Privacy e sicurezza di smartphone e tablet. Utili, ma non immuni da rischi

Articolo parzialmente modificato, pubblicato anche su Gruppo TakeITEasy.

Smartphone e tablet sono, tra le periferiche hardware, quelle che maggiormente trainano un segmento di mercato che, analogamente a molti altri, risente della crisi in una certa misura. Questo si deve, in parte, al fenomeno della consumerizzazione dell’IT che si sta diffondendo, anche grazie alla presa che lo slogan “porta il lavoro sempre in tasca con te” esercita sulle aziende, spingendole a fare investimenti in questo settore, con grande gioia dei vendor.

Si tratta di un fenomeno abbastanza consolidato, almeno secondo le indagini effettuate che parlano di un 88% del campione di riferimento (600 aziende in 17 paesi), i cui dipendenti utilizzano sul posto di lavoro i dispositivi citati non solo per la gestione della posta elettronica e l’accesso ai social network, ma anche per  le applicazioni aziendali, CRM in primis.

La stessa ricerca, inoltre, evidenzia una propensione alla spesa nel settore che, per le aziende italiane, si attesta intorno al 28% del budget IT.
Quale è il punto allora ? Cominciamo col dire che non è tutto oro quel che luccica: non possiamo certo negare l’utilità della tecnologia, in generale, e di questa in particolare, a condizione che non diventi un mezzo di eterna schiavitù dal lavoro, ma dobbiamo adottare una prospettiva più ampia, integrale, che tenga conto anche dei rischi e dei profili di responsabilità per le aziende che decidono di investire in essa.

Questioni da considerare

• smartphone e tablet stanno diventando strumenti elettronici di trattamento dei dati personali, di cui l’azienda è titolare (es. dati dei clienti, dipendenti/collaboratori, ecc…), con conseguente applicabilità degli obblighi di protezione del T.U privacy (D.Lgs. 196/03);
• con questi dispositivi gli utenti aziendali accedono ad Internet, per cui gli eventuali illeciti commessi sulla rete (si pensi ad ipotesi di download illegale di risorse protette, di diffamazione, ecc…) possono comportare a carico dell’azienda profili di corresponsabilità civile, per omessa adozione di controlli e misure di sicurezza;
• l’uso dei dispositivi è spesso “promiscuo”, cioè riguarda sia gli aspetti lavorativi che quelli concernenti la vita privata dell’utilizzatore (es. dati finanziari, home banking, foto di famiglia, ecc…), per cui anche i dati di quest’ultimo sono a rischio (es. furti di identità);
• possibilità di tracciamento e/o profilazione dell’utente, a sua insaputa, attraverso dati univoci (codice IMEI e numero di telefono) e moduli GPS (tra l’altro la geolocalizzazione integrare una forma di controllo a distanza dell’attività lavorativa, con le ben note problematiche di cui all’art. 4 dello Statuto dei lavoratori);
• se non adeguatamente custoditi tali strumenti possono essere facilmente smarriti o rubati, con tutte le conseguenze che ne derivano (si tratta del primo di tre rischi più alti – vedi sotto (3));
• la trasportabilità dei dispositivi favorisce l’esternalizzazione di dati e servizi (es. cloud computing);
• una insufficiente conoscenza od “alfabetizzazione informatica” dell’utilizzatore può comportare una rivelazione non intenzionale di dati personali o confidenziali (si tratta del secondo di tre rischi più alti – vedi sotto (3));
• una dismissione impropria, nel caso di sostituzione, mette a rischio i dati, se questi ultimi non sono prontamente cancellati in modo sicuro (si tratta del terzo di tre rischi più alti – vedi sotto (3));
• trattandosi di una tecnologia relativamente nuova, il livello della sicurezza delle applicazioni e dei moduli software non è ancora sufficientemente affidabile, anche per via di una distribuzione poco tempestiva degli aggiornamenti;
• le clausole e/o condizioni di utilizzo delle applicazioni sono poco chiare, soprattutto per gli aspetti relativi al trattamento ed alla sicurezza delle informazioni, comprese quelle di natura personale;
• esiste una miriade di fonti, poco o per nulla attendibili, dalle quali possono essere scaricate applicazioni potenzialmente nocive (il fenomeno del mobile malware è in fortissima ascesa);

Naturalmente questo elenco non vuole avere carattere di esaustività, però parliamo in generale di aspetti ben documentati (vedi approfondimenti) che non possono essere ignorati ma devono essere gestiti in modo adeguato, per evitare che il ricorso alla tecnologia, allo scopo di migliorare ed ottimizzare il funzionamento di una struttura aziendale o professionale (si, perchè la questione può riguardare anche i professionisti, specie quelli deontologicamente vincolati ad obblighi di segretezza più ampi del semplice diritto alla riservatezza), si trasformi in un boomerang di eventi causativi di responsabilità che ne azzerano completamente l’utilità.

Consigli per l’uso

Alcuni consigli ed azioni da intraprendere per un uso ottimale della tecnologia mobile, da parte di aziende e professionisti, sono i seguenti:

• fare una analisi dei rischi (organizzativi, tecnologici, legali) ed adottare le opportune misure di sicurezza, soprattutto quelle minime ed idonee richieste dal T.U privacy;
• valutare attentamente le clausole dei contratti con i produttori dei dispositivi e del software di sistema e con gli operatori di telecomunicazione che li commercializzano con il proprio brand;
• valutare attentamente le condizioni legali d’uso delle applicazioni mobile installate sui dispositivi;
• predisporre regolamenti per un corretto utilizzo (trattandosi di strumenti aziendali che accedono ad Internet ed alla posta elettronica, essi potrebbero rientrare nell’ambito applicativo del provvedimento del garante del 1 marzo 2007);
• impedire l’installazione, l’accesso e l’uso di applicazioni di dubbia od illecita provenienza;
• formare adeguatamente gli utenti, soprattutto per quanto concerne rischi e responsabilità aziendali;
• predisporre regolamenti per gestire i casi di dismissione dei dispositivi e le procedurre per la sicura cancellazione dei dati;

Approfondimenti

1. Smartphone e tablet: scenari attuali e prospettive operative
2. Smartphone: information security risks, opportunities and recommendations for users
3. Top ten smartphone risks
4. Smartphone secure development guidelines
5. Data leakage resulting from device loss or theft

Impresa, tecnologia ed informazioni: rischi e considerazioni legali

Le imprese oggi si trovano a doversi interfacciare, a vari livelli, con la tecnologia e gli strumenti, per gestire quantitativi sempre più ingenti di dati ed informazioni rilevanti nel contesto o per l’andamento aziendale.

Se da un lato è pressoché impossibile rinunciare al ruolo strategico e di supporto che il binomio tecnologia ed informazioni garantisce nella ottimizzazione delle attività aziendali e, quindi, nel mantenimento di adeguati livelli di competitività, efficienza e sviluppo, dall'altro non si può dimenticare che questi vantaggi hanno dei costi, di cui si tende spesso a considerare la sola componente economica.

In realtà, però, i costi hanno anche una dimensione in termini di acquisizione di consapevolezza,  organizzazione e gestione; infatti, è difficile poter parlare di vantaggi se strumenti ed informazioni vengono utilizzati in modo non adeguato, esponendo l'organizzazione a rischi inutili, tra cui quelli di natura tecnologica (es. violazioni della riservatezza delle informazioni, ecc...) e legale (es. non conformità, inadempimenti contrattuali, richieste risarcitorie, ecc...).

Perciò questa considerazione mi offre lo spunto per provare a delineare in modo schematico, senza alcuna pretesa di esaustività, le questioni di natura legale che una impresa informatizzata si trova, inevitabilmente, a dover fronteggiare se vuole beneficiare dei vantaggi della tecnologia, proteggendo nel contempo se stessa ed il valore delle informazioni che detiene e gestisce. Mi riferisco principalmente ad aspetti nei quali la gestione delle informazioni e/o l'uso della tecnologia comportano:

• obblighi di compliance, cioè conformità a leggi, regolamenti, standard di settore o accordi tra le parti;
• oneri particolari di tutela nei confronti dei soggetti attraverso i quali l'azienda opera (es. dipendenti) o con i quali interagisce (es. fornitori, clienti, competitors, pubblica amministrazione, ecc...);

Partendo da una classificazione per macroaree, si possono individuare i seguenti domini applicativi:

• privacy: uso delle risorse aziendali (es. internet, posta elettonica, telefonia mobile e fissa), SaaS, cloud computing, biometria, videosorveglianza, RFID, geolocalizzazione, voip, marketing, social networks;
• tutela della reputazione: protezione del brand online (es. name squatting);
• contrattualistica: outsourcing, accordi sui livelli di servizio (Service Level Agreement, SLA), SaaS, cloud computing, social media marketing, accordi di riservatezza (Non-Disclosure Agreement, NDA), connettività Internet, telefonia, voip, fornitura e manutenzione dell'hardware, sviluppo, fornitura e manutenzione del software;
• informazioni aziendali: protezione delle informazioni segrete (es. know-how);
• proprietà intellettuale:diritto d'autore (es. contenuti online, prodotti audio/visivi, software, Digital Rights Management, ecc...);
• proprietà industriale: marchi, brevetti, disegni e modelli;
• rapporti con la pubblica amministrazione digitale: posta elettronica certificata, conservazione sostitutiva dei documenti, fatturazione elettronica;
• responsabilità amministrativa: prevenzione dei reati informatici e di quelli contro il diritto d'autore, modelli organizzativi e di controllo;

Photo courtesy: darktaco

Telemarketing: il registro ed il regime delle chiamate indesiderate

Un altro tassello si è aggiunto di recente alla complessa regolamentazione del fenomeno del telemarketing dal punto di vista della privacy, a seguito dell'entrata in funzione del registro delle opposizioni, di cui alla normativa del DPR 178/2010.

La funzione primaria di tale registro, gestito da un entità terza, è quella di un meccanismo per tutelare i dati personali di chi non desidera essere disturbato da telefonate pubblicitarie, senza per questo compromettere eccessivamente gli interessi economici delle aziende che operano in questo settore o che scelgono di avvalersi di questa forma di marketing.

Si tratta quindi del meccanismo specifico attraverso il quale viene data attuazione ad una riforma del settore, già introdotta con la legge 166/2009, che ha determinato il passaggio da un sistema basato sul consenso preventivo (opt-in) ad uno basato, invece, sulla manifestazione espressa di un diniego (opt-out).
Infatti, a partire dal 31 gennaio 2011, gli abbonati che non desiderano più ricevere chiamate telefoniche con operatore, per l'invio di materiale pubblicitario, vendita diretta, ricerche o comunicazioni commerciali, devono iscriversi in tale registro con una delle modalità previste (web, email, fax, telefono).
A questo registro si affianca inoltre un provvedimento dell'autorità garante della privacy che ha fissato dei limiti precisi, proprio per garantire il rispetto della volontà dei cittadini da parte degli operatori.

Ambito di applicazione

Partiamo intanto dalla considerazione dei soggetti coinvolti che sono, da un lato, l'abbonato, cioè:

"qualunque persona fisica, persona giuridica, ente o associazione parte di un contratto con un fornitore di servizi telefonici accessibili al pubblico per la fornitura di tali servizi, o destinatario di tali servizi anche tramite schede prepagate, la cui numerazione sia comunque inserita negli elenchi [...] ";

e dall'altro l'operatore:

"qualunque soggetto, persona fisica o giuridica, che, in qualita' di titolare [...]intenda effettuare il trattamento dei dati [...] per fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, mediante l'impiego del telefono";

L'iscrizione nel registro e le nuove regole si applicano solo alle numerazioni riportate negli elenchi di abbonati, perciò, fermo restando questi limiti, è ora stabilito che:

• gli operatori di telemarketing non possono più contattare i numeri telefonici degli abbonati iscritti nel registro;

• se un operatore ha già ricevuto il consenso di un abbonato a ricevere telefonate promozionali, potrà continuare a contattarlo, anche se iscritto nel registro. Però il consenso precedentemente acquisito dovrà essere documentabile per iscritto e sarà, comunque, liberamente revocabile in qualsiasi momento;

• se un abbonato ha chiesto di non essere più disturbato da telefonate, l'operatore dovrà rispettare la sua volontà, anche se non iscritto nel registro;

Per quanto riguarda invece il trattamento di dati aventi una origine differente dagli elenchi degli abbonati, risulta che:

• per le numerazioni derivanti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, il trattamento è possibile, in assenza del consenso dell'interessato, solo se una specifica disciplina preveda espressamente le attività di comunicazioni telefoniche per le finalità di invio di materiale pubblicitario, vendita diretta, ricerche o comunicazioni commerciali, oppure se tali comunicazioni siano direttamente funzionali all'attività svolta dall'interessato, sempreché non vi sia stata o sia manifestata opposizione al trattamento;

• per le numerazioni contenute in banche dati comunque formate (fuori dei casi di cui al punto precedente), il trattamento è possibile nel rispetto dei principi generali e, quindi, previo rilascio di una idonea informativa e l'acquisizione dello specifico consenso;

Esclusioni

L'entrata in funzione del registro non pregiudica le regole vigenti in materia di pubblicità  effettuata attraverso la posta tradizionale o con strumenti diversi dal telefono (es. posta elettronica, telefax, messaggi del tipo Mms o Sms, chiamate automatizzate senza operatore), per la quale continua ad applicarsi il principio della richiesta di un consenso preventivo e informato del destinatario della comunicazione.

Sanzioni

Per la mancata osservanza delle prescrizioni dell'autorità è prevista l'applicazione di una sanzione da 30mila a 180mila euro e, nei casi più gravi, fino a 300mila euro.

Photo coutesy: igordeniro

Pubblicità comportamentale online: quali regole per la privacy ?

Tra le varie forme di pubblicità esistenti, quella "online" rappresenta, senza dubbio, un segmento molto dinamico ed importante per lo sviluppo di un economia legata alla rete Internet.

Esistono, però, degli aspetti di legalità da considerare, soprattutto per quanto riguarda la cd. pubblicità comportamentale, termine con il quale si indica il tracciamento degli utenti in rete, attuato con lo scopo di derivare dall'osservazione delle loro azioni un profilo comportamentale che funga da base per la trasmissione di messaggi pubblicitari "personalizzati" [...]

A causa della invasività delle principali tecniche di tracciamento, nonchè della loro, pressocchè totale,  invisibilità per gli utenti, questa pratica presenta aspetti che possono incidere significativamente sulla protezione dei dati personali e della vita privata perchè, almeno potenzialmente, offre la possibilità di ricostruire, in modo molto dettagliato, le attività online degli interessati, a totale insaputa di questi ultimi.
Per questo motivo essa viene presa in grande considerazione da tutti i legislatori e le autorità di protezione nazionali ed europei; proprio in questo ambito, il gruppo di lavoro dell'articolo 29 della direttiva 95/46/CE (l'organismo rappresentativo delle autorità di protezione europee), ha adottato nel 2010 un parere che fornisce un quadro giuridico di riferimento abbastanza articolato.

Tecniche e strumenti di tracciamento

Sono per lo più basati sull'elaborazione lato client delle informazioni derivanti da motori di ricerca e dall'apparecchiatura terminale dell'utente, con una predominanza dei cd. cookies, frammenti di testo memorizzati e, successivamente, recuperati dal sistema dell'utente con lo scopo di alimentare ed identificare il  profilo comportamentale di quest'ultimo.

Dei cookies si è occupata recentemente anche ENISA - Agenzia Europea per la sicurezza delle informazioni e della rete - con un documento ufficiale (in lingua inglese) intitolato "Bittersweet cookies. Some security and privacy considerations".

Inoltre esistono anche i cd. flash cookies, la cui adozione è in forte aumento perchè consentono di superare le limitazioni insite nella cancellazione (al momento della chiusura del browser) o nel rifiuto (attraverso le impostazioni di privacy) dei cookies tradizionali; tra l'altro, i flash cookies non possono essere cancellati mediante le impostazioni tradizionali di privacy di un web browser, essendo la loro gestione separata e, come tale, poco conosciuta dagli utenti non esperti (vedi Come cancellare i flash cookies dal proprio sistema).

Le regole applicabili

Secondo l'interpretazione fornita, la pubblicità comportamentale soggiace alle disposizioni delle direttive e-privacy (2002/58/CE) e privacy (95/46/CE) o, meglio, della relativa normativa italiana di attuazione, vale a dire il T.U privacy (D.Lgs. 196/2003). Peraltro, la direttiva e-privacy è stata modificata dalla recente direttiva 2009/136/CE che dovrebbe ricevere attuazione nel territorio italiano entro la data del 25 maggio 2011.

Partendo dalla direttiva e-privacy (art. 5, par. 3), risulta che per memorizzare od accedere lecitamente ad informazioni archiviate nell'apparecchiatura terminale di un utente sia necessario il consenso preventivo ed informato dell'interessato.

Le informazioni cui si fa riferimento possono essere di qualsiasi tipo (es. cookies), e non necessariamente dati di natura personale, poichè l'obbligo opera in funzione generica di protezione di un aspetto della vita privata; questo spiega anche il perchè tale obbligo non si applichi soltanto ai servizi di comunicazione elettronica, ma ad ogni altro servizio che si avvalga di tecniche similari.

Quando poi le informazioni raccolte con i cookies od altri simili dispositivi sono di natura personale, si applicano, in aggiunta, i dettami della direttiva privacy (95/46/CE), tra cui vi sono i principi relativi ai diritti degli interessati, alla qualità dei dati, alla sicurezza dei trattamenti ed ai limiti per il trasferimento internazionale dei dati.

Un ulteriore aspetto è quello riguardante l'ambito territoriale di applicazione, in particolare:

• la tutela offerta dalla direttiva 2002/58/CE riguarda le informazioni conservate nell'apparecchiatura terminale degli interessati che utilizzano reti di comunicazione pubbliche nell'unione europea;

• la tutela offerta dalla direttiva 95/46/CE riguarda: a) il trattamento dei dati personali effettuato nell'ambito delle attività di un responsabile del trattamento, stabilito nel territorio dell'unione europea; b) il trattamento dei dati personali effettuato da un responsabile del trattamento che, pur non essendo stabilito nel territorio dell'unione europea, ricorre, ai fini del trattamento stesso, a strumenti situati in tale territorio;

Nel parere si evidenzia, da un lato, l'assoluta inadeguatezza degli strumenti tradizionali offerti dal  browser, basati sul rifiuto preventivo e generalizzato dei cookies, e, dall'altro, l'opportunità di implementare, anche con la cooperazione dei produttori di software, meccanismi incentrati su un azione positiva dell'utente, dalla quale risulti la sua volontà di ricevere cookies e di accettare il relativo monitoraggio delle attività online, con lo scopo di ricevere messaggi pubblicitari personalizzati.

Per quanto concerne invece gli obblighi informativi, sul rispetto dei quali si basa la validità del consenso, si considera insufficiente la semplice menzione dell'uso della pubblicità comportamentale all'interno delle condizioni generali del sito e/o dell'informativa privacy; occorre, piuttosto, che agli utenti sia comunicato, in modo chiaro e semplice: a) chi è il responsabile del trasferimento dei cookies e della raccolta delle informazioni, b) il fatto che i cookies sono utilizzati per creare profili dell'utente, c) il tipo di informazioni raccolte, d) l'utilizzo dei profili per la trasmissione di messaggi pubblicitari personalizzati, e) la possibilità che l'utente sia identificato attraverso i cookies su diversi siti web.

Non mancano, infine, considerazioni sulla ripartizione dei profili di responsabilità tra i vari soggetti che risultano coinvolti nel circuito della pubblicità comportamentale, vale a dire i fornitori di reti pubblicitarie, gli editori e gli inserzionisti.

Photo-courtesy: Yello-Dog

Direct marketing telefonico: cosa cambia con la riforma ?

La legge 20 novembre 2009, n. 166 ha convertito il D.L. 25 settembre 2009, n. 135 contenente, tra le altre, nuovi disposizioni in materia di marketing telefonico sulle quali, ormai da mesi, imperversa una protesta in rete.

Il motivo di tale protesta, di cui si sono fatte portavoce anche diverse associazioni di consumatori, è insita nella portata delle norme che finiscono per incidere profondamente sulle legittime aspettative degli utenti di non essere tartassati dalle cd. comunicazioni commerciali.

La principale novità

Riguarda il principio che tutela la nostra privacy nell'ambito delle comunicazioni elettroniche (ma solo di quelle telefoniche), ed è rappresentata dal passaggio da un sistema di opt-in ad uno di opt-out.

Volendo tradurre in poche parole l'inevitabile tecnicismo, si passa da un sistema in cui il trattamento dei dati personali poteva considerarsi lecito solo con l'acquisizione del consenso preventivo dell'utente ad un altro in cui il trattamento è sempre lecito a meno che non vi sia l'opposizione espressa dell'utente. Una differenza, quindi, non trascurabile.

Per la verità c'è anche chi, giustamente, ha fatto osservare che il nuovo sistema non travolge affatto il precedente, ma lo affianca, con la conseguenza che ci troviamo di fronte ad un ibrido che si concilia male con la direttiva europea 2002/58/CE (e-privacy).

Quest'ultima, infatti, lascia gli Stati membri liberi di decidere se adottare l'uno o l'altro sistema, ma non sembra lasciare spazio ad una coesistenza di entrambi che, oltretutto, rischia di creare solo incertezza.

Tornando al testo normativo, questo stabilisce che il trattamento dei dati personali contenuti negli elenchi degli abbonati, mediante telefonate aventi la finalità di vendita diretta, di compimento di ricerche di mercato o di comunicazioni commerciali, è consentito nei confronti di chi non abbia manifestato la propria opposizione attraverso l'iscrizione della propria utenza telefonica in un apposito registro pubblico che attualmente non esiste, ma che dovrà essere istituito entro il termine di sei mesi dall'entrata in vigore della legge di conversione, avvenuta il 25 novembre 2009.

C'è però anche una ulteriore novità poichè la precedente deroga sulla privacy, di cui abbiamo già parlato, è stata differita fino al termine di sei mesi successivi alla data di entrata in vigore della legge 166/2009.

Il regime transitorio

In questo periodo di interregno, in attesa della istituzione del registro delle opposizioni, gli utenti sembrerebbero pertanto "costretti" a subire, nonostante la loro eventuale volontà contraria, il trattamento dei propri dati.

Il nuovo sistema non ha però cancellato minimamente il diritto di ogni interessato di:

opporsi in tutto od in parte al trattamento dei dati che lo riguardano a fini dell'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale

che continua ad essere previsto e che può essere esercitato, tra l'altro, senza alcuna formalità, mediante richiesta rivolta al titolare o responsabile, anche attraverso un incaricato.

Ciò vuol dire che un utente potrebbe sempre opporsi al trattamento dei propri dati e potrebbe farlo nel corso delle telefonate che riceve, non essendo richiesto il rispetto da parte sua di una particolare modalità di esercizio di questo diritto.

Anzi, dato che, per espressa previsione, l'iscrizione nel futuro registro delle opposizioni dovrebbe essere governata da "modalità semplificate", sarebbe auspicabile prevedere a carico degli operatori di telemarketing l'obbligo di raccogliere, contestualmente alle telefonate, le eventuali opposizioni degli interessati e di inoltrarle direttamente al gestore del registro per l'immediata iscrizione nello stesso, rilasciando al richiedente un identificativo univoco della transazione.

In questo modo l'onere della semplificazione dell'iscrizione nel registro sarebbe quanto meno rispettato.

Le sanzioni

La nuova legge modifica, infine, l'entità minima della sanzione amministrativa prevista per il trattamento illecito dei dati o per la mancata applicazione delle misure di sicurezza, riducendola da 20.000 a 10.000 euro.

Certo è strana l'esigenza avvertita di una modifica ad una disposizione introdotta soltanto otto mesi fa (legge 27 febbraio 2009, n. 14); purtroppo questo atteggiamento lascia intravedere la preoccupazione del legislatore di non essere troppo severo con i trasgressori nell'applicazione delle sanzioni.

In poche parole il legislatore ci manifesta chiaramente tutto il suo scetticismo sull'efficacia del futuro registro delle opposizioni nel tutelare la privacy dei cittadini, lanciando un segnale sicuramente poco rassicurante.

Internet e privacy sul luogo di lavoro: come organizzare i controlli?

Traggo spunto dalla recente notizia di un provvedimento del garante della privacy, relativo ad un caso di abuso di strumenti informatici aziendali, per soffermarmi sulla questione della organizzazione dei controlli alla luce di quelle che sono ormai le linee guida per l'utilizzo di Internet e della posta elettronica in azienda.

Nel caso in esame il datore di lavoro, pur adottando un regolamento specifico e fornendo ai dipendenti istruzioni per l'uso della postazione informatica individuale, a seguito di alcuni disservizi causati sulla rete aziendale da un eccessiva attività di scaricamento dati (download), aveva allestito un sistema di monitoraggio degli accessi nei confronti di un dipendente.

Il sistema, organizzato sulla base di un proxy server con funzioni di caching abilitate, aveva permesso di svolgere, per la durata di circa nove mesi, attività di controllo che implicavano la registrazione in chiaro degli "accessi a tutti i siti web visitati […]  con evidenziazione anche dei relativi domìni", realizzando una forma di trattamento inammissibile sulla base dei seguenti profili di illiceità:

• la natura sistematica e continuativa del tracciamento, a causa della sua durata prolungata e della particolare estensione delle informazioni catturate, ha comportato una violazione sia dell'art. 4, comma 1, della legge 300/70 (Statuto dei lavoratori) che vieta l'impiego di apparecchiature (compresi hardware e software) per finalità di controllo a distanza dell'attività dei lavoratori, sia del principio di pertinenza e non eccedenza nella raccolta dei dati;
• mancata attivazione da parte del datore di lavoro delle procedure previste dalla normativa nel caso in cui le funzionalità di controllo connesse all'utilizzo di un software siano motivate da "esigenze organizzative e produttive" (accordo con le rsu oppure autorizzazione della direzione provinciale del lavoro);

Da tali conclusioni è scaturito il provvedimento che ha disposto il divieto di ulteriore trattamento delle informazioni raccolte nel corso del monitoraggio.

Ciò, oltre alle inevitabili ripercussioni sotto il profilo delle eventuali responsabilità connesse, potrebbe comportare anche delle limitazioni relativamente alla prova dei comportamenti scorretti dei lavoratori, tali da giustificare l'applicazione di sanzioni, compresa quella del licenziamento.

Organizzazione dei controlli

Per evitare le conseguenze appena viste, è fondamentale organizzare le attività di controllo in modo conforme alle prescrizioni di legge, per cui:

• non si possono installare apparecchiature, di nessun tipo, preordinate ad un controllo a distanza dei lavoratori: in questo ambito si possono far rientrare i software che, in relazione al modo in cui sono progettati e/o configurati, permettano la memorizzazione o la riproduzione delle pagine web accedute o l'esplicazione di controlli protratti nel tempo;
• sono ammessi per esigenze produttive, organizzative o di sicurezza sul lavoro sistemi di controllo indiretto, ma sempre nel rispetto delle procedure di informazione e consultazione dei lavoratori e dei sindacati;

Altro aspetto da non sottovalutare è quello della gradualità delle verifiche: in linea generale i controlli dovrebbero avere per oggetto dati in forma aggregata.

Se dall'analisi di questi ultimi emergono elementi che fanno presumere utilizzi impropri o non consentiti degli strumenti aziendali, vanno emessi avvisi generalizzati, anche circoscritti a particolari aree di lavoro, con l'invito ad attenersi alle direttive aziendali.

Soltanto nel caso in cui, a seguito degli avvisi, le attività anomale non cessino sarà possibile procedere a controlli su base individuale.

La profilazione degli utenti dei servizi di telecomunicazione: le regole del Garante privacy

Un nuovo giro di vite sui fornitori di servizi di comunicazione elettronica accessibili al pubblico in relazione alle attività di profilazione compiute sulla propria clientela tramite dati personali individuali o dati personali aggregati ricavati da quelli di dettaglio.

Con un provvedimento del 25 giugno 2009 (G.U. n. 159 11 luglio 2009) il garante è intervenuto per  fare chiarezza su alcuni punti emersi nel corso di precedenti attività ispettive.

Consenso

I dati personali individuali possono essere trattati con finalità di profilazione solo se il titolare abbia rilasciato una informativa idonea (art. 13) e vi sia la possibilità di documentare, per iscritto, il consenso libero, informato e specifico del soggetto interessato (art. 23).

L'applicazione di questo principio generale vale anche e, soprattutto, nel caso in cui l'attività di profilazione richieda, per il suo svolgimento, dei dati inizialmente acquisiti per soddisfare una diversa esigenza (es. l'erogazione del servizio).

Ovviamente, una volta acquisito il consenso, esso si estenderà anche all'aventuale utilizzo dei dati in forma aggregata.

Verifica sui dati aggregati

L'aggregazione, di per sè, non trasforma i dati in anonimi, se essi conservano l'idoneità prevista dall'art. 4, comma 1, lett. b) del codice, cioè in pratica la capacità di fare riferimento ad un soggetto identificato o identificabile, anche indirettamente.

Il trattamento di questi dati, generalmente contenuti in sistemi eterogenei e conservati per far fronte ad altre esigenze, anche imposte dalla legge, può presentare per gli interessati dei rischi connessi con i livelli di aggregazione e le modalità tecniche di gestione.

Pertanto, in assenza di consenso, il titolare che intenda utilizzarli con finalità di profilazione deve inoltrare all'autorità una richiesta di verifica preliminare, secondo la procedura di cui all'art. 17 del codice, indicando specificamente i trattamenti, le finalità e le tipologie di dati da utilizzare.

Il processo di verifica verrà effettuato tenendo conto di alcuni parametri e condizioni che il garante qualifica come "minimi", tra cui:

• l'impossibilità di risalire dal dato aggregato ad informazioni dettagliate concernenti l'interessato;
• la separazione funzionale dei sistemi dedicati alla profilazione da quelli originari e dagli altri utilizzati per finalità differenti (es. marketing);
• l'utilizzo dei dati aggregati nell'ambito di processi idonei ad impedire l'immediata identificabilità dell'interessato;
• l'esistenza di un diverso e limitato profilo di autenticazione degli incaricati alla profilazione;
• la conservazione per un limitato periodo di tempo, decorso il quale i dati devono essere cancellati;

Notificazione

La profilazione effettuata con gli strumenti elettronici resta, comunque, soggetta all'obbligo di notificazione (art. 37, comma 1, lett. d) che va effettuata con le modalità previste dall'art. 38.

Si segnala, infine, che le richieste di verifica preliminare dovranno essere inviate all'Autorità entro il 30 settembre 2009.

Data retention: ulteriore proroga per l'applicazione delle misure di sicurezza

Il garante della privacy ha accordato un parziale slittamento dei termini per l'adozione degli accorgimenti e delle misure di sicurezza a garanzia dei dati del traffico telefonico e telematico, conservati sia per finalità di accertamento e repressione di reati, sia per finalità ordinarie.

La scadenza, già prorogata una volta rispetto a quella inizialmente prevista, era stata fissata al 30 aprile 2009 (30 giugno per le sole misure concernenti la strong authentication).

La proroga è stata concessa, su richiesta delle associazioni di categoria, tenuto conto della situazione di sostanziale, ma non ancora integrale, adempimento, delle maggiori difficoltà tecniche nell'adozione di alcune misure e della quantità degli interventi strutturali ed economici complessivamente richiesti per garantire una completa conformità alle prescrizioni.

Dunque, per effetto di questo intervento, è stato prorogato al 15 dicembre 2009 il termine per l'adeguamento alle misure del provvedimento del 24 luglio 2008, di cui alla:

lettera a):

n. 3: adottare, per la conservazione dei dati di traffico per esclusive finalità di accertamento e repressione di reati, sistemi informatici distinti fisicamente da quelli utilizzati per gestire dati di traffico anche per altre finalità, sia nelle componenti di elaborazione, sia di immagazzinamento dei dati (storage). I dati di traffico conservati per un periodo non superiore ai sei mesi dalla loro generazione possono, invece, essere trattati per le finalità di giustizia sia prevedendone il trattamento con i medesimi sistemi di elaborazione e di immagazzinamento utilizzati per la generalità dei trattamenti, sia provvedendo alla loro duplicazione, con conservazione separata rispetto ai dati di traffico trattati per le ordinarie finalità. Le attrezzature informatiche utilizzate per i trattamenti di dati di traffico per le esclusive finalità di giustizia di cui sopra devono essere collocate all'interno di aree ad accesso selezionato (ovvero riservato ai soli soggetti legittimati ad accedervi per l'espletamento di specifiche mansioni) e munite di dispositivi elettronici di controllo o di procedure di vigilanza che comportino la registrazione dei dati identificativi delle persone ammesse, con indicazione dei relativi riferimenti temporali. Nel caso di trattamenti di dati di traffico telefonico per esclusive finalità di giustizia, il controllo degli accessi deve comprendere una procedura di riconoscimento biometrico. Infine, il fornitore deve adottare misure idonee a garantire il ripristino dell'accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici in tempi compatibili con i diritti degli interessati e comunque non superiori a sette giorni;

n. 6: adottare soluzioni informatiche idonee ad assicurare il controllo delle attività svolte sui dati di traffico da ciascun incaricato del trattamento, quali che siano la sua qualifica, le sue competenze e gli ambiti di operatività e le finalità del trattamento. Il controllo deve essere efficace e dettagliato anche per i trattamenti condotti sui singoli elementi di informazione presenti sui diversi database utilizzati. Tali soluzioni comprendono la registrazione, in un apposito audit log, delle operazioni compiute, direttamente o indirettamente, sui dati di traffico e sugli altri dati personali a essi connessi, sia quando consistono o derivano dall'uso interattivo dei sistemi, sia quando sono svolte tramite l'azione automatica di programmi informatici. I sistemi di audit log devono garantire la completezza, l'immodificabilità, l'autenticità delle registrazioni in essi contenute, con riferimento a tutte le operazioni di trattamento e a tutti gli eventi relativi alla sicurezza informatica sottoposti ad auditing. A tali scopi il fornitore deve adottare, per la registrazione dei dati di auditing, anche in forma centralizzata per ogni impianto di elaborazione o per datacenter, sistemi di memorizzazione su dispositivi non alterabili. Prima della scrittura, i dati o i raggruppamenti di dati devono essere sottoposti a procedure informatiche per attestare la loro integrità, basate sull'utilizzo di tecnologie crittografiche;

n. 9: proteggere i dati di traffico trattati per esclusive finalità di giustizia con tecniche crittografiche, in particolare contro rischi di acquisizione fortuita o di alterazione accidentale derivanti da operazioni di manutenzione sugli apparati informatici o da ordinarie operazioni di amministrazione di sistema. Il fornitore deve adottare soluzioni che rendano le informazioni residenti nelle basi di dati a servizio delle applicazioni informatiche utilizzate per i trattamenti, non intelligibili a chi non disponga di diritti di accesso e profili di autorizzazione idonei, ricorrendo a forme di cifratura od offuscamento di porzioni dei data base o degli indici o ad altri accorgimenti tecnici basati su tecnologie crittografiche. Tale misura deve essere efficace per ridurre al minimo il rischio che incaricati di mansioni tecniche accessorie ai trattamenti (amministratori di sistema, database administrator e manutentori hardware e software) possano accedere indebitamente alle informazioni registrate, anche fortuitamente, acquisendone conoscenza nel corso di operazioni di accesso ai sistemi o di manutenzione di altro genere, oppure che possano intenzionalmente o fortuitamente alterare le informazioni registrate. Eventuali flussi di trasmissione dei dati di traffico tra sistemi informatici del fornitore devono aver luogo tramite protocolli di comunicazione sicuri, basati su tecniche crittografiche, o comunque evitando il ricorso alla trasmissione in chiaro dei dati. Protocolli di comunicazione sicuri devono essere adottati anche per garantire più in generale la sicurezza dei sistemi evitando di esporli a vulnerabilità e a rischio di intrusione;

lettera c):

n. 1: adottare specifici sistemi di autenticazione informatica basati su tecniche di strong authentication, consistenti nell'uso contestuale di almeno due differenti tecnologie di autenticazione, che si applichino agli accessi ai sistemi di elaborazione da parte di tutti gli incaricati di trattamento nonché di tutti gli addetti tecnici (amministratori di sistema, di rete, di data base) che abbiano la possibilità concreta di accedere ai dati di traffico custoditi nelle banche dati del fornitore, qualunque sia la modalità, locale o remota, con cui si realizzi l'accesso al sistema di elaborazione utilizzato per il trattamento, evitando che questo possa aver luogo senza che l'incaricato abbia comunque superato una fase di autenticazione informatica nei termini anzidetti. Qualora circostanze eccezionali, legate a indifferibili interventi per malfunzionamenti, guasti, installazione hardware e software, aggiornamento e riconfigurazione dei sistemi, determinino la necessità di accesso a sistemi di elaborazione che trattano dati di traffico da parte di addetti tecnici in assenza di strong authentication, fermo restando l'obbligo di assicurare le misure minime in tema di credenziali di autenticazione previste dall'Allegato B) al Codice in materia di protezione dei dati personali, deve essere tenuta traccia in un apposito "registro degli accessi" dell'eventuale accesso fisico ai locali in cui sono installati i sistemi di elaborazione oggetto di intervento e dell'accesso logico ai sistemi, nonché delle motivazioni che li hanno determinati, con una descrizione sintetica delle operazioni svolte, anche mediante l'utilizzo di sistemi elettronici. Tale registro deve essere custodito dal fornitore presso le sedi di elaborazione e messo a disposizione del Garante nel caso di ispezioni o controlli, unitamente a un elenco nominativo dei soggetti abilitati all'accesso ai diversi sistemi di elaborazione con funzioni di amministratore di sistema, che deve essere formato e aggiornato costantemente dal fornitore;

n. 2: adottare procedure in grado di garantire la separazione rigida delle funzioni tecniche di assegnazione di credenziali di autenticazione e di individuazione dei profili di autorizzazione rispetto a quelle di gestione tecnica dei sistemi e delle basi di dati;

n. 3: rendere i dati di traffico immediatamente non disponibili per le elaborazioni dei sistemi informativi allo scadere dei termini previsti dalle disposizioni vigenti, provvedendo alla loro cancellazione o trasformazione in forma anonima, in tempi tecnicamente compatibili con l'esercizio delle relative procedure informatiche, nei data base e nei sistemi di elaborazione utilizzati per i trattamenti nonché nei sistemi e nei supporti per la realizzazione di copie di sicurezza (backup e disaster recovery) effettuate dal titolare anche in applicazione di misure previste dalla normativa vigente e, al più tardi, documentando tale operazione entro i trenta giorni successivi alla scadenza dei termini di conservazione (art. 123 del Codice);

n. 4: adottare soluzioni informatiche idonee ad assicurare il controllo delle attività svolte sui dati di traffico da ciascun incaricato del trattamento, quali che siano la sua qualifica, le sue competenze e gli ambiti di operatività e le finalità del trattamento. Il controllo deve essere efficace e dettagliato anche per i trattamenti condotti sui singoli elementi di informazione presenti sui diversi database utilizzati. Tali soluzioni comprendono la registrazione, in un apposito audit log, delle operazioni compiute, direttamente o indirettamente, sui dati di traffico e sugli altri dati personali a essi connessi, sia quando consistono o derivano dall'uso interattivo dei sistemi, sia quando sono svolte tramite l'azione automatica di programmi informatici. I sistemi di audit log devono garantire la completezza, l'immodificabilità, l'autenticità delle registrazioni in essi contenute, con riferimento a tutte le operazioni di trattamento e a tutti gli eventi relativi alla sicurezza informatica sottoposti ad auditing. A tali scopi il fornitore deve adottare, per la registrazione dei dati di auditing, anche in forma centralizzata per ogni impianto di elaborazione o per datacenter, sistemi di memorizzazione su dispositivi non alterabili. Prima della scrittura, i dati o i raggruppamenti di dati devono essere sottoposti a procedure informatiche per attestare la loro integrità, basate sull'utilizzo di tecnologie crittografiche;

n. 5: documentare i sistemi informativi utilizzati per il trattamento dei dati di traffico in modo idoneo secondo i princìpi dell'ingegneria del software, evitando soluzioni documentali non corrispondenti a metodi descrittivi standard o di ampia accettazione. La descrizione deve comprendere, per ciascun sistema applicativo, l'architettura logico-funzionale, l'architettura complessiva e la struttura dei sistemi utilizzati per il trattamento, i flussi di input/output dei dati di traffico da e verso altri sistemi, l'architettura della rete di comunicazione, l'indicazione dei soggetti o classi di soggetti aventi legittimo accesso al sistema. La documentazione va corredata con diagrammi di dislocazione delle applicazioni e dei sistemi, da cui deve risultare anche l'esatta ubicazione dei sistemi nei quali vengono trattati i dati per le finalità di accertamento e repressione di reati. La documentazione tecnica deve essere aggiornata e messa a disposizione dell'Autorità su sua eventuale richiesta, unitamente a informazioni di dettaglio sui soggetti aventi legittimo accesso ai sistemi per il trattamento dei dati di traffico;

Internet e sistemi di filtraggio del traffico tra prassi e legalità

Il traffic shaping è un metodo di gestione di una rete attuato per forzarne ("modellare", da cui deriva il termine) l'operatività secondo determinati parametri o regole.

Si tratta di tutte quelle misure tecniche che hanno come effetto quello di:

• limitare l'occupazione di banda (byte trasmessi/ricevuti)
• impedire un certo tipo di traffico
• interrompere artificiosamente un flusso di comunicazione (es. quando l'occupazione di banda supera una certa soglia o perdura oltre un certo periodo di tempo)

Metodi e ragioni del controllo

In molti casi il controllo del traffico presuppone una attività di analisi e di filtraggio basata sui protocolli di rete (es. bittorrent) o sul tipo di risorsa richiesta (es. url di un video/audio in streaming), ma non c'è ancora completa chiarezza al riguardo.

In generale le ragioni per cui questa pratica viene attuata, spesso in modo occulto e poco trasparente, sono riconducibili alla esigenza di evitare problemi di:

• operatività: il gestore di una rete può offrire una ampiezza di banda limitata, rispetto al numero degli utilizzatori, e, quindi, ricorre a forme di limitazione del traffico per non dover procedere all'acquisto di capacità di banda supplementare
• legalità: si vuole evitare qualsiasi rischio di incorrere in forme di corresponsabilità, bloccando o limitando l'accesso a protocolli e risorse che possono costituire veicolo di scambio e diffusione di materiale protetto (es. diritti d'autore)

Considerazioni legali

Il traffic shaping può ritenersi legale se adottato in una rete privata (es. una lan aziendale), mentre non sempre può dirsi altrettanto nell'ambito della fornitura al pubblico di un servizio di comunicazione elettronica.

In questo caso, infatti, gli utenti pagano un corrispettivo per ottenere un accesso ad Internet che, in mancanza di una esplicita indicazione contraria, dovrebbe intendersi illimitato dal punto di vista dei protocolli utilizzabili e delle risorse accessibili.

C'è quindi, innanzitutto, un problema di chiarezza delle condizioni generali di contratto, tra le quali vanno ricomprese anche le notizie sulle caratteristiche e le prestazioni tecniche del servizio che rappresentano informazioni essenziali dell'offerta.

Queste informazioni dovrebbero non soltanto ammettere l'eventuale utilizzo di filtri, ma contenere una specifica indicazione dei limiti che ne derivano, in termini di protocolli bloccati, fasce orarie in cui le limitazioni sono attive, ampiezza di banda massima, numero massimo delle connessioni consentite, ecc...

Eventuali carenze od omissioni informative possono, dunque, essere viste come fonte di una responsabilità contrattuale del fornitore, proprio perchè l'utente ha il diritto di godere, per contratto, di un accesso incondizionato.

Inoltre, in un caso verificatosi, l'autorità garante della concorrenza e del mercato ha ritenuto che l'informazione omessa o non veritiera sull'esistenza di sistemi di filtraggio sia qualificabile come pratica commerciale scorretta, in quanto contraria alla diligenza professionale ed idonea a limitare od escludere la libertà di scelta e di comportamento del consumatore medio.

Purtroppo dimostrare l'esistenza di meccanismi di filtraggio del traffico è ancora molto difficile, anche se, per far fronte a questa esigenza, sono in fase di sviluppo alcuni progetti (vedi approfondimenti).

Per questo motivo può essere molto utile valutare attentamente tutte le condizioni contrattuali e le caratteristiche tecniche del servizio offerto, prima della stipula del relativo contratto, chiedendo ed ottenendo eventualmente, meglio se in forma scritta, rassicurazioni da parte del fornitore.

Approfondimenti

• Progetto Gemini
• Internet marketing: aspetti giuridici della pubblicità e delle pratiche commerciali online
• I contratti di fornitura dei servizi di comunicazione telefonica ed elettronica: profili giuridici, tutela dei consumatori e risoluzione delle controversie

Photo credit: karmarat

Direct marketing telefonico e privacy:nuove prescrizioni

Dopo la conversione in legge del decreto milleproroghe, avvenuta con la legge 27 febbraio 2009, n. 14, che ha previsto una deroga temporanea sull'applicazione di alcuni istituti della normativa sulla privacy nelle attività promozionali, l'autorità garante della privacy è intervenuta con un nuovo provvedimento per precisare i criteri che, comunque, dovranno essere rispettati nell'esecuzione delle attività.

Le prescrizioni interessano tutti i titolari del trattamento che siano in possesso di banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1° agosto 2005 e che intendano utilizzarle per fini promozionali.

Le misure previste sono le seguenti:

• documentare in modo adeguato la costituzione della banca dati prima del 1° agosto 2005, conservando la relativa documentazione presso la sede legale del titolare;
• trattare direttamente i dati personali presenti nelle banche dati, senza cederli, a qualunque titolo, a terzi;
• specificare, in occasione di ogni contatto, l'identificativo del titolare del trattamento dei dati, anche nel caso in cui questi operi per conto di terzi, e comunicare agli interessati che essi hanno il diritto di opporsi ai sensi dell'art. 7 del Codice;
• registrare immediatamente l'eventuale opposizione dell'interessato al trattamento dei suoi dati personali, con effetto anche nei confronti dei terzi per conto dei quali questo operi, anche qualora ciò avvenga telefonicamente, e fornire all'interessato l'identificativo dell'operatore o dell'operazione compiuta;
• utilizzare i dati personali presenti nelle banche dati esclusivamente per finalità promozionali e sino al 31 dicembre 2009. Non è possibile rendere un'informativa agli interessati e richiedere il loro consenso per l'uso dei dati per attività di carattere promozionale da effettuare in data successiva al 31 dicembre 2009;
• comunicare al Garante, entro quindici giorni dalla pubblicazione del provvedimento in G.U. (prevista per il 20 marzo 2009), di essere in possesso di banche dati costituite anteriormente al 1° agosto 2005 che si intendono utilizzare per attività promozionali fino al 31 dicembre 2009, chiarendo se il trattamento dei dati personali venga effettuato anche per conto di terzi;

Violazione dei dati personali: il consiglio d'Europa si oppone ad una estensione dell'obbligo di notifica

In Europa si sta discutendo sulle modifiche alla direttiva 2002/58/CE relativa al trattamento dei dati personali ed alla tutela della vita privata nel settore delle comunicazioni elettroniche.

Tra le varie proposte c'è ne una che prevede, a carico dei fornitori di servizi di comunicazione elettronica accessibili al pubblico, l'obbligo di notificare tutti gli incidenti di sicurezza che comportino una perdita od una violazione dei dati personali dei propri utenti.

Il gruppo di lavoro dei garanti europei sulla privacy ha già espresso al riguardo il proprio convincimento sull'opportunità di estendere l'obbligo anche ai fornitori di servizi della società dell'informazione (banche, assicurazioni, attività commerciali online, ecc...) in considerazione del ruolo ormai emergente che questi servizi hanno nella vita di moltissimi cittadini europei e della considerevole mole di dati personali trattati nell'ambito degli stessi.

Contro questa ipotesi di allargamento si è, però, schierato il consiglio dell'Unione Europea che ha inoltre chiesto che venga riconosciuta ai soggetti obbligati la facoltà di valutare ogni violazione e decidere, sulla base della sua gravità, se inoltrare la segnalazione alla competente autorità nazionale di controllo ed ai singoli interessati.

Purtroppo questa presa di posizione contraria rischia di vanificare lo spirito più genuino della proposta, cioè quello di approntare un rimedio per proteggere gli ignari individui dagli effetti deleteri e molteplici riconducibili in genere ad una violazione di dati personali (furti d'identità, perdite finanziarie, danni psicologici, ecc...).

Ora la palla torna al parlamento europeo dove ci sarà, probabilmente, un dibattito nel tentativo di individuare una forma di compromesso che possa poi trasformarsi in legge.

A noi non resta che sperare che tutto non si risolva in una bolla di sapone !

Photo courtesy woodsy

Ebook: privacy, marketing ed attività promozionali

Ho appena terminato la preparazione di un ebook dal titolo

La tutela della privacy nelle attività di marketing e promozionali

La pianificazione e la realizzazione di efficaci strategie di marketing richiede, sempre più, dei flussi informativi articolati, spesso basati su dati di natura personale.

L'interdipendenza creatasi tra marketing, tecnologia ed informazioni è ormai tale che la problematica della tutela dei dati personali sta assumendo in tale contesto una rilevanza significativa, come si evince del resto dalla corposa normativa vigente e dai sempre più numerosi provvedimenti ed interventi operati dall'autorità garante della privacy.

Nel mondo odierno, dominato dal business e dalle tecnologie, per poter vendere con successo non è più sufficiente essere "online", dotarsi delle tecnologie più giuste ed aver sviluppato una propria strategia, ma occorre anche adottare un approccio più consapevole dei vincoli e dei presupposti richiesti dalla legge.

In mancanza di tale approccio ci si espone soltanto a rischi che possono minare non soltanto la credibilità e l'immagine di qualsiasi azienda ma la stessa possibilità di fare business.

Da queste premesse scaturisce, perciò, l'idea di questo volume, frutto della osservazione della realtà e di esperienze professionali, il cui scopo è quello di offrire una analisi sintetica ma abbastanza comprensiva dei complessi rapporti esistenti tra gli obblighi imposti dalla normativa a tutela della privacy (D.Lgs. 196/2003) e le attività di marketing e promozionali, specie se realizzate con l'ausilio delle tecnologie di comunicazione elettronica.

Il libro prevede ovviamente anche una parte generale, dedicata all'inquadramento dei principali obblighi e requisiti di liceità del trattamento dei dati, insieme con la trattazione di fenomeni più specifici, come quelli concernenti il bluetooth advertising, il marketing comportamentale, il marketing geografico ed i servizi basati sulla localizzazione (LBS o Location Based Services)

Alla fine è inclusa inoltre una appendice normativa con il testo degli articoli del codice della privacy e dei provvedimenti dell'autorità garante richiamati.

L'ebook è disponibile per il download gratuito su lulu.

Corso online (gratuito) su direct marketing e privacy

Privacy e comunicazioni elettroniche: sulle modifiche della direttiva 2002/58/CE il parere del garante europeo

Prosegue l'iter di revisione della direttiva 2002/58/CE, relativa alla tutela dei dati personali e della vita privata nelle comunicazioni elettroniche.
Rispetto al mio precedente post, segnalo che il garante europeo della protezione dei dati personali è intervenuto, nel frattempo, con un suo parere (2008/C 181/01).

L'opinione espressa è abbastanza articolata ed il giudizio che emerge è globalmente positivo, anche se non mancano punti, peraltro condivisibili, sui quali il garante chiede un maggior sforzo da parte del legislatore europeo.

In sintesi le questioni toccate riguardano il campo di applicazione della normativa, la notifica delle violazioni di sicurezza dei dati, la possibilità per le persone fisiche e giuridiche di promuovere azioni giudiziarie contro gli spammer e l'archiviazione di informazioni nel terminale dell'utente.

Campo di applicazione

Viene giudicata favorevolmente l'estensione del campo di applicazione alle reti di comunicazione pubbliche che supportano i dispositivi di raccolta ed identificazione dei dati (in pratica le applicazioni basate sull'identificazione a radiofrequenza o RFID).

Si richiede inoltre di includere in tale ambito anche i fornitori di servizi di comunicazione elettronica su reti miste (pubbliche/private) o private.

Questo allargamento, condiviso anche dal gruppo di lavoro dell'art. 29, sarebbe giustificabile in rapporto alla tendenza dei servizi di comunicazione a diventare sempre più un mix di risorse pubbliche e private e, quindi, alla crescente importanza che vanno assumendo queste reti e, con esse, al maggior numero di rischi per i dati personali degli utenti.

Notifica delle violazioni di sicurezza dei dati

Nel nuovo testo l'obbligo di notifica delle violazioni di sicurezza dei dati si applicherebbe ai soli fornitori di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche.

Tuttavia il garante europeo segnala l'opportunità di una attuazione su più vasta scala che ricomprenda anche i fornitori di servizi della società dell'informazione (banche, assicurazioni, servizi sanitari ed altre attività commerciali online).

Le ragioni sono da ricercare nell'ingente volume di dati trattati ormai anche da tali soggetti e nella loro natura spesso sensibile (dati inerenti la salute, carte di credito, ecc...).

A questo proposito condivido l'opinione sui riflessi indubbiamente positivi che questo comporterebbe, nel senso che:

• l'obbligo di notifica migliorerebbe l'affidabilità dei fornitori di servizi
  
• l'incremento di responsabilità costituirebbe una motivazione valida per aumentare gli investimenti in sicurezza e migliorare le misure applicate (spesso riconducibili alle sole misure tecnologiche)
  
• la notifica delle violazioni agirebbe come elemento di contrasto al fenomeno crescente dei furti di identità dal momento che i soggetti notificati potrebbero adottare le misure necessarie per impedire un utilizzo illecito dei propri dati (ad esempio una modifica, nel caso di credenziali di accesso, od un blocco, nel caso di carte di credito, e così via)

Tutela giudiziaria contro gli spammer

La modifica proposta prevede la possibilità per le persone fisiche e giuridiche, portatrici di un legittimo interesse, di intentare azioni giudiziarie nei confronti di coloro che violano le disposizioni relative all'invio di comunicazioni elettroniche indesiderate (in pratica i cd. spammer).

Ciò vale soprattutto per i fornitori dei servizi di comunicazione che hanno ovviamente tutto l'interesse commerciale di perseguire coloro che abusano delle loro reti ma anche per le associazioni di consumatori vittime del fenomeno.

Il garante, pur apprezzando la portata della nuova formulazione, la ritiene limitante in quanto non sarebbe, comunque, consentito proporre azioni con riferimento a violazioni di altre disposizioni della direttiva, cosa questa che, in effetti, mgliorerebbe sensibilmente l'efficacia e l'applicazione della stessa.

Archiviazione ed accesso alle informazioni sul terminale dell'utente

Viene espresso un particolare apprezzamento per la modifica dell'art. 5, paragrafo 3, della direttiva 2002/58/CE riguardante l'ipotesi di archiviazione ed accesso alle informazioni sul terminale dell'utente mediante tecnologie come cookies, spyware ed altri dispositivi simili.

L'eliminazione dal testo della norma del riferimento alle "reti di comunicazione elettronica", equivarrebbe a rendere operanti le particolari cautele, connesse all'esigenza di informare gli utenti ed al loro diritto di rifiutare il trattamento dei propri dati, anche nei casi di accesso ed archiviazione mediante supporti esterni (cd, dvd, chiavi usb, ecc..) e non soltanto tramite reti di comunicazione.

Il bluetooth marketing è spam ?

Il marketing si arricchisce continuamente di nuove opportunità e, tra queste, si fa un gran parlare di marketing di prossimità.

Il marketing di prossimità è una tecnica che fa uso di strumenti e metodi attraverso i quali risulta possibile instaurare forme di comunicazione, generalmente di natura promozionale o informativa, con gli individui presenti all'interno di un area circoscritta (cinema, caffè, aree commerciali, fiere, aeroporti, ecc...).

Ci troviamo quindi di fronte ad un espressione particolare di marketing territoriale, dove l'aggettivo territoriale deve essere inteso nel senso che la comunicazione avviene sul territorio senza un target predefinito.

Una particolare estensione del marketing di prossimità è rappresentata dal bluetooth marketing o advertising che consiste, appunto, nell'impiego di una rete di comunicazione wireless, basata sul protocollo bluetooth, attraverso la quale i messaggi sono indirizzati ai terminali mobili degli utenti (pda, smartphone, computer portatili, ecc...) che si trovano in un area specifica.

Tale forma di comunicazione elettronica pone, però, dei dubbi circa la sua natura di comunicazione indesiderata (cd. spamming) e sotto il profilo della relativa privacy degli utenti destinatari.

Navigando in rete mi sono imbattuto in un post nel quale vengono illustrate le ragioni per le quali si ritiene che il bluetooth marketing non sia spam, motivi che di seguito riepilogo brevemente, invitando comunque ad una attenta lettura del post:

• identificazione del mittente: i messaggi inviati conterrebbero sempre l'indicazione del mittente
• richiesta di accettazione: per ogni messaggio inviato il destinatario riceverebbe sul suo terminale una richiesta di conferma, assumendo in tal modo un ruolo attivo nella scelta delle comunicazioni
• attinenza dei messaggi: i messaggi inviati avrebbero una stretta attinenza con il contesto geografico nel quale sono confinati

In realtà la questione non appare di così facile risoluzione e le motivazioni addotte, seppure in parte condivisibili, non prendono in considerazione l'aspetto giuridico del fenomeno, sul quale ritengo pertanto opportuno soffermarmi.

La normativa di riferimento è, ancora una volta, rappresentata dal codice della privacy (d.lgs. 196/03) ed, in particolare, dall'art. 130, intitolato proprio alle "Comunicazioni indesiderate".

Come è noto i primi due commi della norma citata subordinano al preventivo consenso dell'interessato la possibilità di utilizzare i sistemi automatici di chiamata, la posta elettronica, il fax, i messaggi sms, mms o di altro tipo per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

Il primo dubbio è se un sistema di comunicazione via bluetooth possa rientare nell'ambito di questa definizione, quanto meno sotto il profilo di una ipotetica assimilazione ai messaggi di "altro tipo" cui la disposizione fa riferimento.

Anche se così non fosse, però, il successivo comma 3 stabilisce che le comunicazioni effettuate per le stesse finalità, ma con mezzi diversi da quelli indicati, sono comunque consentite se c'è il consenso del destinatario oppure se ricorre una ipotesi di trattamento dei dati personali senza consenso.

La natura aperta dell'espressione "mezzi diversi da quelli indicati" sembrerebbe legittimare l'inclusione anche dei sistemi bluetooth, ma, a questo punto, si prospettano due quesiti di non facile soluzione.

Il primo é: una comunicazione via bluetooth implica una qualche forma di trattamento di dati personali ?

Senza entrare nei dettagli tecnici, ciò potrebbe accadere se, tra i vari dati scambiati durante la connessione tra periferiche, ve ne sia qualcuno che possa qualificarsi come "dato personale", secondo la definizione che ne fornisce l'art. 4 del codice della privacy.

A questo riguardo mi viene da pensare, innanzitutto, al nome identificativo del device, utilizzato anche nella pratica cd. del toothing, ma anche ad uno degli altri dati gestiti dal Link Manager Protocol.

Ed inoltre, potrebbe configurarsi come consenso dell'utente l'eventuale risposta positiva alla richiesta di accettazione del messaggio ?

Probabilmente sì, anche se ciò non risolve il problema della potenziale invasività della tecnica (quanti messaggi si potrebbero ricevere in un area commerciale di una certa grandezza ?)

Nel caso in cui, invece, il sistema non sia configurato in modo da richiedere esplicitamente un permesso per ogni messaggio inviato, difficilmente si potrebbe parlare di consenso.

Sull'intera problematica non si è, comunque, ancora pronunciato il nostro garante della privacy mentre, in ambito comunitario, il gruppo di lavoro dei garanti europei sembra orientato verso una maggiore protezione dei cittadini.

In un parere è stata infatti evidenziata l'opportunità di ampliare la definizione di sistemi di chiamata, contenuta nell'art. 13 della direttiva 2002/58/CE, in modo tale da ricomprendervi anche quei sistemi legati allo sviluppo tecnologico, tra i quali quelli basati sulla tecnologia bluetooth, il cui funzionamento è difficilmente equiparabile ad una chiamata sul terminale dell'utente, almeno nell'attuale impianto normativo.

Pertanto la questione è abbastanza aperta e nuovi sviluppi potrebbero essere imminenti su vari fronti.

Photo courtesy by re-ality

Teleselling: nuovo stop per le telefonate indesiderate

Il fenomeno del teleselling o marketing telefonico sta assumendo una importanza sempre maggiore con riferimento alla normativa sulla tutela dei dati personali contenuta nel codice della privacy (D.Lgs. 196/03).

Il garante è intervenuto nuovamente per vietare ad alcune società specializzate nella creazione e nella vendita di banche dati l'ulteriore trattamento di dati personali - numeri telefonici - di milioni di utenti, raccolti ed utilizzati illecitamente, senza aver informato gli interessati ed in assenza di uno specifico consenso da parte loro alla cessione degli stessi dati ad altre società.

Lo stesso divieto è scattato ovviamente anche per le società che hanno acquistato le banche dati per il compimento delle attività promozionali tramite call center.

In effetti, contrariamente a quanto prescritto dalla normativa e ribadito in altre occasioni dalla stessa autorità (Provvedimento generale 29 maggio 2003, Spamming. Regole per un corretto invio delle email pubblicitarie), gli acquirenti delle banche dati non si erano premurati di accertare che gli interessari avessero acconsentito alla comunicazione dei propri dati nonchè al loro utilizzo a fini commerciali.

Corso online (gratuito) su direct marketing e privacy

Agcom: integrazione linee guida a tutela dei consumatori

Il comma 3 dell'art. 1 della legge 40/07 prevede, a tutela di coloro che stipulano contratti per adesione con operatori di telefonia, di reti televisive e di comunicazioni elettroniche, il diritto di recedere dal contratto senza vincoli temporali o ritardi non giustificati, senza spese non giustificate da costi dell'operatore e senza un obbligo di preavviso superiore ai 30 giorni.

A seguito di una serie di richieste, l'autorità per le garanzie nelle comunicazioni ha ritenuto che tale forma di tutela debba trovare applicazione pure nei confronti degli utenti business come, ad esempio, i liberi professionisti o le imprese, poichè anche tale categoria di utenti non gode di un effettivo potere negoziale, limitandosi nella maggior parte dei casi a sottoscrivere le clausole predisposte dal contraente forte.

Alla luce di questo importante chiarimento interpretativo è stata pertanto predisposta una integrazione del punto 3 delle linee guida della Direzione Tutela dei Consumatori esplicative per l'attività di vigilanza da effettuare ai sensi dell'art.1, comma 4, della Legge n. 40/2007.

Passaggio degli utenti finali tra operatori: siamo ancora in alto mare ?

Dopo un iniziale ventata di ottimismo legata alla circolare del 9 aprile 2008 dell'AGCOM, contenente le modalità di attuazione della delibera 274/07/CONS, sembra che la questione del passaggio degli utenti finali tra operatori sia tornata nell'oblio, con buona pace di chi auspicava, giustamente, una maggiore flessibilità e competitività del mercato delle telecomunicazioni in Italia.

Sui siti dei vari operatori non è possibile rinvenire traccia delle modalità attraverso le quali gli utenti dei servizi di telefonia ed ADSL potrebbero passare da un operatore ad un altro, senza dover transitare nuovamente attraverso Telecom.

Nella circolare del 9 aprile si da atto del raggiungimento di un accordo tecnico tra gli operatori per l'implementazione delle procedure di migrazione e, al tempo stesso, si pone come termine ultimo per l'implementazione la data del 26 maggio 2008.
Peraltro, tra le procedure da attuare, vi sarebbe anche quella che prevede l'attribuzione agli utenti di un codice di migrazione.

Ma allora perchè tanto silenzio da parte degli operatori ?
Viene spontaneo domandarsi se questo non sia un sintomo della paura che una tale misura possa agevolare il passaggio di utenti insoddisfatti, finora frenati dalla necessità di dover compiere il passaggio intermedio per Telecom, prima di rivolgersi ad altri operatori.

Differimento dei termini per le misure di conservazione dei dati del traffico telefonico e telematico

In data 24 luglio l'autorità garante della privacy, su sollecitazione dei fornitori dei servizi di comunicazione elettronica accessibili al pubblico, ha emanato un provvedimento contenente alcune modifiche al precedente provvedimento del 17 gennaio 2008 concernente l'adozione di specifici accorgimenti e misure a garanzia dei dati di traffico, conservati per finalità di accertamento e repressione dei reati.

La principale novità consiste nel differimento dei termini per adempiere alle prescrizioni relative all'attuazione delle misure di sicurezza previste.
Infatti il termine originariamente fissato al 31 ottobre 2008 è ora differito al 30 aprile 2009 mentre, per l'adozione delle misure di strong authentication concernenti gli incaricati che accedono ai dati di traffico nell'ambito delle attività di call center, il termine slitta al 30 giugno 2009.

Questa decisione prende le mosse dalla considerazione della complessità degli interventi tecnici richiesti ma anche delle recenti modifiche apportate sia dalla legge 18 marzo 2008, n. 48 che ha introdotto una particolare ipotesi di conservazione temporanea dei dati relativi al traffico telematico, ai fini dello svolgimento di investigazioni preventive o di accertamento e repressione dei reati, sia dal decreto legislativo 30 maggio 2008, n. 109 con il quale è stata data attuazione alla direttiva europea 2004/26/CE.

Fonte: Recepimento normativo in tema di dati di traffico telefonico e telematico

Spamming via fax ? Cosa fare per evitarlo

Le comunicazioni via fax di natura commerciale o promozionale rientrano nell'ambito delle comunicazioni elettroniche indesiderate (spam) quando avvengono senza il consenso del soggetto interessato.

Per inciso questo vale anche per la posta elettronica, gli sms e gli mms: è quanto si trova infatti enunciato nell'articolo 130, 1° e 2° comma, del codice della privacy, attraverso il quale è stata data attuazione alla direttiva 2002/58/CE.

Nonostante il tenore abbastanza chiaro della norma, il relativo principio è molto spesso disatteso nella pratica e una delle giustificazioni più ricorrenti è quella della reperibilità dei recapiti elettronici in elenchi, registri o banche dati online pubbliche.

Questa tesi è completamente erronea e ciò è stato confermato più volte dal garante della privacy con provvedimenti differenti, l'ultimo dei quali è proprio relativo allo spam via fax.

Cerchiamo allora di ribadire un unico ma importante concetto:

1. il consenso dell'interessato è necessario anche quando i suoi recapiti sono estratti da elenchi categorici (pagine gialle, registri e banche dati online pubbliche, ecc...)

In mancanza del consenso l'invio di materiale pubblicitario determina un trattamento illecito dei dati con tutte le responsabilità del caso.

Dunque cosa è necessario fare per poter agire nel rispetto delle prescrizioni ?
La risposta è molto semplice: acquisire il consenso del soggetto interessato.

Con quali modalità può essere acquisito il consenso e quali caratteristiche deve avere ? In qualsiasi modo valido e, preferibilmente, attraverso un contatto telefonico, sempre che esso sia:

1. acquisito prima della comunicazione (non è quindi valida una comunicazione via fax contenente una richiesta di consenso, quando essa abbia già un contenuto promozionale)
2. informato e specifico, cioè fornito proprio con riferimento alla fattispecie della comunicazione commerciale

Corso online (gratuito) su direct marketing e privacy

Sulla proposta di revisione della direttiva 2002/58/CE

Il 13 novembre del 2007 la commissione delle comunità europee ha presentato una proposta di modifica della direttiva 2002/58/CE relativa al trattamento dei dati personali ed alla tutela della vita privata nel settore delle comunicazioni elettroniche .

La proposta reca in sè alcune novità abbastanza rilevanti dirette a rafforzare la tutela della vita privata e della riservatezza dei dati attraverso un complesso di disposizioni più rigoroso in materia di sicurezza e meccanismi di controllo:

1. obbligo di notifica delle violazioni di sicurezza che comportano la perdita dei dati personali degli utenti o compromettono i dati stessi;
2. rafforzamento delle disposizioni di attuazione relative alla sicurezza delle reti e delle informazioni, da adottare previa consultazione dell'Autorità;
3. rafforzamento delle disposizioni di attuazione e controllo per far sì che, a livello dei singoli Stati membri, siano disponibili misure sufficienti di lotta nei confronti dei messaggi di posta elettronica indesiderata (spam);
4. precisazione che la direttiva si applica anche alle reti di comunicazione pubbliche che supportano i dispositivi di raccolta dati e di identificazione (compresi i dispositivi funzionanti senza contatto, quali gli RFID (Radio Frequency Identification Devices, dispositivi di identificazione a radiofrequenza);

In particolare l'obbligo di notifica, di cui al primo punto, verrebbe introdotto attraverso una modifica dell'articolo 4 della direttiva citata, intitolato "Sicurezza del trattamento", tramite l'aggiunta di un paragrafo (3) dal seguente tenore: "Se si produce una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l'accesso ai dati personali trasmessi, memorizzati o comunque elaborati nel contesto della fornitura di servizi di comunicazione accessibili al pubblico nella Comunità, il fornitore dei servizi di comunicazione elettronica accessibili al pubblico comunica senza indugio l'avvenuta violazione all'abbonato e all'autorità nazionale di regolamentazione. La comunicazione all'abbonato contiene almeno una descrizione della natura della violazione ed elenca le misure raccomandate per attenuarne i possibili effetti negativi. La comunicazione all'autorità nazionale di regolamentazione descrive, inoltre, le conseguenze della violazione e le misure adottate dal fornitore per porvi rimedio".

Dunque con tale modifica diventerebbe operativo nell'ordinamento giuridico comunitario un meccanismo analogo a quello già in vigore negli Stati Uniti, previsto dalla "California Security Breach Notification Law (SB 1396)", anche se di ambito più ristretto, applicandosi soltanto ai fornitori di servizi di comunicazione accessibili al pubblico.

Altrettando importante, anche in una ottica di rafforzamento delle azioni di contrasto al fenomeno delle comunicazioni commerciali indesiderate, appare inoltre la previsione del nuovo paragrafo 6 dell'articolo 13 che prevede espressamente la possibilità per i fornitori di servizi di comunicazione elettronica di promuovere azioni giudiziarie per tutelare gli interessi propri o dei propri clienti.