Le semplificazioni privacy per le aziende nel decreto sviluppo

Alcune novità sono state introdotte con il recente decreto per lo sviluppo per la semplificazione di alcuni aspetti concernenti gli adempimenti connessi con il rispetto della normativa sulla privacy, tra cui ricordiamo:
  • il trattamento dei dati tra imprese ed altre persone giuridiche per le sole finalità amministrativo-contabili, non è più soggetto agli obblighi del T.U privacy;
  • l'informativa sul trattamento non è più necessaria nel caso di curricula inviati spontaneamente dai candidati ed il trattamento dei relativi dati può avvenire anche senza consenso;
  • l'obbligo del documento programmatico sulla sicurezza è sostituito con l'obbligo di una autocertificazione per i titolari che trattano soltanto dati personali non sensibili e, come unici dati sensibili e giudiziari, quelli relativi ai propri dipendenti e collaboratori, al lori coniuge o parenti;
  • l'utilizzo della posta cartacea per finalità di marketing e promozionali è consentito solo nei confronti di chi non vi si opponga mediante l'iscrizione in un registro pubblico di opposizione;
 

La protezione dei dati personali: chiarimenti sulla normativa europea applicabile

Il gruppo di lavoro dell'art. 29 della direttiva 95/46/CE ha emesso il parere 8/2010 per fornire ulteriori chiarimenti sull'applicazione della normativa UE in materia di protezione dei dati personali, all'interno e al di fuori dello spazio economico europeo.

Lo scopo è quello di garantire una migliore certezza giuridica, offrendo un quadro più chiaro per i diretti interessati, anche mediante esempi pratici utilizzati a supporto dei charimenti, ad esempio nel contesto delle basi dati HR (Human Resources) centralizzate, dei servizi di geolocalizzazione, del cloud computing, delle reti sociali, ecc...

Privacy: ecco le regole per l'informazione giuridica

Regole più chiare per la pubblicazione di sentenze e provvedimenti giurisdizionali su riviste giuridiche, cd rom, siti istituzionali; questo è il contenuto delle linee guida emanate dall'autorità garante della privacy.

Le nuove norme impattano sull'attività di informazione giuridica intesa come:
attività di riproduzione e diffusione di sentenze o altri provvedimenti giurisdizionali in qualsiasi forma, per finalità di informazione giuridica, ovvero di documentazione, studio e ricerca in campo giuridico, su riviste giuridiche, supporti elettronici o mediante reti di comunicazione elettronica, compresi i sistemi informativi e i siti istituzionali dell'Autorità giudiziaria
Risultano invece esclusi i trattamenti di dati personali compiuti per ragioni di giustizia , nonchè quelli compiuti nell'esercizio dell' attività giornalistica .

Nei limiti sopra precisati, gli orientamenti formulati si applicano indifferentemente a qualsiasi soggetto, pubblico o privato, compresi gli editori di riviste giuridiche specializzate, che svolge attività di " riproduzione di sentenze e altri provvedimenti giurisdizionali, su supporti cartacei e informatici, nonché mediante reti di comunicazione elettronica".

Il riferimento esplicito alle reti di comunicazione elettronica (es. Internet) quali mezzi per la riproduzione o la diffusione di sentenze ed altri provvedimenti giurisdizionali, implica la conseguente assoggettabilità di siti web, blog ed altre risorse come, ad esempio, le reti sociali, alle regole poste a tutela dei diritti degli interessati.
Queste regole consistono nel rendere anonimi i dati personali degli interessati (es. parte di un processo civile o imputato di un processo penale) e degli altri soggetti (es. testimone, consulente) che sarebbero identificabili mediante la sentenza od il provvedimento. Differenti sono però le modalità attraverso le quali il processo di "anonimizzazione" dei dati può essere attivato (art. 52 T.U Privacy, D.Lgs. 196/03).

Anonimato su richiesta di parte

L'interessato deve presentare una apposita istanza all'ufficio giudiziario dinanzi al quale si svolge il procedimento, prima che quest'ultimo venga definito con sentenza.
L'istanza deve contenere l'esplicita richiesta di riportare, a cura della cancelleria o segreteria, una annotazione che specifichi che, in caso di riproduzione della sentenza o del provvedimento, non può essere riportata l'indicazione delle generalità e di ogni altro dato idoneo ad identificare direttamente il richiedente (l'inibizione riguarda solo il richiedente e non può essere estesa ad altri soggetti).
L'istanza deve essere supportata da motivi legittimi, quali la delicatezza della vicenda o la particolare natura sensibile dei dati, e viene decisa direttamente dall'autorità giudiziaria.

Anonimato disposto dall'autorità giudiziaria

E' interamente devoluto alla competenza dell'autorità giudiziaria, cui spetta l'onere di valutare attentamente se, nel caso sottoposto al suo vaglio, assumano rilevanza dati personali "dotati di particolare significatività che, se indiscriminatamente diffusi, possono determinare negative conseguenze sui vari aspetti della vita sociale e di relazione dell'interessato (ad esempio, in ambito familiare o lavorativo)", a prescindere da una richiesta specifica dell'interessato.

Obbligo generale di anonimato

Esiste un obbligo generale di diffusione dei dati dei minori e delle parti nei procedimenti giudiziari in materia di rapporti di famiglia e stato delle persone, anche se attinenti a rapporti patrimoniali od economici; trattandosi di divieto assoluto, esso non può essere superato neppure con l'eventuale consenso dell'interessato.

La disposizione riguarda soltanto le parti processuali e non gli eventuali altri soggetti (es. testimone) che, in caso di interesse all'oscuramento dei propri dati, possono richiederlo mediante istanza separata.

La tutela offerta in questo caso è più ampia perchè riguarda non soltanto le generalità e gli altri dati identificativi dei soggetti tutelati, ma "anche gli altri dati anche relativi a terzi dai quali può desumersi anche indirettamente l'identità di tali soggetti".
In questo caso il Garante ritiene opportuno, anche se non previsto espressamente, che l'autorità giudiziaria provveda d'ufficio all'annotazione dell'obbligo di anonimato, per evitare dubbi o confusioni di ogni genere.

Va infine evidenziato che non è l'ufficio giudiziario, ma chi riceve copia dei provvedimenti con l'annotazione che dispone l'oscuramento, che deve provvedere in tal senso, ove intenda riprodurli o diffonderli, anche sotto forma di massima, per finalità di informazione giuridica.

Corso di informatica giuridica accreditato dal CNF

corso informatica giuridica cnf

Il corso ha per oggetto i rapporti tra l’informatica e il diritto sia sotto il profilo delle applicazioni al diritto (informatica giuridica in senso stretto) sia sotto il profilo delle nuove tecnologie applicate ad esso (diritto dell’informatica).

Il corso avrà un approccio prevalentemente pratico, più che focalizzato sugli aspetti teorici.

E’ rivolto a Avvocati, Laureati in: Giurisprudenza, Economia, Informatica, Scienze dell’Informazione e Tecnologie Informatiche e coloro che hanno interesse all’argomento.

Per quanto attiene l’approccio metodologico, il corso di informatica giuridica sarà proposto nella forma di seminari in loco, secondo il programma illustrato, e si articolerà in sei (6) incontri, di 4 ore ognuno, proponendo un modulo per ciascuna sessione.

Per gli eventi formativi i relatori utilizzeranno l’approccio metodologico teorico-pratico, proponendo gli argomenti con le seguenti modalità: lezione tradizionale, illustrazione delle tematiche a mezzo slides, video o screencast delle procedure informatiche eseguite su PC.

Chi parteciperà al corso avrà la possibilità di acquisire le nozioni giuridiche e tecniche per migliorare il livello di formazione professionale sulle tematiche oggetto del corso.

Il corso è stato accreditato dal Consiglio Nazionale Forense (24 crediti formativi) e si terrà a Milano, Roma e Foggia.

Relatori: Avv. Nicola Fabiano, Avv. Stefano Bendandi, Avv. Luca D'Apollo

Per maggiori informazioni ed iscrizioni cliccare qui.

Privacy e referti medici online: le linee guida

L'autorità garante della privacy ha reso note le proprie Linee guida in tema di referti online pubblicate sulla G.U. n. 288 dell'11 dicembre 2009.

Si tratta di un provvedimento il cui ambito applicativo è circoscritto alla refertazione online, cioè al servizio che offre ad un assistito la possibilità di accedere, con modalità informatiche e telematiche, alla relazione (cd. referto) che il medico rilascia a seguito di un esame di natura clinica o strumentale.

L'obiettivo di queste linee guida, articolate in più punti, è quello di prevedere delle specifiche garanzie a protezione dei dati personali dei cittadini, relativamente alle più comuni modalità con le quali le strutture sanitarie rendono disponibili online i referti medici.

Facoltatività del servizio

L'interessato deve essere libero di scegliere se avvalersi o meno del servizio di refertazione online, senza che questo pregiudichi la facoltà di usufruire delle prestazioni mediche o di continuare a ritirare i referti cartacei presso la struttura che ha erogato la prestazione.

Inoltre, l'interessato che abbia scelto di avvalersi del servizio rimane, comunque, titolare di alcune facoltà, come :

  • il diritto di manifestare, in occasione di ogni esame, una volontà diretta ad escludere il singolo referto dal servizio online prescelto;
  • la possibilità di confermare, in occasione di successivi accertamenti clinici, l'indirizzo di posta elettronica presso il quale ricevere la comunicazione del referto;
  • la possibilità di acconsentire alla comunicazione dei risultati diagnostici al proprio medico curante, al medico di medicina generale oppure al pediatra;

Nel caso di avvisi tramite la rete cellulare (SMS), i messaggi devono limitarsi a dare la notizia della disponibilità del referto e non possono indicare nè la tipologia dell'accertamento effettuato, nè il suo esito, nè le credenziali di autenticazione eventualmente assegnate all'interessato per l'accesso online.

Informativa e consenso

Il titolare del trattamento deve rendere all'interessato una informativa sulle caratteristiche del servizio di refertazione online, compresa in particolare la sua natura facoltativa, per consentirgli di esprimere una scelta informata e consapevole.

L'informativa, come di consueto, deve contenere le indicazioni richieste dall'art. 13 del d.lgs. 196/03 e può essere fornita contestualmente, purchè separatamente, da quella relativa al trattamento dei dati per finalità di cura.

A seguito dell'informativa il titolare deve acquisire il consenso specifico dell'interessato al trattamento dei propri dati attraverso le particolari modalità del servizio.

Archiviazione online dei referti

Nel caso in cui venga offerta anche la possibilità di archiviare e consultare online tutti i referti degli esami eseguiti presso i laboratori della stessa struttura sanitaria, il titolare deve rendere all'interessato una ulteriore informativa specifica ed acquisire un autonomo consenso.

In questo caso specifico l'autorità ritiene che tali archivi possano ricadere nella definizione di dossier sanitario, di cui si occupano le Linee guida in tema di Fascicolo Sanitario Elettronico (FSE) e di dossier sanitario e, quindi, siano soggetti alle speciali misure di sicurezza identificate in tale provvedimento.

Comunicazioni dei dati

L'abilitazione di accesso ai sistemi di refertazione online deve essere assoggettata alla cautele previste dalla disciplina vigente, anche per quanto riguarda l'intermediazione richiesta dall'art. 84 del d.lgs. 196/93 per la comunicazione dei dati concernenti lo stato di salute (provvedimento 9 novembre 2005).

Inoltre i titolari dei dati che offrono il servizio online devono tenere conto delle disposizioni che prevedono una attività di consulenza specifica da parte del personale medico in relazione alla comunicazione dei referti ed all'illustrazione del loro significato diagnostico.

Misure di sicurezza

Particolarmente corposa è la parte del provevdimento concernente le prescrizioni di sicurezza; infatti, la natura particolare dei dati e delle modalità di trattamento richiede l'individuazione e l'applicazione di misure di sicurezza idonee, ai sensi dell'art. 31 del d.lgs. 196/03, oltre a quelle minime previste dagli art. 33 e ss.

Il provvedimento individua comunque alcune misure minime, differenziandole in base a due scenari ipotizzabili in relazione alle modalità più comuni di accesso e consultazione dei referti:

  1. consultazione tramite sito web:
    • protocolli di comunicazione basati su standard crittografici, con certificazione digitale dell'identità dei sistemi che erogano il servizio (SSL o Secure Socket Layer);
    • utilizzo di tecniche per evitare l'acquisizione delle informazioni contenute nel file elettronico in caso di una sua memorizzazione in sistemi di caching, locali o centralizzati, a seguito della sua consultazione online;
    • sistemi di autenticazione dell'interessato, preferibilmente tramite strong authentication;
    • disponibilità del referto online limitata ad un periodo massimo di 45 giorni;
    • possibilità per l'utente di evitare la visibilità online o di cancellare, in modo completo o selettivo, i referti che lo riguardano;
  2. invio tramite posta elettronica:
    • spedizione del referto come allegato e non come testo accluso al corpo del messaggio (quindi, no alla modalità inline);
    • protezione del file contenente il referto tramite password di apertura o chiave crittografica, rese note attraverso canali di comunicazione differenti da quelli utilizzati per la spedizione dei referti. Questa cautela particolare può essere evitata soltanto quando l'interessato ne faccia richiesta espressa e consapevole;
    • convalida degli indirizzi di posta elettronica attraverso verifiche da compiere online per evitare la spedizione dei documenti riservati a soggetti diversi dal richiedente;

In aggiunta a queste misure che riguardano più direttamente le modalità di erogazione del servizio di refertazione, agli utenti devono essere fornite garanzie su:

  • disponibilità di sistemi di autenticazione ed autorizzazione degli incaricati, in funzione dei ruoli e delle esigenze di accesso e trattamento, con l'obbligo del ricorso all'autenticazione forte basata su biometria nel caso di dati idonei a rivelare l'identità genetica di un individuo;
  • separazione fisica e logica dei dati idonei a rivelare lo stato di salute e la vita sessuale dagli altri dati trattati per finalità amministrativo-contabili;

Per non mettere a repentaglio la riservatezza dei dati vanno, infine, predisposte delle procedure per interrompere l'invio tramite posta elettronica o rendere indisponibili online i referti relativi ad un interessato che abbia comunicato il furto o lo smarrimento delle proprie credenziali di autenticazione o altre condizioni di rischio.

Direct marketing telefonico: cosa cambia con la riforma ?

La legge 20 novembre 2009, n. 166 ha convertito il D.L. 25 settembre 2009, n. 135 contenente, tra le altre, nuovi disposizioni in materia di marketing telefonico sulle quali, ormai da mesi, imperversa una protesta in rete.

Il motivo di tale protesta, di cui si sono fatte portavoce anche diverse associazioni di consumatori, è insita nella portata delle norme che finiscono per incidere profondamente sulle legittime aspettative degli utenti di non essere tartassati dalle cd. comunicazioni commerciali.

La principale novità

Riguarda il principio che tutela la nostra privacy nell'ambito delle comunicazioni elettroniche (ma solo di quelle telefoniche), ed è rappresentata dal passaggio da un sistema di opt-in ad uno di opt-out.

Volendo tradurre in poche parole l'inevitabile tecnicismo, si passa da un sistema in cui il trattamento dei dati personali poteva considerarsi lecito solo con l'acquisizione del consenso preventivo dell'utente ad un altro in cui il trattamento è sempre lecito a meno che non vi sia l'opposizione espressa dell'utente. Una differenza, quindi, non trascurabile.

Per la verità c'è anche chi, giustamente, ha fatto osservare che il nuovo sistema non travolge affatto il precedente, ma lo affianca, con la conseguenza che ci troviamo di fronte ad un ibrido che si concilia male con la direttiva europea 2002/58/CE (e-privacy).

Quest'ultima, infatti, lascia gli Stati membri liberi di decidere se adottare l'uno o l'altro sistema, ma non sembra lasciare spazio ad una coesistenza di entrambi che, oltretutto, rischia di creare solo incertezza.

Tornando al testo normativo, questo stabilisce che il trattamento dei dati personali contenuti negli elenchi degli abbonati, mediante telefonate aventi la finalità di vendita diretta, di compimento di ricerche di mercato o di comunicazioni commerciali, è consentito nei confronti di chi non abbia manifestato la propria opposizione attraverso l'iscrizione della propria utenza telefonica in un apposito registro pubblico che attualmente non esiste, ma che dovrà essere istituito entro il termine di sei mesi dall'entrata in vigore della legge di conversione, avvenuta il 25 novembre 2009.

C'è però anche una ulteriore novità poichè la precedente deroga sulla privacy, di cui abbiamo già parlato, è stata differita fino al termine di sei mesi successivi alla data di entrata in vigore della legge 166/2009.

Il regime transitorio

In questo periodo di interregno, in attesa della istituzione del registro delle opposizioni, gli utenti sembrerebbero pertanto "costretti" a subire, nonostante la loro eventuale volontà contraria, il trattamento dei propri dati.

Il nuovo sistema non ha però cancellato minimamente il diritto di ogni interessato di:

opporsi in tutto od in parte al trattamento dei dati che lo riguardano a fini dell'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale

che continua ad essere previsto e che può essere esercitato, tra l'altro, senza alcuna formalità, mediante richiesta rivolta al titolare o responsabile, anche attraverso un incaricato.

Ciò vuol dire che un utente potrebbe sempre opporsi al trattamento dei propri dati e potrebbe farlo nel corso delle telefonate che riceve, non essendo richiesto il rispetto da parte sua di una particolare modalità di esercizio di questo diritto.

Anzi, dato che, per espressa previsione, l'iscrizione nel futuro registro delle opposizioni dovrebbe essere governata da "modalità semplificate", sarebbe auspicabile prevedere a carico degli operatori di telemarketing l'obbligo di raccogliere, contestualmente alle telefonate, le eventuali opposizioni degli interessati e di inoltrarle direttamente al gestore del registro per l'immediata iscrizione nello stesso, rilasciando al richiedente un identificativo univoco della transazione.

In questo modo l'onere della semplificazione dell'iscrizione nel registro sarebbe quanto meno rispettato.

Le sanzioni

La nuova legge modifica, infine, l'entità minima della sanzione amministrativa prevista per il trattamento illecito dei dati o per la mancata applicazione delle misure di sicurezza, riducendola da 20.000 a 10.000 euro.

Certo è strana l'esigenza avvertita di una modifica ad una disposizione introdotta soltanto otto mesi fa (legge 27 febbraio 2009, n. 14); purtroppo questo atteggiamento lascia intravedere la preoccupazione del legislatore di non essere troppo severo con i trasgressori nell'applicazione delle sanzioni.

In poche parole il legislatore ci manifesta chiaramente tutto il suo scetticismo sull'efficacia del futuro registro delle opposizioni nel tutelare la privacy dei cittadini, lanciando un segnale sicuramente poco rassicurante.

L'outsourcing del marketing sui social media

931543_23712902 L'evoluzione ed il continuo sviluppo dei media sociali e del Web 2.0 in generale, sta dando impulso ad una branca del marketing che, in relazione al contesto di riferimento in cui si pone, viene giustamente definita come social media marketing.

Il fine ultimo è quello di instaurare una conversazione fattiva con utenti e consumatori e di sviluppare e mantenere una visibilità sui media sociali e sulle varie comunità del Web 2.0, attraverso un approccio ed una gestione integrati dei vari canali e strumenti di comunicazione.

Le attività richieste a tal fine sono molteplici e vanno dalla gestione dei rapporti e della reputazione online, alla produzione di contenuti multimediali, fino ad arrivare, in alcuni casi, ad una gestione completa del brand.

Si tratta comunque di attività eterogenee che richiedono competenze ed approcci differenti, spesso fuori della portata della maggior parte delle aziende, non soltanto di piccole dimensioni ma anche medio grandi, tenuto anche conto della novità del settore e della sua stretta integrazione con le tecnologie ICT.

Senza dimenticare, poi, il tempo e gli sforzi necessari per pianificare, progettare ed attuare una campagna di marketing di successo; non è quindi un mistero la nascita di un mercato che fa leva sulla possibilità di affidare all'esterno (outsourcing), a società o liberi professionisti specializzati, l'esecuzione di tali attività per conto terzi.

Del resto la pratica dell'outsourcing si adatta perfettamente a questo tipo di esigenza, in quanto permette alle imprese di dedicare tempo e risorse alle sole attività direttamente riconducibili al suo core business, con conseguenti risparmi sui costi operativi.

Ci sono però alcune considerazioni da fare, legate soprattutto al coinvolgimento di soggetti esterni nello svolgimento di attività complesse che pongono, a volte, questioni delicate, oltre al fatto che l'esternalizzazione crea, di regola, un rapporto stretto e vincolante tra le parti che richiede, perciò, una adeguata regolamentazione contrattuale.

Offerta dei servizi ed aspetti legali

L'offerta incentrata sulla gestione in outsourcing del social media marketing si articola in una serie di servizi che normalmente abbracciano:

  • gestione dei blog;
  • creazione di contenuti / prodotti audio/visivi / design di siti web;
  • ottimizzazioni delle pagine web per i motori di ricerca (SEO);
  • ottimizzazioni delle pagine sui media sociali;
  • gestione dei profili sulle piattaforme di social networking;
  • gestione della reputazione online;
  • gestione del brand online;
  • direct marketing con strumenti elettronici;
  • trasferimento di know-how;

Questa lista non ha la pretesa di essere esaustiva, ma serve solo come base di partenza per comprendere che lo svolgimento di queste ed altre attività può, in realtà, sollevare alcune questioni, non sempre immediatamente percepibili, concernenti:

  • la tutela della proprietà intellettuale / diritto d'autore (es. creazione di contenuti, prodotti audio/visivi, design, ecc...);
  • la tutela dei dati personali / privacy (es. gestione dei profili online, direct marketing con strumenti elettronici, gestione della reputazione online);
  • la tutela dei segni distintivi (es. gestione del brand online);
  • la responsabilità dei risultati da parte del fornitore;
  • la tutela delle informazioni aziendali riservate (es. know how);

Si tratta, ovviamente, solo alcuni esempi diretti a stimolare una attenta riflessione; il vero punto cruciale, però, è che l'outsourcing rappresenta una modalità di gestione aziendale caratterizzata, spesso, da complessità operative e di rapporti che richiederebbero la presenza di appositi correttivi e di una disciplina contrattuale articolata e coerente con le finalità che si intendono perseguire.

Non sempre, invece, questo si verifica, con inevitabili grattacapi e preoccupazioni che finiscono per annullare del tutto i vantaggi derivanti dalla esternalizzazione delle attività.

Photo courtesy: spekulator

Privacy: le registrazioni audio degli ordini sono dati personali

Anche i suoni e le immagini costituiscono dati personali secondo la normativa del d.lgs. 196/03 (codice privacy) e possono quindi ritenersi oggetto dei diritti degli interessati, tra cui quello di accesso.

E' questa la sostanza di un provvedimento con il quale il garante della privacy ha ordinato ad una società telefonica di mettere a disposizione di un consumatore la registrazione audio di un precedente colloquio telefonico comprovante l'attivazione di un contratto e l'adesione alle sue clausole.

Secondo l'autorità, infatti, la richiesta di accesso formulata dall'interessato non poteva dirsi integralmente soddisfatta mediante la semplice trasposizione su altro supporto dei dati personali forniti nel corso del precedente contatto telefonico, essendo necessaria anche la trasmissione di una copia della registrazione, unico mezzo in grado di consentire l'accesso al dato vocale di natura personale.

Brand protection, privacy e sicurezza: qual'è il loro ruolo ?

brand La tecnologia svolge ormai una funzione cruciale anche per lo sviluppo del brand poichè è uno dei fattori abilitanti che consente di arricchire e differenziare l'esperienza degli utenti nei confronti dei prodotti o dei servizi che esso rappresenta.

Per supportare pienamente esperienze di tipo personalizzato la tecnologia deve, però, offrire funzionalità sempre più in linea con le aspettative e le preferenze degli individui e questo richiede, spesso, l'acquisizione e l'elaborazione di una discreta quantità di informazioni, tra cui vanno ricomprese anche quelle di natura personale.

Parlando di dati personali è naturale rivolgere l'attenzione agli aspetti concernenti la loro riservatezza (privacy): le persone cominciano ad essere sempre più attente alle modalità con le quali i propri dati vengono raccolti, custoditi ed utilizzati, compresa la loro eventuale comunicazione a terzi.

Perciò, se è vero che la tecnologia esplica un ruolo rilevante nel modellare l'esperienza degli utenti, allora le conseguenze che ne derivano sul piano pratico hanno un impatto significativo sulla loro fiducia complessiva e, di conseguenza, sul brand, dato che quest'ultimo è intimamente legato a concetti quali la fiducia, la sicurezza, l'affidabilità, ecc...

A tale proposito possiamo individuare alcuni degli aspetti più critici riguardanti:

  • l'acquisizione dei dati personali;
  • la privacy e la sicurezza dei dati, sia interna che esterna;
  • il fenomeno delle frodi online;

Acquisizione dei dati personali

Esistono svariati meccanismi di acquisizione delle informazioni online, alcuni visibili altri meno; ad esempio quello dei cookie è probabilmente uno dei più controversi per una serie di ragioni, tra cui la quantità di informazioni che permettono di raccogliere, la loro invisibilità, la possibilità di costruire dei profili utente molto dettagliati, ecc...

Tralasciando le considerazioni sul rispetto delle normative esistenti, ciò che acquista importanza agli occhi degli utenti è la trasparenza degli intenti e dei comportamenti.

Trasparenza significa innanzitutto rendere nota (es. mediante una privacy policy) l'esistenza di certi meccanismi e la natura delle informazioni raccolte, oltre a darne una valida motivazione che, nella maggior parte dei casi, potrà anche essere lecita ma va pur sempre dichiarata.

Il rischio di una mancanza di chiarezza, a prescindere dalla buona fede, è infatti quello di lasciar trapelare forme di utilizzo della tecnologia "furbesche" od inappropriate e di indebolire la fiducia degli utenti con inevitabili ripercussioni sull'immagine del brand.

Privacy e sicurezza delle informazioni

Via via che la tecnologia avanza ed il canale online si va affermando come elemento strategico su cui costruire visibilità e relazioni, nonchè come valida alternativa al commercio tradizionale, aumentano, purtroppo, i fenomeni legati alla criminalità informatica.

Si tratta di fenomeni spesso favoriti dalla mancanza o dalla scarsità di misure protettive che producono effetti di grande impatto sul business, come la perdita di confidenzialità o di disponibilità delle informazioni, contribuendo a distruggere la fiducia che gli utenti ripongono, non solo nella tecnologia, ma anche nel brand.

La salvagardia delle informazioni, comprese quelle di natura personale, durante il loro intero ciclo di vita, rappresenta una pietra miliare nell'assicurare la sopravvivenza e la prosperità del business.

Per garantirla le organizzazioni devono sviluppare una propria consapevolezza interna, adottare le misure di sicurezza più adeguate in base ai rischi, revisionarle periodicamente ed esportare, infine, lo stesso atteggiamento proattivo all'esterno, nei confronti dei propri produttori, fornitori, distributori, agenti, ecc...

Nel momento in cui questi ultimi si presentano ed agiscono come "partner ufficiali" essi diventano una specie di estensione del brand, sul quale finiscono per proiettare inevitabilmente le conseguenze negative delle loro vulnerabilità, sia tecnologiche che organizzative.

Per impedire che ciò si verifichi è essenziale, tra le altre cose, richiedere ai propri partner il rispetto di linee guida di conformità ed esercitare gli opportuni controlli.

Frodi online

Si tratta di fatti collegati, sempre di più, ad abusi del brand perpetrati online,  generalmente basati sulla indebita inclusione dei suoi elementi caratteristici (logo, nome, slogan, ecc...) nel corpo dei messaggi di posta elettronica o negli elementi strutturali (metatag, titoli, àncore, ecc...) delle pagine web (brand spoofing).

Lo scopo è ovviamente quello di vincere la naturale diffidenza degli utenti ed attrarli verso qualcosa che appare veritiero e rassicurante, inducendoli a rivelare informazioni finanziarie o personali riservate (phishing) che vengono successivamente utilizzate per commettere altri crimini (es. furti d'identità o di denaro).

Peraltro, anche se gli illeciti sono commessi da soggetti od entità non affiliate ad un brand, il fatto che quest'ultimo compaia nelle risorse utilizzate contribuisce a creare una specie di "associazione di colpevolezza", con conseguenze facilmente immaginabili.

Inoltre gli attuali rimedi tecnologici, seppure necessari, non hanno ancora raggiunto la maturità per essere da soli sufficienti a contrastare tali fenomeni.

Questo vuol dire che, oltre ad un azione di costante monitoraggio online, è necessario che le organizzazioni prendano attivamente parte ad un opera di educazione e sensibilizzazione degli utenti.

La sfida del futuro

Non è facile conciliare il crescente fabbisogno informativo di oggi con le legittime aspettative che gli utenti ripongono nella privacy e nella sicurezza dei propri dati; queste necessità sono spesso confliggenti e l'unico modo per soddisfarle entrambe è adottare un atteggiamento equilibrato nel rispetto comunque dei limiti dettati dalla legge.

Le organizzazioni che riusciranno a raggiungere tale equilibrio, pur dimostrando di essere realmente in grado di proteggere i dati dei propri clienti e partner, acquisiranno uno eccezionale vantaggio competitivo, mentre le altre saranno costrette a subire perdite di fiducia e di valore del brand, oltre a difendersi dalle iniziative legali eventualmente intraprese nei loro confronti.

Photo courtesy: dimitri_c