Nel mondo commerciale informatico è periodo di gran fermento perché incombe una scadenza: a maggio prossimo entra in vigore il nuovo Regolamento dell'Unione Europea sulla protezione dei dati personali delle persone fisiche (che contestualmente abroga le normative precedenti degli stati membri), e un po' tutte le aziende devono adeguarsi alle nuove norme. Basta che fate una ricerca per GDPR (l'acronimo che identifica la nuova normativa, anche se ufficialmente è nota come 2016/679) e ve ne renderete conto. E forse vi renderete conto che tra i risultati difficilmente troverete qualcosa che spiega cosa cambia per i cittadini, invece che per le aziende. Poiché anch'io mi sto occupando della faccenda, ed avendo letto tutta la normativa, mi sento intitolato fare un po' il punto della situazione per il punto di vista del popolo.
Diciamo subito che rispetto alla normativa italiana vigente, per il cittadino cambia poco: i principi generali sono gli stessi. Però, avendoli letti, devo dire che, nella teoria, sono piuttosto buoni, nel senso che al privato cittadino sono garantiti diritti e libertà notevoli. In verità eccezioni a questi diritti e libertà non mancano, però mi sento di dire che hanno ragion d'essere: queste eccezioni tutelano gli interessi generali degli stati, la ricerca scientifica e medica, le finalità statistiche e di conservazione storica, le questioni giudiziarie, etc. La novità più rilevante è che la protezione europea si applicherà sostanzialmente anche quando i nostri dati finiscono in realtà fuori dai confini europei (esempi concreti? Google, Facebook, Apple, Microsoft, Instagram, Twitter... praticamente il 99% dei nostri dati!).
Quindi? Tutto bene? Possiamo stare tranquilli? Beh, no, perché c'è il solito "però".
Il "però" in questione in realtà non è tra le novità, è un principio già presente da parecchi anni, ed è questo: tutte le protezioni della normativa si applicano a meno che non ci sia stato esplicito consenso a che i nostri dati venissero trattati in una data maniera. Per dirla in concreto: se un qualche call center vi perseguita al telefono per offrirvi imperdibili opportunità di risparmio, quasi certamente non sta violando nessuna norma, perché il vostro numero di telefono, insieme al consenso ad essere chiamati alle ore più improbabili, glielo avete dato voi accettando le condizioni (che non avete letto) per scaricare qualche nuova fantastica app o per la tessera punti del supermercato.
Ma poiché non ho scritto questo post per puntarvi il dito contro (ovviamente anch'io non sono senza peccato...), vediamo cosa possiamo fare grazie alla normativa.
In primis, tra i vari diritti riconosciuti agli "interessati" (cioè: i proprietari dei dati personali) c'è quello della revoca del consenso; ovviamente la revoca, e le sue conseguenze (quasi sicuramente la perdita del diritto ad usufruire del servizio), hanno effetto solo dal momento della revoca, in modo non retroattivo.
Poi c'è il cosiddetto "diritto all'oblio", che dovrebbe permettere la cancellazione totale dei dati, sia dal titolare che li ha originariamente acquisiti, ma anche da tutti quelli a cui sono stati trasmessi. Però (daje!) dobbiamo fare i conti con la potenza e quindi l'ingovernabilità del web: pensare di far sparire tutte le le copie esistenti di una foto o un video imbarazzanti è pura utopia. Basta che qualcuno (un privato, non un'azienda) abbia scaricato una copia e poi la riproponga su qualche altro sito, social, o che ne so io... e addio oblio, senza che nessuna autorità possa farci nulla!
C'è anche la "portabilità" dei dati: è un concetto simile a quello per il numero di telefono quando passiamo da un operatore all'altro, in questo caso sembrerebbe voler consentire una roba tipo portare i propri dati da un servizio verso un altro, per esempio potremmo "spostare" una casella di posta elettronica da un provider ad un altro; pensando invece ad un social, sinceramente non capisco proprio come ciò possa accadere, se non altro perché ogni social ha le sue specificità e mal si adatta a prendere in carico dati "pensati" per un altro.
Altra importantissima questione riguarda il trattamento automatico, spesso noto come profilazione, nei casi che questo comporti una significativa conseguenza all'interessato (pensiamo per esempio alla concessione o meno di un prestito, o al calcolo del premio di un'assicurazione): ora (cioè, da maggio) sarà possibile opporsi a questi tipi di trattamento, oppure richiedere l'intervento umano.
Infine, nel caso malaugurato di compromissione dei dati personali, è fatto obbligo al titolare del trattamento di informare l'interessato, che può poi rivolgersi all'autorità giudiziaria per l'eventuale risarcimento del danno (le sanzioni pecuniarie sono state decisamente inasprite: per i casi limite può arrivare a 20 milioni di euro o il 4% del fatturato annuo!).
A parte i diritti, una novità che ritengo importante è come viene rivisto l'obbligo di fornire le informazioni relative al trattamento (la cosiddetta informativa): essa deve essere concisa, trasparente, intelligibile per l'interessato e facilmente accessibile; occorre utilizzare un linguaggio chiaro e semplice, e per i minori occorre prevedere informative idonee. Speriamo che questo obbligo venga veramente rispettato, soprattutto nel suo condivisibilissimo spirito, però è tutto inutile se poi noi non facciamo la nostra parte: l'informativa va letta, capita e sulla base di essa dobbiamo effettuare la scelta libera e consapevole se concedere o no il nostro consenso, che è quello che lascia mano libera al titolare di fare tutto quello che vuole (basta che l'abbia scritto). Ci saranno, è inevitabile, delle informative che ci porranno davanti ad una sorta di ricatto: o il consenso, oppure niente servizio. Essere cittadini consapevoli e liberi significa avere il coraggio di saper dire No.
L'informativa deve anche contenere i contatti del titolare del trattamento (e, ove nominato, del responsabile della protezione) a cui è possibile fare le richieste riguardanti tutti i propri diritti.
Infine, voglio spendere 2 parole per la protezione di dati dei minori. Il regolamento prevede che il consenso sia valido a partire dai 16 anni; sotto questo limite, è necessario il consenso dei genitori. Ricordo anche che normalmente l'iscrizione ai social network, a parte quelli specificatamente dedicati ai bambini, è possibile solo a partire dai 13 anni, ma sento dire da più parti che questa regola (di buon senso, prima che formale) è deliberatamente ignorata da alcuni genitori.
A questo proposito, anche se usciamo dall'ambito del Regolamento in quanto siamo nell'ambito della vita privata, segnalo questa recente sentenza sul fatto che le foto dei figli possono essere pubblicate solo se entrambi i genitori sono d'accordo. Il che a maggior ragione contrasta con il diffuso malcostume di pubblicare foto che ritraggono anche figli di altri, senza chiedere nessun permesso. Non è inutile sottolineare che l'analfabetismo digitale è un problema soprattutto per gli adulti che hanno responsabilità educative!
Per chi volesse approfondire gli argomenti relativi alla privacy, segnalo il sito dell'Autorità Garante italiana, che trovo ottimo dal punto di vista dei contenuti (magari è un po' vintage nell'aspetto...).
Altra importantissima questione riguarda il trattamento automatico, spesso noto come profilazione, nei casi che questo comporti una significativa conseguenza all'interessato (pensiamo per esempio alla concessione o meno di un prestito, o al calcolo del premio di un'assicurazione): ora (cioè, da maggio) sarà possibile opporsi a questi tipi di trattamento, oppure richiedere l'intervento umano.
Infine, nel caso malaugurato di compromissione dei dati personali, è fatto obbligo al titolare del trattamento di informare l'interessato, che può poi rivolgersi all'autorità giudiziaria per l'eventuale risarcimento del danno (le sanzioni pecuniarie sono state decisamente inasprite: per i casi limite può arrivare a 20 milioni di euro o il 4% del fatturato annuo!).
A parte i diritti, una novità che ritengo importante è come viene rivisto l'obbligo di fornire le informazioni relative al trattamento (la cosiddetta informativa): essa deve essere concisa, trasparente, intelligibile per l'interessato e facilmente accessibile; occorre utilizzare un linguaggio chiaro e semplice, e per i minori occorre prevedere informative idonee. Speriamo che questo obbligo venga veramente rispettato, soprattutto nel suo condivisibilissimo spirito, però è tutto inutile se poi noi non facciamo la nostra parte: l'informativa va letta, capita e sulla base di essa dobbiamo effettuare la scelta libera e consapevole se concedere o no il nostro consenso, che è quello che lascia mano libera al titolare di fare tutto quello che vuole (basta che l'abbia scritto). Ci saranno, è inevitabile, delle informative che ci porranno davanti ad una sorta di ricatto: o il consenso, oppure niente servizio. Essere cittadini consapevoli e liberi significa avere il coraggio di saper dire No.
L'informativa deve anche contenere i contatti del titolare del trattamento (e, ove nominato, del responsabile della protezione) a cui è possibile fare le richieste riguardanti tutti i propri diritti.
Infine, voglio spendere 2 parole per la protezione di dati dei minori. Il regolamento prevede che il consenso sia valido a partire dai 16 anni; sotto questo limite, è necessario il consenso dei genitori. Ricordo anche che normalmente l'iscrizione ai social network, a parte quelli specificatamente dedicati ai bambini, è possibile solo a partire dai 13 anni, ma sento dire da più parti che questa regola (di buon senso, prima che formale) è deliberatamente ignorata da alcuni genitori.
A questo proposito, anche se usciamo dall'ambito del Regolamento in quanto siamo nell'ambito della vita privata, segnalo questa recente sentenza sul fatto che le foto dei figli possono essere pubblicate solo se entrambi i genitori sono d'accordo. Il che a maggior ragione contrasta con il diffuso malcostume di pubblicare foto che ritraggono anche figli di altri, senza chiedere nessun permesso. Non è inutile sottolineare che l'analfabetismo digitale è un problema soprattutto per gli adulti che hanno responsabilità educative!
Per chi volesse approfondire gli argomenti relativi alla privacy, segnalo il sito dell'Autorità Garante italiana, che trovo ottimo dal punto di vista dei contenuti (magari è un po' vintage nell'aspetto...).
Nessun commento:
Posta un commento