La protezione dei dati personali: chiarimenti sulla normativa europea applicabile

Il gruppo di lavoro dell'art. 29 della direttiva 95/46/CE ha emesso il parere 8/2010 per fornire ulteriori chiarimenti sull'applicazione della normativa UE in materia di protezione dei dati personali, all'interno e al di fuori dello spazio economico europeo.

Lo scopo è quello di garantire una migliore certezza giuridica, offrendo un quadro più chiaro per i diretti interessati, anche mediante esempi pratici utilizzati a supporto dei charimenti, ad esempio nel contesto delle basi dati HR (Human Resources) centralizzate, dei servizi di geolocalizzazione, del cloud computing, delle reti sociali, ecc...

L'outsourcing del marketing sui social media

L'evoluzione ed il continuo sviluppo dei media sociali e del Web 2.0 in generale, sta dando impulso ad una branca del marketing che, in relazione al contesto di riferimento in cui si pone, viene giustamente definita come social media marketing.

Il fine ultimo è quello di instaurare una conversazione fattiva con utenti e consumatori e di sviluppare e mantenere una visibilità sui media sociali e sulle varie comunità del Web 2.0, attraverso un approccio ed una gestione integrati dei vari canali e strumenti di comunicazione.

Le attività richieste a tal fine sono molteplici e vanno dalla gestione dei rapporti e della reputazione online, alla produzione di contenuti multimediali, fino ad arrivare, in alcuni casi, ad una gestione completa del brand.

Si tratta comunque di attività eterogenee che richiedono competenze ed approcci differenti, spesso fuori della portata della maggior parte delle aziende, non soltanto di piccole dimensioni ma anche medio grandi, tenuto anche conto della novità del settore e della sua stretta integrazione con le tecnologie ICT.

Senza dimenticare, poi, il tempo e gli sforzi necessari per pianificare, progettare ed attuare una campagna di marketing di successo; non è quindi un mistero la nascita di un mercato che fa leva sulla possibilità di affidare all'esterno (outsourcing), a società o liberi professionisti specializzati, l'esecuzione di tali attività per conto terzi.

Del resto la pratica dell'outsourcing si adatta perfettamente a questo tipo di esigenza, in quanto permette alle imprese di dedicare tempo e risorse alle sole attività direttamente riconducibili al suo core business, con conseguenti risparmi sui costi operativi.

Ci sono però alcune considerazioni da fare, legate soprattutto al coinvolgimento di soggetti esterni nello svolgimento di attività complesse che pongono, a volte, questioni delicate, oltre al fatto che l'esternalizzazione crea, di regola, un rapporto stretto e vincolante tra le parti che richiede, perciò, una adeguata regolamentazione contrattuale.

Offerta dei servizi ed aspetti legali

L'offerta incentrata sulla gestione in outsourcing del social media marketing si articola in una serie di servizi che normalmente abbracciano:

• gestione dei blog;
• creazione di contenuti / prodotti audio/visivi / design di siti web;
• ottimizzazioni delle pagine web per i motori di ricerca (SEO);
• ottimizzazioni delle pagine sui media sociali;
• gestione dei profili sulle piattaforme di social networking;
• gestione della reputazione online;
• gestione del brand online;
• direct marketing con strumenti elettronici;
• trasferimento di know-how;

Questa lista non ha la pretesa di essere esaustiva, ma serve solo come base di partenza per comprendere che lo svolgimento di queste ed altre attività può, in realtà, sollevare alcune questioni, non sempre immediatamente percepibili, concernenti:

• la tutela della proprietà intellettuale / diritto d'autore (es. creazione di contenuti, prodotti audio/visivi, design, ecc...);
• la tutela dei dati personali / privacy (es. gestione dei profili online, direct marketing con strumenti elettronici, gestione della reputazione online);
• la tutela dei segni distintivi (es. gestione del brand online);
• la responsabilità dei risultati da parte del fornitore;
• la tutela delle informazioni aziendali riservate (es. know how);

Si tratta, ovviamente, solo alcuni esempi diretti a stimolare una attenta riflessione; il vero punto cruciale, però, è che l'outsourcing rappresenta una modalità di gestione aziendale caratterizzata, spesso, da complessità operative e di rapporti che richiederebbero la presenza di appositi correttivi e di una disciplina contrattuale articolata e coerente con le finalità che si intendono perseguire.

Non sempre, invece, questo si verifica, con inevitabili grattacapi e preoccupazioni che finiscono per annullare del tutto i vantaggi derivanti dalla esternalizzazione delle attività.

Photo courtesy: spekulator

Name squatting e social media: un nuovo pericolo per il brand ?

Da tempo sentiamo ormai parlare di cybersquatting, termine che indica la pratica di accaparramento dei nomi di dominio corrispondenti a marchi registrati o nomi di persone famose, messa in atto generalmente con lo scopo di lucrare sulla successiva operazione di trasferimento.

Come è noto questa tecnica integra una forma particolare di abuso: la presenza del nome di un brand in un dominio internet può infatti influire sull'indicizzazione delle sue risorse da parte dei motori di ricerca, indurre confusione negli utenti, vincere la loro diffidenza e realizzare un dirottamento di traffico; tutto questo si traduce in un indebito sfruttamento della notorietà e della fiducia di cui gode un brand, con ovvie negative ricadute per il legittimo titolare, in termini sia di perdita di profitti che di valore (brand equity).

Ora, mentre anni fa questo rischio poteva dirsi circoscritto ai soli domini internet, l'attuale evoluzione verso il web 2.0 ha accresciuto, di fatto, le probabilità di un suo verificarsi.

In particolare, con la diffusione dei media sociali ed il conseguente proliferare di piattaforme liberamente disponibili per la condivisione e la generazione dei contenuti (vedi blog od altri servizi come youtube, ning, ecc...), oggi è molto facile per chiunque registrare un account con un nome, in tutto od in parte, corrispondente a quello di un brand noto, senza dover dimostrare di averne un legittimo interesse.

E proprio l'esposizione non autorizzata di un brand all'interno di questi servizi può generare fenomeni di associazione con contenuti sgraditi, se non addirittura offensivi, diffusione di false notizie, falsa rappresentazione delle caratteristiche di prodotti o servizi ed altri effetti simili a quelli derivanti dal cybersquatting, con grave pregiudizio per chi ha investito tempo e denaro nello sviluppo del brand.

Il discorso si fa poi particolarmente delicato quando ad essere coinvolti sono i social networks: qui la presenza di un vasto bacino di utenza, composto da milioni di individui, ed altri meccanismi, come quello della viralità dei contenuti, rendono ogni uso indebito una potenziale bomba ad orologeria; e non si tratta di scenari soltanto ipotetici ma di rischi reali perchè:

• le possibilità di abuso non mancano, a partire dalle cd. vanity url (facebook) alla possibilità di creare pagine, gruppi o, addirittura, social network tematici (es. ning);
• non tutte le organizzazioni od aziende hanno provveduto a registrare od occupare nomi o risorse corrispondenti al brand di cui sono titolari (quante ce ne sono su Facebook ? e su Twitter ?);
• poche organizzazioni attuano forme di monitoraggio costante di Internet alla ricerca di potenziali abusi;
• non tutte le piattaforme offrono meccanismi o procedure per ovviare ad eventuali abusi (es. reclami, processi di risoluzione delle dispute, trasferimento degli account, ecc...);

Tutti fattori che consigliano quindi una immediata presa di coscienza del fenomeno, necessaria per prevenire e fronteggiare le situazioni che si presentano nel modo più idoneo, sia dal punto di vista tecnologico che legale.

Photo credit: dimitri_c

I social network si adeguino alle norme europee sulla tutela della privacy

Questo è il contenuto del messaggio, neanche tanto subliminale, che emerge da un documento del gruppo dei garanti europei, di cui all'art. 29 della direttiva 95/46 sulla protezione dei dati personali, con lo scopo di fornire una chiara indicazione delle misure che i social network possono attuare per garantire la conformità delle loro piattaforme alle norme europee a tutela della privacy.

Vediamo alcuni punti salienti di questo intervento che prende in considerazione molti aspetti di un fenomeno ormai consolidato.

Applicabilità delle direttive europee

Partendo dall'art. 4 della direttiva 95/46, di cui il gruppo ha fornito più volte una intepretazione, anche con riferimento ad una analoga questione, si ritiene che nella maggior parte dei casi le disposizioni trovino applicazione nei confronti dei social network, anche quando questi ultimi abbiano il loro quartier generale in un paese situato al di fuori dello spazio economico europeo.

Titolarità dei dati

Nessun dubbio esiste sulla qualifica dei fornitori di SN come titolari dei dati (data controller) e destinatari dei conseguenti oneri, dal momento che essi possono determinare autonomamente gli strumenti, le modalità e le finalità dei trattamenti.

Ovviamente questa titolarità può essere assunta anche dai fornitori di applicazioni esterne, quando queste ultime siano incorporate ed utilizzate all'interno delle reti sociali.

Per gli utenti finali, invece, l'applicazione della normativa è, di regola, esclusa dal fatto che il trattamento dei dati avviene nell'ambito di attività di carattere prevalentemente personale o domestico.

Tuttavia questa eccezione non opera quando gli utenti agiscono per conto di associazioni od organizzazioni di qualsiasi tipo o quando l'utilizzo della piattaforma è finalizzato a soddisfare obiettivi di carattere commerciale, politico od anche caritatevole, con la conseguente assunzione delle responsabilità tipiche dei titolari di dati ai quali, dunque, gli utenti stessi vanno equiparati.

Curiosamente nel documento si ritiene plausibile che un elevato numero di contatti possa essere indizio del fatto che un utente non stia trattando dati nell'ambito di attività personali e sia, quindi, da considerare come titolare.

Misure di sicurezza

In questo ambito è importante il richiamo che il gruppo di lavoro fa sulla necessità di adottare, sia in fase di progettazione che di funzionamento del sistema o dei sistemi di trattamento, le misure di sicurezza, tecniche ed organizzative, effettivamente richieste sulla base dell'analisi dei rischi e della natura dei dati trattati.

Quindi non il solito riferimento alle misure minime che, spesso, lasciano il tempo che trovano, ma a misure realmente proporzionate all'entità misurata del rischio, in relazione al quale non va dimenticato il contesto generale in cui gli SN operano, cioè Internet.

Informazioni e dati sensibili degli utenti

Oltre a ricevere l'informativa prevista dall'art. 10 della direttiva, gli utenti andrebbero avvertiti dei rischi che corrono rendendo noti dati ed informazioni di natura personale, così come del fatto che il caricamento di immagini relative ad altri individui non può avvenire senza il consenso di questi ultimi.

Maggior rigore va invece dimostrato nel trattamento di dati sensibili, possibile soltanto con il consenso esplicito degli interessati.

A questo proposito si reputa opportuno che, nel caso in cui la form del profilo contenga campi relativi ad informazioni sensibili (razza, religione, orientamento politico, ecc...), il fornitore chiarisca esplicitamente che il riempimento di questi campi non è in alcun modo sollecitato ma completamente facoltativo.

Trattamento dei dati di terzi

Molte piattaforme consentono di inserire in vario modo dati relativi ad altre persone, non iscritte al network, in contrasto con la norma generale secondo cui il trattamento può avvenire soltanto in presenza di uno dei requisiti di cui all'art. 7 della direttiva 95/46 (consenso, esecuzione di un contratto o di un obbligo di legge, ecc...).

Ancora peggio appare la creazione automatizzata di profili sulla base della aggregazione dei dati, conferiti indipendentemente da altri utenti, inclusi quelli concernenti le relazioni sociali dedotti, tramite inferenza, da rubriche personali.

Marketing

Il marketing diretto è una delle principali attività sulle quali si basa attualmente il modello di business delle reti sociali.

Se per tali attività si utilizzano dati personali degli utenti e servizi che rientrano nell'ambito del concetto delle comunicazioni elettroniche (es. email), andranno conseguentemente applicate le prescrizioni delle direttive 95/46 e 2002/58 (e-privacy).

Conservazione dei dati

In generale nessuna politica di conservazione può essere applicata nel caso in cui sia richiesta la cancellazione di un account.

I dati relativi agli utenti bannati, ma solo quelli identificativi, possono essere conservati, previa informativa, per un periodo massimo di 1 anno.

L'inutilizzo del servizio per un determinato periodo di tempo deve comportare la disattivazione dell'account ed, eventualmente, la sua successiva cancellazione.

Diritti degli interessati e tutela dei minori

Vanno riconosciuti a tutti coloro i cui dati vengono trattati, a prescidere dal fatto che si tratti di utenti o meno della piattaforma.

Gli interessati dovrebbero essere messi in condizione di esercitare il diritto di accesso, rettifica e cancellazione attraverso l'adozione di misure efficaci come, ad esempio, l'indicazione in home page dell'ufficio al quale sottoporre tutte le richieste e le questioni concernenti la privacy.

Ulteriori misure vanno inquadrate nell'ambito di una strategia di protezione dei dati dei minori: si parla a tale proposito di iniziative di accrescimento della consapevolezza, del divieto di raccogliere dati sensibili e di svolgere attività di marketing diretto, della separazione logica tra le comunità di adulti e minori e dell'adozione di tecnologie che migliorano la privacy (impostazioni amichevoli, popup di avvertimento, software di verifica dell'età).

Sarà ora interessante vedere quale atteggiamento vorranno assumere i fornitori di SN di fronte a questo parere che, pur non avendo forza di legge, rappresenta pur sempre un opinione autorevole e testimonia la posizione che l'Europa intende assumere nella protezione dei diritti fondamentali dell'individuo, come quello alla privacy ed alla protezione dei suoi dati.

Personalmente ritengo che la futura leadership si giocherà anche sul terreno della credibilità e dell'immagine alle quali contribuiranno, in maniera significativa, l'atteggiamento di apertura verso le problematiche citate e gli sforzi da compiere in direzione della compliance.

Photo courtesy: spekulator

Link ad approfondimenti

• Photo sharing, Wikis, Social Networks, Web 2.0 and Malware 2.0
• Security Issues and Recommendations for Online Social Networks (PDF)
• Social network e privacy online
• Social network e privacy: quali rischi per i dati personali ?

Social media: come sfruttarli proteggendo la nostra privacy ?

Segnalo che sul blog di Luigi Centenaro, autore di un interessantissimo ebook gratuito dal titolo Personal Branding con i Social Media, è stato pubblicato un mio guest post con lo stesso titolo.

Ringrazio Luigi per la gentilezza di avermi ospitato sul suo blog ed attendo fiducioso i vostri commenti.

Social network e privacy online

Di ritorno dal convegno E-privacy 2008, tenutosi a Firenze il 9/10 maggio scorso, pubblico le slide del mio intervento.

| View | Upload your own

Social network e privacy: quali sono i rischi per i dati personali ?

Youtube, MySpace, Facebook, Linkedin sono soltanto i nomi di alcune delle più note piattaforme di social network, un fenomeno socio-tecnologico di grande interesse, contraddistinto da elevatissimi tassi di crescita degli utenti.

Ma perchè queste piattaforme riscuotono così tanto successo ?
E, soprattutto, quali rischi presentano per la sicurezza e la riservatezza dei nostri dati personali ?

Diversi sono i fattori che influenzano il successo dei social network:

• la possibilità di instaurare nuove relazioni ed interagire con individui anche molto distanti da noi
• la presenza di strumenti ed infrastrutture che facilitano la collaborazione online
• l'idoneità a supportare la nascita e lo sviluppo di nuove iniziative e relazioni di business
• il senso di intimità nelle relazioni tra gli utenti
• la garanzia per gli utenti di esercitare un certo controllo sui dati generati
  

D'altra parte, come sempre accade, questi vantaggi hanno anche un rovescio della medaglia: proprio a causa del falso senso di intimità, gli utenti di queste reti manifestano la propensione a rivelare informazioni personali con più facilità rispetto a ciò che accade in una relazione tradizionale, dimostrandosi nel contempo poco selettivi nella scelta delle persone con le quali allacciare nuovi contatti.
I social network stanno inoltre vivendo un periodo di intenso sviluppo commerciale, dominato dalla necessità di catturare l'attenzione e l'interesse di nuovi utenti: questo si traduce, spesso, in una scarsa attenzione verso le problematiche relative alla sicurezza ed alla privacy.
Infine molti degli aspetti che andremo ad analizzare non risultano adeguatamente regolamentati nell'ambito delle normative comunitarie e nazionali, emanate in periodi in cui il fenomeno era ancora poco noto.

Partendo da una ricerca dell'Enisa (agenzia europea per la sicurezza delle reti e delle informazioni), i principali rischi che, allo stato attuale, le piattaforme di social network pongono con riferimento ai dati personali degli utenti possono essere classificati in:

1. rischi relativi alla riservatezza dei dati
2. rischi concernenti le identità digitali
3. rischi di natura tecnologica
4. rischi di natura sociale
   

In questo post ci soffermiamo sui rischi del primo tipo che, generalmente, hanno come presupposti la mancanza, la scarsa trasparenza o l'ambiguità delle politiche di trattamento dei dati e delle condizioni di utilizzo dei servizi, ma anche la possibilità di associare immagini ai profili oppure di etichettare le immagini con particolari metadati.

In questo contesto esistono dunque delle pericolosità specifiche:

1. creazione di dossier digitali ed aggregazione di dati secondari
2. tecniche di riconoscimento facciale
3. content-based image retrieval
4. metadati associati o relativi alle immagini
5. problemi nella cancellazione dei dati degli utenti
   

Sul primo punto c'è poco da aggiungere salvo che chiunque abbia accesso ad un qualsiasi servizio (l'accesso è libero, basta registrarsi, ed i controlli previsti in fase di registrazione sono spesso carenti) può acquisire e raccogliere i dati degli utenti, all'insaputa di questi ultimi, ed utilizzarli per le finalità più disparate (spam, pubblicità, attacchi diretti alla persona, discriminazione, ecc....) che, raramente, corrispondono a quelle per le quali è stato prestato il consenso.
Questo inconveniente non può ritenersi superato nemmeno in virtù dei tanto sbandierati controlli di accesso, sia perchè a volte i dati personali, apparentemente non visibili, risultano accessibili mediante una semplice ricerca, sia per la debolezza intrinseca di molte impostazioni predefinite (pochi utenti si preoccupano di modificarle !), sia perchè, in realtà, è molto facile diventare "amici" di tutti ed avere così accesso ai dati.
Considerazioni analoghe le possiamo fare anche per i dati di natura, per così dire, secondaria (indirizzi ip, data e durata delle connessioni, profili visitati, messaggi scambiati, ecc...): questi sono di regola accessibili ai fornitori per asserite finalità miglioramento dei servizi ma, in realtà, non esistono di fatto adeguate garanzie di protezione e, soprattutto, di trattamento per le finalità consentite.

In relazione al secondo punto, l'enorme progresso tecnico raggiunto nel campo degli algoritmi rende tutt'altro che teorico il rischio di una correlazione tra i profili, di cui gli utenti sono spesso titolari su servizi o piattaforme differenti, proprio per effetto del riconoscimento delle relative immagini (a tale proposito sembra che Google abbia già integrato nella sua ricerca immagini delle tecniche di riconoscimento facciale; vedi questo esempio su Albert Einstein ).
Lo stesso livello di rischio deriva dalla possibilità di utilizzare tecniche di content-based image recognition (CBIR), originariamente sviluppate nel settore della digital forensic, per dedurre informazioni utili alla geolocalizzazione degli utenti attraverso il riconoscimento delle caratteristiche degli oggetti o dei luoghi raffigurati nelle immagini associate ai profili.

La questione dei metadati abbraccia due evenienze diverse: da un lato c'è l'eventualità, offerta da alcune piattaforme, di associare alle immagini delle etichette contenenti informazioni personali relative alla persona ritratta (nome, cognome, indirizzo di posta elettronica, ecc...), senza prima aver ricevuto il consenso da parte di quest'ultima.
L'inclusione, invece, di particolari metadati nelle immagini digitali che vengono caricate sulle piattaforme, in particolare il numero seriale della fotocamera, può costituire una minaccia per la privacy dell'utente a causa della associazione con i dati relativi al suo indirizzo riportati nella cartolina di registrazione della garanzia.

Infine una ulteriore questione da non sottovalutare è quella relativa alla eventuale cancellazione dal servizio: raramente, infatti, l'eliminazione dei dati principali si accompagna ad una completa rimozione di tutti i contenuti generati dall'utente (post, commenti, contenuti audio-video, ecc...).
Questa ambiguità è ulteriormente esasperata quando, a fronte di una richiesta di cancellazione, c'è soltanto una disattivazione del profilo, con conseguente mantenimento di una copia "nascosta" dei dati: entrambe le ipotesi costituiscono una violazione palese della direttiva 95/46/CE essendo gli individui privati di un mezzo efficace con il quale controllare la diffusione dei propri dati.

Phishing/Malware e social networking

A differenza di quanto possa far pensare il titolo di questo post non c'è nessuna relazione tra phishing/malware e social networking se non per il fatto che l'aumento di popolarità degli spazi su Web, dedicati a forme di aggregazione sociale, comincia ad attirare, sempre di più, l'attenzione di phisher e creatori di malware.
Su SecurityFocus si legge la notizia di attacco di phishing portato nei confronti degli utenti del popolare sito MySpace.
L'attacco sfrutta una modifica di un foglio di stile associato al profilo di ciascun utente per posizionare una immagine trasparente sulla pagina, causando perciò una ridirezione dell'utente verso una falsa pagina di login.
Come sempre più spesso accade l'efficacia dell'attacco è in stretta relazione con il livello di sofisticazione delle pagine clone e con l'ormai onnipresente supporto delle botnets (reti di sistemi compromessi).
D'altra parte già da qualche tempo si erano cominciate a notare le avvisaglie di questo fenomeno in espansione come testimoniato anche dall'apparizione dei primi worm "specializzati" come JS.Qspace che, sfruttando una tipica vulnerabilità di cross-site scripting, mirava a colpire proprio gli utenti di MySpace abbinandosi proprio a forme di phishing.