Some websites just can’t take “no” for an answer. Instead of respecting visitors’ choice to block third-party cookies—the identifiers that track browsing activity as a user moves from site to site—they find sneaky ways to bypass those settings. Now, makers of the Brave browser are taking action.

Earlier this week, Brave Nightly—the testing and development version of the browser—rolled out a feature that’s designed to prevent what’s known as bounce tracking. The new feature, known as unlinkable bouncing, will roll out for general release in Brave version 1.37 slated for March 29.

Overriding privacy

Bounce tracking is one of the key ways websites circumvent third-party cookie blocking. When a browser prevents a website such as site.example from loading a third-party tracking cookie from a domain such as tracker.example, site.example pulls a fast one. When site.example detects that the tracker.example cookie can’t be set, it instead redirects the browser to the tracker.example site, sets a cookie from that domain, and then redirects back to the original page or a new destination.

With that, the tracker.example cookie gets passed through a URL parameter and then gets stashed as a first-party cookie on the landing page. Once tracker.example places itself between enough of the sites a visitor browses, the tracker eventually builds a detailed profile of that activity, including the user’s interests and demographics.

The image below shows how third-party cooking blocking is supposed to work. When the user moves from site-one.example to cats.example and later from site-two.example to cars.example, there’s no way to track those movements as coming from the same person.

Bounce tracking circumvents this arrangement by inserting a third-party tracking site such as tracker.example in between the originating site and the cats.example or cars.example sites the user later browses to. Tracker.example then records that it was the user who visited both cats.example and cars.example.

While browsers that support third-party cookie blocking have existing mechanisms designed to thwart bounce tracking, this sneaky form of surveillance remains hard to defend against, since the browser doesn’t know beforehand that it will be directed to tracker.example. That’s where unlinkable bouncing comes in.

Ephemeral storage to the rescue

In a post, the Brave privacy team on Wednesday outlined the process that unlinkable bouncing uses. In a nutshell, unlinkable bouncing checks the site a user is about to visit against a list of URLs known to perform bounce tracking. When a destination site appears on the list and Brave has no cookies, localStorage, or other data related to it, the browser automatically creates a new one-time browser storage area for the site.

Once a user leaves the tracking site, Brave deletes the temporary storage. Because the data is no longer stored, the tracking site will be unable to re-identify the user the next time they are bounced through it.

Brave has several other ways to prevent site tracking. They include query-parameter stripping, debouncing, and (when blocking is set to aggressive mode) a warning to give concerned users a chance to back out.

The Brave privacy team explained the full flow as follows:

1. When navigating to a new URL, Brave checks to see if that URL is a known bounce-tracking (or otherwise harmful) site, by consulting filter lists (both crowdsourced and Brave-generated).
2. If that URL appears in a filter list, the browser checks the Trackers & ads blocked shields setting for the destination site. If that setting is Aggressive, the user is presented with a warning for whether they want to continue with the navigation, as described in a prior blog post.
3. If the user has Trackers & ads blocked in the default setting (or decides to continue with the navigation in the Aggressive setting), the browser then checks the first-party DOM storage values (cookies, localStorage, etc.) for the destination site. If the user has any existing stored values, the navigation continues using the existing stored values (in other words, Unlinkable Bouncing is not applied). If no DOM storage values exist for the destination site, the browser creates a new, temporary browser storage area for the destination site.
4. Soon after you leave the suspected bounce-tracking site (meaning no tabs are open for that site) the temporary storage is deleted, preventing the site from re-identifying you the next time you’re bounced through the site.

Team members said that unlinkable bouncing is the first of four planned applications to implement what they call “first-party ephemeral storage.” The set of techniques allows a site to identify visitors for only as long as they have it open. As a result, first-party ephemeral storage prevents the first-party site from re-identifying a user unless the user wants to be re-identified.

Using first-party ephemeral storage will be akin to clearing browser storage every time the user leaves the site, except it’s easier and more targeted.

“This brings about a total shift in the Web’s default behavior,” the privacy team members wrote. “To date, browsers have assumed users want every site to remember them unless the user takes some explicit step against that remembering. Instead, Brave is working toward forgetfulness (and thus privacy) by default.”

https://arstechnica.com/?p=1839951

Essere un game changer significa cambiare radicalmente le regole del gioco e in questi ultimi anni, soprattutto a seguito dell’avvento delle nuove tecnologie, dell’intelligenza artificiale e del recentissimo uso del riconoscimento facciale, la videosorveglianza si sta muovendo proprio in quella direzione.
Sull’argomento abbiamo intervistato l’avvocato Anna Capoluongo, DPO, Vicepresidente I.R.L.E.S.S., membro del GdL sull’intelligenza artificiale (ANORC) e di D&L Network, autrice del libro dal titolo “Videosorveglianza: the Game Changer”, uscito nel 2021 per le Edizioni Themis.

Key4biz. Che cosa significa – nel contesto odierno – che la videosorveglianza può essere vista come un game changer? 

Anna Capoluongo. Il nostro è un Mondo sempre più data driven, guidato cioè da dati e informazioni. Lo vediamo tanto nel bene (in primis nell’ambito della ricerca medico-scientifica), quanto nel male (pensiamo – ahi noi – all’attuale situazione tra Russia e Ucraina e alla Cyber War). Un mondo governato dai dati e in balia dell’utilizzo che degli stessi può essere fatto. Ecco perché la centralità di tematiche come la privacy e la protezione dei dati personali (e, più in generale, la sicurezza delle informazioni) dovrebbe essere maggiormente evidenziata e veicolata il più possibile. Di questi dati costituiscono parte integrante anche le immagini e gli audio, che sono “il pane quotidiano” di cui “vivono” gli strumenti di videosorveglianza. Questa materia è un cosmo fatto di norme, anche risalenti, ma di certo in continua evoluzione, e in questo senso, la videosorveglianza, anche nella sua versione più evoluta o smart, si sta tramutando in un vero e proprio Game Changer. Essere un Game Changer significa cambiare radicalmente le regole del gioco e in questi ultimi anni, anche a seguito dell’avvento delle nuove tecnologie, dell’Intelligenza Artificiale e dell’uso del riconoscimento facciale, la videosorveglianza si sta muovendo proprio in quella direzione, rivoluzionando il quotidiano e quello a cui eravamo abituati. 

Key4biz. Come si può approcciare al meglio una materia tanto ampia e come il testo risulta d’aiuto in tal senso?

Anna Capoluongo. La vastissima materia della videosorveglianza dispiega la sua portata impattando su moltissimi ambiti differenti, dal privato al pubblico, dal contesto aziendale, a quello domestico, da quello artistico allo sportivo, e così via. Per poter affrontare in maniera concettualmente più semplice una tematica tanto complessa, ritengo sia d’aiuto seguire quale filo conduttore quello temporale/cronologico, iniziando dalle origini, per poi analizzare normative, provvedimenti e norme – tanto italiani, quanto esteri – succedutisi nel tempo, approfondendo anche i profili di novità introdotti con il Regolamento europeo sulla protezione dei dati personali (GDPR). Questo libro costituisce una sorta di viaggio nel tempo, una “tavola cronologica normativa” che, partendo dalla raccolta ordinata e logica del quadro legislativo e normativo di riferimento, lo declina nella realtà e nell’operatività quotidiana, anche grazie a strumenti ed esempi concreti in aiuto ad una compliance sostanziale che è tra gli obiettivi principali della protezione del dato. Il prof. Iaselli, nella prefazione ritengo abbia colto lo spirito di questo lavoro: “(…) questo libro nasce proprio dall’idea e con l’intenzione di spiegarne l’origine per capirne il futuro prossimo, passando attraverso le pronunce e la prassi. Non solo teoria, quindi, ma anche e soprattutto pratica, con specifico focus sulla protezione dei dati personali delle persone fisiche, sul diritto del lavoro e sulle frontiere new tech”.

Key4biz. Questo è ormai un Mondo sempre più smart e (inter)connesso, come incide questo sulla videosorveglianza?

Anna Capoluongo. Il mondo della videosorveglianza si muove di pari passo con quello delle nuove tecnologie, pertanto gli impatti sono molteplici e a vari livelli, basti pensare alle telecamere cosiddette intelligenti, che permettono l’identificazione degli interessati mediante la ripresa del viso, ad esempio. Tecnologie che, sfruttando la potenza di calcolo degli algoritmi, raccolgono dati biometrici dei soggetti, consentendo di verificare in modo univoco l’identità di una persona. Oppure si pensi ai quei sistemi che siano in grado di recepire dati particolari quali quelli relativi alla salute (il cui trattamento è di norma vietato salvo che rientri in una delle eccezioni previste dal GDPR), recentemente destinati alla misurazione della temperatura, alla rilevazione di presenze o all’assicurarsi che sia rispettata la distanza sociale o l’uso della mascherina di protezione dal Covid-19. Le norme a tutela di un utilizzo corretto, etico, ma pur sempre efficiente dei sistemi di videosorveglianza devono necessariamente stare al passo con quelle relative alla protezione dei dati e delle persone, come testimoniano concretamente anche gli ultimi sforzi in tal senso, rappresentanti – tra gli altri – dalle Linee guida 3/2019 dell’EDPB, dalle FAQ del 2020 del Garante privacy italiano e dalle prime proposte (a livello europeo e globale) di normazione del riconoscimento facciale, peraltro analizzati in maniera specifica nel testo.

Key4biz. Quali le opportunità e quali i rischi?

Anna Capoluongo. I sistemi di videosorveglianza – soprattutto quelli supportati o integrati con l’intelligenza artificiale – permettono certamente degli utilizzi evoluti a supporto della società e possono essere applicati al servizio di valide cause, come è accaduto e sta accadendo nel contrasto del Covid-19, o in ambito sanitario, sportivo, dei tessuti intelligenti, dell’industria 4.0. O ancora, con riferimento all’implementazione tecnologica per l’utilizzo in favore della sicurezza urbana o della repressione dei reati. È, però, opportuno dedicare la dovuta attenzione anche a ciò che ne consegue a livello di possibili errori, bias (pregiudizi), risvolti etici, profili di responsabilità e cybersecurity. Alla base delle nuove tecnologie di riconoscimento facciale, ad esempio, c’è quella branca dell’intelligenza artificiale detta machine perception che potendo comportare la raccolta di immagini facciali di individui – anche senza il loro consenso o la possibilità di rifiutare ed opporsi al trattamento – potrebbe anche incidere negativamente sulla dignità delle persone. Ancora, se pensiamo al cd. deep fake i rischi connessi non si fermano al furto di indentità, ma sempre più spesso si traducono in violenze ulteriori e più gravi, come nei casi del deepnude, del revenge porn, del sexting, della pornografia illegale, della pedopornografia, del cyberbullismo, delle fake news e del cybercrime (spoofing, phishing, ransomware). Citando Rodotà, “L’avvenire democratico si gioca sempre di più intorno alla capacità sociale e politica di trasformare le tecnologie dell’informazione e della comunicazione in tecnologie della libertà, e non del controllo”.

https://www.key4biz.it/le-implicazioni-per-la-videosorveglianza-in-un-mondo-governato-dai-dati-intervista-ad-anna-capoluongo/394065/

 I Garanti privacy di Francia e Austria contro Google

Comunque vada sarà un’ottima occasione per dimostrare che esiste un’alternativa a Google Analytics in Europa. Questo il sentiment generale che ha pervaso l’intero mercato dei servizi di web analytics per analizzare nel dettaglio le statistiche sui visitatori di siti e piattaforme di rete.

I guai del gigante tecnologico con il regolamento europeo per la protezione dei dati (GDPR) in Francia e Austria, legati alla non conformità riscontrata agli standard di privacy, potrebbero estendersi anche in altri Paesi dell’Unione europea.

Una cattiva notizia per Google Analytics, come detto, ma estremamente buona per i suoi concorrenti.

Secondo quanto riportato da euractiv.com, il servizio di Mountain View detiene attualmente l’86% circa della quota di questo particolare mercato (in ulteriore aumento rispetto ad un anno fa), secondo rilevamenti del mese corrente. Un monopolio di fatto, che ora potrebbe aprire le porte ad una nuova fase di mercato.

Fino a quanto il gruppo Alphabet non troverà un nuovo accordo con l’Unione europea, ogni tentativo di da parte sua di applicare misure aggiuntive non risolverà il problema del trasferimento di dati negli Stati Uniti e della loro protezione.

Questa la posizione ufficiale dell’autorità di vigilanza francese sulla protezione dei dati (CNIL) e di quella austriaca, la Datenschutzbehörde (Dsb).

Una boccata di ossigeno per i concorrenti

Ma quali sono i concorrenti della multinazionale americana che finalmente potranno agire con maggiore campo di azione? Ad esempio, c’è il servizio Plausible Analytics, uno strumento di analisi web open source che opera senza cookie e memorizza i dati in Germania.

C’è poi la Fathom Analytics, che è canadese, ma senza utilizzare cookies raccoglie ed elabora dati che poi rimangono su server europei.

Alte soluzioni che dopo queste sentenze contro la Big Tech stanno iniziando a raccogliere nuovi clienti sono anche Piano Analytics e Motomo.

Google ha quindi perso? Non è proprio così facile mettere alle corde un gigante di questo calibro. Diciamo che è molto probabile che ci sia la possibilità di aggiustare le cose direttamente in tribunale e attraverso nuovi accordi.

Non è da escludere, infatti, come ha spiegato a euractiv.com un avvocato dello studio Derriennic, Alexandre Fievée, che si arrivi ad individuare misure tecniche tali da rendere alla fine legale il trasferimento di dati negli Stati Uniti, magari rendendo i dati anonimi o in nello stato di crittografia.

Condizioni queste ultime non accettate dal CNIL, che le vede facilmente aggirabili da Google in patria. L’unica via possibile è avere la certezza che le autorità americane o chi per loro non abbiano mai modo di accedere a questi dati.

Il Privacy Shield e la sentenza “Schrems II”

Tutto questo nasce dall’azione della Corte di giustizia dell’UE che ha invalidato nel luglio 2020 il sistema in essere tra l’UE e gli Stati Uniti noto come “Privacy Shield”, ritenendo che l’interferenza delle autorità statunitensi nei dati elaborati dalle loro società – ovunque operino – non soddisfaceva gli standard europei.

Il Privacy Shield, come presentato dalla nostra Autorità per la protezione dei dati personali, ovvero lo  “scudo  per la  privacy”  fra  UE  e  USA,  è  un  meccanismo di autocertificazione pensato per le società stabilite negli USA che intendano ricevere dati personali dall’Unione  europea.

In particolare, le società si impegnavano a rispettare i principi in esso contenuti e a fornire agli interessati (ovvero tutti i soggetti i cui dati personali siano stati trasferiti dall’Unione europea) adeguati strumenti di tutela, pena l’eliminazione dalla lista delle società certificate (“Privacy Shield List”) da parte del Dipartimento del Commercio statunitense e possibili sanzioni da parte della Federal Trade Commission (Commissione federale per il commercio).

La Commissione europea ha ritenuto che il sistema offrisse un livello adeguato di protezione per i dati personali trasferiti da un soggetto nell’UE a una società stabilita negli Stati Uniti e che, pertanto, lo Shield costituisse una fonte di garanzie giuridiche con riguardo ai trasferimenti di dati in questione. Almeno fino alla sentenza della Corte.

https://www.key4biz.it/google-analytics-alle-corde-per-la-privacy-in-europa-ne-approfittano-i-concorrenti/393310/

28 gennaio, in Europa si celebra il Data Privacy Day

In occasione della Giornata europea della protezione dei dati personali, che si celebra in tutti i Paesi membri dell’Unione il 28 gennaio, l’Eurostat ha diffuso i risultati di una nuova indagine relativa alla gestione delle informazioni personali online da parte dei cittadini che utilizzano internet.

Più del 53% degli intervistati ha dichiarato di rifiutare il consenso all’uso dei propri dati personali a scopi pubblicitari e commerciali, il 48% degli utenti ha risposto di non accettare mai la geolocalizzazione, il 40% ha limitato la possibilità di accedere a profili e contenuti social.

Solo il 36%, però, ha verificato che il sito a cui ha fornito i propri dati fosse sicuro, mentre il 39% ha letto davvero e fino in fondo l’informativa sulla privacy a cui siamo chiamati a dare il consenso ogni volta che visitiamo un sito web.

Dati non proprio confortanti, al massimo ci lasciano il dubbio del bicchiere mezzo pieno o mezzo vuoto, ma una cosa è evidente: nonostante si parli sempre dell’importanza della privacy, della tutela dei dati personali e delle informazioni più sensibili, rimane il dubbio se veramente si sia o meno compreso il significato di frasi ad effetto (ma quanto mai vere) del tipo: “i dati sono l’oro del nuovo millennio”.

In Europa l’unico trattato internazionale sulla tutela della privacy

Sempre in occasione della Giornata della protezione dei dati personali, a Bruxelles si sono voluti anche celebrare i tanti progressi compiuti dall’Unione europea grazie alla ratifica della “Convenzione 108” del Consiglio d’Europa, che ad oggi rimane l’unico trattato internazionale sulla tutela della privacy.

“Il regolamento generale sulla protezione dei dati è diventato una pietra angolare della nostra politica digitale, sulla quale stiamo costruendo altre iniziative nell’ambito della strategia digitale europea. Il trattamento dei dati personali dovrebbe essere concepito per servire la società e rispettare i diritti delle persone”, hanno affermato in una dichiarazione congiunta Věra Jourová, Vicepresidente per i Valori e la trasparenza, e Didier Reynders, Commissario per la Giustizi.

“Iniziative quali l’imminente legge sui dati o l’atto sulla governance dei dati contribuiscono a istituire un quadro più chiaro ed equo per l’accesso ai dati e il loro uso, in modo tale da offrire alle imprese e alle persone in Europa un controllo migliore sui loro dati e rendere un maggior numero di dati disponibili all’uso, anche per il bene pubblico”, hanno aggiunto i due Commissari europei.

Giovani italiani ignorano i rischi che si corrono non proteggendo i propri dati

In Italia, il Garante per la protezione dei dati personali ha organizzato per oggi un evento dal titolo “Visibili o sorvegliati? La vita nella Rete”, dedicato a diversi temi sensibili come i social network, il revenge porn, il cyberbullismo.

Secondo i primi dati diffusi dal Garante relativi ad una ricerca effettuata attraverso un questionario compilato da 2600 ragazzi tra gli 11 e i 24 anni, nel nostro Paese due giovani su tre sono iscritti a social network prima dell’età consentita dalla piattaforma, mentre sempre due su tre non leggono l’informativa sulla privacy quando si iscrivono a un nuovo servizio online o accedono a una nuova app accettandone le condizioni d’uso.

Il 43% dei minori ignora i diritti che la normativa gli riconosce per difendersi dal cyberbullismo, mentre il 64% degli over 18 sembra più preparato, secondo quanto riportato dal Garante.

Nonostante questo, i giovani sono interessati alla difesa della privacy, soprattutto di quella online: 9 studenti su 10 giudicano favorevolmente l’eventuale organizzazione di incontri su questi temi sin dall’età scolastica, magari da svolgere in classe; per il 54% sarebbe un’attività fondamentale, per il 34% come minimo utile.

https://www.key4biz.it/data-privacy-day-2022-jourova-reynders-ue-i-dati-protetti-sono-utili-al-bene-pubblico/390203/

Quasi due ragazzi su tre si sono iscritti a un social network prima dell’età consentita dalla piattaforma, pur sapendo che non avrebbero potuto. E sempre due su tre quando si iscrivono a un nuovo servizio online o accedono a una nuova app ne accettano le condizioni d’uso senza leggere mai l’informativa sulla privacy.

Più elevata la consapevolezza tra i maggiorenni, infatti quelli che ignorano sistematicamente le privacy policy scendono al 50%.

Il 43% dei minori ignora i diritti che la normativa gli riconosce per difendersi dal cyberbullismo, mentre il 64% degli over 18 sembra più preparato. Eppure i giovani sono interessati alla difesa della privacy, soprattutto di quella online. 9 studenti su 10 giudicano favorevolmente l’eventuale organizzazione di incontri su questi temi sin dall’età scolastica, magari da svolgere in classe; per il 54% sarebbe un’attività fondamentale, per il 34% come minimo utile.

“Visibili o sorvegliati? La vita nella Rete” in streaming dalle 11:30

Sono questi alcuni dei dati rilevati dal sondaggio che il Garante per la protezione dei dati personali ha commissionato a “Skuola.net”, in vista della Giornata Europea della protezione dei dati personali, che l’Autorità ha deciso quest’anno di celebrare proprio in un istituto scolastico insieme ai ragazzi.

Il convegno, intitolato “Visibili o sorvegliati? La vita nella Rete” sarà ospitato il prossimo 28 gennaio dal Convitto nazionale “Vittorio Emanuele II” di Roma ed avrà come protagonisti circa 60 studenti. Al centro degli interventi dei Componenti dell’Autorità Garante (Pasquale Stanzione, Ginevra Cerrina Feroni, Agostino Ghiglia, Guido Scorza) temi quali i social network, il revenge porn, il cyberbullismo. Ma saranno innanzitutto i ragazzi ad essere chiamati ad esprimere le proprie considerazioni, esporre le proprie esperienze e fare domande sulla privacy on line.

Nel corso del convegno saranno proiettati i video informativi realizzati dal Garante per sviluppare la consapevolezza dei più giovani nell’uso della Rete e promuovere l’educazione civica digitale.

I risultati integrali della ricerca – effettuata attraverso la raccolta di un questionario compilato da 2600 ragazzi tra gli 11 e i 24 anni – saranno resi disponibili sul sito del Garante al termine dell’evento.

Come seguire l’evento in streaming del Garante Privacy

https://www.key4biz.it/giovani-e-privacy-domani-alle-11-la-diretta-streaming-dellevento-organizzato-dal-garante/390082/

Introduzione

La progressiva integrazione dei droni nello spazio aereo civile europeo e l’emergere di numerose applicazioni di questi strumenti (dalle attività ricreative ai servizi, fino ai campi della fotografia, della logistica e della sorveglianza delle infrastrutture) hanno portato alla reale necessità, da un lato, di concentrarsi sulle sfide che il loro utilizzo su larga scala potrebbe comportare per la tutela della privacy, delle libertà civili e politiche di ciascuno e, dall’altro, valutare le misure necessarie per garantire il rispetto dei diritti fondamentali e la protezione dei dati.

Diversi sono, infatti, i rischi per la tutela della privacy che possono derivare dal trattamento di dati (come immagini, suoni e dati di geolocalizzazione relativi a una persona fisica identificata o identificabile) effettuato con i dispositivi a bordo di un drone. Tali rischi possono andare dalla mancanza di trasparenza sui tipi di trattamento, a causa alla difficoltà di vedere i droni da terra, sino alla difficoltà, in ogni caso, di sapere quali siano le apparecchiature a bordo destinate al trattamento di dati, quali siano i fini per cui vengono raccolti i dati personali e da chi. Inoltre, le potenzialità dei droni e la possibilità di interconnetterne più di uno facilita ancor di più la loro capacità di ottenere punti di osservazione unici. Ad esempio, grazie alla possibilità di evitare ostacoli o superare barriere o recinzioni, facilitando la raccolta di un’ampia varietà di informazioni con un alto rischio di raccolta dati in blocco e possibili usi illeciti per molteplici scopi.

Rischi ancora maggiori per i diritti e le libertà delle persone sorgono laddove il trattamento di dati personali mediante droni sia effettuato ai fini di contrasto della criminalità.

Prima di utilizzare un drone è necessario rispettare una serie di obblighi e nello specifico:

• verificare, ove consentito l’utilizzo di droni, se sia necessaria una specifica autorizzazione da parte delle autorità dell’aviazione civile (AAC);
• individuare i criteri più idonei di liceità del trattamento;
• rispettare i principi di limitazione delle finalità, minimizzazione dei dati e proporzionalità (selezionando le tecnologie e le misure più appropriate per evitare la raccolta di dati personali non necessari);
• soddisfare, nel modo più idoneo alla fattispecie in esame, il principio di trasparenza (informando gli interessati del trattamento effettuato);
• adottare tutte le opportune misure di sicurezza;
• garantire l’eliminazione o l’anonimizzazione dei dati personali non strettamente necessari.

È inoltre necessario considerare la possibilità di interconnettere più droni al fine di sorvegliare una vasta area. Sciami di droni con canali di comunicazione in tempo reale che li collegano tra loro e con terze parti comportano rischi ancora maggiori per la protezione dei dati; in quanto potrebbero facilmente consentire una sorveglianza coordinata, ovvero il controllo del movimento di persone o veicoli su vaste aree.

Vi è quindi un alto rischio che il trattamento dei dati personali da parte dei droni diventi segreto e causi significative interferenze nella sfera più privata delle persone. Allo stesso tempo, date le attrezzature messe a bordo potenzialmente sofisticate e la facilità con cui i dati personali raccolti possono essere collegati ad altre informazioni, vi è un maggior rischio di “function creep”; ovvero il rischio di modifica o estensione dell’uso per scopi incompatibili.

Inoltre, il potenziale impatto dell’intrusione nella privacy è aggravato dall’ampia varietà di individui ed entità coinvolti nell’uso dei droni. Anche i produttori di droni, ad esempio, hanno un ruolo da svolgere nella fase di progettazione di tali dispositivi, considerando che le caratteristiche operative possono, in misura minore o maggiore, prestarsi ad applicazioni invadenti per la privacy (ad esempio, nel caso di piccoli o droni di medie dimensioni in grado di volare all’interno di edifici).

Regole di base e regolamenti sui droni

Regolamento europeo

EASA (European Union Aviation Safety Agency)

Il regolamento di base è stato attuato attraverso due regolamenti, di seguito.

Regolamento (UE) 2019/947 e Regolamento (UE) 2019/945

Il Regolamento 2019/947 fornisce regole e procedure incentrate sulle operazioni e basate sul rischio per le operazioni con i droni. Definisce tre categorie di operazioni UAS: Aperte, Specifiche e Certificate sviluppate parallelamente alle categorie JARUS A, B e C.

Categoria aperta (Open Category) – Droni civili

Nella categoria aperta, non esiste un’approvazione operativa ma piuttosto una serie di limitazioni come la Visual Line Of Sight (VLOS), l’altezza massima di 120 metri e la massa massima al decollo inferiore a 25 kg. Il regolamento include “operations over people” (OOP). La categoria aperta è suddivisa in 3 sottocategorie rilevanti per l’OOP indicate di seguito:

• A1 – consente il sorvolo di persone isolate, con droni con una massa sotto i 250gr nelle classi C0 e 900gr in C1. È richiesta la formazione online. (Sorvolare persone ma non assembramenti di persone);
• A2 – consente di volare vicino alle persone, per droni con una massa massima di 4kg in classe C2. È richiesta una formazione online più una formazione pratica auto-dichiarata (Volare vicino le persone);
• A3- consente voli solo lontano dalle persone e dagli aeroporti, per droni con una massa massima di 25kg, classe C3 e C4. È richiesta anche la formazione online. (Volare lontano dalle persone).

Categoria specifica (Specific Category) – Droni civili

La categoria specifica copre tutte le operazioni che non rientrano nelle categorie aperte e certificate. Richiede un’autorizzazione operativa basata sul rischio rilasciata dall’autorità dello Stato membro competente. Gli esempi includono oltre la “Visual Line Of Sight” anche alcune operazioni di delivery dei droni.

Il metodo di compliance accettato utilizzato dagli Stati membri è lo Specific Operation Risk Assesmsment (SORA) sviluppato dalle autorità congiunte per la regolamentazione dei sistemi senza pilota (JARUS). Affronta il rischio terrestre e aereo e combina i due per creare un livello di garanzia e integrità specifico (SAIL) tra I e VI. Un livello di rischio di VII o superiore sposta l’operazione nella categoria certificata superiore. Il SORA definisce anche adeguate misure di mitigazione

Morier, che è stato Presidente della JARUS dal 2017 al 2019, elabora: “Per evitare l’applicazione sistematica di SORA, sono stati definiti scenari standard (operazioni a basso rischio), che consentono di fornire una Dichiarazione di conformità anziché un’autorizzazione formale. Sono state inoltre definite Pre-Determined Risk Assessments (PDRA). Se un’operazione soddisfa questi requisiti, è ancora necessaria un’autorizzazione, ma dovrebbe essere ottenuta più facilmente. Le autorizzazioni nella categoria specifica sono valide in tutti i Paesi dell’UE, ma potrebbe essere necessario verificare le misure di mitigazione legate alla geografia e al tempo”.

BVLOS (Beyond Visual line of Sight) è consentito in categorie specifiche e certificate, a seconda del risk assessment.

Categoria certificata (Certified Category) – Droni civili

Nella categoria certificata, i droni sono certificati, gli operatori ricevono un certificato e il pilota ha una licenza. Questo è molto simile ai voli dell’aviazione con equipaggio. Le operazioni certificate sono state classificate in 3 tipologie:

• Operazioni di tipo 1– Instrument flight rules (IFR) operazioni per droni che trasportano merci nelle classi di spazio aereo A–C (ICAO airspace classification) e decollano e/o atterrano negli aeroporti che rientrano nel regolamento di base.
• Operazioni di tipo 2 – droni che decollano e/o atterrano in ambienti congestionati utilizzando rotte predefinite nello spazio aereo U-space. Questi includono le operazioni di aeromobili VTOL (Vertical Take-Off and Landing) senza equipaggio che trasportano passeggeri (ad esempio aerotaxi) o merci (ad esempio servizi di consegna di merci).
• Operazioni di tipo 3 – come per le operazioni di tipo 2 con velivoli VTOL con pilota a bordo, comprese le operazioni fuori dallo spazio aereo U-Space

Il Regolamento 2019/ 945 stabilisce i requisiti per la progettazione e la fabbricazione di sistemi aeronautici senza equipaggio (UAS) destinati a essere utilizzati secondo le regole e le condizioni definite nel regolamento di esecuzione (UE) 2019/947 e di componenti aggiuntivi per l’identificazione a distanza. Definisce inoltre il tipo di UAS la cui progettazione, produzione e manutenzione sarà oggetto di certificazione. Stabilisce norme sulla messa a disposizione sul mercato di UAS, kit di accessori e componenti aggiuntivi per l’identificazione a distanza e sulla loro libera circolazione nell’Unione.

Il presente regolamento, infine, fissa anche le norme per gli operatori UAS di paesi terzi, quando effettuano un’operazione UAS ai sensi del regolamento di esecuzione (UE) 2019/947 all’interno del single European sky airspace.

Figure 1 – Categoria Open, Specific e Certified

L’immagine mostra chiaramente come vengono identificate le operazioni. Con questo nuovo regolamento, il fatto che si stia pilotando un UAS (Unmanned Aircraft System) per motivi di lavoro o hobby non è più rilevante, conta solo se ciò che stai facendo può essere in qualche modo pericoloso.

JARUS

Le Joint Authority for Rulemaking on Unmanned Systems (JARUS) sono un gruppo di esperti di 60 autorità aeronautiche nazionali mondiali (NAA) e 2 organizzazioni regionali per la sicurezza aerea (EASA ed EUROCONTROL), il cui obiettivo è sviluppare regole armonizzate per gli UAS. Il concetto di regolazione incentrata sulle operazioni con le tre categorie (aperta, specifica e certificata) è stato sviluppato all’interno delle categorie JARUS.

La missione di JARUS è sviluppare requisiti tecnici e operativi per il funzionamento sicuro, protetto ed efficiente degli UAS, per fungere da riferimento comune per l’uso nei rispettivi regolamenti e linee guida dei membri JARUS, facendolo in modo efficace ed efficiente, evita la duplicazione di sforzi con altre organizzazioni aeronautiche internazionali.

JARUS è responsabile dello sviluppo della metodologia per Specific Operations Risk Assessment (SORA). È stato approvato dall’Agenzia europea per la sicurezza aerea (EASA) come mezzo di conformità accettabile (AMC) per soddisfare i requisiti dei regolamenti europei UAS (Basic Regulation, Implementing Act, Delegated Act e Annexes).

EUROCONTROL

Nell’ambito delle proprie attività volte all’integrazione sicura degli UAS, EUROCONTROL ha condotto diversi webinar basati su alcuni temi caldi nel dominio UAS, con la partecipazione delle parti interessate più rilevanti nelle diverse sessioni. L’obiettivo di questi webinar era quello di sviluppare linee guida che non fossero direttamente correlate a un particolare regolamento.

EUROCAE (European Organisation for Civil Aviation Equipment)

EUROCAE è il leader europeo nello sviluppo di standard industriali riconosciuti a livello mondiale per l’aviazione. EUROCAE sviluppa standard per l’industria che:

• si basano sull’esperienza all’avanguardia dei suoi membri affrontando le slide globali dell’aviazione;
• sono idonei allo scopo per essere adottati a livello internazionale;
• supportano i processi operative, di sviluppo e normativi.

Regolamento italiano

Regolamento UAS-IT: integrazione di ENAC al regolamento droni EASA

Il 1° gennaio 2021 è entrato in vigore il Regolamento UAS-IT, che disciplina gli aspetti di competenza dell’Autorità nazionale per le operazioni con droni che non rientrano nelle disposizioni del Regolamento di esecuzione (UE) 2019/497.

Requisiti del pilota

In termini pratici il regolamento UAS-IT, ad una prima lettura, non fa altro che ribadire ciò che è già contenuto nel regolamento europeo in quanto non aggiunge nessun requisito aggiuntivo per il pilota di droni che opera nelle Open Category, per i droni privi di marcatura CE.

Rimangono validi i requisiti relativi ad altezza, distanza da infrastrutture e persone non informate.

Assicurazione

Secondo l’art. 27 dell’UAS-IT non è consentito condurre operazioni con un UAS se un’assicurazione relativa alla responsabilità verso terzi, adeguata allo scopo e con massimali non inferiori ai parametri minimi di cui alla tabella dell’art. 7 del Regolamento (CE) 785/2004.

Registrazione

Secondo quanto previsto dal regolamento di cui all’art. 6, gli operatori UAV sono tenuti a registrarsi sul portale D-Flight, anche ai fini dell’identificazione e imputazione di responsabilità civile e penale, e ad apporre il codice identificativo QR sull’UAV.

Sicurezza

La sicurezza riguarda il contrasto di tutte le azioni dolose intraprese per compiere un attacco deliberato attraverso l’utilizzo di un UAV: un’area in cui ricade il terrorismo, ad esempio. Ma anche spionaggio, aggressione, utilizzo dell’UAV per testare le difese di una struttura per poi compiere atti illeciti come intrusioni, furti, danneggiamenti. È chiaro che le leggi possono fare poco contro le operazioni illecite e criminali, ma il Regolamento ENAC ha alcune disposizioni per complicare l’uso degli UAV per scopi illegali. Il principale è l’articolo 33, che tratta esplicitamente di Sicurezza.

Sicurezza del radio link

Contrastare le minacce alla sicurezza comporta anche obblighi e doveri nei confronti del Pilota e dell’Operatore. A partire dall’obbligo di protezione del radio link, cioè del collegamento tra il drone e la radio, previsto dall’art. 33 comma 1:

“L’operatore deve adottare misure adeguate per proteggere gli UAS per prevenire atti illeciti durante le operazioni anche al fine di prevenire l’interferenza volontaria del radio link“.

Le minacce a cui fa riferimento questo paragrafo sono essenzialmente due: da una parte il cosiddetto “drone Hijack”, il dirottamento del drone, ovvero la possibilità che un malintenzionato si impossessi del nostro UAS per compiere azioni illegali.

Dall’altra parte, invece, l’accesso abusivo ai dati trasmessi a terra dai SAPR: immaginiamo il caso di svolgere un’operazione specializzata per conto di un’azienda che ha segreti industriali da proteggere. Ovviamente avremo firmato stringenti accordi di riservatezza, ma un malintenzionato potrebbe essere in grado di ricevere il video link di ritorno del nostro UAV e quindi rubare informazioni riservate. Per ottemperare alle prescrizioni del comma, l’operatore e il pilota devono proteggere in ogni modo il radio link di controllo e ritorno, installando eventuali patch e aggiornamenti di sicurezza, utilizzando connessioni crittografate ove possibile e proteggendo la chiave per decrittografarle.

Proteggere l’area delle operazioni

Se il primo comma dell’articolo 33 riguarda la protezione del collegamento radio, ovvero dei collegamenti radio, dati e di controllo, tra l’UAV e la stazione di terra, il secondo comma riguarda le intrusioni meno sofisticate e tecnologiche ma non per questo meno pericolose:

“L’operatore deve stabilire procedure per impedire l’accesso di personale non autorizzato all’area operativa, alla stazione di controllo e per lo stivaggio del sistema.”

Il significato è chiaro: non c’è bisogno di hackerare una connessione radio se si può facilmente ottenere la stessa cosa rubando l’hard disk dove abbiamo registrato i dati della missione. E se i malintenzionati possono entrare, possono anche rubare l’UAV e la radio e fare quello che vogliono. Il secondo comma ci invita essenzialmente, anzi ci obbliga, a monitorare e proteggere le nostre apparecchiature, poiché ci sono casi in cui una possibile intrusione non danneggia solo noi, ma potenzialmente l’intera comunità.

Conclusioni

Pur riconoscendo i benefici a livello sociale ed economico dell’uso civile dei droni e il loro potenziale in termini di crescita, è necessario porre l’attenzione sulle minacce e sui rischi per la protezione dei dati e la propria privacy derivanti da un impiego su larga scala della tecnologia dei droni e valutare le misure necessarie per garantire il rispetto di tutti i diritti fondamentali coinvolti.

Concludendo, la continua evoluzione tecnologica ha portato ad una progressiva trasformazione normativa ed è quindi importante informarsi su tutte le novità introdotte nei regolamenti italiani ed europei consentendoci di utilizzare il drone per essere in regola e quindi per agire in sicurezza.

Articolo a cura di Domenico Raguseo, Rosita Galiandro, Giuseppe Marullo e Antonio De Chirico

Rosita Galiandro ha conseguito la laurea Magistrale in Sicurezza Informatica presso l’Università di Bari.

Attualmente ricopre il ruolo di Responsabile Osservatorio CyberSecurity presso Exprivia.

Contribuisce alle attività di prevendita, ha partecipato a progetti di risk assessment e GDPR compliance e collabora in piani di insegnamento con diverse università nell’ambito CyberSecurity e nel progetto CyberChallenge.IT. Fa parte della community Women For Security.

https://www.ictsecuritymagazine.com/articoli/la-cybersecurity-per-i-droni/

For the past four months, Apple’s iOS and iPadOS devices and Safari browser have violated one of the Internet’s most sacrosanct security policies. The violation results from a bug that leaks user identities and browsing activity in real time.

The same-origin policy is a foundational security mechanism that forbids documents, scripts, or other content loaded from one origin—meaning the protocol, domain name, and port of a given webpage or app—from interacting with resources from other origins. Without this policy, malicious sites—say, badguy.example.com—could access login credentials for Google or another trusted site when it’s open in a different browser window or tab.

Obvious privacy violation

Since September’s release of Safari 15 and iOS and iPadOS 15, this policy has been broken wide open, research published late last week found. As a demo site graphically reveals, it’s trivial for one site to learn the domains of sites open in other tabs or windows, as well as user IDs and other identifying information associated with the other sites.

“The fact that database names leak across different origins is an obvious privacy violation,” wrote Martin Bajanik, a software engineer at FingerprintJS, a startup that makes a device identification interface for anti-fraud purposes. He continued:

It lets arbitrary websites learn what websites the user visits in different tabs or windows. This is possible because database names are typically unique and website-specific. Moreover, we observed that in some cases, websites use unique user-specific identifiers in database names. This means that authenticated users can be uniquely and precisely identified.

Attacks work on Macs running Safari 15 and on any browser running on iOS or iPadOS 15. As the demo shows, safarileaks.com is able to detect the presence of more than 20 websites—Google Calendar, YouTube, Twitter, and Bloomberg among them—open in other tabs or windows. With more work, a real-world attacker could likely find hundreds or thousands of sites or webpages that can be detected.

When users are logged in to one of these sites, the vulnerability can be abused to reveal the visit and, in many cases, identifying information in real time. When logged in to a Google account open elsewhere, for instance, the demo site can obtain the internal identifier Google uses to identify each account. Those identifiers can usually be used to recognize the account holder.

Raising awareness

The leak is the result of the way the Webkit browser engine implements IndexedDB, a programming interface supported by all major browsers. It holds large amounts of data and works by creating databases when a new site is visited. Tabs or windows that run in the background can continually query the IndexedDB API for available databases. This allows one site to learn in real time what other websites a user is visiting.

Websites can also open any website in an iframe or pop-up window in order to trigger an IndexedDB-based leak for that specific site. By embedding the iframe or popup into its HTML code, a site can open another site in order to cause an IndexedDB-based leak for the site.

“Every time a website interacts with a database, a new (empty) database with the same name is created in all other active frames, tabs, and windows within the same browser session,” Bajanik wrote. “Windows and tabs usually share the same session, unless you switch to a different profile, in Chrome for example, or open a private window.”

Bajanik said he notified Apple of the vulnerability in late November, and as of publication time, it still had not been fixed in either Safari or the company’s mobile OSes. Apple representatives didn’t respond to an email asking if or when it would release a patch. As of Monday, Apple engineers had merged potential fixes and marked Bajanik’s report as resolved. End users, however, won’t be protected until the Webkit fix is incorporated into Safari 15 and iOS and iPadOS 15.

For now, people should be wary when using Safari for desktop or any browser running on iOS or iPadOS. This isn’t especially helpful for iPhone or iPad users, and in many cases, there’s little or no consequence of browsing activities being leaked. In other situations, however, the specific sites visited and the order in which they were accessed can say a lot.

“The only real protection is to update your browser or OS once the issue is resolved by Apple,” Bajanik wrote. “In the meantime, we hope this article will raise awareness of this issue.”

https://arstechnica.com/?p=1826566

Non c’è dubbio che gli ultimi anni siano stati forieri di grandi novità in ambito Privacy, ma il 2022 si propone già come un crocevia fondamentale per una serie di questioni di importanza vitale per le aziende, locali ed internazionali ed un anno di passaggio verso l’avvento di ulteriori importanti normative.

Un anno, forse l’ultimo utile, per pianificare il cambiamento aziendale e prepararsi ai nuovi paradigmi che dovremo affrontare nel breve-medio periodo, e un anno in cui avvalersi di esperti di Trasformazione Digitale e Legal-Tech per mettere in pratica il cambiamento necessario.

Ma quali sono i principali Trend che ci troveremo ad affrontare? Eccone alcuni che non possiamo sottovalutare!

L’aumento dello scrutinio intorno al ransomware e ad altri attacchi informatici

Il 2022 probabilmente porterà con sé un’azione continua da parte dei governi per affrontare le questioni relative non solo al Ransomware e ai Cryptolocker, un fenomeno in continua ascesa, quanto alle problematiche connesse ai pagamenti dei riscatti, compreso il ruolo delle criptovalute e la necessità di informazione/cooperazione con le forze dell’ordine prima di effettuare un pagamento di riscatto. Non così distante l’ipotesi, ventilata già negli Statu Uniti, di sanzioni commerciali alle realtà che decideranno di pagare, incentivando in questo modo la pratica, in modo non dissimile dalle norme che regolano il pagamento di riscatti in caso di rapimenti.

Ci si aspetta inoltre un’ulteriore collaborazione tra i governi per coordinare l’abbattimento delle grandi “gang” di ransomware, divenute già un problema se non globale sicuramente transnazionali, oltre ad un continuo progressivo irrigidimento del mercato delle assicurazioni informatiche, che è già iniziato nell’UE, rendendo l’ottenimento di nuove polizze informatiche più difficile e il premio di base più costoso, offrendo al contempo una copertura meno completa, compresa la richiesta agli assicurati di corrispondere ogni somma pagata per un riscatto.

Le aziende devono essere sempre più pronte a rispondere ad un evento di data-breach, sia con policy ad hoc, sia istituendo esercitazioni e procedure, sia creando un apposito comitato di crisi pronto all’occorrenza. Anche le coperture assicurative e legali vanno modulate per essere in linea con le nuove sfide.

Maggiori obblighi di conformità alla privacy negli Stati Uniti e all’estero

La Privacy si sta spostando dall’essere un “problema” precipuamente europeo-centrico all’essere una questione globale, con differenze sottili – ma sostanziali – in varie giurisdizioni.

È il momento, oltre al GDPR, del California Privacy Rights Act (CPRA), il Virginia Consumer Data Privacy Act (VCDPA) e il Colorado Privacy Act (ColoPA) che entreranno in vigore nel 2023, e di più di una dozzina di altri stati americani che proporranno leggi statali sulla privacy nel 2022, il che significherà una maggiore complessità sul fronte della conformità per le aziende che operano negli Stati Uniti.

Inoltre, per quelle aziende che operano globalmente, altre necessità diventano impellenti: dovranno infatti continuare ad allineare le loro operazioni con la legge cinese sulla protezione dei dati personali (PIPL) e la Lei Geral de Proteção de Dados Pessoais (LGPD) del Brasile, dovranno iniziare ad apportare le modifiche necessarie per allinearsi al Quebec Bill 64 (An Act to Modernize Legislative Provisions as regards the Protection of Personal Information) che entrerà in vigore in tre fasi nei prossimi tre anni e include sanzioni simili al GDPR e dovranno stare in guardia per le nuove leggi sulla privacy nel Regno Unito, India, Australia e Canada.

Le aziende devono quindi dotarsi di frameworks flessibili di gestione dei consensi e dei trattamenti in grado di operare in un contesto internazionale, e di realtà consulenziali che possano assisterle al meglio nella implementazione legale-tecnologica dei regolamenti.

Aumento delle restrizioni sui trasferimenti di dati transfrontalieri

I paesi di tutto il mondo stanno diventando sempre più restrittivi per quanto riguarda il movimento e il trasferimento dei dati personali. Il 2022 porterà probabilmente ulteriori restrizioni (e in alcuni casi divieti) sulla capacità di trasferire i dati personali al di fuori dei confini di taluni Paesi.

Ci si attende di vedere una legislazione e una regolamentazione più orientata al territorio e alla sovranità digitale, e meno armonizzazione intorno agli standard di trasferimento transfrontaliero della privacy dei dati da e verso la UE, dove la regolamentazione restrittiva dei trasferimenti di dati transfrontalieri ha probabilmente raggiunto il suo picco. Ci si attende inoltre una una maggiore applicazione di queste regole, ma forse anche un percorso più strutturato per gli scambi di dati tra differenti “silos” regionali, con una serie di Privacy Shield tra grandi macro realtà. Questo per lo meno fino a quando il “signor Schrems” deciderà (se mai lo farò) di tornare sul palco.

Per non restituire un quadro però troppo severo è da sottolineare che il tema è comunque rilevante anche come impegno da parte dei differenti stati, come dimostra ad esempio l’adozione della decisione di adeguatezza per i trasferimenti dati da UE a South Corea dello scorso dicembre.

Per venire incontro a queste mutate necessità e paradigmi di silos di dati è assolutamente fondamentale che le aziende che implementano repository più o meno complessi si muovano per tempo per trovare architetture tecniche, legali e infrastrutturali che possano supportarle in un mondo multi-tenant di dati. E la soluzione arriva ancora una volta dal connubio legal-tech.

Più normative (e più severe) sulla disclosure dei breach di sicurezza

Le agenzie governative probabilmente emetteranno regolamenti più specifici e requisiti più stringenti in merito all’obbligo di segnalazione delle violazioni, compresa l’emanazione di norme e tempistiche più severe per la notifica alle autorità di incidenti significativi di cybersecurity. Le aziende che non hanno adeguatamente divulgato i rischi e rispettato i requisiti di notifica saranno sicuramente bersaglio di azioni di sanzione e condanna, soprattutto in virtù del fatto che sempre più governi cercano usare “casi esemplari” per convincere alla adozione di misure significative di gestione del rischio. Non solamente questo, ma soprattutto in UE, ci si deve aspettare maggiore ingerenza dei Comitati centrarli per “scavalcare” le autorità nazionali per la protezione dei dati se le sanzioni di tali autorità sembrassero essere insufficienti.

Ancora una volta le aziende devono prepararsi per tempo, con metodologie e esercitazioni, a gestire efficacemente e in tempi ristrettissimi le normative sempre più stringenti di comunicazione dei breach, avvalendosi non solo di professionalità adeguate in caso di breach, ma preparandosi per tempo con esercitazioni specifiche, policy e linee guida operative.

Maggiore attenzione su AdTech, Advertising e Data Monetization

I regolatori e i media esamineranno sempre più da vicino l’uso di AdTech, tecnologia per tracciare e profilare gli utenti online a fine pubblicitario, ed oltre alla “prima ondata” di compliance con le implementazioni relative ai Cookies, il 2022 dovrebbe anche portare una maggiore attenzione da parte delle aziende AdTech ad abbracciare modelli di business orientati alla privacy nel tentativo di affrontare le mutevoli aspettative ed esplorare tecnologie.

Non solo abbracciare tecnologie nuove (come blockchain, tokenization, e algorithmic audience) progettate per diminuire la quantità di dati personali che raccolgono e trasmettono., ma anche comprendere come sfruttare al meglio la “crisi” del passato per abbracciare il futuro di Data Monetization (monetizzazione delle abitudini, dei comportamenti e dei dati degli utenti) che già grandi realtà si stanno preparando a cavalcare.

E se il Regolamento ePrivacy dell’UE verrà finalizzato nel 2022, le aziende dovranno prepararsi per la sua – rivoluzionaria – entrata in vigore due anni dopo, cioè al più presto nel 2024.

In questo caso le aziende dovranno approntare un cambiamento epocale nella gestione dei flussi informativi per pubblicità, marketing e monetizzazione, andando ad approcciare nuovi modelli di business basati sulla monetizzazione dei dati, con relative verifiche preliminari di conformità e interazione tecnologica/legale.

Un anno quindi di fondamentali punti da smarcare in ambito aziendale, che vedono sempre più preponderanti le interazioni tra mondo legale e mondo tecnologico, che paiono non essere più in alcun modo svincolabili e che necessitano di figure preparate in entrambi. Mai come in questi prossimi anni la parola legal-tech sarà sulla bocca della consulenza, perché solo da questo paradigma si potranno sviluppare le strategie di business vincenti per svoltare (in meglio) gli obiettivi aziendali alla luce dei cambiamenti all’orizzonte.

https://www.key4biz.it/privacy-quali-sfide-e-quali-trend-per-il-2022/387926/

Apple has allowed app developers to collect data from its 1 billion iPhone users for targeted advertising, in an unacknowledged shift that lets companies follow a much looser interpretation of its controversial privacy policy.

In May Apple communicated its privacy changes to the wider public, launching an advert that featured a harassed man whose daily activities were closely monitored by an ever-growing group of strangers. When his iPhone prompted him to “Ask App Not to Track,” he clicked it and they vanished. Apple’s message to potential customers was clear—if you choose an iPhone, you are choosing privacy.

But seven months later, companies including Snap and Facebook have been allowed to keep sharing user-level signals from iPhones, as long as that data is anonymised and aggregated rather than tied to specific user profiles.

For instance Snap has told investors that it plans to share data from its 306 million users—including those who ask Snap “not to track”—so advertisers can gain “a more complete, real-time view” on how ad campaigns are working. Any personally identifiable data will first be obfuscated and aggregated.

Similarly, Facebook operations chief Sheryl Sandberg said the social media group was engaged in a “multiyear effort” to rebuild ad infrastructure “using more aggregate or anonymized data”.

These companies point out that Apple has told developers they “may not derive data from a device for the purpose of uniquely identifying it.” This means they can observe “signals” from an iPhone at a group level, enabling ads that can still be tailored to “cohorts” aligning with certain behavior but not associated with unique IDs.

This type of tracking is becoming the norm. Oren Kaniel, the chief executive of AppsFlyer, a mobile attribution platform that works with app developers, said that when his company introduced such a “privacy-centric” tool based on aggregated measurement in July 2020, “the level of pushback that we received from the entire ecosystem was huge.”

But now such aggregated solutions are the default for 95 percent of his clients. “The market changed their minds in a radical way,” he said.

It is not clear whether Apple has actually blessed these solutions. Apple declined to answer specific questions for this article but described privacy as its North Star, implying it was setting a general destination rather than defining a narrow pathway for developers.

Cory Munchbach, chief operating officer at customer data platform BlueConic, said Apple had to stand back from a strict reading of its rules because the disruption to the mobile ads ecosystem would be too great.

“Apple can’t put themselves in a situation where they are basically gutting their top-performing apps from a user-consumption perspective,” she said. “That would ultimately hurt iOS.”

For anyone interpreting Apple’s rules strictly, these solutions break the privacy rules set out to iOS users.

Lockdown Privacy, an app that blocks ad trackers, has called Apple’s policy “functionally useless in stopping third-party tracking.” It performed a variety of tests on top apps and observed that personal data and device information is still “being sent to trackers in almost all cases.”

But the companies aggregating user-level data said the reason apps continue to “leak” information such as a user’s IP address and location was simply because some require such information to function. Advertisers must know certain things such as the user’s language or the device screen size, otherwise the app experience would be awful.

The risk is that by allowing user-level data to be used by opaque third parties so long as they promise not to abuse it, Apple is in effect trusting the very same groups that chief executive Tim Cook has lambasted as “hucksters just looking to make a quick buck.”

Companies will pledge that they only look at user-level data once it has been anonymized, but without access to the data or algorithms working behind the scenes, users won’t really know if their data privacy has been preserved, said Munchbach.

“If historical precedent in adtech holds, those black boxes hide a lot of sins,” she said. “It’s not unreasonable to assume it leaves a lot to be desired.”

© 2021 The Financial Times Ltd. All rights reserved Not to be redistributed, copied, or modified in any way.

https://arstechnica.com/?p=1818800

At the end of April, Apple’s introduction of App Tracking Transparency tools shook the advertising industry to its core. iPhone and iPad owners could now stop apps from tracking their behavior and using their data for personalized advertising. Since the new privacy controls launched, almost $10 billion has been wiped from the revenues of Snap, Meta Platform’s Facebook, Twitter, and YouTube.

Now, a similar tool is coming to Google’s Android operating system—although not from Google itself. Privacy-focused tech company DuckDuckGo, which started life as a private search engine, is adding the ability to block hidden trackers to its Android app. The feature, dubbed “App Tracking Protection for Android,” is rolling out in beta from today and aims to mimic Apple’s iOS controls. “The idea is we block this data collection from happening from the apps the trackers don’t own,” says Peter Dolanjski, a director of product at DuckDuckGo. “You should see far fewer creepy ads following you around online.”

The vast majority of apps have third-party trackers tucked away in their code. These trackers monitor your behavior across different apps and help create profiles about you that can include what you buy, demographic data, and other information that can be used to serve you personalized ads. DuckDuckGo says its analysis of popular free Android apps shows more than 96 percent of them contain trackers. Blocking these trackers means Facebook and Google, whose trackers are some of the most prominent, can’t send data back to the mothership—neither will the dozens of advertising networks you’ve never heard of.

From a user perspective, blocking trackers with DuckDuckGo’s tool is straightforward. App Tracking Protection appears as an option in the settings menu of its Android app. For now, you’ll see the option to get on a waitlist to access it. But once turned on, the feature shows the total number of trackers blocked in the last week and gives a breakdown of what’s been blocked in each app recently. Open up the app of the Daily Mail, one of the world’s largest news websites, and DuckDuckGo will instantly register that it is blocking trackers from Google, Amazon, WarnerMedia, Adobe, and advertising company Taboola. An example from DuckDuckGo showed more than 60 apps had tracked a test phone thousands of times in the last seven days.

My own experience bore that out. Using a box-fresh Google Pixel 6 Pro, I installed 36 popular free apps—some estimates claim people install around 40 apps on their phones—and logged into around half of them. These included the McDonald’s app, LinkedIn, Facebook, Amazon, and BBC Sounds. Then, with a preview of DuckDuckGo’s Android tracker blocking turned on, I left the phone alone for four days and didn’t use it at all. In 96 hours, 23 of these apps had made more than 630 tracking attempts in the background.

Using your phone on a daily basis—opening and interacting with apps—sees a lot more attempted tracking. When I opened the McDonald’s app, trackers from Adobe, cloud software firm New Relic, Google, emotion-tracking firm Apptentive, and mobile analytics company Kochava tried to collect data about me. Opening the eBay and Uber apps—but not logging into them—was enough to trigger Google trackers.

https://arstechnica.com/?p=1814467