficace con il quale controllare la diffusione dei propri dati.

Illecito spiare lo scambio di file sulle reti P2P

Secondo il garante della privacy le società private non possono monitorare gli utenti che scambiano file musicali o giochi su Internet.

A tale conclusione l'autorità è pervenuta in chiusura dell'istruttoria sul caso "Peppermint", la società discografica che, attraverso una società informatica svizzera, aveva condotto una attività di monitoraggio sistematico delle reti P2P.

Le motivazioni alla base del provvedimento sono essenzialmente le seguenti:

1. il fatto che la direttiva europea sulle comunicazioni elettroniche (2002/58/CE) vieta a soggetti privati il trattamento capillare e prolungato di ingenti volumi di dati relativi ad un numero elevato di soggetti
   
2. la violazione del principio di finalità: essendo le reti P2P utilizzate principalmente per scopi personali, l'utilizzo dei dati degli utenti può avvenire soltanto per le medesime finalità
3. la violazione del principio di proporzionalità: il diritto alla segretezza delle comunicazioni risulta limitabile soltanto nell'ambito di un equo bilanciamento con un diritto di pari grado e non per l'esercizio di una azione civile
   
4. il mancato rispetto dei principi di correttezza e trasparenza: nel caso di specie i dati erano stati raccolti senza che gli interessati e gli altri abbonati, non coinvolti nello scambio, ne fossero a conoscenza
   

Il provvedimento impone ora alle società interessate la cancellazione dei dati raccolti illecitamente entro il 31 marzo 2008.

Il senato approva la ratifica della convenzione di Budapest

Apprendo la notizia che il Senato ha approvato in data 27 febbraio 2008 il disegno di legge di ratifica della convenzione di Budapest del 2001 sulla criminalità informatica.



Quanto avevo già espresso nel mio precedente post rimane perciò valido: in particolare nel testo del Senato è prevista l'introduzione nel decreto legislativo 231/01 del nuovo articolo 24-bis che prevede, non soltanto l'applicazione di sanzioni pecuniarie, ma, in caso di condanna, anche delle sanzioni interdittive.



Ora bisognerà attendere la pubblicazione del testo definitivo sulla Gazzetta Ufficiale.