Durante la sessione plenaria svoltasi lo scorso 19 gennaio, il Comitato europeo per la protezione dei dati (in inglese, “European Data Protection Board”, “EDPB”) ha adottato le Linee guida sul diritto di accesso (di seguito, “Linee guida”).

La pubblicazione di dette Linee guida è scaturita dall’esigenza di fornire maggiori chiarimenti sulla portata e sulle modalità d’esercizio di tale diritto da parte dell’interessato, nonché sulla gestione della richiesta da parte del titolare.

Inoltre, l’EDPB ha cercato di tratteggiare un significato più preciso delle nozioni di “manifesta infondatezza” ed “eccessività” della richiesta, nell’ambito delle limitazioni e restrizioni previste in materia.

Premessa: il diritto di accesso dell’interessato

Il diritto di accesso, previsto dall’art. 15 del Regolamento UE 679/2016 (cosiddetto “GDPR”), in ossequio al generale principio di trasparenza, consente all’interessato (ossia, il soggetto i cui dati sono trattati) di ottenere dal titolare la conferma che sia o meno in corso un trattamento di dati personali che lo riguardi e, in tal caso, di accedere ai dati e alle informazioni concernenti: le finalità del trattamento, le categorie di dati trattati, i destinatari o le categorie di destinatari a cui i dati sono o saranno comunicati, il periodo di conservazione o i criteri utilizzati per determinarlo, l’origine dei dati, l’esistenza di un processo decisionale automatizzato o di un trattamento transfrontaliero dei dati.

L’interessato non è tenuto a sostenere costi per l’esercizio di tale diritto. Tuttavia, se le richieste da questi avanzate sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può addebitargli un ragionevole contributo di spese, tenendo conto dei costi amministrativi sostenuti per fornire le informazioni.

I chiarimenti forniti dall’EDPB attraverso le Linee guida

• Scopo, struttura e modalità del diritto di accesso

Preliminarmente, le Linee guida si soffermano sull’obiettivo generale sotteso al diritto di accesso: viene ribadito che esso è finalizzato a fornire all’interessato informazioni sufficienti, trasparenti e facilmente accessibili in merito al trattamento dei propri dati, in modo che questi possa esserne consapevole e verificarne la legittimità e l’accuratezza. Ciò, renderà più semplice – sebbene non ne rappresenti una condizione – l’esercizio degli altri diritti, quali quelli di cancellazione e di rettifica.

In secondo luogo, l’EDPB precisa che il diritto di accesso comprende tre diverse componenti:

• la conferma che sia o meno in corso un trattamento: se il titolare non tratta dati personali relativi al soggetto che richiede l’accesso, le informazioni da fornire devono limitarsi a dichiarare che nessun trattamento è in corso. Al contrario, in caso di esito affermativo della richiesta di conferma, quest’ultima può essere resa o in un’autonoma e separata dichiarazione, oppure può essere inclusa tra le informazioni da rendere successivamente all’interessato;
• l’accesso ai dati: tale componente costituisce il nucleo del diritto d’accesso. Si tratta di un accesso vero e proprio ai dati personali, e non di una mera descrizione degli stessi, per la quale sarebbe stata sufficiente la previsione legislativa sulle informative, di cui agli artt. 13 e 14 del GDPR. Al riguardo, si ritiene essere importante la precisazione che l’obbligo del titolare di consentire l’accesso – a meno che non sussistano limiti o restrizioni al diritto, di cui infra si parlerà – non dipende né dalla tipologia, né dall’origine dei dati trattati, ma opera pienamente anche laddove i dati siano stati inizialmente forniti direttamente dal soggetto richiedente;
• l’accesso alle informazioni sul trattamento: rispetto a tale terza ed ultima componente del diritto d’accesso, le Linee guida precisano che tali informazioni potrebbero essere tratte dall’informativa sul trattamento oppure dal registro delle attività di trattamento tenuto dal titolare; tuttavia, potrebbero dover essere da questi aggiornate ed adattate al momento in cui viene avanzata la richiesta.

Per quanto concerne le modalità della richiesta da parte dell’interessato, le Linee guida sottolineano che non sono previsti specifici requisiti di forma. È raccomandato al titolare di mettere a disposizione dell’interessato canali di comunicazione appropriati e facilmente utilizzabili al fine di consentirgli di presentare prontamente la sua richiesta, ma – anche laddove questa misura sia predisposta – l’interessato può scegliere di procedere diversamente, anche rivolgendosi direttamente ad un punto di contatto ufficiale del titolare (ad esempio, al responsabile della protezione dei dati, ove presente).

• Valutazione della richiesta da parte del titolare

Spostandosi, poi, sulle modalità di gestione della richiesta, l’EDPB prescrive che, nell’analizzare il contenuto della stessa, il titolare del trattamento deve valutare:

• anzitutto, se la richiesta fa riferimento a dati personali relativi al soggetto che la inoltra;
• in secondo luogo, se l’accesso in questione rientra nel campo di applicazione dell’art. 15 GDPR, o se vi sono altre – più specifiche – previsioni normative di settore che disciplinano l’accesso ai dati;
• se la richiesta di accesso si riferisce a tutti o soltanto ad una parte dei dati trattati (se nulla è indicato, deve intendersi riferita alla totalità dei dati).

È specificato che il titolare non è tenuto a rispondere a richieste inviate in modo del tutto casuale o errato.

Quando il titolare non è in grado di identificare il soggetto che avanza la richiesta, deve informare quest’ultimo di tale circostanza e può declinare la stessa, a meno che l’interessato non fornisca ulteriori supplementari informazioni che consentano l’identificazione.

La richiesta di informazioni supplementari deve essere proporzionata alla tipologia di dati trattati e ai danni che potrebbero verificarsi, al fine di evitare un’eccessiva raccolta di dati (in ossequio al principio di pertinenza).

Nelle ultime pagine del documento, è allegato un utile diagramma di flusso riepilogativo di tutti i passaggi che, ai fini della valutazione, il titolare è tenuto ad effettuare.

• Modalità di fornitura dei dati

Le modalità di fornitura dei dati da parte del titolare variano a seconda del volume dei dati e della complessità del trattamento. La documentazione relativa ai dati e alle altre informazioni sul trattamento deve essere fornita in forma concisa, trasparente, intelligibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Più specifici requisiti al riguardo dipendono dal contesto del trattamento e dalla capacità dell’interessato di comprendere il contenuto delle comunicazioni. Se i dati da fornire consistono in codici o in altri dati c.d. “grezzi”, sarebbe opportuno provvedere ad adeguate spiegazioni.

La principale modalità di fornitura è la trasmissione, da parte del titolare, di una copia dei dati oggetto di trattamento. Se la richiesta è presentata in forma elettronica, anche la copia – salvo diverse indicazioni – deve essere fornita in un formato elettronico di uso comune. Nel caso in cui i dati siano inviati mediante mezzi elettronici, devono essere assicurate tutte le garanzie necessarie ad evitare rischi, tenendo conto della natura dei dati e del contesto del trattamento.

Altre modalità – come una comunicazione orale oppure l’accesso in loco – possono essere previste, se richieste dall’interessato.

Quando il volume dei dati è molto ampio o quando il trattamento è connotato da una certa complessità, una modalità di fornitura dei dati suggerita dalle Linee guida è quella di un “approccio a strati” (“layered approach”): fornire i dati e le informazioni su diversi livelli può facilitarne la comprensione da parte dell’interessato. In tali casi, il titolare deve essere in grado di dimostrare che l’approccio stratificato ha un valore aggiunto per l’interessato. In ogni caso, se richiesto dall’interessato, anche in tali più complesse ipotesi i dati e le informazioni devono essere forniti contemporaneamente.

La valutazione della richiesta deve riflettere la situazione esistente al momento in cui la richiesta è stata ricevuta: ad esempio, i dati che sono già stati cancellati e che, quindi, non sono più disponibili, non devono essere forniti.

• Limiti e restrizioni al diritto di accesso

Infine, le Linee guida si soffermano sulle limitazioni e restrizioni al diritto di accesso previste dal Regolamento, che sono le seguenti:

• il diritto di ottenere una copia dei dati oggetto di trattamento non deve ledere i diritti e le libertà altrui (art. 15, n. 4): a tal riguardo, è importante la precisazione, contenuta nelle Linee guida, per cui tale bilanciamento debba essere posto in essere non soltanto in caso di accesso ai dati mediante fornitura di una copia, ma anche se lo stesso avviene con altri mezzi. Inoltre, il titolare deve essere in grado di dimostrare i diritti e le libertà che sarebbero compromessi nella specifica situazione;
• il titolare può respingere richieste che siano “manifestamente infondate” o “eccessive” (art. 12, n. 5): l’EDPB tratteggia un significato più preciso di tali sfumate espressioni, che sinora si sono prestate a diverse interpretazioni, precisando che i concetti devono essere intesi in maniera maggiormente restrittiva.

In particolare, la “manifesta infondatezza” può essere invocata solo quando i requisiti prescritti dal Regolamento per la richiesta sono palesemente non soddisfatti, alla stregua di un criterio prettamente oggettivo. L’EDPB sottolinea, a tal proposito, che non rientrano, tra tali ipotesi, le richieste relative ad un trattamento di dati non soggetto all’applicazione del GDPR (in tal caso, la richiesta non dovrebbe essere proprio qualificata come tale). Altresì, una richiesta non deve essere ritenuta manifestamente infondata solo perché proveniente da un soggetto che ha in precedenza presentato richieste inammissibili o errate, o solo perché è utilizzato dal richiedente un linguaggio scorretto o improprio.

Per “eccessività” della richiesta, invece, le Linee guida precisano che, sebbene all’interno del Regolamento non vi sia una definizione di tale concetto, l’inciso contenuto nell’art. 12, n. 5 GDPR che recita “in particolare, per il loro carattere ripetitivo”, consente di concludere che il principale scenario applicativo di tale filtro sia legato alla quantità di richieste avanzate da un determinato interessato, senza che tra una richiesta e l’altra sia trascorso un ragionevole intervallo di tempo.

In ogni caso, il titolare deve essere in grado di comprovare il carattere manifestamente infondato o eccessivo di una richiesta.

• Infine, le Linee guida rammentano che restrizioni al diritto di accesso possono anche essere previste dal diritto nazionale degli Stati membri, come sancito dall’ art. 23 GDPR. I titolari che intendono avvalersi di tali restrizioni devono verificare i requisiti richiesti dalle disposizioni nazionali, prestando attenzione alle specifiche condizioni cui le stesse possono essere subordinate: ad esempio, può essere prevista una proroga solo temporanea all’esercizio del diritto di accesso, oppure una restrizione applicabile soltanto a determinate categorie di dati personali.

Gabriella Amato

L'articolo L’EDPB ha adottato le Linee guida sul diritto d’accesso dell’interessato proviene da E-Lex.

Recentemente, una pronuncia del TAR Lazio (la n. 10814 del 2021) ha chiarito i limiti entro i quali è ammessa la divulgazione di informazioni su giochi, scommesse con vincite di denaro, nonché gioco d’azzardo, nel rispetto del divieto imposto dalla normativa vigente, in un procedimento avente ad oggetto la richiesta di annullamento di un ordine di ingiunzione dell’Autorità per le garanzie nelle comunicazioni (“AGCOM” o “Autorità”).

La disciplina: il divieto di pubblicità diretta ed indiretta del gioco d’azzardo

Giova, anzitutto, compiere un breve excursus della normativa vigente in ambito di giochi, scommesse e gioco d’azzardo, nonché della relativa attività promozionale e pubblicitaria.

Nello specifico, il decreto-legge del 12 luglio 2018, n. 87 (“Disposizioni urgenti per la dignità dei lavoratori e delle imprese”1), all’art. 9 del Capo III, intitolato “Misure per il contrasto alla ludopatia” sancisce il divieto di qualsiasi forma di pubblicità, anche indiretta, relativa a giochi o scommesse con vincite di denaro, in qualsiasi modo effettuata e con qualunque mezzo, incluse le manifestazioni sportive, culturali o artistiche, le trasmissioni televisive radiofoniche, la stampa quotidiana e periodica, le pubblicazioni in genere, le affissioni e internet.

Si intendono vietate altresì le sponsorizzazioni di eventi, attività, manifestazioni, programmi, prodotti o servizi e a tutte le altre forme di comunicazione di contenuto promozionale, comprese le citazioni visive e acustiche e la sovraimpressione del nome, marchio, simboli, attività o prodotti relativi al gioco e/o alle scommesse.

Il divieto di promuovere il gioco d’azzardo incontra, ad ogni modo, alcuni limiti che il predetto articolo 9 disciplina tassativamente. Difatti, è precisato che il divieto non vige con riferimento alle sole lotterie nazionali ad estrazione differita, nonché le manifestazioni di sorte locali e i loghi sul gioco sicuro.

In caso di mancato rispetto del già menzionato divieto, è prevista l’irrogazione di una sanzione pecuniaria amministrativa di importo pari al 20 percento del valore della pubblicità e/o della sponsorizzazione e, in ogni caso, non inferiore, per ogni violazione, ad euro 50 mila. L’autorità competente per la contestazione e la successiva irrogazione della sanzione è l’AGCOM, secondo quanto disciplinato dalla legge n. 689 del 1981.

La ratio del divieto di pubblicità diretta ed indiretta del gioco d’azzardo è rinvenibile nella maggior tutela da garantire al consumatore e nel rendere più efficace l’azione di contrasto al crescente fenomeno della ludopatia.

Al fine di chiarire l’ambito applicativo dell’art. 9, l’AGCOM ha pubblicato delle Linee guida, con la delibera n. 132/19/CONS, le quali mirano a fornire delle delucidazioni interpretative sulla vigenza del divieto2.

In particolare, le Linee guida, oltre a ribadire i principi ispiratori per la promulgazione della normativa3, hanno chiarito l’ambito di applicazione soggettivo-territoriale, oggettivo e temporale. Merita soffermarsi – per quanto rileva in questa sede – sull’ambito oggettivo della norma. L’AGCOM chiarisce che l’art. 9 prevede il divieto di qualsiasi forma di pubblicità, tra le quali, possono annoverarsi, inter alia, la distribuzione di gadget brandizzati dei prodotti di gioco, l’organizzazione di eventi con premi, le manifestazioni a premio etc.

Tuttavia, l’Autorità precisa che sono escluse dal divieto quelle comunicazioni di carattere informativo, fornite dagli operatori di gioco legale. Quindi, non possono considerarsi sponsorizzazioni le informazioni relative alle caratteristiche dei prodotti e dei servizi di gioco offerto, se rilasciate nel contesto in cui si offre il servizio di gioco a pagamento. A titolo esemplificativo, le informazioni possono riguardare le quote, il jackpot, le probabilità di vincita, le puntate minime e gli eventuali bonus offerti.

Non consistono, altresì, in pubblicità quelle informazioni rese su richiesta della clientela, nei limiti della stessa e capaci – rectius, le informazioni – a consentire scelte di gioco consapevoli.

Il fatto

La vicenda in esame prendeva le mosse dalla delibera n. 22/22/CONS, con la quale l’AGCOM ingiungeva nei confronti di una società (la “Società”) il pagamento di una sanzione di euro 50 mila per aver violato l’art. 9 del decreto-legge del 12 luglio 2018, n. 87 e di ogni altra disposizione ad esso connesso, tra cui le Linee guida sulle modalità attuative del predetto articolo.

L’Autorità ravvisava la violazione nella presenza di un contenuto pubblicato sul sito web della Società consistente in un collegamento ipertestuale alla pagina web del sito internet “Wisecasino.net”, una piattaforma di gioco, e dunque, ritenendolo attività promozionale indiretta del gioco a pagamento, di cui al divieto all’art. 9.

La Società decideva di ricorrere dinanzi al T.A.R Lazio impugnando l’ordinanza, formulando i seguenti tre motivi:

• insussistenza ed erronea rappresentazione del presupposto di fatto;
• illegittimità costituzionale dell’art. 9 del decreto-legge n. 96 del 2018 per contrasto con gli artt. 49-55, 56-62, 101-102 del TFUE, della Direttiva SMAV del 14 novembre 2018, nonché la Risoluzione del Parlamento europeo del 10 settembre 2013;
• illegittimità costituzionale dell’art 9 del decreto-legge n. 96 del 2018 per contrasto con gli artt. 3 e 41 della Costituzione e per violazione del principio del legittimo affidamento, proporzionalità e del principio di certezza del diritto.

Con riguardo al primo motivo, la Società sosteneva che i contenuti pubblicati sul sito non avessero natura pubblicitaria e non si configurasse pubblicità indiretta alla piattaforma di gioco, bensì si trattava di mera comunicazione avente esclusiva finalità descrittiva, informativa e identificativa dell’offerta di gioco legale, funzionale a consentire una scelta di gioco consapevole.

La Società, con il secondo motivo, deduceva in giudizio l’incompatibilità del divieto dell’art. 9 del citato decreto-legge e i principi comunitari riguardanti le regole di concorrenza e le libertà di stabilimento e di prestazione dei servizi.

Infine, sulla scorta del terzo motivo, la Società adduceva il contrasto della normativa in analisi con l’art. 41 della Costituzione, e, di conseguenza, la violazione del principio di legittimo affidamento, nonché della libertà di iniziativa economica. In aggiunta, sosteneva che la previsione della misura fissa della sanzione ad euro 50 mila avrebbe rappresentato una violazione dell’art. 3 della Costituzione e del divieto di automatismi legislativi nell’applicazione della sanzione.

La decisione del T.A.R Lazio

Il Tribunale amministrativo ha deciso di respingere il ricorso, sostenendo la non accoglibilità dei gravami dedotti dalla ricorrente.

In particolar modo, il T.A.R. ha colto l’occasione per ribadire quanto già le Linee Guida avevano specificato con riguardo all’ambito applicativo del divieto, nello specifico, a quello oggettivo.

Difatti, il giudice amministrativo ha valutato l’inserzione del collegamento ipertestuale quale pubblicità indiretta e non mera comunicazione informativa, tenendo in considerazione le modalità di confezionamento del messaggio (es. linguaggio utilizzato, elementi grafici e acustici, contesto di diffusione).

Il collegamento diretto ed univoco alla piattaforma di giochi aveva indubbiamente finalità promozionale, in quanto lo stesso link era di colore e di carattere diverso rispetto agli altri contenuti del sito e per tale ragione, attirava maggiormente l’attenzione dell’utente visitatore. Inoltre, il collegamento conduceva ad una pagina in cui erano sponsorizzati i migliori casinò online, promuovendo direttamente i portali, con relativi bonus di benvenuto. Non erano ravvisati caratteri meramente informativi, né richieste da parte dell’utente tali da rendere certe determinate informazioni.

Pertanto, la condotta della Società è stata ritenuta in violazione dell’art. 9 del D.L. n. 87 del 2018, in quanto la comunicazione consisteva in una promozione del gioco con vincite di denaro.

Con riguardo al secondo motivo, il giudice amministrativo ha disatteso il gravame della Società, in quanto – come in più pronunce ribadito dalla Corte di Giustizia dell’Unione europea, si ritengono legittime le restrizioni alla libertà di stabilimento e alle libertà di prestazione di servizio, per ragioni di ordine pubblico, di pubblica sicurezza e di sanità pubblica, o anche per motivi imperativi di interessi generali, tra i quali la tutela dei consumatori. Ne discendeva, quindi, la discrezionalità del legislatore nel decidere le azioni per contrastare la ludopatia. Pertanto, il predetto art. 9 non è in contrasto con le libertà sopradette, anzi si pone a tutela del consumatore e della salute pubblica.

Per ultimo, con riferimento alla possibile violazione dell’art. 41 e dell’art. 3 della Costituzione, il T.A.R Lazio ha rigettato altresì il terzo motivo, motivando in tal senso: i) non era configurabile una violazione dell’art. 41, in quanto l’apposizione di limiti rispondenti all’esercizio di utilità sociale non coincidono con una lesione della libertà di iniziativa economica, quanto in un bilanciamento tra interessi; ii) non si trattava di un automatismo legislativo nella determinazione della sanzione, in quanto, la norma prevede una forbice edittale, riconoscibile in quel 20 percento.

Brevi cenni conclusivi

Nonostante il dettato normativo risultasse già manifestamente lineare – con specifico riguardo alle Linee guida dell’AGCOM – con questa pronuncia, il T.A.R. ha senza alcun dubbio chiarito, non solo l’ambito oggettivo applicativo della disposizione in analisi, ma altresì la finalità della norma in un bilanciamento con altre disposizioni e i relativi diritti, libertà ed interessi in gioco nel nostro sistema legislativo.

Fabiola Iraci Gambazza

1 gazzettaufficiale.it/eli/id/20…. Il suddetto decreto-legge è stato convertito con modificazioni dalla legge n. 96 del 9 agosto 2018.

2agcom.it/documents/10179/14467….

3 Tra i principi e le finalità, sono menzionati i seguenti: protezione rafforzata delle categorie vulnerabili, con particolare riferimento ai minori e ai giocatori patologici; contrasto del gioco a pagamento illegale in contrapposizione all’offerta di gioco a pagamento autorizzata, tramite concessione, dall’Agenzia delle dogane e dei Monopoli; riconoscibilità dell’offerta di gioco a pagamento autorizzata rispetto a quella illegale, tramite l’utilizzo di appositi loghi elaborati dall’Agenzia delle dogane e dei monopoli; trasparenza sulle condizioni e servizi offerti, in modo da favorire decisioni di gioco consapevoli; rispetto del principio di proporzionalità.

L'articolo Tra i limiti del divieto di pubblicità al gioco d’azzardo: la recente pronuncia del TAR del Lazio proviene da E-Lex.

Lo Studio E-Lex è stato selezionato da ITA Airways spa, per il ruolo di Data Protection Officer, che verrà svolto come referente dal socio Avvocato Stefano Aterno.

Stefano Aterno, avvocato e docente universitario, ha, nell’associazione professionale, il ruolo di rafforzare l’impegno dello studio sul fronte della prevenzione e difesa nel delicato settore del diritto penale dell’informatica e degli aspetti giuridici della sicurezza informatica.

Conta su 25 anni di esperienza, sulla certificazione come Lead auditor ISO 27001, data protection UNI 11697:2017, e Forensic investigator (CIFI), ed autore di numerose pubblicazioni scientifiche su criminalità informatica e prova digitale, privacy e tutela dei dati personali.

Tra i suoi clienti figurano vari enti e organismi pubblici, aziende private e multinazionali per i quali ha svolto attività di consulenza; è stato, dalla fine degli anni 90 ad oggi, tra i difensori dei primi e più significativi processi penali in materia di privacy e reati informatici.

«Sono soddisfatto che l’esito della selezione abbia premiato la mia esperienza e specifica formazione – ha commentato Aterno – e soprattutto che il cliente abbia tenuto conto dell’apporto che l’intera squadra di E-Lex è capace di fornire all’attività. Diventare il DPO (Data protection officer) di ITA Airways è certamente un incarico prestigioso che svolgeremo al meglio insieme e grazie al contributo di tutto il Team di professionisti coinvolti».

Gli altri soci dello studio E-Lex Ernesto Belisario, Adriana Peduto, Dario Reccia e Giovanni Maria Riccio esprimono unanime soddisfazione per l’incarico e assicurano al cliente il massimo supporto per la sua esecuzione.

• Leggi la notizia su LegalCommunity.it
• Leggi la notizia su Diritto 24 Il Sole 24 Ore

L'articolo ITA sceglie E-Lex con un beauty contest e nomina l’avv. Stefano Aterno come DPO proviene da E-Lex.

Il Banning Surveillance Advertising Act proposto al Congresso americano vieterebbe alle aziende di utilizzare i dati degli utenti a fini pubblicitari (e non solo).

Col progredire della società dell’informazione, diventano sempre più evidenti i meccanismi economici della Rete. Le informazioni suscettibili di essere raccolte o estrapolate dalle nuove realtà digitali sono innumerevoli, e rappresentano la preziosa materia prima alla base di nuove industrie che fanno del mercato dei dati il proprio core business.

Spina dorsale di tale modello economico è senz’altro l’utilizzo di dati personali a fini pubblicitari. Dallo spot televisivo, indiscriminatamente rivolto a chiunque, si è infatti passati alla sottoposizione quasi sartoriale di annunci personalizzati per il singolo individuo, rivolti ad egli perché ritenuto interessato allo specifico oggetto o servizio pubblicizzato.

L’evoluzione della pubblicità, dunque, passa attraverso una ricerca spasmodica del coinvolgimento degli utenti, che deve tenere conto dei loro gusti, interessi, necessità e desideri. A tale scopo, i player del mercato degli annunci cercano di raccogliere quante più informazioni possibili sull’internauta, monitorandone le attività e i comportamenti e sottoponendogli esclusivamente i contenuti in grado di attirare la sua attenzione.

I rischi sottesi a tali pratiche di “sorveglianza pubblicitaria” non solo compromettono la protezione dei dati personali degli utenti o gli interessi dei consumatori, ma altresì fungono da carburante per discriminazione, disinformazione, polarizzazione delle opinioni e odio, al punto da minacciare le fondamenta stesse dell’ordine democratico e la sicurezza pubblica. Da simili considerazioni deriva la proposta di legge del Banning Surveillance Advertising Act, sottoposto di recente al Congresso degli Stati Uniti.

I rischi della sorveglianza pubblicitaria

Al fine di comprendere le ragioni del disegno di legge, bisogna considerare che troppo spesso gli interessi lucrativi dell’industria pubblicitaria prevalgono sulla garanzia dei diritti umani sia nella raccolta sia nel trattamento dei dati personali, operazioni non sempre condotte in presenza di ogni condizione di liceità e trasparenza.

La ragione di tali comportamenti è da rinvenirsi nella grande asimmetria informativa e di potere che governa i rapporti tra utente e fornitore di servizi della società dell’informazione. Il secondo, infatti, si serve delle autorizzazioni – conferite più o meno consapevolmente – a dispositivi, applicazioni e strumenti di tracciamento (es. i cookie) per l’accesso e la raccolta di informazioni. Il primo, d’altro canto, non sempre comprende a cosa sta acconsentendo e, pur capendolo, incontra molte resistenze e disservizi in caso di mancato consenso. Pertanto, residua sempre un grande squilibrio di potere, dettato principalmente da operazioni di raccolta dati pervasive e sostanzialmente inevitabili. Nelle parole di uno dei sostenitori della proposta di legge, James P. Steyer, fondatore di Common Sense Media, «tale pratica è così diffusa che i consumatori non possono evitarla senza evitare completamente Internet».

A ciò deve aggiungersi l’utilizzo che può essere fatto delle informazioni raccolte. La “sorveglianza pubblicitaria” si serve infatti di tecniche invisibili e invasive per manipolare i consumatori, derubandoli di una reale scelta di mercato, poiché annunci e contenuti saranno solo quelli che, in base agli algoritmi impiegati, sono ritenuti interessanti per il singolo utente, a scapito di alternative o beni e servizi succedanei.

Studiosi e commentatori hanno inoltre dimostrato che sorveglianza e profilazione vanno ben oltre i meri scopi pubblicitari. Sempre nella logica di ricerca del coinvolgimento dell’utente, l’odio, la violenza e la disinformazione fioriscono perché ottengono l’attenzione di grandi fette di audience. L’attuale sistema permette infatti a manipolatori e “disinformatori” di celare la propria identità e le loro intenzioni, al punto da impersonare movimenti sociali, imprese, individui per scopi di ingegneria sociale o politica. Sottoporre contenuti selezionati si traduce dunque in una potente arma di disinformazione, in grado di polarizzare ed estremizzare le opinioni. Si aggiunga che, stante il prevalente interesse lucrativo, profili dettagliati su innumerevoli persone sono pronti per essere sfruttati da qualsiasi parte disposta a pagare, compresi hacker malintenzionati o servizi segreti stranieri.

Per tutte queste ragioni, chi scrive ritiene che la corretta traduzione di “surveillance advertising” non sia tanto “pubblicità di sorveglianza”, bensì “sorveglianza pubblicitaria”, giacché il mezzo pubblicitario è oggi solo strumentale al più complesso elemento del controllo e del monitoraggio degli individui, perpetrato per finalità più ampie e pericolose della mera sottoposizione di annunci mirati.

Il Banning Surveillance Advertising Act

Lo scorso 12 gennaio, l’On. Eshoo e il Sen. Booker hanno presentato al Congresso degli Stati Uniti una proposta di legge con il primario obiettivo di vietare le pratiche di raccolta dei dati personali e tracciamento del comportamento degli individui onde sottoporgli annunci su misura. Le categorie di soggetti cui sarebbe rivolto il divieto sono due:

• i c.d. “facilitatori” pubblicitari (advertising facilitator), ossia coloro che, dietro corrispettivo, trattano dati personali per offrire spazi e canali preferenziali per la diffusione di annunci; e
• gli inserzionisti pubblicitari (advertiser), ossia coloro che forniscono un corrispettivo a un facilitatore per la diffusione di pubblicità personalizzate.

Il disegno di legge vieterebbe ai facilitatori non solo di compiere la diffusione di annunci mirati, ma altresì di permettere consapevolmente a un inserzionista o a una terza parte di svolgere la medesima attività mediante la fornitura di informazioni relative a persone o dispositivi connessi. L’utilizzo per scopi pubblicitari di tali informazioni sarà consentito solo se il facilitatore riceve dall’inserzionista un’attestazione scritta di conformità, che comprovi il rispetto dei divieti suesposti.

Per converso, il divieto grava anche sugli inserzionisti, che non possono compiere né consentire a facilitatori o terzi di compiere una diffusione di annunci mirati in base a informazioni personali acquisite da terzi o che, in ogni caso, identifichino l’individuo come membro di una classe protetta o ragionevolmente permettano l’identificazione anche indiretta della persona.

La legge, inoltre, rende esplicito che non rientra nel divieto la c.d. pubblicità contestuale, che avviene quando l’annuncio è diffuso in base a informazioni che l’individuo sta attualmente visualizzando o con le quali sia altrimenti coinvolto, o informazioni oggetto di ricerca da parte dell’utente, o quando i contenuti mostrati o in altro modo diffusi siano di stretta prossimità con tali informazioni. I dati così raccolti, però, non potranno essere utilizzati per la diffusione mirata di ulteriori annunci.

Una violazione di tale legge sarà considerata come pratica sleale o ingannevole ai sensi del Federal Trade Commission Act. Sarà infatti la Federal Trade Commission a garantire il rispetto della legge, a promulgare i regolamenti applicativi della medesima e a esercitare poteri di indagine e sanzionatori. La FTC avrà inoltre competenza per i procedimenti relativi a ogni violazione della normativa in questione.

L’applicazione della legge riguarda però anche i singoli Stati americani. In ogni caso in cui abbia motivo di ritenere che l’interesse di uno dei residenti di uno Stato sia compromesso da una violazione della normativa in questione, il procuratore generale dello Stato può intentare un’azione civile presso la competente corte distrettuale o statale a fini risarcitori, previa notifica alla FTC che può intervenire o anche avocare a sé il caso.

Inoltre, ogni individuo potrà intentare un’azione civile presso il tribunale competente, al fine di ottenere un risarcimento fino a 1.000 dollari in caso di violazione per colpa lieve (negligent violation) e fino a 5.000 dollari in caso di violazione per colpa grave o intenzionale (reckless, knowing, willful or intentional violation). È interessante sottolineare come, in caso di violazione di dati personali, la legge ritenga sussistente un danno di fatto, concreto e particolare, in tal modo ammettendo una presunzione da cui il trasgressore potrà liberarsi soltanto fornendo prova della sua non colpevolezza (similarmente al modello della responsabilità semi-oggettiva adottato dal GDPR e dalla normativa italiana).

Infine, è prevista la nullità di qualsiasi accordo o clausola che, relativamente a tali controversie, sancisca il preventivo deferimento ad arbitrato o la rinuncia ad azioni congiunte.

Conclusioni

È peculiare che tale disegno di legge provenga dalla “patria” delle più grandi aziende Big Tech, monopoliste del mercato dei dati personali, come Google o Meta. La proposta, in effetti, sembra più che altro seguire le posizioni da tempo fatte proprie dall’Unione europea, a partire dalle normative in materia di data protection e responsabilizzazione delle piattaforme online. In tal senso, è recentissima l’approvazione, da parte del Parlamento europeo, del testo del Digital Services Act, che a sua volta estenderebbe il divieto di pubblicità targettizzata, garantirebbe maggiore libertà di espressione e pluralismo nei media e contribuirebbe a combattere le discriminazioni.

Tale fenomeno di convergenza rappresenta un importante passo verso nuovi modelli economici online, che favorirebbero un miglior coordinamento internazionale tra mercati e istituzioni. Sotto questa luce, il Banning Surveillance Advertising Act potrà rappresentare un incentivo nelle trattative UE-USA per la negoziazione di un nuovo accordo per il trasferimento transatlantico di dati personali che, con la caduta del Safe Harbor prima e del Privacy Shield poi, è attualmente consentito solo facendo ricorso alle Clausole Contrattuali Standard promulgate dalla Commissione europea.

In ogni caso, resta che l’adozione di leggi in grado di fermare la “sorveglianza pubblicitaria” assume portata epocale, poiché risponde a forti esigenze etiche e sociali. «È giunto il tempo per una legge. Un divieto di sorveglianza pubblicitaria inizierà a invertire il processo di crescita sfrenata di questo potere irresponsabile, affermando finalmente lo stato di diritto e la governance democratica sulle infrastrutture critiche della nostra società dell’informazione. Il Banning Surveillance Advertising Act intraprende questo progetto cruciale», ha sostenuto Shoshana Zuboff, professore emerito alla Harvard Business School e autore del celebre Il Capitalismo della Sorveglianza. «Grazie, Onorevole Eshoo e Senatore Booker per la vostra lungimiranza e il vostro coraggio. La vostra guida può spianare la strada a un futuro alternativo – lontano dalla distopia e verso una democrazia sana. Se non agiamo ora, un futuro democratico e digitale diventerà ancora più difficile da raggiungere. Non è troppo tardi, ma non c’è tempo da perdere».

Jacopo Purificati

L'articolo UNA PROPOSTA DI LEGGE CONTRO LE PRATICHE DI “SORVEGLIANZA PUBBLICITARIA” proviene da E-Lex.

Lo scorso 13 gennaio, il Garante Privacy ha emesso parere favorevole circa lo “Schema di decreto del Presidente della Repubblica concernente regolamento recante sostituzione del regolamento di cui al decreto del Presidente della Repubblica 7 settembre 2010, n. 178, in materia di istituzione e funzionamento del registro pubblico dei contraenti che si oppongono all’utilizzo dei propri dati personali e del proprio numero telefonico per vendite o promozioni commerciali”. La bozza dell’atto legislativo ha recepito le osservazioni sollevate dall’Authority e la normativa nazionale ha colmato le lacune di disciplina che frenavano l’esito positivo della consultazione avviata.

Con provvedimento n. 3 del 13 gennaio 2022 il Garante per la Protezione dei Dati Personali ha emesso parere favorevole al nuovo “Schema di decreto del Presidente della Repubblica concernente regolamento recante sostituzione del regolamento di cui al decreto del Presidente della Repubblica 7 settembre 2010, n. 178, in materia di istituzione e funzionamento del registro pubblico dei contraenti che si oppongono all’utilizzo dei propri dati personali e del proprio numero telefonico per vendite o promozioni commerciali”.

Lo Schema di decreto in esame deve sostituire il regolamento di cui al d.P.R. 7 settembre 2010, n. 178 e s.m.i., intervenendo sulla disciplina del Registro Pubblico delle Opposizioni (RPO) al fine di estenderne l’operatività alle numerazioni telefoniche nazionali, sia fisse che mobili, non incluse in elenchi dei contraenti.

Trattandosi di un atto legislativo relativo al trattamento dei dati, il Ministero dello sviluppo economico attivava la procedura di cui all’art. 36, par. 4, GDPR, chiedendo un consulto all’Authority circa la conformità dello Schema di decreto alle disposizioni della normativa in materia di trattamento dei dati personali.

Nel parere il Garante ripercorre le tappe che hanno segnato la fase di interlocuzione con il Mise ed evidenzia gli obiettivi raggiunti nell’ambito della consultazione, come l’accoglimento delle osservazioni espresse dal Garante con due precedenti pareri.

Rileva, poi, che le perplessità sollevate con l’ultima nota del 24 giugno 2021 sono state superate dall’emanazione del D.L. n. 139 dell’8 ottobre 2021, il quale ha provveduto ad estendere l’efficacia revocatoria del consenso derivante dall’inscrizione al registro anche alle chiamate eseguite con modalità automatizzate.

In ragione della complessiva ragionevolezza delle soluzioni proposte a seguito della novella legislativa, dunque, il Garante ha ritenuto non residuassero rilievi ulteriori da esprimere e ha emesso parere favorevole all’adozione dello Schema di decreto.

Grazie alle modifiche operate, i consumatori potranno opporsi alla ricezione sia delle chiamate indesiderate eseguite tramite operatore, che di quelle effettuate con l’uso di sistemi automatizzati, modalità di contatto che sino ad ora era sfuggita alle limitazioni sancite dalla disciplina previgente.

L’iscrizione al RPO comporterà poi, tra le altre cose, la revoca dei precedenti consensi espressi dai consumatori, così da evitare il perdurare di eventuali abusi.

Il 21 gennaio u.s. il Consiglio dei Ministri si è riunito a Palazzo Chigi per discutere, tra le altre cose, lo Schema di d.P.R., approvandolo in esame definitivo.

Brevemente, si rammentano le novità più rilevanti che comporterà l’adozione del decreto:

• sarà regolamentato il trattamento delle numerazioni telefoniche mediante l’impiego del telefono e l’invio di posta cartacea per la diffusione di materiale pubblicitario o la vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.;
• la disciplina del RPO verrà estesa a tutte le numerazioni nazionali fisse e mobili, comprendendo anche quelle non riportate negli elenchi telefonici, cartacei o elettronici, attualmente escluse;
• verrà estesa anche alle comunicazioni via posta cartacea la possibilità per gli utenti di indicare i soggetti nei confronti dei quali intendono revocare l’opposizione al trattamento dei dati personali.

Maria Vittoria Aprigliano

L'articolo Telemarketing e Registro delle opposizioni: il Garante Privacy emette parere favorevole sullo Schema di decreto del Presidente della Repubblica. proviene da E-Lex.

Il giorno 28 gennaio 2022, dalle ore 15.00 alle 17.00, in occasione della giornata inaugurale del Master di II livello in Responsabile della protezione dei dati personali: Data Protection Officer e Privacy Expert, si svolgerà il Webinar “La protezione dei dati personali durante le emergenze: quale equilibrio possibile?

Sarà possibile partecipare all’incontro collegandosi alla Piattaforma Microsoft Teams tramite il seguente link: teams.microsoft.com/l/meetup-j…“

L'articolo 28 Gennaio 2022 – La protezione dei dati personali durante le emergenze: quale equilibrio possibile? proviene da E-Lex.

Gli Stati Uniti potrebbero intervenire in via legislativa per arginare il fenomeno del dark pattern.

In estrema sintesi, possono essere definite come pratiche di dark pattern tutte le interfacce con cui i programmatori confondono consapevolmente gli utenti, complicando le modalità per esprime le proprie preferenze effettive o manipolando gli utenti affinché intraprendano determinate azioni. Pertanto, sono pratiche che incidono sulla libertà di manifestazione del consenso, sfruttando baias cognitivi, al fine, in genere, di favorire i consumatori online ad acquistare beni e servizi che non desiderano o a rivelare informazioni personali che preferirebbero non divulgare.

Secondo una ricerca del 2019 della Princeton University, su 11.000 siti passati in rassegna, circa il 10% conterrebbe dark pattern. È interessante notare che, in una ricerca dell’anno successivo, si evidenzia invece che ben il 95% app gratuite disponibili sul PlayStore Google conterrebbe elementi che incidono negativamente sulle modalità di manifestazione del consenso da parte degli utenti. Si tratta di dati forse approssimativi, che però spiegano sia l’estensione del ricorso a tali pratiche, sia, al contempo, la velocità con cui si stanno diffondendo.

Del resto, è opinione diffusa che internet stia vivendo una nuova stagione e che si sia passati da servizi informatici che controllavano gli utenti a servizi informatici che incidono, in maniera manipolativa, sui loro comportamenti. Quindi non siamo più semplicemente al cospetto di un uso dei dati – per lo più in forma aggregata, quali big data – per le finalità più disparate (influenza commerciale, politica, ecc.), ma siamo oramai entrati nell’era in cui i nostri comportamenti sono indirizzati dalle piattaforme. Basti pensare, a titolo di banale esemplificazione, alle immagini che spesso gli utenti condividono sui social network (Instagram, Facebook, TikTok) e alla ripetitività delle situazioni e dei contesti ritratti: foto di caffè, pizze con gli amici, foto in ascensore e così via discorrendo. Immagini (foto o video) che riprendono momenti di assoluta quotidianità, che, di per sé, non hanno nulla di eccezionale, ma che denotano l’esigenza, per dir così, degli utenti di sentirsi vivi e di dimostrarlo all’esterno, coinvolgendo amici e semplici conoscenti nelle proprie attività, spesso banali e ripetitive.

Il dark pattern è alla base di una proposta di legge statunitense, il Deceptive Experiences To Online Users Reduction (DETOUR) Act. Si tratta di una proposta non ancora approvata in via definitiva, per quanto è dato sapere, ma che, ciononostante, offre degli spunti di riflessione interessanti.

Innanzitutto, l’ambito di applicazione soggettiva è circoscritto alle sole piattaforme online più popolari, quelle cioè con oltre cento milioni di utenti attivi mensilmente. Un simile approccio, è noto, è stato seguito anche a livello europeo nella direttiva europea in materia di copyright, recentemente recepita a livello interno, le cui regole di responsabilità sono si basano sul numero di utenti delle piattaforme informatiche, con una esenzione nel caso delle piattaforme più piccole: un modo, questa è la lettura prevalente in dottrina, di non limitare lo sviluppo dei nuovi operatori e, quindi, di non radicalizzare le posizioni monopolistiche o oligopolistiche già presenti sul mercato.

In secondo luogo, il presupposto per l’applicazione – questa volta sotto il profilo oggettivo – è il ricorso ad interfacce che compromettano intenzionalmente l’autonomia, il processo decisionale o la scelta dell’utente. La normativa, laddove dovesse essere confermato il testo in discussione, troverebbe quindi campo solo dinanzi ad un dolo da parte del gestore della piattaforma.

Una scelta che, naturalmente, sarebbe difficilmente imitabile in sede comunitaria, attesa la già ricordata estensione delle pratiche commerciali sleali anche ai casi in cui l’incidenza sui processi volontaristici del consumatore sia determinata da una condotta colposa. Allo stesso modo, adottando una simile conclusione si genererebbe una sorta di probatio diabolica in capo all’utente, chiamato a dover dimostrare la volontarietà della condotta del gestore della piattaforma.

Il punto interessante – seppur ancor vago nella sua formulazione – è quello che riguarda il divieto della suddivisione o segmentazione dei consumatori ai fini di profilazione (o altri esperimenti comportamentali) senza una preventiva informativa al consumatore, informativa che deve essere chiaramente visibile e non “sepolta” in un contratto di servizi.

La soluzione è interessante e tiene conto delle peculiarità anche del mezzo informatico: alcune ricerche accademiche hanno dimostrato chiaramente che la maggior parte degli utenti non legge le condizioni generali dettate unilateralmente dai fornitori dei servizi (un esempio classico sono le licenze per l’utilizzo dei software). La proposta di legge statunitense impone quindi di dare un’evidenza, anche da un punto di vista grafico, a tali comunicazioni: si pensi, ad esempio, all’uso di pop-up, che potrebbero attirare più semplicemente l’attenzione dell’utente.

Si crea, per questa via, una categoria di informazioni che non solo devono essere fornite al consumatore, ma devono essere portate a conoscenza di quest’ultimo separatamente dalle altre.

Ma v’è di più. I grandi operatori delle piattaforme on-line, così come precedentemente qualificati, hanno altresì l’obbligo di inviare un’ulteriore comunicazione agli utenti, con scadenza almeno trimestrale, rammentando l’uso delle informazioni personali per fini di profilazione comportamentale o psicologica degli stessi. Anche in questo caso, l’opzione legislativa sembra finalizzata, più che a imporre una regola formale, a determinare un’effettività della stessa.

Il legislatore americano, quindi, sembra essere consapevole che le informazioni necessarie a determinare consapevolezza negli utenti non raggiungono l’obiettivo prefissato essendo calati in un regolamento contrattuale lungo e di ardua comprensione e che, dunque, siano necessari degli strumenti differenti.

Infine, si prevede una competenza in capo alla Federal Trade Commission, che avrà il compito d fissare i requisiti della nuova normativa. Peraltro, in maniera apprezzabile, si vorrebbe affidare a tale autorità anche la funzione di aggiornare tali requisiti in funzione delle evoluzioni tecnologiche del settore.

Giovanni Maria Riccio

L'articolo Dark Pattern: nuove strategie legislative dagli Stati Uniti proviene da E-Lex.

Sono aperte le iscrizioni alla nuova edizione del Master per Responsabili per la transizione al digitale (RTD) che si terrà nei mesi di febbraio, marzo e aprile interamente online.

La nuova edizione del percorso formativo che nasce per approfondire i principali ambiti di attività dei Responsabili per la transizione al digitale presenta un programma aggiornato alle novità introdotte dai Decreti Semplicazioni e dall’aggiornamento del Piano triennale per l’informatica nella PA 2021-2023 ed è strutturato per approfondire i principali obiettivi fissati dal PNRR per la trasformazione digitale della PA.

Oltre al modulo base, come già avvenuto nell’edizione 2021, è stato inserito anche un modulo avanzato – acquistabile insieme al percorso base o singolarmente – con quattro verticalizzazioni tematiche dal taglio fortemente pratico dedicate ad alcuni dei temi di maggiore interesse per il RTD: piano triennale, software e cloud, accessibilità e sicurezza. Le lezioni saranno tenute da consulenti esperti nei processi di trasformazione digitale nella Pubblica Amministrazione, tra cui l’Avv. Ernesto Belisario e l’Avv. Francesca Ricciulli.

Il master è organizzato nell’ambito del progetto La PA Digitale del Gruppo Maggioli, curato dai professionisti dello Studio E-Lex Ernesto Belisario, Francesca Ricciulli e Stelio Pagnotta.

Modulo base
6 lezioni online della durata di 4 ore ciascuna con spazi per il confronto con docenti, discussioni partecipate ed esempi operativi.
Consulta il programma del modulo base

Modulo avanzato
4 lezioni online della durata di 6 ore ciascuna con taglio fortemente pratico e spazi per il confronto con docenti, discussioni partecipate ed esempi operativi. Ciascuna lezione sarà caratterizzata da una specifica attività laboratoriale volta a realizzare specifici piani e manuali operativi utili a guidare le attività del Responsabile per la transizione al digitale.
Consulta il programma del modulo avanzato

Scarica la brochure con il programma di dettaglio del Master e il modulo per l’iscrizione.

L'articolo Amministrazione digitale: aperte le iscrizioni alla nuova edizione del Master per RTD proviene da E-Lex.

A seguito delle sue indagini, la CNIL ha stabilito che i banner dei domini facebook.com, google.fr e youtube.com non permettono all’utente di rifiutare i cookie con la stessa facilità con cui li può accettare.

La continua evoluzione dell’information technology impone una riflessione sul diritto alla privacy degli internauti. Sia che tale diritto si riferisca alla protezione dei dati personali, che alla libertà di scelta, le azioni svolte online dagli utenti assumono un peso e una concretezza peculiari nell’universo di internet. Se per un utente può sembrare innocuo consentire l’uso dei cookie dal proprio terminale1, il suo consenso è di sicuro interesse per chi i suoi dati personali li tratta per finalità commerciali e di profilazione2. A tal proposito, sarebbe da chiedersi fino a dove possano spingersi i service provider per ottenere il consenso all’installazione di questi identificativi. Per avere un’idea di dove si attesti la soglia di legalità, può essere utile fare riferimento alle recenti sanzioni comminate dall’autorità francese per la protezione dei dati personali (la CNIL3), che ha condannato i due giganti Google e Facebook al pagamento di sanzioni per un totale di 210 milioni di euro4. Fino ad ora, in UE, queste sono le multe più pesanti mai inflitte per questo genere di violazione.

A seguito delle sue indagini, la CNIL ha stabilito che le modalità di rifiuto dei cookie sui domini facebook.com, google.fr e youtube.com sono in contrasto con la direttiva ePrivacy 2002/48/CE e con il Regolamento 679/2016/UE (GDPR), non permettendo all’utente di rifiutare i cookie con la stessa facilità con cui questi possono essere accettati. In buona sostanza, accanto al bottone “accetta i cookie” non ve n’è un altro per rifiutarli. Al contrario, per proseguire la navigazione e rifiutare l’installazione dei cookie sono necessari più passaggi rispetto al singolo click sufficiente per accettare e proseguire.5

Obbligo di trasparenza

Le disposizioni della direttiva ePrivacy e del GDPR sorreggono la decisione della CNIL. Da una parte, l’art. 5 (3) della direttiva prevede che l’utente sia informato in modo chiaro e completo circa le finalità, l’installazione e la possibilità di rifiutare i cookie sul proprio terminale. Dall’altra, l’art. 9 (1) lascia intendere che l’utente debba sempre prestare il proprio consenso quando i cookie installati sul terminale costituiscano un valore aggiunto, come, ad esempio, l’offerta di pubblicità mirata. Allo stesso modo, ai sensi del GDPR, il consenso dell’interessato deve essere libero, specifico, univoco ed informato, oltre che, per i trattamenti automatizzati e la profilazione, esplicito6. Per il titolare del trattamento, ciò si traduce nell’onere di informare l’utente in modo trasparente7 e di porlo nella condizione di rifiutare o accettare i cookie con la medesima facilità8. Tale obbligo di trasparenza può essere soddisfatto tramite la presentazione di cookie banner chiari e non ingannevoli. Come fa intendere la CNIL, e come d’altronde già sancito dal Working Document 02/2013 sull’ottenimento del consenso al trattamento dei cookie9, nel caso in esame il semplice posizionamento dei tasti di accettazione e di rifiuto sullo stesso livello del banner sarebbe stato sufficiente a fornire all’utente una scelta consapevole, incondizionata ed esplicita. Al contrario, Google e Facebook hanno dato adito a dubbi circa il loro utilizzo di dark patterns, ossia di interfacce studiate con la finalità di scoraggiare il rifiuto dei cookie. Un tale genere di interfacce rende più complesso per l’utente agire per il rifiuto rispetto che cliccare per accettare l’installazione degli identificativi sul proprio terminale10. Nella prassi si è anche parlato di questa pratica con lo specifico nome di cookie fatigue (fatica nel rifiuto dei cookie)11. Tutto questo scoraggia l’utente che vuole navigare sul sito a compiere il susseguirsi di azioni necessarie al rifiuto, preferendo concedere i propri dati personali a fronte di una navigazione più spedita12. La questione è di centrale importanza anche alla luce dei recenti sviluppi nel campo. Già nel 2019, con la decisione Planet 4913 , la Corte di Giustizia dell’Unione Europea aveva sotto più aspetti posto dei limiti alla libertà di forma dei mezzi di accettazione e rifiuto e sottolineato l’importanza del consenso. La Corte precisava che

“[i]l consenso dell’utente non può più essere presunto e deve risultare dal comportamento attivo di quest’ultimo”.

Il diritto di discernimento attivo e consapevole dell’interessato è rafforzato dalle recentissime linee guida sui cookie dell’EDPB (per approfondimenti, potete leggere qui) da poco recepite dal nostro Garante14; lo sarà ancor di più con il regolamento ePrivacy di prossima adozione.

L’astraente: un ulteriore deterrente

Oltre alle pesanti sanzioni già irrogate, la CNIL ha fatto uso dello strumento dell’astraente e ha imposto a ciascuna società un’ulteriore sanzione di 100.000 euro per ogni giorno di ritardo dopo la scadenza del termine di 3 mesi fissato per adempiere.

La competenza della CNIL

All’interno di una tale vicenda occorre senz’altro menzionare la questione relativa alla competenza della CNIL. Sia Google che Facebook hanno contestato alla CNIL di non avere competenza sulla questione in quanto, secondo l’art. 60 GDPR, a decidere avrebbe dovuto essere l’autorità di controllo capofila secondo il meccanismo di cooperazione nei trattamenti transnazionali di dati. Se così fosse stato, i casi sarebbero spettati all’autorità irlandese, dove hanno sede gli stabilimenti principali UE di Google e Facebook. Preso atto di ciò, la CNIL ha tuttavia ritenuto di non dover applicare il GDPR. Le ragioni risiedono, da una parte, nel ruolo di lex specialis della direttiva ePrivacy per il trattamento dei dati risultanti da servizi della società dell’informazione. In sostanza, l’articolo 1 (2) della direttiva ePrivacy, stabilisce espressamente che le sue disposizioni precisano e integrano la direttiva 95/46/CE (oggi, GDPR); disposizione avallata dallo stesso GDPR, il cui considerando n. 173 specifica come il Regolamento non si applichi al trattamento dei dati personali di cui alla direttiva ePrivacy. Dall’altra parte, la CNIL chiarisce che il trattamento sanzionato si esaurisce nel completamento dell’installazione dei cookie sul terminale dell’utente. Esso non coinvolge il trattamento oltreconfine da parte degli stabilimenti in Irlanda, che consiste nel vero a proprio utilizzo commerciale dei dati degli utenti e che è a tutti gli effetti un “trattamento successivo”15. Non ha quindi luogo alcun trattamento transfrontaliero che giustificherebbe l’intervento dell’autorità capofila irlandese.16 In virtù di ciò, la CNIL si è ritenuta territorialmente competente poiché il trattamento dei cookie si è svolto interamente in Francia.

In conclusione appare evidente come la cookie policy e i relativi banner debbano essere strumenti neutrali e trasparenti, che vadano di pari passo con le intenzioni e libere scelte degli interessati. Le autorità nazionali per la protezione dei dati costituiscono un eccellente strumento di difesa dei diritti degli interessati, anche quando, come in questo caso, sussista un evidente squilibrio di risorse fra questi e i titolari del trattamento.

1 amazeemetrics.com/en/blog/76-i…

2 wsj.com/articles/big-tech-priv…

3 Commission Nationale de l’Informatique et des Libertés.

4 Google (Alphabet Inc.) è stata multata per 150 milioni di euro; Facebook Inc., per 60 milioni di euro.

5 cnil.fr/fr/cookies-la-cnil-san…

6 Cfr. Art. 22 (2) lett. b), Regolamento 679/2016/UE.

7 Cfr. Art. 12 GDPR.

8 Cfr. per analogia, Art. 7 (3) GDPR.

9 1676/13/EN WP 208, Working Document 02/2013 providing guidance on obtaining consent for cookies (p. 3 – 6).

10 Dark pattern: cosa sono e il loro rapporto con il GDPR, in Cybersecurity 360, cybersecurity360.it/legal/priv…

11 Ibid.

12 Se questo non bastasse a concretizzare l’ipotesi di dark pattern, nel caso di Facebook la CNIL ha scoperto che non soltanto il pulsante per rifiutare i cookie fosse collocato in un sottolivello del banner, ma che fosse oltretutto intitolato “Accetta i cookie” – cfr. cnil.fr/en/cookies-facebook-ir…

13 Causa C 673/17, CGUE.

14 garanteprivacy.it/home/docweb/…

15 Deliberation of the restricted committee No. SAN-2021-024 of 31 December 2021, par. 29.

16 Malgrado ciò, in virtù del collegamento economico fra gli stabilimenti USA, Irlandesi e francesi delle due società, la CNIL li ha ritenuti congiuntamente responsabili. Cfr. cnil.fr/en/cookies-google-fine… e cnil.fr/fr/cookies-sanction-de…

L'articolo Francia: sanzioni complessive per 210 milioni di euro nei confronti di Facebook e Google proviene da E-Lex.

Il 14 dicembre 2021, l’European Data Protection Board (ex Working Party 29) ha adottato le sue nuove Guidelines 01/2021 on examples regarding personal data breach notification.

Le recenti Linee guida integrano quelle già adottate dal WP29 nel 2017 (“Guidelines on personal data breach notification under Regulation 2016/679”), con le quali il Board aveva già fornito delle indicazioni di ordine generale sulla classificazione e gestione delle violazioni dei dati (in inglese, “data breach”).

La disciplina sui data breach ai sensi del GDPR

Preliminarmente, l’EDPB richiama la disciplina generale dettata dal Regolamento UE 679/2016 (cosiddetto “GDPR”) in materia di violazione dei dati personali.

Nello specifico, l’art. 4, par. 1, n. 12 del GDPR definisce un data breach come la “la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”.

Già nella sua Opinion 03/2014 e nelle summenzionate linee guida del 2017, il WP29 aveva avuto modo di chiarire che le violazioni possono distinguersi in:

• violazione della riservatezza, quando occorre una divulgazione non autorizzata o accidentale ovvero l’accesso a dati personali;
• violazione dell’integrità, quando occorre un’alterazione non autorizzata o accidentale dei dati personali;
• violazione della disponibilità, quando c’è una perdita accidentale o una non autorizzata perdita all’accesso ovvero distruzione di dati personali.

In tali casi, alla luce delle prescrizioni contenute nel GDPR, il titolare del trattamento dovrebbe prontamente attivarsi per valutare gli effetti prodotti dalla violazione e le relative azioni da intraprendere al fine di mitigare detti effetti. A valle di tali operazioni, poi, occorre notificare l’accaduto all’autorità competente (in Italia, l’Autorità garante per la protezione dei dati personali) – salvo che il breach non rappresenti un rischio per i diritti e le libertà degli interessati -, nonché comunicare lo stesso agli interessati (anche in questo caso, solo qualora ci sia un rischio elevato per i diritti e le libertà dei soggetti coinvolti).

In ogni caso, il titolare è tenuto a documentare la violazione, indipendentemente dal rischio per i diritti e le libertà degli interessati (per esempio, tenendo un apposito registro delle violazioni e degli incidenti di sicurezza).

Le casistiche esaminate dall’EDPB

Tanto premesso, l’EDPB, nelle Linee guida in commento, si è soffermato su talune circostanze, che, frequentemente, causano violazioni di dati, fornendo sia casistiche esemplificative sia le misure preventive da adottare e le eventuali azioni per mitigare i danni in caso di breach, nonché, infine, le opportune misure tecniche e organizzative da implementare nell’ambito della struttura del titolare.

Ransomware

Una causa frequente di violazione dei dati è un attacco ransomware: in questo caso, l’“aggressore” cripta i dati attraverso un codice maligno e, successivamente, chiede al titolare un riscatto come prezzo del codice di decrittazione.

Questo tipo di attacco può di solito essere classificato come una violazione della disponibilità dei dati o, se del caso, di riservatezza.

A tale proposito, l’EDPB adduce diverse casistiche, distinguendo a seconda che il titolare abbia o meno un backup dei dati criptati ovvero che vi sia stato o meno l’esfiltrazione degli stessi.

Il fatto che un attacco ransomware possa aver avuto luogo è solitamente un segno di una o più vulnerabilità dei sistemi e, indipendentemente dalle conseguenze dell’attacco, il titolare dovrebbe adottare tutte le misure di sicurezza – sia tecniche sia organizzative – atte ad affrontare evenienze di questo tipo.

Tra le misure tecniche sicuramente rientra il costante aggiornamento del firmware, del sistema operativo e del software applicativo sui server, le macchine client e, in generale, tutti i componenti di rete attivi e qualsiasi altra macchina su LAN, nonché l’adozione di una procedura di backup e un software anti-malware aggiornati, sicuri e testati.

Dal punto di vista organizzativo, cruciale risulta la formazione dei dipendenti (soprattutto quelli che trattano dati cosiddetti “sensibili”) sui metodi di riconoscimento e prevenzione degli attacchi informatici, nonché la pianificazione di test di vulnerabilità e penetrazione su base regolare e la creazione – soprattutto nell’ambito di realtà aziendali complesse – di un computer security incident response team o computer emergency response team.

Infine, il titolare dovrebbe adottare dei piani di incident response, disaster recovery e business continuity, assicurandosi che questi siano accuratamente testati.

Esfiltrazione dei dati

Gli attacchi di esfiltrazione, come quelli ransomware, sfruttano le vulnerabilità dei sistemi del titolare, ma, di solito, mirano a copiare, esfiltrare e usare i dati personali per fini illeciti.

Pertanto, di norma, tali attacchi sono classificati come violazioni della riservatezza e, eventualmente, anche dell’integrità dei dati.

A tale proposito, le misure tecniche consigliate dell’EDPB sono, ad esempio, utilizzare sistemi di crittografia e gestione delle chiavi (specialmente quando si trattano password, dati sensibili o finanziari) e preferire l’uso di metodi di autenticazione che evitano la necessità di elaborare le password sul lato server, nonché di metodi di autenticazione forti (come l’autenticazione a due fattori e i server di autenticazione).

Lato organizzativo, il titolare dovrebbe adottare delle policy di gestione dei privilegi degli utenti e di controllo degli accessi in atto, nonché programmare ed effettuare verifiche sistematiche della sicurezza IT e valutazioni e test della vulnerabilità.

Errore e accadimenti umani

Il Board si sofferma, inoltre, su tutti quegli accadimenti – volontari e non – causati da comportamenti umani che, nella pratica, portano spesso a violazioni di dati personali: si pensi, a titolo esemplificativo, all’esfiltrazione di dati da parte di un dipendente o all’invio accidentale – tramite email – di dati a soggetti non autorizzati o ancora alla perdita di device e documenti contenenti dati.

Si consideri che la necessità di affrontare i fattori umani nella prevenzione dei data breach è stata inoltre evidenziata dall’International Conference of Data Protection and Privacy Commissioners del 2019, che ha adottato una risoluzione contenente, tra l’altro, un elenco non esaustivo delle opportune safeguards da adottare.

Quando si parla di errore umano, è evidente che la misura organizzativa più importante da adottare è costituita dalla programmazione di piani di formazione e sensibilizzazione periodica del personale che opera nella struttura del titolare. In tale contesto, focale risulta l’apporto del Data Protection Officer eventualmente nominato dal titolare, che, ai sensi dell’art. 39, par. 2, lett. b), è il soggetto deputato alla “sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo”.

Il personale dovrebbe essere istruito, in particolare, sulle procedure adottate al fine di implementare sistemi solidi ed efficaci di protezione dei dati e della sicurezza dei sistemi. Per esempio, tali procedure dovrebbero prendere contenere:

• adeguate policy di controllo di accesso ai sistemi;
• regole per la disabilitazione dell’account aziendale non appena la persona lascia l’azienda;
• meccanismi di controllo del flusso di dati insolito tra il file server e le stazioni di lavoro dei dipendenti.

Dal punto di vista tecnico, invece, il titolare dovrebbe considerare e implementare, by design, delle logiche per un corretto uso dei device, quali:

• disabilitare la funzione di stampa dello schermo nel sistema operativo;
• applicare una politica di clean desk;
• bloccare automaticamente tutti i computer dopo una certo tempo di inattività;
• usare meccanismi (per esempio token) per accedere/aprire account bloccati;
• attivare la crittografia del dispositivo (come Bitlocker, Veracrypt o DM-Crypt);
• usare una VPN sicura (per esempio, che richiede una chiave di autenticazione a secondo fattore separata per stabilire una connessione sicura) per collegare i dispositivi mobili ai server di back-end.
• applicazione del ritardo nell’invio del messaggio (per esempio, il messaggio può essere cancellato/modificato entro un certo periodo di tempo dopo aver cliccato il pulsante di invio);
• disabilitazione del completamento automatico quando si digitano gli indirizzi e-mail.

  Ariella Fonsi

L'articolo Data breach e tutela dei dati aziendali: le nuove Linee guida dell’EDPB proviene da E-Lex.

Lo scorso 20 dicembre l’Autorità Nazionale Anticorruzione (ANAC) ha pubblicato una nuova raccolta di FAQ in materia di whistleblowing. Il documento contiene chiarimenti utili sulla disciplina relativa alla segnalazione degli illeciti all’interno degli enti tanto sotto il profilo organizzativo quanto in riferimento alle concrete modalità di gestione delle segnalazioni. Tra i diversi punti di attenzione, rivestono un carattere di particolare importanza quelli attinenti gli aspetti relativi al trattamento dei dati personali.

Anzitutto deve sottolinearsi il contesto in cui le FAQ sono state pubblicate. Il 31 dicembre è scaduto il termine di adeguamento alla Direttiva europea 2019/1937 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione. Il Parlamento italiano lo scorso aprile aveva approvato la Legge delega 53/2021, attribuendo al Governo il compito di recepire le indicazioni del legislatore europeo, la quale tuttavia non ha avuto seguito.

Nelle more del recepimento della normativa eurocomunitaria l’Autorità Anticorruzione ha pubblicato, con delibera del 9 giugno 2021, le nuove linee guida sul whistleblowing che, allo stato, costituiscono il punto di riferimento principale e più avanzato per qualunque organizzazione che debba dotarsi di un adeguato sistema di segnalazione degli illeciti. Tale ultimo provvedimento, unitamente alle FAQ di recente pubblicazione, realizzano per la prima volta un coordinamento tra le norme in materia di whistleblowing e il nuovo quadro normativo in tema di trattamento dei dati personali.

Caposaldo della normativa in materia di segnalazione degli illeciti è la tutela della riservatezza del segnalante, del contenuto delle segnalazioni e degli eventuali allegati, nonché dei soggetti segnalati. Per questo motivo l’Autorità raccomanda l’adozione di appositi e adeguati software per la gestione delle segnalazioni, di modo da tutelare al meglio la riservatezza del segnalante e consentire l’interazione sicura tra questi e il responsabile per la prevenzione della corruzione (ed il suo team). Per fare ciò è indispensabile, ad avviso dell’ANAC e dal Garante privacy, che il software disponga di adeguate misure di sicurezza, che consenta la pseudonimizzazione dei dati identificativi del segnalante e la trasmissione dei dati mediante protocolli di trasmissione sicuri (ad es. HTTPS).

Inoltre, sempre al fine di tutelare la riservatezza dell’identità del whistleblower, è necessario che qualora l’accesso alla piattaforma informatica avvenga mediante dispositivi firewall o proxy, l’ente garantisca la non tracciabilità del segnalante nel momento in cui viene stabilita la connessione. Questo può avvenire attraverso l’utilizzo di strumenti di anonimizzazione dei dati di navigazione, come ad esempio la tecnologia TOR.

Un’altra misura individuata dall’ANAC per salvaguardare la riservatezza dell’identità del whistleblower è legata al tracciamento degli accessi alla piattaforma di segnalazione.

In questo caso è necessario trovare un punto di equilibrio tra due diverse esigenze: da un lato la tutela della riservatezza e, dall’altro, la corretta gestione degli strumenti informatici e la difesa dell’ente da potenziali minacce informatiche. Per garantire ciò, l’Autorità raccomanda di procedere alla raccolta dei log della piattaforma con l’adozione di adeguate misure di sicurezza idonee a prevenire eventuali accessi non autorizzati.

L’ultima tematica affrontata dall’ANAC in tema di trattamento dei dati personali nel contesto del whistleblowing è quella relativa al tempo di conservazione delle segnalazioni.

Tale periodo, valutato insieme al Garante privacy, non deve eccedere l’arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati, in ossequio al principio di limitazione della conservazione di cui all’art. 5, par. 1 lett. e) del GDPR.

La previsione è alquanto generica e, di conseguenza, l’individuazione puntuale del periodo di retention è rimessa all’accountability del titolare. L’Autorità anticorruzione suggerisce, sulla base anche della propria esperienza, di prevedere un termine minimo di conservazione delle segnalazioni, pari almeno a 10 anni. Naturalmente, ove a seguito della segnalazione scaturisca un eventuale giudizio, il termine sarà prolungato fino alla conclusione del giudizio stesso.

Le informazioni fornite dall’ANAC costituiscono un importante elemento per orientare l’operato dei titolari del trattamento nella gestione dei dati personali e delle informazioni acquisite nell’ambito del whistleblowing, in attesa del recepimento della Direttiva Direttiva europea 2019/1937, ove necessariamente il legislatore dovrà operare un coordinamento a livello normativo, con le disposizioni in materia di privacy.

Di seguito un decalogo che riassume i principali adempimenti in materia di protezione dei dati personali connessi all’istituto del whistleblowing.

• Il fornitore della piattaforma per il whistleblowing, dal momento che effettuerà dei trattamenti di dati personali per conto del titolare, deve sempre essere nominato responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 679/2016 (GDPR).
• L’atto di nomina del responsabile deve contenere una puntuale indicazione delle misure di sicurezza necessarie a garantire la sicurezza, la riservatezza e l’integrità dei dati e delle informazioni relative alle segnalazioni;
• Il responsabile per la prevenzione della corruzione e il suo team devono sempre essere nominati quali soggetti autorizzati al trattamento e debitamente istruiti in merito al trattamento dei dati personali (ai sensi dell’art. 4, par. 10, 29, 32, §. 4 del Regolamento (UE) 679/2016 e art. 2-quaterdecies del d.lgs. 196 del 2003);
• Gli interessati (nello specifico il segnalante) devono ricevere idonea informativa ai sensi dell’art. 13 GDPR;
• Il whisthleblowing deve essere inserito quale trattamento specifico all’interno del registro redatto ai sensi dell’art. 30, par.1, GDPR;
• Le segnalazioni e gli allegati alla segnalazione devono essere sottratti al diritto di accesso e all’accesso civico generalizzato;
• La piattaforma deve registrare e conservare in modo sicuro i log di accesso, mentre deve assolutamente essere evitato il tracciamento dei log del segnalante, anche nel caso in cui l’accesso sia mediato da un firewall o da un proxy server. In tali casi si può fare ricorso alla tecnologia TOR che garantisce l’anonimizzazione delle informazioni relative al traffico dati e all’indirizzo IP;
• Le informazioni devono essere scambiate attraverso protocolli sicuri (HTTPS);
• Il titolare deve adottare ogni idonea misura di sicurezza ai sensi dell’art. 32 GDPR;
• Le segnalazioni devono essere conservate per un arco di tempo non superiore al conseguimento delle finalità per cui sono state trattate.

Andrea Pisano

L'articolo Whistleblowing: pubblicate le nuove FAQ dell’ANAC in attesa del recepimento della Direttiva 2019/1937. Quali novità in materia di trattamento dei dati personali? proviene da E-Lex.

Intervista Arturo Di Corinto podcast Skytg24 del 12 Gennaio 2022 di Alberto Giuffrè

Israele e Iran si sfidano da anni anche a colpi di attacchi informatici. A farne le spese, negli ultimi casi, sono stati soprattutto i cittadini. Ne parliamo nella nuova puntata di 1234 insieme ad Arturo Di Corinto, giornalista esperto di cybersecurity

Nelle scorse settimane le stazioni di rifornimento in Iran hanno smesso di funzionare a causa di un attacco informatico. Qualche giorno dopo una app di dating in Israele è stata violata. Sono soltanto gli ultimi episodi di una cyberguerra, quella tra Israele e Iran, che va avanti da anni. Ne parliamo nella nuova puntata di 1234, il podcast sulla sicurezza informatica di Sky TG24. L’ospite di questo episodio è Arturo Di Corinto, giornalista esperto di cybersecurity.

dicorinto.it/tipologia/intervi…