Il provvedimento del Garante

Ad ognuno di noi è riconosciuto il diritto di decidere quali dati siano o meno accessibili, all’interessato o al medico, sul proprio fascicolo sanitario elettronico o FSE, è quanto prevede la normativa stessa che regola l’utilizzo dello strumento digitale che di fatto contiene tutta la storia del nostro stato di salute.

Il Garante per la protezione dei dati personali ha voluto ribadire questo diritto di oscuramento dei dati, che “è esercitabile al momento in cui sono generati i referti o successivamente”, intervenendo in alcuni casi specifici di mancato rispetto della richiesta da parte di due aziende sanitarie locali in Romagna e in provincia di Trento.

Ricordiamo che le informazioni presenti nel Fascicolo del cittadino sono fornite e gestite dalle singole regioni.

L’incidente informatico e il caso dell’azienda sanitaria di Trento

Il Garante della privacy è dovuto intervenire, ad esempio, per il caso che ha riguardato l’Azienda Provinciale per i Servizi Sanitari di Trento, che ha notificato al Garante una violazione di dati personali per aver messo a disposizione ai medici di famiglia, “per errore”, 293 referti di 175 pazienti, tra cui 2 minorenni e alcune donne sottoposte ad interruzione di gravidanza, “sebbene questi avessero esercitato il diritto di oscuramento nei confronti di tali documenti”.

In questo caso, si legge in un comunicato dell’Autorità, “la violazione è risultata imputabile esclusivamente ad un errore del software, che non ha associato ai documenti la richiesta di oscuramento, correttamente inserita dagli operatori sanitari nel Sistema informativo ospedaliero. In questo caso la sanzione è stata di 150.000 euro”.

Nel definire gli importi delle sanzioni, il Garante ha comunicato di aver tenuto conto di diversi elementi di mitigazione dell’azione, “come il carattere non episodico delle violazioni, il numero e le caratteristiche delle persone interessate, le precedenti violazioni compiute, ma anche il comportamento collaborativo delle aziende sanzionate”.

FSE, la versione digitale della nostra storia sanitaria personale

L’FSE, come detto, è lo strumento digitale attraverso il quale il cittadino può tracciare e consultare tutta la storia della propria vita sanitaria, da condividere, se vuole, con i professionisti sanitari per garantire un servizio più efficace e sicuro.

Ad oggi, secondo dati del ministero della Salute, sono stati attivati in tutta Italia oltre 52,7 milioni di fascicoli sanitari elettronici, per la digitalizzazione di 327,5 milioni di referti ospedalieri e medico-sanitari.

All’interno dell’FSE finiscono anche le vaccinazioni. Nello specifico, la Scheda della singola Vaccinazione è il documento che attesta l’avvenuta somministrazione della/le vaccinazione/i somministrate all’assistito in una certa data, mentre il Certificato Vaccinale è la certificazione di tutti i vaccini somministrati all’assistito.

https://www.key4biz.it/fse-garante-privacy-il-paziente-ha-il-diritto-di-scegliere-quali-dati-oscurare/369162/

Negli ultimi tempi il richiamo alle certificazioni e agli accreditamenti è all’ordine del giorno ma spesso la scarsa conoscenza porta estrema confusione e incertezza.

L’Autorità Garante per la Protezione dei Dati Personali e Accredia hanno pubblicato delle FAQ dedicate agli aspetti generali, una guida per i Titolari e i Responsabili del trattamento dei dati, in ambito pubblico e privato, che desiderano una certificazione per dimostrare il loro impegno nel rispetto degli obblighi di protezione dei dati personali in conformità con la normativa europea.

L’Art. 42, paragrafo 1, del GDPR prevede che siano accreditati dall’autorità di controllo competente o dall’organismo nazionale di accreditamento. Ove l’accreditamento fosse effettuato dall’organismo nazionale in conformità alla norma ISO/IEC 17065/2012 vi devono essere applicati anche i requisiti aggiuntivi definiti dall’Autorità di controllo.

L’Autorità Garante e Accredia hanno sintetizzato in 12 punti gli aspetti fondamentali:

1. Che cos’è la certificazione?

La certificazione è una attestazione rilasciata da un organismo di certificazione relativa a un oggetto (prodotto, processo, servizio, persona o sistema) sottoposto a valutazione della conformità rispetto a requisiti contenuti in una norma tecnica (standard) o in un disciplinare specifico.

2. Che cos’è l’accreditamento?

L’attività di accreditamento è disciplinata a livello europeo e internazionale, rispettivamente, dal Regolamento (CE) n. 765/2008 e dalla norma tecnica ISO/IEC 17011, e in Italia è svolta da Accredia, l’ente unico nazionale designato dal Governo. Si tratta di un’attestazione di conformità.

3. I vantaggi della certificazione

La certificazione consente di distinguersi nel mercato su tre aspetti:

• ambito organizzativo relativamente alle proprie risorse;
• capacità di ottenere e mantenere la conformità del servizio o prodotto relativamente agli standard specificati;
• possesso delle conoscenze e competenze.

L’accreditamento può dare l’opportunità, altresì, di soddisfare i requisiti previsti in bandi di gara predisposti dalle stazioni appaltanti.

4. Quali sono i vantaggi della certificazione ai sensi del GDPR?

La certificazione rappresenta uno strumento utile per i titolari e i responsabili del trattamento a dimostrare il rispetto degli obblighi, le garanzie sufficienti e la conformità ai requisiti di protezione dei dati.

5. Quali i soggetti coinvolti?

I soggetti coinvolti possono essere:

– l’azienda il soggetto pubblico che richiede la certificazione;

– l’organismo di certificazione (OdC) accreditato che rilascia i certificati sulla base dei risultati di verifiche, e vigila sulla corretta gestione dei certificati;

• l’ente di accreditamento che accredita gli enti di certificazione e controlla periodicamente il mantenimento dei requisiti.
• Cosa posso certificare in materia di protezione dei dati personali?

In base a quanto previsto dal Regolamento Generale per la Protezione dei Dati Personali (GDPR), e alla luce delle linee-guida 1/2018 dell’EDPB (European Data Protection Board) in materia, l’oggetto della certificazione è un trattamento di dati personali. Tuttavia, la definizione di “trattamento” di dati personali è abbastanza ampia, anche l’oggetto della certificazione può variare in misura considerevole e può comprendere una sola operazione di trattamento (es. la conservazione di dati personali) ovvero più operazioni di trattamento (es. raccolta, conservazione, messa a disposizione) svolte dal titolare o dal responsabile del trattamento.

Ove il trattamento comporti un servizio o un prodotto, la certificazione può avere come oggetto il servizio e/o il prodotto (es. il servizio di gestione del personale di un’azienda). È importante sottolineare che la certificazione non può avere ad oggetto il solo prodotto (es. software), ma quest’ultimo deve essere parte integrante di un trattamento unitario svolto dal Titolare o dal responsabile (es. il trattamento dei dati dei dipendenti svolto dal datore di lavoro in quanto titolare attraverso il suddetto software, che quindi diviene oggetto della certificazione).

• Cos’è un sigillo europeo?

Un sigillo europeo è uno schema sviluppato per essere utilizzato in tutti gli Stati membri dell’Unione europea e per poter fare ciò deve essere adattabile in modo da tenere conto delle diverse normative nazionali di settore.

• Il Garante può rilasciare certificazioni secondo il GDPR?

Seppur il Regolamento Generale per la Protezione dei Dati Personali (GDPR) prevede questa possibilità, ad oggi, il Garante per la Protezione dei Dati Personali (GPDP) non rilascia certificazioni.

• Chi può richiedere una certificazione ai sensi del GDPR?

Qualsiasi ente o azienda, o soggetto interessato, in qualità di titolare e/o responsabile del trattamento di dati personali può richiedere una certificazione al fine di dimostrare la conformità dei trattamenti ai sensi del GDPR.

1. A chi bisogna rivolgersi?

Per ottenere una certificazione approvata dall’autorità di controllo italiana occorre rivolgersi agli organismi di certificazione (OdC) accreditati da Accredia.

1. La certificazione può essere sospesa o revocata?

Può essere revocata o sospesa nel momento in cui vengono a mancare i requisiti e le condizioni specificate. La sospensione può essere applicata anche nel caso in cui devono essere messe in atto misure correttive. La revoca della certificazione o riduzione del campo di applicazione della certificazione avviene qualora l’organizzazione certificata non ottemperi alla pianificazione delle azioni necessarie a ripristinare la conformità dei trattamenti.

Anche il Garante per la protezione dei dati personali può revocare o ingiungere gli enti di accreditamento di non rilasciare la certificazione qualora non siano rispettati i requisiti previsti dalla norma.

12. La certificazione secondo la norma tecnica UNI 11697:2017 può essere definita una certificazione al GDPR?

La norma UNI 11697:2017 “Attività professionali non regolamentate – Profili professionali relativi al trattamento e alla protezione dei dati personali – Requisiti di conoscenza, abilità e competenza”,  prevede rispettivamente, i requisiti di competenza e le regole per la valutazione della conformità di alcune figure professionali che operano nel settore del trattamento e della protezione dei dati personali, quali Responsabile della protezione dei dati, Manager Privacy, Specialista Privacy e Valutatore Privacy.

Di conseguenza non può certificare un servizio o un prodotto e non rientra nelle certificazioni annoverate dall’art. 42 del GDPR; può rappresentare, tuttavia, un titolo ulteriore.

https://www.key4biz.it/garante-privacy-e-accredia-guida-alla-certificazione-privacy-i-12-punti-fondamentali/368586/

Il ruolo del medico competente all’interno dell’organigramma privacy di un’azienda non è sempre questione di immediata risoluzione, nonostante il recente intervento del Garante volto proprio a fare chiarezza sul tema.

Il grado di complessità nell’individuazione della qualifica di tale figura può dipendere dalla tipologia di rapporto contrattuale instauratosi tra i principali attori coinvolti a diverso titolo nell’attività di sorveglianza sanitaria in favore dei dipendenti.

<!-- LARGE RECTANGLE POST - CORPO TESTO

Una particolare casistica

In ambito di medicina del lavoro, infatti, non di rado accade che ai tipici soggetti coinvolti nell’attività di sorveglianza sanitaria (datore di lavoro e medico competente, ciascuno entro i limiti stabiliti dalla normativa) se ne aggiunga un terzo, con un ruolo di primaria importanza nel trattamento dei dati personali riferibili ai dipendenti sottoposti a sorveglianza sanitaria: la struttura sanitaria privata/società specializzata in erogazione di servizi di medicina del lavoro, che offre al datore di lavoro una più o meno vasta gamma di servizi di consulenza nell’ambito della medicina del lavoro, e nella cui organizzazione si inserisce il medico competente, quest’ultimo formalmente nominato dal datore di lavoro ma contrattualmente legato alla struttura sanitaria.

Casi del genere possono presentare alcune peculiarità, tra le quali si evidenziano le seguenti:

• i medici competenti possono operare all’interno dell’organizzazione di una struttura sanitaria privata/società specializzata privata (di seguito, la “Struttura”), utilizzando locali, strumentazione informatica, software e strumenti sanitari di proprietà della stessa struttura per svolgere le attività di  sorveglianza sanitaria ex d.lgs. 81/08 in favore dei lavoratori delle aziende clienti della Struttura, nonché usufruendo di una serie di servizi effettuati dalla struttura sanitaria quali ad esempio la calendarizzazione delle visite mediche e l’effettuazione di alcuni accertamenti clinici;
• in tale contesto, i medici competenti sono legati contrattualmente alla struttura sanitaria, solitamente da un contratto di prestazione d’opera professionale, sono dunque liberi professionisti;
• dall’altra parte, le aziende (datori di lavoro):
• conferiscono alla Struttura l’incarico di svolgere varie attività rientranti nella o comunque connesse alla medicina del lavoro,
• contestualmente, nominano formalmente il medico competente, solitamente individuandoli tra i professionisti che collaborano con la Struttura.

Ebbene, in casi analoghi a quello ipotetico – ma non troppo – sopra descritto, il governo dei dati personali riferibili al lavoratore ben può essere, di fatto, in capo alla Struttura che, mediante propri dipendenti, ricopre un ruolo primario nella gestione delle informazioni, dalla fase di ricezione dei dati personali a quella di trasmissione della cartella sanitaria del lavoratore ai soggetti legittimati a riceverla secondo la normativa.

L’inserimento del medico competente in una struttura organizzata che offre servizi correlati alla medicina del lavoro, d’altra parte, consente al medico competente di concentrarsi sullo svolgimento delle attività strettamente medico-sanitarie, demandando alla struttura gli adempimenti burocratici e gestionali.  

Le linee guida del Garante

Le citate linee guida del Garante hanno evidenziato che in via generale i medici competenti nominati sono titolari del trattamento dei dati dei lavoratori sottoposti a sorveglianza sanitaria, sottolineando la circostanza che tale qualifica non deve essere ricoperta dall’azienda datore di lavoro.

Solo in un caso eccezionale, ossia quello del medico competente operante presso una struttura sanitaria pubblica che svolge sorveglianza sanitaria presso le aziende, si configurerebbero ruoli diversi, e cioè: struttura sanitaria pubblica titolare del trattamento e medico competente soggetto autorizzato.

Tale eccezione, però, non sarebbe fondata sulla diversa organizzazione del soggetto che svolge attività di sorveglianza sanitaria, bensì sulle circostanze che i) tale organizzazione faccia riferimento ad un soggetto di natura pubblica, e che ii) vi sia una legge di riferimento che attribuisce alle strutture sanitarie pubbliche un proprio servizio di medicina del lavoro. Per tali motivi, difficile poter ragionare per analogia applicando la medesima soluzione alle strutture private specializzate in medicina del lavoro.

Quali opzioni alternative?

Ci si chiede, dunque, se il criterio fattuale e il ruolo delle parti nel governo dei dati personali del lavoratore possano giustificare un (parziale) discostamento da quanto indicato dal Garante, attribuendo alla struttura/società privata specializzata in medicina del lavoro un ruolo preminente nel trattamento dei dati dei lavoratori sottoposti a sorveglianza sanitaria, non per forza coincidente con quello di responsabile del trattamento per conto del medico competente, soluzione quest’ultima la cui implementazione potrebbe dar luogo a difficoltà pratiche nella gestione dei rapporti.

A seconda delle circostanze del caso concreto, si ritiene che la risposta possa essere affermativa. Fermo restando che trattasi di un ambito in cui le modalità di trattamento dei dati personali sono pressoché individuate dalla normativa applicabile.

https://www.key4biz.it/protezione-dei-dati-personali-e-ruolo-del-medico-competente-unindividuazione-univoca/366754/

Il Trasferimento internazionale di dati in base al GDPR

Il Regolamento (UE) 2016/679 sulla protezione dei dati personali (noto come “GDPR”) contiene al Capo IV (rubricato “trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali”) una dettagliata disciplina normativa sul trasferimento dei dati al di fuori dei paesi dell’Unione europea che, prevede che “qualunque trasferimento di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento verso un paese terzo o un’organizzazione internazionale”[…] ha luogo soltanto se il titolare del trattamento e il responsabile del trattamento rispettano le condizioni di cui al presente capo, fatte salve le altre disposizioni del presente regolamento” (art. 44 GDPR).

In forma estremamente schematica, si possono trasferire dati fuori dallo spazio UE sulla base di una decisione di adeguatezza (art. 45 GDPR: “il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale è ammesso se la Commissione ha deciso che il paese terzo, un territorio o uno o più settori specifici all’interno del paese terzo, o l’organizzazione internazionale in questione garantiscono un livello di protezione adeguato. In tal caso il trasferimento non necessita di autorizzazioni specifiche”), se il trasferimento è soggetto a garanzie adeguate (art. 46 GDPR: “il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un’organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi”), in base alle norme vincolanti d’impresa (ex art. 47 GDPR sono regole che si danno i gruppi industriali e che sono approvate espressamente dalla supervising authority della privacy interessata) o, in assenza di un’altra base giuridica pertinente tra quelle già menzionate, è ammesso il trasferimento solamente se si verificano una serie di condizioni particolari (ex art. 48 GDPR, per esempio: a) il consenso dell’interessato; il trasferimento sia necessario all’esecuzione di un contratto concluso tra l’interessato e il titolare del trattamento ovvero all’esecuzione di misure precontrattuali adottate su istanza dell’interessato, si vedano, poi, le altre fattispecie contenute nella norma) o, in via assolutamente residuale, l’art. 48 GDPR specifica che “se non è possibile basare il trasferimento su una disposizione dell’articolo 45 o 46, comprese le disposizioni sulle norme vincolanti d’impresa, e nessuna delle deroghe in specifiche situazioni a norma del primo comma del presente paragrafo è applicabile, il trasferimento verso un paese terzo o un’organizzazione internazionale sia ammesso soltanto se non è ripetitivo, riguarda un numero limitato di interessati, è necessario per il perseguimento degli interessi legittimi cogenti del titolare del trattamento, su cui non prevalgano gli interessi o i diritti e le libertà dell’interessato, e qualora il titolare e del trattamento abbia valutato tutte le circostanze relative al trasferimento e sulla base di tale valutazione abbia fornito garanzie adeguate relativamente alla protezione dei dati personali”.

<!-- LARGE RECTANGLE POST - CORPO TESTO

La Sentenza Schrems II, il USA Privacy Shield e la Nuova Decisione di Adeguatezza

Nel luglio del 2020, la Corte di giustizia dell’unione europea (d’ora in poi “CJEU”), nella nota sentenza Schrems II, ha invalidato la decisione di adeguatezza che permetteva di trasferire dati tra la UE e gli Stati uniti, nota come Privacy schield; dopo la  caducazione a opera della CJEU del Privacy shield e prima del 28 giugno 2021, permanevano in essere 13 decisioni di adeguatezza (per maggiori informazioni si visiti la pagina del Garante): il 28 giugno la Commissione europea ha adottato una decisione di adeguatezza in base alla quale si possono trasferire liberamente dati personali con il Regno unito per un periodo di quattro anni e soggetto a revisione (“personal data can now flow freely from the European Union to the United Kingdom where it benefits from an essentially equivalent level of protection to that guaranteed under EU law”, press release dell’UE del 28 giugno 2021).

La nuova decisione di adeguatezza con il Regno Unito si caratterizza per la presenza della cosiddetta sunset clause (in pratica, il termine finale della decisione di adeguatezza), in base alla quale la decisione di adeguatezza decadrà automaticamente dopo quattro anni dalla data della sua emanazione e non si rinnoverà automaticamente ma solamente sulla base di una nuova specifica istruttoria e “only if the UK continues to ensure an adequate level of data protection” (ibidem); la motivazione della decisione di adeguatezza è basata, inter alia, sul fatto che “the UK’s data protection system continues to be based on the same rules that were applicable when the UK was a Member State of the EU. The UK has fully incorporated the principles, rights and obligations of the GDPR and the Law Enforcement Directive into its post-Brexit legal system” (ibidem).

Tutto è bene quel che finisce Bene?

Diverse nubi già si possono scorgere sulla recente decisione di adeguatezza che permette di trasferire dati con il Regno unito: il recente report al Parlamento inglese della Taskforce on innovation, growth and regulatory reform (del maggio 2021) espressamente prevede che “we now have the opportunity to reform UK General Data Protection Regulation 2018 (GDPR) to create an even more innovative and cutting-edge business landscape and to attract the top start-ups and leaders in tech. UK tech grew dramatically in 2020, with the UK securing a record £15bn of Venture Capital investment in tech companies, the third highest rate in the world behind only the US and China, it has the potential to grow even further”.

Il Governo inglese, nell’ambito di una riorganizzazione post-Brexit, sembra maggiormente interessato ad attrarre su Londra le start up e le PMI tecnologiche (lasciando a Dublino la sede europea delle big tech americane, che possono giovarsi del fatto di avere una sede in territorio UE, all’interno di uno Stato il cui PIL è comparabile con i propri bilanci) che a rimanere allineato al GDPR (del resto Theresa May lo aveva detto chiaramente: “Brexit means Brexit”) : nelle proprie strategie pluriennali, le imprese italiane dovrebbero valutare con estrema cautela la recente decisione di adeguatezza con il Regno unito in quanto facilmente, tra quattro anni, i dati con il Regno unito potrebbero non più “flow freely”. 

https://www.key4biz.it/leuropa-e-il-trasferimento-dati-con-il-regno-unito-che-gia-appare-avere-vita-breve/366517/

Google sotto la lente dell’antitrust Ue

È ufficiale, con il caso numero AT.40670, la Commissione europea ha avviato formalmente un’indagine antitrust per valutare se Google abbia o meno violato le regole per la libera concorrenza nel mercato dell’Unione con l’obiettivo di favorire i propri servizi pubblicitari online sfruttando la grande mole di dati a sua disposizione.

In particolare, si legge nel comunicato ufficiale della Commissione, il focus dell’indagine sarà centrato anche sui tipi di servizi di inserzione pubblicitaria in rete e sulle soluzioni “ad tech”, cioè le tecnologie pubblicitarie (advertising technologies), tra cui le pubblicità comportamentali (Online Behavioural Advertising) e le offerte in tempo reale (Real Time Bidding) di programmatic advertising.

Le ad tech sono un insieme di applicativi web e mobile per la gestione delle informazioni utili alle campagne pubblicitarie, tra cui ovviamente anche i nostri dati personali. Raccolta ed elaborazione dati avvengono in completa automazione.

Grazie a questo continuo flusso di informazioni pubblicitarie, le aziende del settore individuano sempre nuovi spazi per l’advertising in rete, più rilevanti sia per il mercato, sia per i propri clienti.

Il messaggio della Commissaria Ue Vestager

La Commissione europea vuole capire se Google stia o meno distorcendo e di quanto i livelli di libera concorrenza nel mercato comune, con la conseguenza di limitare enormemente l’accesso al mercato pubblicitario e alle informazioni relative di altri attori e altre aziende.

Google ha già subito una sanzione di 220 milioni di euro in Francia, nell’ambito di un accordo con le autorità francesi di regolamentazione della concorrenza, per archiviare uno dei primi casi antitrust in cui l’azienda era stata accusata di aver abusato della propria posizione dominante nel settore della pubblicità digitale.

“I servizi pubblicitari online sono al centro del modo in cui Google e gli editori monetizzano i propri servizi online. Google raccoglie dati da utilizzare per scopi pubblicitari mirati, in tal senso vende spazi e si propone anche da intermediario online. Quindi Google è presente in quasi tutti i livelli della filiera dell’industria dei display online”, ha commentato Margrethe Vestager, vicepresidente della Commissione e Commissario per il digitale.

“Siamo preoccupati che Google abbia reso più difficile per i servizi pubblicitari online rivali competere nel mercato advertising. La parità di condizioni è essenziale per tutti supply chain dell’online display advertising. La concorrenza leale è fondamentale, sia per gli inserzionisti che devono raggiungere i consumatori, sia per gli editori che devono vendere il proprio spazio agli inserzionisti, per generare entrate e finanziamenti da investire nella produzione di sempre nuovi contenuti”, ha aggiunto la vicepresidente della Commissione Ue.

La fetta di guadagni in gioco è grande: nel 2019, la spesa per l’online display advertising nell’Unione è stata stimata in circa 20 miliardi di euro.

I presunti illeciti potrebbero riguardare la violazione delle regole per la libera concorrenza delle imprese nell’Unione e il presunto abuso di posizione dominante.

Tutelare libera concorrenza e anche la privacy

La libera concorrenza nel mercato interno dell’Unione va tutelata di pari passo alla privacy, perché alla fine si sta parlando anche di dati personali trattati dalle società del settore, tra cui Google certamente, che devono rispettare le norme previste dal Regolamento europeo per il trattamento dei dati (Gdpr).

L’indagine Ue si concentrerà soprattutto su alcuni elementi chiave per stabilire eventuali violazioni di Google, tra cui: l’obbligo per gli inserzionisti e gli editori di utilizzar i servizi di Google Display & Video o DV360 e/o Google Ads per l’acquisto di annunci display su YouTube; oppure l’obbligo per le stesse categorie di utilizzare Google Ad Manager e ulteriori potenziali limitazioni imposte dal motore di ricerca sul modo sull’acquisto di servizi concorrenti; limitazioni imposte a terzi da parte sempre di Google nell’accesso ai dati personali degli utenti, come identità, comportamento e orientamento.

In risposta all’azione intrapresa da Bruxelles, secondo quanto riportato dall’Ansa, un portavoce del gigante di internet ha commentato: “Migliaia di aziende europee utilizzano i nostri prodotti pubblicitari per raggiungere nuovi clienti e per finanziare i propri siti internet. Scelgono i nostri prodotti perché sono competitivi ed efficaci. Continueremo a confrontarci in modo costruttivo con la Commissione europea per rispondere alle richieste di chiarimento e dimostrare i benefici che i nostri prodotti portano alle aziende e ai consumatori europei“.

https://www.key4biz.it/google-ue-apre-inchiesta-antitrust-al-centro-dellindagine-non-solo-concorrenza-anche-la-privacy/365752/

Pornhub was sued yesterday by 34 women alleging that the site hosted videos without their consent and profited from other nonconsensual content involving rape, child sexual abuse, and human trafficking.

Of the victims involved in the lawsuit, 14 said they were victims of people charged with or convicted of sex crimes, and 14 said they were underage in the videos served on Pornhub.

“It is time for the companies and individuals who have profited off of nonconsensual and illegal content be held liable for their crime,” one of the plaintiffs said in a conference call reported by CNN. “I joined the lawsuit because I seek justice for myself and the countless victims who don’t come forward.”

Pornhub’s parent company, MindGeek, which owns or runs over 150 pornographic websites, was included in the lawsuit. Pornhub, which is among the largest pornography websites on the internet, drew scrutiny last December when New York Times columnist Nicholas Kristof published a feature alleging that it “monetizes child rapes, revenge pornography, spy cam videos of women showering, racist and misogynist content, and footage of women being asphyxiated in plastic bags.”

At the time, the site reportedly received 6.8 million new videos per year, making it one of the largest video platforms on the web. In the wake of Kristof’s article, MasterCard and Visa investigated the site. The announcement sent Pornhub scrambling, and within two days, the site blocked uploads by unidentified users and removed the ability to download videos (except for “paid downloads within the verified Model Program,” the site said at the time). The changes weren’t enough, though, and MasterCard and Visa both banned it from their payment networks.

Several days later, Pornhub purged millions of user-uploaded videos, representing around two-thirds of the site’s content.

In February, Pornhub announced that it had expanded moderation by relying on both software and “an extensive team of human moderators” who review every upload. It also took a page from Facebook and let nonprofit groups do some of the lifting, giving them a “trusted flagger program” that would disable videos those groups thought contained illegal content. Lastly, they began working with a third party, Yoti, to verify the identities of its users.

Despite those measures, Pornhub does not follow other standards that are followed in the more traditional pornography industry. It does not, for example, verify the ages of everyone in videos hosted on the site, nor does it confirm that they consented to the videos being taken or uploaded.

The lawsuit was filed by Brown Rudnick LLP, and several of the alleged victims who signed on were found through a site called Traffickinghub, which seeks to shut down Pornhub. The site is run by a religious organization known as Exodus Cry, and CBS News notes the group “has been criticized for its efforts to criminalize parts the sex industry and abolish pornography altogether.”

Yet Michael Bowe, the lawyer representing the women in the lawsuit, told CBS that he was not seeking to outlaw online porn but bring it in line with traditional pornography rules and regulations. “This case is not about porn, it’s about rape. This is a legitimate industry that consenting people have every right to participate in. It just needs to be done legally and not with illegal content.” he told CBS.

Yesterday’s lawsuit wasn’t the first time Pornhub has been sued for hosting videos that allegedly featured sex trafficking. In December, shortly after MasterCard and Visa began their investigations, 40 women filed a lawsuit saying they were victims of GirlsDoPorn, a company whose producers lured victims with “fake modeling ads, false promises and deceptive front companies, ultimately devolving to threats to coerce these women into making sex videos,” Acting US Attorney Randy Grossman said after a recent sentencing hearing for one of the producers and actors who was convicted of crimes associated with his work for the site. In the February lawsuit, the plaintiffs alleged that “MindGeek knew GirlsDoPorn was trafficking its victims by using fraud, coercion, and intimidation as part of its customary business practices to get the women to film the videos.”

MindGeek is also under investigation by Canada’s privacy commissioner. The inquiry came about after women filed complaints stating that Pornhub dismissed their requests to take down videos uploaded without their consent.

https://arstechnica.com/?p=1774586

Since the dawn of the iPhone, many of the smarts in smartphones have come from elsewhere: the corporate computers known as the cloud. Mobile apps sent user data cloudward for useful tasks like transcribing speech or suggesting message replies. Now Apple and Google say smartphones are smart enough to do some crucial and sensitive machine-learning tasks like those on their own.

At Apple’s WWDC event this month, the company said its virtual assistant Siri will transcribe speech without tapping the cloud in some languages on recent and future iPhones and iPads. During its own I/O developer event last month, Google said the latest version of its Android operating system has a feature dedicated to secure, on-device processing of sensitive data, called the Private Compute Core. Its initial uses include powering the version of the company’s Smart Reply feature built into its mobile keyboard that can suggest responses to incoming messages.

Apple and Google both say on-device machine learning offers more privacy and snappier apps. Not transmitting personal data cuts the risk of exposure and saves time spent waiting for data to traverse the internet. At the same time, keeping data on devices aligns with the tech giants’ long-term interest in keeping consumers bound into their ecosystems. People that hear their data can be processed more privately might become more willing to agree to share more data.

The companies’ recent promotion of on-device machine learning comes after years of work on technology to constrain the data their clouds can “see.”

In 2014, Google started gathering some data on Chrome browser usage through a technique called differential privacy, which adds noise to harvested data in ways that restrict what those samples reveal about individuals. Apple has used the technique on data gathered from phones to inform emoji and typing predictions and for web browsing data.

More recently, both companies have adopted a technology called federated learning. It allows a cloud-based machine-learning system to be updated without scooping in raw data; instead, individual devices process data locally and share only digested updates. As with differential privacy, the companies have discussed using federated learning only in limited cases. Google has used the technique to keep its mobile typing predictions up to date with language trends; Apple has published research on using it to update speech-recognition models.

Rachel Cummings, an assistant professor at Columbia who has previously consulted on privacy for Apple, says the rapid shift to do some machine learning on phones has been striking. “It’s incredibly rare to see something going from the first conception to being deployed at scale in so few years,” she says.

That progress has required not just advances in computer science but for companies to take on the practical challenges of processing data on devices owned by consumers. Google has said that its federated learning system only taps users’ devices when they are plugged in, idle, and on a free Internet connection. The technique was enabled in part by improvements in the power of mobile processors.

Beefier mobile hardware also contributed to Google’s 2019 announcement that voice recognition for its virtual assistant on Pixel devices would be wholly on-device, free from the crutch of the cloud. Apple’s new on-device voice recognition for Siri, announced at WWDC this month, will use the “neural engine” the company added to its mobile processors to power up machine-learning algorithms.

The technical feats are impressive. It’s debatable how much they will meaningfully change users’ relationship with tech giants.

Presenters at Apple’s WWDC said Siri’s new design was a “major update to privacy” that addressed the risk associated with accidentally transmitting audio to the cloud, saying that was users’ largest privacy concern about voice assistants. Some Siri commands—such as setting timers—can be recognized wholly locally, making for a speedy response. Yet in many cases transcribed commands to Siri—presumably including from accidental recordings—will be sent to Apple servers for software to decode and respond. Siri voice transcription will still be cloud-based for HomePod smart speakers commonly installed in bedrooms and kitchens, where accidental recording can be more concerning.

Google also promotes on-device data processing as a privacy win and has signaled it will expand the practice. The company expects partners such as Samsung that use its Android operating system to adopt the new Privacy Compute Core and use it for features that rely on sensitive data.

Google has also made local analysis of browsing data a feature of its proposal for reinventing online ad targeting, dubbed FLoC and claimed to be more private. Academics and some rival tech companies have said the design is likely to help Google consolidate its dominance of online ads by making targeting more difficult for other companies.

Michael Veale, a lecturer in digital rights at University College London, says on-device data processing can be a good thing but adds that the way tech companies promote it shows they are primarily motivated by a desire to keep people tied into lucrative digital ecosystems.

“Privacy gets confused with keeping data confidential, but it’s also about limiting power,” says Veale. “If you’re a big tech company and manage to reframe privacy as only confidentiality of data, that allows you to continue business as normal and gives you license to operate.”

A Google spokesperson said the company “builds for privacy everywhere computing happens” and that data sent to the Private Compute Core for processing “needs to be tied to user value.” Apple did not respond to a request for comment.

Cummings of Columbia says new privacy techniques and the way companies market them add complexity to the trade-offs of digital life. Over recent years, as machine learning has become more widely deployed, tech companies have steadily expanded the range of data they collect and analyze. There is evidence some consumers misunderstand the privacy protections trumpeted by tech giants.

A forthcoming survey study from Cummings and collaborators at Boston University and the Max Planck Institute showed descriptions of differential privacy drawn from tech companies, media, and academics to 675 Americans. Hearing about the technique made people about twice as likely to report they would be willing to share data. But there was evidence that descriptions of differential privacy’s benefits also encouraged unrealistic expectations. One-fifth of respondents expected their data to be protected against law enforcement searches, something differential privacy does not do. Apple’s and Google’s latest proclamations about on-device data processing may bring new opportunities for misunderstandings.

This story originally appeared on wired.com.

https://arstechnica.com/?p=1774415

Researchers have discovered yet another massive trove of sensitive data, a dizzying 1.2TB database containing login credentials, browser cookies, autofill data, and payment information extracted by malware that has yet to be identified.

In all, researchers from NordLocker said on Wednesday, the database contained 26 million login credentials, 1.1 million unique email addresses, more than 2 billion browser cookies, and 6.6 million files. In some cases, victims stored passwords in text files created with the Notepad application.

The stash also included over 1 million images and more than 650,000 Word and .pdf files. Additionally, the malware made a screenshot after it infected the computer and took a picture using the device’s webcam. Stolen data also came from apps for messaging, email, gaming, and file-sharing. The data was extracted between 2018 and 2020 from more than 3 million PCs.

A booming market

The discovery comes amid an epidemic of security breaches involving ransomware and other types of malware hitting large companies. In some cases, including the May ransomware attack on Colonial Pipeline, hackers first gained access using compromised accounts. Many such credentials are available for sale online.

Alon Gal, co-founder and CTO of security firm Hudson Rock, said that such data is often first collected by stealer malware installed by an attacker attempting to steal cryptocurrency or commit a similar type of crime.

The attacker “will likely then try to steal cryptocurrencies, and once he is done with the information, he will sell to groups whose expertise is ransomware, data breaches, and corporate espionage,” Gal told me. “These stealers are capturing browser passwords, cookies, files, and much more and sending it to the [command and control server] of the attacker.”

NordLocker researchers said there’s no shortage of sources for attackers to secure such information.

“The truth is, anyone can get their hands on custom malware,” the researchers wrote. “It’s cheap, customizable, and can be found all over the web. Dark web ads for these viruses uncover even more truth about this market. For instance, anyone can get their own custom malware and even lessons on how to use the stolen data for as little as $100. And custom does mean custom—advertisers promise that they can build a virus to attack virtually any app the buyer needs.”

NordLocker hasn’t been able to identify the malware used in this case. Gal said that from 2018 to 2019, widely used malware included Azorult and, more recently, an info stealer known as Raccoon. Once infected, a PC will regularly send pilfered data to a command and control server operated by the attacker.

In all, the malware collected account credentials for almost 1 million sites, including Facebook, Twitter, Amazon, and Gmail. Of the 2 billion cookies extracted, 22 percent remained valid at the time of the discovery. The files can be useful in piecing together the habits and interests of the victims, and if the cookies are used for authentication, they give access to the person’s online accounts. NordLocker provides other figures here.

People who want to determine if their data was swept up by the malware can check the Have I Been Pwned breach notification service, which has just uploaded a list compromised accounts.

https://arstechnica.com/?p=1771883

Exabeam, a late-stage startup in the data analytics and SIEM space, has landed a new $200 million funding round that values the company at $2.4 billion.

The announcement of Exabeam’s latest Series F funding, described as a “growth round,” coincides with news that co-founder and CEO Nir Polak will be replaced by former ForeScout chief executive Michael DeCesare.

Polak, who was Exabeam’s first CEO, will remain with the company and assume the role of board chairman.

DeCesare, a veteran cybersecurity executive who did leadership stints at McAfee and ForeScout Technologies, where he guided the company to a public markets exit in 2017.

Exabeam, founded in 2013 to jostle for market share in the SIEM (Security Information and Event Management) space, competes with the likes of Splunk, LogRhythm and IBM to help defenders store, log and parse corporate data at scale.

The company says it expects to use the new money to “fuel scale, product innovation and extend the company’s leadership” in what is described as a trusted cloud SecOps platform.

The latest investment was led by the Owl Rock division of Blue Owl Capital and supported by existing investors Acrew Capital, Lightspeed Venture Partners and Norwest Venture Partners. 

[ ANALYSIS: Inside the Battle to Control Enterprise Security Data Lakes ]

Entrepreneurs and investors are competing aggressively for ownership and control of the massive data lakes powering enterprise security programs and Exabeam is among a wave of entrenched companies providing realtime data monitoring and visibility to defenders.

“[This investment gives us the opportunity to triple down on our R&D efforts and continue engineering the most advanced UEBA, XDR and SIEM cloud security products,” the company said in a statement.

Exabeam says it has more than 400 resellers and about 500 technology integrations with leading IT and security companies including cloud network, data lake and endpoint vendors such as CrowdStrike, Okta and Snowflake.

RELATED: Microsoft’s 10 Billion Cybersecurity Business

RELATED: SIEM Platform Provider Raises $50 Million 

Ryan Naraine is Editor-at-Large at SecurityWeek and host of the popular Security Conversations podcast series. Ryan is a journalist and cybersecurity strategist with more than 20 years experience covering IT security and technology trends. He is a regular speaker at cybersecurity conferences around the world.
Ryan has built security engagement programs at major global brands, including Intel Corp., Bishop Fox and Kaspersky GReAT. He is a co-founder of Threatpost and the global SAS conference series. Ryan’s career as a journalist includes bylines at major technology publications including Ziff Davis eWEEK, CBS Interactive’s ZDNet, PCMag and PC World.
Follow Ryan on Twitter @ryanaraine.

Previous Columns by Ryan Naraine:

Tags:

http://feedproxy.google.com/~r/securityweek/~3/S-V2L7s7PIQ/exabeam-lands-200m-investment-replaces-ceo

Looking to build stronger responses against cyberattacks in the Asia Pacific (APAC) region, Microsoft on Monday announced the creation of a cybersecurity council for the public sector in the region.

The Asia Pacific Public Sector Cybersecurity Executive Council consists of policy makers and influencers from Brunei, Indonesia, Korea, Malaysia, Philippines, Singapore, and Thailand.  It seeks seeks to accelerate collaboration between public and private cybersecurity organizations.

Policy makers from government and state agencies and cybersecurity experts from the public sector that form the council will work together to ensure improved communication and to promote the sharing of threat intelligence and technology, in an effort to battle evolving cyber threats in the region.

[ MORE AT: SecurityWeek’s 2021 Singapore ICS Cyber Security Virtual Conference ]

According to Microsoft, the initiative builds on the need for governments to build cyber-defense strategies and keep the region protected from attacks through strong collaboration with tech companies, given that private organizations own most of the necessary technology infrastructure.

“Cyberthreats and attacks are inevitable in this interconnected world, which is why our collective strength and collaboration as a community is imperative. [This is] the first step towards defending our communities in cyberspace with the founding members that include government leaders, policymakers, regulators, industry stakeholders across the region,” said Sherie Ng, General Manager, Public Sector, Microsoft Asia Pacific.

Related: Ransomware Takedowns Underscore Need for Private-Public Cybersecurity Collaboration

Related: Securing Today’s Networks Requires Consolidation and Collaboration

Related: The Positive Impact of the Pandemic on SecOps Collaboration

Ionut Arghire is an international correspondent for SecurityWeek.

Previous Columns by Ionut Arghire:

Tags:

http://feedproxy.google.com/~r/securityweek/~3/Qyw6ZrNda8c/microsoft-creates-cybersecurity-council-public-sector-apac