Nel 2022 sono stati adottati 442 provvedimenti collegiali da parte dell’Autorità Garante per la protezione dei dati personali. L’Autorità ha fornito riscontro a 9.218 reclami e segnalazioni riguardanti, tra l’altro il marketing e le reti telematiche; i dati online delle pubbliche amministrazioni; la sanità; la sicurezza informatica; il settore bancario e finanziario; il lavoro.

E’ quanto emerge dalla relazione annuale dell’Autorità Garante per la protezione dei dati personali, presieduta da Pasquale Stanzione, presentata oggi alla Camera.

Dodici sono stati i pareri su norme di rango primario: in particolare, riguardo a digitalizzazione della Pa, giustizia, sanità e lavoro. Le comunicazioni di notizie di reato all’autorità giudiziaria sono state 5 e hanno riguardato violazioni in materia di controllo a distanza dei lavoratori e falsità nelle dichiarazioni e notificazioni al Garante. I provvedimenti correttivi e sanzionatori sono stati 317. Le sanzioni riscosse sono state di circa 9 milioni 500 mila euro.

Gli interventi più rilevanti: ChatGPT e tutela dei minori

Il 2022 ha visto una serie di interventi centrati sulle grandi questioni legate alla tutela dei diritti fondamentali delle persone nel mondo digitale: in particolare, le implicazioni etiche della tecnologia; l’economia fondata sui dati; le grandi piattaforme e la tutela dei minori, i sistemi di age verification; i big data; l’intelligenza artificiale generativa, il Metaverso e le problematiche poste dagli algoritmi; gli scenari tracciati dalle neuroscienze; la sicurezza dei sistemi e la protezione dello spazio cibernetico; la monetizzazione delle informazioni personali; i fenomeni del revenge porn, del cyberbullismo, dello sharenting, del social scoring.

Particolare attenzione è stata posta all’uso dei dati biometrici e al diffondersi di sistemi di riconoscimento facciale. In questo ambito, in particolare, l’Autorità ha sanzionato per 20 milioni di euro la società statunitense Clearview, vietando l’uso dei dati biometrici e il monitoraggio degli italiani.

Sul fronte della tutela on line dei minori l’anno trascorso è proseguita l’azione di vigilanza sull’età di iscrizione ai social, anche attraverso sistemi di age verification. In questa direzione si muove il tavolo di lavoro istituito con il recente protocollo d’intesa tra Garante e Agcom.

Inoltre, dopo l’altolà del Garante TikTok ha sospeso l’invio di pubblicità personalizzata basata sul legittimo interesse. Oltre ad una base giuridica inadeguata vi erano, infatti, seri rischi che la pubblicità potesse raggiungere i giovanissimi con contenuti non appropriati.

Per quanto riguarda il caso Chatgpt l’intervento del Garante ha consentito di indirizzare lo sviluppo di questa forma di intelligenza artificiale generativa in una direzione compatibile con la tutela delle persone, specie se minori. Fondamentale anche lo stop nei confronti del chatbot Replika, una sorta di amico virtuale, che presentava troppi rischi per i minori e le persone emotivamente fragili.

Con 2 milioni di euro di multa il Garante ha poi sanzionato Clubhouse, il social delle chat vocali.

Per contrastare il fenomeno del revenge porn e aiutare le persone che temono la diffusione di foto e video a contenuto sessualmente esplicito il Garante ha introdotto un modello di segnalazione telematica e la possibilità di inviare alle piattaforme il codice hash delle immagini invece delle copie in chiaro. Le segnalazioni ricevute, circa 150, sono state trattate tempestivamente e nella maggior parte dei casi l’esame si è concluso con un provvedimento diretto alle piattaforme coinvolte per ottenere il blocco preventivo della diffusione delle foto e dei video.

Le sanzioni riscosse dal Garante sono state di circa 9 milioni 500 mila euro

Le ispezioni effettuate nel 2022 sono state 140, quasi triplicate rispetto a quelle dell’anno precedente in cui ancora si subiva l’impatto dell’emergenza pandemica. Gli accertamenti svolti, anche con il contributo del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, hanno riguardato diversi settori, sia nell’ambito pubblico che privato: in particolare, telemarketing, cloud pubblico, siti web ed uso dei cookie, videosorveglianza, anche sul posto di lavoro. Effettuate le verifiche periodiche al VIS (Visa Information System), il sistema sui visti d’ingresso nello spazio Schengen.

Per quanto riguarda l’attività di relazione con il pubblico si è dato riscontro a oltre 16.400 quesiti, che hanno riguardato, in maniera preponderante, gli adempimenti connessi all’applicazione del Regolamento Ue e all’attività dei Responsabili del trattamento, seguiti dalle questioni legate al telemarketing indesiderato; al rapporto di lavoro pubblico e privato; alla videosorveglianza; alle problematiche poste dal web; alla salute e alla ricerca;

Oltre 4 milioni e 300 mila gli accessi al sito web dell’Autorità. Per quanto riguarda l’attività di informazione e comunicazione istituzionale, nel 2022 l’Autorità ha diffuso 71 comunicati stampa, 13 Newsletter, realizzato 9 campagne informative, e prodotto 27 spot istituzionali su temi di maggiore interesse per il pubblico, di cui 18 diffusi sui canali Rai Radio e Tv e 9 sul web e sui social media.

La cybersecurity

Sul fronte della cybersecurity, l’Autorità ha avviato la collaborazione con la Agenzia nazionale per la sicurezza con la quale è stato firmato un protocollo di intesa.

Significativo a questo proposito il numero dei data breach notificati nel 2022 al Garante da parte di soggetti pubblici e privati: 1351. Nel settore pubblico (31,2% dei casi), le violazioni hanno riguardato soprattutto comuni, istituti scolastici e strutture sanitarie, nel settore privato (68,8% dei casi) sono stati coinvolte sia PMI e professionisti che grandi società del settore delle telecomunicazioni, energetico bancario e dei servizi. Nei casi più gravi sono stati adottati provvedimenti di tipo sanzionatorio.

Nel settore della giustizia, l’Autorità è intervenuta, in particolare, sui temi delle intercettazioni e della digitalizzazione della giustizia penale. Rilevanti anche l’intervento in materia di giustizia riparativa la cui disciplina assegna un ruolo centrale ai doveri di riservatezza del mediatore.

Diversi gli interventi riguardanti la sanità digitale. Tra questi vanno evidenziati due pareri non favorevoli: uno sul Fascicolo sanitario elettronico e un altro sull’Ecosistema dei dati sanitari, in entrambi i casi il Garante ha rilevato numerose criticità. In tema di medicina predittiva sono state sanzionate tre aziende sanitarie.

Digitalizzazione della Pa

Nel 2022 il processo di digitalizzazione della P.a. ha subito una forte accelerazione, soprattutto per la necessità di dare attuazione al Pnrr. Il Garante è intervenuto, tra l’altro, sullo Spid per i minori, sulla CieId, sul Sistema di gestione delle deleghe, sulla Piattaforma dei benefici economici erogati da soggetti pubblici, sui Siti web della P.a..

Significativi anche i pareri in materia di politiche sociali come il Bonus psicologo, il Bonus vista, il Bonus patente autotrasporti, la Carta della cultura, la Carta dello studente.

Sempre per quanto riguarda la pubblica amministrazione, il Garante ha richiamato Ministeri, Enti locali e Regioni ad evitare diffusioni illecite di dati personali e a contemperare obblighi di pubblicità degli atti e dignità delle persone. Bloccate sul nascere iniziative locali volte all’erogazione di benefici basati su meccanismi di scoring associati a comportamenti “virtuosi” dei cittadini in vari settori.

Relativamente al settore della fiscalità, l’Autorità ha chiesto maggiori garanzie per gestire i rischi che possono derivare dall’uso dell’intelligenza artificiale nella lotta all’evasione fiscale. Le misure da adottare vanno valutate in concreto e deve essere potenziato l’intervento umano nella formazione dei dataset di analisi e controllo.

Nel mondo del lavoro, il Garante ha affiancato l’attività di tipo correttivo a quella consultiva. L’Autorità ha sanzionato, in particolare, l’accesso del datore di lavoro alla email dell’ex dipendente e la rilevazione biometrica delle presenze da parte di una società sportiva. Ed ha inoltre chiarito come il lavoratore abbia diritto di conoscere i parametri utilizzati per programmare i sistemi automatizzati di valutazione delle prestazioni.

Sul fronte della tutela dei consumatori il Garante è intervenuto con decisione contro il telemarketing aggressivo con l’applicazione di pesanti sanzioni, la maggior parte delle quali riguardano l’utilizzo senza consenso dei dati degli abbonati. L’attività di accertamento ha consentito di fare emergere un vero e proprio “sottobosco” di sub-fornitori, che operano spesso in condizioni di illegittimità. L’Autorità ha inoltre approvato il Codice di condotta per il telemarketing. Le regole entreranno in vigore una volta costituito l’Organismo di monitoraggio.

Sotto la lente del Garante anche il cosiddetto spoofing, ossia l’effettuazione di chiamate promozionali indesiderate realizzate attraverso il camuffamento del numero chiamante.

Un capitolo importante ha riguardato il rapporto tra privacy e diritto di cronaca. Il Garante è intervenuto più volte per stigmatizzare l’eccesso di dettagli e le derive di morbosità e spettacolarizzazione di vicende tragiche e per assicurare le necessarie tutele.

Il 2022 ha visto il Garante proseguire nell’azione di supporto a imprese e pubbliche amministrazioni con un’attività di promozione delle tematiche privacy, in particolare nei confronti dei consumatori. Nell’ambito della convenzione siglata nel 2021 con il Mise sono state realizzate una serie di importanti iniziative, informative, formative e di comunicazione.

L’attività internazionale

Non meno rilevante e intensa l’attività del Garante a livello internazionale, con 216 riunioni, alcune svolte anche in presenza per il progressivo venir meno delle restrizioni imposte dalla pandemia da Covid-19.

Nell’ambito del Comitato europeo per la protezione dei dati (Edpb), che riunisce le Autorità di protezione dati dello Spazio Economico Europeo, il Garante ha contribuito all’adozione di linee-guida su tematiche complesse. Tra le più importanti quelle sui dark pattern nelle piattaforme di social media; sui due nuovi strumenti di trasferimento dei dati introdotti dal Regolamento: i codici di condotta e le certificazioni; sul calcolo delle sanzioni amministrative, sulla cooperazione nell’ambito del meccanismo di “sportello unico”.

Aggiornate, inoltre, le linee guida sulla violazione dei dati (data breach) e rivisto anche il testo di quelle per l’individuazione dell’autorità capofila.

Fra i più importanti pareri resi dall’Edpb e ai quali ha contribuito il Garante, vanno citati quelli sulle proposte di Regolamento del Parlamento europeo e del Consiglio per prevenire e combattere gli abusi sessuali sui minori; per lo Spazio europeo dei dati sanitari; sul riconoscimento facciale nel settore delle attività di polizia e giudiziarie; sulla proroga delle misure in materia di certificati Covid-19; sull’accesso e uso equo dei dati.

Vanno segnalate inoltre cinque importanti decisioni vincolanti che l’Edpb ha assunto nel 2022 per dirimere controversie sorte fra l’autorità capofila e le autorità interessate (tra i casi, WhatsApp e Facebook Ireland). È proseguita l’attività del Comitato anche con riferimento all’applicazione dei principi di protezione dei dati nel settore finanziario, attraverso uno specifico sottogruppo (Financial Matters) il cui coordinamento è affidato al Garante. Uno dei punti cardine del lavoro del Board in materia finanziaria ha riguardato l’euro digitale.

Significativo anche il contributo dato dal Garante in seno all’Ocse soprattutto ai fini della implementazione delle Linee guida in materia di privacy e della Raccomandazione sulla protezione dei minori on line.

Per approfondire

https://www.key4biz.it/garante-privacy-442-provvedimenti-e-1351-data-breach-riscossi-oltre-9-milioni-di-euro-dalle-sanzioni-i-numeri-del-2022/452527/

Si è svolto lo scorso 23 giugno, a Bologna, presso il Teatro Arena del Sole, l’incontro rivolto ai Responsabili della protezione dei dati pubblici e privati (RPD, in inglese DPO, che sta per Data Protection Officer) promosso dal Garante per la protezione dei dati personali in collaborazione con Lepida e Regione Emilia-Romagna, con più di 800 persone iscritte e provenienti da tutta Italia.

In apertura il Presidente della Regione Emilia-Romagna, Stefano Bonaccini, ha sottolineato che “la protezione dei dati personali è fondamentale perché riguarda i diritti e le libertà di ciascuno di noi”, mentre il Presidente del Garante, Pasquale Stanzione, ha affermato che “dalla figura del RPD dipende la ‘scommessa’ dell’accountability”. Il Direttore Generale di Lepida, Gianluca Mazzini, ha riportato i numeri dell’impegno di Lepida per il servizio di RPD ai Soci dal 2018: oltre 2 mila pareri resi, più di mille incontri di cui la maggior parte a distanza, più di 7 mila persone partecipanti alla formazione proposta da Lepida, mentre Laura Ferola, RPD del Garante, ha presentato i “numeri” sugli RDP in Italia.

Si è quindi entrati nel vivo dell’incontro con le 4 sessioni (2 al mattino e 2 al pomeriggio) di confronto tra il Garante, rappresentato da Claudio Filippi, Vice Segretario e Dirigente Realtà Pubbliche, e da Francesco Modafferi, Dirigente Realtà economiche e produttive e 8 RPD pubblici (Regione Emilia-Romagna, Azienda sanitaria universitaria Giuliano Isontina, Ministero degli Affari Esteri, Università Campus Bio-medico di Roma) e privati (Unipol, BNL Paribas, Ferrovie dello Stato, ACEA).

Nelle conclusioni Guido Scorza del Collegio del Garante ha sottolineato i tre punti fondamentali emersi nel corso della giornata: rafforzare la comunità degli RPD, proseguire e ampliare il confronto nei prossimi mesi, far diventare sempre più “popolare” il tema della protezione dei dati personali come parte fondamentale dell’identità europea.

La registrazione integrale dell’evento sarà resa disponibile sul sito del Garante per la protezione dei dati personali.

https://www.key4biz.it/garante-privacy-in-emilia-romagna-incontro-sul-ruolo-del-dpo/452568/

Tutti a caccia di dati personali, anche FBI, NSA e altre agenzie di intelligence americane (con buona pace della privacy)

Da quando internet è entrato nella storia, a cascata, sono arrivati un numero esagerato di dispositivi elettronici da collegare alla rete. Che sia un computer, un telefono o un orologio, ogni utente si è trovato inizialmente “a sua insaputa”, poi con una crescente dose di incoscienza e superficialità, a scambiare i propri dati personali con entità spesso oscure che si posizionavano dall’altra parte cavo, svilendo il valore della privacy.

Di questa situazione si sono approfittati, legalmente o meno, tutti i principali attori economici del nostro tempo, ma non solo. Oltre alle aziende, tra i grandi affamati di dati personali ci sono anche le agenzie governative, che per conseguire l’interesse nazionale e proteggere i cittadini da pericoli esterni ed interni, sempre piuttosto vaghi, raccolgono continuamente informazioni su di noi.

Un bell’articolo pubblicato su The Conversation, scritto da Anne Toomey McKenna, Visiting Professor of Law, all’Università di Richmond, spiega molto bene quali sono negli Stati Uniti queste agenzie, come lavorano, dove prendono le informazioni personali dei cittadini e come le usano.

L’FBI, l’Agenzia per la sicurezza nazionale (la famigerata NSA del caso Snowden), il Dipartimento del Tesoro, l’Agenzia per l’Intelligence della Difesa, la Marina e la Guardia Costiera, sono solo alcune delle entità statali che rastrellano dati sensibili relativi alla popolazione.

E come fanno? Semplice, invece di procedere in nome della legge e quindi seguendo tutta una serie di protocolli prestabiliti (che costano tempo e fondi pubblici), tali agenzie li acquistano direttamente dagli intermediari commerciali, cioè quelle entità oscure di cui sopra, quelle che stanno dall’altra parte del tubo.

La notizia è stata pubblicata in un rapporto interno dell’Ufficio del direttore dell’intelligence nazionale, parzialmente declassificato e pubblicato il 9 giugno 2023.

La privacy è tutta la nostra vita e oggi è minacciata dell’internet dei comportamenti (e dell’IA)

Si tratta di tutta la nostra vita. La privacy andrebbe presentata così. Tutta la nostra vita è racchiusa in pacchetti di dati, prodotti dall’uso dei nostri dispositivi elettrici ed elettronici connessi in rete, da quello che scriviamo nei messaggi, da quello che diciamo al telefono (o da quello che il nostro telefono registra a livello ambientale), dai video che facciamo.

Non solo, i dispositivi di cui parliamo ascoltano il nostro corpo, il battito cardiaco, il ritmo respiratorio, la pressione sanguigna e molti altri valori afferenti al biologico, molti dei quali sono presenti nelle cartelle cliniche online o nel fascicolo sanitario elettronico (e di soluzioni simili in giro per il mondo).

Non è una lista esauriente di fonti, ma è sufficiente a comprendere la portata dell’attacco alla nostra privacy. Tutti questi dati sono frutto di quella che da tempo è chiamata “Internet dei comportamenti” (Internet of Behaviors).

Si tratta di un’integrazione aperta di più tecnologie, dall’intelligenza artificiale (IA) all’internet delle cose (IoT), passando per l’analisi dei dati e l’apprendimento automatico. Tutti i dati raccolti in questo modo sono associati a comportamenti umani specifici: una visione avanzata del rapporto che lega le persone alle connessioni stabilite dai propri e altrui device, attraverso cui esse si esprimono (linguaggio, pensieri, gesti e oggi anche dati sulla salute, emozioni e sentimenti).

Tutto reso più facile dall’intelligenza artificiale, dall’automobile in cui passiamo tanto tempo, dallo smartphone sempre con noi, dagli orologi e occhiali smart e dai fitness tracker sempre più diffusi ed utilizzati.

L’internet dei comportamenti varrà 3,5 trilioni di dollari entro il 2032

Una specie di trappola moderna in cui ogni individuo deve cedere dati, che includono anche la propria posizione, i tragitti che si fanno, le persone che si incontrano, l’orientamento sessuale, politico e religioso, l’origine etnica, peso e pressione sanguigna, lingua parlata, dialetto preferito, stato emotivo e fisico.

Tutto questo ha certamente un duplice valore: uno per la privacy, l’altro economico.

L’internet dei comportamenti è valutata oggi un mercato da 400 miliardi di dollari ed entro il 2030 potrebbe raggiungere i 2,1 trilioni di dollari di valore a livello mondiale (3,5 trilioni entro il 2032).

Ma se il valore commerciale è abbastanza chiaro, molto meno lo è quello inerente la nostra privacy.

La sorveglianza di massa è legale o no?

Le agenzie sopra menzionate sfruttano gli stessi dati per effettuare la celebre sorveglianza di massa. Un obiettivo per niente segreto e per niente frutto di teorie complottiste. Di fatto è prevista dalle stesse leggi federali, solo con forti limitazioni.

La Corte Suprema degli Stati Uniti tramite il quarto emendamento ha proibito perquisizioni e sequestri irragionevoli, se non dietro un mandato chiaro. Un quadro di regole che vale anche internet e l’acquisizione di dati personali tramite la rete e i suoi dispositivi di connessione.

Come detto, però, questo tipo di indagini sono costose, richiedono personale e tempo. I pacchetti di dati contenenti enormi quantità di informazioni già selezionate e confezionate, arricchite dal lavoro delle IA (che consentono combinazioni di dati infinite che rendono la nostra vita molto più interessante agli occhi delle agenzie di intelligence e forse anche ai nostri), sono invece a portata di mano, basta acquistarli in rete, come fa una qualunque azienda.

Il rapporto dell’Office of the Director of National Intelligence avverte di fatto che il volume crescente e l’ampia disponibilità di informazioni disponibili in commercio rappresentano “minacce significative per la privacy e le libertà civili“.

Nessuno oggi sa con esattezza quante e quali agenzie governative stanno raccogliendo dati in questo modo e diventa difficile stabilire quali possono essere le dirette conseguenze di queste attività al limite tra legale e illegale sulle nostre esistenze.

Ci siamo consegnati al nostro sorvegliante, ma c’è ancora una via di uscita

Il Rapporto spiega molto bene la situazione in cui ci siamo messi, praticamente da soli o quasi: “Al governo non sarebbe mai stato permesso di costringere miliardi di persone a portare con sé dispositivi di localizzazione in ogni momento, per registrare e tenere traccia della maggior parte delle loro interazioni sociali o tenere registri impeccabili di tutte le loro abitudini. Eppure, gli smartphone, le auto connesse, le tecnologie di tracciamento, l’Internet delle cose e altre innovazioni hanno ottenuto quello che il Governo non avrebbe neanche potuto immaginare con il consenso piò o meno esplicito di tutta o quasi la popolazione“.

Cosa fare adesso? La privacy è sostanzialmente tutto quello che rimane per tracciare un confine tra ciò che è personale e privato e ciò che è pubblico. Siamo noi che dobbiamo deciderlo, ma in piena coscienza, informati per bene delle conseguenze di ogni nostra decisione a riguardo, cosa che non accade quasi mai.

Secondo l’autrice, di fatto, negli Stati Uniti almeno il Congresso potrebbe ancora affrontare il problema e trovare soluzioni efficaci per proteggere i cittadini da questo saccheggio delle informazioni personali, basterebbe presentare e approvare leggi sulla privacy che funzionino e che obblighino i giganti di internet a rispettarle.

Basterebbe ad esempio provvedere a regolamentare i mezzi tecnologici a nostra disposizione, in nome di leggi giuste ed equilibrate che proteggano davvero il cittadino e le sue libertà personali (rispettando ad esempio anche il diritto di non esser disturbati dall’utilizzo errato di un dispositivo da parte di altri cittadini).

Basterebbe regolamentare seriamente l’applicazione dell’intelligenza artificiale in ogni settore, tenendo bene a mente che la nostra vita privata è il bene di valore più grande che abbiamo.

https://www.key4biz.it/internet-dei-comportamenti-e-ia-generativa-come-fbi-e-nsa-agirano-la-privacy-acquistando-dati-in-rete-ma-e-legale/452529/

Facebook, Instagram and WhatsApp may need to overhaul how they collect the data of users in Europe after the top EU court ruled against parent company Meta on Tuesday.

The European Court of Justice (ECJ) ruled in favour of Germany’s anti-cartel watchdog, which had argued that it could take data privacy issues into account when considering antitrust cases.

One of the key issues in the case was Meta’s ability to link data across platforms, which allows it to closely target adverts at users, the principal way it makes money.

The German watchdog barred Meta from mixing personal data gathered on Facebook with details harvested from Instagram or WhatsApp, arguing that it amounted to an abuse of its dominant market position in Germany.

The European court said cartel offices were within their rights to carry out investigations under the EU’s huge data protection regulation (GDPR).

“The judgment will have far-reaching effects on the business models used in the data economy,” tweeted Andreas Mundt, head of the anti-cartel watchdog.

Echoing many previous rulings against Meta and other big tech firms, the court ruled that the US company must ask for permission to collect large amounts of personal data, striking down various workarounds that Meta had offered.

Meta is likely to need to find a different method of gathering data in Europe as a result.

“We are evaluating the Court’s decision and will have more to say in due course,” a Meta company spokesperson told AFP.

Privacy campaign group noyb welcomed the ruling, saying it clarifies once again that Meta cannot sidestep the GDPR.

“This will mean that Meta has to seek proper consent and cannot use its dominant position to force people to agree to things they don’t want,” said the group’s Max Schrems.

The ruling could also imperil other big platforms like Google, which has a similar ad-tech business model.

Related: Meta Fined Record $1.3 Billion and Ordered to Stop Sending European User Data to US

Related: Meta Swiftly Neutralizes New ‘NodeStealer’ Malware

Related: Meta Slapped With 5.5 Million Euro Fine for EU Data Breach

https://www.securityweek.com/eu-court-deals-blow-to-meta-in-german-data-case/

On July 1, laws requiring adult websites to verify user ages took effect in Mississippi and Virginia, despite efforts by Pornhub to push back against the legislation. Those efforts include Pornhub blocking access to users in these states and rallying users to help persuade lawmakers that requiring ID to access adult content will only create more harm for users in their states.

Pornhub posted a long statement on Twitter, explaining that the company thinks US officials acting to prevent children from accessing adult content is “great.” However, “the way many elected officials have chosen to implement these laws is haphazard and dangerous.”

Pornhub isn’t the only one protesting these laws. Last month, the Free Speech Coalition (FSC) sued Louisiana over its age-verification law, with FSC Executive Director Alison Boden alleging that these kinds of laws now passed in seven states are unconstitutional.

“These laws give the state the power to harass and censor legal businesses,” Boden said in a blog. “We, of course, support keeping minors from accessing adult content, but allowing the state to suppress certain speech by requiring invasive and burdensome systems that consumers refuse to engage with is simply state censorship.”

Just before the Mississippi and Virginia laws took effect, the FSC confirmed in another blog that it is “looking at potential challenges to these laws.”

Ars could not immediately reach Pornhub or the FSC for comment. [Update: FSC director of public affairs, Mike Stabile, told Ars that there will likely be an update later this week regarding FSC legal challenges in states passing age verification laws. Stabile said that “it’s important to understand that these laws are less about protecting minors, and more about restricting the open Internet. State-level regulations that primarily target adult sites are tremendously ineffective at keeping minors from accessing adult content.” Stabile said these regulations are also dangerous because they are “just the beginning of the speech the government is hoping to limit, which is why it’s so important to fight it now.”

“We’re in the midst of twin moral panics around sex and tech, and porn is where they overlap,” Stabile told Ars. He noted that “laws affect much more than adult sites” because of vague language that makes it so things like “a ‘description of a female nipple’ is enough to trigger liability” in some states for various other websites, including sex education resources. Stabile said that FSC advocates for device-based age verification that is “a far better option for keeping minors from accessing adult content.”]

In its Twitter statement, Pornhub alleged that a major problem with these laws is that states “are not regulating enforcement.” This means that major platforms like Pornhub will likely comply with the laws voluntarily—or else risk fines of up to $1 million annually, the FSC estimated—while users seeking to avoid age verification will simply migrate over to seedier platforms that don’t require ID and often pose security and privacy risks to users.

Pornhub has said that rather than requiring platforms to ask for ID, lawmakers should require device-based age verification as “the only solution that makes the Internet safer.”

Users skirting age verification

According to the FSC’s age verification law tracker, laws in three more states are scheduled to take effect in the near future. Arkansas will be next, with its law taking effect on July 31, Texas on September 1, and Montana on January 1, 2024.

Until a better solution is found, Pornhub—which SimilarWeb currently ranks as the eighth most-visited website in the US—seems likely to continue blocking access to more and more US users. It seems to be Pornhub’s only real way to protest the laws and force lawmakers to consider their concerns over what Pornhub views as misguided age-verification laws. In Utah, at least one lawmaker, Todd Weiler, told Ars that he was shocked that Pornhub would take such a drastic step.

Pornhub has apologized to “loyal visitors” whose access has now been blocked in increasingly more states, but many users have found that it’s pretty easy to skirt age verification and Pornhub’s block by using a VPN. This weekend, Google Trends data showed that “VPN” quickly became a top search term for Virginia Internet users.

The FSC seemed to back sites like Pornhub choosing to block access in these states rather than complying with age-verification laws. Similar to Pornhub’s online campaign to rally users to push back against lawmakers, the FSC launched a website, Defend Online Privacy. It’s a resource providing landing pages to help websites like Pornhub easily redirect newly blocked users. Instead of loading Pornhub’s homepage, a Pornhub user would theoretically be redirected to a landing page designed to raise awareness for users in Arkansas, Louisiana, Mississippi, Montana, Texas, Utah, and Virginia, explaining “why they’re being blocked” and encouraging them “to contact the legislators in that state to express their displeasure with the law.”

The plan is to inform Internet users, who can then influence local lawmakers like Weiler, who previously told Ars that he didn’t think requiring ID to access adult content was “too much to ask.” To him, it seemed just like requiring a cashier to ask for ID before selling anyone alcohol or cigarettes.

But the FSC’s New Orleans-based counsel Jeff Sandman said in a blog post that there’s an obvious reason why this comparison is not appropriate, and some lawmakers are overlooking it.

“The First Amendment protects our right to freely access legal content and ideas without government interference,” Sandman said. “We’re fighting not only for adult businesses but for the right of legal adults to use the Internet without government surveillance. Showing your ID in a checkout lane is simply not the same as submitting it to a government database.”

In Louisiana, FSC lawyers have asked a judge to block the state from enforcing its law, and it seems likely that the FSC will make the same demands in Mississippi and Virginia.

https://arstechnica.com/?p=1951582

The latest variant of the crypto wars is happening now, with the UK and EU governments attempting to force backdoors into end-to-end encryption (E2EE).

The war is law enforcement and government desire to prevent criminals ‘going dark’ through E2EE. The battlefield for liberal democracies is the EU (the Child Sexual Abuse Regulation) and the UK (the Online Safety Bill – OSB). The collateral damage could be every law abiding citizen – and the audience is all other liberal democracies around the world.

On June 26, 2023, the Online Rights Group delivered an open letter (PDF) signed by 80 technologists and civil rights organizations to Chloe Smith, the UK government minister guiding the OSB through parliament. The biggest concern is the likely requirement for an encrypted message scanning capability. The open letter warns:

“The scanning software would have to be pre-installed on people’s phones, without their permission or full awareness of the severe privacy and security implications. The underlying databases can be corrupted by hostile actors, meaning that individual phones would become vulnerable to attack. The breadth of the measures proposed in the Online Safety Bill – which would infringe the rights to privacy to the same extent for the internet’s majority of legitimate law-abiding users as it would for potential criminals…”

Within days of this letter, Apple sent a separate statement to the BBC: “End-to-end encryption is a critical capability that protects the privacy of journalists, human rights activists, and diplomats. It also helps everyday citizens defend themselves from surveillance, identity theft, fraud, and data breaches. The Online Safety Bill poses a serious threat to this protection, and could put UK citizens at greater risk. Apple urges the government to amend the bill to protect strong end-to-end encryption for the benefit of all.”

SecurityWeek decided to examine the type of technology used in E2EE and feared by governments. We spoke to Matthew Hodgson, co-founder of Matrix.org and CEO/CTO at Element. The combination of Matrix and Element is fitting and ironic for this discussion. 

It is fitting because both organizations have their origins in the UK’s Cambridge university. Matrix is an open protocol for decentralized, secure communications. Its custodian is the Matrix.org Foundation, a non-profit UK Community Interest Company. Element is a UK-based E2EE company set up by Hodgson partly to help fund Matrix, and partly to demonstrate its potential.

It is ironic because Matrix/Element’s E2EE is used by government departments in North America, the EU, NATO, Ukraine – and the UK. We should be clear, however, that Matrix/Element is as useful to private corporations that require secure communications as it is for government agencies that require secrecy.

Hodgson is reticent about going into detail on Element’s government users, limiting comments to public knowledge. “Historically, we have worked with France, providing secure sovereign communications across all the ministries and departments. Then we entered Germany, starting with the military and expanding to cover the whole country. Now we are providing similar operations to the US DOD, working specifically with the Navy and Marine Corps and Space Force, delivering the ability to communicate securely, but on their own terms, without any dependencies on external systems.”

The backbone of the system is Matrix. “Matrix is a communication protocol, like email or the web, except it focuses on realtime communications,” explained Hodgson. Anyone can install a Matrix server on their own equipment. If Element is also installed, the combination is secure E2EE that cannot be accessed outside the owners of the Matrix servers concerned.

Hodgson compared Element’s approach to Signal, one of the primary suppliers of E2EE. “It is similar. However, Signal is centralized. It runs on a single logical system running on Signal.org operated by a single organization, the Signal Foundation. This is problematic if you need or want to control all the ownership and responsibility for the communication yourself.” 

Matrix allows end-to-end communication for chats, file transfer, voice/video calling or any other type of structured data. “We’ve used it for synchronizing VR and metaverse data, IoT data, and cursor-on-target data – which is particularly meaningful for the military,” continued Hodgson. “All this goes over Matrix, and the joy is that you can run the entire infrastructure yourself, either in your own country or in your own data centers, or in air gapped environments.” But it is decentralized, meaning all the Matrix servers can interoperate.

Element is both a company and a communication technology established by the creators of Matrix, “Frankly,” says Hodgson, “it is to keep the lights on and fund our ability to keep building the Matrix technology. Element is a Matrix client that you install on your phone or laptop to communicate across the Matrix network. It looks and smells much like other communication tools such as WhatsApp, Signal, Slack, Teams, or Discord – except it communicates directly with the destination server across the internet. We have around 100,000 servers and around 100 million users – public sector, open source players and private sector companies that may be regulated or related to the public sector infrastructure; including manufacturing, utilities, defense, education, and healthcare.”

The core encryption within Element is similar to Signal. “When they first launched Signal, they produced a simple sketch of how it works,” continued Hodgson. “We took this and wrote an expanded, revised version which we call olm because of its double ratchet implementation.” Double ratchet algorithms are traditionally named after salamanders, and olm is a salamander type found in the limestone caves of south-east Europe.

One of the reasons for the Salamander-naming convention is the ratchet that generates the series of keys used to encrypt the messages can self-heal – much like a salamander can regrow its tail or indeed limbs if damaged. “If attackers intercept and decrypt your encryption, it doesn’t mean they’re going to be able to predict the future keys. As a conversation continues, the process produces new secrets producing new keys that are exchanged between the parties.” Matrix/Element took inspiration from the best in class (Signal) and standardized their own version before Signal produced the official standard.

Element is also working with the IETF on messaging layer security (MLS). a new security layer for encryption within groups of two to many. MLS will provide both forward secrecy and post-compromise security due to a pre-specified key rotation or replacement rate.

Matrix/Element is not ignoring the potential future threat of quantum decryption. “We’re working on implementing Kyber as a wrapper around the elliptic curve25519 encryption that we have as our key exchange primitive today. That work is funded by one of the large government organizations that we’re working with. [More irony.] We have cryptographic agility built into both Matrix as a protocol and Element as an implementation. We can swap out for the best cipher and ratchet as either emerges.”

Hodgson is uncompromising in his view of the Online Safety Bill, but uncertain how it would affect his E2EE company. Firstly, he says adamantly that Element will not introduce a government backdoor or scanning capability. “We are willing to be blocked in markets where the government mandates that there must be some kind of intercept capability or scanning capability on communications. To have an alien blob of code reading all the unencrypted messages, and doing God knows what depending on the predilections of OFCOM or the government of the day would be catastrophic – all from a government that claims to support tech companies.”

His uncertainty comes from the devil in the details. We don’t yet know the final wording of the Online Safety Bill. There are likely to be some concessions. Corporate, and government, communications may be excluded. “There’s an exemption in the Online Safety Bill that says it only applies to the pesky citizens. If you’re providing enterprise communication, then you’re not in scope. So, it would, ironically, not necessarily impact the deployments we do for the UK government or UK companies. But it would be very problematic for people installing the app in the way they install Signal today off the App Stores. We will probably have to remove our app, as would Signal and WhatsApp and the other encrypted messengers, to make sure that the great British public doesn’t get its hands on proper secure communication technology.”

How the UK government expects to separate corporate from personal communication in the age of remote working remains to be seen – but if the Bill becomes an Act, the detection of a non-exempted E2EE communication will create a British outlaw from an otherwise completely law-abiding British citizen.

Related: UK Introduces Mass Surveillance With Online Safety Bill

Related: Apple Adding End-to-End Encryption to iCloud Backup

Related: Surveillance ‘Existential’ Danger of Tech: Signal Boss

Related: Justices Turn Away Israeli Spyware Maker in WhatsApp Suit

https://www.securityweek.com/apple-civil-liberty-groups-condemn-uk-online-safety-bill/

L’Unione europea ha raggiunto l’accordo sul Data Act, l’insieme di nuove norme per regolamentare l’accesso a dati e algoritmi sul territorio europeo, in particolare nei settori dell’Internet of Things (IoT) e dell’intelligenza artificiale.

Il Data Act punta a sbloccare i dati industriali non personali e a dare più controllo e potere di condivisione sui propri dati a utenti, aziende e pubbliche amministrazioni.

Le norme facilitano anche il passaggio da un servizio cloud a un altro. E’ prevista la possibilità per i governi di richiedere dati delle imprese in tempi di emergenza, mentre sono garantite tutele sui segreti commerciali.

Cosa prevede il Data Act

Il Data Act contiene le seguenti misure:

• Misure che consentono agli utenti di dispositivi connessi di accedere ai dati generati da tali dispositivi e dai servizi ad essi correlati. Gli utenti potranno condividere tali dati con terzi, potenziando i servizi post-vendita e l’innovazione. Allo stesso tempo, i produttori rimangono incentivati ​​a investire nella generazione di dati di alta qualità mentre i loro segreti commerciali rimangono protetti.
• Misure per fornire protezione da clausole contrattuali ingiuste imposte unilateralmente. Queste mirano a salvaguardare le aziende dell’UE da accordi ingiusti, promuovendo trattative eque e consentendo alle PMI di partecipare con maggiore fiducia al mercato digitale.
• Meccanismi per consentire agli enti del settore pubblico di accedere e utilizzare i dati detenuti dal settore privato in caso di emergenze pubbliche come alluvioni e incendi boschivi, o quando l’implementazione di un mandato legale richiede dati non disponibili attraverso altri mezzi.
• Nuove regole che concedono ai clienti la libertà di passare da un fornitore di servizi di elaborazione dati cloud a un altro. Queste norme mirano a promuovere la concorrenza e la scelta nel mercato, prevenendo nel contempo il blocco del fornitore. Inoltre, il Data Act include salvaguardie contro i trasferimenti illeciti di dati, garantendo un ambiente di elaborazione dati più affidabile e sicuro.
• Misure per promuovere lo sviluppo di standard di interoperabilità per la condivisione e l’elaborazione dei dati, in linea con la Strategia di standardizzazione dell’UE.

“Questo è un traguardo significativo nel percorso verso un unico mercato per i dati. Il Data Act ottimizzerà l’uso dei dati migliorando l’accessibilità dei dati per individui e imprese. Questa è una notizia molto positiva per la trasformazione digitale dell’Unione europea”, ha dichiarato Margrethe Vestager, Vicepresidente esecutivo per

Per il Commissario per il mercato interno Thierry Breton: “A seguito dell’adozione degli atti sui servizi digitali, i mercati digitali e la governance dei dati, l’accordo odierno rappresenta un altro traguardo nel nostro impegno per ridefinire lo spazio digitale. Il Data Act garantirà che i dati industriali siano condivisi, archiviati e elaborati nel pieno rispetto delle norme europee. Creerà un’economia dei dati fiorente, innovativa e aperta, ma secondo le nostre condizioni europee”.

L’accordo politico raggiunto dal Parlamento europeo e dal Consiglio è ora soggetto all’approvazione formale dei due co-legislatori. Una volta adottato, il Data Act entrerà in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale e diventerà applicabile 20 mesi dopo l’entrata in vigore.

https://www.key4biz.it/data-act-leuropa-raggiunge-laccordo-breton-garantiamo-che-i-dati-industriali-siano-archiviati-e-elaborati-nel-rispetto-delle-norme-ue/451553/

Il Garante privacy ha sanzionato per 176mila euro Roma Capitale e per 239mila euro Ama, società in-house cui è affidata anche la gestione dei servizi cimiteriali, per aver diffuso i dati delle donne che avevano affrontato un’interruzione di gravidanza, indicandoli su targhette apposte sulle sepolture dei feti presso il Cimitero Flaminio. Invece l’ammonimento per la Asl Roma 1.

“Non solo i dati sull’interruzione di gravidanza rientrano tra i dati relativi alla salute, di cui è vietata la diffusione, ma la legge 194 del 1978 prevede un rigoroso regime di riservatezza”, ha chiarito il Garante.

Il caso è emerso ad ottobre 2020, quando si è scoperto che a Roma, nel cimitero dei feti a Flaminio, su ogni croce è scritto il nome della mamma. 

Usare il nome di fantasia

Una soluzione, indicata anche dal Garante, è quella già usata in un altro cimitero dei feti della Capitale, a Laurentino il “Giardino degli Angeli”, inaugurato nel 2012, (nel 2018 è andato anche papa Francesco a pregare). 

Dietro le lapidi, tutte uguali, c’è un codice mentre davanti si potranno mettere anche nomi di fantasia. Una soluzione rilanciata anche da Key4biz.

Oltre ad aver applicato la sanzione nei confronti di Roma Capitale e Ama, il Garante ha pertanto ordinato all’Azienda sanitaria di non riportare più le generalità “in chiaro” sulle autorizzazioni al trasporto e alla sepoltura e sui certificati medico legali.

Anche l’oscuramento dei dati identificativi delle donne, la pseudonimizzazione o la cifratura dei dati

Nel provvedimento l’Autorità ha inoltre indicato alla Asl alcune misure tecniche e/o organizzative (come l’oscuramento dei dati identificativi delle donne, la pseudonimizzazione o la cifratura dei dati) che garantirebbero la possibilità di individuare con certezza il prodotto del concepimento e il luogo della sua sepoltura, senza consentire – in modo diretto – di risalire all’identità della donna.

Nell’ottica del principio di responsabilizzazione, la scelta e l’adozione delle misure compete in ogni caso alla Asl, che è tenuta a comunicarle al Garante entro 60 giorni.

https://www.key4biz.it/cimitero-dei-feti-a-flaminio-415mila-euro-di-multa-in-totale-per-il-comune-di-roma-e-ama-no-ai-nomi-delle-madri-sulle-croci/451217/

Giu 16, 2023 Marina Londei Malware, Minacce, News, Privacy, RSS 0

---

Aumentano gli attacchi al settore della sanità: il focus Healthcare dell’ultimo Rapporto Clusit sul primo trimestre del 2023 ha evidenziato che il settore è stato vittima del 17% degli attacchi totali, un aumento di 5 punti percentuali rispetto al 2022.

Stando ai dati del rapporto, presentato durante l’Healthcare Security Summit, il 71% degli attacchi è stato classificato come grave o critico. Anche se la media è dell’80%, gli impatti degli attacchi sono considerati comunque preoccupanti visto che il settore è quello più colpito e le conseguenze dell’interruzione dei servizi sono rilevanti.

Dal Rapporto Clusit emerge che l’obiettivo principale dei criminali nel settore sanità è la monetizzazione: gli attacchi del primo trimestre dell’anno sono stati per la maggior parte riconducibili al cybercrime. Solo una minima percentuale (3%) è da riferirsi a episodi dimostrativi di hacktivismo.

Per quanto riguarda le tecniche di attacco, nella maggior parte dei casi gli attaccanti hanno usato tecniche sconosciute, mentre in un terzo dei casi hanno sfruttato malware esistenti. I ricercatori si sono soffermati sul fatto che nel 9% dei casi gli attacchi si sono basati su furti di identità e violazione di account, un risultato più alto della media. Il 16% delle intrusioni è stata causata da vulnerabilità presenti nei sistemi.

Come ha spiegato Alessandro Vallega, membro del comitato direttivo e chairman di Clusit, la sanità è stato uno di quei settori che si è visto costretto a intraprendere la strada della digitalizzazione in poco tempo, senza disporre di una preparazione adeguata. Le organizzazioni sanitarie usano strumenti digitali per la maggior parte delle loro attività, ma non c’è ancora abbastanza consapevolezza sui rischi e le contromisure da intraprendere in caso di attacco.

I ricercatori hanno confermato la gravità della situazione e invitato le strutture sanitarie a colmare il gap di sicurezza e di conoscenze sia tramite nuovi investimenti nella cybersecurity che attraverso un’adeguata formazione del personale di ogni livello gerarchico.

Il PNRR prevede finanziamenti pari a 2.5 miliardi per il potenziamento degli strumenti digitali, ma questi non includono la formazione del personale sanitario; per questo motivo è necessario che le singole strutture investano in programmi di sensibilizzazione e in policy di sicurezza adeguate per proteggere i dati sanitari.

“Anche nel settore sanitario la migliore prevenzione è la formazione che deve portare alla consapevolezza nell’uso delle tecnologie digitali, per operare in sicurezza e non compromettere eventuali contromisure già messe in atto” ha concluso Vallega.

---

---

---

https://www.securityinfo.it/2023/06/16/crescono-gli-attacchi-contro-la-sanita-occorre-investire-in-formazione/?utm_source=rss&utm_medium=rss&utm_campaign=crescono-gli-attacchi-contro-la-sanita-occorre-investire-in-formazione

Zoom has announced a slew of data privacy features, developed in collaboration with the Dutch education and research organization SURF, for its European customers. 

The key element is the option for European Economic Area (EEA) data storage. Paid customers will be able to specify certain data for meetings, webinars, and team chat to be stored within the EEA. “This data will only be shared with US teams in individual cases and exceptional circumstances, such as with Zoom’s Trust & Safety team,” says the announcement.

Associated with this is a new European support team. “All support information will be processed within the EEA by local employees during normal business hours,” says Zoom.

A second important announcement is the availability of a tool to facilitate data subject access requests (DSAR). This allows, says Zoom, “administrators to easily reply to data subject requests for access or deletion of their personal data for Zoom Meetings, Webinars, and Team Chat.” This facility is an important part of GDPR and CCPA compliance, and relevant because the meeting organizer is the data controller for the meeting.

Personal data is any data that can be used to identify a user (such as a display name or email address). “Zoom’s Data Subject Access Request tool can delete personal data that customers have access to that is not part of any recordings or other content,” Zoom told SecurityWeek. 

“Zoom’s tool does not delete personal data within any recordings or other communication content that a host records that is hosted by Zoom,” continued the spokesperson. “Zoom maintains a separate feature for meeting hosts to manage recordings for local records – because those recordings are held on a local device, Zoom has no ability to delete them.”

It is important to note that Zoom is providing enhanced privacy features where it can for paid customers. But it cannot guarantee privacy for the communications content since this may be recorded by an attendee and stored anywhere outside of Zoom’s reach.

Furthermore, said the spokesperson, “It’s also worth noting that the host account is the ‘data controller’ for the meetings. If you’re a European user joining a meeting hosted in the US, any data collected or shared in those meetings will follow the host account.”

Despite the limitations to what it can achieve, SURF is happy with the outcome. “We are pleased with the adjustments Zoom has made to its software as a result of our collaboration,” said Jet de Ranitz, CEO and chairperson of SURF’s board of directors. “With Zoom’s new privacy features and recent modifications, the company has showcased a commitment to European privacy standards.”

But privacy remains a complex issue for Zoom meetings. The firm is enhancing privacy options where it can for its paid subscribers – but meeting attendees must remain aware that the privacy of what they say at such meetings cannot be guaranteed.

And the potential effect of the UK’s Online Privacy Bill and EU moves toward similar ‘bans’ on end-to-end encryption (E2EE) remains to be seen. Zoom has an E2EE option, but European governments are demanding that law enforcement should have access to plaintext (which means it would no longer be E2EE). If these moves become law in Europe, the concept of privacy becomes moot.

SecurityWeek asked Zoom for its position. It replied, “Zoom is committed to providing robust global data and privacy protections, and seeks to comply with all applicable regulations in the jurisdictions in which it operates. We are waiting to see the final text of the proposed regulations and remain committed to supporting our users in the EU and UK.”

Related: Zoom Paid Out $3.9 Million in Bug Bounties in 2022

Related: Zoom Patches High Risk Flaws on Windows, MacOS Platforms

Related: Zoom for macOS Contains High-Risk Security Flaw

Related: Zoom Patches Serious macOS App Vulnerabilities Disclosed at DEF CON

https://www.securityweek.com/zoom-expands-privacy-options-for-european-customers/