Non utilizzeranno l’app Mitiga le 1.000 persone che domenica vedranno allo stadio ‘Meazza’ Inter-Udinese, ultima partita di campionato in cui la squadra di Antonio Conte festeggerà in casa con i tifosi lo scudetto già ipotecato.

E come entreranno allo stadio i tifosi? I presenti sono da considerare ospiti della società nerazzurra: saranno dipendenti dell’Inter, sponsor e famiglie dei calciatori e dunque sarà la squadra a decidere la modalità di ingresso.

<!-- LARGE RECTANGLE POST - CORPO TESTO

Invece, per la finale di Coppa Italia è stata l’app Mitiga a consentire l’accesso alle oltre 4mila persone allo stadio di Reggio Emilia.

“È andata bene, zero code e i numeri di download dell’app sono stati buoni. Non ci sono stati problemi nel primo uso di Mitiga”, ci racconta Fabio Traini, marchigiano, uno dei due fondatori dell’app. “Ora”, ci annuncia, “stiamo lavorando per usarla per il test in discoteca il 5 giugno in Puglia”.

L’intervista al legale dell’app Mitiga

Noi abbiamo intervistato il legale dell’app, che preferisce non rivelare pubblicamente il nome, per capire nel dettaglio come Mitiga gestisce i dati personali e sanitari degli utenti.

Key4biz. Mitiga chiede il consenso sul trattamento dei dati sanitari Covid degli utenti?

Sì, chiediamo il consenso esplicito e l’uso dell’app è finalizzato all’emissione del QR Code che si visualizza di colore verde per accedere, come è avvenuto mercoledì sera allo stadio per la finale di Coppa Italia.

Key4biz. Quali dati sanitari tratta l’app Mitiga?

L’applicazione effettua il trattamento del solo dato del tampone negativo effettuato in uno dei centri autorizzati e convenzionati con l’app. Mitiga non sa della positività del tampone, perché il QR Code dall’app si genera solo a seguito del caricamento del risultato negativo da parte del centro autorizzato. Il QR Code ha una validità di 48 ore, per cui trattiamo un dato sanitario, l’unico e minimizzato, che ha una breve validità, ma non conserviamo il referto del tampone, in possesso della farmacia che l’ha effettuato, di cui Mitiga non entra mai in possesso. Il dato negativo del tampone è indispensabile per usare l’app ai fini di accesso in un luogo, come lo stadio della finale. 

Key4biz. L’app effettua anche il trattamento dei dati dei certificati cartacei dei vaccinati e guariti dal Covid?

No. Né sull’app né sul sito dell’applicazione sono caricati i certificati cartacei dei vaccinati o guariti. Queste persone firmano un’autodichiarazione sull’app grazie alla quale viene poi rilasciato sull’applicazione il QR Code di colore rosso, il cui possesso è stata definita dalla Lega di Serie A condizione necessaria per accedere allo stadio per vedere la finale di Coppa Italia mercoledì 19 maggio.

Key4biz. Ma mercoledì sul sito dell’applicazione era scritto “per i vaccinati e guariti, anche se in possesso del certificato cartaceo che lo attesti, sono costretti all’iter digitale, che sarà completato nelle postazioni allestite all’ingresso dello stadio, incaricate di trasferire il certificato vaccinale o quello di avvenuta guarigione sull’applicazione”

Questo è un aspetto della Comunicazione dell’app, io mi occupo degli aspetti legali. Nella realtà non avviene così. Il certificato cartaceo del vaccinato o guarito dal Covid viene mostrato al luogo dell’evento e, dopo aver verificato l’identità delle persone, si sblocca il QR Code sull’app. Mitiga ha concluso un accordo con la Lega di Serie A per l’utilizzo dell’app per accedere allo stadio della finale di Coppa Italia. L’applicazione rende più agevole il flusso delle persone e più veloci i controlli dei certificati cartacei e dei tamponi rispetto a una verifica tradizionale. 

Key4biz. Qual è la base giuridica a cui fa riferimento l’app Mitiga?

La base giuridica è il consenso esplicito, libero ed informato dell’interessato, come previsto dai princìpi del GDPR. 

Key4biz. Concretamente come è stata creata privacy by design l’app?

Con la minimizzazione dei dati richiesti all’utente, limitando temporalmente la conservazione dei dati e non cedendoli a terzi.

Key4biz. Come avviene il trattamento dei dati con Mitiga e perché l’esigenza di procedere alla “schedatura/profilazione interna degli utenti”?

Il consenso è la base di ogni trattamento dei dati effettuati dall’app. L’applicazione acquisisce il consenso più ampio possibile per consentire all’app di erogare il servizio richiesto (generazione di un QR Code) e la schedatura/profilazione dei dati altro non è che un normale sistema di archiviazione dei soli dati non sensibili/particolari (quindi no dati sanitari) per il corretto utilizzo della app. 

Key4biz. Mitiga gestisce i dati su larga scala. Ha effettuato la valutazione d’impatto?

Nel rispetto del principio dell’accountability, sancito dal GDPR, Mitiga ha effettuato la data protection impact assessment e detiene il registro dei trattamenti dati, ovviamente a disposizione per eventuali controlli da parte del Garante della Privacy. 

Key4biz. Come fa Mitiga ad ottenere il consenso aggiuntivo e separato per ricevere la newsletter e per la schedatura/profilazione?

Qui non parliamo più del dato sanitario del tampone negativo, qui il riferimento è ai dati come nome, cognome, email per i quali è richiesto un unico consenso fornito in modo esplicito.

I dubbi privacy

Ci lascia un dubbio la richiesta agli utenti di un unico consenso, quando si registra all’app, per 

• “erogare il servizio di newsletter informative, di notifiche e rispondere alle richieste di informazioni dell’interessato” e per 
• “produrre articoli redazionali, effettuare analisi statistiche e procedere alla schedatura/profilazione interna degli utenti”.

Sono questi i due punti a cui fa riferimento il testo della richiesta del consenso unico, come si vede dallo screenshot dell’app.

Perché il dubbio?

Perché, come indicato dal Garante Privacy nelle linee guida antispam di luglio 2003, è obbligatorio chiedere un consenso per il marketing e un altro consenso separato per la profilazione. Qui siamo di fronte a un unico consenso per prendere tutto. Sembra un’offerta al supermercato, “paghi uno, prendi due”. 

“Il titolare del trattamento deve acquisire un consenso specifico per ciascuna distinta finalità quali ad esempio: marketing, profilazione”, scrive il Garante della Privacy nelle linee guida sul consenso per le modalità di marketing.

“Non c’è libertà se il titolare del trattamento ha riunito diverse finalità di trattamento e non ha chiesto il consenso separato per ciascuna di esse”, è scritto, chiaro e tondo, a pagina 13 delle linee guida 5/2020 sul consenso redatto dal comitato europeo per la protezione dei dati, composto dai Garanti privacy nazionali e da quello europeo.

Infine, abbiamo scaricato l’app Mitiga e provato a registrarci, ma la registrazione è vincolata dal dare il consenso per ricevere la newsletter e per la schedatura/profilazione.

Come si vede dall’immagine, se non si spunta la voce, non è possibile cliccare su “prosegui” e procedere con la registrazione e quindi usare l’app.

E senza l’applicazione, le circa 4mila persone non avrebbero potuto vedere la finale di Coppa Italia allo stadio o il 5 giugno prossimo i giovani non potranno ballare nelle discoteche pugliese durante il test del green pass per la movida. E chissà in quante altre occasioni potrebbe essere utilizzata Mitiga in Italia, in attesa del green pass governativo…

La richiesta obbligatoria del consenso unico per ricevere la newsletter e per la schedatura/profilazione, altrimenti è impossibile usare Mitiga, mostra chiaramente che il consenso per gli utenti non è facoltativo, come, invece, deve essere in questi casi.

Secondo le norme, le persone devono avere la possibilità di non selezionare la voce del consenso per marketing e profilazione e procedere liberamente alla registrazione.

App Mitiga, ma non mitica sotto il profilo della gestione della privacy degli utenti.  

https://www.key4biz.it/green-pass-il-legale-di-mitiga-consenso-unico-per-i-dati-app-non-mitica-per-la-privacy/361431/

Da Amazon a Uber, le Big tech oggi utilizzano sempre più algoritmi basati sul machine learning per personalizzare l’offerta di contenuti agli utenti. Queste aziende, secondo un team di ricercatori della Carnegie Mellon University (CMU), hanno il dovere morale di spiegare come funzionano i loro algoritmi e quali dati raccolgono.

Diversi informatici ed enti governativi hanno chiesto trasparenza sull’uso da parte delle aziende di algoritmi decisionali autonomi e sulla dipendenza dai dati degli utenti. Ad esempio, nel 2016 l’Unione Europea ha adottato il Regolamento generale sulla protezione dei dati (GDPR), parte del quale regola l’uso di sistemi decisionali automatici basati su algoritmi.

<!-- LARGE RECTANGLE POST - CORPO TESTO

Nello studio intitolato Why a Right to an Explanation of Algorithmic Decision-Making Should Exist: A Trust-Based Approach il team ha evidenziato una certa ambiguità del GDPR nel porre obblighi di trasparenza per le aziende sulle modalità di profilazione, dando loro un modo per aggirare le responsabilità.

Quando le aziende non forniscono dettagli su come accedono ai profili degli utenti, da dove raccolgono i dati e con chi li scambiano, sono in gioco sia la correttezza che la fiducia, ha affermato il team.

Nell’era digitale, non è possibile ottenere un’autorizzazione preventiva alla divulgazione di informazioni con la piena consapevolezza di tutte le possibili conseguenze, ma ottenere un consenso informato è eticamente richiesto, ha affermato il team.

Diverse aziende hanno anche assunto data interpreters, professionisti che collegano il lavoro dei data scientist e le persone interessate dalle decisioni delle aziende per comprendere i problemi posti dalle decisioni automatizzate.

Non è chiaro se le richieste di una maggiore trasparenza sul funzionamento degli algoritmi impatterà negativamente sulle prestazioni delle aziende o porterà a risultati migliori, proprio come lo scontro sulla trasparenza tra Apple e Facebook. “Ma ancora più importante, il diritto alla spiegazione è un obbligo etico, al di là dell’impatto finale”, ha aggiunto il team.

https://www.key4biz.it/quale-trasparenza-sui-dati-i-big-tech-devono-spiegare-come-i-loro-algoritmi-prendono-le-decisioni/361370/

Questa volta sono le autorità austriache che, a seguito delle denunce del Centro europeo per i diritti digitali (None of Your Business – NOYB) con sede a Vienna, hanno messo sotto inchiesta Google per violazione della privacy dei cittadini europei.

Secondo Maximiliam Schrems, l’avvocato ormai a tutti noto per le sue battaglie civili in materia di protezione dei dati personali, che guida il Centro di Vienna, Google – e più precisamente Google Analytics (servizio usato da oltre 28 milioni di siti web) avrebbe trasmesso ai servizi di intelligence statunitensi dati personali di cittadini europei, violando le rigide norme del GDPR che dovrebbero proteggerli.

<!-- LARGE RECTANGLE POST - CORPO TESTO

L’accusa di Max Schrems a Google

Secondo Magnus Westerlund, professore dell’Università di Helsinki e anch’egli impegnato nelle battaglie civili sulla privacy “…il caso Google è di vasta portata…”, in quanto “…se i tribunali ritengono che Google non sia conforme al GDPR (Regolamento generale sulla protezione dei dati dell’UE) che tutela il diritto alla privacy, ciò comporterà la fine del modello di piattaforma come lo conosciamo”. Westerlund ha quindi lanciato un monito: “l’Europa deve intensificare la leadership strategica in modo significativo ed elaborare una strategia di sovranità digitale, se vogliamo avere leggi che sfidano in modo chiaro l’attuale status quo che rischia di minacciare irrimediabilmente la sfera personale“.

Google ha ovviamente negato le accuse mosse da NOYB, affermando di provvedere alla protezione dei dati di Google Analytics adottando misure supplementari “tecniche, legali ed operative”.

Il riferimento è ad un sistema di clausole contrattuali standard che regola il trasferimento dei dati, considerato legale, a condizione che sia integrato da “misure supplementari”, che impediscano l’accesso ai dati esportati da parte dei servizi di intelligence statunitensi.

Tale meccanismo di tutela è stato introdotto a seguito della decisione della Corte di Giustizia europea che, lo scorso luglio, con la ormai storica sentenza Schrems II, ha reso illegale il Privacy Shield cosiddetto, una modalità di accordo USA-UE che la Corte ha ritenuto inefficace per impedire alle autorità statunitensi di spiare i cittadini europei, data l’esistenza di leggi come il Foreign Intelligence Surveillance Act (FISA, una legge federale degli Stati Uniti che stabilisce procedure per la sorveglianza fisica ed elettronica e la raccolta di “informazioni di intelligence straniera” tra “potenze straniere” e “agenti di potenze straniere” sospettati di spionaggio o terrorismo).

Di fatto, Google e ad altre società dei cosiddetti Big Tech (che primeggiano e dominano il mercato mondiale del cloud) potevano trasferire liberamente informazioni personali di cittadini europei dalla UE agli Stati Uniti.

Maximilian Schrems di NOYB, facendo riferimento anche alle raccomandazioni dell’European Data Protection Board (EDPB), ha sottolineato che, proprio per via degli obblighi legali che Google ha nei confronti del governo degli Stati Uniti e della natura dei suoi servizi (tra cui l’elaborazione di dati non crittografati), nessun meccanismo potrebbe essere in grado di consentire a Google di trasferire dati personali dall’UE agli Stati Uniti, senza incorrere in violazioni del diritto alla privacy dei cittadini europei.

Se le autorità austriache decidessero di condannare Google, la multa potrebbe arrivare fino a 7,3 miliardi di dollari – il 4% dei ricavi dell’azienda. Gravi sarebbero le implicazioni anche per altre società statunitensi operanti in Europa. Basti pensare ai dati contenuti nel cloud di Amazon, Microsoft, Google, Oracle & Co. Oltre che agli utenti di iOS di Apple o serviti dal sistema operativo Android di Google, che raccolgono e memorizzano tonnellate di dati minuto dopo minuto. Quel che è certo è che urge per le nostre democrazie europee, che dispongono già di uno strumento potente come il GDPR, dotarsi di una consapevolezza condivisa sulle azioni da intraprendere, non solo per il rispetto delle prerogative personali dei cittadini europei, ma anche per preservare il valore economico dei dati ed evitare qualunque circostanza che avvalori e generi sistemi di sorveglianza di massa.

Quello europeo resta il mercato più ricco del mondo, in cui operano alcune delle aziende di maggior valore a livello mondiale; tanto basta perché Google e gli altri Big Tech si sforzino di trovare soluzioni operative che consentano la localizzazione delle operazioni di elaborazione dei dati in Europa.

https://www.key4biz.it/google-analytics-magnus-schrems-dati-trasferiti-illegalmente-dallue-agli-usa/361067/

It seems that in the United States, at least, app developers and advertisers who rely on targeted mobile advertising for revenue are seeing their worst fears realized: Analytics data published this week suggests that US users choose to opt out of tracking 96 percent of the time in the wake of iOS 14.5.

When Apple released iOS 14.5 late last month, it began enforcing a policy called App Tracking Transparency. iPhone, iPad, and Apple TV apps are now required to request users’ permission to use techniques like IDFA (ID for Advertisers) to track those users’ activity across multiple apps for data collection and ad targeting purposes.

The change met fierce resistance from companies like Facebook, whose market advantages and revenue streams are built on leveraging users’ data to target the most effective ads at those users. Facebook went so far as to take out full-page newspaper ads claiming that the change would not just hurt Facebook but would destroy small businesses around the world. Shortly after, Apple CEO Tim Cook attended a data privacy conference and delivered a speech that harshly criticized Facebook’s business model.

Nonetheless, Facebook and others have complied with Apple’s new rule to avoid being rejected from the iPhone’s App Store, though some apps present a screen explaining why users should opt in before the Apple-mandated prompt to opt in or out appears.

This new data comes from Verizon-owned Flurry Analytics, which claims to be used in more than one million mobile apps. Flurry says it will update the data daily so followers can see the trend as it progresses.

Based on the data from those one million apps, Flurry Analytics says US users agree to be tracked only four percent of the time. The global number is significantly higher at 12 percent, but that’s still below some advertising companies’ estimates.

The data from Flurry Analytics shows users rejecting tracking at much higher rates than were predicted by surveys that were conducted before iOS 14.5 went live. One of those surveys found that just shy of 40 percent, not 4 percent, would opt in to tracking when prompted.

Flurry Analytics’ data doesn’t break things down by app, though, so it’s impossible to know from this data whether the numbers are skewed against app tracking opt-in by, say, users’ distrust of Facebook. It’s possible users are being more trusting of some types of apps than others, but that data is not available.

https://arstechnica.com/?p=1763464

Pharmaceutical companies spend around $6.5 billion a year on advertising, and even though Facebook prohibits the use of “sensitive health information” in ad targeting, about $1 billion of that ad spending ends up in the companies’ pockets. Big Pharma, it turns out, has found some creative ways to work within Facebook’s rules.

Facebook’s ad targeting allows drug companies to zero-in on likely patients by aiming not for their conditions but for Facebook-defined interests that are adjacent to their illnesses, according to a report by The Markup. The site used a custom web browser to analyze what ads Facebook served to 1,200 people and why, and it found that Big Pharma frequently used illness “awareness” as a proxy for more sensitive health information.

The range of treatments advertised to potential patients ran the gamut. Novartis used “National Breast Cancer Awareness Month” to sell Facebook users on Piqray, a breast cancer pill that lists for $15,500 for a 28-day supply. AstraZeneca ran ads for Brilinta, a $405-per-month blood thinner, based on whether Facebook thought a user was interested in “stroke awareness.” And GlaxoSmithKline shows ads for Trelegy, a $600-per-month inhaler, if someone was flagged by Facebook for “chronic obstructive pulmonary disease [COPD] awareness.”

Facebook’s targeting allows pharmaceutical companies to get even more creative. GlaxoSmithKline served up ads for another COPD drug if a user showed interest in “oxygen” or “cigarettes.” COPD, of course, can be caused by emphysema, which can result from years of smoking. Merck used terms like “chemical industry,” “Corona beer,” and “bourbon” to select users for ads for Keytruda, a cancer immunotherapy that can be given to treat everything from melanoma to lung cancer, bladder cancer, and head and neck cancer. It costs $9,869.94 for a three-week course.

Capitalizing on the opportunity, Facebook has an entire section of its “Facebook for Business” site devoted to case studies in health and pharmaceutical advertising. One for AstraZeneca shows how companies might use social advertising in concert with TV commercials, which still constitute 75 percent of pharma ad spends. A “brand lift study” run on Facebook allowed AstraZeneca to “refine targeting solutions” for Symbicort, another COPD and asthma treatment.

Interest-based ad targeting on Facebook is widely used across a variety of industries, but it has raised flags among health privacy researchers when used to sell medical treatments. Even Google has steered clear of the practice, instead selling targeted advertising based on the content next to which an ad appears. Their practice is more in line with how pharmaceuticals are advertised on TV and in magazines, where drug companies buy slots based on the overall demographics of the audience rather than individuals.

Though it may exploit users’ privacy, targeting pharmaceutical ads based on Facebook-defined interests is not illegal. In a case decided by the US Court of Appeals in 2018, the judges ruled in favor of Facebook, saying that just because users “searched and viewed publicly available health information,” they were not entitled to privacy, because Facebook’s terms allowed the company to harvest the data, and that data “cannot, in and of itself, reveal details of an individual’s health status or medical history.” The large sum of ad spends on Facebook suggests that pharmaceutical companies believe otherwise. 

https://arstechnica.com/?p=1763427

Non di rado ci si imbatte, per esempio all’interno di informative o di accordi per la nomina di responsabile del trattamento, in affermazioni del tipo “al termine del periodo di conservazione, i tuoi dati saranno anonimizzati e trattati per finalità statistiche” o “i dati, resi anonimi, potranno essere utilizzati per ulteriori finalità”.

Ma siamo davvero sicuri che i dati di cui si parla vengano effettivamente anonimizzati?

<!-- LARGE RECTANGLE POST - CORPO TESTO

Il significato di anonimo

Il concetto dell’anonimità è di primaria importanza ai fini della (dis)applicazione del GDPR, che, lo ricordiamo, non si applica al trattamento di informazioni anonime o sufficientemente anonime.

Conoscere i più comuni fraintendimenti correlati all’anonimizzazione è il primo passo da compiere al fine di acquisire maggiore consapevolezza ed evitare di incorrere in errori esponendo all’accesso di terzi non autorizzati informazioni anonimizzate solo in via presuntiva.

L‘EDPS e l’AEPD (l’autorità garante spagnola per la protezione dei dati personali) ne elencano dieci in un recente documento pubblicato sui rispettivi siti istituzionali.

Il concetto di anonimizzazione

Prima di vedere quali, però, soffermiamoci brevemente su cosa debba intendersi con il termine dato “anonimizzato”. È un concetto strettamente collegato all’identificabilità di una persona. Il considerando 26 del GDPR spiega che per essere considerati anonimi o sufficientemente anonimi ai sensi del GDPR, i dati, rispettivamente:

• non devono riferirsi a una persona fisica identificata o identificabile oppure
• devono impedire o non consentire più l’identificazione dell’interessato.

Il citato considerando prosegue chiarendo che per stabilire se una persona fisica è identificabile devono considerarsi tutti i mezzi di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare, direttamente o indirettamente, la persona a cui i dati si riferiscono.

Anonimizzazione di dati: i dieci fraintendimenti secondo l’EDPS e l’AEPD

Fatta questa preliminare precisazione, di seguito si riportano, nella colonna di sinistra, i dieci fraintendimenti correlati all’anonimizzazione evidenziati dall‘EDPS e l’Autorità spagnola nel documento sopra richiamato, denominato “10 MISUNDERSTANDINGS RELATED TO ANONYMISATION”.

Sgombrato il campo dagli equivoci più ricorrenti, emerge a chiare lettere l’importanza di procedere ad una valutazione specifica e ponderata al fine di realizzare un processo di anonimizzazione efficace, evitando soluzioni approssimative o completamente automatizzate e, soprattutto, considerando quale oggetto primario da tutelare i diritti e le libertà delle persone coinvolte nel processo di anonimizzazione.

Articolo di Giovanni Ferorelli – Avvocato, consulente in materia di protezione dei dati personali

https://www.key4biz.it/anonimizzazione-di-dati-i-10-fraintendimenti-secondo-ledps-e-laepd/358811/

“L’Europa in questa fase è guidata da una grande ambizione politica volta a recuperare il tempo perso e riconquistare la capacità di competere a livello globale sulle opportunità dell’Intelligenza artificiale. L’Unione Europea, con l’adozione del Regolamento, affronta per prima la sfida. Non di rinunciare alla tecnologia, ma di sviluppare una tecnologia umanocentrica”.

Lo ha dichiarato Franco Pizzetti Università LUISS-Guido Carli, nel corso dell’intervista realizzata da Key4biz su «L’intelligenza Artificiale e il Regolamento Europeo. Regole, Opportunità e Rischi».

“Non solo una competizione economica, ha aggiunto Pizzetti.” C’è bisogno che l’uomo non rinunci all’intelligenza artificiale, ma allo stesso tempo non diventi prigionieri delle stesse conquiste”.

Rivedi la videointervista a Franco Pizzetti

https://www.key4biz.it/lia-e-il-regolamento-europeo-regole-opportunita-e-rischi-oggi-alle-15-videointervista-live-a-franco-pizzetti/357975/

Google on Wednesday began a legal bid at Britain’s highest court to try to block a class action alleging that it illegally tracked millions of iPhone users.

The hearing at the Supreme Court will hear arguments for two days before judges decide whether the claim against the internet search giant should proceed.

The “Google You Owe Us” association, which is led by the former head of consumer rights group Which?, Richard Lloyd, is seeking at least £1 billion ($1.4 billion, 1.1 billion euros) to compensate four million users in England and Wales.

In October 2018, the High Court dismissed the case but the Court of Appeal overturned the decision in October 2019, allowing it to proceed. Google has appealed against the decision, hoping to get the case dismissed on the grounds the claimants have shown insufficient evidence users were adversely affected.

The association accuses Google of circumventing iPhone security options and collecting personal data between August 2011 and February 2012 using the Safari browser.

Information about users’ social or ethnic origin, health, political views, sexual preferences or shopping habits was collected, according to the complaint, which alleges the information was then compiled and offered to advertisers.

“Google illegally misused the data of millions of iPhone users without consent and we want to hold them to account,” Lloyd said in a statement before the hearing.

Google has said the events that happened 10 years ago were responded to at the time.

“Google You Owe Us” has said the door was opened to its complaint following the confidential settlement of a similar case in 2015 which was brought by three individuals.

© AFP 2020

Previous Columns by AFP:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/PIZHGNzAkDc/google-data-protection-case-be-heard-uk-supreme-court

Il Governo non ha consultato l’Autorità Garante per la protezione dei dati sui due decreti leggi con cui ha introdotto il green pass e l’obbligo vaccinale per i sanitari. Ma l’esecutivo è obbligato dal GDPR a coinvolgere il Garante Privacy. Su questa violazione di legge del Governo e sui rischi privacy non considerati dal Consiglio dei ministri sul certificato verde e vaccini obbligatori per medici e operatori sanitari in prima linea nella battaglia contro il Covid, abbiamo intervistato Ginevra Cerrina Feroni, vicepresidente Autorità Garante per la protezione dei dati personali.

Key4biz. Professoressa Cerrina Feroni, vi siete lamentati del mancato coinvolgimento da parte del Governo su norme di grande importanza come quelle sui certificati verdi e gli obblighi vaccinali. Che succede?

<!-- LARGE RECTANGLE POST - CORPO TESTO

Ginevra Cerrina Feroni. Nessuna ragione di necessità e di urgenza può mai giungere ad estromettere gli interessi fondamentali al cui presidio è posta l’azione del Garante per la protezione dei dati personali. Interessi che assumono rango quanto meno equiordinato rispetto a quelli, pur legittimamente, posti a fondamento delle misure del Governo. Ilmancato coinvolgimento del Garante non è tanto, o solo, un problema di natura formale e di fluidità dei rapporti tra istituzioni, di cui peraltro agli italiani può interessare ben poco, ma sostanziale. 

Riguarda, per l’appunto, i loro diritti e libertà costituzionali fondamentali. E questo, invece, interessa molto. Entrambi idecreti legge adottati dal Governo – certificati verdi per spostarsi tra Regioni e obbligo vaccinale per sanitari – presentano gravi violazioni sotto il profilo della protezione dati.

Key4biz. Per quali motivi?

Ginevra Cerrina Feroni. In relazione ai certificati verdi per spostarsi tra Regioni abbiamo adottato un formale provvedimento di “avvertimento” al Governo, evidenziando che il “decreto riaperture” è privo di una valutazione dei possibili rischi su larga scala. Non sono definite le finalità per il trattamento dei dati, non è indicato il titolare del trattamento, non è rispettato il principio di minimizzazione, non sono contemplati i tempi di conservazione, non sono previste misure per garantire la loro integrità e riservatezza. 

Key4biz. E sull’obbligo vaccinale per i sanitari?

Ginevra Cerrina Feroni. Quanto all’obbligo vaccinale la situazione è pure più grave. Non è stabilito, ad esempio, quali siano le categorie obbligate, i tempi di conservazione dei dati, le modalità con cui gli ordini professionali e i datori di lavoro debbano comunicare alle ASL gli elenchi degli interessati, le misure a garanzia degli interessati. Non sono definite neppure le misure a tutela della privacy di coloro che non possono vaccinarsi e i cui dati, per ovvie ragioni, sono ancora più sensibili. All’Autorità in tre settimane sono arrivati più di 1.500 reclami o segnalazioni. 

Key4biz. Il Governo è obbligato a chiedere il parere del Garante Privacy, perché non lo fa? 

Ginevra Cerrina Feroni. Corretto parlare di obbligatorietà. Eppure, evidentemente, manca ancora questa consapevolezza. Il coinvolgimento dell’Autorità su tutti i provvedimenti normativi che coinvolgono dati personali in via preventiva, cioè nel momento di costruzione della norma, non è un mero “accessorio”, ma un obbligo di legge. Lo stabilisce il Regolamento europeo entrato in vigore nel maggio 2018 che contiene norme direttamente applicabili nel nostro Paese e che prevalgono sempre e comunque sulle leggi dello Stato nazionale. In ben due disposizioni, l’art. 36 e l’art. 57, si prevede l’intervento della Autorità “durante l’elaborazione” di un atto legislativo o regolamentare che incida sul trattamento dei dati personali. Il mancato coinvolgimento del Garante nella fase prodromica alla adozione di misure normative di così grande impatto sui dati personali pone problemi seri. Per prima cosa priva il Governo dell’apporto tecnico della Autorità indipendente che, ex lege, è chiamata a garantire la legittimità del trattamento dei dati personali. In secondo luogo si pone in aperto contrasto con norme specifiche e puntuali del diritto dell’Unione, potendosi arrivare alla disapplicazione in via giudiziaria della norma nazionale contrastante. In terzo luogo contrasta con i principi di cd. “better regulation”, che esigono il confronto e la interlocuzione preventiva. Infine, elimina per i cittadini un presidio forte di garanzia su un diritto costituzionale fondamentale. Se la legge nasce gravemente viziata in punto di tutela della protezione dati non si rimedia con l’intervento del Garante in un momento successivo, ad esempio in fase di attuazione in via amministrativa.

Key4biz. C’è una mancanza di cultura della protezione dati a tutti i livelli, dunque…Stiamo scontando un ritardo rispetto ad altri Paesi europei?

Ginevra Cerrina Feroni. Vorrei dire prima entrerà nel “dna collettivo” che la protezione dati è parte essenziale del rilancio del Paese, a partire dalla definizione del PNRR, meglio sarà per tutti. E tutti ne guadagneremo. Semplificazione amministrativa, digitalizzazione, giustizia, fascicolo sanitario, ma anche previdenza, fisco, didattica a distanza, telelavoro ecc… Tutto passa dalla regolazione dei dati, non solo di quelli personali. I dati sono il fulcro del nuovo mondo e della nuova civiltà. Ad esempio – e lo abbiamo segnalato al Governo – il successo o l’insuccesso delle politiche pubbliche e private basate sull’intelligenza artificiale dipenderà in larghissima misura dalle regole che governeranno la progettazione, lo sviluppo e l’uso degli algoritmi e dall’attività di regolamentazione, vigilanza e promozione della circolazione dei dati pubblici e privati, personali e non personali. 

Key4biz. Occorre governare il futuro, ma anche proteggere i nostri dati

Ginevra Cerrina Feroni. Certo. Scegliere se e quanto investire nella regolamentazione, vigilanza e promozione di queste materie significa, in buona misura, decidere quale “comunità di destino” – per usare una nota citazione – vogliamo essere nei prossimi vent’anni.  Prospettiva usurata, ma soprattutto, contraddetta dai fatti, continuare a ghettizzare la privacy nell’abito stretto del “diritto ad essere lasciati soli”. Poco lungimirante pensare poi alla privacycome ad un intralcio, addirittura un ostacolo, all’efficiente azione di Governo. Nelle imprese più strutturate, ad esempio, sta già nascendo la consapevolezza che la tutela dei dati è anzitutto valore. E il valore lo misuri in termini di tutela dei clienti e di competitività nei mercati. 

Key4biz. L’Autorità ha risorse adeguate per svolgere i suoi compiti?

Ginevra Cerrina Feroni. L’Autorità Garante, anche a seguito dell’entrata in vigore del Regolamento europeo, ha assunto un ruolo strategico nel Paese cui però non è seguito un adeguamento conseguente sotto il profilo delle risorse umane, finanziarie e strumentali. L’indipendenza di una istituzione la si garantisce anche dotandola delle risorse necessarie per svolgere i suoi compiti. E le nostre sono assolutamente inadeguate. Pensi che il Garante italiano può contare, ai sensi della normativa vigente, su una dotazione organica di 162 persone di cui allo stato 134 in servizio. A parità di compiti in Francia ne hanno 215, nel Regno Unito 680, in Germania addirittura 887. Solo nel 2020 noi abbiamo ricevuto oltre 12.000 richieste di intervento, che significa avere aperto 12.000 nuovi fascicoli. Anche il Parlamento europeo nella recentissima Risoluzione del 25 marzo 2021 ha espresso preoccupazione e richiamato l’urgenza di dotare le autorità privacy delle risorse necessarie per adempiere efficacemente i loro compiti ed esercitare i loro poteri enormemente aumentati. Si sta lavorando da mesi con una pressione fortissima per non rallentare provvedimenti utili al Paese. La nostra disponibilità non è mai mancata. Ma per collaborare bisogna essere in due. Ci auguriamo che questo messaggio venga recepito dal Governo. 

Key4biz. A proposito di Europa. Sul green pass annunciato da Bruxelles qual è la posizione del Garante? 

Ginevra Cerrina Feroni. Le due proposte di Regolamento UE, recentemente varate, mirano ad istituire un quadro comune per il rilascio di certificati comuni relativi alla vaccinazione, ai test e alla guarigione dal COVID-19, in tal modo facilitando l’esercizio del diritto di libera circolazione all’interno dell’UE. L’obiettivo è permettere al viaggiatore di fornire una prova documentale, universalmente riconosciuta (nel territorio dell’Unione), volta a consentire il superamento delle misure restrittive foggiate dagli Stati membri in funzione del contenimento della pandemia da Covid-19. Anche il diritto dell’Unione, quindi – ma sul punto si è espressa altresì l’Assemblea del Consiglio d’Europa – non contempla in alcun modo l’obbligo della vaccinazione. La somministrazione del siero anti-Covid non costituisce, pertanto, la condicio indefettibile per l’esercizio di libertà fondamentali, quale quella di circolazione; alle persone non vaccinate, per le più disparate ragioni, potranno solo richiedersi oneri particolari, quali la effettuazione di tamponi ovvero, eventualmente, periodi di quarantena. Il carattere assai sensibile dei dati trattati, e la dimensione “europea” del trattamento,  dovrebbero indurre alla adozione di un sistema che contempli il più ampio numero di garanzie. In ossequio al principio di “minimizzazione” e di “proporzionalità”, dovrebbero essere circoscritti in modo puntale l’ambito e gli scopi dei trattamenti, ridotte allo stretto indispensabile le categorie di dati ed informazioni richieste, precludendo altresì l’accesso ai dati contenuti nei certificati una volta cessata la emergenza pandemica. Lo stesso certificato dovrebbe essere “neutro”, e cioè non indicare la specifica ragione giustificativa del rilascio.

Key4biz. Come è possibile far crescere la consapevolezza delle persone riguardo al valore dei propri dati?

Ginevra Cerrina Feroni. Si sta scrivendo, causa pandemia, forse la più importante pagina della storia italiana di trattamento di dati sensibili. Eppure siamo qui a fare questa intervista per spiegare perché è un ossimoro che il Garante privacy non sia stato coinvolto. È evidente che dobbiamo fare ancora molta strada in questo Paese sulla cultura della protezione e del valore dei nostri dati. Da parte nostra, saremo presenti mediaticamente e nel pubblico quanto più possibile. Ci appoggeremo ad iniziative prestigiose del terzo settore, anche internazionali, per svolgere la nostra missione a contatto con gli operatori, i gruppi d’interesse ed i cittadini del mondo digitale. Il Collegio si è insediato da pochi mesi. Il nostro progetto è di lungo corso e la sfida è appena iniziata.  

https://www.key4biz.it/green-pass-e-obbligo-vaccinale-cerrina-feroni-da-modificare-il-governo-consulti-il-garante-della-privacy/357831/

Apple is following through on its pledge to crack down on Facebook and other snoopy apps that secretly shadow people on their iPhones in order to target more advertising at users.

The new privacy feature, dubbed “App Tracking Transparency,” rolled out Monday as part of an update to the operating system powering the iPhone and iPad. The anti-tracking shield included in iOS 14.5 arrives after a seven-month delay during which Apple and Facebook attacked each other’s business models and motives for decisions that affect billions of people around the world.

“What this feud demonstrates more than anything is that Facebook and Apple have tremendous gatekeeping powers over the market,” said Elizabeth Renieris, founding director of the Technology Ethics Lab at the University of Notre Dame.

But Apple says it is just looking out for the best interests of the more than 1 billion people currently using iPhones.

“Now is a good time to bring this out, both because of because of the increasing amount of data they have on their devices, and their sensitivity (about the privacy risks) is increasing, too,” Erik Neuenschwander, Apple’s chief privacy engineer, told The Associated Press in an interview.

Once the software update is installed — something most iPhone users do — even existing apps already on the device will be required to ask and receive consent to track online activities. That’s a shift Facebook fiercely resisted, most prominently in a series of full-page newspaper ads blasting Apple.

Until now, Facebook and other apps have been able to automatically conduct their surveillance on iPhones unless users took the time and trouble to go into their settings to prevent it — a process that few people bother to navigate.

“This is an important step toward consumers getting the transparency and the controls they have clearly been looking for,” said Daniel Barber, CEO of DataGrail, a firm that helps companies manage personal privacy.

In its attacks on Apple’s anti-tracking controls, Facebook blasted the move as an abuse of power designed to force more apps to charge for their services instead of relying on ads. Apple takes a 15% to 30% cut on most payments processed through an iPhone app.

Online tracking has long helped Facebook and thousands of other apps accumulate information about their user’s interests and habits so they can show customized ads. Although Facebook executives initially acknowledged Apple’s changes would probably reduce its revenue by billions of dollars annually, the social networking company has framed most of its public criticism as a defense of small businesses that rely on online ads to stay alive.

Apple, in turn, has pilloried Facebook and other apps for prying so deeply into people’s lives that it has created a societal crisis.

In a speech given a few weeks after the Jan. 6 attacks on the U.S. Capitol, Apple CEO Tim Cook pointed out how personal information collected through tracking by Facebook and other social media can sometimes push people toward more misinformation and hate speech as part of the efforts to show more ads.

“What are the consequences of not just tolerating but rewarding content that undermines public trust in life-saving vaccinations?” Cook asked. “What are the consequences of seeing thousands of users join extremist groups and then perpetuating an algorithm that recommends more?”

It’s part of Apple’s attempt to use the privacy issue to its competitive advantage, Barber said, a tactic he now expects more major brands to embrace if the new anti-tracking controls prove popular among most consumers.

In a change of tone, Facebook CEO Mark Zuckerberg recently suggested that Apple’s new privacy controls could actually help his company in the long run. His rationale: The inability to automatically track iPhone users may prod more companies to sell their products directly on Facebook and affiliated services such as Instagram if they can’t collect enough personal information to effectively target ads within their own apps.

“It’s possible that we may even be in a stronger position if Apple’s changes encourage more businesses to conduct more commerce on our platforms by making it harder for them to use their data in order to find the customers that would want to use their products outside of our platforms,” Zuckerberg said last month during a discussion held on the audio chat app Clubhouse.

In the same interview, Zuckerberg also asserted most people realize that advertising is a “time-tested model” that enables them to get more services for free or at extremely low prices.

“People get for the most part that if they are going to see ads, they want them to be relevant ads,” Zuckerberg said. He didn’t say whether he believes most iPhone users will consent to tracking in exchange for ads tailored to their interests.

Google also depends on personal information to fuel a digital ad network even bigger than Facebook’s, but it has said it would be able to adjust to the iPhone’s new privacy controls. Unlike Facebook, Google has close business ties with Apple. Google pays Apple an estimated $9 billion to $12 billion annually to be the preferred search engine on iPhone and iPad. That arrangement is currently one element of an antitrust case filed last year by the U.S. Justice Department.

Facebook is also defending itself against a federal antitrust lawsuit seeking to break the company apart. Meanwhile, Apple is being scrutinized by lawmakers and regulators around the world for the commissions it collects on purchases made through iPhone apps and its ability to shake up markets through new rules that are turning it into a de facto regulator.

“Even if Apple’s business model and side in this battle is more rights protective and better for consumer privacy, there is still a question of whether we want a large corporation like Apple effectively ‘legislating’ through the app store,” Renieris said.

Related: Apple iOS 14.5 Patches 50 Security Vulnerabilities

Related: Apple Ships Emergency Fixes for Under-Attack iOS Zero-Day

Previous Columns by Associated Press:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/X886Qqs_2bc/apple%E2%80%99s-iphone-privacy-clampdown-arrives-after-7-month-delay