Il 28 Gennaio si celebra la Giornata della Protezione dei Dati – non lo sapevate? Io nemmeno, eppure siamo già alla sedicesima ricorrenza. Meglio tardi che mai!
La commemorazione è stata istituita dal Consiglio d’Europa nel 2006, riprendendo la data in cui fu firmata la Convenzione n. 108 del Consiglio D’Europa (28 Gennaio 1981), riguardante proprio la protezione dei dati digitali.
Forse non eravamo a conoscenza della giornata ufficiale, ma chi di noi non ha sentito parlare di GDPR (General Data Protection Regulation) o non ha avuto a che fare con fastidiosi pop-up con clausole da accettare in apertura alla maggior parte dei siti?
La crescente attenzione globale verso un tema che ci tocca così da vicino ha portato all’istituzione di figure di riferimento e professioni specifiche, quali il/la Data Protection Officer, Consulente GDPR e Privacy Specialist per dirne alcune.
Per contribuire allo scopo della Giornata e quindi alla divulgazione, sensibilizzazione e ricerca sul tema della privacy, oggi ci facciamo spiegare un po’ meglio la questione da Filippo Carrano, Consulente Privacy (a me noto come “papà”).
Q.1 Privacy vs. Protezione dei Dati (personali): sono la stessa cosa?
A.1 Nell’accezione comune, sì, tant’è che il sito istituzionale del Garante per la Protezione dei Dati Personali (nome corretto) è https://www.garanteprivacy.it.
Però, il termine “privacy” è un po’ generico e viene comunemente associato all’idea di mantenere il riserbo riguardo le faccende private. Invece, proteggere i dati (personali) significa garantirne: 1) la Riservatezza (Confidentiality), cioè i dati devono essere accessibili solo per chi è autorizzato; 2) l’Integrità (Integrity), ovvero i dati devono essere esatti, completi e restare tali; 3) la Disponibilità (Availability), ossia i dati devono essere recuperabili alla bisogna. Possiamo memorizzare gli acronimi RID o, se preferiamo, CIA. Portiamo alcuni esempi, ovviamente non esaustivi.
Un modo per assicurare la riservatezza dei dati presenti su un computer è attivare la protezione con credenziali (password, fingerprint, immagine, ecc.); se i dati sono su carta, possono essere tenuti in armadi chiusi a chiave, ecc.
Garantire l’integrità significa verificarne l’esattezza e adottare le opportune misure affinché non siano modificabili accidentalmente: pensiamo agli scambi di persona nei risultati delle analisi del sangue, oppure ad archivi cartacei danneggiati da allagamenti, incendi, topi, ecc.
Infine, la disponibilità: immaginiamo di aver fatto un esame endoscopico invasivo, ad esempio una colonscopia e che il medico non trovi più i risultati, per cui bisogna rifarlo…
Ecco, quando anche uno solo di questi tre aspetti viene compromesso, si verifica una violazione della protezione dei dati (c.d. “data breach”) e, qualora si tratti di dati personali, tale violazione DEVE essere denunciata al Garante (al sito di cui sopra), il quale svolgerà le opportune indagini e, nel caso di negligenza da parte del responsabile, comminerà una bella multa!
Q.2 Cosa sono invece i dati sensibili?
A.2 Ora in realtà sarebbero “categorie particolari di dati personali”, comunque tutti continuano a chiamarli “dati sensibili”: sono i dati personali che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, i dati genetici o biometrici, i dati relativi alla salute o all’orientamento sessuale, i dati relativi a condanne penali e reati, tutti i dati di minori.
Tuttavia, bisogna sempre tener presente che la classificazione dei dati è in funzione dei rischi correlati per le libertà e i diritti della persona. Ad esempio, i fastidi potenziali causati dalla diffusione di un numero di cellulare, o di un indirizzo di casa dipendono anche dall’interessato: se sono i miei dati è un conto, se sono i dati di Totti, è un altro.
Q.3 Cos’è il legittimo interesse?
A.3 È una delle basi giuridiche che possono rendere lecito un trattamento di dati personali. Gli artt. 6 e 9, in parole semplici, affermano che i dati personali non possono essere trattati, a meno che il trattamento non sia legittimato da uno o più delle seguenti motivazioni (basi giuridiche): 1) consenso specifico; 2) esecuzione di un contratto; 3) obbligo di legge; 4) salvaguardia interessi vitali; 5) pubblico interesse; 6) legittimo interesse del titolare. Per fare un esempio relativo al legittimo interesse, possiamo citare il caso del mancato pagamento di un prodotto o servizio: in questo caso, il titolare può essere legittimato a ricorrere ad un avvocato per il recupero del credito.
Q.4 Ci sono casi in cui non ci si può rifiutare di fornire i propri dati?
A.4 Beh, se sono richiesti dalle autorità di Pubblica Sicurezza, nell’esercizio delle proprie funzioni, non è il caso di opporre resistenza… In altri casi, il rifiuto potrebbe comportare l’impossibilità di ottenere i servizi richiesti. Ad esempio, se andiamo dal dentista dobbiamo compilare una scheda anamnestica, dichiarando eventuali allergie, patologie, ecc., dati “sensibili” perché relativi allo stato di salute: in caso di diniego al conferimento di tali dati, il dentista può rifiutarsi di fornire i propri servizi, in quanto questo comporterebbe rischi per la salute propria (contagio) e/o del paziente (reazione allergica all’anestetico). In tal senso, il Regolamento prescrive l’obbligo di informare l’interessato sulle finalità, basi giuridiche e modalità del trattamento PRIMA del trattamento stesso.
Q.5 È possibile accordare un consenso solo temporaneo ad un determinato trattamento dei dati personali?
A.5 Nel diritto, assolutamente sì. Resta inteso, però, che se il trattamento prevede la comunicazione dei dati a soggetti terzi, non è detto che sia possibile invertire il processo. Se, ad esempio, acconsentiamo alla pubblicazione di alcuni dati su internet, poi non saremo più in grado di limitarne la diffusione: potremo ottenere di rimuoverli dal sito a cui avevamo dato l’autorizzazione, ma se nel frattempo sono stati copiati o scaricati sarà pressoché impossibile un tracciamento ed eliminazione completi.
Q.6 Come faccio a sincerarmi che i miei dati siano stati effettivamente eliminati dopo una mia richiesta in tal senso?
A.6 In generale, direi che non esiste un metodo, tantomeno un metodo infallibile. A seconda dei casi, si potrebbero ipotizzare degli “stratagemmi”. In definitiva, bisogna confidare nel fatto che sia nell’interesse del Titolare non dichiarare il falso, poiché se un domani dovesse verificarsi una violazione riconducibile alla mancata cancellazione, egli sarebbe passibile di sanzioni proporzionate, con l’aggravante della malafede.
Q.7 Negli hotel sono tenuto a fornire il documento?
A.7 Sempre in generale, le copie di documenti di identità non sono esigibili da soggetti privati e gli hotel sono tra questi. Normalmente, la reception richiede e trattiene il documento per accelerare le operazioni di check-in e, in tal senso, si può anche apprezzare la possibilità. In Italia non è legalmente possibile essere ospitati in albergo senza essere identificati mediante esibizione di documenti validi, i cui estremi devono essere comunicati, a stretto giro, in Questura. Tuttavia, per ottemperare al suddetto obbligo di legge è sufficiente l’esibizione del documento e la registrazione degli estremi, NON c’è nessun motivo di trattenerlo e men che meno farne copia. Ad oggi, i soli privati obbligati per legge ad acquisire copia del documento di identità sono i venditori di SIM card. In definitiva, la raccomandazione è: non lasciare mai incustoditi i documenti di identità e non consentirne mai la copia, se non a fronte di una chiara e legittima motivazione.
Q.8 In generale, perché qualcuno dovrebbe volere i miei dati?
A.8 Perché valgono soldi, molti soldi. Leggere per credere (un libro fondamentale è Errore di sistema, di Edward Snowden), o anche vedere i film The Great Hack e The Social Dilemma su Netflix.
Q.9 Precauzioni da usare navigando su internet?
A.9 La cultura della sicurezza delle informazioni non è ancora diffusa, mentre i pericoli sono reali, numerosi e, purtroppo, sottostimati dai più. Senza alcuna pretesa di esaustività, e senza voler instillare false sicurezze, si può cominciare con l’applicare alcune regole pratiche, che costituiscono ancor meno del famoso “minimo sindacale”, ma è pur sempre meglio di nulla: 1) mantenere il sistema operativo costantemente aggiornato; 2) attivare l’accesso con password robuste; 3) installare un buon antivirus; 4) fare copie di riserva dei contenuti importanti da conservarle su dispositivi fisicamente diversi dall’hard disk del pc o smartphone, magari anche in cloud. E poi c’è il mondo delle email (e dei messaggi su smartphone): possono contenere malware pericolosissimi e il miglior modo per difendersi è “stare in campana” sempre, ovvero eliminare qualsiasi email/messaggio anche solo minimamente sospetto e non aprire mai allegati, a meno che non si sia strasicuri del mittente e del contenuto.
Q.10 Ma poi alla fine si pronuncia pràivasi o prìvasi?
A.10 Se stiamo parlando in inglese (o con un Inglese) in Europa, si tende ad usare il britannico prìvasi. Se parliamo in italiano (o spagnolo, o francese, ecc.) utilizzeremo – correttamente – la pronuncia americana, pràivasi.
Immagino quello che molti di voi si staranno chiedendo: e le telefonate pubblicitarie che riceviamo senza sosta? C’è un modo per liberarsene?
Lo scopriremo nella prossima puntata…
