Nicola Bernardi, presidente di Federprivacy, mostra come il servizio di Google Maps chiede il consenso alla geolocalizzazione per raggiungere una determinata destinazione, ma dal quel momento in poi registra con estrema accuratezza ogni spostamento dell’utente, con precisi dettagli riguardanti gli itinerari percorsi, i mezzi di trasposto utilizzati, i nomi di locali ed esercizi commerciali frequentati, e perfino le foto scattate dallo smartphone, immagazzinando quantità enormi di dati personali degli utenti spesso ignari e conservando tutto nei propri server per lungo tempo.

[embedded content]

Per approfondire:

‘Google Maps, ecco cosa succede quando dai il consenso’. Videointervento di Nicola Bernardi (Federprivacy)

Ha suscitato scalpore il caso di Cambridge Analytica, come se non sapessimo che Facebook non è proprio il miglior amico della nostra privacy.

Assorbiti dai suoi aspetti ludici a suon di condivisioni e “like”, avevamo forse dimenticato che se un’azienda fattura 40 miliardi di dollari l’anno fornendo servizi gratuiti ai propri utenti, c’è la concreta possibilità che il reale prodotto siamo noi con le informazioni personali che ci riguardano.

Tuttavia, quella di Facebook è solo la punta dell’iceberg di un fenomeno che coinvolge la maggior parte dei colossi del web, i quali da molti anni stanno tenendo un comportamento non troppo rispettoso per la privacy dei loro utenti, caratterizzato da informative spesso poco chiare e consensi richiesti quando fruiamo di uno specifico servizio che richiede i nostri dati personali, i quali vengono poi però utilizzati per ben altre finalità e conservati per periodi di tempo molto più lunghi di quanto si possa immaginare.

Ad esempio, un qualsiasi utente che per arrivare ad una determinata destinazione voglia utilizzare il servizio Google Maps con il proprio smartphone, si vede richiedere il consenso per essere geolocalizzato.

Se fin qui nessuna richiesta eccessiva perché la finalità percepita è quella della necessità di Google di conoscere il luogo di partenza per indicarci l’itinerario che conduce alla località desiderata, ci si aspetterebbe però che una volta terminato l’utilizzo del servizio cessi anche quel trattamento dei dati.

In realtà, quella geolocalizzazione non cesserà affatto, a meno che un utente con un certo grado di ingegno non si prenda la briga di andare nelle impostazioni a cercare la funzione per disattivarla, contrariamente ai princìpi della “privacy by default” introdotti dal nuovo Regolamento UE 2016/679, che per questo tipo di non conformità prevede sanzioni fino al 2% del fatturato globale annuo del trasgressore, e in questo caso chiamandosi esso Google la multa potrebbe quindi potenzialmente arrivare a più di 2 miliardi di euro.

Ma il problema dell’utente non è tanto quello di continuare ad essere geolocalizzato in modo persistente diversamente da quanto egli potrebbe credere, peraltro vedendosi comparire sul display varie informazioni e consigli collegati ai luoghi ove si trova, quanto il fatto che se andrà nella cronologia del proprio account potrà constatare che Google registra con accuratezza tutti i suoi spostamenti con data ed orario, itinerari percorsi,  quali mezzi ha utilizzato (ad esempio treno, auto, oppure se ha camminato a piedi), ma anche i nomi dei locali e degli esercizi commerciali che ha frequentato, e addirittura anche le immagini che ha scattato con la fotocamera del proprio telefonino nei luoghi che ha visitato: una enorme mole di dati personali che vengono conservati nei server di Google per tempi imprecisati.

E può risultare frustrante anche cercare di contattare Google per esercitare i propri diritti sulla privacy, in quanto ad oggi non risulta reperibile un punto di contatto con il Responsabile della Protezione dei Dati (il cosiddetto Data Protection Officer), così come di poco conforto è provare a trovare eventuali delucidazioni nell’informativa sulla privacy del colosso di Mountain View, che in quanto a trasparenza lascia purtroppo a desiderare, ciò nonostante il Regolamento UE 2016/679 imponga che le “informazioni destinate al pubblico o all’interessato siano concise, facilmente accessibili e di facile comprensione e che sia usato un linguaggio semplice e chiaro”.

Comunque dal 25 maggio saranno operative le nuove regole sulla privacy dalle quali sono attese pesanti multe per chi non le rispetta e più tutele per gli utenti, con la speranza che magari nel frattempo Google vi si possa adeguare.

Per approfondire:

Privacy, basta un click e Google Maps ti pedinerà ovunque

Nonostante il tanto “vociferare” sul nuovo regolamento circa la protezione dei dati personali sembri un’attività riservata al legislatore, avvocati e specialisti d’azienda, ci tengo a rammentare – e non è la prima volta che lo facciamo in questa rubrica – che il tema privacy, e tutti i complessi meccanismi di protezione che vi ruotano attorno, prima di essere questioni da considerare per tutela del business, sono anche un aspetto fondamentale della responsabilità sociale d’impresa, argomento che ogni organizzazione è chiamata a gestire.

Non è infatti più pensabile, in una realtà così complessa, veloce ed iperconnessa, che le aziende si adeguino a svolgere le attività di business solamente evitando le sanzioni e cercando di ridurre al minimo i danni per sé stesse, senza pensare agli impatti che possono produrre sui diritti delle persone interessate.

Tutto ciò premesso, e con estrema considerazione per l’incessante prodigarsi delle autorità garanti per la privacy, resta però da chiedersi se i diretti interessati, le persone i cui dati sono oggetto dei trattamenti, hanno consapevolezza dei propri diritti e dei meccanismi che ne determinano la liceità. Nonostante nel nostro paese si sia passati dalla 675/96, alla 196/03 ed ora al regolamento UE 16/679, in un ventennio il livello di ignoranza e di opportunismo sul tema della privacy sono rimasti invariati. Anzi no, forse adesso sono ancor più che allora degradati dal parlottio populista e demagogico tipico solo di questa generazione, nella quale i diritti d’informazione e d’espressione si sono fusi in un opinionismo che viaggia incontrollato come mai prima.

Di contro c’è anche da domandarsi se chi aveva il compito di regolamentare questo processo di acquisizione di consapevolezza circa i diritti degli interessati ha lavorato come doveva.

Di qui alcuni interrogativi: chi si è preoccupato di spiegare agli interessati i propri diritti in materia di protezione dei dati personali? Non il legislatore, grazie ad un testo che è da mesi oggetto di interpretazioni, spesso anche in contrasto, difficile da leggere persino per gli addetti ai lavori. Ed i giornalisti? Se chi fa questo lavoro si ricordasse che la deontologia professionale impone non solo di riportare i fatti – non sempre in una corsa contro il tempo per arrivare per primi su una notizia, meglio se eclatante, e col miraggio fisso davanti agli occhi del pay per click – ma anche di generare e diffondere contenuti che permettano un indirizzo socialmente utile, forse tutto sarebbe un po’ più chiaro.

Allora si bersagliano i social network, accusandoli di dover svolgere un ruolo più attivo nel chiarire i trattamenti effettuati e di dover operare con maggior prudenza per garantire la privacy. Ma come, non sono stati additati di non poter sostituirsi agli organi d’informazione? Quindi, oltre a fornire un’informativa e mettere in campo contromisure e controlli periodici efficaci, che in considerazione della disponibilità di risorse economiche sono molto più avanzati di quelli attuati da tante altre organizzazioni, cosa dovrebbero fare?

I trattamenti dei dati personali (anche estremamente riservati) che effettua la Pubblica Amministrazione non hanno comunque un potenziale impatto devastante sugli interessati se compiuti in modo errato? E allora perché sono sufficienti le misure minime di sicurezza per la PA, con un livello d’efficacia di information security da far ridere i polli, mentre ai privati sarebbero richieste misure tecnico organizzative da Fort Knox?

Sarebbe bastato poco per rendere il quadro molto più comprensibile, adottando e comunicando requisiti oggettivi e ben definiti a tutte le parti interessate, così come da decenni fa con successo l’Organizzazione Internazionale per la Standardizzazione (ISO).

Eppure no, troppo facile. Ci piace ogni volta scoprire l’acqua calda, creare spazio per grandi business del momento, aperti a professionisti, cialtroni e ad imprenditori poco scrupolosi che sanno vendere fumo a caro prezzo, e poi una volta scoppiata la bolla girare la testa dall’altra parte pur di non contare quanti danni si sono prodotti.

AssetProtection. Diritti e doveri per la Privacy, è tutto veramente chiaro?

The Cambridge Analytica (CA) and Facebook accusations over the U.S. 2016 presidential election campaign, and to a lesser extent between CA and the UK’s Brexit VoteLeave campaign, are — if proven true — morally reprehensible. It is not immediately clear, however, whether they are legally reprehensible. The matter is currently under investigation on both sides of the Atlantic.

On March 26, both Apple and IBM called for more regulatory oversight on the use of personal data. “I’m personally not a big fan of regulation because sometimes regulation can have unexpected consequences to it, however I think this certain situation is so dire, and has become so large, that probably some well-crafted regulation is necessary,” said Apple chief Tim Cook on March 24, 2018.

“If you’re going to use these technologies, you have to tell people you’re doing that, and they should never be surprised,” IBM chief executive Rometty said on March 26, 2018. “(We have to let) people opt in and opt out, and be clear that ownership of the data does belong to the creator,” he said.

Such regulatory oversight already exists in Europe under national data protection laws, and this will potenyially become global when the European General Data Protection Regulation (GDPR) comes into effect on May 25, 2018. The question is whether Facebook and/or CA would have been in breach of GDPR were it already operational, and therefore whether GDPR will prevent any future repetitions of this sort. 

“From Facebook’s perspective,” MacRoberts LLP senior partner David Flint told SecurityWeek, “the only good point is that the maximum fine under the [current UK] Data Protection Act is £500,000; after 25 May 2018 it would be 4% of Facebook worldwide turnover ($40bn in 2017) — a potential $1.6bn fine! That’s before damages claims.”

Cambridge Analytica is an offshoot or SCL, formerly Strategic Communications Laboratories (a private British behavioral research and strategic communication company); and was specifically formed to target the U.S. presidential elections.  

The user profile collection

At this stage we have to stress that everything is just a combination of accusation and denial, with nothing yet proven in a court of law. Nevertheless, the accusation is that a Cambridge University academic, Dr. Aleksandr Kogan, developed a Facebook personality quiz app (called ‘thisisyourdigitallife’) that collected data from some 270,000 app users on Facebook; and also collected their friends’ data. Kogan’s firm was known as Global Science Research (GSR).

Concerns about the relationship between Facebook user data, GSR, CA, and the U.S. presidential election are not new. In December 2015, the Guardian reported, “Documents seen by the Guardian have uncovered longstanding ethical and privacy issues about the way academics hoovered up personal data by accessing a vast set of US Facebook profiles, in order to build sophisticated models of users’ personalities without their knowledge.”

The user profiles were at least partly gathered through the process of ‘turking’ via the Amazon service, the Mechanical Turk. GSR reportedly paid Turkers $1 or $2 to install an app that would “download some information about you and your network … basic demographics and likes of categories, places, famous people, etc. from you and your friends.”

An important element of the evolving story is that while it could be argued that the original turkers and anyone who installed Kogan’s app had given implied consent to the collection of their personal data, their friends had almost certainly not; nor it seems did anyone give permission for that personal data to be used for political purposes in the presidential election via a third-party, namely Cambridge Analytica.

The scandal

The scandal did not reach public proportions until March 2018 following new reports from the New York Times and the Guardian, and a video interview between CA whistleblower Christopher Wylie and the Guardian. Wylie revealed that “personal information was taken without authorization in early 2014 to build a system that could profile individual US voters in order to target them with personalized political advertisements.” 

Public awareness was suddenly so high that Facebook — the ultimate source of the user profiles — saw an immediate and dramatic drop in its share value. Since March 16, Facebook has lost approximately $80 billion in value (at the time of writing), the FTC has announced an investigation into Facebook’s privacy practices, Mark Zuckerberg, Facebook’s co-founder and CEO, agreed to testify before Congress (but declined to appear in person before UK lawmakers), and the UK’s data protection regulator (the Information Commissioner’s Office) has raided CA’s offices.

Incidentally, Facebook and CA are also included in an ongoing but lower profile investigation into possible manipulation of the Brexit referendum vote. Speaking before a UK parliamentary select committee this week, Wylie claimed that CA had been involved in the Brexit referendum and that, in his view, the result had been obtained by ‘fraud’ and ‘cheating’.

Cambridge Analytica’s alleged involvement in the U.S. election has been known since at least 2015. Facebook made some minor changes to its policies and requested that Kogan and CA delete all gathered user data. It says it believed that had happened — but if Wylie’s accusations are true, that could not have happened.

It is only in March 2018, following the dramatic drop in share value, that Facebook has responded seriously. On March 16, Facebook VP and deputy general counsel Paul Grewel announced, “We are suspending SCL/Cambridge Analytica, [whistleblower] Wylie and Kogan from Facebook, pending further information.” One day later he added, “Aleksandr Kogan requested and gained access to information from users who chose to sign up to his app, and everyone involved gave their consent. People knowingly provided their information, no systems were infiltrated, and no passwords or sensitive pieces of information were stolen or hacked.” The claim that ‘everyone involved gave their consent’ is open to debate.

On March 2, Facebook founder Mark Zuckerberg published a personal apology together with news that Facebook would dramatically rein in the amount of personal data that apps can collect. “We will reduce the data you give an app when you sign in — to only your name, profile photo, and email address. We’ll require developers to not only get approval but also sign a contract in order to ask anyone for access to their posts or other private data. And we’ll have more changes to share in the next few days.”

Nevertheless, two things stand-out. Facebook, CA and Aleksandr Kogan all claim they have done nothing illegal — and it is only after the incident affected Facebook’s bottom line that it has begun to take serious action. It is against this background that Tim Cook has called for “some well-crafted regulation”.

GDPR

The EU’s General Data Protection Regulation (GDPR) was drafted precisely to protect personal information from misuse. GDPR, is already enacted and due to come into force on May 25, 2018. The question is whether this regulation would provide the future oversight called for by Apple and IBM.

“Absolutely,” says Thycotic’s chief security scientist Joseph Carson. “This is exactly why EU GDPR has been put in place to protect EU citizens’ personal information and ensure that companies have explicit consent to use personal data. Let’s think about this –  if only the data breach (aka trust) had occurred after May 25th, 2018, and if any of the 50 million impacted users had been EU citizens, Facebook would have been facing a potential whopping $1.6 billion financial penalty from the EU. I believe that would change Facebook’s priority on ensuring data is not being misused. This is going to be an example on what could have been if GDPR was enforced.”

It could be claimed that GDPR would still fail as a regulation because the impacted users are, ostensibly, all North American. “GDPR applies to the data for any EU resident,” comments Nathan Wenzler, chief security strategist at AsTech. “For example, if a U.S. citizen was residing in an EU country, their data would be governed under GDPR when it goes into effect. Citizenship is not the criteria used to determine application of GDPR. Residency is, though, and that makes it far more complicated for companies to determine which of the individual records they have are or are not under the mandates of GDPR.”

Dov Goldman, Vice President, Innovation and Alliances at Opus, is even more forthright. “The GDPR privacy rules do not protect non-EU citizens,” he told SecurityWeek. “If Facebook can prove that the data released to Cambridge Analytica only contained PII of US persons, Facebook would likely not face any liability under GDPR. There are U.S. regulations that protect American’s financial data, but not their personal data (PII), for now.”

It’s not that clear cut. While the common perception is that GDPR is designed to protect people within the EU (or perhaps the slightly larger European Economic Area), Recital 14 states: “The processing of personal data is designed to serve man; the principles and rules on the protection of individuals with regard to the processing of their personal data should, whatever the nationality or residence of natural persons, respect their fundamental rights and freedoms, notably their right to the protection of personal data.”

GDPR is principal-based legislation. Interpretation of the details will be left to the courts to decide, based on their understanding of the intent of the lawmakers. It is, therefore, not entirely clear at this stage whether ‘whatever the nationality’ means European nationality or global nationality.

David Flint has no doubts. “GDPR would apply (were it in force) to any processing of data carried out by Cambridge Analytica, even if only of US nationals, by virtue of Article 3.1 of the GDPR (Data Controller / Processor based in EU),” he told SecurityWeek. “Article 2 (processing by automated means) would also be relevant.” In this view, GDPR is about the processing of personal data, not the nationality of the data subject.

Under GDPR, responsibility is primarily with the data controller, and that responsibility cannot be off-loaded to the data processor. “It is difficult to see how Facebook would not be considered as a Data Controller (or perhaps Controller in Common with Cambridge Analytica),” continued Flint, “given that it collected the data, and/or permitted CA to do so, provided the platform APIs which allowed the data collection and mining; and carried out automatic mass profiling.”

There is little doubt that Cambridge Analytica, as a UK company gathering and processing personal data from a firm (Facebook) that operates within the EU would be considered liable under GDPR. Key to this would be the consent issue. It will be argued that by downloading and installing Kogan’s app, users gave consent for their data to be used and shared; and that in allowing their data to be shared among friends on Facebook, the friends also gave consent.

This argument won’t pass muster. GDPR says, “‘the data subject’s consent’ shall mean any freely given specific and informed indication of his wishes by which the data subject signifies his agreement to personal data relating to him being processed.” It is unlikely that even the app downloaders were giving free and informed consent for their personal data to be profiled for political purposes in the U.S. presidential election.

As at least co-controllers with Cambridge Analytica, it is difficult then to see how Facebook would not also be drawn into the issue.

Will GDPR provide the regulation/oversight sought by Apple and IBM?

In the final analysis, Facebook’s liability under GDPR for the misuse of users’ personal data by Cambridge Analytica will partly come down to an interpretation of whether the legislation covers non-EU subjects. If a single affected user was living in or passing through the EU at the time, there would be no ambiguity. However, in the end, the interpretation will be done by the courts — although it is worth noting that the European MEP who drove through GDPR as its rapporteur (Jan Philipp Albrecht) has made it clear that he sees GDPR as changing privacy practices throughout the world for all people.

Where there is little ambiguity, however, is that Facebook’s processing and privacy practices fell short of that required by GDPR. These requirements do not rely on the nationality or residency of the data subject.

GDPR could well provide the basis of global oversight of large company privacy practices; but we may have to wait until the courts start to interpret the finer details. In the meantime, all companies should carefully consider what happens to the personal data they collect and share. It is possible that sharing or selling that data to a third-party not specified at the time of collection will prove a breach of GDPR.

Kevin Townsend is a Senior Contributor at SecurityWeek. He has been writing about high tech issues since before the birth of Microsoft. For the last 15 years he has specialized in information security; and has had many thousands of articles published in dozens of different magazines – from The Times and the Financial Times to current and long-gone computer magazines.

Previous Columns by Kevin Townsend:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/AAeKlwqdleU/would-facebook-and-cambridge-analytica-be-breach-gdpr

Sul regolamento europeo in materia di protezione dei dati personali (GDPR) “si stanno correggendo imprecisioni e mancanze di sincronia tra versioni linguistiche, ci sarà un corrigendum anche per quella italiana e mi auguro che ci sia anche per la bozza del decreto legislativo”.

Così Giovanni Buttarelli, Garante europeo della protezione dei dati, intervenendo a un convegno Assonime ha commentato lo schema di decreto legislativo per adeguare il quadro normativo nazionale alle disposizioni del regolamento europeo (GDPR).

“Quello che ho visto mi trova profondamente deluso per tipo di approccio tecnico, per sostanza e per alcune scelte di fondo che trovo un’occasione perduta e non conformi ne alla legge delega ne al regolamento comunitario”, ha continuato Buttarelli, “mi auguro che ci sia un’attenzione al margine di manovra e a quello che oggi ha senso presentare come biglietto da visita di un paese che è stato per anni leader in questa materia. Abolire il 167 e non perfezionarlo merita un ripensamento”.

Privacy, Garante Ue ‘Schema decreto su GDPR è deludente’

Il 25 maggio prossimo entrerà in vigore il nuovo generale sulla protezione dei dati (General Data Protection Regulation, o GDPR) e martedì scorso si è tenuto a Bologna un evento organizzato da Lepida per informare gli enti soci sugli adempimenti normativi da portare a termine e sui servizi di supporto offerti dalla società in-house della Regione Emilia Romagna.

L’incontro del 27 marzo, infatti, era “volto a fornire agli Enti Soci di LepidaSpA un quadro del Regolamento UE 2016/679 GDPR sia in termini di adempimenti normativi che in termini in servizi di supporto messi a disposizione da LepidaSpA”.

All’evento hanno partecipato, tra gli altri, Andrea Orlando, Capo gabinetto della Presidenza della Giunta regionale dell’Emilia Romagna, il direttore generale di Lepida, Gianluca Mazzini, il coordinatore del Gruppo di Lavoro Intercomunità Sicurezza dell’Informazione delle COMTem della CNER, Alessandro Cantelli, e Kussai shahin, Direttore Software & Piattaforme di LepidaSpA.

Ne è venuta fuori una specie di tavola rotonda sul tema del GDPR.

Diversi gli elementi sul tavolo: “Il tema è sentito da molti, abbiamo creato una comunità tematica dedicata e dobbiamo affrontare una grande sfida sui big data, che hanno sviluppato un’interazione fortissima con tutto ciò che riguarda la protezione dei dati”, ha spiegato Mazzini nel suo intervento di apertura.

Un tema nuovo che mette assieme tecnologia e normativa e che costringe “by design” a far lavorare assieme, al tavolo di progettazione, chi si occupa di innovazione tecnologica e chi di regolazione.

Il 25 maggio prossimo entrerà in vigore il GDPR e il prossimo 24 maggio a Bologna, alla presenza del Garante Privacy, ci sarà un evento di vigilia per fare il punto della situazione con tutti i data protection officer.

La nomina dei responsabili della protezione dei dati, i Dpo, è uno dei primi passi da compiere. Dpo inteso non come responsabile assoluto, ma come “officer”, cioè più un coordinatore e persona che gestisce gli interventi.

Numerose inoltre le novità in termini di procedimenti amministrativi. Il 21 marzo c’è stato un decreto che è ancora da valutare nel dettaglio, che abrogherebbe il 196 e comporterebbe un cambiamento nella modulistica oggi utilizzata.

A cui si aggiungono tutta una serie di azioni nuove da compiere per il Responsabile, che se non portate a termine sono passibili di sanzioni.

Prima magari tali azioni erano discrezionali.

Si lavora alacremente per l’attuazione del GDPR e allo stesso tempo ci si trova di fronte uno scenario normativo che potrebbe modificarsi, dando delle ulteriori indicazioni sul da farsi nei prossimi due mesi.

Le comunità tematiche sono state illustrate da Andrea Orlando, Capo Gabinetto Presidenza Giunta regionale Emilia-Romagna, e la trasformazione digitale è la principale leva del cambiamento individuata dall’amministrazione regionale: “Fondamentale non escludere nessuno. Il coinvolgimento parte dalla condivisione degli obiettivi e degli strumenti”.

A tal fine, sono state create le comunità tematiche del digitale, strumento messo a disposizione della Regione per far emergere le criticità e trovare soluzioni condivise da tutti.

Riguardo il GDPR, “sappiamo che l’impatto sarà forte sul territorio, da un punto di vista tecnico, operativo e operazionale, e dall’anno scorso c’è attivo un gruppo di lavoro trasversale tutto dedicato al tema”.

Sono stati fatti degli studi specifici per capire che tipo di lavoro c’era da fare e che tipo di risorse c’erano da mettere in campo. Due i casi pilota portati avanti, Comune di Bologna e l’Unione del distretto ceramico, per capire quali fossero i tipi di servizi da offrire e come svilupparli.

Lepida, dopo la fusione con CUP 2000, ha un ruolo molto rilevante nell’attuazione del GDPR, ha affermato Mazzini: fornisce ai soci il supporto necessario per affrontare il nuovo Regolamento e la realizzazione di un applicativo e di un servizio è pensata sia dal punto di vista tecnologico, sia della sicurezza.

Lepida fornirà ai suoi soci il supporto normativo necessario per affrontare i cambiamenti indotti dall’attuazione dal GDPRr, “con la ricognizione costante dei bisogni e le esigenze dei soci, anche attraverso il lavoro delle comunità tematiche”.

In più, “Lepida svolgerà un’azione di coordinamento tra risorse interne e di mercato, sempre all’interno della cornice generale delle azioni da svolgere in relazione al Gdpr approvate nel piano triennale 2018-2020”.

Obiettivo di Lepida è avere sempre in mano la responsabilità dei processi. È così che si rassicurano i soci e gli stakeholders.

Come strategia, la Regione Emilia Romagna ha già nominato un proprio DPO, Alessandro Zucchini, ed è fondamentale andare verso una standardizzazione delle soluzioni, “perchè più sono standardizzate meno costano, meno problemi abbiamo nell’applicarle e meno problemi abbiamo con i fornitori”.

La standardizzazione dei processi di permette di omogenizzare i processi e di fare formazione unica e congiunta degli stessi: “non può essere il singolo a fare autoformazione, siamo davanti a un meccanismo che richiede formazione congiunta, con processi decisi assieme (cosa devi fare, cosa rischi e come ti devi comportare)”.

L’integrazione con i prodotti di mercato è centrale: “abbiamo un processo di identificazione nei processi e nei progetti cosa è già congruo e come si fa in fretta a farlo funzionare, per esempio nella filiera dell’autenticazione” – infatti con la DGR 420/2018, la Regione Emilia-Romagna ha confermato il mandato a lepidaspa di richiedere all’Agenzia per l’Italia Digitale (AgID) l’accreditamento come Identity Provider (IDP) SPID dandole l’incarico di individuare le modalità tecniche per convertire, ove possibile, le credenziali rilasciate dal sistema FedERa in credenziali SPID – “O come per lo sportello dei pagamenti, o nelle attività di PagoPA, dove siamo soggetto conosciuto a livello nazionale come punto di collegamento e strumento di semplificazione”.
Il ruolo di Lepida nello scenario GDPR di compone di due elementi principali: il set up di servizio e la gestione annuale. Potrebbe fare il Dpo per alcuni enti, per quelli che lo richiederanno. Ulteriori funzioni da svolgere sono: analisi e valutazione, individuazione di non conformità, piano d’azione per conformità, pareri e supporto, sviluppo di un registro dei trattamenti da mettere a disposizione di tutti i soci da realizzare prima del 25 maggio.

È fondamentale trovare un’ottima divisione dei compiti tra ente e Lepida. L’incontro di oggi è dedicato proprio a questo. E dall’analisi economica dei costi sappiamo quanto spenderemo per aderire al nuovo Regolamento.

Soci diversi hanno esigenze diverse, piccoli e medi comuni hanno difficoltò a muoversi da soli e hanno bisogno di supporto. Ad esempio, un’azienda sanitaria ha a che fare con migliaia di procedimenti e trattamenti, mentre i Comuni con alcune centinaia. Ogni azienda sanitaria ha il suo Dpo, mentre per più Comuni insieme ce ne sarà uno solo. I Comuni hanno tanti dati personali da trattare e pochi sensibili, mentre per le aziende sanitarie è vero il contrario.

Ovviamente, essendo Lepida una in-house, compito finale è trovare sempre un prezzo inferiore rispetto a quello di mercato: “Questa analisi ci permette di coprire i costi e andare in equilibrio, consentendoci di essere molto meno costosi rispetto ad altre ipotesi presentate”.

https://www.key4biz.it/gdpr-lepida-punto-sullattuazione-del-regolamento-ue-emilia-romagna/217309/

Chinese people and foreign firms are girding for a weekend deadline that will curb the use of unlicensed software to circumvent internet controls, as the government plugs holes in its “Great Firewall”.

A virtual private network (VPN) can tunnel through the country’s sophisticated barrier of online filters to access the global internet.

VPNs give users a way to see blocked websites such as Facebook, Twitter, Google and Western news outlets, as well as certain business network tools such as timesheets, email and directories.

But new government regulations unveiled last year sent chills among users of the software, with a March 31 deadline for companies and individuals to only use government-approved VPNs.

Currently, many foreign companies have their own VPN servers in locations outside of China. But in the future, dedicated lines can only be provided by China’s three telecom operators.

Critics have slammed the new policy as a revenue grab that will eliminate cheaper VPN options and make internet users more vulnerable to surveillance.

But some companies are still planning to comply.

“We will apply for a VPN line with (the government),” the chief executive of a foreign-owned technology company told AFP.

“As a company that is globally-focused based in Beijing, I think that’s the best option… because we don’t want to break the rules or have our VPN access disrupted,” she said, requesting anonymity.

Some embassies in Beijing experienced disruptions to their communications due to restrictions on VPN usage late last year, prompting the European Union delegation to send a letter to the government to complain, diplomatic sources told AFP.

American Chamber of Commerce Shanghai President Kenneth Jarrett warned that foreign companies and their employees could “bear the brunt of the new policies”.

“Foreign companies, especially entrepreneurs and smaller companies rely on overseas platforms such as Google Analytics and Google Scholar,” Jarrett told AFP.

“Limiting access to affordable VPNs will make it harder for these companies to operate efficiently and just adds to the frustration of doing business in China.”

The Ministry of Industry and Information Technology has dismissed concerns that using state-approved providers could jeopardise the security of private data, saying they “are not able to see information related to your business”.

‘At the mercy of regulators’

A member of China-based anti-censorship group GreatFire.org, which tracks internet restrictions, said the new rules are aimed at wiping out low-cost Chinese VPN providers and increasing control over access to information.

“Are foreign companies at the mercy of Chinese regulators? Yes, probably. Will there be more surveillance? Absolutely,” said the member, who uses the alias Charlie Smith.

Under the new licensing regulations, it is unclear whether companies or individuals will be punished for using unauthorised VPNs, or if the software will be blocked.

But on December 21, Chinese citizen Wu Xiangyang from the south Guangxi Zhuang autonomous region was given a five-and-a-half-year prison sentence and 500,000 yuan ($76,000) fine.

Wu “illegally profited” from setting up VPN servers and selling software “without obtaining relevant business licenses”, according to a news site managed by the Supreme People’s Procuratorate.

It was the most severe known VPN-related conviction.

Last September, a 26-year-old man from Guangdong province was sentenced to nine months in prison in a similar case.

Samm Sacks, who researches China’s technology policy at the US-based Center for Strategic and International Studies, said it is likely that China will be lenient to most foreign companies.

“We will probably see selective enforcement. So far, there have not been many foreign companies that have experienced problems with their company VPNs,” Sacks said.

“It just adds a new layer of uncertainty at a time when foreign companies are already facing a host of challenges to doing business in China,” she said.

In the European Chamber of Commerce in China’s 2017 survey of its members, companies reported suffering from restricted internet and slow and unstable connections in China, before new VPN restrictions were announced.

“Poor internet connectivity not only damages China’s efforts to portray itself as an innovative society, it also impacts overall productivity,” chamber president Mats Harborn told AFP.

“Some reported losses of more than 20 percent of their annual revenue as a result.”

‘No, we don’t sell VPNs’

Earlier this month, in the southern trade hub of Guangzhou, a small shop with the letters “VPN” painted in red on its wall said they no longer offered them.

“No, we don’t sell VPNs,” a Chinese shopkeeper said curtly, refusing to explain why.

But it was business as usual for a nearby store that was licensed to sell VPNs from state-owned telecommunications operator China Telecom.

“We’ve had no problems. Our clients are mostly Chinese and African traders who want to keep in touch using Whatsapp,” a technician said. jch/lth/klm/aph

© AFP 2018

Previous Columns by AFP:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/CYEQFCM15mU/foreign-companies-china-brace-vpn-crackdown

Secondo il New York Times e il The Guardian, la Cambridge Analytica avrebbe usato una applicazione per influenzare le votazioni su Brexit e sulla elezione di Donald Trump alla Casa Bianca. E il “sistema Facebook” finisce sotto accusa.

Roma- Tutto inizia il 14 Marzo, quando, sulle pagine del giornale inglese The Guardian, comparivano una serie di articoli che riguardavano l’uso scorretto dei dati personali di utenti da parte di una società inglese di marketing on-line chiamata Cambridge Analytica.

Secondo questi articoli, la Cambridge Analytica, avrebbe utilizzato una applicazione per smartphone per influenzare sia le elezioni presidenziali degli Stati Uniti d’America nel 2016 sia il referendum sulla Brexit.

Una settimana dopo, sul quotidiano statunitense New York Times, il social network Facebook veniva tirato in ballo per aver ceduto, con troppa facilità, i dati personali di alcuni utenti a questa applicazione.

La Cambridge Analytica è una società inglese di marketing on-line fondata da Robert Mercer nel 2013.

Il signor Robert Mercer è un miliardario americano di idee conservatrici, finanziatore sia della campagna elettorale di Donald Trump, sia del sito di estrema destra BreitbartNews.com, diretto da Steve Bannon, stretto collaboratore di Donald Trump durante la sua campagna elettorale per la Casa Bianca.

Questa società è specializzata in psicometria, ossia in quella parte della psicologia che misura, attraverso delle informazioni, i comportamenti e le abilità psicologiche creando dei profili psicologici molto accurati.

Nel 2014, un ricercatore dell’Università di Cambridge, il Dottor Michael Kosinski, sviluppa un algoritmo in grado di creare profili psicologici molto accurati e, nello stesso anno, il suo collega Aleksandr Kogan, crea una applicazione per smartphone chiamata “Thisisyourdigitallife” (tradotto Questa è la tua vita digitale) che utilizza l’algoritmo di Kosinski per la creazione di questi profili.

Questa applicazione veniva scaricata gratuitamente dagli store digitali, utilizzando, per la richiesta di informazioni personali, il sistema denominato “social login” per conto del social network Facebook.

Il “social login” è un sistema che permette ad una applicazione di utilizzare i dati personali dell’utente in possesso del social network per essere sia scaricata sia utilizzata dallo smartphone e dal suo proprietario, il quale accetta dei permessi, che il più delle volte non sono chiari.

I social network, vengono “pagati”, con le informazioni personali dell’utente, che non riguardano soltanto l’anagrafica e la reperibilità, ma anche i vari “Like” (Mi Piace”), i vari commenti che l’utente mette sul social, le proprie fotografie, le proprie amicizie e le proprie condivisioni.

Facebook, utilizza queste informazioni per fini commerciali, inserendo pubblicità personalizzata all’interno della pagina dell’utente.

L’applicazione incriminata, Thisisyourdigitallife, è stata scaricata da 270 mila persone e, grazie alle “amicizie” di queste 270 mila persone, ben 50 milioni di persone avrebbero ricevuto, inconsapevolmente, pubblicità da parte o del comitato pro-brexit o del comitato elettorale di Donald Trump.

Il fondatore ed Amministratore Delegato (C.E.O.) di Facebook, Mark Zuckerberg, dopo aver rimosso il capo della sicurezza informatica della propria azienda si è pubblicamente scusato ed ha accettato di comparire davanti la Commissione Giustizia della Camera dei Deputati del Congresso degli Stati Uniti per chiarire la vicenda, ma si è rifiutato di comparire davanti la Commissione Cultura e Media del Parlamento Britannico.

La Commissaria Europea della Giustizia Vera Jourova, ha invitato Zuckerberg a far sapere quanti cittadini europei sono coinvolti in questa vicenda e le contromisure che Facebook intende adottare per evitare che queste vicende non si ripetano, prima che entri in vigore il nuovo regolamento europeo sulla privacy.

Dallo scoppio della vicenda, il titolo di Facebook, a perso circa 80 milioni di dollari di capitalizzazione a Wall Street e già cominciano ad esserci le prime cancellazioni di account, oltre alla varie Class Action per violazione della privacy.

La più importante è quella contro l’applicazione Messenger, altra applicazione gemella a quella di Facebook, la quale viene accusata di registrare non solo i messaggi, ma anche le chiamate, gli sms e le fotografie scattate da tutti quegli smartphone che hanno come sistema operativo Android.

Stefano Campidelli

http://ilkim.it/facebook-ma-che-succede/

I sistemi di profilazione e i processi decisionali automatizzati trovano impiego in una gamma sempre più ampia di settori pubblici e privati – dalle banche alla sanità, dal fisco alle assicurazioni, dalla pubblicità al marketing – e possono risultare utili per gli individui come pure per la società e l’economia nel suo complesso in termini di incremento di efficienza e risparmio delle risorse.

Per questo i Garanti Privacy dell’Unione Europea chiedono una profilazione più trasparente e no a decisioni completamente automatizzate che possono produrre effetti giuridici per la persona. Questi in sintesi i principi che ispirano le Linee guida su profilazione e decisioni automatizzate adottate di recente dalle Autorità di protezione dati europee alla luce del Regolamento europeo in materia di protezione dei dati personali.

Nelle Linee guida le Autorità europee chiariscono le previsioni normative introdotte dal Regolamento in materia di profilazione e decisioni automatizzate, fornendo indicazioni a chi tratta i dati per mettersi in regola con la nuova normativa.

I sistemi di profilazione possono comportare rischi significativi per i diritti e le libertà delle persone: oltre ad essere spesso poco trasparenti, questi trattamenti di dati possono confinare una persona all’interno di una determinata categoria limitandone le scelte o suggerendone altre sulla base di quelle già espresse, perpetuare stereotipi, dar luogo a previsioni inesatte, impedire l’accesso a servizi o prodotti e, in taluni casi, causare forme ingiustificate di discriminazione.

Le società dovranno innanzitutto improntare il trattamento dei dati ai principi di privacy by design e privacy by default e minimizzare il loro uso. Dovranno poi porre particolare attenzione agli obblighi di trasparenza che il Regolamento Ue attribuisce loro nell’ambito delle decisioni automatizzate. Ciò significa che dovranno informare chiaramente gli utenti sull’attività di profilazione e garantire loro il diritto di conoscere quali dati e quali categorie di dati personali sono stati utilizzati. Per quanto riguarda le decisioni automatizzate i titolari dovranno informare gli utenti sull’esistenza e sulle conseguenze di processi decisionali totalmente automatizzati che possono produrre effetti giuridici per la persona o che incidano su di essa in modo significativo, come, ad esempio, l’eventuale esclusione dal credito sancita da un algoritmo. Alla persona interessata non occorrerà conoscere le formule alla base dell’algoritmo, quanto piuttosto, individuare, in maniera comprensibile i criteri e le modalità di aggregazione dei dati che hanno portato alla sua collocazione in una categoria predeterminata. Ma soprattutto, all’interessato dovrà essere sempre garantito il diritto di ottenere l’intervento umano nella valutazione e di poter contestare la decisione.

Una particolare attenzione è stata richiesta dalle Autorità europee per i trattamenti di dati che riguardano i minori a fronte della loro maggiore vulnerabilità rispetto a trattamenti particolarmente invasivi. Alle Linee guida, infine, sono allegate alcune raccomandazioni basate sulle “migliori prassi” raccolte negli Stati Membri.

Data protection, Garanti Ue ‘Più trasparenza nei sistemi di profilazione’

No al controllo massivo e alla conservazione senza limite delle email. Il Garante per la Privacy ha vietato ad una società il trattamento di dati personali effettuato sulle email aziendali dei dipendenti in violazione della normativa sulla protezione dei dati e di quella sulla disciplina lavoristica. La società dovrà ora limitarsi a conservare i dati a fini di tutela dei diritti nel giudizio pendente. L’Autorità, intervenuta a seguito del reclamo di un dipendente, ha accertato che la società trattava in modo illecito i dati personali contenuti nelle email in entrata e in uscita, anche di natura privata e goliardica, scambiate dal lavoratore con alcuni colleghi e collaboratori. I dati raccolti nel corso di un biennio erano poi stati utilizzati per contestare un provvedimento disciplinare cui era seguito il licenziamento del dipendente poi annullato dal giudice del lavoro.

Le violazioni riscontrate dal Garante Privacy

Nel disporre il divieto l’Autorità ha rilevato numerose e gravi violazioni. La società non ha infatti fornito ai dipendenti alcuna informazione su modalità e finalità di raccolta e conservazione dei dati relativi all’uso della posta elettronica, né con una informativa individualizzata né attraverso la policy aziendale. Un comportamento in contrasto con l’obbligo della società di informare i lavoratori riguardo alle caratteristiche essenziali dei trattamenti effettuati, comprese le operazioni che possono svolgere gli amministratori di sistema (ad es., accesso ai contenuti delle email). La società, inoltre, conservava in modo sistematico i dati esterni e il contenuto di tutte le email scambiate dai dipendenti per l’intera durata del rapporto di lavoro e anche dopo la sua interruzione, violando così i principi di liceità, necessità e proporzionalità stabiliti dal Codice privacy. “La società”, afferma l’Autorità, “anziché mettere in atto un trattamento così invasivo, avrebbe potuto agire in modo più efficiente e più rispettoso della riservatezza dei lavoratori predisponendo dei sistemi di gestione documentale in grado di individuare selettivamente i documenti che avrebbero dovuto essere via via archiviati”. “Inoltre”, continua il Garante, “la conservazione estesa e sistematica delle mail, la loro memorizzazione per un periodo indeterminato e comunque amplissimo nonché la possibilità per il datore di lavoro di accedervi per finalità indicate in astratto (ad es. difesa in giudizio, perseguimento di un interesse legittimo) consente il controllo dell’attività dei dipendenti. Controllo vietato dalla disciplina di settore che non autorizza, anche dopo le modifiche del Jobs Act, verifiche massive, prolungate e indiscriminate. Il datore di lavoro infatti pur potendo controllare l’esatto adempimento della prestazione e il corretto uso degli strumenti di lavoro deve sempre salvaguardare la libertà e la dignità dei dipendenti”.

Ingiustificata, in particolare, la raccolta a priori di tutte le email in vista di futuri ed eventuali contenziosi, il Garante ha ribadito infatti che la conservazione deve riferirsi a contenziosi in atto o a situazioni precontenziose e non a ipotesi astratte e indeterminate. Il Garante ha ritenuto, infine, non conforme alla legittima aspettativa di riservatezza della corrispondenza l’accesso della società alle email in ingresso sull’account aziendale dopo il licenziamento del lavoratore. Al cessare del rapporto di lavoro la casella di posta elettronica deve essere disattivata e rimossa e al suo posto di devono attivare eventuali account alternativi.

L’Autorità si riserva di valutare con un autonomo procedimento la contestazione di sanzioni amministrative relative agli illeciti riscontrati.

https://www.key4biz.it/garante-privacy-vietato-controllo-massivo-la-conservazione-illimitata-delle-email-lavoro/217159/