Data Privacy Framework, in attesa del verdetto dei Garanti Ue (che l’avevano già bocciato)
Il nuovo Data Privacy Framework che regola, finalmente, il trasferimento dati transatlantico fra Ue e Usa è entrato in vigore al terzo tentativo. Buona la terza, ma in realtà manca ancora un tassello non certo secondario per avere un imprimatur completo e definitivo al nuovo patto Usa-Ue, a prova di GDPR, sulla tutela della data protection dei cittadini europei i cui dati transitano negli Usa.
Manca ancora il parere dell’EDPB, l’organismo che raccoglie i Garanti europei, sulla versione definitiva dell’accordo. E non è affatto scontato che l’EDPB sia d’accordo, tanto più che già lo scorso mese di aprile il parere dei Garanti Ue sul provvedimento era stato negativo. Critiche erano state avanzate per la mancanza di chiarezza per i criteri di “necessità” e “proporzionalità” in base ai quali le autorità Usa possono accedere ai dati personali di chiunque possa rappresentare una minaccia alla sicurezza nazionale, senza particolari tutele per i cittadini non statunitensi, quindi anche europei.
“The EDPB takes note that the EU-U.S. Data Privacy Framework (DPF) has been adopted and looks forward to the @EU_Commission participation in its next plenary meeting to shed light on the adequacy decision and on the changes following the EDPB opinion” – Anu Talus, EDPB Chair pic.twitter.com/EyI4s4ANcz
L’EDPB verificherà se i rilievi avanzati in passato sono stati emendati per esprimere un giudizio definitivo, che non è scontato.
Alcuni rilievi dell’EDPB
La commissione competente dell’Europarlamento è contraria
C’è da dire, poi, che un altro scoglio riguarda il fatto che il 13 aprile scorso era arrivato anche un altro “NO” all’accordo, da parte dei deputati della commissione per le libertà civili del Parlamento europeo, che sconsigliavano alla Commissione Ue di chiudere l’accordo: “Il Data Privacy Framework è un miglioramento rispetto ai quadri precedenti, ma”, mettevano in allarme, “non prevede garanzie sufficienti”. In particolare, non elimina la pesca a strascico dei dati (bulk data collection) e non fissa dei limiti sulla conservazione dei dati (data retention).
Un po’ come se la Commissione di Vigilanza Rai bocciasse la riforma Rai.
Finalmente il Data Privacy Framework UE-USA, cosa succede adesso?
Rubrica #Elex- Novità dal diritto dei media, è la rubrica sui temi del diritto applicato al digitale, curata dallo studio E-lex di Roma per Key4biz. Per consultare tutti gli articoli clicca qui.
Trasferimenti di dati UE-US: dove eravamo rimasti?
Il tutto scaturisce, oramai quasi un decennio fa, dalle rivelazioni di EdwardSnowden, dalle quali è emerso che i servizi di intelligence americana, apparentemente per finalità antiterrorismo, registravano in maniera indiscriminata i dati dei cittadini europei, avendo accesso alle informazioni raccolte dai fornitori di servizi di comunicazione, tra cui Google, Apple e Facebook.
Nel 2015, la Corte di Giustizia, a seguito di tali rivelazioni, avevano invalidato gli accordi (Safe Harbor) che legittimavano il trasferimento dei dati personali tra Europa e Stati Uniti, costringendole a negoziare frettolosamente nuovi accordi.
<!-- ENERGIA ITALIA - 300x250 -->
Anche queste seconde intese, che avevano dato vita al Privacy Shield, lo “scudo” per la protezione dei dati, sono state nuovamente invalidate nel 2020 dai giudici europei, che hanno concluso che gli Stati Uniti continuassero a non offrire un livello di protezione, nel trattamento dei dati, equivalente a quello europeo. L’accesso indiscriminato, da parte delle autorità pubbliche americane, ai dati sarebbe in contrasto con gli articoli 7 e 8 della Carta di Lisbona, che includono, appunto, il rispetto della vita privata e la protezione dei dati personali tra i diritti fondamentali dell’UE.
Si è così aperto un “terzo tempo” sugli accordi di trasferimento trasfrontaliero: i nuovi negoziati tra Commissione europea e Dipartimento del commercio americano erano ripartiti ed avevano avuto un’accelerazione significativa con l’Executive Order (on Enhancing Safeguards for United States Signals Intelligence Activities) adottato dal Presidente degli Stati Uniti Biden il 7 ottobre scorso.
Cos’è la decisione di adeguatezza?
La Commissione europea ha finalmente dato il via libera alla decisione di adeguatezza, che ricordiamo essere uno strumento previsto dal GDPR per trasferire dati a Paesi terzi che, secondo la Commissione stessa, offrono un livello di protezione dei dati personali paragonabile a quello U.E., anche se non identico (è infatti sufficiente “l’equivalenza essenziale”).
La decisione di adeguatezza copre i trasferimenti di dati da qualsiasi entità, pubblica o privata, nel SEE (Spazio Economico Europeo) a società statunitensi che partecipano al quadro UE-USA sulla privacy dei dati; questo risultato deriva sia da una equivalente protezione applicabile ai dati personali, sia per i meccanismi di controllo disponibili. A tale riguardo, è bene puntualizzare l’esistenza di un elenco di elementi necessari per l’adeguatezza redatto dalle Autorità Europee.
Le società per certificare la loro partecipazione al quadro UE-USA devono impegnarsi a mantenere alcuni obblighi in materia di data protection quali, ad esempio, la limitazione delle finalità, la minimizzazione dei dati e la conservazione dei dati, nonché obblighi specifici relativi alla sicurezza dei dati e alla condivisione dei dati con terze parti. Il Dipartimento del Commercio degli Stati Uniti si occuperà della certificazione e del vigilare sul mantenimento dei requisiti.
Un aspetto molto importante è quello che riguarda le misure vincolanti imposte all’intelligence statunitense, che accedere ai dati solo se è necessario e in modo proporzionato e adeguato. Un’altra novità molto significativa, considerando che una delle censure della Corte di Giustizia aveva interessato questo aspetto, è l’ istituzione di un meccanismo di ricorso indipendente e imparziale per gli eventuali reclami dei cittadini dell’Unione Europea per la raccolta dei loro dati a fini di sicurezza nazionale.
I cittadini europei potranno infatti presentare un reclamo alla propria Autorità nazionale per la protezione dei dati (ad esempio, i cittadini italiani al Garante privacy), nella loro lingua, in modo da facilitare il procedimento assicurandosi la corretta trasmissione del reclamo e il recepimento da parte dell’interessato di ogni ulteriore informazione sulla procedura, esito compreso. I reclami saranno trasmessi agli Stati Uniti dal Comitato europeo per la protezione dei dati. Inoltre, i soggetti interessati non dovranno dimostrare che i loro dati sono stati effettivamente raccolti dalle agenzie di intelligence statunitensi per far sì che la loro denuncia risulti ammissibile.
Le denunce saranno esaminate dal Civil Liberties Protection Officer statunitense, che garantirà il rispetto della privacy e dei diritti fondamentali da parte delle agenzie di intelligence statunitensi. I cittadini europei potranno fare ricorso contro la decisione del Responsabile della Protezione delle libertà civili dinanzi al tribunale per il riesame della protezione dei dati (DPRC) di nuova creazione. I membri della Corte sono soggetti esterni al governo degli Stati Uniti, e sono nominati sulla base di specifiche qualifiche, possono essere licenziati solo per giusta causa (come una condanna penale, o essere ritenuti mentalmente o fisicamente inadatti a svolgere i loro compiti) e non possono avere istruzioni del governo. La DPRC ha il potere di indagare sulle denunce di individui dell’UE, anche per ottenere informazioni pertinenti dalle agenzie di intelligence, e può prendere decisioni correttive vincolanti. Ad esempio, se il DPRC rileva che i dati sono raccolti in violazione delle garanzie previste nell’ordine esecutivo, può ordinare la cancellazione di tali dati.
Alla fine dell’indagine del “Civil Liberties Protection Officer” o del DPRC, il denunciante sarà informato che non è stata identificata alcuna violazione della legge statunitense o che è stata rilevata una violazione e vi è stato posto rimedio. In seguito, il denunciante sarà anche informato quando le informazioni riservate sottratte al suo accesso non siano più soggette a requisiti di riservatezza e possano essere ottenute dallo stesso interessato.
La decisione di adeguatezza sarà costantemente monitorata e avrà il primo riesame entro un anno per verificare la correttezza del sistema nel suo funzionamento. Successivamente, e in base all’esito di tale primo riesame, la Commissione deciderà, in consultazione con gli Stati membri dell’UE e le Autorità per la protezione dei dati, sulla periodicità dei futuri riesami, che avranno luogo almeno ogni quattro anni. Le decisioni di adeguatezza possono essere adattate o ritirate se incidano sul livello di protezione nel paese terzo.
Adesso cosa accade?
Innanzi tutto, non occorrerà più ricorrere a standard contractual clauses o binding corporate rules (dove applicabili) per trasferire i dati personali tra Stati Uniti ed Europa: una soluzione invocata da tempo e da tanti e che dovrebbe apportare significativi vantaggi all’economia del vecchio continente.
Per quanto riguarda i servizi utilizzati da molte PA e PMI, la decisione di adeguatezza legittima le offerte di fornitori statunitensi, come, ad esempio, Google Meet, Microsoft Teams e, soprattutto, Google Analytics e Google Font, nell’occhio del ciclone dopo le migliaia di diffide inviate da MonitoraPA.
Il futuro, però, potrebbe essere incerto: NOYB, l’associazione di attivisti per la tutela dei dati personali, ha già annunciato che ricorrerà alla Corte di Giustizia. Ci attendono nuovi sequel in questa saga infinita?
Trasferimento dati Usa-Ue, Max Schrems non ci sta e annuncia ricorso
Il nuovo accordo per il trasferimento dati fra Usa e Ue, appena approvato dalla Commissione Ue, è stato accolto con pesanti critiche da Max Schrems, l’attivista della privacy che attraverso la sua associazione NOYB aveva già contestato con successo la validità dei due precedenti accordi per il data transfer transatlantico, il ‘Safe Harbour’ e il ‘Privacy Shield’. Era prevedibile.
Max Schrems ha già annunciato che intende tornare davanti alla Corte di Giustizia Europea anche questa volta, sarà la terza, e di aspettarsi una risposta nel 2024 o 2025.
Per Schrems il nuovo patto è una fotocopia dei precedenti Safe Harbour e Privacy Shield
“I comunicati stampa del giorno (ieri ndr) sono quasi copie carbone di quelli [di accordi precedenti]. Affinché [questi] siano efficaci, sarebbero necessarie modifiche alle leggi sull’intelligence statunitense”, ha sostenuto Schrems in una nota.
Nel complesso, secondo NOYB, “il nuovo “Trans-Atlantic Data Privacy Framework” è una copia del Privacy Shield (del 2016), che a sua volta era una copia del “Safe Harbor” (del 2000). Dato che questo approccio è già fallito due volte in passato, non c’era alcuna base legale per il cambio di rotta: l’unica logica di avere un accordo era quella politica”.
Nel mirino la legge Usa FISA 702
Nel mirino di Schrems la legge Usa FISA 702, che consente una sorveglianza di massa su tutti i cittadini non Usa.
La CGUE ha stabilito che la sorveglianza di massa FISA 702 non è “proporzionata” ai sensi dell’articolo 52 della Carta dei diritti fondamentali dell’UE (CFR). Il “trucco”, secondo la NOYB, è che gli Stati Uniti attribuiranno alla parola “proporzionato” un significato diverso da quello della CGUE
La CGUE in passato aveva giudicato sproporzionato e non sufficientemente controllato l’accesso ai dati degli europei da parte delle autorità e dei servizi di intelligence americani. In risposta, il nuovo accordo propone di limitare l’accesso per “motivi di sicurezza nazionale” e introduce un meccanismo di appello per i cittadini europei, o davanti a un funzionario della direzione dell’intelligence americana o al cospetto di un tribunale indipendente formato dal Dipartimento di giustizia degli Stati Uniti.
La posta in gioco è alta. Le lobby delle grandi aziende digitali hanno subito accolto favorevolmente il nuovo quadro, a partire dall’Information Technology Industry Council. “Si tratta di un importante passo avanti”, ha accolto con favore la Computer and Communications Industry Association, accogliendo in un comunicato stampa la fine dell’“incertezza giuridica”.
Multa record
Il presidente Usa Joe Biden, dal canto suo, ha accolto l’adozione del nuovo quadro normativo come una decisione che “riflette l’impegno congiunto” dei due partner “alla forte protezione dei dati personali”, ha sottolineato.
Minacciata l’attività dei grandi gruppi americani in Europa
Inoltre, nel 2021 il governo di Emmanuel Macron ha lanciato una politica di “trusted cloud”, obbligando gli attori pubblici a far ospitare ed elaborare i propri dati da società non soggette alle leggi extraterritoriali statunitensi. Questa strategia francese potrebbe essere messa in discussione a lungo termine?
Europe Signs Off on a New Privacy Pact That Allows People’s Data to Keep Flowing to US
The European Union signed off Monday on a new agreement over the privacy of people’s personal information that gets pinged across the Atlantic, aiming to ease European concerns about electronic spying by American intelligence agencies.
The EU-U.S. Data Privacy Framework has an adequate level of protection for personal data, the EU’s executive commission said. That means it’s comparable to the 27-nation’s own stringent data protection standards, so companies can use it to move information from Europe to the United States without adding extra security.
U.S. President Joe Biden signed an executive order in October to implement the deal after reaching a preliminary agreement with European Commission President Ursula von der Leyen. Washington and Brussels made an effort to resolve their yearslong battle over the safety of EU citizens’ data that tech companies store in the U.S. after two earlier data transfer agreements were thrown out.
“Personal data can now flow freely and safely from the European Economic Area to the United States without any further conditions or authorizations,” EU Justice Commissioner Didier Reynders said at a press briefing in Brussels.
Washington and Brussels long have clashed over differences between the EU’s stringent data privacy rules and the comparatively lax regime in the U.S., which lacks a federal privacy law. That created uncertainty for tech giants including Google and Facebook parent Meta, raising the prospect that U.S. tech firms might need to keep European data that is used for targeted ads out of the United States.
The European privacy campaigner who triggered legal challenges over the practice, however, dismissed the latest deal. Max Schrems said the new agreement failed to resolve core issues and vowed to challenge it to the EU’s top court.
Schrems kicked off the legal saga by filing a complaint about the handling of his Facebook data after whistleblower Edward Snowden’s revelations a decade ago about how the U.S. government eavesdropped on people’s online data and communications.
Advertisement. Scroll to continue reading.
Calling the new agreement a copy of the previous one, Schrems said his Vienna-based group, NOYB, was readying a legal challenge and expected the case to be back in the European Court of Justice by the end of the year.
“Just announcing that something is ‘new’, ‘robust’ or ‘effective’ does not cut it before the Court of Justice,” Schrems said. “We would need changes in U.S. surveillance law to make this work — and we simply don’t have it.”
The framework, which takes effect Tuesday, promises strengthened safeguards against data collection abuses and provides multiple avenues for redress.
Under the deal, U.S. intelligence agencies’ access to data is limited to what’s “necessary and proportionate” to protect national security.
Europeans who suspect U.S. authorities have accessed their data will be able to complain to a new Data Protection Review Court, made up of judges appointed from outside the U.S. government. The threshold to file a complaint will be “very low” and won’t require people to prove their data has been accessed, Reynders said.
Business groups welcomed the decision, which clears a legal path for companies to continue cross-border data flows.
“This is a major breakthrough,” said Alexandre Roure, public policy director at the Brussels office of the Computer and Communications Industry Association, whose members include Apple, Google and Meta.
“After waiting for years, companies and organizations of all sizes on both sides of the Atlantic finally have the certainty of a durable legal framework that allows for transfers of personal data from the EU to the United States,” Roure said.
In an echo of Schrems’ original complaint, Meta Platforms was hit in May with a record $1.3 billion EU privacy fine for relying on legal tools deemed invalid to transfer data across the Atlantic.
Meta had warned in its latest earnings report that without a legal basis for data transfers, it would be forced to stop offering its products and services in Europe, “which would materially and adversely affect our business, financial condition, and results of operations.”
Garante Privacy, 442 provvedimenti e 1351 data breach. Riscossi oltre 9 milioni di euro dalle sanzioni. I numeri del 2022
Nel 2022 sono stati adottati 442 provvedimenti collegiali da parte dell’Autorità Garante per la protezione dei dati personali. L’Autorità ha fornito riscontro a 9.218 reclami e segnalazioni riguardanti, tra l’altro il marketing e le reti telematiche; i dati online delle pubbliche amministrazioni; la sanità; la sicurezza informatica; il settore bancario e finanziario; il lavoro.
Dodici sono stati i pareri su norme di rango primario: in particolare, riguardo a digitalizzazione della Pa, giustizia, sanità e lavoro. Le comunicazioni di notizie di reato all’autorità giudiziaria sono state 5 e hanno riguardato violazioni in materia di controllo a distanza dei lavoratori e falsità nelle dichiarazioni e notificazioni al Garante. I provvedimenti correttivi e sanzionatori sono stati 317. Le sanzioni riscosse sono state di circa 9 milioni 500 mila euro.
Gli interventi più rilevanti: ChatGPT e tutela dei minori
Il 2022 ha visto una serie di interventi centrati sulle grandi questioni legate alla tutela dei diritti fondamentali delle persone nel mondo digitale: in particolare, le implicazioni etiche della tecnologia; l’economia fondata sui dati; le grandi piattaforme e la tutela dei minori, i sistemi di age verification; i big data; l’intelligenza artificiale generativa, il Metaverso e le problematiche poste dagli algoritmi; gli scenari tracciati dalle neuroscienze; la sicurezza dei sistemi e la protezione dello spazio cibernetico; la monetizzazione delle informazioni personali; i fenomeni del revenge porn, del cyberbullismo, dello sharenting, del social scoring.
Particolare attenzione è stata posta all’uso dei dati biometrici e al diffondersi di sistemi di riconoscimento facciale. In questo ambito, in particolare, l’Autorità ha sanzionato per 20 milioni di euro la società statunitense Clearview, vietando l’uso dei dati biometrici e il monitoraggio degli italiani.
Sul fronte della tutela on line dei minori l’anno trascorso è proseguita l’azione di vigilanza sull’età di iscrizione ai social, anche attraverso sistemi di age verification. In questa direzione si muove il tavolo di lavoro istituito con il recente protocollo d’intesa tra Garante e Agcom.
Inoltre, dopo l’altolà del Garante TikTok ha sospeso l’invio di pubblicità personalizzata basata sul legittimo interesse. Oltre ad una base giuridica inadeguata vi erano, infatti, seri rischi che la pubblicità potesse raggiungere i giovanissimi con contenuti non appropriati.
Per quanto riguarda il caso Chatgpt l’intervento del Garante ha consentito di indirizzare lo sviluppo di questa forma di intelligenza artificiale generativa in una direzione compatibile con la tutela delle persone, specie se minori. Fondamentale anche lo stop nei confronti del chatbot Replika, una sorta di amico virtuale, che presentava troppi rischi per i minori e le persone emotivamente fragili.
Con 2 milioni di euro di multa il Garante ha poi sanzionato Clubhouse, il social delle chat vocali.
Per contrastare il fenomeno del revenge porn e aiutare le persone che temono la diffusione di foto e video a contenuto sessualmente esplicito il Garante ha introdotto un modello di segnalazione telematica e la possibilità di inviare alle piattaforme il codice hash delle immagini invece delle copie in chiaro. Le segnalazioni ricevute, circa 150, sono state trattate tempestivamente e nella maggior parte dei casi l’esame si è concluso con un provvedimento diretto alle piattaforme coinvolte per ottenere il blocco preventivo della diffusione delle foto e dei video.
Le sanzioni riscosse dal Garante sono state di circa 9 milioni 500 mila euro
Le ispezioni effettuate nel 2022 sono state 140, quasi triplicate rispetto a quelle dell’anno precedente in cui ancora si subiva l’impatto dell’emergenza pandemica. Gli accertamenti svolti, anche con il contributo del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, hanno riguardato diversi settori, sia nell’ambito pubblico che privato: in particolare, telemarketing, cloud pubblico, siti web ed uso dei cookie, videosorveglianza, anche sul posto di lavoro. Effettuate le verifiche periodiche al VIS (Visa Information System), il sistema sui visti d’ingresso nello spazio Schengen.
Per quanto riguarda l’attività di relazione con il pubblico si è dato riscontro a oltre 16.400 quesiti, che hanno riguardato, in maniera preponderante, gli adempimenti connessi all’applicazione del Regolamento Ue e all’attività dei Responsabili del trattamento, seguiti dalle questioni legate al telemarketing indesiderato; al rapporto di lavoro pubblico e privato; alla videosorveglianza; alle problematiche poste dal web; alla salute e alla ricerca;
Oltre 4 milioni e 300 mila gli accessi al sito web dell’Autorità. Per quanto riguarda l’attività di informazione e comunicazione istituzionale, nel 2022 l’Autorità ha diffuso 71 comunicati stampa, 13 Newsletter, realizzato 9 campagne informative, e prodotto 27 spot istituzionali su temi di maggiore interesse per il pubblico, di cui 18 diffusi sui canali Rai Radio e Tv e 9 sul web e sui social media.
La cybersecurity
Sul fronte della cybersecurity, l’Autorità ha avviato la collaborazione con la Agenzia nazionale per la sicurezza con la quale è stato firmato un protocollo di intesa.
Significativo a questo proposito il numero dei data breach notificati nel 2022 al Garante da parte di soggetti pubblici e privati: 1351. Nel settore pubblico (31,2% dei casi), le violazioni hanno riguardato soprattutto comuni, istituti scolastici e strutture sanitarie, nel settore privato (68,8% dei casi) sono stati coinvolte sia PMI e professionisti che grandi società del settore delle telecomunicazioni, energetico bancario e dei servizi. Nei casi più gravi sono stati adottati provvedimenti di tipo sanzionatorio.
Nel settore della giustizia, l’Autorità è intervenuta, in particolare, sui temi delle intercettazioni e della digitalizzazione della giustizia penale. Rilevanti anche l’intervento in materia di giustizia riparativa la cui disciplina assegna un ruolo centrale ai doveri di riservatezza del mediatore.
Diversi gli interventi riguardanti la sanità digitale. Tra questi vanno evidenziati due pareri non favorevoli: uno sul Fascicolo sanitario elettronico e un altro sull’Ecosistema dei dati sanitari, in entrambi i casi il Garante ha rilevato numerose criticità. In tema di medicina predittiva sono state sanzionate tre aziende sanitarie.
Digitalizzazione della Pa
Nel 2022 il processo di digitalizzazione della P.a. ha subito una forte accelerazione, soprattutto per la necessità di dare attuazione al Pnrr. Il Garante è intervenuto, tra l’altro, sullo Spid per i minori, sulla CieId, sul Sistema di gestione delle deleghe, sulla Piattaforma dei benefici economici erogati da soggetti pubblici, sui Siti web della P.a..
Significativi anche i pareri in materia di politiche sociali come il Bonus psicologo, il Bonus vista, il Bonus patente autotrasporti, la Carta della cultura, la Carta dello studente.
Sempre per quanto riguarda la pubblica amministrazione, il Garante ha richiamato Ministeri, Enti locali e Regioni ad evitare diffusioni illecite di dati personali e a contemperare obblighi di pubblicità degli atti e dignità delle persone. Bloccate sul nascere iniziative locali volte all’erogazione di benefici basati su meccanismi di scoring associati a comportamenti “virtuosi” dei cittadini in vari settori.
Relativamente al settore della fiscalità, l’Autorità ha chiesto maggiori garanzie per gestire i rischi che possono derivare dall’uso dell’intelligenza artificiale nella lotta all’evasione fiscale. Le misure da adottare vanno valutate in concreto e deve essere potenziato l’intervento umano nella formazione dei dataset di analisi e controllo.
Nel mondo del lavoro, il Garante ha affiancato l’attività di tipo correttivo a quella consultiva. L’Autorità ha sanzionato, in particolare, l’accesso del datore di lavoro alla email dell’ex dipendente e la rilevazione biometrica delle presenze da parte di una società sportiva. Ed ha inoltre chiarito come il lavoratore abbia diritto di conoscere i parametri utilizzati per programmare i sistemi automatizzati di valutazione delle prestazioni.
Sul fronte della tutela dei consumatori il Garante è intervenuto con decisione contro il telemarketing aggressivo con l’applicazione di pesanti sanzioni, la maggior parte delle quali riguardano l’utilizzo senza consenso dei dati degli abbonati. L’attività di accertamento ha consentito di fare emergere un vero e proprio “sottobosco” di sub-fornitori, che operano spesso in condizioni di illegittimità. L’Autorità ha inoltre approvato il Codice di condotta per il telemarketing. Le regole entreranno in vigore una volta costituito l’Organismo di monitoraggio.
Sotto la lente del Garante anche il cosiddetto spoofing, ossia l’effettuazione di chiamate promozionali indesiderate realizzate attraverso il camuffamento del numero chiamante.
Un capitolo importante ha riguardato il rapporto tra privacy e diritto di cronaca. Il Garante è intervenuto più volte per stigmatizzare l’eccesso di dettagli e le derive di morbosità e spettacolarizzazione di vicende tragiche e per assicurare le necessarie tutele.
Il 2022 ha visto il Garante proseguire nell’azione di supporto a imprese e pubbliche amministrazioni con un’attività di promozione delle tematiche privacy, in particolare nei confronti dei consumatori. Nell’ambito della convenzione siglata nel 2021 con il Mise sono state realizzate una serie di importanti iniziative, informative, formative e di comunicazione.
L’attività internazionale
Non meno rilevante e intensa l’attività del Garante a livello internazionale, con 216 riunioni, alcune svolte anche in presenza per il progressivo venir meno delle restrizioni imposte dalla pandemia da Covid-19.
Nell’ambito del Comitato europeo per la protezione dei dati (Edpb), che riunisce le Autorità di protezione dati dello Spazio Economico Europeo, il Garante ha contribuito all’adozione di linee-guida su tematiche complesse. Tra le più importanti quelle sui dark pattern nelle piattaforme di social media; sui due nuovi strumenti di trasferimento dei dati introdotti dal Regolamento: i codici di condotta e le certificazioni; sul calcolo delle sanzioni amministrative, sulla cooperazione nell’ambito del meccanismo di “sportello unico”.
Aggiornate, inoltre, le linee guida sulla violazione dei dati (data breach) e rivisto anche il testo di quelle per l’individuazione dell’autorità capofila.
Fra i più importanti pareri resi dall’Edpb e ai quali ha contribuito il Garante, vanno citati quelli sulle proposte di Regolamento del Parlamento europeo e del Consiglio per prevenire e combattere gli abusi sessuali sui minori; per lo Spazio europeo dei dati sanitari; sul riconoscimento facciale nel settore delle attività di polizia e giudiziarie; sulla proroga delle misure in materia di certificati Covid-19; sull’accesso e uso equo dei dati.
Vanno segnalate inoltre cinque importanti decisioni vincolanti che l’Edpb ha assunto nel 2022 per dirimere controversie sorte fra l’autorità capofila e le autorità interessate (tra i casi, WhatsApp e Facebook Ireland). È proseguita l’attività del Comitato anche con riferimento all’applicazione dei principi di protezione dei dati nel settore finanziario, attraverso uno specifico sottogruppo (Financial Matters) il cui coordinamento è affidato al Garante. Uno dei punti cardine del lavoro del Board in materia finanziaria ha riguardato l’euro digitale.
Significativo anche il contributo dato dal Garante in seno all’Ocse soprattutto ai fini della implementazione delle Linee guida in materia di privacy e della Raccomandazione sulla protezione dei minori on line.
Garante Privacy in Emilia-Romagna, incontro sul ruolo del DPO
Si è svolto lo scorso 23 giugno, a Bologna, presso il Teatro Arena del Sole, l’incontro rivolto ai Responsabili della protezione dei dati pubblici e privati (RPD, in inglese DPO, che sta per Data Protection Officer) promosso dal Garante per la protezione dei dati personali in collaborazione con Lepida e Regione Emilia-Romagna, con più di 800 persone iscritte e provenienti da tutta Italia.
In apertura il Presidente della Regione Emilia-Romagna, Stefano Bonaccini, ha sottolineato che “la protezione dei dati personali è fondamentale perché riguarda i diritti e le libertà di ciascuno di noi”, mentre il Presidente del Garante, Pasquale Stanzione, ha affermato che “dalla figura del RPD dipende la ‘scommessa’ dell’accountability”. Il Direttore Generale di Lepida, Gianluca Mazzini, ha riportato i numeri dell’impegno di Lepida per il servizio di RPD ai Soci dal 2018: oltre 2 mila pareri resi, più di mille incontri di cui la maggior parte a distanza, più di 7 mila persone partecipanti alla formazione proposta da Lepida, mentre Laura Ferola, RPD del Garante, ha presentato i “numeri” sugli RDP in Italia.
Si è quindi entrati nel vivo dell’incontro con le 4 sessioni (2 al mattino e 2 al pomeriggio) di confronto tra il Garante, rappresentato da Claudio Filippi, Vice Segretario e Dirigente Realtà Pubbliche, e da Francesco Modafferi, Dirigente Realtà economiche e produttive e 8 RPD pubblici (Regione Emilia-Romagna, Azienda sanitaria universitaria Giuliano Isontina, Ministero degli Affari Esteri, Università Campus Bio-medico di Roma) e privati (Unipol, BNL Paribas, Ferrovie dello Stato, ACEA).
Nelle conclusioni Guido Scorza del Collegio del Garante ha sottolineato i tre punti fondamentali emersi nel corso della giornata: rafforzare la comunità degli RPD, proseguire e ampliare il confronto nei prossimi mesi, far diventare sempre più “popolare” il tema della protezione dei dati personali come parte fondamentale dell’identità europea.
La registrazione integrale dell’evento sarà resa disponibile sul sito del Garante per la protezione dei dati personali.
Internet dei comportamenti e IA generativa, come FBI e NSA agirano la privacy acquistando dati in rete. Ma è legale?
Tutti a caccia di dati personali, anche FBI, NSA e altre agenzie di intelligence americane (con buona pace della privacy)
Da quando internet è entrato nella storia, a cascata, sono arrivati un numero esagerato di dispositivi elettronici da collegare alla rete. Che sia un computer, un telefono o un orologio, ogni utente si è trovato inizialmente “a sua insaputa”, poi con una crescente dose di incoscienza e superficialità, a scambiare i propri dati personali con entità spesso oscure che si posizionavano dall’altra parte cavo, svilendo il valore della privacy.
Di questa situazione si sono approfittati, legalmente o meno, tutti i principali attori economici del nostro tempo, ma non solo. Oltre alle aziende, tra i grandi affamati di dati personali ci sono anche le agenzie governative, che per conseguire l’interesse nazionale e proteggere i cittadini da pericoli esterni ed interni, sempre piuttosto vaghi, raccolgono continuamente informazioni su di noi.
Un bell’articolo pubblicato su The Conversation, scritto da Anne Toomey McKenna, Visiting Professor of Law, all’Università di Richmond, spiega molto bene quali sono negli Stati Uniti queste agenzie, come lavorano, dove prendono le informazioni personali dei cittadini e come le usano.
L’FBI, l’Agenzia per la sicurezza nazionale (la famigerata NSA del caso Snowden), il Dipartimento del Tesoro, l’Agenzia per l’Intelligence della Difesa, la Marina e la Guardia Costiera, sono solo alcune delle entità statali che rastrellano dati sensibili relativi alla popolazione.
E come fanno? Semplice, invece di procedere in nome della legge e quindi seguendo tutta una serie di protocolli prestabiliti (che costano tempo e fondi pubblici), tali agenzie li acquistano direttamente dagli intermediari commerciali, cioè quelle entità oscure di cui sopra, quelle che stanno dall’altra parte del tubo.
La privacy è tutta la nostra vita e oggi è minacciata dell’internet dei comportamenti (e dell’IA)
Si tratta di tutta la nostra vita. La privacy andrebbe presentata così. Tutta la nostra vita è racchiusa in pacchetti di dati, prodotti dall’uso dei nostri dispositivi elettrici ed elettronici connessi in rete, da quello che scriviamo nei messaggi, da quello che diciamo al telefono (o da quello che il nostro telefono registra a livello ambientale), dai video che facciamo.
Non solo, i dispositivi di cui parliamo ascoltano il nostro corpo, il battito cardiaco, il ritmo respiratorio, la pressione sanguigna e molti altri valori afferenti al biologico, molti dei quali sono presenti nelle cartelle cliniche online o nel fascicolo sanitario elettronico (e di soluzioni simili in giro per il mondo).
Non è una lista esauriente di fonti, ma è sufficiente a comprendere la portata dell’attacco alla nostra privacy. Tutti questi dati sono frutto di quella che da tempo è chiamata “Internet dei comportamenti” (Internet of Behaviors).
Si tratta di un’integrazione aperta di più tecnologie, dall’intelligenza artificiale (IA) all’internet delle cose (IoT), passando per l’analisi dei dati e l’apprendimento automatico. Tutti i dati raccolti in questo modo sono associati a comportamenti umani specifici: una visione avanzata del rapporto che lega le persone alle connessioni stabilite dai propri e altrui device, attraverso cui esse si esprimono (linguaggio, pensieri, gesti e oggi anche dati sulla salute, emozioni e sentimenti).
Tutto reso più facile dall’intelligenza artificiale, dall’automobile in cui passiamo tanto tempo, dallo smartphone sempre con noi, dagli orologi e occhiali smart e dai fitness tracker sempre più diffusi ed utilizzati.
L’internet dei comportamenti varrà 3,5 trilioni di dollari entro il 2032
Una specie di trappola moderna in cui ogni individuo deve cedere dati, che includono anche la propria posizione, i tragitti che si fanno, le persone che si incontrano, l’orientamento sessuale, politico e religioso, l’origine etnica, peso e pressione sanguigna, lingua parlata, dialetto preferito, stato emotivo e fisico.
Tutto questo ha certamente un duplice valore: uno per la privacy, l’altro economico.
Ma se il valore commerciale è abbastanza chiaro, molto meno lo è quello inerente la nostra privacy.
La sorveglianza di massa è legale o no?
Le agenzie sopra menzionate sfruttano gli stessi dati per effettuare la celebre sorveglianza di massa. Un obiettivo per niente segreto e per niente frutto di teorie complottiste. Di fatto è prevista dalle stesse leggi federali, solo con forti limitazioni.
La Corte Suprema degli Stati Uniti tramite il quarto emendamento ha proibito perquisizioni e sequestri irragionevoli, se non dietro un mandato chiaro. Un quadro di regole che vale anche internet e l’acquisizione di dati personali tramite la rete e i suoi dispositivi di connessione.
Come detto, però, questo tipo di indagini sono costose, richiedono personale e tempo. I pacchetti di dati contenenti enormi quantità di informazioni già selezionate e confezionate, arricchite dal lavoro delle IA (che consentono combinazioni di dati infinite che rendono la nostra vita molto più interessante agli occhi delle agenzie di intelligence e forse anche ai nostri), sono invece a portata di mano, basta acquistarli in rete, come fa una qualunque azienda.
Il rapporto dell’Office of the Director of National Intelligence avverte di fatto che il volume crescente e l’ampia disponibilità di informazioni disponibili in commercio rappresentano “minacce significative per la privacy e le libertà civili“.
Nessuno oggi sa con esattezza quante e quali agenzie governative stanno raccogliendo dati in questo modo e diventa difficile stabilire quali possono essere le dirette conseguenze di queste attività al limite tra legale e illegale sulle nostre esistenze.
Ci siamo consegnati al nostro sorvegliante, ma c’è ancora una via di uscita
Il Rapporto spiega molto bene la situazione in cui ci siamo messi, praticamente da soli o quasi: “Al governo non sarebbe mai stato permesso di costringere miliardi di persone a portare con sé dispositivi di localizzazione in ogni momento, per registrare e tenere traccia della maggior parte delle loro interazioni sociali o tenere registri impeccabili di tutte le loro abitudini. Eppure, gli smartphone, le auto connesse, le tecnologie di tracciamento, l’Internet delle cose e altre innovazioni hanno ottenuto quello che il Governo non avrebbe neanche potuto immaginare con il consenso piò o meno esplicito di tutta o quasi la popolazione“.
Cosa fare adesso? La privacy è sostanzialmente tutto quello che rimane per tracciare un confine tra ciò che è personale e privato e ciò che è pubblico. Siamo noi che dobbiamo deciderlo, ma in piena coscienza, informati per bene delle conseguenze di ogni nostra decisione a riguardo, cosa che non accade quasi mai.
Secondo l’autrice, di fatto, negli Stati Uniti almeno il Congresso potrebbe ancora affrontare il problema e trovare soluzioni efficaci per proteggere i cittadini da questo saccheggio delle informazioni personali, basterebbe presentare e approvare leggi sulla privacy che funzionino e che obblighino i giganti di internet a rispettarle.
Basterebbe ad esempio provvedere a regolamentare i mezzi tecnologici a nostra disposizione, in nome di leggi giuste ed equilibrate che proteggano davvero il cittadino e le sue libertà personali (rispettando ad esempio anche il diritto di non esser disturbati dall’utilizzo errato di un dispositivo da parte di altri cittadini).
Facebook, Instagram and WhatsApp may need to overhaul how they collect the data of users in Europe after the top EU court ruled against parent company Meta on Tuesday.
The European Court of Justice (ECJ) ruled in favour of Germany’s anti-cartel watchdog, which had argued that it could take data privacy issues into account when considering antitrust cases.
One of the key issues in the case was Meta’s ability to link data across platforms, which allows it to closely target adverts at users, the principal way it makes money.
The German watchdog barred Meta from mixing personal data gathered on Facebook with details harvested from Instagram or WhatsApp, arguing that it amounted to an abuse of its dominant market position in Germany.
The European court said cartel offices were within their rights to carry out investigations under the EU’s huge data protection regulation (GDPR).
“The judgment will have far-reaching effects on the business models used in the data economy,” tweeted Andreas Mundt, head of the anti-cartel watchdog.
Echoing many previous rulings against Meta and other big tech firms, the court ruled that the US company must ask for permission to collect large amounts of personal data, striking down various workarounds that Meta had offered.
Advertisement. Scroll to continue reading.
Meta is likely to need to find a different method of gathering data in Europe as a result.
“We are evaluating the Court’s decision and will have more to say in due course,” a Meta company spokesperson told AFP.
Privacy campaign group noyb welcomed the ruling, saying it clarifies once again that Meta cannot sidestep the GDPR.
“This will mean that Meta has to seek proper consent and cannot use its dominant position to force people to agree to things they don’t want,” said the group’s Max Schrems.
The ruling could also imperil other big platforms like Google, which has a similar ad-tech business model.
Pornhub cuts off more US users in ongoing protest over age-verification laws
On July 1, laws requiring adult websites to verify user ages took effect in Mississippi and Virginia, despite efforts by Pornhub to push back against the legislation. Those efforts include Pornhub blocking access to users in these states and rallying users to help persuade lawmakers that requiring ID to access adult content will only create more harm for users in their states.
Pornhub posted a long statement on Twitter, explaining that the company thinks US officials acting to prevent children from accessing adult content is “great.” However, “the way many elected officials have chosen to implement these laws is haphazard and dangerous.”
Pornhub isn’t the only one protesting these laws. Last month, the Free Speech Coalition (FSC) sued Louisiana over its age-verification law, with FSC Executive Director Alison Boden alleging that these kinds of laws now passed in seven states are unconstitutional.
“These laws give the state the power to harass and censor legal businesses,” Boden said in a blog. “We, of course, support keeping minors from accessing adult content, but allowing the state to suppress certain speech by requiring invasive and burdensome systems that consumers refuse to engage with is simply state censorship.”
Just before the Mississippi and Virginia laws took effect, the FSC confirmed in another blog that it is “looking at potential challenges to these laws.”
Ars could not immediately reach Pornhub or the FSC for comment. [Update: FSC director of public affairs, Mike Stabile, told Ars that there will likely be an update later this week regarding FSC legal challenges in states passing age verification laws. Stabile said that “it’s important to understand that these laws are less about protecting minors, and more about restricting the open Internet. State-level regulations that primarily target adult sites are tremendously ineffective at keeping minors from accessing adult content.” Stabile said these regulations are also dangerous because they are “just the beginning of the speech the government is hoping to limit, which is why it’s so important to fight it now.”
“We’re in the midst of twin moral panics around sex and tech, and porn is where they overlap,” Stabile told Ars. He noted that “laws affect much more than adult sites” because of vague language that makes it so things like “a ‘description of a female nipple’ is enough to trigger liability” in some states for various other websites, including sex education resources. Stabile said that FSC advocates for device-based age verification that is “a far better option for keeping minors from accessing adult content.”]
In its Twitter statement, Pornhub alleged that a major problem with these laws is that states “are not regulating enforcement.” This means that major platforms like Pornhub will likely comply with the laws voluntarily—or else risk fines of up to $1 million annually, the FSC estimated—while users seeking to avoid age verification will simply migrate over to seedier platforms that don’t require ID and often pose security and privacy risks to users.
According to the FSC’s age verification law tracker, laws in three more states are scheduled to take effect in the near future. Arkansas will be next, with its law taking effect on July 31, Texas on September 1, and Montana on January 1, 2024.
Until a better solution is found, Pornhub—which SimilarWeb currently ranks as the eighth most-visited website in the US—seems likely to continue blocking access to more and more US users. It seems to be Pornhub’s only real way to protest the laws and force lawmakers to consider their concerns over what Pornhub views as misguided age-verification laws. In Utah, at least one lawmaker, Todd Weiler, told Ars that he was shocked that Pornhub would take such a drastic step.
Pornhub has apologized to “loyal visitors” whose access has now been blocked in increasingly more states, but many users have found that it’s pretty easy to skirt age verification and Pornhub’s block by using a VPN. This weekend, Google Trends data showed that “VPN” quickly became a top search term for Virginia Internet users.
The FSC seemed to back sites like Pornhub choosing to block access in these states rather than complying with age-verification laws. Similar to Pornhub’s online campaign to rally users to push back against lawmakers, the FSC launched a website, Defend Online Privacy. It’s a resource providing landing pages to help websites like Pornhub easily redirect newly blocked users. Instead of loading Pornhub’s homepage, a Pornhub user would theoretically be redirected to a landing page designed to raise awareness for users in Arkansas, Louisiana, Mississippi, Montana, Texas, Utah, and Virginia, explaining “why they’re being blocked” and encouraging them “to contact the legislators in that state to express their displeasure with the law.”
The plan is to inform Internet users, who can then influence local lawmakers like Weiler, who previously told Ars that he didn’t think requiring ID to access adult content was “too much to ask.” To him, it seemed just like requiring a cashier to ask for ID before selling anyone alcohol or cigarettes.
But the FSC’s New Orleans-based counsel Jeff Sandman said in a blog post that there’s an obvious reason why this comparison is not appropriate, and some lawmakers are overlooking it.
“The First Amendment protects our right to freely access legal content and ideas without government interference,” Sandman said. “We’re fighting not only for adult businesses but for the right of legal adults to use the Internet without government surveillance. Showing your ID in a checkout lane is simply not the same as submitting it to a government database.”
In Louisiana, FSC lawyers have asked a judge to block the state from enforcing its law, and it seems likely that the FSC will make the same demands in Mississippi and Virginia.
https://arstechnica.com/?p=1951582
Apple, Civil Liberty Groups Condemn UK Online Safety Bill
The latest variant of the crypto wars is happening now, with the UK and EU governments attempting to force backdoors into end-to-end encryption (E2EE).
The war is law enforcement and government desire to prevent criminals ‘going dark’ through E2EE. The battlefield for liberal democracies is the EU (the Child Sexual Abuse Regulation) and the UK (the Online Safety Bill – OSB). The collateral damage could be every law abiding citizen – and the audience is all other liberal democracies around the world.
On June 26, 2023, the Online Rights Group delivered an open letter (PDF) signed by 80 technologists and civil rights organizations to Chloe Smith, the UK government minister guiding the OSB through parliament. The biggest concern is the likely requirement for an encrypted message scanning capability. The open letter warns:
“The scanning software would have to be pre-installed on people’s phones, without their permission or full awareness of the severe privacy and security implications. The underlying databases can be corrupted by hostile actors, meaning that individual phones would become vulnerable to attack. The breadth of the measures proposed in the Online Safety Bill – which would infringe the rights to privacy to the same extent for the internet’s majority of legitimate law-abiding users as it would for potential criminals…”
Within days of this letter, Apple sent a separate statement to the BBC: “End-to-end encryption is a critical capability that protects the privacy of journalists, human rights activists, and diplomats. It also helps everyday citizens defend themselves from surveillance, identity theft, fraud, and data breaches. The Online Safety Bill poses a serious threat to this protection, and could put UK citizens at greater risk. Apple urges the government to amend the bill to protect strong end-to-end encryption for the benefit of all.”
SecurityWeek decided to examine the type of technology used in E2EE and feared by governments. We spoke to Matthew Hodgson, co-founder of Matrix.org and CEO/CTO at Element. The combination of Matrix and Element is fitting and ironic for this discussion.
It is fitting because both organizations have their origins in the UK’s Cambridge university. Matrix is an open protocol for decentralized, secure communications. Its custodian is the Matrix.org Foundation, a non-profit UK Community Interest Company. Element is a UK-based E2EE company set up by Hodgson partly to help fund Matrix, and partly to demonstrate its potential.
Advertisement. Scroll to continue reading.
It is ironic because Matrix/Element’s E2EE is used by government departments in North America, the EU, NATO, Ukraine – and the UK. We should be clear, however, that Matrix/Element is as useful to private corporations that require secure communications as it is for government agencies that require secrecy.
Hodgson is reticent about going into detail on Element’s government users, limiting comments to public knowledge. “Historically, we have worked with France, providing secure sovereign communications across all the ministries and departments. Then we entered Germany, starting with the military and expanding to cover the whole country. Now we are providing similar operations to the US DOD, working specifically with the Navy and Marine Corps and Space Force, delivering the ability to communicate securely, but on their own terms, without any dependencies on external systems.”
The backbone of the system is Matrix. “Matrix is a communication protocol, like email or the web, except it focuses on realtime communications,” explained Hodgson. Anyone can install a Matrix server on their own equipment. If Element is also installed, the combination is secure E2EE that cannot be accessed outside the owners of the Matrix servers concerned.
Hodgson compared Element’s approach to Signal, one of the primary suppliers of E2EE. “It is similar. However, Signal is centralized. It runs on a single logical system running on Signal.org operated by a single organization, the Signal Foundation. This is problematic if you need or want to control all the ownership and responsibility for the communication yourself.”
Matrix allows end-to-end communication for chats, file transfer, voice/video calling or any other type of structured data. “We’ve used it for synchronizing VR and metaverse data, IoT data, and cursor-on-target data – which is particularly meaningful for the military,” continued Hodgson. “All this goes over Matrix, and the joy is that you can run the entire infrastructure yourself, either in your own country or in your own data centers, or in air gapped environments.” But it is decentralized, meaning all the Matrix servers can interoperate.
Element is both a company and a communication technology established by the creators of Matrix, “Frankly,” says Hodgson, “it is to keep the lights on and fund our ability to keep building the Matrix technology. Element is a Matrix client that you install on your phone or laptop to communicate across the Matrix network. It looks and smells much like other communication tools such as WhatsApp, Signal, Slack, Teams, or Discord – except it communicates directly with the destination server across the internet. We have around 100,000 servers and around 100 million users – public sector, open source players and private sector companies that may be regulated or related to the public sector infrastructure; including manufacturing, utilities, defense, education, and healthcare.”
The core encryption within Element is similar to Signal. “When they first launched Signal, they produced a simple sketch of how it works,” continued Hodgson. “We took this and wrote an expanded, revised version which we call olm because of its double ratchet implementation.” Double ratchet algorithms are traditionally named after salamanders, and olm is a salamander type found in the limestone caves of south-east Europe.
One of the reasons for the Salamander-naming convention is the ratchet that generates the series of keys used to encrypt the messages can self-heal – much like a salamander can regrow its tail or indeed limbs if damaged. “If attackers intercept and decrypt your encryption, it doesn’t mean they’re going to be able to predict the future keys. As a conversation continues, the process produces new secrets producing new keys that are exchanged between the parties.” Matrix/Element took inspiration from the best in class (Signal) and standardized their own version before Signal produced the official standard.
Element is also working with the IETF on messaging layer security (MLS). a new security layer for encryption within groups of two to many. MLS will provide both forward secrecy and post-compromise security due to a pre-specified key rotation or replacement rate.
Matrix/Element is not ignoring the potential future threat of quantum decryption. “We’re working on implementing Kyber as a wrapper around the elliptic curve25519 encryption that we have as our key exchange primitive today. That work is funded by one of the large government organizations that we’re working with. [More irony.] We have cryptographic agility built into both Matrix as a protocol and Element as an implementation. We can swap out for the best cipher and ratchet as either emerges.”
Hodgson is uncompromising in his view of the Online Safety Bill, but uncertain how it would affect his E2EE company. Firstly, he says adamantly that Element will not introduce a government backdoor or scanning capability. “We are willing to be blocked in markets where the government mandates that there must be some kind of intercept capability or scanning capability on communications. To have an alien blob of code reading all the unencrypted messages, and doing God knows what depending on the predilections of OFCOM or the government of the day would be catastrophic – all from a government that claims to support tech companies.”
His uncertainty comes from the devil in the details. We don’t yet know the final wording of the Online Safety Bill. There are likely to be some concessions. Corporate, and government, communications may be excluded. “There’s an exemption in the Online Safety Bill that says it only applies to the pesky citizens. If you’re providing enterprise communication, then you’re not in scope. So, it would, ironically, not necessarily impact the deployments we do for the UK government or UK companies. But it would be very problematic for people installing the app in the way they install Signal today off the App Stores. We will probably have to remove our app, as would Signal and WhatsApp and the other encrypted messengers, to make sure that the great British public doesn’t get its hands on proper secure communication technology.”
How the UK government expects to separate corporate from personal communication in the age of remote working remains to be seen – but if the Bill becomes an Act, the detection of a non-exempted E2EE communication will create a British outlaw from an otherwise completely law-abiding British citizen.
<!-- ENERGIA ITALIA - 300x250 
--> 
