Apple CEO Tim Cook took to the stage at the annual International Association of Privacy Professionals (IAPP) conference on Tuesday to talk about privacy, security, ad tracking, and sideloading.

Calling privacy “one of the most essential battles of our time,” Cook lambasted companies that moneteize large user data collection operations, comparing them to real-world stalkers.

By contrast, he claimed that Apple maintains “a commitment to protecting people from a data industrial complex built on a foundation of surveillance.” To vigorous applause from the audience of privacy professionals, he voiced his support for US privacy regulations akin to those passed in Europe in recent years.

On the other hand, he said he and Apple are “deeply concerned about regulations that would undermine privacy and security in service of some other aim,” like protecting competition.

Although he did not name them specifically, he was likely referring to the European Union’s Digital Markets Act and the United States’ Open App Markets Act, which incorporate language about forcing platform holders like Apple to allow sideloading.

The current iteration of the Digital Markets Act no longer includes a sideloading requirement, but it is still not finalized. The Open App Markets Act still has a sideloading requirement; the Senate Judiciary Committee recently approved it, but it has not yet been brought to the floor in Congress.

On new regulations like these, Cook said:

That means data-hungry companies would be able to avoid our privacy rules, and once again track our users against their will. It would also potentially give bad actors a way around the comprehensive security protections we’ve put in place, putting them in direct contact with our users, and we have already seen the vulnerability that creates on other companies’ devices.

He cited one notable example to support this point: Android users who sideloaded seemingly legitimate COVID-19-tracking apps and consequently found their phones infected with ransomware.

“If we are forced to let unvetted apps onto iPhone, the unintended consequences will be profound,” Cook said. “And when we see that, we feel an obligation to speak up—and to ask policymakers to work with us to advance goals that I truly believe we share, without undermining privacy in the process.”

One key part of his argument is that sideloading could become so commonplace that important apps will only be installable by that method, rather than through the App Store, which Cook claims is safer. If that happens, Cook argues, then the notion of giving users a choice goes away because they might feel pressure to sideload apps, thus exposing them to malicious actors.

Cook also tried to reassure listeners that “Apple believes in competition.” However, he did not offer any alternative solutions for those concerned that Apple’s control over the App Store allows it to charge app developers exorbitant fees or subject developers to capricious or unfair rules.

Cook’s speech was not the first time an Apple executive took the stage at a large conference to make the case that new regulation meant to ensure continued competition could undermine user security and privacy. Craig Federighi made a similar speech at Web Summit 2021.

https://arstechnica.com/?p=1847519

Sembra essere una coincidenza (oppure no?) la circostanza che nello stesso giorno in cui Il Consiglio e il Parlamento europeo annunciano di aver trovato l’accordo di compromesso politico sul testo finale della Legge sui Mercati Digitali (Digital Markets Act – DMA) –  il primo testo legislativo al mondo che introduce regole e sanzioni molto stringenti per le grandi piattaforme on line e le big tech (soprattutto a stelle e strisce..) – la Commissione UE e il Governo degli Stati Uniti d’America abbiano contestualmente annunciato di aver trovato – dopo più di un anno di negoziati – un  “accordo politico di principio” sul nuovo quadro regolatorio transatlantico per disciplinare i flussi di dati da una sponda all’altra dell’oceano.

“Accordo politico di principio” significa che l’annuncio non è stato corredato da una bozza o da un testo del “Trans-Atlantic Data Privacy Framework” che gli esperti possano valutare e commentare: gli sherpa del governo USA e della Commissione UE europea continueranno ora la loro cooperazione al fine di tradurre l’accordo politico in documenti legali. Anche se ci vorranno non pochi mesi (il che continuerà a lasciare le imprese e i mercati nella stessa grave situazione di incertezza giuridica seguita alla sentenza della Corte di Giustizia UE Schrems II di annullamento dell’accordo del Privacy Shield, che aveva rimpiazzato il precedente accordo del Safe Harbor, pure invalidato) è individuabile il percorso politico-legislativo che sarà ora seguito: gli impegni politici del “Trans-Atlantic Data Privacy Framework” confluiranno in un ordine esecutivo che costituirà la base della valutazione della Commissione UE nella sua futura decisione di adeguatezza.

E qui sorge un primo dubbio: un ordine esecutivo è un provvedimento proprio del Presidente degli Stati Uniti d’America che indirizza le politiche esecutive delle agenzie del Governo federale degli Stati Uniti d’America (per esempio: le famigerate agenzie per la sicurezza nazionale e di intelligence che hanno scatenato i ricorsi di Maximilian Schrems II che hanno portato all’annullamento dei precedenti accordi internazionali sui data transfer transatlantici). Tuttavia gli ordini esecutivi sono impugnabili di fronte all’autorità giudiziaria per violazione della Costituzione (e nulla vieta di prospettare scenari – anche elettorali.. – in cui i repubblicani attacchino o impugnino l’executive order del Presidente Biden che in adempimento degli accordi politici con la UE vietasse alle agenzie certe attività considerate dagli oppositori primarie per la sicurezza degli USA..).

Il nuovo Trans-Atlantic Data Privacy Framework  è stato presentato come un impegno senza precedenti da parte degli Stati Uniti “per attuare riforme che rafforzeranno la privacy e le protezioni delle libertà civili applicabili alle attività di intelligence dei segnali degli Stati Uniti”. E qui veniamo ad un secondo punctum dolens. Come i più attenti osservatori ricorderanno, ad esempio, con la sentenza Schrems II la Corte di Giustizia UE aveva vietato totalmente – in relazione all’articolo 50 USC § 1881a (= FISA 702) e EO 12.333 – il trattamento/trasferimento dei dati personali dalla UE verso tutti i “fornitori di servizi di comunicazione elettronica” con sede negli Stati Uniti e qualsiasi flusso di dati negli Stati Uniti verso tali soggetti in quanto non protetto da norme di divieto di intercettazioni da parte della National Security Agency – NSA. Ebbene, pur non disponendo del testo, tra gli accordi di principio raggiunti apprendiamo che sulla base del nuovo framework i dati potranno fluire tra le società UE e statunitensi e una nuova serie di regole e salvaguardie vincolanti limiteranno “l’accesso ai dati da parte dell’autorità di intelligence statunitense a quanto necessario e proporzionato per proteggere la sicurezza nazionale”. E’ abbastanza chiaro che una formula così generica e ambigua già di per sé appare svuotare di qualsiasi valore le annunciate garanzie, sembrando rimettere a quegli stessi soggetti (o comunque non essendo chiaro a quale ente imputare) le valutazioni di proporzionalità e adeguatezza e il giudizio di prevalenza della sicurezza nazionale sulla protezione dei dati provenienti dalla UE. E non va dimenticato che proprio questo è il punto che aveva portato all’annullamento sia del Safe Harbor che del Privacy Shield. Scenario che viene ora riproposto praticamente identico al passato, con la differenza che gli USA – in modo formalistico ma rassicurante – utilizzano gli stessi termini GDPR-friendly che piacciono alla UE (la “proporzionalità”) senza spiegare quali profonde modifiche normative intenderanno implementare per realizzare questo impegno politico.

Fa poi francamente sorridere l’affermazione che “le agenzie di intelligence adotteranno procedure per garantire un controllo efficace sulla tutela della nuova privacy e norme sulle libertà civili”: bellissima dichiarazione di principio, ma si resta curiosi di capire con quale vincolatività e veste giuridica troverà spazio nel testo legale dell’accordo, in un mondo di guerre sia sul campo – come la tragica attualità ci mostra – che combattute a colpi di intelligence, intercettazioni, accordi sottobanco tra governi (come quello che sembrerebbe – così raccontano inchieste giornalistiche recenti – aver consentito accesso ai dati sanitari COVID dei cittadini italiani da parte dei servizi segreti russi in cambio di supporto logistico e aiuto nel pieno della pandemia).

Ancora: USA e UE si sono accordati per attuare un nuovo sistema di ricorso a due livelli per avviare indagini e risolvere i reclami degli europei sull’accesso ai dati da parte delle autorità di intelligence statunitensi che include un tribunale per il riesame della protezione dei dati. Dunque si torna sempre al medesima nodo critico: le agenzie USA intanto accedono ai dati, poi gli interessati possono ricorrere….

E infine: sono previsti stringenti obblighi per le aziende che trattano i dati trasferiti dall’UE, ma poi apprendiamo che tali aziende potranno autocertificare la propria adesione ai Principi di protezione dei dati attraverso il Dipartimento del Commercio. Si torna cioè ai primi anni Duemila e al Safe Harbor, quando invece la Corte di Giustizia e le Raccomandazioni del Comitato europeo per la protezione dei dati personali 1/2020 e 2/2020 hanno chiaramente imposto quale precondizione di liceità dei trasferimenti (anche verso gli USA) non una burocrazia inutile (come un’autocertificazione), ma valutazioni documentabili circa le condizioni sostanziali di effettiva tutela dei dati trasferiti nell’ordinamento giuridico del Paese di destinazione dei dati (e tale presupposto è correttamente incluso nella nuova versione delle clausole standard per il trasferimento internazionale dei dati di cui alla Decisione 2021/914 del 4 Giugno 2021 della Commissione UE).

Insomma: nonostante due anni di discussione dalla famosa sentenza della CGUE, sembra che ancora non si siano trovate soluzioni giuridiche effettive e soluzioni pienamente funzionanti ai problemi sollevati dalla Corte di giustizia. E sembra frettoloso aver annunciato un accordo politico senza un testo solido: serve solo a generare ancora più incertezza giuridica.

Forse anche per questo Max Schrems e la sua associazione NOYB (My Privacy is None of Your Business) sono già sugli scudi e annunciano possibili ricorsi (oltre a quelli pendenti post sentenza CGUE – oltre 100 – in varie giurisdizioni mondiali) per l’annullamento (sarebbe il terzo) del Trans-Atlantic Data Privacy Framework, (che il Presidente Biden ha presentato come generatore di valore di scambi commerciali bilaterali per oltre 7 miliardi di euro).

In realtà chi scrive ha più volte sottolineato come nessun accordo bilaterale USA-UE potrà mai risolvere le criticità data protection connesse ai flussi UE-USA dei dati e che ciò che realmente serve è una legge federale USA sulla protezione dei dati. In questa prospettiva, va invece accolto con favore l’indicazione della Future of Tech Commission statunitense che lo scorso 21 gennaio ha pubblicato il rapporto contenente il Piano d’Azione “The Future of Tech: A Blueprint for Action“, che raccomanda un’agenda coordinata di politica tecnologica federale per proteggere la privacy e la sicurezza di consumatori, bambini e famiglie e per salvaguardare il futuro dell’America dal potere smisurato delle grandi aziende tecnologiche.

Le principali raccomandazioni della Commissione sono:

• promulgare una legge federale nazionale sulla protezione dei dati che dia ai cittadini e consumatori americani un controllo effettivo sulla loro privacy;
• aggiornare il Child Protection Act per rafforzare le misure di protezione per minori e adolescenti;
• obbligare ad una maggiore trasparenza e responsabilità sugli algoritmi;
• migliorare la cyber-sicurezza istituendo centri di sicurezza informatica regionali, pubblico-privati;
• aumentare la concorrenza di mercato nel settore tecnologico; e
• investire nell’innovazione tecnologica.

Insomma: solo un deciso, innovativo e storico intervento legislativo sulla protezione dei dati valido per tutta la Confederazione USA potrà forse risolvere i problemi (partendo ad esempio dalla buona legge privacy statale della California, che sta dimostrando di funzionare).

E forse rabbonire Max Schrems una volta per tutte.

https://www.key4biz.it/il-nuovo-accordo-transatlantico-usa-ue-per-la-protezione-dei-dati-personali-tutto-cambi-perche-nulla-cambi/397482/

I principali DPO di multinazionali e pubbliche amministrazioni in Italia e in Europa, il Garante Privacy italiano ed europeo, le Autorità Garanti del resto del mondo, Associazioni privacy europee, professori universitari, esperti in cybersecurity e tutti gli stakeholder europei sulla protezione dei dati. Saranno questi i relatori dell’8° edizione dell’annuale Congresso internazionale Asso Dpo, promosso ed organizzato dall’Associazione Data Protection Officer, che si terrà il 12 maggio prossimo. Il Congresso Asso Dpo è diventato un must per chi si occupa di data protection in Italia.

I temi di questa edizione? Presentare, in modo approfondito, ai partecipanti sia le nuove norme europee in fase di discussione sulla data protection, che affiancheranno il GDPR, come il Data Act, sia far conoscere agli esperti privacy italiani le norme internazionali sulla protezione dei dati. Ampio spazio anche ai temi di attualità, come l’utilizzo dell’intelligenza artificiale in ambito privacy. E poi i DPO racconteranno la propria vita da Data Protection Officer, per scoprire come stanno organizzando l’agenda lavorativa.

Il Congresso si svolgerà nella modalità ibrida: in presenza, a Milano al Palazzo delle Stelline, e da remoto. Qui il programma del Congresso e le informazioni su come registrarsi per seguirlo onsite o online.

https://www.key4biz.it/nuove-norme-privacy-e-cybersecurity-al-congresso-asso-dpo-12-maggio-a-milano-e-online/396764/

Campagna elettorale e violazione del GDPR

La Francia si avvia a grandi passi verso le nuove elezioni presidenziali, con il primo turno previsto per il 10 aprile prossimo e l’eventuale ballottaggio due settimane dopo. Tanti i siti web dedicati al grande evento elettorale, alcuni tirati su dagli stessi partiti, da liste civiche e movimenti, e come sempre accade l’accesso dei cittadini su ognuno di essi pone subito un problema di tutela dei dati, che appare piuttosto debole o ambigua nel migliore dei casi.

Prima dell’invasione russa dell’Ucraina, delle bome e della questione umanitaria, con milioni di uomini e donne in fuga verso l’Europa occidentale, il tema dei dati era centrale nelle strategie elettorali messe a punto dai partiti.

Si parlava molto della sovranità dei dati, solo che uno studio dell’agenzia Neodia ha smascherato la retorica e posto in evidenza un problema enorme: nessuno di questi siti web a sostegno di un candidato o di un altro è conforme al regolamento europeo sul trattamento dei dati o GDPR.

Candidati promossi e bocciati

In poche parole, nessuno rispetta la normativa base sulla raccolta e sul trattamento dei dati personali dei cittadini e il peggiore, in tal senso, sembra essere il sito web de La République En Marche a supporto dell’attuale Presidente francese, Emmanuel Macron.

In questo caso, è stato dimostrato che i dati personali sono raccolti tramite servizi di profilazione e automazione del marketing, tra cui Google Analytics (e anche Google ADS e Optimize), Facebook Pixel e Video e MailChimp, con sede negli Stati Uniti.

Ma non è l’unico, perché Google Analytics è ampiamento sfruttato anche dal candidato di destra Valérie Pécresse (Repubblicani), dal candidato di centro-destra Jean Lassalle (Résistons) e da tutta la truppa della destra radicale, Marine Le Pen (Rassemblement National), Eric Zemmour (Reconquête) e Nicolas Dupont-Aignan (Debout La France).

In alcuni casi, è stato accertato che la raccolta dati inizia ben prima che l’utente fornisca il suo consenso (c’è sempre da chiedersi se veramente sia consenso “informato”).

Non più di un mese fa, l’Autorità garante per il trattamento dei dati personali in Francia, la CNIL, ha stabilito che l’attività di raccolta e trasferimento dati di Google Analytics non è per niente conforme al GDPR. Tutto lascia pensare che la stessa cosa valga anche per i siti web dedicati alla campagna elettorale delle presidenziali 2022.

L’alternativa alle Big Tech esiste

A sinistra tutti bravi? Dipende. Google è anche qui molto utilizzato, ma i distinguo ci sono. Ad esempio, alcuni candidati della sinistra radicale, come Philippe Poutou (Nuovo partito anticapitalistsa), Jean-Luc Mélenchon (La France Insoumise), il candidato del Partito Comunista Fabien Roussel, il candidato dei Verdi Yannick Jadot e lo stesso Dupont-Aignan nell’altro schieramento, usano anche “Matomo”.

Matomo è un software libero per fornire report dettagliati e in tempo reale sui visitatori di un sito web, fra cui i motori di ricerca di provenienza, parole chiave utilizzate, la lingua di utilizzo e le pagine più visitate.

Alcuni hanno anche sfruttato un’altra piattaforma francese Axeptio, per la gestione dei consensi (CMP). A tutti gli effetti, l’alternativa alle Big tech americane esiste di già.

Chi vince e chi perde in nome del GDPR

Lo studio ha comunque incoronato il candidato alle presidenziali “campione del rispetto della privacy”: è Nathalie Arthaud di Lotta Opeaia. Nel suo sito web mancava come informazione base per il rispetto del GDPR il nome del responsabile della protezione dei dati.

Assolutamente non conformi i siti di Mélenchon e Anne Hildago, membro del Partito Socialista e sindaca di Parigi, in compagnia di Zommour, che nel suo programma parla di leggi per garantire che i dati dei francesi rimangano su suolo nazionale, quindi di sovranità digitale, e allo stesso tempo sfrutta soluzioni tecnologiche che questi dati inviano in altri Paesi.

https://www.key4biz.it/francia-presidenziali-2022-tutti-reclamano-la-sovranita-dei-dati-ma-i-siti-web-dei-partiti-violano-il-gdpr/396143/

Some websites just can’t take “no” for an answer. Instead of respecting visitors’ choice to block third-party cookies—the identifiers that track browsing activity as a user moves from site to site—they find sneaky ways to bypass those settings. Now, makers of the Brave browser are taking action.

Earlier this week, Brave Nightly—the testing and development version of the browser—rolled out a feature that’s designed to prevent what’s known as bounce tracking. The new feature, known as unlinkable bouncing, will roll out for general release in Brave version 1.37 slated for March 29.

Overriding privacy

Bounce tracking is one of the key ways websites circumvent third-party cookie blocking. When a browser prevents a website such as site.example from loading a third-party tracking cookie from a domain such as tracker.example, site.example pulls a fast one. When site.example detects that the tracker.example cookie can’t be set, it instead redirects the browser to the tracker.example site, sets a cookie from that domain, and then redirects back to the original page or a new destination.

With that, the tracker.example cookie gets passed through a URL parameter and then gets stashed as a first-party cookie on the landing page. Once tracker.example places itself between enough of the sites a visitor browses, the tracker eventually builds a detailed profile of that activity, including the user’s interests and demographics.

The image below shows how third-party cooking blocking is supposed to work. When the user moves from site-one.example to cats.example and later from site-two.example to cars.example, there’s no way to track those movements as coming from the same person.

Bounce tracking circumvents this arrangement by inserting a third-party tracking site such as tracker.example in between the originating site and the cats.example or cars.example sites the user later browses to. Tracker.example then records that it was the user who visited both cats.example and cars.example.

While browsers that support third-party cookie blocking have existing mechanisms designed to thwart bounce tracking, this sneaky form of surveillance remains hard to defend against, since the browser doesn’t know beforehand that it will be directed to tracker.example. That’s where unlinkable bouncing comes in.

Ephemeral storage to the rescue

In a post, the Brave privacy team on Wednesday outlined the process that unlinkable bouncing uses. In a nutshell, unlinkable bouncing checks the site a user is about to visit against a list of URLs known to perform bounce tracking. When a destination site appears on the list and Brave has no cookies, localStorage, or other data related to it, the browser automatically creates a new one-time browser storage area for the site.

Once a user leaves the tracking site, Brave deletes the temporary storage. Because the data is no longer stored, the tracking site will be unable to re-identify the user the next time they are bounced through it.

Brave has several other ways to prevent site tracking. They include query-parameter stripping, debouncing, and (when blocking is set to aggressive mode) a warning to give concerned users a chance to back out.

The Brave privacy team explained the full flow as follows:

1. When navigating to a new URL, Brave checks to see if that URL is a known bounce-tracking (or otherwise harmful) site, by consulting filter lists (both crowdsourced and Brave-generated).
2. If that URL appears in a filter list, the browser checks the Trackers & ads blocked shields setting for the destination site. If that setting is Aggressive, the user is presented with a warning for whether they want to continue with the navigation, as described in a prior blog post.
3. If the user has Trackers & ads blocked in the default setting (or decides to continue with the navigation in the Aggressive setting), the browser then checks the first-party DOM storage values (cookies, localStorage, etc.) for the destination site. If the user has any existing stored values, the navigation continues using the existing stored values (in other words, Unlinkable Bouncing is not applied). If no DOM storage values exist for the destination site, the browser creates a new, temporary browser storage area for the destination site.
4. Soon after you leave the suspected bounce-tracking site (meaning no tabs are open for that site) the temporary storage is deleted, preventing the site from re-identifying you the next time you’re bounced through the site.

Team members said that unlinkable bouncing is the first of four planned applications to implement what they call “first-party ephemeral storage.” The set of techniques allows a site to identify visitors for only as long as they have it open. As a result, first-party ephemeral storage prevents the first-party site from re-identifying a user unless the user wants to be re-identified.

Using first-party ephemeral storage will be akin to clearing browser storage every time the user leaves the site, except it’s easier and more targeted.

“This brings about a total shift in the Web’s default behavior,” the privacy team members wrote. “To date, browsers have assumed users want every site to remember them unless the user takes some explicit step against that remembering. Instead, Brave is working toward forgetfulness (and thus privacy) by default.”

https://arstechnica.com/?p=1839951

Essere un game changer significa cambiare radicalmente le regole del gioco e in questi ultimi anni, soprattutto a seguito dell’avvento delle nuove tecnologie, dell’intelligenza artificiale e del recentissimo uso del riconoscimento facciale, la videosorveglianza si sta muovendo proprio in quella direzione.
Sull’argomento abbiamo intervistato l’avvocato Anna Capoluongo, DPO, Vicepresidente I.R.L.E.S.S., membro del GdL sull’intelligenza artificiale (ANORC) e di D&L Network, autrice del libro dal titolo “Videosorveglianza: the Game Changer”, uscito nel 2021 per le Edizioni Themis.

Key4biz. Che cosa significa – nel contesto odierno – che la videosorveglianza può essere vista come un game changer? 

Anna Capoluongo. Il nostro è un Mondo sempre più data driven, guidato cioè da dati e informazioni. Lo vediamo tanto nel bene (in primis nell’ambito della ricerca medico-scientifica), quanto nel male (pensiamo – ahi noi – all’attuale situazione tra Russia e Ucraina e alla Cyber War). Un mondo governato dai dati e in balia dell’utilizzo che degli stessi può essere fatto. Ecco perché la centralità di tematiche come la privacy e la protezione dei dati personali (e, più in generale, la sicurezza delle informazioni) dovrebbe essere maggiormente evidenziata e veicolata il più possibile. Di questi dati costituiscono parte integrante anche le immagini e gli audio, che sono “il pane quotidiano” di cui “vivono” gli strumenti di videosorveglianza. Questa materia è un cosmo fatto di norme, anche risalenti, ma di certo in continua evoluzione, e in questo senso, la videosorveglianza, anche nella sua versione più evoluta o smart, si sta tramutando in un vero e proprio Game Changer. Essere un Game Changer significa cambiare radicalmente le regole del gioco e in questi ultimi anni, anche a seguito dell’avvento delle nuove tecnologie, dell’Intelligenza Artificiale e dell’uso del riconoscimento facciale, la videosorveglianza si sta muovendo proprio in quella direzione, rivoluzionando il quotidiano e quello a cui eravamo abituati. 

Key4biz. Come si può approcciare al meglio una materia tanto ampia e come il testo risulta d’aiuto in tal senso?

Anna Capoluongo. La vastissima materia della videosorveglianza dispiega la sua portata impattando su moltissimi ambiti differenti, dal privato al pubblico, dal contesto aziendale, a quello domestico, da quello artistico allo sportivo, e così via. Per poter affrontare in maniera concettualmente più semplice una tematica tanto complessa, ritengo sia d’aiuto seguire quale filo conduttore quello temporale/cronologico, iniziando dalle origini, per poi analizzare normative, provvedimenti e norme – tanto italiani, quanto esteri – succedutisi nel tempo, approfondendo anche i profili di novità introdotti con il Regolamento europeo sulla protezione dei dati personali (GDPR). Questo libro costituisce una sorta di viaggio nel tempo, una “tavola cronologica normativa” che, partendo dalla raccolta ordinata e logica del quadro legislativo e normativo di riferimento, lo declina nella realtà e nell’operatività quotidiana, anche grazie a strumenti ed esempi concreti in aiuto ad una compliance sostanziale che è tra gli obiettivi principali della protezione del dato. Il prof. Iaselli, nella prefazione ritengo abbia colto lo spirito di questo lavoro: “(…) questo libro nasce proprio dall’idea e con l’intenzione di spiegarne l’origine per capirne il futuro prossimo, passando attraverso le pronunce e la prassi. Non solo teoria, quindi, ma anche e soprattutto pratica, con specifico focus sulla protezione dei dati personali delle persone fisiche, sul diritto del lavoro e sulle frontiere new tech”.

Key4biz. Questo è ormai un Mondo sempre più smart e (inter)connesso, come incide questo sulla videosorveglianza?

Anna Capoluongo. Il mondo della videosorveglianza si muove di pari passo con quello delle nuove tecnologie, pertanto gli impatti sono molteplici e a vari livelli, basti pensare alle telecamere cosiddette intelligenti, che permettono l’identificazione degli interessati mediante la ripresa del viso, ad esempio. Tecnologie che, sfruttando la potenza di calcolo degli algoritmi, raccolgono dati biometrici dei soggetti, consentendo di verificare in modo univoco l’identità di una persona. Oppure si pensi ai quei sistemi che siano in grado di recepire dati particolari quali quelli relativi alla salute (il cui trattamento è di norma vietato salvo che rientri in una delle eccezioni previste dal GDPR), recentemente destinati alla misurazione della temperatura, alla rilevazione di presenze o all’assicurarsi che sia rispettata la distanza sociale o l’uso della mascherina di protezione dal Covid-19. Le norme a tutela di un utilizzo corretto, etico, ma pur sempre efficiente dei sistemi di videosorveglianza devono necessariamente stare al passo con quelle relative alla protezione dei dati e delle persone, come testimoniano concretamente anche gli ultimi sforzi in tal senso, rappresentanti – tra gli altri – dalle Linee guida 3/2019 dell’EDPB, dalle FAQ del 2020 del Garante privacy italiano e dalle prime proposte (a livello europeo e globale) di normazione del riconoscimento facciale, peraltro analizzati in maniera specifica nel testo.

Key4biz. Quali le opportunità e quali i rischi?

Anna Capoluongo. I sistemi di videosorveglianza – soprattutto quelli supportati o integrati con l’intelligenza artificiale – permettono certamente degli utilizzi evoluti a supporto della società e possono essere applicati al servizio di valide cause, come è accaduto e sta accadendo nel contrasto del Covid-19, o in ambito sanitario, sportivo, dei tessuti intelligenti, dell’industria 4.0. O ancora, con riferimento all’implementazione tecnologica per l’utilizzo in favore della sicurezza urbana o della repressione dei reati. È, però, opportuno dedicare la dovuta attenzione anche a ciò che ne consegue a livello di possibili errori, bias (pregiudizi), risvolti etici, profili di responsabilità e cybersecurity. Alla base delle nuove tecnologie di riconoscimento facciale, ad esempio, c’è quella branca dell’intelligenza artificiale detta machine perception che potendo comportare la raccolta di immagini facciali di individui – anche senza il loro consenso o la possibilità di rifiutare ed opporsi al trattamento – potrebbe anche incidere negativamente sulla dignità delle persone. Ancora, se pensiamo al cd. deep fake i rischi connessi non si fermano al furto di indentità, ma sempre più spesso si traducono in violenze ulteriori e più gravi, come nei casi del deepnude, del revenge porn, del sexting, della pornografia illegale, della pedopornografia, del cyberbullismo, delle fake news e del cybercrime (spoofing, phishing, ransomware). Citando Rodotà, “L’avvenire democratico si gioca sempre di più intorno alla capacità sociale e politica di trasformare le tecnologie dell’informazione e della comunicazione in tecnologie della libertà, e non del controllo”.

https://www.key4biz.it/le-implicazioni-per-la-videosorveglianza-in-un-mondo-governato-dai-dati-intervista-ad-anna-capoluongo/394065/

 I Garanti privacy di Francia e Austria contro Google

Comunque vada sarà un’ottima occasione per dimostrare che esiste un’alternativa a Google Analytics in Europa. Questo il sentiment generale che ha pervaso l’intero mercato dei servizi di web analytics per analizzare nel dettaglio le statistiche sui visitatori di siti e piattaforme di rete.

I guai del gigante tecnologico con il regolamento europeo per la protezione dei dati (GDPR) in Francia e Austria, legati alla non conformità riscontrata agli standard di privacy, potrebbero estendersi anche in altri Paesi dell’Unione europea.

Una cattiva notizia per Google Analytics, come detto, ma estremamente buona per i suoi concorrenti.

Secondo quanto riportato da euractiv.com, il servizio di Mountain View detiene attualmente l’86% circa della quota di questo particolare mercato (in ulteriore aumento rispetto ad un anno fa), secondo rilevamenti del mese corrente. Un monopolio di fatto, che ora potrebbe aprire le porte ad una nuova fase di mercato.

Fino a quanto il gruppo Alphabet non troverà un nuovo accordo con l’Unione europea, ogni tentativo di da parte sua di applicare misure aggiuntive non risolverà il problema del trasferimento di dati negli Stati Uniti e della loro protezione.

Questa la posizione ufficiale dell’autorità di vigilanza francese sulla protezione dei dati (CNIL) e di quella austriaca, la Datenschutzbehörde (Dsb).

Una boccata di ossigeno per i concorrenti

Ma quali sono i concorrenti della multinazionale americana che finalmente potranno agire con maggiore campo di azione? Ad esempio, c’è il servizio Plausible Analytics, uno strumento di analisi web open source che opera senza cookie e memorizza i dati in Germania.

C’è poi la Fathom Analytics, che è canadese, ma senza utilizzare cookies raccoglie ed elabora dati che poi rimangono su server europei.

Alte soluzioni che dopo queste sentenze contro la Big Tech stanno iniziando a raccogliere nuovi clienti sono anche Piano Analytics e Motomo.

Google ha quindi perso? Non è proprio così facile mettere alle corde un gigante di questo calibro. Diciamo che è molto probabile che ci sia la possibilità di aggiustare le cose direttamente in tribunale e attraverso nuovi accordi.

Non è da escludere, infatti, come ha spiegato a euractiv.com un avvocato dello studio Derriennic, Alexandre Fievée, che si arrivi ad individuare misure tecniche tali da rendere alla fine legale il trasferimento di dati negli Stati Uniti, magari rendendo i dati anonimi o in nello stato di crittografia.

Condizioni queste ultime non accettate dal CNIL, che le vede facilmente aggirabili da Google in patria. L’unica via possibile è avere la certezza che le autorità americane o chi per loro non abbiano mai modo di accedere a questi dati.

Il Privacy Shield e la sentenza “Schrems II”

Tutto questo nasce dall’azione della Corte di giustizia dell’UE che ha invalidato nel luglio 2020 il sistema in essere tra l’UE e gli Stati Uniti noto come “Privacy Shield”, ritenendo che l’interferenza delle autorità statunitensi nei dati elaborati dalle loro società – ovunque operino – non soddisfaceva gli standard europei.

Il Privacy Shield, come presentato dalla nostra Autorità per la protezione dei dati personali, ovvero lo  “scudo  per la  privacy”  fra  UE  e  USA,  è  un  meccanismo di autocertificazione pensato per le società stabilite negli USA che intendano ricevere dati personali dall’Unione  europea.

In particolare, le società si impegnavano a rispettare i principi in esso contenuti e a fornire agli interessati (ovvero tutti i soggetti i cui dati personali siano stati trasferiti dall’Unione europea) adeguati strumenti di tutela, pena l’eliminazione dalla lista delle società certificate (“Privacy Shield List”) da parte del Dipartimento del Commercio statunitense e possibili sanzioni da parte della Federal Trade Commission (Commissione federale per il commercio).

La Commissione europea ha ritenuto che il sistema offrisse un livello adeguato di protezione per i dati personali trasferiti da un soggetto nell’UE a una società stabilita negli Stati Uniti e che, pertanto, lo Shield costituisse una fonte di garanzie giuridiche con riguardo ai trasferimenti di dati in questione. Almeno fino alla sentenza della Corte.

https://www.key4biz.it/google-analytics-alle-corde-per-la-privacy-in-europa-ne-approfittano-i-concorrenti/393310/

28 gennaio, in Europa si celebra il Data Privacy Day

In occasione della Giornata europea della protezione dei dati personali, che si celebra in tutti i Paesi membri dell’Unione il 28 gennaio, l’Eurostat ha diffuso i risultati di una nuova indagine relativa alla gestione delle informazioni personali online da parte dei cittadini che utilizzano internet.

Più del 53% degli intervistati ha dichiarato di rifiutare il consenso all’uso dei propri dati personali a scopi pubblicitari e commerciali, il 48% degli utenti ha risposto di non accettare mai la geolocalizzazione, il 40% ha limitato la possibilità di accedere a profili e contenuti social.

Solo il 36%, però, ha verificato che il sito a cui ha fornito i propri dati fosse sicuro, mentre il 39% ha letto davvero e fino in fondo l’informativa sulla privacy a cui siamo chiamati a dare il consenso ogni volta che visitiamo un sito web.

Dati non proprio confortanti, al massimo ci lasciano il dubbio del bicchiere mezzo pieno o mezzo vuoto, ma una cosa è evidente: nonostante si parli sempre dell’importanza della privacy, della tutela dei dati personali e delle informazioni più sensibili, rimane il dubbio se veramente si sia o meno compreso il significato di frasi ad effetto (ma quanto mai vere) del tipo: “i dati sono l’oro del nuovo millennio”.

In Europa l’unico trattato internazionale sulla tutela della privacy

Sempre in occasione della Giornata della protezione dei dati personali, a Bruxelles si sono voluti anche celebrare i tanti progressi compiuti dall’Unione europea grazie alla ratifica della “Convenzione 108” del Consiglio d’Europa, che ad oggi rimane l’unico trattato internazionale sulla tutela della privacy.

“Il regolamento generale sulla protezione dei dati è diventato una pietra angolare della nostra politica digitale, sulla quale stiamo costruendo altre iniziative nell’ambito della strategia digitale europea. Il trattamento dei dati personali dovrebbe essere concepito per servire la società e rispettare i diritti delle persone”, hanno affermato in una dichiarazione congiunta Věra Jourová, Vicepresidente per i Valori e la trasparenza, e Didier Reynders, Commissario per la Giustizi.

“Iniziative quali l’imminente legge sui dati o l’atto sulla governance dei dati contribuiscono a istituire un quadro più chiaro ed equo per l’accesso ai dati e il loro uso, in modo tale da offrire alle imprese e alle persone in Europa un controllo migliore sui loro dati e rendere un maggior numero di dati disponibili all’uso, anche per il bene pubblico”, hanno aggiunto i due Commissari europei.

Giovani italiani ignorano i rischi che si corrono non proteggendo i propri dati

In Italia, il Garante per la protezione dei dati personali ha organizzato per oggi un evento dal titolo “Visibili o sorvegliati? La vita nella Rete”, dedicato a diversi temi sensibili come i social network, il revenge porn, il cyberbullismo.

Secondo i primi dati diffusi dal Garante relativi ad una ricerca effettuata attraverso un questionario compilato da 2600 ragazzi tra gli 11 e i 24 anni, nel nostro Paese due giovani su tre sono iscritti a social network prima dell’età consentita dalla piattaforma, mentre sempre due su tre non leggono l’informativa sulla privacy quando si iscrivono a un nuovo servizio online o accedono a una nuova app accettandone le condizioni d’uso.

Il 43% dei minori ignora i diritti che la normativa gli riconosce per difendersi dal cyberbullismo, mentre il 64% degli over 18 sembra più preparato, secondo quanto riportato dal Garante.

Nonostante questo, i giovani sono interessati alla difesa della privacy, soprattutto di quella online: 9 studenti su 10 giudicano favorevolmente l’eventuale organizzazione di incontri su questi temi sin dall’età scolastica, magari da svolgere in classe; per il 54% sarebbe un’attività fondamentale, per il 34% come minimo utile.

https://www.key4biz.it/data-privacy-day-2022-jourova-reynders-ue-i-dati-protetti-sono-utili-al-bene-pubblico/390203/

Quasi due ragazzi su tre si sono iscritti a un social network prima dell’età consentita dalla piattaforma, pur sapendo che non avrebbero potuto. E sempre due su tre quando si iscrivono a un nuovo servizio online o accedono a una nuova app ne accettano le condizioni d’uso senza leggere mai l’informativa sulla privacy.

Più elevata la consapevolezza tra i maggiorenni, infatti quelli che ignorano sistematicamente le privacy policy scendono al 50%.

Il 43% dei minori ignora i diritti che la normativa gli riconosce per difendersi dal cyberbullismo, mentre il 64% degli over 18 sembra più preparato. Eppure i giovani sono interessati alla difesa della privacy, soprattutto di quella online. 9 studenti su 10 giudicano favorevolmente l’eventuale organizzazione di incontri su questi temi sin dall’età scolastica, magari da svolgere in classe; per il 54% sarebbe un’attività fondamentale, per il 34% come minimo utile.

“Visibili o sorvegliati? La vita nella Rete” in streaming dalle 11:30

Sono questi alcuni dei dati rilevati dal sondaggio che il Garante per la protezione dei dati personali ha commissionato a “Skuola.net”, in vista della Giornata Europea della protezione dei dati personali, che l’Autorità ha deciso quest’anno di celebrare proprio in un istituto scolastico insieme ai ragazzi.

Il convegno, intitolato “Visibili o sorvegliati? La vita nella Rete” sarà ospitato il prossimo 28 gennaio dal Convitto nazionale “Vittorio Emanuele II” di Roma ed avrà come protagonisti circa 60 studenti. Al centro degli interventi dei Componenti dell’Autorità Garante (Pasquale Stanzione, Ginevra Cerrina Feroni, Agostino Ghiglia, Guido Scorza) temi quali i social network, il revenge porn, il cyberbullismo. Ma saranno innanzitutto i ragazzi ad essere chiamati ad esprimere le proprie considerazioni, esporre le proprie esperienze e fare domande sulla privacy on line.

Nel corso del convegno saranno proiettati i video informativi realizzati dal Garante per sviluppare la consapevolezza dei più giovani nell’uso della Rete e promuovere l’educazione civica digitale.

I risultati integrali della ricerca – effettuata attraverso la raccolta di un questionario compilato da 2600 ragazzi tra gli 11 e i 24 anni – saranno resi disponibili sul sito del Garante al termine dell’evento.

Come seguire l’evento in streaming del Garante Privacy

https://www.key4biz.it/giovani-e-privacy-domani-alle-11-la-diretta-streaming-dellevento-organizzato-dal-garante/390082/

Introduzione

La progressiva integrazione dei droni nello spazio aereo civile europeo e l’emergere di numerose applicazioni di questi strumenti (dalle attività ricreative ai servizi, fino ai campi della fotografia, della logistica e della sorveglianza delle infrastrutture) hanno portato alla reale necessità, da un lato, di concentrarsi sulle sfide che il loro utilizzo su larga scala potrebbe comportare per la tutela della privacy, delle libertà civili e politiche di ciascuno e, dall’altro, valutare le misure necessarie per garantire il rispetto dei diritti fondamentali e la protezione dei dati.

Diversi sono, infatti, i rischi per la tutela della privacy che possono derivare dal trattamento di dati (come immagini, suoni e dati di geolocalizzazione relativi a una persona fisica identificata o identificabile) effettuato con i dispositivi a bordo di un drone. Tali rischi possono andare dalla mancanza di trasparenza sui tipi di trattamento, a causa alla difficoltà di vedere i droni da terra, sino alla difficoltà, in ogni caso, di sapere quali siano le apparecchiature a bordo destinate al trattamento di dati, quali siano i fini per cui vengono raccolti i dati personali e da chi. Inoltre, le potenzialità dei droni e la possibilità di interconnetterne più di uno facilita ancor di più la loro capacità di ottenere punti di osservazione unici. Ad esempio, grazie alla possibilità di evitare ostacoli o superare barriere o recinzioni, facilitando la raccolta di un’ampia varietà di informazioni con un alto rischio di raccolta dati in blocco e possibili usi illeciti per molteplici scopi.

Rischi ancora maggiori per i diritti e le libertà delle persone sorgono laddove il trattamento di dati personali mediante droni sia effettuato ai fini di contrasto della criminalità.

Prima di utilizzare un drone è necessario rispettare una serie di obblighi e nello specifico:

• verificare, ove consentito l’utilizzo di droni, se sia necessaria una specifica autorizzazione da parte delle autorità dell’aviazione civile (AAC);
• individuare i criteri più idonei di liceità del trattamento;
• rispettare i principi di limitazione delle finalità, minimizzazione dei dati e proporzionalità (selezionando le tecnologie e le misure più appropriate per evitare la raccolta di dati personali non necessari);
• soddisfare, nel modo più idoneo alla fattispecie in esame, il principio di trasparenza (informando gli interessati del trattamento effettuato);
• adottare tutte le opportune misure di sicurezza;
• garantire l’eliminazione o l’anonimizzazione dei dati personali non strettamente necessari.

È inoltre necessario considerare la possibilità di interconnettere più droni al fine di sorvegliare una vasta area. Sciami di droni con canali di comunicazione in tempo reale che li collegano tra loro e con terze parti comportano rischi ancora maggiori per la protezione dei dati; in quanto potrebbero facilmente consentire una sorveglianza coordinata, ovvero il controllo del movimento di persone o veicoli su vaste aree.

Vi è quindi un alto rischio che il trattamento dei dati personali da parte dei droni diventi segreto e causi significative interferenze nella sfera più privata delle persone. Allo stesso tempo, date le attrezzature messe a bordo potenzialmente sofisticate e la facilità con cui i dati personali raccolti possono essere collegati ad altre informazioni, vi è un maggior rischio di “function creep”; ovvero il rischio di modifica o estensione dell’uso per scopi incompatibili.

Inoltre, il potenziale impatto dell’intrusione nella privacy è aggravato dall’ampia varietà di individui ed entità coinvolti nell’uso dei droni. Anche i produttori di droni, ad esempio, hanno un ruolo da svolgere nella fase di progettazione di tali dispositivi, considerando che le caratteristiche operative possono, in misura minore o maggiore, prestarsi ad applicazioni invadenti per la privacy (ad esempio, nel caso di piccoli o droni di medie dimensioni in grado di volare all’interno di edifici).

Regole di base e regolamenti sui droni

Regolamento europeo

EASA (European Union Aviation Safety Agency)

Il regolamento di base è stato attuato attraverso due regolamenti, di seguito.

Regolamento (UE) 2019/947 e Regolamento (UE) 2019/945

Il Regolamento 2019/947 fornisce regole e procedure incentrate sulle operazioni e basate sul rischio per le operazioni con i droni. Definisce tre categorie di operazioni UAS: Aperte, Specifiche e Certificate sviluppate parallelamente alle categorie JARUS A, B e C.

Categoria aperta (Open Category) – Droni civili

Nella categoria aperta, non esiste un’approvazione operativa ma piuttosto una serie di limitazioni come la Visual Line Of Sight (VLOS), l’altezza massima di 120 metri e la massa massima al decollo inferiore a 25 kg. Il regolamento include “operations over people” (OOP). La categoria aperta è suddivisa in 3 sottocategorie rilevanti per l’OOP indicate di seguito:

• A1 – consente il sorvolo di persone isolate, con droni con una massa sotto i 250gr nelle classi C0 e 900gr in C1. È richiesta la formazione online. (Sorvolare persone ma non assembramenti di persone);
• A2 – consente di volare vicino alle persone, per droni con una massa massima di 4kg in classe C2. È richiesta una formazione online più una formazione pratica auto-dichiarata (Volare vicino le persone);
• A3- consente voli solo lontano dalle persone e dagli aeroporti, per droni con una massa massima di 25kg, classe C3 e C4. È richiesta anche la formazione online. (Volare lontano dalle persone).

Categoria specifica (Specific Category) – Droni civili

La categoria specifica copre tutte le operazioni che non rientrano nelle categorie aperte e certificate. Richiede un’autorizzazione operativa basata sul rischio rilasciata dall’autorità dello Stato membro competente. Gli esempi includono oltre la “Visual Line Of Sight” anche alcune operazioni di delivery dei droni.

Il metodo di compliance accettato utilizzato dagli Stati membri è lo Specific Operation Risk Assesmsment (SORA) sviluppato dalle autorità congiunte per la regolamentazione dei sistemi senza pilota (JARUS). Affronta il rischio terrestre e aereo e combina i due per creare un livello di garanzia e integrità specifico (SAIL) tra I e VI. Un livello di rischio di VII o superiore sposta l’operazione nella categoria certificata superiore. Il SORA definisce anche adeguate misure di mitigazione

Morier, che è stato Presidente della JARUS dal 2017 al 2019, elabora: “Per evitare l’applicazione sistematica di SORA, sono stati definiti scenari standard (operazioni a basso rischio), che consentono di fornire una Dichiarazione di conformità anziché un’autorizzazione formale. Sono state inoltre definite Pre-Determined Risk Assessments (PDRA). Se un’operazione soddisfa questi requisiti, è ancora necessaria un’autorizzazione, ma dovrebbe essere ottenuta più facilmente. Le autorizzazioni nella categoria specifica sono valide in tutti i Paesi dell’UE, ma potrebbe essere necessario verificare le misure di mitigazione legate alla geografia e al tempo”.

BVLOS (Beyond Visual line of Sight) è consentito in categorie specifiche e certificate, a seconda del risk assessment.

Categoria certificata (Certified Category) – Droni civili

Nella categoria certificata, i droni sono certificati, gli operatori ricevono un certificato e il pilota ha una licenza. Questo è molto simile ai voli dell’aviazione con equipaggio. Le operazioni certificate sono state classificate in 3 tipologie:

• Operazioni di tipo 1– Instrument flight rules (IFR) operazioni per droni che trasportano merci nelle classi di spazio aereo A–C (ICAO airspace classification) e decollano e/o atterrano negli aeroporti che rientrano nel regolamento di base.
• Operazioni di tipo 2 – droni che decollano e/o atterrano in ambienti congestionati utilizzando rotte predefinite nello spazio aereo U-space. Questi includono le operazioni di aeromobili VTOL (Vertical Take-Off and Landing) senza equipaggio che trasportano passeggeri (ad esempio aerotaxi) o merci (ad esempio servizi di consegna di merci).
• Operazioni di tipo 3 – come per le operazioni di tipo 2 con velivoli VTOL con pilota a bordo, comprese le operazioni fuori dallo spazio aereo U-Space

Il Regolamento 2019/ 945 stabilisce i requisiti per la progettazione e la fabbricazione di sistemi aeronautici senza equipaggio (UAS) destinati a essere utilizzati secondo le regole e le condizioni definite nel regolamento di esecuzione (UE) 2019/947 e di componenti aggiuntivi per l’identificazione a distanza. Definisce inoltre il tipo di UAS la cui progettazione, produzione e manutenzione sarà oggetto di certificazione. Stabilisce norme sulla messa a disposizione sul mercato di UAS, kit di accessori e componenti aggiuntivi per l’identificazione a distanza e sulla loro libera circolazione nell’Unione.

Il presente regolamento, infine, fissa anche le norme per gli operatori UAS di paesi terzi, quando effettuano un’operazione UAS ai sensi del regolamento di esecuzione (UE) 2019/947 all’interno del single European sky airspace.

Figure 1 – Categoria Open, Specific e Certified

L’immagine mostra chiaramente come vengono identificate le operazioni. Con questo nuovo regolamento, il fatto che si stia pilotando un UAS (Unmanned Aircraft System) per motivi di lavoro o hobby non è più rilevante, conta solo se ciò che stai facendo può essere in qualche modo pericoloso.

JARUS

Le Joint Authority for Rulemaking on Unmanned Systems (JARUS) sono un gruppo di esperti di 60 autorità aeronautiche nazionali mondiali (NAA) e 2 organizzazioni regionali per la sicurezza aerea (EASA ed EUROCONTROL), il cui obiettivo è sviluppare regole armonizzate per gli UAS. Il concetto di regolazione incentrata sulle operazioni con le tre categorie (aperta, specifica e certificata) è stato sviluppato all’interno delle categorie JARUS.

La missione di JARUS è sviluppare requisiti tecnici e operativi per il funzionamento sicuro, protetto ed efficiente degli UAS, per fungere da riferimento comune per l’uso nei rispettivi regolamenti e linee guida dei membri JARUS, facendolo in modo efficace ed efficiente, evita la duplicazione di sforzi con altre organizzazioni aeronautiche internazionali.

JARUS è responsabile dello sviluppo della metodologia per Specific Operations Risk Assessment (SORA). È stato approvato dall’Agenzia europea per la sicurezza aerea (EASA) come mezzo di conformità accettabile (AMC) per soddisfare i requisiti dei regolamenti europei UAS (Basic Regulation, Implementing Act, Delegated Act e Annexes).

EUROCONTROL

Nell’ambito delle proprie attività volte all’integrazione sicura degli UAS, EUROCONTROL ha condotto diversi webinar basati su alcuni temi caldi nel dominio UAS, con la partecipazione delle parti interessate più rilevanti nelle diverse sessioni. L’obiettivo di questi webinar era quello di sviluppare linee guida che non fossero direttamente correlate a un particolare regolamento.

EUROCAE (European Organisation for Civil Aviation Equipment)

EUROCAE è il leader europeo nello sviluppo di standard industriali riconosciuti a livello mondiale per l’aviazione. EUROCAE sviluppa standard per l’industria che:

• si basano sull’esperienza all’avanguardia dei suoi membri affrontando le slide globali dell’aviazione;
• sono idonei allo scopo per essere adottati a livello internazionale;
• supportano i processi operative, di sviluppo e normativi.

Regolamento italiano

Regolamento UAS-IT: integrazione di ENAC al regolamento droni EASA

Il 1° gennaio 2021 è entrato in vigore il Regolamento UAS-IT, che disciplina gli aspetti di competenza dell’Autorità nazionale per le operazioni con droni che non rientrano nelle disposizioni del Regolamento di esecuzione (UE) 2019/497.

Requisiti del pilota

In termini pratici il regolamento UAS-IT, ad una prima lettura, non fa altro che ribadire ciò che è già contenuto nel regolamento europeo in quanto non aggiunge nessun requisito aggiuntivo per il pilota di droni che opera nelle Open Category, per i droni privi di marcatura CE.

Rimangono validi i requisiti relativi ad altezza, distanza da infrastrutture e persone non informate.

Assicurazione

Secondo l’art. 27 dell’UAS-IT non è consentito condurre operazioni con un UAS se un’assicurazione relativa alla responsabilità verso terzi, adeguata allo scopo e con massimali non inferiori ai parametri minimi di cui alla tabella dell’art. 7 del Regolamento (CE) 785/2004.

Registrazione

Secondo quanto previsto dal regolamento di cui all’art. 6, gli operatori UAV sono tenuti a registrarsi sul portale D-Flight, anche ai fini dell’identificazione e imputazione di responsabilità civile e penale, e ad apporre il codice identificativo QR sull’UAV.

Sicurezza

La sicurezza riguarda il contrasto di tutte le azioni dolose intraprese per compiere un attacco deliberato attraverso l’utilizzo di un UAV: un’area in cui ricade il terrorismo, ad esempio. Ma anche spionaggio, aggressione, utilizzo dell’UAV per testare le difese di una struttura per poi compiere atti illeciti come intrusioni, furti, danneggiamenti. È chiaro che le leggi possono fare poco contro le operazioni illecite e criminali, ma il Regolamento ENAC ha alcune disposizioni per complicare l’uso degli UAV per scopi illegali. Il principale è l’articolo 33, che tratta esplicitamente di Sicurezza.

Sicurezza del radio link

Contrastare le minacce alla sicurezza comporta anche obblighi e doveri nei confronti del Pilota e dell’Operatore. A partire dall’obbligo di protezione del radio link, cioè del collegamento tra il drone e la radio, previsto dall’art. 33 comma 1:

“L’operatore deve adottare misure adeguate per proteggere gli UAS per prevenire atti illeciti durante le operazioni anche al fine di prevenire l’interferenza volontaria del radio link“.

Le minacce a cui fa riferimento questo paragrafo sono essenzialmente due: da una parte il cosiddetto “drone Hijack”, il dirottamento del drone, ovvero la possibilità che un malintenzionato si impossessi del nostro UAS per compiere azioni illegali.

Dall’altra parte, invece, l’accesso abusivo ai dati trasmessi a terra dai SAPR: immaginiamo il caso di svolgere un’operazione specializzata per conto di un’azienda che ha segreti industriali da proteggere. Ovviamente avremo firmato stringenti accordi di riservatezza, ma un malintenzionato potrebbe essere in grado di ricevere il video link di ritorno del nostro UAV e quindi rubare informazioni riservate. Per ottemperare alle prescrizioni del comma, l’operatore e il pilota devono proteggere in ogni modo il radio link di controllo e ritorno, installando eventuali patch e aggiornamenti di sicurezza, utilizzando connessioni crittografate ove possibile e proteggendo la chiave per decrittografarle.

Proteggere l’area delle operazioni

Se il primo comma dell’articolo 33 riguarda la protezione del collegamento radio, ovvero dei collegamenti radio, dati e di controllo, tra l’UAV e la stazione di terra, il secondo comma riguarda le intrusioni meno sofisticate e tecnologiche ma non per questo meno pericolose:

“L’operatore deve stabilire procedure per impedire l’accesso di personale non autorizzato all’area operativa, alla stazione di controllo e per lo stivaggio del sistema.”

Il significato è chiaro: non c’è bisogno di hackerare una connessione radio se si può facilmente ottenere la stessa cosa rubando l’hard disk dove abbiamo registrato i dati della missione. E se i malintenzionati possono entrare, possono anche rubare l’UAV e la radio e fare quello che vogliono. Il secondo comma ci invita essenzialmente, anzi ci obbliga, a monitorare e proteggere le nostre apparecchiature, poiché ci sono casi in cui una possibile intrusione non danneggia solo noi, ma potenzialmente l’intera comunità.

Conclusioni

Pur riconoscendo i benefici a livello sociale ed economico dell’uso civile dei droni e il loro potenziale in termini di crescita, è necessario porre l’attenzione sulle minacce e sui rischi per la protezione dei dati e la propria privacy derivanti da un impiego su larga scala della tecnologia dei droni e valutare le misure necessarie per garantire il rispetto di tutti i diritti fondamentali coinvolti.

Concludendo, la continua evoluzione tecnologica ha portato ad una progressiva trasformazione normativa ed è quindi importante informarsi su tutte le novità introdotte nei regolamenti italiani ed europei consentendoci di utilizzare il drone per essere in regola e quindi per agire in sicurezza.

Articolo a cura di Domenico Raguseo, Rosita Galiandro, Giuseppe Marullo e Antonio De Chirico

Rosita Galiandro ha conseguito la laurea Magistrale in Sicurezza Informatica presso l’Università di Bari.

Attualmente ricopre il ruolo di Responsabile Osservatorio CyberSecurity presso Exprivia.

Contribuisce alle attività di prevendita, ha partecipato a progetti di risk assessment e GDPR compliance e collabora in piani di insegnamento con diverse università nell’ambito CyberSecurity e nel progetto CyberChallenge.IT. Fa parte della community Women For Security.

https://www.ictsecuritymagazine.com/articoli/la-cybersecurity-per-i-droni/