L’Unione europea ha raggiunto l’accordo sul Data Act, l’insieme di nuove norme per regolamentare l’accesso a dati e algoritmi sul territorio europeo, in particolare nei settori dell’Internet of Things (IoT) e dell’intelligenza artificiale.

Il Data Act punta a sbloccare i dati industriali non personali e a dare più controllo e potere di condivisione sui propri dati a utenti, aziende e pubbliche amministrazioni.

Le norme facilitano anche il passaggio da un servizio cloud a un altro. E’ prevista la possibilità per i governi di richiedere dati delle imprese in tempi di emergenza, mentre sono garantite tutele sui segreti commerciali.

Cosa prevede il Data Act

Il Data Act contiene le seguenti misure:

• Misure che consentono agli utenti di dispositivi connessi di accedere ai dati generati da tali dispositivi e dai servizi ad essi correlati. Gli utenti potranno condividere tali dati con terzi, potenziando i servizi post-vendita e l’innovazione. Allo stesso tempo, i produttori rimangono incentivati ​​a investire nella generazione di dati di alta qualità mentre i loro segreti commerciali rimangono protetti.
• Misure per fornire protezione da clausole contrattuali ingiuste imposte unilateralmente. Queste mirano a salvaguardare le aziende dell’UE da accordi ingiusti, promuovendo trattative eque e consentendo alle PMI di partecipare con maggiore fiducia al mercato digitale.
• Meccanismi per consentire agli enti del settore pubblico di accedere e utilizzare i dati detenuti dal settore privato in caso di emergenze pubbliche come alluvioni e incendi boschivi, o quando l’implementazione di un mandato legale richiede dati non disponibili attraverso altri mezzi.
• Nuove regole che concedono ai clienti la libertà di passare da un fornitore di servizi di elaborazione dati cloud a un altro. Queste norme mirano a promuovere la concorrenza e la scelta nel mercato, prevenendo nel contempo il blocco del fornitore. Inoltre, il Data Act include salvaguardie contro i trasferimenti illeciti di dati, garantendo un ambiente di elaborazione dati più affidabile e sicuro.
• Misure per promuovere lo sviluppo di standard di interoperabilità per la condivisione e l’elaborazione dei dati, in linea con la Strategia di standardizzazione dell’UE.

“Questo è un traguardo significativo nel percorso verso un unico mercato per i dati. Il Data Act ottimizzerà l’uso dei dati migliorando l’accessibilità dei dati per individui e imprese. Questa è una notizia molto positiva per la trasformazione digitale dell’Unione europea”, ha dichiarato Margrethe Vestager, Vicepresidente esecutivo per

Per il Commissario per il mercato interno Thierry Breton: “A seguito dell’adozione degli atti sui servizi digitali, i mercati digitali e la governance dei dati, l’accordo odierno rappresenta un altro traguardo nel nostro impegno per ridefinire lo spazio digitale. Il Data Act garantirà che i dati industriali siano condivisi, archiviati e elaborati nel pieno rispetto delle norme europee. Creerà un’economia dei dati fiorente, innovativa e aperta, ma secondo le nostre condizioni europee”.

L’accordo politico raggiunto dal Parlamento europeo e dal Consiglio è ora soggetto all’approvazione formale dei due co-legislatori. Una volta adottato, il Data Act entrerà in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale e diventerà applicabile 20 mesi dopo l’entrata in vigore.

https://www.key4biz.it/data-act-leuropa-raggiunge-laccordo-breton-garantiamo-che-i-dati-industriali-siano-archiviati-e-elaborati-nel-rispetto-delle-norme-ue/451553/

Il Garante privacy ha sanzionato per 176mila euro Roma Capitale e per 239mila euro Ama, società in-house cui è affidata anche la gestione dei servizi cimiteriali, per aver diffuso i dati delle donne che avevano affrontato un’interruzione di gravidanza, indicandoli su targhette apposte sulle sepolture dei feti presso il Cimitero Flaminio. Invece l’ammonimento per la Asl Roma 1.

“Non solo i dati sull’interruzione di gravidanza rientrano tra i dati relativi alla salute, di cui è vietata la diffusione, ma la legge 194 del 1978 prevede un rigoroso regime di riservatezza”, ha chiarito il Garante.

Il caso è emerso ad ottobre 2020, quando si è scoperto che a Roma, nel cimitero dei feti a Flaminio, su ogni croce è scritto il nome della mamma. 

Usare il nome di fantasia

Una soluzione, indicata anche dal Garante, è quella già usata in un altro cimitero dei feti della Capitale, a Laurentino il “Giardino degli Angeli”, inaugurato nel 2012, (nel 2018 è andato anche papa Francesco a pregare). 

Dietro le lapidi, tutte uguali, c’è un codice mentre davanti si potranno mettere anche nomi di fantasia. Una soluzione rilanciata anche da Key4biz.

Oltre ad aver applicato la sanzione nei confronti di Roma Capitale e Ama, il Garante ha pertanto ordinato all’Azienda sanitaria di non riportare più le generalità “in chiaro” sulle autorizzazioni al trasporto e alla sepoltura e sui certificati medico legali.

Anche l’oscuramento dei dati identificativi delle donne, la pseudonimizzazione o la cifratura dei dati

Nel provvedimento l’Autorità ha inoltre indicato alla Asl alcune misure tecniche e/o organizzative (come l’oscuramento dei dati identificativi delle donne, la pseudonimizzazione o la cifratura dei dati) che garantirebbero la possibilità di individuare con certezza il prodotto del concepimento e il luogo della sua sepoltura, senza consentire – in modo diretto – di risalire all’identità della donna.

Nell’ottica del principio di responsabilizzazione, la scelta e l’adozione delle misure compete in ogni caso alla Asl, che è tenuta a comunicarle al Garante entro 60 giorni.

https://www.key4biz.it/cimitero-dei-feti-a-flaminio-415mila-euro-di-multa-in-totale-per-il-comune-di-roma-e-ama-no-ai-nomi-delle-madri-sulle-croci/451217/

Giu 16, 2023 Marina Londei Malware, Minacce, News, Privacy, RSS 0

---

Aumentano gli attacchi al settore della sanità: il focus Healthcare dell’ultimo Rapporto Clusit sul primo trimestre del 2023 ha evidenziato che il settore è stato vittima del 17% degli attacchi totali, un aumento di 5 punti percentuali rispetto al 2022.

Stando ai dati del rapporto, presentato durante l’Healthcare Security Summit, il 71% degli attacchi è stato classificato come grave o critico. Anche se la media è dell’80%, gli impatti degli attacchi sono considerati comunque preoccupanti visto che il settore è quello più colpito e le conseguenze dell’interruzione dei servizi sono rilevanti.

Dal Rapporto Clusit emerge che l’obiettivo principale dei criminali nel settore sanità è la monetizzazione: gli attacchi del primo trimestre dell’anno sono stati per la maggior parte riconducibili al cybercrime. Solo una minima percentuale (3%) è da riferirsi a episodi dimostrativi di hacktivismo.

Per quanto riguarda le tecniche di attacco, nella maggior parte dei casi gli attaccanti hanno usato tecniche sconosciute, mentre in un terzo dei casi hanno sfruttato malware esistenti. I ricercatori si sono soffermati sul fatto che nel 9% dei casi gli attacchi si sono basati su furti di identità e violazione di account, un risultato più alto della media. Il 16% delle intrusioni è stata causata da vulnerabilità presenti nei sistemi.

Come ha spiegato Alessandro Vallega, membro del comitato direttivo e chairman di Clusit, la sanità è stato uno di quei settori che si è visto costretto a intraprendere la strada della digitalizzazione in poco tempo, senza disporre di una preparazione adeguata. Le organizzazioni sanitarie usano strumenti digitali per la maggior parte delle loro attività, ma non c’è ancora abbastanza consapevolezza sui rischi e le contromisure da intraprendere in caso di attacco.

I ricercatori hanno confermato la gravità della situazione e invitato le strutture sanitarie a colmare il gap di sicurezza e di conoscenze sia tramite nuovi investimenti nella cybersecurity che attraverso un’adeguata formazione del personale di ogni livello gerarchico.

Il PNRR prevede finanziamenti pari a 2.5 miliardi per il potenziamento degli strumenti digitali, ma questi non includono la formazione del personale sanitario; per questo motivo è necessario che le singole strutture investano in programmi di sensibilizzazione e in policy di sicurezza adeguate per proteggere i dati sanitari.

“Anche nel settore sanitario la migliore prevenzione è la formazione che deve portare alla consapevolezza nell’uso delle tecnologie digitali, per operare in sicurezza e non compromettere eventuali contromisure già messe in atto” ha concluso Vallega.

---

---

---

https://www.securityinfo.it/2023/06/16/crescono-gli-attacchi-contro-la-sanita-occorre-investire-in-formazione/?utm_source=rss&utm_medium=rss&utm_campaign=crescono-gli-attacchi-contro-la-sanita-occorre-investire-in-formazione

Zoom has announced a slew of data privacy features, developed in collaboration with the Dutch education and research organization SURF, for its European customers. 

The key element is the option for European Economic Area (EEA) data storage. Paid customers will be able to specify certain data for meetings, webinars, and team chat to be stored within the EEA. “This data will only be shared with US teams in individual cases and exceptional circumstances, such as with Zoom’s Trust & Safety team,” says the announcement.

Associated with this is a new European support team. “All support information will be processed within the EEA by local employees during normal business hours,” says Zoom.

A second important announcement is the availability of a tool to facilitate data subject access requests (DSAR). This allows, says Zoom, “administrators to easily reply to data subject requests for access or deletion of their personal data for Zoom Meetings, Webinars, and Team Chat.” This facility is an important part of GDPR and CCPA compliance, and relevant because the meeting organizer is the data controller for the meeting.

Personal data is any data that can be used to identify a user (such as a display name or email address). “Zoom’s Data Subject Access Request tool can delete personal data that customers have access to that is not part of any recordings or other content,” Zoom told SecurityWeek. 

“Zoom’s tool does not delete personal data within any recordings or other communication content that a host records that is hosted by Zoom,” continued the spokesperson. “Zoom maintains a separate feature for meeting hosts to manage recordings for local records – because those recordings are held on a local device, Zoom has no ability to delete them.”

It is important to note that Zoom is providing enhanced privacy features where it can for paid customers. But it cannot guarantee privacy for the communications content since this may be recorded by an attendee and stored anywhere outside of Zoom’s reach.

Furthermore, said the spokesperson, “It’s also worth noting that the host account is the ‘data controller’ for the meetings. If you’re a European user joining a meeting hosted in the US, any data collected or shared in those meetings will follow the host account.”

Despite the limitations to what it can achieve, SURF is happy with the outcome. “We are pleased with the adjustments Zoom has made to its software as a result of our collaboration,” said Jet de Ranitz, CEO and chairperson of SURF’s board of directors. “With Zoom’s new privacy features and recent modifications, the company has showcased a commitment to European privacy standards.”

But privacy remains a complex issue for Zoom meetings. The firm is enhancing privacy options where it can for its paid subscribers – but meeting attendees must remain aware that the privacy of what they say at such meetings cannot be guaranteed.

And the potential effect of the UK’s Online Privacy Bill and EU moves toward similar ‘bans’ on end-to-end encryption (E2EE) remains to be seen. Zoom has an E2EE option, but European governments are demanding that law enforcement should have access to plaintext (which means it would no longer be E2EE). If these moves become law in Europe, the concept of privacy becomes moot.

SecurityWeek asked Zoom for its position. It replied, “Zoom is committed to providing robust global data and privacy protections, and seeks to comply with all applicable regulations in the jurisdictions in which it operates. We are waiting to see the final text of the proposed regulations and remain committed to supporting our users in the EU and UK.”

Related: Zoom Paid Out $3.9 Million in Bug Bounties in 2022

Related: Zoom Patches High Risk Flaws on Windows, MacOS Platforms

Related: Zoom for macOS Contains High-Risk Security Flaw

Related: Zoom Patches Serious macOS App Vulnerabilities Disclosed at DEF CON

https://www.securityweek.com/zoom-expands-privacy-options-for-european-customers/

At the 2023 Worldwide Developers Conference (WWDC) on Monday, Apple detailed new privacy and security features rolling out to its devices later this year.

Apple’s Safari browser is getting an improved Private Browsing mode, which will lock when not in use, so that users can leave tabs open even if they need to step away from the device.

Safari’s Private Browsing will also deliver advanced tracking and fingerprinting protections, to prevent websites from using the latest technologies to track and identify users, Apple says.

To further protect users’ privacy, Apple’s Messages and Mail applications will remove from URLs any information that websites might use to track users across the internet. Safari’s Private Browsing will remove that information as well.

Apple is also providing developers with new tools to learn more about the data practices of any third-party software development kit (SDK) they might use in their apps.

The tech giant is also expanding Communication Safety, which warns children when receiving or sending photos containing nudity, to also cover videos received or sent using Messages, and is providing developers with a new API to integrate the feature in their applications.

Communication Safety will also cover AirDrops, FaceTime video messages, Contact Posters received via the Phone app, and the Photos picker when choosing content to send. The feature can be enabled or disabled for the child account from the Family Sharing plan. All content is processed on the device, Apple says.

The same privacy-preserving technology will also power Sensitive Content Warning, an optional feature to help adults avoid nude images or videos received in Messages, an AirDrop, a FaceTime video message, or a Contact Poster in the Phone app.

Users will also be able to share passwords to groups, with anyone in the group being able to add or modify passwords. The functionality is end-to-end encrypted, powered by iCloud Keychain.

Lockdown Mode, which is designed to protect users who may be targeted by mercenary spyware, will deliver “safer wireless connectivity defaults, media handling, media sharing defaults, sandboxing, and network security optimizations” and will also be supported on watchOS.

The tech giant is also tweaking Check In to inform selected contacts when a user “is not making progress toward their declared destination”, is adding an AirDrop feature called NameDrop to allow users to share their contact information by keeping their iPhone close to another, and is adding a Live Voicemail feature to show to the user a live transcription of what a caller leaving a message is saying. 

The new privacy and security features will be included in the free software updates Apple is planning for this fall.

Related: Apple Patches 3 Exploited WebKit Zero-Day Vulnerabilities

Related: Apple Blocked 1.7 Million Applications From App Store in 2022

Related: Apple, Google Propose Standard to Combat Misuse of Location-Tracking Devices

https://www.securityweek.com/apple-unveils-upcoming-privacy-and-security-features/

Mag 31, 2023 Marina Londei Approfondimenti, Attacchi, Gestione dati, News, Privacy, Privacy, RSS 0

---

Lo scorso 3 maggio Discord ha annunciato un’importante modifica alla struttura degli username: in una nota sul blog dell’azienda Stanislav Vishnevskiy, CTO e co-fondatore della piattaforma, ha ufficializzato l’eliminazione degli storici caratteri numerici come suffisso del nome utente.

Le 4 cifre erano state introdotte per distinguere utenti con username uguali e servivano a usare un nome utente anche se era già in uso. Chiunque poteva registrarsi usando il proprio nome o un altro username senza ricevere il fastidioso messaggio “questo username è già stato usato”. L’intenzione dei fondatori di Discord era permettere ai giocatori di registrarsi con facilità, scegliere il nome che più desiderano e comunicare subito con la propria cerchia di amici.

Dopo 8 anni l’azienda ha deciso di eliminare questo sistema e adottare quello più classico degli username univoci. La motivazione, come si legge nel post, è legata alla complessità di ricordare le quattro cifre e condividere lo username al di fuori della piattaforma; inoltre, le 4 cifre sono limitate fino a 9999, un’eventualità remota ma comunque possibile.

I problemi di privacy dei nuovi username Discord

Oltre a rappresentare un cambiamento storico che uniforma Discord alla massa, l’aggiornamento degli username causa numerosi problemi di privacy. In un post per Malwarebytes, Christopher Boyd ha evidenziato che molti utenti sono preoccupati dalle implicazioni di sicurezza di questo annuncio, non potendo più contare su un sistema che garantiva l’anonimato quasi totale.

L’utilizzo di 4 cifre dopo il nome rendeva quasi impossibile risalire alla vera identità dell’utente. È chiaro che esisteva comunque una possibilità di essere rintracciati, ma era minima: la maggior parte dei rischi derivavano dalla condivisione del proprio username al di fuori della propria cerchia di amici e su altre piattaforme, quindi a errori utente.

Discord, sottolinea Boyd, è sempre stata una piattaforma non solo per i videogiocatori, ma per chiunque necessitasse di un ambiente sicuro dove chattare senza preoccuparsi della privacy. La nuova funzionalità ora lega inequivocabilmente l’identità di un utente col suo username, facilitando le attività degli attaccanti.

Agli utenti non è piaciuta anche la modalità con cui verrà introdotta la modifica: saranno gli utenti registrati da più tempo sulla piattaforma a poter scegliere per primi, lasciando di fatto agli ultimi arrivati una scelta minore di nomi.

Nel rispondere alle critiche riguardo la novità, l’azienda ha spiegato che sarà possibile impostare un display name non univoco che potrà includere caratteri speciali e non latini, spazi ed emoji. Il display name sarà il nome con cui gli utenti appariranno agli altri e quindi la forma di identità più “evidente”.

Gli utenti non sono comunque soddisfatti di questo cambiamento e temono tentativi di phishing, scamming e minacce ora che sono identificabili in maniera univoca: la possibilità di proteggersi dietro un display name non univoco non riduce affatto la probabilità di attacco.

La modifica è già attiva e nel corso dei prossimi mesi gli utenti, in ordine di registrazione, dovranno scegliere un nuovo username. Ora più che mai il consiglio è di fare attenzione a condividere il proprio username e a link non ufficiali di offerte su giochi e altri prodotti digitali.

Discord offre inoltre numerose feature di sicurezza come il filtro sui messaggi, sulle immagini esplicite e sullo spam, oltre a controlli granulari su chi può aggiungere l’utente tra gli amici: Boyd consiglia di aggiornarli e impostarli per il massimo della protezione.

---

---

---

https://www.securityinfo.it/2023/05/31/discord-laggiornamento-degli-username-crea-problemi-di-privacy/?utm_source=rss&utm_medium=rss&utm_campaign=discord-laggiornamento-degli-username-crea-problemi-di-privacy

The European Union slapped Meta with a record $1.3 billion privacy fine Monday and ordered it to stop transferring user data across the Atlantic, the latest salvo in a decadelong case sparked by U.S. cybersnooping fears.

The penalty fine of 1.2 billion euros from Ireland’s Data Protection Commission is the biggest since the EU’s strict data privacy regime took effect five years ago, surpassing Amazon’s 746 million euro penalty in 2021 for data protection violations.

The Irish watchdog is Meta’s lead privacy regulator in the 27-nation bloc because the Silicon Valley tech giant’s European headquarters is based in Dublin.

Meta, which had previously warned that services for its users in Europe could be cut off, vowed to appeal and ask courts to immediately put the decision on hold.

“There is no immediate disruption to Facebook in Europe,” the company said.

“This decision is flawed, unjustified and sets a dangerous precedent for the countless other companies transferring data between the EU and U.S.,” Nick Clegg, Meta’s president of global and affairs, and Chief Legal Officer Jennifer Newstead said in a statement.

It’s yet another twist in a legal battle that began in 2013 when Austrian lawyer and privacy activist Max Schrems filed a complaint about Facebook’s handling of his data following former National Security Agency contractor Edward Snowden’s revelations about U.S. cybersnooping.

The saga has highlighted the clash between Washington and Brussels over the differences between Europe’s strict view on data privacy and the comparatively lax regime in the U.S., which lacks a federal privacy law.

An agreement covering EU-U.S. data transfers known as the Privacy Shield was struck down in 2020 by the EU’s top court, which said it didn’t do enough to protect residents from the U.S. government’s electronic prying.

That left another tool to govern data transfers — stock legal contracts. Irish regulators initially ruled that Meta didn’t need to be fined because it was acting in good faith in using them to move data across the Atlantic. But it was overruled in Monday’s ruling by the EU’s top panel of data privacy authorities.

Meanwhile, Brussels and Washington signed an agreement last year on a reworked Privacy Shield that Meta could use, but the pact is awaiting a decision from European officials on whether it adequately protects data privacy.

EU institutions have been reviewing the agreement, and the bloc’s lawmakers this month called for improvements, saying the safeguards aren’t strong enough.

Meta warned in its latest earnings report that without a legal basis for data transfers, it will be forced to stop offering its products and services in Europe, “which would materially and adversely affect our business, financial condition, and results of operations.”

The social media company might have to carry out a costly and complex revamp of its operations if it’s forced to stop shipping user data across the Atlantic. Meta has a fleet of 21 data centers, according to its website, but 17 of them are in the United States. Three others are in the European nations of Denmark, Ireland and Sweden. Another is in Singapore.

Other social media giants are facing pressure over their data practices. TikTok has tried to soothe Western fears about the Chinese-owned short video sharing app’s potential cybersecurity risks with a $1.5 billion project to store U.S. user data on Oracle servers.

Related: Facebook, GDPR and Max Schrems – Under the Hood of GDPR Legal Processes

Related: Open Banking: A Perfect Storm for Security and Privacy?

Related: Facebook Agrees to Pay $725 Million to Settle Privacy Suit

https://www.securityweek.com/facebook-parent-meta-hit-with-record-fine-for-transferring-european-user-data-to-us/

Mag 19, 2023 Dario Orlandi News, RSS, Scenario 0

---

Kaspersky ha pubblicato una nuova ricerca che ha analizzato l’atteggiamento dei consumatori nei confronti della sicurezza informatica, coinvolgendo 5.369 bambini e 5.665 adulti in 7 Paesi europei (Italia compresa), che sono stati interrogati sulle conoscenze in materia di sicurezza online.

Dal sondaggio emerge che il 23% degli intervistati è stato vittima di phishing; anche se il 66% degli utenti conosce questa minaccia, solo il 35% ha preso provvedimenti per minimizzare i rischi. Questo risultato evidenzia che molti utenti non prendono abbastanza sul serio la minaccia del cybercrimine, nonostante la consapevolezza dei rischi.

Per proteggersi, il 64,8% dei soggetti che cercano di difendersi blocca il numero o l’email dannosa, il 48,4% si informa online sulla fonte del tentativo di truffa e il 34,3% segnala l’attacco al marchio usato come esca.

Azioni e conseguenze

David Emm, Principal Security Researcher di Kaspersky, ha commentato: “È chiaro che, nonostante conoscano i rischi del crimine informatico, molti adulti continuano a rischiare a causa di un approccio non corretto alla sicurezza online. La condivisone di informazioni personali online e non verificare le condizioni di privacy sono solo due esempi di come gli utenti si rendano vulnerabili agli attacchi informatici”.

“Fin da piccoli ci viene insegnato che le nostre azioni hanno delle conseguenze, e questo vale anche per la sicurezza informatica. Se si spera semplicemente che le conseguenze svaniscano o che non si verifichino, è solo questione di tempo prima di subire una violazione. A mio avviso, è indispensabile un maggior impegno per spiegare le reali conseguenze di essere vittime di una frode”, ha proseguito Emm.

Dalla ricerca emerge anche che, nonostante la consapevolezza dei rischi, la maggioranza degli italiani è disposta a condividere informazioni personali online, come il nome e la posizione: Il 60% degli intervistati lo ammette.

Inoltre, oltre la metà non controlla le proprie impostazioni sulla privacy (55,5%) e risponde a quiz sui social media. Infine, circa il 50% utilizza ancora come password informazioni personali facilmente deducibili, come la squadra di calcio preferita o il nome del primo animale domestico.

---

---

---

https://www.securityinfo.it/2023/05/19/due-terzi-degli-italiani-conoscono-le-minacce-online-ma-solo-un-terzo-si-protegge/?utm_source=rss&utm_medium=rss&utm_campaign=due-terzi-degli-italiani-conoscono-le-minacce-online-ma-solo-un-terzo-si-protegge

L’Autorità Garante è intervenuta, il 23 febbraio scorso, nell’ambito del digital marketing, irrogando una sanzione di 300.000 euro ad uno dei maggiori player del settore per l’adozione di modelli comunicativi ritenuti “non chiari con particolare riguardo alla progettazione grafica delle interfacce e alle modalità di svolgimento del processo di iscrizione ai servizi”, rientranti nella casistica dei cc.dd. dark patterns.

Il fenomeno dei Dark Pattern si sostanzia in modelli di progettazione ingannevoli che, utilizzando specifiche interfacce e percorsi di navigazione, influenzano l’utente affinché intraprenda azioni che, diversamente, non avrebbe compiuto.

Il Comitato europeo per la protezione dati (EDPB) ha pubblicato le linee guida su come riconoscere ed evitare questi sistemi, individuandone sei tipologie.

Letipologie di dark pattern sono le seguenti:

• Overloading, quando gli utenti si trovano di fronte a una enorme numero di richieste, informazioni, opzioni o possibilità finalizzate a spingerli a condividere più dati possibili e consentire involontariamente il trattamento dei dati personali contro le aspettative dell’interessato;
• Skipping, quando le interfacce sono realizzate in modo tale che gli utenti dimentichino o non riflettano su aspetti legati alla protezione dei propri dati;
• Stirring, quando le scelte degli utenti sono influenzate facendo appello alle loro emozioni o usando sollecitazioni visive;
• Hindering, quando gli utenti sono ostacolati o bloccati nel processo di informazione sull’uso dei propri dati o nella gestione dei propri dati;
• Flickle, quando gli utenti acconsentono al trattamento dei propri dati senza capire quali siano le finalità a causa di un’interfaccia incoerente o poco chiara;
• Leftinthedark, quando l’interfaccia è progettata in modo da nascondere le informazioni e gli strumenti di controllo della privacy agli utenti.

Il caso

La Società, specializzata nella realizzazione di campagne a performance, si avvaleva di un database di dati relativi ad oltre 21 milioni di interessati, raccolti sia direttamente sia da terzi.

L’Autorità Garante, nel novembre 2021, a seguito di reclami e segnalazioni ricevute da numerosi utenti, ha avviato alcune verifiche sui portali di proprietà dalla Società, riscontrando l’utilizzo dei cc.dd. dark pattern e la mancata adozione della procedura di acquisizione e convalida del consenso (c.d. double-opt in).

Adeguatezza dei consensi

A seguito dell’attività ispettiva è stato rilevato che molti dei portali online utilizzati dalla Società chiedevano, ai fini dell’espletamento della procedura di iscrizione ai servizi offerti, informazioni, di natura obbligatoria, eccedenti le finalità del trattamento e relative alla capacità e alle abitudini di acquisto del cliente, al nucleo familiare dello stesso, all’attività lavorativa svolta, al reddito annuo, e così via enumerando.

E’ apparso evidente che tali richieste andassero nella direzione opposta ai princìpi di liceità, correttezza e trasparenza previsti dalla normativa di settore e che tali modelli fossero progettati per acquisire consensi non validi in quanto “non liberi” e “non inequivocabili”, anzi, per lo più volti ad aggirare la manifestazione della volontà consapevole dell’interessato.

Nei medesimi portali sono state riscontrate molteplici violazioni: mancata acquisizione del consenso per l’invio di messaggi promozionali; obbligo per l’utente di fornire risposte sulle sue abitudini di acquisto; richiesta di inserire i dati di contatto (nome, email) di terzi potenzialmente interessati ai servizi offerti. Da ultimo, anche l’invito a cliccare su un link che conduceva ad un altro sito per scaricare un e-book, con i dati di profilo dell’utente già riconosciuti e i consensi privacy preselezionati.

Nel provvedimento, infatti, si legge che: “In alcuni dei portali esaminati, durante il processo di iscrizione veniva richiesto all’interessato di esprimere uno specifico consenso in merito al trattamento per finalità di marketing di X e alla comunicazione a terzi per finalità di marketing. Se una delle due caselle non veniva selezionata, veniva presentato un pop up che evidenziava la mancanza del consenso e presentava un tasto ben evidente per accettare il trattamento. Il link per continuare senza accettare era posto in basso, fuori dal pop up, in testo semplice (senza il formato grafico del pulsante) scritto con carattere di dimensioni inferiori al resto del testo e, essendo in sovraimpressione, poco visibile (cfr. figure 1 e 2 riportate sopra).”

In molte segnalazioni è stato constatato un abbinamento delle utenze esaminate a un nominativo diverso da quello dell’intestatario dell’utenza. In tale fattispecie, la società ha ritenuto sufficiente che i partner fornissero la sola indicazione dell’indirizzo IP ai fini del consenso prestato. Tuttavia, tale modalità è stata ritenuta insufficiente a certificare la volontà inequivocabile degli interessati, osservando che esistono invece “alternative più idonee a garantire un maggior grado di certezza circa la genuinità della manifestazione del consenso, come la prassi di inviare un messaggio di conferma al recapito indicato in fase di iscrizione”.

Per tali ragioni, il Garante ha ritenuto che la Società non avesse posto in essere tutti gli accorgimenti necessari a contenere il pregiudizio connesso al trattamento dei dati, agendo in violazione degli artt. 5, par. 2 e 24 del Regolamento. Inoltre, sono state rilevate le violazioni degli artt. 5, par. 1, lett. a), b) e c), 6 e 7 del Regolamento ed ha ritenuto necessario, ai sensi dell’art. 58, par. 2, lett. b), irrogare una sanzione alla Società riguardo al fatto che la procedura illustrata realizza un trattamento che, a seconda dell’effettiva concretizzazione, può comportare la profilazione degli interessati senza che vi sia un corrispondente specifico consenso.

Sanzione

Il Garante, tenuto conto delle disposizioni violate del Regolamento e del Codice in relazione a trattamenti, ha applicato l’art. 83, par. 3 (“Condizioni generali per infliggere sanzioni amministrative pecuniarie”), pur ritenendo di dover considerare, da un lato, alcuni elementi aggravanti, tra cui l’utilizzo consapevole di pratiche e modalità ingannevoli e poco trasparenti; dall’altro, alcuni elementi attenuanti, tra cui la tempestiva adozione di misure correttive dopo la ricezione dell’atto di avvio del procedimento e un elevato grado di cooperazione con l’Autorità.

Oltre alla sanzione pecuniaria amministrativa, è stata stabilita anche una sanzione inibitoria relativamente all’utilizzo di determinati canali e al trattamento di tutti quei dati personali per cui la Società non è stata in grado di documentare la raccolta di un valido consenso.

La decisione del Garante, inoltre, riprende anche quanto previsto nelle Linee guida 03/2022 sui dark pattern, dal momento che simili strategie di condizionamento del consenso risultano in evidente contrasto con la disciplina applicabile, così come evidenziato nella pagina informativa sul tema.

https://www.key4biz.it/il-garante-privacy-sanziona-una-societa-per-utilizzo-di-tecniche-di-dark-pattern-di-cosa-si-tratta/446551/

It used to be that if you wanted to find a DNA sequence in a particular sample, you had to go searching for that specific sequence—you had to fish it out with a hook designed especially to catch it. But no more. DNA sequencing technology has advanced to the point where you can take a sample from almost any environment—a drop of water, an ice core, a scoop of sand or soil, even air—and just see whatever DNA is in there.

This provides a non-invasive way to study wild populations and invasive or endangered species and has been used to monitor for pathogens (SARS-CoV-2, mpox, polio, tuberculosis) in wastewater. But guess who else’s DNA is in those environmental samples? Yup. Ours.

Something identifiable in the air

Liam Whitmore is a zoologist and conservationist who studies green turtles. He and his colleagues realized that having human DNA slip into research samples might be an issue, so they looked to see if they could find any in old water and sand samples they had taken as part of a wildlife and pathogen monitoring study. They did. Then they went intentionally searching for specific human sequences, and, in water, sand, and air samples, they found plenty of genomic regions that could identify a person’s ancestry and susceptibility to several diseases. They didn’t go so far as to identify individuals but noted that someone probably could compare these sequences to public genetic data without too much difficulty.

This is not the first time conservationists have had to contend with inadvertently collecting sensitive human data; mics and cameras set up to study wildlife can also record human voices and images. Data filtering can alleviate some of the privacy and consent concerns this raises, but things are stickier with DNA. So Whitmore and company very responsibly outlined some of the potential problems as well as some potential benefits of their findings, rather than leaving it up to policymakers and regulators and ethicists to sort it out later (i.e., too late).

The findings raise questions about best practices for these sorts of studies. In the US and the European Union, federally funded researchers intending to work with identifiable human DNA samples must first get approval from their institutional review board (which Whitmore did) and also get written informed consent from participants. But consent is impossible to obtain when the DNA is captured inadvertently in the environment.

Environmental DNA sequences are often deposited into public databases, as well. Since we now recognize that they contain human DNA, can/should this still be the case?

Beyond bureaucratic concerns, there are a host of malicious uses for this human genomic bycatch. Bad guys can use it for location tracking and surveillance of individuals or, perhaps more distressingly, target populations, without their knowledge or consent. Commercial appropriation of this tracking and surveillance data is almost the most benign application one can imagine for it. Wastewater monitoring for pathogens arrived with COVID-19, but the significant legal and privacy issues regarding its use have barely been addressed. Now that identifiable human DNA can be isolated from air, these issues really need to get hammered out.

Good and bad

But the DNA that we are constantly shedding and leaving all around us could also be used for good. That same pathogen monitoring could be correlated with human DNA that identifies susceptible populations, helping to protect them. Human genomic bycatch could be used to continually monitor for cancer-causing mutations, which arise and accumulate over a person’s lifetime. It could be used to add genetic information from underrepresented populations to genomic databases that still lack them or to find undiscovered sites of human habitation that archeologists have not yet uncovered. And environmental DNA samples could be used to find missing persons, both victims and suspects. Gaining these benefits while maintaining privacy will require a careful balancing act.

As Natalie Ram, a legal scholar who works at the intersection of law and genetic privacy, put it in an accompanying paper: “To be sure, solving crime is a good thing. But exploiting involuntarily shed genetic information for investigative aims risks putting all of us under perpetual genetic surveillance.” She highlighted that law enforcement has repeatedly demonstrated that they could not possibly be keener to use genetic information gathered for other purposes, like consumer genetic testing and even newborn screening (!!) and that, in the US at least, “most lower courts have held that individuals have no constitutional privacy rights in the DNA they unintentionally and inevitably shed as they move through the world.”

We know that we leave genetic material all over the world; that’s hardly news. But now anyone who has the desire and the means can collect and use or misuse it. This means that all of the thorny, complicated questions that arose with DNA sequencing technology have become even more pressing.

Nature Ecology & Evolution, 2023. DOI: 10.1038/s41559-023-02056-2, 10.1038/s41559-023-02072-2

https://arstechnica.com/?p=1939649