È operativo da oggi, presso l’Agenzia per la Cybersicurezza Nazionale (ACN), il Centro di Valutazione e Certificazione Nazionale. Il CVCN ha il compito di valutare la sicurezza di beni, sistemi e servizi ICT dei soggetti inseriti nel Perimetro di sicurezza nazionale cibernetica, ossia quelli che erogano servizi essenziali per il Paese.

Quindi l’attività di scrutinio e di analisi della qualità sarà effettuata anche su 5G e Cloud nazionale e il futuro Polo Strategico Nazionale, come previsto dal decreto-legge ‘Ucraina’ che ha rafforzato il Golden power. Con la nuova normativa, il Cloud, per la prima volta, è ora considerato come una infrastruttura critica per la sicurezza nazionale, alla stregua delle reti di telecomunicazioni.

“Il CVCN ci dovrà assicurare la qualità tecnica e un controllo dei fornitori dei dispositivi che saranno installati nelle nostre infrastrutture critiche: le aziende che gestiscono i servizi essenziali per l’Italia, tra cui il futuro Cloud Nazionale”, ha spiegato Roberto Baldoni, il direttore generale dell’ACN.

Il Centro di Valutazione e Certificazione Nazionale è previsto dalla normativa sul Perimetro di Sicurezza Nazionale Cibernetica nonché dal D.L. n. 82 del 2021. È incardinato nel Servizio Certificazione e Vigilanza dell’ACN diretto dall’Ing. Andrea Billet.

Il CVCN, originariamente istituito presso il Ministero dello Sviluppo Economico per volontà dell’allora ministro Luigi Di Maio e mai operativo, è stato ora trasferito all’interno dell’ACN.

Con il CVCN si vuole gestire il “rischio tecnologico – che è diverso dal rischio dei cyber attacchi – e si associa al rischio energetico”, ha detto più volte Baldoni.

“Avere pochissimi fornitori è un rischio”, ha spiegato il dg dell’Agenzia cyber, “perché non si sa a chi rispondono e se chiudono i bocchettoni dei chip, del cloud e dell’IA ci rimandano indietro di 50 anni”.  

Come avviene la valutazione su hardware e software da parte del CVCN?

La procedura di valutazione, che è regolamentata dal DPR n. 54/2021, potrà prevedere l’esecuzione di test hardware e software sui componenti della fornitura.

In questo processo, al CVCN faranno riferimento i Centri di Valutazione (CV) presso i Ministeri della Difesa e dell’Interno e potrà avvalersi del supporto di una rete di Laboratori Accreditati di Prova (LAP) che saranno regolamentati da apposito Decreto in fase di pubblicazione in Gazzetta Ufficiale.

Ai soggetti inclusi nel Perimetro, saranno rese disponibili FAQ e linee guida che li supportino nel processo di valutazione da parte del CVCN, elaborate anche a seguito di confronti avvenuti con diversi stakeholder. Come disposto dal quadro normativo vigente, le comunicazioni tra i soggetti Perimetro, i loro fornitori e il CVCN avverranno per via telematica.

Il CVCN a supporto del Golden Power su 5G

Dunque, il Centro di Valutazione e Certificazione Nazionale svolgerà un ruolo di supporto tecnico per le attività connesse all’esercizio dei poteri speciali “Golden Power” in ambito 5G, così come previsto dalle recenti modifiche apportate al DL n. 21/2012 dal “decreto Ucraina”. In particolare, il CVCN opererà sia nella fase istruttoria, a supporto del Gruppo di coordinamento, sia nella fase di monitoraggio, come organo di cui si avvale il Comitato preposto allo scopo. Il gruppo di coordinamento per l’esercizio dei poteri speciali è composto:

• dai rappresentanti della Presidenza del Consiglio dei ministri, del Ministero dello sviluppo economico, del Ministero dell’economia e delle finanze, del Ministero dell’interno, del Ministero della difesa, del Ministero per gli affari esteri e la cooperazione internazionale, dal Ministro per l’innovazione tecnologica e la transizione digitale, ove previsto, nonché dai rappresentanti dell’Agenzia per la cybersicurezza nazionale.

Il personale del CVCN

Il CVCN può già contare sulle unità di personale tecnico che hanno costituito il nucleo iniziale dell’Agenzia per la Cybersicurezza Nazionale e su quelle di recente trasferite dal Ministero dello Sviluppo Economico. Nelle prossime settimane, la dotazione di personale sarà ulteriormente potenziata con l’assunzione degli esperti che avranno superato le prove del concorso in atto. Questa prima fase di reclutamento dell’Agenzia ha avuto infatti come obiettivo prioritario proprio quello di assumere personale rientrante tra i profili destinati alle attività del CVCN (certificatori/ispettori, tecnici hardware e TLC, tecnici software e crittografi).

Il CVCN opererà secondo il principio di gradualità definito dal DPR n. 54/2021, affinando le proprie procedure interne, incrementando progressivamente le dotazioni strumentali e tecnologiche, e attuando progetti di potenziamento della rete dei LAP per mezzo dei fondi dedicati nell’ambito del PNRR.

Cosa sono i LAP, Laboratori Accreditati di Prova?

Roberto Baldoni ha spiegato che: “I Laboratori di Prova, previsti e finanziati nel PNRR, seguendo le regole del CVCN, dovranno analizzare dispositivi per valutare la qualità tecnica necessaria per essere utilizzati nelle nostre infrastrutture critiche. Potranno essere di natura pubblica, privata e pubblico-privata. Abbiamo invitato centri di Ricerca, Università ed aziende strategiche dell’Italia a dar vita alla rete di LAP. Saranno strategici perché noi dobbiamo avere in Italia, a livello governativo, la componente tecnica per analizzare le tecnologie che ci arrivano dall’estero. Nel momento in cui noi non siamo in grado di analizzare un componente hardware o software, allora un attore ostile potrebbe veicolare qualsiasi elemento attraverso queste tecnologie”.

“L’obiettivo, come ho scritto nel PNRR”, ha concluso Baldoni, “è avere entro il 2024 una ventina di Laboratori di Prova (tra pubblico, privato e pubblico-privato): a quel punto potremo pensare di avere 400-600 tecnici in grado di fornire sia alla Pubblica amministrazione sia ai privati l’analisi della supply chain”.

https://www.key4biz.it/golden-power-operativo-il-cvcn-per-testare-hardware-e-software-di-5g-e-cloud-nazionale/408935/

Trenta euro fissi di multa, indipendentemente dall’importo della transazione conclusa, più il 4% del suo ammontare. Questa l’entità delle sanzioni base per la mancata accettazione di pagamenti con carta di debito e di credito, entrata in vigore obbligatoriamente da ieri. Una norma che era stata introdotta dal Governo Monti, ma che non era mai decollata davvero, perché non erano previste sanzioni per i negozianti inadempienti. In caso di rifiuto di un pagamento di 100 euro tramite il Pos, il commerciante va incontro ad una sanzione da 34 euro (30 euro di ammenda fissa e 4 euro per quella variabile). Resta il nodo dei controlli. Ci saranno? E soprattutto delle denunce.  

Leggi anche: e-payment, obbligatorio riceverli dal 30 giugno. In caso di no, a chi fare la denuncia?

L’onere della denuncia al cliente

E l’onere della denuncia del commerciante inadempiente resterà sempre dalla parte del cliente. Quanto avranno voglia e tempo di andare a denunciare il commerciante che rifiuta il pagamento elettronico?

Comunque, il modo migliore per denunciare i commercianti che si rifiutano di usare il Pos è filmarli e poi inviare il video alla Guardia di Finanza o ai vigili urbani.

Sono passibili di multa: ristoratori, baristi, negozianti (anche ambulanti), falegnami, fabbri, idraulici, notai, avvocati, ingegneri, geometri, commercialisti, medici, consulenti del lavoro e dentisti.

Gli unici esercenti e professionisti che restano ancora esenti dall’obbligo fino al 2024 dal nuovo obbligo digitale sono le micro partite Iva con ricavi o compensi fino a 25mila euro.

Recap dell’obbligo di Pos

La prima norma sull’obbligo di Pos risale al Governo Monti, che lo introdusse con il decreto legge 179/2012, ma con decorrenza del 1º gennaio 2014. L’assenza di sanzioni per il rifiuto (o l’impossibilità) di accettare il pagamento elettronico, però, ha consentito un lungo regime transitorio, interrotto dal cosiddetto decreto Pnrr (36/2022), che ha introdotto le sanzioni per qualsiasi transazione negata, indipendentemente dall’importo. L’obbligo di Pos vale anche per i micropagamenti, un “fastidio” per molti esercenti che su questo aspetto particolare hanno sempre protestato e hanno tentato di fissare dei tetti minimi, a 5 euro ad esempio, sotto i quali non prevedere l’utilizzo del Pos. Pretese che però con la nuova normativa entrata in vigore sono evaporate.  

L’obbligo di Pos riguarda tutti gli importi e vale per tutti coloro che vendono beni e prestazioni di servizi. Il bancomat o la carta di credito si può usare tranquillamente per pagare un caffè, un gelato, un bicchier d’acqua, il giornale e dal tabaccaio per le sigarette, le caramelle, un cornetto ecc.

Gli esercenti si sono adeguati: dal bar di quartiere al negozio di vicinato, tutti si sono attrezzati con un Pos wireless collegato allo smartphone o dotato di Sim. Cero, ci sono delle categorie più refrattarie di altre. I più restii sono gli edicolanti, quelli puri, che vendono soltanto prodotti editoriali. Questi commercianti non sono tenuti a tenere una cassa e ad emettere scontrino. Ma tuttavia non sono esentati dall’obbligo di Pos. Con il danno di veder erosi dalle commissioni, che possono superare il 2%, i loro già modesti margini di ricarico sulla vendita del giornale.

Il nodo delle commissioni e delle connessioni

Il nodo principale è la commissione. Le soluzioni più convenienti per un piccolo commerciante sono quelle a basso costo fisso (il costo del dispositivo e il canone mensile), sulle quali le commissioni applicate sono più alte.

L’altro problema è quello delle connessioni e del funzionamento del dispositivo. Se quelli fissi non danno problemi, quelli portatili, soprattutto nelle versioni meno costose, possono avere problemi di linea o di collegamento col telefono. Inoltre può essere più lunga e macchinosa l’emissione dello scontrino, peraltro non consentita per alcuni dei dispositivi mobili più diffusi, se non si sceglie la versione dotata di stampante.

Allergia allo scontrino

La diffidenza e il fastidio di molti esercenti per il pagamento di bassi importi con il bancomat riguarda proprio i tempi dell’emissione dello scontrino. Chi si è dotato di un Pos solo in virtù dell’obbligo, e ha scelto i servizi e i dispositivi meno costosi, è costretto a perdere un po’ di tempo in più quando il cliente chiede di pagare con la carta. Questo il vero fastidio, più che i 2 o 3 centesimi che se ne vanno in commissioni o per la disponibilità differita degli importi sul conto corrente.

Uso delle carte in aumento

Dal momento che l’utilizzo delle carte è in forte aumento, soprattutto tra i giovani, è possibile che anche chi è partito scegliendo il modello base meno constoso, finisca per convertirsi ai dispositivi fissi, se non ai prodotti più evoluti, quegli smart Pos in grado di fare le chiusure di giornata, registrare e trasmettere i dati ai fini degli obblighi fiscali.

Chi chiede l’esonero

Alcune associazioni di settore esprimono preoccupazione. In primo luogo i tabaccai. “La lotta all’evasione fiscale – sostiene Assotabaccai – tramite l’obbligo di accettazione di pagamenti con carta e bancomat è un controsenso nel caso delle tabaccherie che sono, infatti, concessionarie dello Stato”. L’associazione ha precisato che di fatto nel loro caso la tracciabilità già esiste. In tale scenario Assotabaccai fa appello al governo perché crei “le condizioni perché i costi di gestione delle transazioni bancarie, effettuate utilizzando la moneta elettronica, siano ridotti o addirittura azzerati: questa è – secondo l’associazione – la strada maestra da seguire per incentivarne l’uso”.

“È un provvedimento inopportuno e iniquo”, sostiene Confesercenti spiegando che “per le imprese più piccole, per le quali il costo della moneta elettronica – soprattutto sulle transazioni di importo ridotto – è già molto elevato con circa 772 milioni di euro l’anno, fra commissioni e acquisto/comodato del dispositivo”.

Critica anche Confcommercio: “Non si può pensare di incentivare i pagamenti elettronici attraverso il meccanismo delle sanzioni, quello che serve per raggiungere questo obiettivo è una riduzione delle commissioni e dei costi a carico di consumatori ed imprese, anche potenziando lo strumento del credito d’imposta sulle commissioni pagate dall’esercente, e introdurre la gratuità per i cosiddetti micropagamenti”.

Escamotage per non usare il Pos

Il Codacons dal canto suo denuncia il fatto che una semplice dichiarazione di guasto al POS possa permettere all’esercente di evitare la sanzione.
Le associazioni dei consumatori evidenziano, tuttavia, i possibili escamotage a cui commercianti e professionisti potrebbero fare ricorso per aggirare le multe. “Le disposizioni – sottolinea il Codacons – escludono l’obbligo di pagamento con il Pos in caso di oggettiva impossibilità tecnica: il commerciante che dichiara di avere il Pos fuori uso non è passibile di sanzione. Non solo. Per essere in regola con la nuova norma, esercenti e professionisti potrebbero limitarsi ad accettare anche un unico circuito e una sola tipologia di carta di debito (per esempio il bancomat) e una sola di credito, restringendo così il diritto degli utenti a pagare con Pos”.

https://www.key4biz.it/pos-obbligatorio-scattano-le-sanzioni-ma-lonere-della-denuncia-al-cliente/408922/

Le imprese e le organizzazioni della società civile avranno tempo fino al 30 settembre per proporre modifiche alle “Linee guida sulle certificazioni come strumento per i trasferimenti” dei dati personali in Paesi fuori dallo Spazio economico europeo, appena approvate dai Garanti privacy europei in seno all’EDPB. Lo scrive il Garante Privacy nel suo bollettino.

Documento in consultazione

Il documento messo in consultazione, e al quale ha contribuito anche il Garante italiano, fornisce chiarimenti ed esempi pratici per l’utilizzo delle certificazioni come strumento di trasferimento dei dati personali di interessati – come i propri clienti, dipendenti, utenti – verso Paesi terzi per i quali non sia stata riconosciuta l’adeguatezza da parte della Commissione europea. Lo strumento della certificazione può rivelarsi di particolare importanza, aggiungendosi ad altri strumenti già esistenti, come le clausole contrattuali standard, le clausole contrattuali ad hoc e le regole vincolanti di impresa.

Le linee guida appena approvate sono composte da quattro parti e approfondiscono aspetti specifici della certificazione come strumento per i trasferimenti.

• Nella prima parte si analizzano temi di carattere generale, tra cui il ruolo di chi importa dati nel Paese terzo che riceve una certificazione e quello di chi li esporta.
• Nella seconda parte, i Garanti forniscono chiarimenti su alcuni dei requisiti di accreditamento degli organismi di certificazione (già contenuti in precedenti linee guida EDPB e nell’ISO 17065).
• Nella terza parte si analizzano i criteri specifici per dimostrare l’esistenza di garanzie adeguate per il trasferimento, che riguardano in particolare la valutazione della legislazione dei Paesi terzi, gli obblighi generali degli esportatori e degli importatori, le norme in materia di trasferimenti successivi, i diritti dei terzi beneficiari e i mezzi di tutela esercitabili, le misure da adottare per le situazioni in cui la legislazione e le prassi nazionali impediscano il rispetto degli impegni assunti dall’importatore nell’ambito della certificazione e nei casi di richieste di accesso ai dati da parte delle autorità di paesi terzi.
• Nella quarta parte vengono affrontati gli impegni vincolanti e applicabili da attuare.

Impegni vincolanti necessari

Il GDPR impone infatti che i titolari e i responsabili del trattamento non soggetti al Regolamento europeo, quando aderiscono a un meccanismo di certificazione destinato ai trasferimenti, assumano impegni vincolanti ed esecutivi attraverso strumenti contrattuali o altri strumenti giuridicamente vincolanti, riguardo alle garanzie previste dal meccanismo di certificazione, anche per quanto riguarda i diritti degli interessati.

Le linee guida propongono anche un allegato con esempi specifici per l’utilizzo di una certificazione come strumento per i trasferimenti.

https://www.key4biz.it/gdpr-consultazione-fino-al-30-settembre-sulle-certificazioni-per-data-transfer-allestero/408915/

Le banche devono effettuare verifiche puntuali prima di comunicare i dati dei propri clienti ad altre persone, anche perché soggetti in precedenza autorizzati a conoscerli, nel tempo potrebbero aver perso questa facoltà. Lo ha affermato il Garante per la privacy, definendo il procedimento avviato a seguito del reclamo di una ragazza all’epoca dei fatti già maggiorenne, che contestava a una banca la comunicazione dei dati del proprio conto corrente a suo padre. Tali informazioni erano state poi prodotte in un giudizio pendente dinanzi al Tribunale.

Non basta la buona fede

Rispondendo alla richiesta di informazioni del Garante l’istituto di credito confermava quanto denunciato, ma a giustificazione dell’accaduto invocava la buona fede del proprio dipendente. Secondo la banca, infatti, l’operatore aveva consegnato al padre della reclamante copia della movimentazione del conto corrente della figlia perché in precedenza egli era autorizzato ad operare sul rapporto bancario, in quanto esercente la potestà genitoriale fino al raggiungimento della maggiore età della ragazza. Inoltre la conoscenza personale del padre, un ex dipendente della banca, aveva indotto l’impiegato a ritenere il genitore ancora autorizzato ad accedere ai dati contabili della figlia, senza effettuare alcuna verifica.

Violazione privacy

Giustificazioni insufficienti per l’Autorità, che ha dichiarato fondato il reclamo e ritenuto illecito il comportamento tenuto dalla banca tramite un proprio dipendente, il quale ha effettuato un accesso ai dati bancari della reclamante e li ha comunicati ad un terzo non autorizzato, in violazione della normativa sulla protezione dei dati personali. Inoltre, contrariamente a quanto sostenuto dalla banca, l’Autorità ha ritenuto non applicabile al caso l’esimente della buona fede. In base al costante orientamento della giurisprudenza, infatti, l’errore rileva quale causa di esclusione della responsabilità solo quando è inevitabile, ossia in presenza di circostanze tali da indurre l’autore della violazione al convincimento della liceità del suo agire o se comunque abbia fatto il possibile per osservare la legge. Circostanze che, appunto, non sono state riscontrate nel caso in esame.

Il Garante ha quindi applicato alla banca una sanzione amministrativa di 100mila euro, anche tenuto conto che l’istituto – già in passato destinatario di un provvedimento analogo – non ha dimostrato, nel rispetto del principio di responsabilizzazione (accountability), di aver adottato o solo avviato un’adeguata riflessione sulle istruzioni fornite al personale riguardo alle richieste di accesso ai dati bancari, limitandosi a richiamare le attività formative genericamente erogate.

https://www.key4biz.it/banche-garante-privacy-servono-verifiche-puntuali-prima-di-comunicare-i-dati-dei-clienti/408901/

Il Cloud si avvia ad essere il settore più regolamentato in Europa, insieme al farmaceutico e all’energia nucleare. Ce lo dimostra il pacchetto di provvedimenti europei in arrivo da Bruxelles e l’estenuante negoziato con le lobby dei GAFAM che per numero e per skills hanno da tempo raggiunto e superato i colleghi del pharma. E dal farmaceutico si ereditano pure alcuni concetti prima d’ora sconosciuti ed i loro processi autorizzativi che porteranno, come conseguenza, una percentuale significativa del carico di lavoro delle aziende, che dovrà spostarsi ad elaborare e inviare reportistiche di sicurezza sui prodotti delle diverse “capabilities” dei cloud providers (app, infrastructure, platform). 

Il processo di standardizzazione legato agli adempimenti di sicurezza, ambientali, di privacy e trasparenza, è sembrato fin qui il modo utile per introdurre una forma di semplificazione. La modulistica tecnica sarebbe quindi in grado di velocizzare anche il processo di controllo. Una forma di efficienza che potrebbe far gola anche alle PMI, che notoriamente non hanno un dipartimento regolamentare sviluppato come le BigTech. 

Molti oneri regolamentari saranno orizzontali a tutti gli operatori del settore. Il piccolo data center all’interno di un locale di 100mq, avrà gli stessi obblighi di un mostruoso centro di assorbimento energivoro costruito ad arte da un operatore extraeuropeo in una delle grandi capitali europee.  Nascono così le “region” cloud: degli “enclave” di diritto americano nel territorio europeo. 

Il 9 Giugno 2022 il Garante della Privacy italiano – intervenendo con un ammonimento su una fattispecie di trasferimento dati personali in America – ha di fatto colmato il vuoto interpretativo lasciato dalla sentenza Schrems II (del 2020) che ha cancellato il cd. Privacy shield (2016).

Siamo di fatto catapultati a 10 anni fa quando non c’era ancora il Safe Harbor (2013) colpito allo stesso modo dalla prima sentenza Schrems (2015). Quando una deroga viene colpita dalla Corte Europea difficilmente lascia un vuoto normativo. Quello che era lecito in base alla deroga, torna ad essere vietato nel momento in cui la deroga non opera più. 

Ci troviamo di fronte ad un illecito ogni volta che i dati personali europei vengano resi oggetto di attività di trasferimento all’estero in Paesi Terzi (non solo Stati Uniti) che non rispettano i principi europei – seppur con qualche distinguo tutto da dimostrare in merito al consenso ed alle misure GDPR e alle clausole negoziate.

Iniziano i primi problemi. Da Human Rights Watch arriva una denuncia molto forte: le piattaforme prodotte dai colossi del web e utilizzate durante la pandemia per lo svolgimento della didattica a distanza hanno violato la privacy degli studenti. 49 Paesi in totale, fra cui l’Italia, hanno fatto ricorso a prodotti digitali che sono stati in grado di monitorare i minori senza consenso alcuno. I nostri studenti sono stati profilati a scopo commerciale. 

Svizzera, Ungheria, Canada, Argentina e perfino Israele ma non solo, anche il Giappone sono tutti “Paesi terzi” in linea con gli standard europei della privacy: perché mai il problema con gli Stati Uniti dovrebbe ammettere condizioni negoziali precluse ad altri Stati? Perché mai la modifica normativa la deve fare Bruxelles e non può farla invece Washington impedendo al giudice americano di ficcare il naso altrove?

A ben vedere, non esiste un “vuoto normativo” da colmare: tanto è vero che a tutti i casi sopra elencati si applica il GDPR alla perfezione e resta perfettamente in piedi anche il procedimento di verifica, perché non è esso ad essere stato colpito dalla Corte Europea, ma la sua “deroga” (i.e. Privacy Shield).

Come dicevamo all’inizio, il cloud sta ereditando dal pharma una serie di controlli di sicurezza, di regole e principi, allora da esso tragga spunto anche per il trasferimento dei dati personali a Paesi terzi che non offrono le stesse garanzie del GDPR. Come avviene con decine di tipologie di sigarette al mentolo americane, o con i farmaci super potenti americani. Entrano solo quelli che rispettano le regole europee. Sia così anche per il cloud nazionale e per tutti i servizi digitali.

https://www.key4biz.it/regolamentazione-cloud-dopo-il-provvedimento-del-garante-privacy-prime-analogie-con-il-pharma/408785/

“I prodotti commerciali dovrebbero superare una valutazione tecnica di conformità relativamente alla privacy”, ci dice la senatrice Maria Laura Mantovani, componente del direttivo M5S a Palazzo Madama, nel commentare la grave denuncia di Human Rights Watch “Come osano sbirciare nella mia vita privata? 

Dad, Human Rights Watch: “Big tech hanno profilato studenti senza consenso”

Dall’analisi effettuata dall’organizzazione non governativa internazionale, che si occupa della difesa dei diritti umani, è emerso che i governi di 49 dei Paesi più popolosi del mondo, quindi, Italia compresa, sono stati complici nella violazione dei diritti e, in particolare, dei dati dei bambini, perché hanno consentito per la didattica a distanza, nel periodo di chiusura delle scuole causata dal Covid-19, l’utilizzo di piattaforme digitali, come quelle delle Big Tech, senza verificare l’esistenza di adeguate misure di protezione dei dati. 

Su 164 prodotti di tecnologia educativa (EdTech) approvati da 49 Paesi, Human Rights Watch ha scoperto che 145 (89%) ha effettuato, da marzo 2021, un trattamento di dati mettendo a rischio i diritti dei bambini. Concretamente, è emerso nella maggior parte dei casi le piattaforme hanno profilato a scopo commerciale gli studenti in segreto e senza il consenso dei diretti interessati o dei loro genitori, raccogliendo dati su:

• chi sono, dove sono, cosa fanno in classe, chi è la loro famiglia, chi sono i loro amici, il dispositivo usato.
• La profilazione illegale è avvenuta così: le piattaforme hanno inviato tutti i dati sopra citati alla tecnologia pubblicitaria (AdTech) e ad altre società terze; quando la lezione è finita, i tracker hanno seguito fuori dalla classe virtuale gli studenti verso le diverse app e siti utilizzati sul web. 

Human Rights Watch invita gli Stati coinvolti ad adottare leggi al passo coi tempi per prevenire simili abusi

Ora, anche per il prossimo anno scolastico, Human Rights Watch invita gli Stati coinvolti ad adottare leggi al passo coi tempi per prevenire simili abusi. “Anche l’Italia deve agire con la massima velocità e con fermezza a tutela della privacy di tutti i nostri studenti”, aggiunge la senatrice Mantovani.

L’intervista alla senatrice Maria Laura Mantovani (M5S): “Dichiarare una privacy policy adeguata alla comunità scolastica. E suggerisco anche l’utilizzo massivo di prodotti open source”

Key4biz. Perché è grave quanto svelato dal report di Human Rights Watch?

Maria Laura Mantovani. È grave, perché ha svelato che i governi dei Paesi più popolosi al mondo, compresa l’Italia, durante il periodo di lockdown per COVID-19, hanno suggerito e favorito l’utilizzo di piattaforme digitali per la didattica a distanza, senza aver effettuato i doverosi e necessari controlli per garantire la privacy delle bambine e dei bambini. 145 prodotti digitali per l’educazione, che sono stati analizzati, potrebbero aver messo a rischio i diritti dei bambini. I metodi per fare tali controlli erano a disposizione gratuitamente anche 2 anni fa, ma i governi non li hanno utilizzati e in questo modo hanno favorito indebitamente le aziende del digitale, permettendo loro di monetizzare mediante l’utilizzo dei dati personali dei bambini. I bambini potrebbero essere stati profilati e monitorati continuativamente allo scopo di renderli bersaglio di pratiche commerciali personalizzate.

Key4biz. Ha annunciato un’interrogazione parlamentare a chi e per chiedere cosa? 

Maria Laura Mantovani. Al Ministro dell’Istruzione per chiedere come intenda rimediare a queste violazioni, come tutelare i bambini i cui dati sono stati impropriamente divulgati, quali controlli verranno fatti d’ora in poi sui prodotti delle aziende che propongono strumenti digitali per l’educazione, quali aiuti per scuole, insegnanti e genitori per prevenire l’ulteriore raccolta e l’uso improprio dei dati dei bambini e per accrescere la consapevolezza su come tutelarsi. Ancora, se il Ministro è ancora convinto che sia opportuno assegnare a queste stesse aziende il compito di formare gli insegnanti sulle materie digitali.

Key4biz. Come avere la controprova della violazione dei dati da parte delle big tech?

Maria Laura Mantovani. Il report di Human Rights Watch spiega nel dettaglio i meccanismi utilizzati per profilare le persone. Il prodotto italiano maggiormente incriminato non permetteva di disattivare il meccanismo di profilazione, pertanto se la scuola aveva scelto tale prodotto, tutti gli studenti per poter partecipare alle lezioni venivano coinvolti nel meccanismo a loro insaputa. Purtroppo non c’era nemmeno l’informativa che specificava questa pratica e sia i bambini sia i genitori che gli insegnanti erano all’oscuro di tutto. Ma oggi non è più ammesso continuare ad essere degli sprovveduti.

Key4biz. Quali le sue contromisure per il prossimo anno scolastico?

Maria Laura Mantovani. I prodotti commerciali dovrebbero superare una valutazione tecnica di conformità relativamente alla privacy. Dovrebbero dichiarare una privacy policy adeguata alla comunità scolastica. Suggerisco anche l’utilizzo massivo di prodotti open source, sia per non incorrere in questi problemi, sia perché utilizzando gli open source si acquisisce molta più consapevolezza riguardo il funzionamento delle tecnologie digitali. Con l’open source si formeranno cittadini più attivi, più creativi e più consapevoli e dotati di senso critico. In definitiva, più liberi.

Key4biz. “Unire” può essere rilanciata o è lettere morta?

Maria Laura Mantovani. Unire, la rete unica dell’istruzione, si configura come un prezioso aiuto per tutte le scuole anche per affrontare queste criticità. Non è lettera morta, anzi rimane uno degli obiettivi del Movimento 5 Stelle per la scuola.

Per approfondire

Didattica digitale, perché non si crea una piattaforma nazionale basata su software libero?

Scuola. A Google anche i dati degli alunni dai 3 anni in poi

e-Learning. I 10 limiti (anche di privacy) di Google Suite, la più usata nelle scuole italiane

https://www.key4biz.it/dad-human-rights-watch-studenti-profilati-senza-consenso-da-big-tech-mantovani-m5s-interrogazione-al-ministro/408759/

Parte domani l’adozione della fatturazione elettronica anche peri forfettari, in linea con quanto stabilito dal Decreto PNRR 2. Dal 1° luglio scatta l’obbligo di fatturazione elettronica per i contribuenti che applicano il regime forfettario e che hanno conseguito, nel 2021, ricavi o compensi superiori a 25mila euro; per tutti gli altri, l’obbligo scatterà dal prossimo 1° gennaio 2024.

L’indagine

I liberi professionisti e le ditte individuali che adottano il regime fiscale forfettario, come percepiscono questa nuova e imminente introduzione? Ad indagare a riguardo è la nuova indagine Nielsen commissionata da Aruba, il principale cloud provider italiano e specializzato nei servizi di data center, web hosting, e-mail, PEC e servizi certificati, tra cui la fatturazione elettronica. 

Secondo i risultati della survey, svolta tra fine maggio e inizio giugno 2022, la nuova normativa polarizza gli intervistati, e i favorevoli e i contrari arrivano quasi ad equivalersi: il 40% si dice molto o abbastanza favorevole, a fronte di un 36,5% che invece si professa abbastanza o molto contrario. Il restante 23,5% del campione coinvolto si dice indifferente o poco interessato. Interessante il dato che sottolinea come i più favorevoli alla nuova normativa siano i giovani (18-34 anni), mentre, al contrario, i meno propensi appaiono gli over 55.

Misura di contrasto all’evasione

Coloro che hanno un atteggiamento favorevole, inoltre, ritengono che i vantaggi della nuova normativa siano legati soprattutto all’ottimizzazione della gestione delle fatture (43%) e al contrasto all’evasione fiscale (40,8%). Tra i benefici da evidenziare seguono l’obiettivo della dematerializzazione dei documenti (32,7%), la riduzione dei tempi (24%), una maggiore sicurezza (22%) e la diminuzione degli errori (21,6%). 

Uno su tre preoccupato da maggiori costi

Al di là della percezione complessiva, un professionista su tre si dice preoccupato – invece – dall’imminente obbligatorietà, principalmente per paura di dover sostenere nuovi costi aggiuntivi (58,2%) e di dover apprendere il funzionamento di processi nuovi e differenti da quelli utilizzati in precedenza e a cui era abituato (42,3%). Ulteriori dubbi nascono in relazione alla necessità di modificare l’attuale processo di gestione delle fatture (41,3%), al rischio di incorrere in sanzioni (26,5%) e a quello di complicare i rapporti con fornitori e clienti (21,5%).

In generale, al di là dell’obbligatorietà, più di un terzo degli intervistati emette già fatture elettroniche e nel 77% dei casi se ne occupa in prima persona. A delegare l’attività ad un commercialista è poco più del 21% del campione preso in esame da Nielsen. 

Velocità di gestione driver della fattura elettronica

In più, secondo gli intervistati, la velocità di gestione delle fatture è il primo driver di scelta in un servizio di fatturazione elettronica (58,1%) seguito dal supporto tecnico online via chat (33,3%) e da una chiara visione grafica dell’attività (31,5%).

Una curiosità che emerge dall’indagine Aruba-Nielsen: quante fatture emette in media un forfettario? Secondo lo studio, circa l’83% dei professionisti coinvolti dalla nuova normativa emette fino a 50 fatture l’anno; il 10,5% fino a 100 e solo il restante 6,5% supera le 100. 

“La fatturazione elettronica è oramai parte integrante di un processo di digitalizzazione capace di ridurre i costi amministrativi delle imprese e consentire un risparmio di tempo, spazio e sicurezza di archiviazione – ha commentato Gabriele Sposato, Direttore Marketing di Aruba – Benefici che riscontreranno anche i professionisti in regime forfettario che sperimenteranno a breve una più efficace gestione dell’intero sistema di fatturazione a beneficio dei processi aziendali, più agili e sicuri, e anche dell’ambiente, grazie ad una riduzione massiva delle fatture cartacee.”

Secondo l’indagine, all’interno del mercato della fatturazione elettronica, Aruba è il provider più conosciuto (76%), seguito da Buffetti (45%) e da Fatture in Cloud (38%).

https://www.key4biz.it/lobbligo-di-fatturazione-elettronica-divide-i-forfettari/408745/

Alcuni giorni fa, il Garante per la protezione dei dati personali è intervenuto, come noto, sulla questione del legittimo utilizzo di Google Analytics come strumento di analisi dell’attività degli utenti all’interno di un sito web. In particolare, con provvedimento n. 224 del 9 giugno 2022, adottato all’esito di una complessa istruttoria avviata nei confronti del gestore del sito www.caffeinamagazine.it^[1], il Garante ha dichiarato l’illegittimità dei trattamenti di dati personali effettuati per il tramite di Google Analytics, nella misura in cui implicano il trasferimento di dati personali verso gli Stati Uniti in assenza di garanzie adeguate, ai sensi dell’art. 46 del Regolamento (UE) 679/2016 (GDPR). 

Il tema torna ad essere al centro del dibattito, essendo già stato oggetto di un’iniziativa lanciata nell’ambito del progetto MonitoraPA e volta a promuovere l’utilizzo dello strumento di analisi Web Analytics Italia^[2]. Pertanto, il problema non è nuovo e non riguarda solo Google Analytics. Nel luglio 2020, con la nota sentenza “Schrems II”^[3], la Corte di Giustizia dell’Unione Europea dichiarava l’inadeguatezza della protezione offerta dal cd. Privacy Shield, osservando che alcune disposizioni normative statunitensi (in particolare l’Executive Order 12333 e il Foreign Intelligence Surveillance Act) autorizzano le Autorità pubbliche, per finalità di sicurezza nazionale, ad accedere ai dati personali trasferiti negli USA in maniera sostanzialmente illimitata e senza riconoscere in favore degli interessati mezzi di tutela in sede giudiziaria. 

I problemi legati all’utilizzo di Google Analytics

Nel caso esaminato dal Garante, l’utilizzo di Google Analytics comportava la raccolta di dati relativi alle modalità di interazione degli utenti con il sito web, nonché con le singole pagine e con i servizi offerti dalla società Titolare del trattamento. Gli stessi dati erano oggetto di trasferimento verso Google LLC, avente sede negli Stati Uniti^[4]. Come ricordato dall’Autorità, occorre considerare che l’indirizzo IP costituisce un dato personale “nella misura in cui consenta di identificare un dispositivo di comunicazione elettronica, rendendo pertanto indirettamente identificabile l’interessato in qualità di utente”, specialmente nel caso in cui “l’IP sia associato ad altre informazioni relative al browser utilizzato, alla data e all’ora della navigazione”. La facilità di identificazione dell’interessato, oltretutto, diviene ancora più elevata qualora il visitatore del sito web acceda al proprio account Google – come nel caso oggetto di provvedimento – rendendo possibile l’associazione dei dati di navigazione con altre informazioni collegate allo stesso account, come l’indirizzo e-mail, il numero di telefono e altre informazioni sociodemografiche come l’età o il genere di appartenenza. 

In mancanza di misure che garantiscano un livello di protezione adeguato alle persone fisiche, spetta, dunque, all’esportatore valutare la concreta possibilità di accesso da parte delle Autorità statunitensi ai dati oggetto di trasferimento e adottare misure supplementari che garantiscano un livello di protezione dei dati personali sostanzialmente equivalente a quello previsto dal Regolamento^[5]. 

Argomentazioni non convincenti

Le argomentazioni addotte, a questo proposito, dalla società Titolare del trattamento non sono state ritenute sufficienti, tuttavia, a comprovare il rispetto delle garanzie di protezione richieste dal GDPR. 

Da un lato, infatti, l’Autorità Garante ha ricordato che è compito del Titolare determinare autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali, in ossequio al principio di accountability, che si traduce, con riguardo ai trasferimenti transfrontalieri, nel dovere di verificare, caso per caso e in modo proattivo, se l’importatore sia in grado di assicurare il rispetto degli obblighi previsti dalla normativa. A nulla varrebbe, secondo il Garante, lo squilibrio di potere tra Google Ireland Limited e il gestore del sito, “che non ha né i mezzi né le possibilità operative o tecniche per imporre al fornitore modifiche delle misure di sicurezza”, non potendo esercitare “alcuna forza contrattuale per intrattenere dialoghi commerciali con la sua controparte [né] (..) per interagire con la stessa”^[6]. 

Allo stesso modo, il Garante non ha giudicato pertinenti i rilievi del Titolare in merito alla sostanziale improbabilità che le Autorità statunitensi possano utilizzare gli indirizzi IP o i cookie raccolti tramite Google Analytics, che non sarebbero “di principale interesse per le attività di intelligence”, anche in considerazione del tenore degli articoli e delle tematiche trattate sul sito web, “di taglio leggero e concentrato su ambiti di spettacolo”. Sul punto, senza entrare nel merito degli argomenti del gestore, l’Autorità ha sostenuto laconicamente – e, sia consentito, con un certo bizantinismo – che tale valutazione verte sulla “probabilità che si verifichi il rischio di accesso ai dati da parte di terzi” e non sulla “gravità della possibile insorgenza del rischio”.

In ultimo, con riferimento all’adeguatezza delle misure supplementari implementate da Google alla luce della Raccomandazione n. 1/2020 del Board, l’Authority ha osservato che i meccanismi di cifratura dei dati, durante il trasferimento fra sistemi (in transit) e quando sono memorizzati nei sistemi (at rest), “non sono sufficienti ad evitare i rischi di un accesso, ai fini di sicurezza nazionale, ai dati trasferiti dall’Unione europea da parte delle Autorità pubbliche degli Stati Uniti”, in quanto la chiave di cifratura è nella disponibilità di Google LLC, che potrebbe essere obbligata a comunicarla alle stesse Autorità. Tale circostanza condiziona, di fatto, l’efficacia delle ulteriori garanzie contrattuali e organizzative adottate dall’importatore^[7]: in sostanza, come anche osservato dall’EDPB, le misure di tipo contrattuale e organizzativo non sono idonee, di per sé, a limitare le possibilità di accesso ai dati oggetto di trasferimento, in mancanza di misure tecniche che rendano inintelligibili gli stessi dati.

In definitiva, il Garante ha ammonito il Titolare, ingiungendo di conformare il trattamento di dati personali degli utenti del sito web effettuato per il tramite di Google Analytics alle pertinenti disposizioni del GDPR, entro il termine di novanta giorni dalla notifica del provvedimento, adottando misure supplementari adeguate. In mancanza, i flussi di dati verso Google LLC dovranno essere sospesi.

Il che significa, in pratica, che per ottemperare all’ingiunzione dell’Autorità, il gestore del sito dovrebbe fare in modo che Google LCC rinunci alla disponibilità della chiave di cifratura dei dati – peraltro necessaria per effettuare elaborazioni sui dati in chiaro – o adotti, entro novanta giorni, misure tecniche ulteriori che impediscano materialmente alle Autorità statunitensi di accedere ai dati trasferiti verso gli USA. 

Si tratta, come ognuno potrà comprendere, di uno scenario altamente inverosimile.^[8]

Di fatto, il gestore del sito non potrà fare altro che dismettere Google Analytics, in favore di un altro strumento di web analysis che non comporti il trasferimento extra UE di dati personali. 

E tutti “gli altri titolari” del trattamento?

La domanda, a questo punto, è: come dovrebbero comportarsi tutti gli altri Titolari del trattamento, pubblici e privati? È certamente vero, infatti, che si tratta di un provvedimento specifico, riferito a una singola società^[9]. Ma il problema resta, e non è, ovviamente, limitato a Google Analytics, ma a tutto il web saldamente in mano oggi agli OTT (Over The Top), cioè a tutti i fornitori di servizi on line che si trovano in una situazione simile a quella di Google nel rapportarsi contrattualmente con i propri Committenti e nel gestire, in una situazione ormai di oligopolio, le dinamiche commerciali (e comportamentali) del mondo digitale.

Tanto è vero che, a distanza di pochi giorni dal provvedimento del Garante italiano, l’Autorità tedesca per la protezione dei dati ha pubblicato, sul proprio sito istituzionale, le domande frequenti sull’uso di Microsoft 365. 

Non solo Google: la questione si allarga a Microsoft

Pur non trattandosi di un provvedimento cogente, l’intervento del Garante tedesco potrebbe avere effetti di portata estremamente ampia, in considerazione della maggiore diffusione della soluzione software di Microsoft Corporation, rispetto a Google Analytics, e della quantità di applicazioni comprese nella suite Microsoft 365. Così, all’allarmismo generalizzato scatenato dal provvedimento della nostra Authority nei gestori di siti che utilizzano Google Analytics, si è aggiunta l’apprensione degli utenti, pubblici e privati, che quotidianamente ricorrono a Microsoft 365. Dal canto suo, il Garante tedesco ha offerto più di un motivo per nutrire diffidenza verso Microsoft Corporation, evidenziando, ad esempio, che l’opzione di archiviazione dei dati su server europei si riferisce alle sole informazioni che, nei “Termini dei servizi online” di Microsoft, sono indicati come “dati del cliente”^[10], ma non ai “dati diagnostici”, raccolti o ricevuti da Microsoft attraverso il software installato in locale dall’utente (anche definiti “dati di telemetria”) né ai “dati generati dal servizio”, generati o dedotti nell’ambito della gestione di qualsiasi servizio online fornito da Microsoft^[11]. Tutti questi dati vengono archiviati su server allocati negli Stati Uniti. Non solo. Il Garante alemanno evidenzia che anche i cosiddetti “dati del cliente”, per i quali Microsoft garantisce l’archiviazione su server europei, potrebbero essere oggetto di accesso da parte delle Autorità statunitensi, dal momento che il cd. “CLOUD Act” impone ai provider USA di consentire l’accesso ai dati, anche se sono archiviati al di fuori degli Stati Uniti.

Circostanza, questa, tanto più preoccupante, se si considera che la mancanza di garanzie di protezione dei dati riguarda principalmente i prodotti basati su cloud. Le misure tecniche e organizzative per impedire l’invio di dati diagnostici a Microsoft o, comunque, ottenere un livello di protezione adeguato dei dati personali degli utenti di Microsoft 365, esistono e sono puntualmente indicate dal Garante tedesco. Si tratta, però, di soluzioni che, oltre a richiedere sforzi non indifferenti, in termini di tempo, costi e competenze tecnico-informatiche, potrebbero non essere sufficienti a fare da scudo di fronte alle ingerenze delle Autorità d’oltreoceano. 

In fondo, però, le indicazioni dell’Authority tedesca, come già di quella italiana, rappresentano il naturale e prevedibile precipitato della sentenza Schrems II. Rilevare la sostanziale assenza di garanzie di trasferimento idonee dei dati personali verso gli Stati Uniti, dopo la pronuncia della Corte di Giustizia e le Raccomandazioni dell’EDPB è come far notare l’elefante seduto in salotto. In entrambi i casi, le Autorità Garanti si sono espresse esattamente nel modo in cui ci si sarebbe aspettati, sulla base di principi corretti e di argomenti formalmente ineccepibili.

La sudditanza europea ai “padroni” della Silicon Valley

È evidente, d’altra parte, che il monito dei Garanti non è rivolto solo ai Titolari del trattamento. Entrambi i provvedimenti si incardinano all’interno di ingranaggi politici, con l’intento di accelerare la conclusione di un nuovo accordo sul trasferimento di dati personali tra Unione Europea e Stati Uniti, sollecitando, al contempo, una più ampia riflessione sulla sudditanza europea rispetto ai padroni della Silicon Valley, che hanno accumulato un potere di mercato tale da portare intere economie nazionali ad orbitare attorno a un numero limitato di attori. I provvedimenti dei Garanti, in questo senso, sono un sasso in uno stagno, ma vanno comunque valutati positivamente, perché contribuiscono ad amplificare temi essenziali per i nostri diritti e libertà fondamentali

Ora, è il momento di capire dove vogliamo andare. Fino a quando durerà il braccio di ferro tra Unione Europea e Stati Uniti per la conclusione del Trans Atlantic Data Privacy Framework, le carte potranno cambiare ben poco sul tavolo dei Titolari e dei Responsabili del trattamento che esportano enormi moli di dati personali al di là dell’oceano.  

Non è un mistero che la nostra economia digitale sia largamente fondata su infrastrutture extraeuropee. Per questo, se non vogliamo affiggere alla porta del web un avviso di allerta permanente, è necessaria la costruzione di una più solida Europa digitale. Dobbiamo renderci conto della necessità di investire sulla sovranità digitale europea, rafforzando le infrastrutture e promuovendo le competenze. 

La scommessa è quella di definire una strategia comune per realizzare un’alternativa all’offerta tecnologica dominata dall’oligopolio degli OTT, che minacciano la sicurezza e l’integrità dei nostri dati personali, sottoponendoci a rischi continui di controllo e anche manipolazione. Spetta, adesso, all’Unione Europea farsi carico del proprio destino nell’era digitale, per difendere i nostri valori e dare impulso alla nostra autonomia, come singoli e come collettività. 

^[1] Oltre ai profili di illiceità derivanti dall’utilizzo di Google Analytics, oggetto di reclamo presentato all’Autorità Garante da un utente dello stesso sito web, l’istruttoria ha consentito di accertare la violazione dell’art.13, par. 1, lett. f) del Regolamento (UE) 679/2016, che impone al titolare del trattamento di rendere edotti gli interessati anche in ordine “all’intenzione di trasferire dati personali a un paese terzo” nonché “all’esistenza o l’assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all’articolo 46 o 47, o all’articolo 49, paragrafo 1, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali garanzie o il luogo dove sono state rese disponibili”.

^[2] Sul punto, ci sia consentito ricordare il vivace Talk presente su DIGEAT +

^[3] Per approfondire la questione legata al trasferimento transfrontaliero dei dati personali, si invita a rivedere il webinar tenuto dall’autrice, Avv. Carola Caputo: “America oggi. Il trasferimento dei dati personali verso gli Stati Uniti dopo la sentenza “Schrems II” disponibile gratuitamente su piattaforma DIGEAT + https://www.digeat.it/webinar-cpt/america-oggi-il-trasferimento-dei-dati-personali-verso-gli-stati-uniti-dopo-la-sentenza-schrems-ii/

^[4] Più precisamente, in base ai “Google Analytics Terms of Service” e dei “Google Ads Data Processing Terms”, Google Ireland limited riveste il ruolo di Responsabile del trattamento dei dati raccolti tramite Google Analytics e può avvalersi di altri soggetti, in qualità di sub-responsabili del trattamento, fra cui Google LLC.

^[5] In tal senso, come pure ricordato dal Garante, si è espresso l’EDPB con la Raccomandazione n. 1/2020 relativa alle misure che integrano gli strumenti di trasferimento al fine di garantire il rispetto del livello di protezione dei dati personali dell’UE.

^[6] L’asimmetria di potere contrattuale derivante dalla primaria posizione di mercato assunta da Google nel settore dei servizi di web analytics, tuttavia, è stata valutata dal Garante ai fini della graduazione della sanzione, considerando che il Titolare del trattamento “ha erroneamente assunto come idonee, sulla base delle informazioni rese da Google, le misure supplementari adottate da quest’ultima senza esercitare alcun potere decisionale in merito alle stesse”.

^[7] Tali misure consistono, in particolare, nello specifico nell’impegno a: 

• verificare, ai sensi della normativa statunitense, la legittimità di ogni singola richiesta di accesso ai dati degli utenti oggetto di trasferimento da parte delle Autorità pubbliche, valutandone la proporzionalità; 
• non accogliere la stessa ove, a seguito di un’attenta valutazione, si concluda che non sussistano i presupposti in base alla normativa di riferimento;
• comunicare tempestivamente all’interessato le richieste di accesso provenienti dalle Autorità pubbliche statunitensi, salvo che tale comunicazione sia vietata dalla relativa normativa, informando ad ogni modo l’interessato qualora il divieto di cui sopra venga revocato;
• pubblicare un “Transparency Report” recante una sintesi delle richieste di accesso ai dati ricevute da parte delle Autorità pubbliche statunitensi, nella misura in cui tale pubblicazione sia consentita dalla relativa normativa;
• pubblicare la policy di gestione delle richieste di accesso ai dati degli utenti oggetto di trasferimento da parte delle Autorità pubbliche statunitensi.

^[8] Potrebbe, forse, risultare adeguata agli standard di protezione richiesti dal GDPR l’ultima versione di Google Analytics, GA4, in quanto basata sull’assenza di tracciamento dell’indirizzo IP associato al dispositivo dell’utente. Anche in questo caso, tuttavia, sarebbe necessario analizzare la configurazione di GA4 (del quale il Garante per la protezione dei dati personali non ha potuto tenere conto nel provvedimento in esame e sul quale, peraltro, non ancora fornito indicazioni ufficiali) per comprendere se sia effettivamente esclusa la raccolta dell’IP, o se lo stesso venga cancellato dopo essere stato inviato sui server di Google.

^[9] Particolare, questo, apparentemente trascurato all’Ufficio stampa del Garante, che ha veicolato, sul sito istituzionale e sui profili social dell’Autorità, il messaggio per cui il trasferimento di dati personali verso gli Stati Uniti realizzato attraverso Google Analytics sarebbe stato giudicato illecito tout court e in via generale, probabilmente per favorire un meccanismo di “moral suasion” nei confronti di tutti i Titolari.

^[10] Ossia, come precisato dal Garante tedesco, “qualsiasi dato, inclusi qualsiasi file di testo, audio, video o immagine e software, fornito a Microsoft da o per conto della Società”. 

https://www.key4biz.it/google-analytics-e-microsoft-365-lintervento-dei-garanti-rischia-di-bloccare-il-web-in-europa/408699/

Non è un concetto nuovo nell’ambito digitale quello di una realtà basata su un mondo virtuale, ma oggi si sta assistendo a un’esplosione dell’interesse per il Metaverso, che promette di far vivere esperienze immersive, di poter testare prodotti prima della loro realizzazione, di riuscire a incontrare persone inavvicinabili nella realtà. Tra i vari segmenti economici, anche quello immobiliare sta trovando una sua naturale collocazione e ha registrato negli ultimi dodici mesi un’importante e costante crescita. L’aumento degli “investimenti immobiliari” a livello globale si è concretizzato alla fine del 2021 e per il 2022 si prevedono circa 1,5 miliardi di euro, che potrebbero sfiorare il 2,5 miliardi nel 2023 e gli oltre 3,5 nel 2025. Sono queste alcune previsioni che emergono dalla ricerca LA CASA NEL METAVERSO a cura di Scenari Immobiliari, presentata oggi a Milano nel corso del convegno FORUM DELL’ABITARE 2022.

“Attualmente – ha commentato Francesca Zirnstein, direttore generale di Scenari Immobiliari – il Metaverso è, prima di ogni altra cosa, un innovativo mezzo di divulgazione per il mondo della comunicazione, dei giochi, del marketing e della moda, che stanno trovando in questi spazi virtuali una nuova vetrina adatta a interessare i possibili acquirenti, in costante aumento. Le aspirazioni dei costruttori, tuttavia, vanno oltre questa tradizionale caratteristica e la progettazione di ambienti molteplici e riconoscibili, tipologici e funzionali, punta alla realizzazione di un mondo virtuale che ambisce a diventare un asset class di investimenti concreta.” 

Gli investimenti immobiliari nel Metaverso

L’aumento degli investimenti si è concretizzato alla fine del 2021: fino a dicembre 2020, infatti, nonostante gli annunci di transazioni di lotti virtuali di terreno a prezzi in crescita mensilmente anche oltre il mille per cento, il numero di transazioni era estremamente limitato e, dalle prime compravendite su SuperWorld nel 2018, aveva totalizzato circa 62 milioni di euro.

La prima grande svolta si è avuta nell’ottobre del 2021, quando Mark Zuckerberg ha mutato la denominazione dell’azienda da lui fondata in Meta Platforms, scegliendo per logo il simbolo matematico dell’infinito, puntando l’attenzione del pubblico sulle sue piattaforme, 5,45 miliardi di utenze, il suo Metaverso e dando inizio a una nuova era. Un’operazione che ha portato, nel corso dell’ultimo trimestre del 2021, all’allocazione di circa 315 milioni di euro di investimenti, che hanno permesso di superare i 490 milioni di euro nel corso del 2021.

Da qui le grandi aspettative per il 2022, indicate in circa 1,5 miliardi di euro. La spiccata dipendenza dimostrata da questo tipo di investimenti nei confronti dell’impressione scatenata dall’informazione mediatica ha manifestato tutta la sua forza nei primi mesi dell’anno in corso, con gennaio e febbraio che hanno chiuso entrambi con circa 80 milioni di euro di allocazioni e i mesi successivi con circa la metà.

Il 2022 avrebbe quindi restituito una performance complessiva ben inferiore rispetto alle previsioni di fine 2021 se, durante il mese di marzo non fosse stata annunciata la creazione di un nuovo Metaverso, Otherside, che ha portato sul mercato circa 55mila lotti di terreno ceduti in pochi giorni a circa 790 milioni di euro complessivi.

Le compravendite immobiliari nel Metaverso

Sono sempre più numerose e importanti in termini economici le transazioni nei mondi del Metaverso. Attualmente a monopolizzare il mercato sono le quattro principali piattaforme, The Sandbox, Decentraland, Cryptovoxels e Somnium, su cui si trovano in commercio circa 270 mila metaproprietà immobiliari di diverse dimensioni. Le stesse non hanno un mercato regolamentato, il funzionamento è basato sui parcel, appezzamenti o lotti di terra virtuali messi a disposizione da ogni piattaforma. Gli utenti possono quindi comprare un appezzamento per poi costruirvi un immobile, proprio simulando ciò che avviene nel mondo reale, con operazioni di acquisizione che possono essere gestite da agenti o broker che operano nel Metaverso e chiudono le transazioni tramite smart contracts. Il valore di vendita dei singoli beni, nonostante lo scambio avvenga in un mondo virtuale, risponde a dinamiche immobiliari già presenti nel mondo reale.

Tra tutte le realtà esistenti, spiccano le transazioni effettuate in The Sanbox che, nel 2021, ha fatto registrare i maggiori livelli di scambi, con 65mila transazioni e un totale di 350 milioni di dollari di investimenti, risultato tre volte superiore a quanto raggiunto dal secondo Metaverso più grande Decentraland, che per lo stesso anno ne ha “concretizzate” 21mila, per un valore totale di 110 milioni di dollari.

Il mercato immobiliare del Metaverso è, dunque, evidentemente in costante sviluppo, con un volume di affari in forte espansione e con grande attenzione nei confronti dell’asset immobiliare costituito dai metaterreni, considerati oggi meno rischiosi di altri tipi di investimento. Attualmente si stima che il valore complessivo del patrimonio immobiliare nei Metaverso ammonterà a quasi 2,5 miliardi di euro entro la fine del 2022 e che potrebbe crescere nel corso del prossimo triennio, fino a sfiorare i 28 miliardi di euro nel 2025.

Il Metaverso rappresenta quindi una realtà da scoprire, un bacino di potenzialità estremamente complesse e per le quali non sono ancora chiare regole, prospettive di durata e solidità. Ma rappresenta anche un contenitore di desideri e mode e, se letto correttamente, di tendenze della domanda e come tale può essere strumento per dare risposta a desideri nella realtà.

https://www.key4biz.it/metaverso-previsti-investimenti-immobiliari-globali-per-15-miliardi-di-euro-nel-2022/408623/

Certificazioni e compliance agli standard di sicurezza europei e nazionali, interoperabilità delle API, portabilità dei dati e dei servizi per evitare i lock in, supporto massimo all’open source e agli open data, rispetto del GDPR ed esportazione del modello etico e degli alti standard di protezione dei dati anche al di fuori dei confini europei: questi i temi condivisi dal gruppo cloud di AIIP – Associazione Italiana Internet Provider e dai colleghi francesi di OVHcloud in occasione dell’evento “Affermare la sovranità digitale europea: il consensus di Roma” organizzato ieri dal cloud provider nella prestigiosa cornice di Palazzo Farnese a Roma, sede dell’ambasciata francese.

AIIP e OVHcloud sulla stessa linea

Presenti il Presidente di AIIP Giovanni Zorzoni, accompagnato dal Segretario Gabriele Matteo Fiorentini (nella foto), che hanno rilevato come moltissimi siano i punti in comune tra il documento strategico sul cloud realizzato dall’Associazione, inviato al MITD prima del varo dei bandi sul digitale, e la visione non solo di OVHcloud, ma anche di buona parte dell’industria transalpina che, alla stregua della realtà in cui operano le PMI italiane, è composta da incubatori, startup e aziende consolidate nel mercato del digitale.

“AIIP ha sempre sostenuto come il rispetto delle regole europee sia la via maestra per eliminare l’asimmetria tra attori europei ed extraeuropei all’interno dell’Unione”, ha affermato Zorzoni rivolgendosi al CEO di OVHcloud Michel Paulin, che poco prima si era espresso in maniera molto determinata evidenziando la necessità di agire subito in ambito cloud attraverso l’unione di tutte le forze del comparto digitale europeo.

Ribilanciare la spesa pubblica

Il Presidente di AIIP e Paulin hanno inoltre convenuto sulla necessità per “l’ecosistema dei dati” di garantire tutti i valori europei senza compromessi, rispettando i diritti dei cittadini, rinnovando l’impegno pubblico e privato nella ricerca e sviluppo, ribilanciando la spesa pubblica del digitale (al momento totalmente spostata verso i grandi OTT che, per AIIP, non tengono in sufficiente considerazione il trattamento dei dati secondo il GDPR) e promuovendo la formazione multidisciplinare con l’obiettivo di garantire un’adeguata quantità di addetti per il futuro.

Zorzoni (AIIP): ‘Autonomia in campo cloud è il primo passo’

“Il gruppo di lavoro cloud di AIIP si sta impegnando duramente per portare alla giusta attenzione del decisore pubblico la visione anche etica delle aziende che compongono l’Associazione, interfacciandosi anche con altre realtà che condividono il suo punto di vista – ha aggiunto Zorzoni – Ecco perché è indispensabile sensibilizzare il MITD e il MISE su quali siano le scelte più opportune per far prevalere in campo nazionale ed europeo un contesto di “level playing field”. L’autonomia in campo cloud è il primo passo verso un contesto in cui anche i semiconduttori e l’intelligenza artificiale possano diventare portatori degli alti valori civili del Vecchio Continente, e non più blackbox di cui il cittadino e le istituzioni debbano fidarsi a prescindere. Rinunciare a spingere l’acceleratore su quell’ecosistema di aziende europee che producono ricerca, prodotti e rapporto costante con l’università – ha concluso il Presidente di AIIP – significa diventare banali utilizzatori di sistemi altrui, ipotecando un futuro di sviluppo per le prossime generazioni”.

https://www.key4biz.it/sovranita-digitale-europea-aiip-si-ottiene-rispettando-le-regole-chi-lo-fa-va-premiato/408610/