Archivio dei tag help

DiGiampaolo Cirioni

“Aumentano attacchi informatici e furti di identità. Che sta succedendo?” – Intervista ad Antonello Soro, Presidente del Garante

Criminali che rubano le credenziali di Facebook, Google che ci legge le email. Il parere del Garante italiano per la privacy, Antonello Soro
Intervista ad Antonello Soro, Presidente del Garante per la protezione dei dati personali
(di Arturo Di Corinto “AGI”, 13 ottobre 2018)

Prima il furto dei token di Facebook, poi il baco di Google plus e l’annuncio della sua chiusura, infine le denunce di Clusit sull’aumento del furto di credenziali usate per attacchi informatici. Non dovrebbe sorprendere che proprio ieri il Censis abbia certificato un calo di fiducia dei cittadini italiani nei confronti delle piattaforme social, dei motori di ricerca e dei servizi online. In aggiunta qualche giorno fa la vicepresidente di Google Susan Molinari ha ammesso che Google consente ad aziende terze di leggere le nostre email. Che sta succedendo? Ne abbiamo parlato con il Garante della privacy, l’onorevole Antonello Soro.

“Come lo scandalo Cambridge Analytica, anche il caso degli accessi ai contenuti degli account Gmail concessi indiscriminatamente a terze parti dimostra ancora una volta la natura di business company dei colossi della rete. Nell’odierno capitalismo estrattivo i dati di milioni di utenti vengono sfruttati come una miniera da sviluppatori, società di ricerche, aziende di marketing, società di servizi di ogni genere.”

E che cosa stanno facendo le Autorità europee per mettere un freno a questi comportamenti?

“Contro questi abusi, il nuovo Regolamento europeo rappresenta oggi un formidabile strumento per costringere gli Over The Top a gestire con maggiore trasparenza i dati personali dei loro utenti, a proteggerli con misure adeguate e a limitare in un perimetro chiaro gli usi che di questi dati essi possono fare. Prova ne sia il fatto che – proprio in base alle disposizioni del Regolamento – nel recente gravissimo caso di data breach che ha coinvolto 50 milioni di utenti, Facebook si sia affrettata a darne – come doveroso – immediata comunicazione al pubblico e alle autorità di protezione dati.”

Facebook ha scollegato 90 milioni di utenti della sua piattaforma dopo il furto dei loro token, le “tessere informatiche” che ci identificano e fanno accedere ai servizi online senza dover sempre immettere la password. Ci ha detto tutta la verità?

“Merito del Gdpr. Prima del Regolamento europeo la protezione dei dati era considerata – negli Usa, ove manca una disciplina sul modello europeo – recessiva rispetto alle esigenze del mercato. Si pensi all’illecito trattamento dei dati di Facebook svolto da Cambridge analytica: era la regola e non l’eccezione. Il Gdpr ci consente di intervenire anche rispetto a imprese situate fuori dall’Ue ma che offrano beni o servizi a cittadini dell’Unione. Tutti sanno che dovranno fare attenzione a una platea di 500 milioni di persone, gli europei, e che noi potremo essere incisivi facendo valere le nostre tutele”.

“Il Gdpr prevede che le imprese non europee che operano stabilmente in Europa designino il proprio stabilimento principale, da cui dipende per competenza l’individuazione di un’autorità leader a cui affidare l’interlocuzione per le attività di carattere transfrontaliero. Facebook ha scelto l’Irlanda e anche Google sta per farlo. La regola europea si sta facendo strada. Si pensi alla California che ha adottato il Privacy Act sul modello europeo. Lo stesso vale per Canada e Giappone che si sono ispirati all’Europa.”

Pare che i dati sottratti a Facebook siano già in vendita nel mercato nero del web. Un altro grosso danno all’immagine di Facebook.

“Se confermato sarebbe molto grave. C’è anche da dire che oggi il danno reputazionale è più importante delle sanzioni. La deterrenza esercitata da entrambe queste “sanzioni” (giuridica e sociale) nel tempo può portare a un miglioramento della qualità dei servizi. Le aziende coinvolte sanno che devono competere anche su questo aspetto con i concorrenti che vengono da altri paesi: la protezione dati diviene infatti una risorsa reputazionale importante.”

Anche Google non ha ancora ammesso la rilevanza del possibile databreach collegato alla vulnerabilità di Google+ per questioni reputazionali. Sarebbero coinvolti 500 mila profili. Ci sono state denunce presso i suoi uffici?

“Diverse associazioni hanno fatto denunce e molte segnalazioni a difesa dei consumatori. Ci siamo attivati e non da soli. Considerato il carattere transnazionale di queste aziende non ci muoveremo più come singola autorità ma concordemente con le altre autorità europee. Per questo abbiamo creato una piattaforma apposita per lo scambio di informazioni e la cooperazione avanzata”.

Susan Molinari, vicepresidente di Google per le politiche pubbliche ha ammesso in una lettera che Google ha smesso di leggere i contenuti della posta elettronica del suo servizio Gmail dal 2017, ma che consente a terze parti di leggerci la posta “fintanto che le terze parti informano gli utenti in maniera trasparente.”

“L’accesso ai contenuti della posta, qualunque sia la motivazione, è cosa gravissima. Ed è figlia di un periodo lunghissimo in cui l’economia digitale ha funzionato al di sopra della legge sia perché non c’erano regole, sia perché gli utenti non esercitavano pienamente i loro diritti, sia perché l’euforia del business era prevalente rispetto alle cautele da adottare”.

“Tuttavia l’altro ieri Google ci ha informato di tre cose attraverso i suoi responsabili: la prima è che hanno confermato il bug scoperto a marzo nel social network omonimo, Google plus, che verrà chiuso; la seconda è che stanno definendo nuove misure di protezione dei dati; la terza è che stanno operando una revisione radicale delle proprie policies, comprese le forme di accesso agli sviluppatori di terze parti”.

Ma quest’idea di rovesciare sugli utenti ogni responsabilità non è un gioco vecchio? Secondo uno studio Deloitte l’81% degli utenti non legge le clausole legali dei servizi informatici.

“Fondare sul solo consenso le scelte aziendali è insufficiente. Per questo il Gdpr rafforza le garanzie con un approccio di tipo essenzialmente preventivo. Grazie al nuovo regolamento europeo azienda a dover garantire che dati saranno trattati correttamente mentre sono le autorità di garanzia che dovranno vigilare perché i cittadini da soli non saranno mai in grado di verificare che uso viene fatto dei loro dati”.

Il prefetto Alessandro Pansa, capo del Dipartimento Informazioni per la Sicurezza della Presidenza del Consiglio, ha detto che gli stati si sono distratti e che quattro o cinque aziende multinazionali hanno su di noi più dati dei servizi segreti. Abbiamo regalato la nostra libertà per un piatto di lenticchie?

“I decisori politici del pianeta hanno sottostimato le sfide della trasformazione digitale ma anche gli utenti hanno la loro responsabilità. Ma le leggi da sole qui non bastano. Si tratta di una sfida culturale. Bisogna imparare a pensare la rete come a una dimensione della vita”.

“Le aziende digitali e i governi che hanno il controllo dei nostri dati producono una sorveglianza totale. Per questo i diritti nella dimensione online vanno riconosciuti come nella real life, nella vita analogica. La protezione dei dati è rilevantissima per la difesa della libertà”.

“I dati siamo noi. La protezione dell’umanità passa attraverso la protezione dei nostri dati”.

(dal sito del Garante: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9051020)

DiGiampaolo Cirioni

Si può chiedere la dichiarazione dei redditi del coniuge al Fisco?

Pillole di Privacy #8 – 16/10/2018

Tendenzialmente, va subito precisato che la privacy lo vieta.

Vale a dire che non si può imporre all’Agenzia delle Entrate di esibire una copia della dichiarazione dei redditi del coniuge. Neanche se la richiesta viene motivata dall’esigenza di difendersi in giudizio e produrre le prove al tribunale. E infatti anche per il Gdpr le esigenze delle privacy recedono di fronte alla necessità di garantire l’esercizio del diritto di difesa in sede giudiziaria.

Va però detto che la ricostruzione del patrimonio dei coniugi per determinare l’assegno di mantenimento trova ampia tutela nel nostro ordinamento per cui il giudice della separazione può decidere se e come provvedere, tenuto conto che può disporre anche indagini di polizia tributaria a carico delle parti.

Quindi, in sostanza, il coniuge non ha diritto a chiedere, prima o durante la causa, le dichiarazioni dei redditi al Fisco, ma sarà il magistrato ad emettere un provvedimento – su richiesta della parte – con cui ordina l’esibizione della documentazione.

Il che consente da un lato la tutela della privacy del contribuente e dall’altro l’esercizio del diritto di difesa giudiziale per il coniuge richiedente.

DiGiampaolo Cirioni

305 segnalazioni di Data Breach in 4 mesi, il motivo è semplice: si rischia molto!

Pillole di Privacy #7 – 15/10/2018

305 segnalazioni di Data Breach pervenute al Garante Privacy dal 25 maggio al settembre 2018, un’enormità rispetto al passato. La violazioni di dati, il c.d. Data Breach, con il nuovo regolamento GDPR deve essere segnalato all’Autorità entro 72 ore da parte dei soggetti, imprese o pubbliche amministrazioni, che li subuiscono. La conseguenza per l’Autorità è l’apertura di un fascicolo e la necessità di monitorare e verificare in diretta l’evolversi della situazione.

A scopi statistici, si ricorda che nello stesso periodo del 2017, le segnalazioni di Data Breach pervenute al Garante Privacy erano state nell’ordine di poche decine, tenuto conto che prima dell’entrata in vigore del Regolamento Europeo erano soltanto le Aziende di Telecominucazioni e le Pubbliche Amministrazioni che denunciavano i Data Breach.

A titolo informativo e senza scendere nel dettaglio, si ricorda che in caso di mancato rispetto delle procedure di notifica della violazione si applica la sanzione amministrativa fino ad un importo di 10 milioni di euro oppure il 2% del fatturato dell’intera società. In caso di mancata notifica si configura anche l’assenza di adeguate misure di sicurezza, per cui si cumulano due distinte sanzioni.

DiGiampaolo Cirioni

Audizione informale di Antonello Soro, Presidente del Garante per la protezione dei dati personali

Audizione informale di Antonello Soro, Presidente del Garante per la protezione dei dati personali, nell’ambito dell’esame in sede referente del disegno di legge C. 1189 Governo, recante “Misure per il contrasto dei reati contro la pubblica amministrazione e in materia di trasparenza dei partiti e movimenti politici” – presso le Commissioni riunite I Affari costituzionali e II Giustizia della Camera dei Deputati (10 ottobre 2018)
TESTO: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9049788
VIDEO (intervento di Soro a partire da 1 ora e 24 minuti): http://webtv.camera.it/evento/13072

DiGiampaolo Cirioni

Anche il parrucchiere deve essere conforme al GDPR

Pillole di Privacy #6 – 10/10/2018

Con il comunicato stampa dell’8 ottobre 2018 il Garante ha pubblicato il modulo di registro dei trattamenti per imprese e professionisti sotto i 250 dipendenti e sebbene il GDPR tratti il registro come adempimento obbligatorio soltanto per alcune categorie di imprese e professionisti, è l’Autorità Garante della Privacy a consigliare a tutti di redigerlo e aggiornarlo, in quanto rappresenta uno degli strumenti più importanti per fornire un quadro aggiornato dei trattamenti effettuati e per ogni attività di valutazione del rischio.

Il registro delle attività di trattamento è uno degli adempimenti obbligatori per titolari e responsabili appartenenti alle seguenti categorie:

  • imprese o organizzazioni con almeno 250 dipendenti;
  • qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti che possano presentare un rischio – anche non elevato – per i diritti e le libertà dell’interessato;
  • qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti non occasionali;
  • qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti delle categorie particolari di dati di cui all’articolo 9, paragrafo 1 GDPR, o di dati personali relativi a condanne penali e a reati di cui all’articolo 10 GDPR.

L’obbligo quindi si estende anche alle piccole imprese che hanno anche un solo dipendente, bar, ristoranti, piccoli negozi o anche titolari di partita IVA che per via della loro attività trattano dati sanitari dei propri clienti.

Quindi, tornando all’esempio del titolo: il parrucchiere che effettua test su possibili allergie dei propri clienti, dovrà necessariamente redigere un Registro dei Trattamenti.