il blog di Riccardo Abeti

Con il Regolamento UE 2016/679 (“GDPR”) è stata introdotta una normativa che, in realtà, semplifica molti aspetti nel settore, ma che una parte consistente – e non necessariamente autorevole – di coloro che hanno esposizione sui media e sui social, ha voluto battezzare come pietra miliare della privacy, presentandola, peraltro, come contorta e pericolosa in termini sanzionatori. Molti dei tratti caratteristici del GDPR riguardano il metodo; quando, nel corso di una delle mie lezioni,  illustro il Regolamento, sono solito disegnare una linea, sulla quale, ad un dato punto, traccio una tacca: ciò, per spiegare che il GDPR, rispetto alla direttiva e alle relative norme attuative, sposta in avanti il momento del controllo (la tacca, appunto), comunicando a chi lo deve applicare: “implementa la sicurezza dei dati come ritieni opportuno, poi l’Autorità o l’interessato condurranno i propri controlli o eserciteranno i propri diritti”. Ai fini del GDPR non è rilevante se la...

Dopo un primo momento di eccitazione diffusa, in cui si commentava selvaggiamente ogni aspetto attinente alla sentenza (in merito alla causa C-362/14 del 6 ottobre 2015) che ha dichiarato illecito il trasferimento dei dati, sotto l'accordo #safeharbor, verso gli USA, oggi sembra che l'appeal dell'argomento sia scemato, tuttavia non sono "svaniti" gli effetti dirompenti di quella sentenza. Con toni leggermente attenuati rispetto a quella sentenza, venne data enfasi all'approvazione, da parte della  House of Representatives , del Judicial Redress Act, ritenendo che l'estensione ai cittadini dei paesi "alleati", delle tutele riservate ai cittadini americani, potesse colmare buona parte del vuoto che la Corte aveva ritenuto sussistere allorquando ha adottato la sentenza dell'ottobre u.s. , invalidando l'accordo #safeharbor.  Nel frattempo dalla "casa dei rappresentanti", il suddetto atto venne presentato al Senato per l'a...

E' di oggi la pubblicazione del DPCM sul Fascicolo sanitario elettronico, questo il testo completo: http://www.gazzettaufficiale.it/atto/vediMenuHTML?atto.dataPubblicazioneGazzetta=2015-11-11&atto.codiceRedazionale=15G00192&tipoSerie=serie_generale&tipoVigenza=originario

[Autori Abeti - Di Resta] Il 6 ottobre scorso la Corte di Giustizia dell'Unione Europea con la sentenza C-362/14 ha dichiarato l'invalidità della decisione 520/2000/CE della Commissione europea che aveva attribuito il crisma dell'adeguatezza ai trasferimenti dei dati avvenuti sotto il regime dell'accordo Safe Harbor.  La Corte ha riconosciuto, inoltre, la competenza dei Garanti privacy nazionali (le c.d. DPA) a valutare l'adeguatezza della normativa privacy del Paese di destinazione dei dati personali (Stati Uniti), e che tale competenza non può essere compressa o ridotta dalle decisioni della Commissione. Nel caso di specie l'Autorità indipendente irlandese aveva affermato che, in relazione alla citata decisione della Commissione europea, l'Autorità non avrebbe potuto esprimersi in modo difforme.  In diritto, la Corte ha anche stabilito alcuni "paletti" sostanziali e un aspetto di metodo ... leggi il seguito ...

Ogni giorno persone, imprese, enti governativi, si districano tra crescenti moli di dati. Tutti hanno bisogno dei dati di tutti, spesso “a priori”, “perché qualcosa ci si può sempre fare”. In questo panorama, esistono però soggetti con strategie precise di data raising , concepite per avere un preciso termometro dei fenomeni e del sentire di alcune moltitudini, siano esse di “consumatori”, “elettori”, “assistiti” e quant’altro. I dati, le analisi condotte su di essi, sono ormai intesi come elemento primario per generare “business” e ad essi viene ricondotto un notevole valore economico e sociale. Oggi questo fenomeno, comunemente noto come big data , è ormai diventato strumento per un crescente numero di soggetti che, in forza di enormi quantità di dati, possono perseguire una qualche finalità con conseguenti e più o meno prevedibili, ricadute di natura legale. All’atto pratico, la tutela di cui stiamo parlando è perseguibile in molti modi, alcuni apparenti, altri sostan...

Il 22 maggio u.s. il Garante per la protezione dei dati personali ha pubblicato il Parere sul decreto del Presidente del Consiglio dei ministri in materia di fascicolo sanitario elettronico (di seguito, anche, DPCM sul FSE). Dopo un lunghissimo lavoro di confronto tra le parti coinvolte, in relazione alle esigenze reali ma anche ai principi a tutela dei dati personali, dopo molte riunioni che hanno visto i soggetti citati nel provvedimento confrontarsi costruttivamente (presumiamo), il tanto agognato DPCM sul Fascicolo sanitario elettronico ottiene il "parere favorevole" da parte dell'Autorità Garante, ormai, nessun altro elemento (se non quelli formali necessari all'adozione del DPCM) lo dovrebbe separare da una tempestiva pubblicazione. Di certo non sono mancate la scaramucce ai piani alti, al punto da vedere "soppressa" in fase di conversione del decreto 179, e questa al Garante non è proprio andata giù, la frase che, in origine, escludeva dal ...

La risposta di Google alla sentenza della Corte di giustizia, con il fantomatico modulo "forget me" è, necessariamente, provvisoria. I cittadini che si sono mossi per far rimuovere fantomatici link 'dannosi per la loro reputazione' sono un numero considerevole, si parla di circa 12000 solo in questa settimana. La risposta predisposta da Google ad oggi è troppo analogica per poter reggere quest'onda d'urto, vedremo quale sarà il prossimo passo. Credo che rappresenterà un'ottima pietra miliare per i cittadini e un'opportunità di business per chi inventerà un sistema per gestire questo diritto riconosciuto dalla Carta dei diritti e una volta di più (in Italia negli ultimi due anni aveva già fatto giurisprudenza un'importante posizione della Suprema Corte) ribadito nella sua importanza dalla Corte di giustizia.

Scorrendo un Disegno di legge discusso ieri in Commissione alla Camera, mi sono soffermato nella lettura di questa proposta emendativa:  " Al comma 2 sopprimere le parole:  e di cui alla Parte III, Titolo III, Capo II del decreto legislativo 30 giugno 2003, n. 196 ". ops sono appena scomparsi i "reati privacy" introdotti con decreto legge 14 agosto 2013, n. 93? Ovviamente da giuristi dobbiamo attendere che la legge di conversione segua il suo iter parlamentare e venga emanata, tuttavia non è novità di poco rilievo.   Rimaniamo in attesa di sviluppi ...

Finchè gli avvertimenti e i suggerimenti del ICO e delle Associazioni a tutela del diritto alla riservatezza rimarranno inascoltati, continueranno verificarsi un numero crescente di g ravi violazioni della legge sulla protezione dei dati . Il 23 agosto, è emerso ad un Comune del Regno Unito è stata comminata una sanzione di 70.000 sterline per aver pubblicato online i dati personali di più di 2.000 residenti. Tale divulgazione non intenzionale e potenzialmente dannosa è stata, apparentemente, causata da una mancanza di consapevolezza dei pericoli connessi con la ‘ disclosure ’ di alcuni ‘data set’ senza una previa verifica se questi contenessero dati nascosti. Da un po’ di tempo, circolano diverse relazioni che documentano fatti analoghi in relazione alla divulgazione involontaria di dati personali da parte di autorità pubbliche intenzionate a pubblicare i dati reputandoli anonimi o aggregati.  Questi incidenti sono legati alle richieste di ostensione di informazion...

Il 23 aprile scorso è stato presentato il rapport année 2012 CNIL , esso testimonia un’attività crescente (con ben 6017 segnalazioni ricevute) del Garante francese. Ad agevolare (e forse anche a favorire le persone dalla “segnalazione facile”) le segnalazioni giunte all'Autorità è senz’altro la possibilità (ormai resa disponibile dal 2010) di farlo a mezzo del sito Internet, infatti il 44% di esse viene fatto online. La questione maggiormente al centro di queste segnalazioni è senza dubbio la presenza “ingiustificata” dei dati del segnalante in un qualche database. Grande attenzione viene, inoltre, focalizzata (ma è una tendenza risalente già al 2011) sul diritto all’oblio nell’ambito di Internet. A questo link potete trovare il rapporto annuale 2012 del CNIL, nella sua versione integrale.

Simpatica e utile iniziativa dell'Autorità Garante, che ha pensato di comunicare con questo video-tutorial, per sensibilizzare gli utenti italiani sull'importanza proteggere queste informazioni. L'obiettivo è quello di fornire alcune semplici e utili indicazioni su come tutelare i propri dati personali compatibilmente con l'uso di smartphone e tablet.

Il Gruppo ex art. 29, costituito dai rappresentanti delle Autorità dei Paesi membri (oltrechè del Garante europeo e della Commissione europea) ha adottato un parere che esamina i rischi fondamentali, per la privacy, insiti nelle modalità di installazione/gestione/funzionamento delle APPS sui mobile devices. Nel documento vengono richiamati gli obblighi specifici che gravano sui soggetti coinvolti nel mercato delle APPS: - produttori di smartphone, - gestori degli APPS Store (nell'ecosistema Android non esiste solo lo shop Android ma anche quello Amazon, per esempio) - sviluppatori Nel documento del Gruppo c'è un focus particolare sulle applicazioni rivolte ai minori. Il parere è scaricabile da  QUI  . L'approfondimento della C4S - che con grande lungimiranza approfondiva il problema e che è stato redatto dal nostro Studio in collaborazione con molti Partner Oracle e con il coordinamento della Orcale stessa - è scaricabile  QUI  .

Di seguito il breve abstract dell'intervento che ho tenuto a Torino il 22 febbraio u.s. La relazione affronta un aspetto poco evidenziato nell’ambito del panorama europeo e mondiale, le sanzioni. Le sanzioni a dispetto della scarsa attenzione che spesso catalizzano sono una leva determinante per il successo o il fallimento del quadro normativo cui fanno riferimento. La domanda che ci si deve porre è: quanto è importante la tutela dei dati personali e quanto sono importanti le implicazioni nel quadro di tutela dei diritti del cittadino? Spesso si è attribuito ad una materia importante come la tutela dei dati personali, un quadro sanzionatorio inefficace o mal commisurato, in quanto eccessivo per i piccoli “titolari del trattamento” e trascurabile per quelli medio-grandi. Recenti sentenze contro una firm di livello mondiale hanno portato l’aspetto sanzionatorio alla ribalta. In particolare, l’attenzione è stata catalizzata da due provvedimenti che oserei dire opp...

Il 19 settembre 2012, il Comitato per le libertà civili, la giustizia e gli affari interni (LIBE) ha discusso il pacchetto di protezione dei dati, in particolare il calendario previsto per l'adozione definitiva dello stesso. LIBE è il Comitato che si occupa del Dossier (sulla data protection), nell'ambito del Parlamento europeo e pubblicherà due relazioni, la prima sulla proposta di regolamento generale di protezione dei dati ("il regolamento") e la seconda sulla proposta di direttiva "relativa alla tutela delle persone fisiche con riguardo al il trattamento dei dati personali da parte delle autorità competenti ai fini della prevenzione, indagine, accertamento e perseguimento di reati penali o l'esecuzione delle sanzioni penali, nonché alla libera circolazione di tali dati "(" la direttiva "). read more ...

Scorrendo il provvedimento del 12 maggio (prescrizioni in materia di circolazione delle informazioni in ambito bancario) e le motivazioni che hanno spinto l’Ufficio del Garante ad adottare un simile provvedimento, sembra di ritornare improvvisamente alla prima metà del secolo. Precisamente, sembra di ritornare a quando le rivelazioni degli adolescenti nel segreto del confessionale venivano riferite ai genitori affinchè adottassero le opportune “contromisure” educative. In una delle occasioni oggetto di reclamo al Garante, un cittadino (provvedimento del 28 maggio 2009) ha lamentato l'illecita comunicazione al proprio padre, di informazioni bancarie a sé riferite da parte della filiale di Intesa SanPaolo. Tale comunicazione sarebbe avvenuta a seguito della convocazione del padre dell’interessato presso l'istituto bancario – per il tramite della polizia municipale del comune di residenza –, il quale, "messo a conoscenza di una grave situazione debitoria in capo al figlio, co...

L'ultimo attacco a Google proviene dal sito di tutela dei consumatori consumerwatchdog.org, che posta su youtube (ironia della sorte) il video che produciamo. Il comportamento di Google è, a più riprese, deplorevole, aggressivo e irrispettoso del diritto degli utenti di Internet a mantenere il controllo sulle proprie informazioni. Tuttavia, in un mondo complesso come il nostro sarebbe ingenuo ritenere che qualcuno interpreti la parte del cavaliere senza macchia, per lo meno sembra improbabile che chi si muove non abbia secondi fini o sia mosso da "stimoli" meno nobili di quanto appaia. Inizio a pensare che attaccare Google ( qui l'ultima iniziativa per "riconciliarsi" con i consumatori) sia lo sport del momento come, anni fa, lo è stato attaccare Microsoft.

Torno, come promesso, a parlare di autorità amministrative indipendenti e, per consecutio logica, delle problematiche relative al valore che può attribuirsi ai pronunciamenti nel contesto della gerarchia delle fonti considerato che le due questioni sono, a mio avviso, facce della stessa medaglia. In particolare ad essere oggetto di esame è il difficile equilibrio tra Legge e Provvedimenti del Garante Privacy che, da tempo, è oggetto di controversie interpretative. Basti pensare al Provvedimento di natura prescrittiva sugli Amministratori di sistema: perché alcune indicazioni di natura generale diventano obbligatorie, vincolanti e foriere di sanzioni (penali e civili) per il Titolare che ne ometta l’applicazione quando né il vigente Codice Privacy né altre leggi accennano a questa figura (da non confondersi con l’operatore di sistema di cui alla novellata legge sui crimini informatici)? Per poter dare una risposta vale la pena partire da quanto affermato nel precedente post: l’Autorità...

L'argomento, di per sè non è una novità. Tutti ne parlano da tempo. Sia il Garante italiano sia il Data Protection Working Party gli hanno dedicato, nel corso dell'ultimo anno, approfondimenti specifici (tra tutti si veda questo documento: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2009/wp163_it.pdf). Nessuno, però, aveva pensato di misurare quanto effettivamente i Social Network fanno per garantire agli utenti l'effettiva protezione dei loro dati personali. In un pregevole lavoro, due ricercatori della Cambridge University, colmano questa lacuna. "The Privacy Jungle: On the Market for Data Protection in Social Networks" illustra, attraverso 260 "privacy criteria", i risultati ottenuti da (ben) 45 siti di social network (in prevalenza USA ma anche Europei, asiatici e sud americani). Le conclusioni cui pervengono gli autori portano a definire "disfunzionale" l'attenzione posta alla protezione dei dati in ragione di una signific...

Il Working Party of Police and Justice (WPPJ) (Gruppo di esperti europei istituito con l'obiettivo di affrontare le problematiche connesse alla privacy dei cittadini europei nell'ambito dell'attività giudiziaria e di polizia) si è espresso negativamente sul documento COM(2009) 342 final, ossia sull'emendamento proposto dalla Commissione riguardo all'accesso all'EURODAC da parte delle autorità di polizia. EURODAC è un sistema IT che consente di comparare le impronte digitali dei richiedenti asilo e degli immigrati in posizione irregolare al fine di facilitare l’applicazione del regolamento Dublino*, che permette di determinare lo Stato membro competente per l’esame di una domanda d’asilo. Secondo il WPPJ, esisterebbero numerose altre banche dati e numerosi canali informativi a disposizione delle autorità di polizia per la lotta al terrorismo e ad altre gravi forme di criminalità. Per mantenere la maggior obiettività possibile riporto di seguito quanto sostenuto d...

L’uso delle tecnologie ha, ormai, pervaso ogni settore incrementando notevolmente la circolazione dei supporti informatici contenenti dati e informazioni. La superficialità della maggior parte degli utenti pone in serio pericolo la riservatezza delle informazioni, esempio ricorrente è senz’altro il caso del server di una società di carte di credito che è stato rivenduto, “corredato” di tutte le informazioni dei clienti (nomi, indirizzi, coordinate bancarie, …), sul mercato delle tecnologie rigenerate. Il provvedimento del Garante della privacy del 13 ottobre 2008 è stato adottato partendo, come spesso accade, dall’osservazione empirica di un uso disinvolto dei supporti di memorizzazione. Il provvedimento chiarisce, esplicando una funzione didattica, il funzionamento della cancellazione dei dati operata di “default” dal sistema operativo. In effetti la cancellazione elimina i dati dalla nostra vista ma, nella maggior parte dei casi, non ne determina l’eliminazione definitiva. Il...