, , , , , ,

Quando la legge diventa codice: come tradurre il GDPR in specifiche tecniche per programmatori (SOP)

di Giacomo Conti

Il mercato della consulenza legale in ambito GDPR soffre di un equivoco sistemico e presenta la compliance come un adempimento meramente documentale e burocratico. Pertanto, molti consulenti vendono l’illusione che la compliance sia un problema puramente documentale e seguono un approccio “carta e via”. I documenti, necessari e indispensabili per carità, devono rispecchiare la realtà aziendale.

Molti operatori e business, ugualmente, sono ancora convinti che per mettere a norma una piattaforma digitale complessa, un e-commerce o un sistema basato su Intelligenza Artificiale (IA), sia sufficiente redigere una Privacy Policy formalmente ineccepibile, infarcita di legalese e clausole di stile o la nomina formale di un DPO che dovrebbe essere un parafulmine.

La realtà operativa, specialmente nei modelli di business digitali, è, o almeno dovrebbe essere, radicalmente diversa. Un DPO (Data Protection Officer) o un consulente legale che non conosca la differenza tecnica tra un cookie di sessione e uno di tracciamento, o che non sappia come un indirizzo IP impatta sui flussi di un CRM, non sta proteggendo l’azienda, ma sta solo producendo carta inutile, esponendo il business a rischi sanzionatori massivi da parte del Garante della Privacy oltre che a rischi reputazionali non trascurabili.

La compliance non si costruisce con le parole. Si costruisce progettando un’architettura legale che sappia tradursi, senza ambiguità, nel linguaggio del software. Se non parliamo la stessa lingua di chi deve applicare i principi, il concetto stesso di Privacy by Design e by Default (Art. 25 GDPR) perde qualsiasi efficacia.

In questo articolo analizziamo come i pilastri del regolamento europeo devono essere tradotti in specifiche tecniche per i programmatori attraverso lo strumento della SOP (Standard Operating Procedure).

  1. Data Minimization (Art. 5, lett. c GDPR): la blindatura dei flussi d’origine nei database

Il principio di minimizzazione dei dati impone che i dati trattati siano ridotti allo stretto necessario rispetto alle finalità del trattamento. Tradotto in logica di sviluppo software e gestione del codice, questo principio non si applica ex-post, ma direttamente sul tracciamento della pagina. Non basta scriverlo sulla carta.

Limitazione del perimetro di cattura: In un contesto online, è opportuno che il codice di tracciamento frontend venga configurato per catturare di default esclusivamente dati tecnici strutturalmente anonimi (es. tipologia di browser, ID di sessione generato casualmente). Vi è il divieto assoluto di catturare o far transitare stringhe contenenti dati identificativi (come email o dati di pagamento) all’interno di questi flussi informativi necessari al funzionamento del sito.

Mascheramento e crittografia degli indirizzi IP: L’indirizzo IP, pur essendo un dato identificativo indiretto, non deve mai fare ingresso in chiaro all’interno dei database interni o nel CRM aziendale. Salvo che non ricorra una diversa esigenza, è opportuno che gli IP siano blindati all’origine tramite algoritmi di mascheramento e crittografia prima di qualunque operazione di salvataggio; salvando, ad esempio, solo porzioni dell’indirizzo come stringhe anonime.

  1. Privacy by Default (Art. 25, par. 2 GDPR): il congelamento degli script e di Google Analytics 4

La protezione per impostazione predefinita (Privacy by Default) esige che, di base, la piattaforma non tratti dati personali a meno che l’utente non compia un’azione positiva e consapevole.

Nello sviluppo web, questo principio si traduce in un blocco fisico del codice al caricamento della pagina (page load). Sistemi di tracciamento avanzati, come Google Analytics 4 (GA4) o i pixel dei social network, devono rimanere in uno stato “congelato”. Non deve partire alcuna chiamata asincrona verso i server di terze parti finché l’utente non ha espresso un consenso granulare e positivo tramite l’interazione con il banner dei cookie. Si possono trovare online numerose soluzioni anche gratis che permettono questa gestione granulare dei consensi senza che il consenso sia preimpostato di default.

  1. Storage Limitation (Art. 5, lett. e GDPR): la data retention automatizzata nei log di sicurezza

La limitazione della conservazione non può essere una semplice dichiarazione d’intenti scritta nell’informativa privacy; ma deve essere una funzione nativa dell’infrastruttura IT. In ambienti online è opportuno pensare una data retention policy automatizzata by design.

All’interno della SOP tecnica per i programmatori, questo precetto si traduce nell’impostazione di script di pulizia automatica dei log di sicurezza. Se l’esigenza tecnica di memorizzare l’indirizzo IP in chiaro è legata alla difesa da attacchi informatici (es. mitigazione di attacchi DDoS), il sistema deve essere programmato per cancellare o anonimizzare quel dato non appena si esaurisce la finestra temporale strettamente necessaria alla sicurezza di rete, senza stoccaggi storici indefiniti.

  1. Gestione del Consenso e UI/UX Architecture: stop ai Dark Pattern

Il consenso del GDPR deve essere libero, specifico e informato. Dal punto di vista dello sviluppo dell’interfaccia utente (UI/UX), l’ingegneria giuridica impone l’eliminazione di qualsiasi dark pattern come trucchetti grafici, scritte ingannevoli o caselle pre-spuntate. Questi comportamenti possono portare a gravi sanzioni per il titolare di trattamento.

Un esempio pratico riguarda la condivisione di contenuti o il login tramite piattaforme terze (es. Instagram o Facebook). L’interfaccia deve presentare caselle di controllo (checkbox) strutturalmente vuote. Il backend del software deve essere programmato secondo una logica condizionale rigida: se il programma non riceve il valore positivo (consensuale) per tutti i campi richiesti, il codice blocca fisicamente l’invio dei pacchetti dati verso le API dei social network. Niente tracciamento occulto, nessuna condivisione preventiva.

Il valore aziendale di una SOP Legale-Tecnica per il Business Digitale

Il vero vantaggio per un’azienda che gestisce piattaforme web, e-commerce o sistemi di intelligenza artificiale non è semplicemente il riparo dalle sanzioni economiche del Garante. Il valore reale risiede nella stabilità del business e nella tutela dell’asset aziendale.

Il team di sviluppo tecnico può variare nel tempo, la piattaforma può subire aggiornamenti core o migrazioni strutturali di database, ma i paletti legali restano codificati e replicabili all’interno della SOP. Chi gestisce un business digitale deve rendersi conto che i programmatori non vogliono lezioni teoriche sul GDPR; necessitano di specifiche d’architettura chiare, espresse nella loro stessa lingua. Solo quando la legge si fonde con il codice, la compliance diventa un reale vantaggio competitivo.

 

/da
, , , , , , ,

Il Rage Baiting: Rischi legali, diffamazione e responsabilità etica e contrattuale dei brand che usano contenuti polarizzanti.

di Giacomo Conti – Titolare Studio Legale Conti

Il panorama del web 2.0, quello dominato dalle grandi piattaforme, si fonda su un sistema chiamato anche come dall’economia dell’attenzione, dove il tempo e l’interazione degli utenti sono la vera valuta.
In questo contesto, il fenomeno insidioso noto come Rage Baiting, inteso come la creazione deliberata di contenuti studiati per indignare o creare divisioni, sta trasformando la rabbia e la polarizzazione in un asset economico e sta creando un ecosistema digitale tossico con profili di rilevanza giuridica.
Analizziamo il fenomeno dal punto di vista legale e le responsabilità che ne derivano per i creator, le piattaforme e i brand.

⚖️ Il Paradosso Economico-Legale delle Piattaforme
Il modello di business delle grandi piattaforme digitali è basato sull’engagement: maggiore è il coinvolgimento generato dai contenuti condivisi dagli utenti, maggiori sono i ricavi pubblicitari pagati dagli inserzionisti.
Il Rage Baiting sfrutta questa logica, operando come una “deviazione patologica” che genera alte interazioni. I contenuti che generano rabbia e indignazione sono forti catalizzatori che generano like, condivisioni, interazioni e altre dinamiche profittevoli sia per i creatori di contenuti che per le piattaforme.
La voglia di fare profitto di creatori di contenuti contrasta con l’etica e, spesso, il buon senso e dà origine a numerose contraddizioni tipiche dell’era dell’informazione.
Nonostante il Rage Baiting contrasti con i Termini di Servizio (ToS) stabiliti dalle stesse piattaforme, queste hanno un interesse economico a non bloccare subito i contenuti virali, poiché l’aumento delle interazioni si traduce direttamente in maggiori ricavi pubblicitari.

⚠️ Il delicato confine fra Diritto di Critica e Diffamazione Online
La libertà di manifestazione del pensiero è tutelata, ma non è assoluta. Nel contesto digitale, il confine tra provocazione legittima e illecito viene superato con estrema facilità ed in Studio stiamo registrando dei casi di diffamazione online sempre in aumento operati sia da influencer che da gente comune che, spesso, superano i limiti del diritto di critica.
Perché, infatti, un contenuto critico possa ritenersi legittimo, il diritto di critica deve rispettare tre canoni giurisprudenziali fondamentali:
1. Continenza: Tono e linguaggio devono essere misurati, evitando l’insulto gratuito.
2. Pertinenza: I fatti discussi devono essere collegati all’oggetto della critica.
3. Verosimiglianza: I fatti allegati devono presentare un’apparenza di verità credibile, evitando la diffusione di notizie palesemente false.
Non è, pertanto, detto che il contenuto di Rage Baiting sia, in sé, diffamatorio; ma, anzi, al contrario potrebbe essere finalizzato proprio a provocare fenomeni di diffamazione.
Chiunque reagisca, infatti, a contenuti di Rage Baiting in preda all’ira deve essere consapevole che affermazioni impulsive e diffamatorie pubblicate online espongono a gravi conseguenze legali civili e penali se vengono superati i limiti del diritto di critica.
Chi cade nelle trappole del contenuto e risponde alla provocazione travalicando i limiti del diritto di critica, rischia di incorrere nel reato di diffamazione (art. 595 c.p.) che è, peraltro, aggravato quando commesso con mezzi di pubblicità come le piattaforme social e anche in richieste risarcitorie che possono essere più o meno fondate.

🤝 Le Responsabilità Etiche e Contrattuali dei Brand
Il rischio non è solo di tipo legale e non riguarda, solo l’utente medio, ma interessa anche le aziende e gli inserzionisti che collaborano con influencer o creator noti per contenuti polarizzanti.
Se da un lato la visibilità che l’inserzionista ottiene grazie al contenuto è immediata, nel medio-lungo termine si rischia di associare l’immagine aziendale a figure controverse, e l’azienda potrebbe subire danni reputazionali ingenti.
Per mitigare il rischio, le aziende dovrebbero, quindi, in primis, scegliere con estrema attenzione i creatori di contenuti con cui collaborare e servirsi anche di strumenti giuridici che in Studio consigliamo per tutelarsi da eventuali condotte difformi dai valori aziendali realizzati dall’influencer.
Sebbene il diritto non si occupa di etica in senso stretto, le aziende che sponsorizzando determinati influencer, dovrebbero munirsi di un codice etico chiedere ai creatori di aderirvi e imporre determinati obblighi contrattuali che disciplino anche regola di comportamento e di condotta.
Possiamo dire, che le aziende inserzioniste dovrebbero prevedere nei loro contratti di sponsoship con i creatori di contenuti i seguenti obblighi:
• Adesione al Codice Etico Aziendale: Imporre contrattualmente che il creator aderisca al codice etico del brand.
• Obblighi di Condotta: Inserire clausole contrattuali specifiche che disciplinino le regole di comportamento sui social media, prevedendo penali o la risoluzione in caso di condotte dannose o non allineate ai valori aziendali.
In questo modo, gli inserzionisti potrebbero tutelarsi nel caso in cui si trovassero ad essere promotori di contenuti di rage baiting polarizzanti e nocivi anche per la loro reputazione professionale.

🧠 La Migliore Difesa possibile: Educazione Emotiva e Digitale
Il quadro normativo è, a dire il vero, troppo vasto. Si possono citare, infatti, il GDPR, l’AI Act, il Regolamento Platform2Business, il Regolamento Digital Service Act e Digital Market Act, il Data Act, il Regolamento 2018/1807 relativo alla circolazione dei dati non personali e sono sicuro di essermene dimenticato qualcuno e, volutamente, non ho citato le normative nazionali e gli atti di soft law delle autorità di settore. A queste norme aggiungiamo i regolamenti contrattuali dati dai term of service delle piattaforme.
Tuttavia, la vera chiave di volta per disinnescare la trasformazione della rabbia in asset economico è l’educazione digitale, e ancor prima, l’educazione emotiva. Comprendere le dinamiche del Rage Baiting e imparare a gestire le reazioni emotive online è il primo e più potente strumento di prevenzione. Non farsi travolgere dalla rabbia significa non diventare vittime del meccanismo che alimenta il guadagno di chi diffonde contenuti tossici.
La nostra difesa legale più forte inizia con il nostro autocontrollo.

/da
, , , , , , ,

I Principi di Privacy by Design e Privacy by Default nella Progettazione Strategica dei Software Gestionali

Di Giacomo Conti – Titolare Studio Legale Conti


La crescente richiesta di compliance da parte di numerose Software House

Recentemente, il nostro Studio Legale registra un incremento significativo di richieste di consulenza specifica sulla compliance dei software gestionali, si rende quindi necessaria una sintesi dei ruoli e delle accortezze operative essenziali per strutturare un modello organizzativo GDPR adeguato alle Software House.
La Compliance Aziendale GDPR (General Data Protection Regulation – Regolamento UE 2016/679) relativa allo sviluppo e all’impiego di software gestionali è spesso percepita erroneamente come un mero e gravoso onere burocratico 💸. Questa percezione distorta induce molte Software House (SWH) a trascurare la creazione di processi intrinsecamente conformi ai principi di Privacy by Design e Privacy by Default e a non gestire correttamente i ruoli e le obbligazioni legali scaturenti dal Regolamento.
Tali omissioni, tuttavia, non pongono solo il rischio di incorrere in sanzioni GDPR, ma si riflettono in un chiaro svantaggio economico e competitivo che non è immediatamente percettibile in sede di progettazione e design del software. I clienti più strutturati che operano in contesti altamente regolamentati od alto rischio eviteranno, infatti, di integrare soluzioni software che non forniscano adeguate e dimostrabili tutele in materia di protezione dei dati personali.
Ne consegue che, per essere appetibili a clienti di un certo livello, le Software House devono garantire il rispetto del GDPR per l’intero ciclo di vita del software gestionale, dalla fase di progettazione e sviluppo sino alla sua installazione e messa in esercizio, conformandosi a elevati standard di protezione dei dati personali. Lungi dall’essere eccessivamente onerosi, questi adempimenti rappresentano un vantaggio competitivo strategico, ottenibile con un investimento economico, anche moderato, purché mirato e giuridicamente guidato, con una logica orientata ai processi aziendali.

Il Ruolo di Responsabile del Trattamento per le Software House e le conseguenti responsabilità GDPR

I produttori e gli sviluppatori di software gestionale, nella quasi totalità dei casi, si limitano a fornire al Cliente, il Titolare del Trattamento, un prodotto strumentale alla gestione dei processi organizzativi interni; pertanto la Software House opererà, nella stragrande maggioranza dei casi, come Responsabile del Trattamento o, in taluni casi, come Sub-Responsabile ai sensi dell’Art. 28 GDPR.
Il ruolo di Titolare del Trattamento è limitato, in genere, esclusivamente ai dati personali dei propri clienti, ad esempio per i dati di contatto e identificativi per finalità amministrative e contrattuali.

Il Data Protection Agreement e la Gestione dei Sub-Responsabili
All’interno del quadro sopra tracciato riveste un’importanza dirimente la corretta redazione e negoziazione del Contratto di Nomina a Responsabile del Trattamento, o Data Protection Agreement (DPA) che rappresenterà uno dei più importanti allegati, in uno a quello tecnico relativo ai service level agreemnt (SLA), al contratto di licenza sotware.
Bisogna, però, evitare che questo contratto sia visto come un mero adempimento cartolare. Pertanto, prima di formalizzare il DPA, la Software House deve mappare e registrare gli eventuali ulteriori fornitori (Sub-Responsabili), possibilmente nel ROPA (registro delle attività di trattamento) a cui si appoggia per l’erogazione del servizio (es. Cloud Providers come AWS, Google o Microsoft).
Questa mappatura è essenziale per garantire al Titolare la piena conoscenza della catena di trattamento e il rispetto delle clausole di autorizzazione preventiva o generale imposte dall’Art. 28, par. 2 GDPR.

Il Registro delle Attività di Trattamento del Responsabile di trattamento
Per adempiere a tale obbligo di comprensione e di prova (accountability), è indispensabile che la Software House sviluppi e mantenga un Registro delle Attività di Trattamento che dettagli i trattamenti che essa svolge per conto del Titolare. Nella redazione di questo adempimento, è opportuno che la SWH operi un ulteriore sforzo descrittivo dei propri processi, anche ulteriore rispetto a quanto previsto dall’art. 30 GDPR.

La contrattualizzazoine adeguata della gestione dei Data Breach
Un DPA che offra adeguate garanzie deve prevedere un obbligo contrattuale esplicito per la Software House di comunicare eventuali Data Breach subiti al Titolare con un preavviso notevolmente inferiore alle 72 ore previste dall’Art. 33 GDPR per la notifica all’Autorità, idealmente fissato a 48 ore o meno. Ciò garantisce al Titolare il tempo necessario per valutare l’evento e procedere alla notifica ed è valutato positivamente in sede di scelta del fornitore adeguato.

L’adozione di misure di Organizzazione e Sicurezza adeguate al rischio e al contesto: Software in Cloud vs. Software On-Premise
È ineludibile che le misure di organizzazione e sicurezza debbano essere valutate in relazione al contesto operativo specifico del gestionale.
Le misure di base, comuni a ogni sviluppo, includono l’implementazione documentata dei principi di Privacy by Design e by Default: la valutazione delle funzioni applicative in relazione ai principi di minimizzazione dei dati, la differenziazione dei profili di accesso, l’autenticazione robusta e la protezione logica degli archivi.
Tuttavia, bisogna avere chiaro il contesto del software, posto che se questo è in cloud piuttosto che on presmise, sarà opportuno adottare misure differenti con particolari aspetti ai rischi posti dal contesto specifico.

La Data Protection Impact Assessment (DPIA) fra adempimento ed opportunità
Anche se la finalità del trattamento e la raccolta dei dati restano prerogativa del Cliente/Titolare, la Software House, in qualità di Responsabile, deve dimostrare di comprendere il contesto operativo e il rischio generato dal software sui diritti e sulle libertà degli interessati.
Pertanto, è opportuno e potrebbe anche essere richiesto contrattualmente, che la Software House sia chiamata ad effettuare una valutazione di impatto (DPIA) su uno o più processi operativi.
Sebbene la DPIA sia formalmente un obbligo del Titolare, è prassi che i clienti, in particolare quelli di maggiore dimensione o quelli che trattano dati a rischio elevato, ne richiedano la prova o il supporto esplicito prima di sottoscrivere il contratto. È quindi strategicamente opportuno per la Software House condurre una Valutazione d’Impatto in house relativa al proprio software gestionale. Il Titolare potrà poi integrare questa valutazione con la propria DPIA aziendale, riducendo oneri e tempi.
Per la realizzazione di questo adempimento, gli operatori possono fare riferimento agli schemi e ai template ufficiali forniti da autorità di controllo europee, come la CNIL (Garante francese), che offrono una metodologia consolidata per la gestione del rischio.

Uno strumento utile per facilitare l’implementazione di un modello GDPR adeguato: Il codice di condotta di Assosoftware
Per aiutare le piccole medie imprese nella compliance GDPR, si segnala il Codice di condotta adottato secondo quanto prevede l’art. 40 GDPR per il trattamento dei dati personali effettuato dalle imprese di sviluppo e produzione di software gestionale pubblicato sulla gazzetta ufficiale serie generale del 278 del 27 novembre 2024 e reperibile al seguente link: https://www.assosoftware.it/servizi-offerti/codice-di-condotta/

/da
, , , , ,

La protezione dei minori online: perché il Regolamento ‘Chat Control’ viola la privacy di tutti senza proteggere nessuno

Di Giacomo Conti

La proposta di regolamento per la lotta contro il materiale pedopornografico online, noto come “Chat control” o regolamento CSAM, nasce dal nobile intento di proteggere il benessere dei minori online in una logica di prevenzione delle violenze.
Ma è davvero oro tutto ciò che luccica? Come si suol dire, la via dell’inferno è lastricata di buone intenzioni.

Si legge, nella proposta di regolamento, la necessità di prevenire determinati comportamenti online particolarmente lesivi della sfera sessuale dei minori; nella specie il grooming.

L’art. 7 della proposta di regolamento prevede la facoltà di emettere un ordine di rilevazione che impone a un prestatore di servizi di hosting o a un prestatore di servizi di comunicazione interpersonale rientrante nella giurisdizione dello Stato membro in questione di prendere le misure per rilevare casi di abuso sessuale su minori online in un servizio specifico. L’art. 10 della proposta prevede, inoltre, l’implementazione di pattern rivelatori di diffusione di materiale pedopornografico noto o nuovo o di adescamento di minori, a seconda dei casi.
Nonostante la proposta indichi un generico riferimento alla tutela della riservatezza delle comunicazioni e dei dati personali, il regolamento vuole introdurre, senza ombra di dubbio, la scansione di massa delle comunicazioni private, incluse le conversazioni crittografate.

Una proposta simile ha sollevato le perplessità di molti giuristi ed esperti di settore. In particolare, la l’European Data Protectoin Board, la massima autorità in materia di privacy e protezione del dato, ha espresso una sua opinion sul punto.
In particolare, l’EDPB ha rilevato che questa proposta di regolamento arriva ad incidere sul diritto alla riservatezza delle comunicazioni sancito e sul diritto fondamentale alla protezione dei dati personali, riconosciuti rispettivamente dall’art. 7 ed 8 CEDU. Diritti che, peraltro, fanno parte delle tradizioni costituzionali comuni agli Stati membri.

L’EDPB ha sollevato, inoltre, significative perplessità sull’efficacia delle misure tecnologiche che il regolamento vorrebbe introdurre per contrastare il fenomeno del grooming. In particolare, il Comitato rileva che, al momento, non sembra sussistere alcuna soluzione tecnologica in grado di rilevare il materiale pedopornografico condiviso in forma cifrata. Inoltre, l’EDPB ha constatato che le tecnologie attualmente disponibili, in particolare quelle per la rilevazione di materiale pedopornografico nuovo o del grooming, presentano tassi di errore relativamente elevati. Soprattutto se queste tecnologie vedono implementate soluzioni basate sull’intelligenza artificiale. Pertanto, le misure di rilevazione previste dalla proposta potrebbero avere un impatto inferiore, o anche inutile, rispetto a quello auspicato sulla diffusione di materiale pedopornografico su internet.
L’EDPB ritiene, più specificatamente, che l’ingerenza creata dalle misure per la rilevazione dell’adescamento di minori vada oltre quanto strettamente necessario e proporzionato per garantire un adeguato contemperamento delle esigenze di tutela dei diritti alla riservatezza della corrispondenza e alla protezione dei dati personali.

La Presidenza Danese, con un approccio meno diplomatico di quello dell’EDPB, ha posto degli interrogativi essenziali e più diretti alle problematiche sollevate dalla proposta.
In particolare, l’Istituzione ha rilevato che l’indebolimento obbligatorio della crittografia end-to-end creerebbe falle di sicurezza sfruttabili da criminali informatici, stati rivali e organizzazioni terroristiche, danneggiando inoltre la competitività della nostra economia digitale.
Inoltre, l’approccio tecnico proposto si basa su strumenti di analisi automatica dei contenuti che producono un’alta percentuale di falsi positivi, creando il rischio che utenti innocenti possano essere incriminati ingiustamente, mentre l’efficacia di questo approccio nella protezione dei bambini non è stata dimostrata.

Ripropongo, senza aggiungere altro, i legittimi interrogativi che ha posto la Presidenza Danese:
“Considerando la scansione obbligatoria di tutte le comunicazioni private, il regolamento proposto è compatibile con l’articolo 7 della Carta dei diritti fondamentali?
Come garantirà che la protezione dei minori sia raggiunta attraverso misure mirate e dimostrate efficaci, senza violare i diritti fondamentali di tutti i cittadini?
Come intende prevenire l’impatto negativo sulla cybersicurezza e sulla competitività economica causato dall’indebolimento della crittografia?”

La questione pone problemi non solo giuridici, ma anche filosofici di base su cui è bene interrogarci prima di pensare di introdurre riforme di un simile impatto.
Ritengo, in primo luogo, erroneo porre in termini di binomio il rapporto fra sicurezza e libertà che sono concetti non assoluti.
La libertà si esprime in un contesto: posso essere libero di compiere o non compiere determinate azioni o da una certa ingerenza che può essere privata o pubblica. Ugualmente e di pari passo, il concetto di sicurezza, come sanno bene gli informatici, non è un concetto assoluto, ma relativo. Posso essere sicuro solo da qualcosa. Nell’illuminante lettura del libro di Cesare Gallotti sulla sicurezza dell’informazioni, mi colpì il riferimento alla sicurezza di Fort Knox, il luogo dove è conservata la riserva aurea degli Stati Uniti considerato, forse giustamente uno dei luoghi più sicuri al mondo. Nello specifico, Fort Knox di fronte a un molto improbabile pioggia meteoritica o attacco alieno sarebbe un luogo decisamente vulnerabile.
Bisogna, infatti, partire dall’assunto che senza libertà non possa esserci sicurezza e viceversa. Sorge, pertanto, spontaneo chiedersi di quale libertà potrà mai godere un individuo non sicuro e quale sicurezza potrebbe avere un individuo non libero. Un poco come il mito della caverna di Platone, la libertà e la sicurezza dovrebbero derivare da una maggiore comprensione del mondo che ci circonda.
Sembra, pertanto, inimmaginabile che l’Unione Europea, patria del GDPR, abbia potuto partorire un simile obbrobrio giuridico che neanche una dittatura distopica si sognerebbe di proporre.
Queste considerazioni, mi hanno rinfrescato ricordi di storia e, in particolare, la massima di Wiston Churchill elaborata a Chamberlain e ai sostenitori delle politiche di appeasement verso Hitler e i Nazionalsocialisti: “Potevano scegliere fra il disonore e la guerra. Hanno scelto il disonore e avranno la guerra”
Nel caso concreto, applicando questa massima alla democraticissima Unione Europea, mi viene da parafrasare W. Churchill in questi termini: “Potrebbero scegliere fra la libertà e la sicurezza. Sceglieranno la sicurezza, non avranno sicurezza e perderanno la libertà.”

A dispetto del dichiarato progresso, la mia personale opinione è che stiamo regredendo al futuro tracciando scenari inimmaginabili neanche nei più tetri romanzi distopici.

Per il testo della proposta di regolamento, v. il sito istituzionale in https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:52022PC0209
Per il parere dell’European Data Protection Board scarica il contenuto dal sito ufficiale in https://www.edpb.europa.eu/system/files/2023-02/edpb_edps_jointopinion_202204_csam_it.pdf
Per i quesiti posti dalla presidenza danese v. https://www.europarl.europa.eu/doceo/document/E-10-2025-003250_EN.html

Per il riferimento letterario v.: https://trbooks.de/regIT.php?id=Sicurezza%20delle%20informazioni:%20valutazione%20del%20rischio;%20i%20sistemi%20di%20gestione%20per%20la%20sicurezza%20delle%20informazioni;%20la%20norma%20ISO/IEC%2027001-0244153019

/da
, , , , , , , ,

Il regime di responsabilità di Google per contenuti di terze parti nella giurisprudenza del Consiglio di Stato

di Giacomo Conti

 

Il Consiglio di Stato, con la recente pronuncia 04277.2024 ha escluso l’applicabilità della Direttiva sul Commercio elettronico per l’intermediario digitale, ritenendo non giustificato il principio speciale di esenzione da responsabilità per contenuti di parti terzi per l’intermediario digitale.

La vicenda in esame nasce da una sanzione dell’AGCOM attraverso la quale BigG è stato sanzionato per violazione dell’art. 9 del Decreto Dignità che impone il “Divieto di pubblicità giochi e scommesse”.

L’attività istruttoria operata dall’Autorità Garante ha messo in luce come digitando le parole chiave “Casinò online” si poteva raggiungere, dalla pagina dei risultati di ricerca Google Web Search,  il link al sito http://sublime-casino.com : sito che conteneva una réclame del gioco d’azzardo attraverso inviti del seguente tenore: “Unisciti Ora Al Nuovissimo Casinò Online Italiano. Gioca Subito A Oltre 400 Giochi  Iscriviti Ora E Registrati In Meno Di 30 Secondi! Nessun download. Sicuro e Protetto“. A sua volta, il sito dell’inserzionista rivinava ad ulteriori link per siti web che consentivano agli utenti di giocare a pagamento online.

Google, nell’ambito delle proprie difese, eccepiva la totale estraneità della propria attività rispetto alla pubblicazione di annunci dei propri utenti commerciali sulla propria piattaforma, la liceità dell’annuncio e il rispetto del decreto dignità in quanto l’annuncio non consentiva di effettuare gioco d’azzardo direttamente.

Disattendendo le eccezioni di Google e riformando in parte la pronuncia del TAR di primo grado, il Consiglio di Stato ha messo in luce come Google non rientrerebbe nel perimetro soggettivo di applicazione dell’hosting provider ai sensi della Direttiva del commercio elettronico.

L’istruttoria operata dal Collegio ha messo in luce come il servizio Google Web Search fornito dalla società consente agli utenti di ricercare su internet contenuti pubblicati da terze parti, mentre il servizio Google Ads, tramite il quale è stato pubblicato l’annuncio di contestazione, è un servizio di posizionamento pubblicitario online che consente agli operatori economici di pubblicare “link sponsorizzati verso determinati siti di destinazione” associati a determinate parole o chiavi di ricerca. È stato evidenziato come sia proprio l’attività Google a rendere maggiormente visibili questi risultati rispetto ad altri all’utenza. In particolare, il Consiglio di Stato ha precisato che l’attività di promozione commerciale svolta da Google sia confermata dalla circostanza per cui gli inserzionisti pagano la piattaforma per il servizio in modo proporzionale rispetto alle effettive visualizzazioni che il messaggio pubblicitario riceve.

Posto che Google realizza un controllo sui contenuti presenti all’interno del proprio servizio nell’ottica di consentire ai propri clienti di “ottimizzare le loro vendite online” promuovendoli sul mercato e avendo al riguardo un proprio interesse economico alla buona riuscita di tale promozione Google, non può sicuramente ritenersi un intermediario passivo.

Pertanto, l’attività realizzata da Google esclude che questo possa essere hosting provider passivo, dal momento che la società svolge un servizio di indicizzazione e promozione professionale di contenuti di terze parti. La conseguenza naturale è che Google non rimane neutrale in relazione ai contenuti indicizzati e pubblicati nella propria piattaforma.

In ragione di queste argomentazioni, il Consiglio di Stato ha ritenuto integrati i presupposti richiesti dalla giurisprudenza europea e nazionale per poter qualificare un operatore quale hosting provider attivo, con conseguente esenzione dell’applicazione del regime di responsabilità speciale di safe harbor per gli hosting provider disciplinato dalla direttiva sul commercio elettronico.

 

Per maggiori approfondimenti, v. il testo integrale del provvedimento CdS Google

/da
, , , , , , , , ,

LA SANZIONE DELL’AGCM A TIKTOK PER IL CASO FRENCH SCAR. ACCOUNTABILITY E GESTIONE DEI CONTENUTI PERICOLOSI.

Di Giacomo Conti

Con provvedimento in data 05 marzo 2024, l’Autorità Garante della Concorrenza e del Mercato ha comminato a TikTok Information Technologies UK Limited una sanzione amministrativa pecuniaria di 10.000.000 € (diecimilioni di euro) per inadeguata vigilanza sui contenuti pubblicati dagli utenti.

La decisione dell’autorità si pone nel solco di un filone interpretativo che mira a responsabilizzare le piattaforme per la gestione dei contenuti e che individua una vera e propria responsabilità per mancata gestione del rischio laddove i contenuti condivisi all’interno del servizio possano porre dei rischi per i diritti degli utenti. Merita menzione sul punto il precedente caso AGCM contro TripAdvisor dove la piattaforma di recensioni era stata sanzionata per Mezzo Milione di Euro per non avere vigilato sulle false recensioni all’interno della piattaforma la cui presenza avrebbe provocato danni ad albergatori e ristoratori (https://www.agcm.it/media/comunicati-stampa/2014/12/alias-7365 ).

Nel caso in esame, l’autorità di vigilanza ha rilevato all’interno della piattaforma TikTok, da un lato, la presenza di contenuti suscettibili di minacciare la sicurezza psico-fisica degli utenti, quali quelli relativi alla challenge c.d. “cicatrice francese” (“french scar”); e, dall’altro, l’inadeguatezza delle azioni realizzate dal social per evitarne la diffusione. In particolare, è stato accertato che questi contenuti pericolosi venivano addirittura proposti reiteratamente agli utenti attraverso ‘sistemi di raccomandazione’ suscettibili di condizionare le scelte dei consumatori, nella specie di quelli vulnerabili.

In particolare, i contenuti vengono proposti sulla base di un sistema di profilazione algoritmica che individua e seleziona contenuti personalizzati in base a una combinazione di fattori volti a cogliere le preferenze e gli interessi del singolo attraverso le interazioni con gli altri utenti dove vengono inseriti like, quali video sono condivisi, commenti inseriti, tempo speso a vedere un vide,;  le caratteristiche del video come didascalie, hashtag, suoni, paese; nonché le informazioni sull’utente come le impostazioni del dispositivo, dell’account o la lingua selezionata. Inoltre, è integrato un sistema di consultazione basato sui feed “Seguiti”, dove sono rinvenibili i video pubblicati dagli utenti di cui l’utente è diventato “follower”.

L’AGCM ha, peraltro, messo bene in evidenza come il sistema di ricerca attiva dei contenuti operi solo in via residuale a maggiore evidenza di come gli utenti siano esposti ai contenuti proposti dalla piattaforma. In particolare, le risultanze istruttorie hanno dimostrato che adolescenti vulnerabili sono esposti con una frequenza maggiore a contenuti pregiudizievoli a causa del sistema di raccomandazione di TikTok in ragione della profilazione operata dalla piattaforma.

Inoltre, l’Authority ha messo in luce come l’aumento dell’attività degli utenti sulla piattaforma amplifica la redditività degli spazi pubblicitari perché il maggior utilizzo di TikTok fornisce al sistema di raccomandazione algoritmico più informazioni sulle preferenze degli utenti. Questo a maggiore dimostrazione dell’interesse della piattaforma a proporre contenuti potenzialmente perché di potenziale interesse dell’utente pure se dannosi per la salute fisica e mentale di questi.

Anche in questo caso, come accaduto in precedenza con la sanzione a TripAdvisor (v. https://www.agcm.it/media/comunicati-stampa/2014/12/alias-7365 ), l’AGCM ha ribadito l’esistenza di un vero e proprio obbligo per la piattaforma di gestire questi contenuti.

Dagli accertamenti, inoltre, è stata dimostrata l’inadeguatezza dei sistemi di moderazione dei contenuti, automatizzati e gestiti dalle risorse umane di TikTok posto che è emerso che la maggior parte dei video rimossi da TikTok riguarda le categorie che le Parti hanno definito “sicurezza dei minori”, “contenuti violenti espliciti”, “nudità e attività illegali”, mentre solo il 5% delle rimozioni ha riguardato “atti e sfide pericolose”. Nonostante l’attività umana di moderazione sia particolarmente rilevante per contenuti la cui inadeguatezza risulta meno immediata, dagli atti risulta che i componenti del “Team di moderatori” sono selezionati secondo requisiti generici come l’“attenzione alle problematiche sociale”, la familiarità con le leggi e normative relative a internet e la capacità di lavorare su turni diversi. Inoltre, è stato documentato che i moderatori vengono formati tramite corsi interni sull’applicazione delle Linee Guida che, per quanto in atti, appaiono incentrati più sui contenuti violenti, illegali, o a contenuto sessuale che non su challenge e atti pericolosi per i minori

Nella propria valutazione, pertanto, l’autorità ha ritenuto che la piattaforma avesse violato gli obblighi di diligente applicazione delle proprie Linee Guida comunicate agli utenti, condizionato indebitamente degli utenti attraverso la riproposizione di contenuti che sfruttano la vulnerabilità di alcuni gruppi di consumatori; predisposto inadeguate misure di controllo e vigilanza adottate da TikTok sui contenuti pubblicati dagli utenti, con particolare riferimento alla tutela dei soggetti minori e vulnerabili e, da ultimo, diffuso contenuti in grado di minacciare la sicurezza psico-fisica di bambini ed adolescenti.

Per queste ragioni è stata, pertanto, emessa una sanzione per pratica commerciale scorretta ai sensi degli articoli 20, comma 2 e 3, 21, comma 2 lettera b), 21, comma 4, 25, comma 1, lettera c) del Codice del consumo in quanto contraria alla diligenza professionale e idonea riconoscendo una vera e propria responsabilità per inadeguata vigilanza sui contenuti pubblicati dagli utenti.

 

 

Per maggiori informazioni si rinvia al testo integrale del provvedimento reperibile in https://www.agcm.it/media/comunicati-stampa/2024/3/PS12543-

/da
, , , , , , , ,

Ruoli GDPR, Whistleblowing e gestione del canale di segnalazione. Perché l’art. 13 del Decreto Whistleblowing non convince?

Di Giacomo Conti

 

Secondo l’art. 13 comma 4 del Decreto Whistleblowing, i trattamenti di dati personali relativi al ricevimento e alla gestione delle segnalazioni sono effettuati dai soggetti di gestori dei canali di segnalazione, che sono da considerarsi, a rigor di norma, titolari del trattamento.

Se così fosse, sarebbero questi soggetti sono tenuti ad adottare le misure di organizzazione e sicurezza appropriate a tutela dei diritti e delle libertà degli interessati, mentre per eventuali violazioni della normativa o per data breach. Il tutto mentre, l’organizzazione che non ha implementato il canale o non ha adottato adeguate misure di sicurezza non dovrebbe rispondere per violazioni o data breach non essendo titolare del trattamento.

A livello sistematico appare evidente come questa norma non sia compatibile con quanto stabilito dal GDPR secondo cui i ruoli nell’ambito delle attività di trattamento di dati personali sono dettati dal principio di finalità del trattamento in ragione del quale il titolare è colui che determina le finalità del trattamento e ne individua la base giuridica.

Pertanto, secondo l’art. 4 numero 7 del GDPR, deve intendersi come titolare del trattamento la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. Quindi, l’organizzazione che ha predisposto il canale di segnalazione.

Seppure il GDPR stabilisca che quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri, la scrittura della norma appare non conforme con i principi generali in materia di protezione dei dati.

È, infatti, evidente come nel caso in cui la gestione dei canali di segnalazione si affidata a un ufficio interno all’ente le persone incaricate della gestione del canale di segnalazione saranno necessariamente autorizzate ai sensi dell’art. 29 GDPR. Peraltro, in ragione del principio di substance over form nella definizione dei ruoli GDPR non dovrebbe rilevare se questi soggetti sono professionisti autonomi o dipendenti dell’ente.

Il fatto che questi soggetti siano persone autorizzate e non titolari di trattamento è messo in evidenza dall’articolo 4 comma 2 del Decreto Whistleblowing secondo cui la gestione del canale di segnalazione è affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione. Questo comma è in evidente contraddizione e distonia con l’art. 13 della norma.

Il Decreto Whistleblowing contempla anche il caso in cui la gestione del canale sia affidata a un soggetto esterno e, come nel caso precedente, il personale preposto alla gestione della segnalazione che in questo caso è del gestore del canale esterno deve essere specificamente formato. In questo caso, l’ente esterno incaricato della gestione del canale potrebbe essere un data processor ai sensi dell’art. 28 GDPR e le persone che trattano i dati personali nell’ambito delle segnalazioni, ugualmente, dovrebbero ritenersi soggetti autorizzati che operano sotto l’autorità non del controller, ma del processor.

Seppure la normativa sia ancora troppo recente per avere prodotto giurisprudenza sul punto, si può attingere, almeno per analogia, ad alcuni precedenti del Garante che si è espresso in tema di ruolo GDPR dell’Organismo di Vigilanza.

In alcune ipotesi, infatti, il gestore del canale di segnalazione potrebbe anche essere un membro dell’organismo di vigilanza e il Garante si è già espresso sul punto con il “Parere sulla qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza previsti dall’art. 6, d.lgs. 8 giugno 2001, n. 231” in data 21 maggio 2020 reperibile in: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9347842

Il Garante ha ritenuto che l’OdV, nel suo complesso e a prescindere dalla circostanza che i membri che lo compongano siano interni o esterni, debba essere considerato come parte integrante dell’ente. Per l’effetto, i singoli membri dell’OdV debbano considerarsi come soggetti autorizzati ai sensi dell’artt. 4, n. 10, 29, 32 par. 4 Regolamento e dell’art. 2-quaterdecies del Codice della Privacy.

La designazione dei membri dell’OdV, al pari dell’istituzione dell’ufficio preposto alla gestione del canale di segnalazione è, infatti, un atto di organizzazione e non negoziale e, pertanto, appare corretto qualificare questi soggetti come autorizzati (art. 29 GDPR) e non come responsabili di trattamento piuttosto che titolari (art. 28 GDPR).

Ne consegue che, anche nel caso di una violazione di dati derivante nell’ambito della gestione del canale di segnalazione affidata a un soggetto esterno, dovrà rispondere necessariamente l’ente. In quest’ultimo caso, per culpa in eligendo in ragione di una scelta di un soggetto non adeguato.

L’impostazione normativa, all’apparenza, sembra deresponsabilizzare le organizzazioni che, per legge sono tenute ad adottare il sistema di whistleblowing e, pertanto, è opportuno e necessario adottare un’interpretazione correttiva conforme al GDPR che vorrebbe che l’organizzazione fosse titolare di trattamento. Il tutto anche per assicurare un adeguato livello di protezione dei dati personali che il Decreto WhistleBlowing richiede essendo la protezione dei dati personali del segnalante uno dei principi cardini assieme alle misure di protezione della sua persona.

 

/da
, , , , ,

I rapporti tra piattaforma e influencer nella creator economy.

BREVE DESCRIZIONE DEL CONVEGNO

Convegno di studi avente ad oggetto: “L’informatica e il diritto dei contratti: Blockchain e Smart Contracts”

Data: Martedì 21 giugno 2023 – ore 14.30 – 18.30

Luogo del convegno: Sala Crociera di Giurisprudenza presso Università degli Studi di Milano in Via Festa del Perdono n. 7

RELATORI E INTERVENTI

15.00 – Introducono e coordinano
Prof. Lucio Camaldo – Presidente Algiusmi – Università degli Studi di Milano
Dott. Stefano Gazzella – Coordinatore Comitato scientifico AssoInfluencer
15.30 – Professione Influencer
Arianna Chieli, Creator Digitale e Content Strategist
16.00 – Il diritto dell’influencer: work in progress?
Prof. Pierluigi Perri, Docente di Informatica giuridica, Università degli Studi di Milano
16.30 – La tutela legale dei contenuti digitali
Prof.ssa Silvia Giudici, Docente di Diritto industriale, Università degli Studi di Milano
17.00 – Profili giuslavoristici dei creator
Avv. Paolo Iervolino, Vicecoordinatore Comitato scientifico AssoInfluencer, Assegnista di ricerca presso l’Università di Palermo
17.30 – Le nuove professioni digitali e non ordinistiche
Avv. Massimo Burghignoli, Past President Algiusmi
18.00 – I rapporti tra Piattaforma e Creator
Avv. Giacomo Conti, Socio Algiusmi e Patreon AssoInfluencer
18.30 – Interventi e dibattito

17.30 – Interventi programmati e dibattito

18.30 – Chiusura dell’incontro

BREVE DESCRIZIONE DELL’INTERVENTO DELL’AVV. GIACOMO CONTI

Il convengo si propone di esaminare i rapporti economici e giuridici nell’ambito dell’ecosistema delle piattaforme digitali.
Dopo avere fatto luce su cosa si intenda per Influencer e messo in luce i profili di professionalità dei creatori di contenuti, si affronteranno i profili relativi alla tutela dei contenuti digitali e giuslavoristici.

Per meglio comprendere la portata di questa nuova figura professionale, verranno esaminati i profili relativi alle nuove professioni digitali e non ordinistiche nonché i rapporti Platform2Business, con particolare riguardo ai rapporti fra creatore di contenuti e piattaforma.

L’intervento dell’avvocato Conti pone dapprima il focus sull’ecosistema di rapporti giuridici che le piattaforme digitali creano per mettere al centro la figura del creatore dei contenuti e dell’influencer, analizzando i rapporti fra queste importanti figure centrali nell’ambito dell’economia del web 2.0.
Successivamente, dopo averne analizzato i tratti distintivi della figura dell’influencer, si analizza come l’influencer sia al centro di una serie complessi di rapporti, ad esempio con la propria fanbase, con i propri sponsor ma anche con la piattaforma online.
Nonostante la centralità di questa figura, l’influencer può essere oggetto di comportamenti di abuso da parte delle grandi piattaforme digitali che, attraverso i propri poteri, possono penalizzarne fortemente l’attività, ad esempio demonitizzandone o rimuovendone i contenuti o bloccandone il canale. Ma anche con comportamenti più subdoli, come collocarlo ingiustificatamente in fondo ai risultati di ricerca facendogli perdere importanti visualizzazioni e, per l’effetto, occasioni di crescita e sviluppo professionale.
Pertanto, vengono analizzati i profili di tutela che l’ordinamento civilistico offre a questa figura partendo dai rimedi in house alla piattaforma per poi approfondire i profili di tutela giudiziale.

Il convegno nasce da una sinergia fra Algiusmi, Associazione dei Laureati di Giurisprudenza dell’Università di Milano, ed AssoInfluencer, associazione rappresentativa dei creatori di contenuti a livello nazionale

Scarica la locandina del convegno cliccando alla seguente risorsa: SAlgiusmi_AssoInfluencer 21-06-2023

Scarica le slide dell’intervento dell’Avv. Giacomo Conti: Rapporti Piattaforma2Influencer Conti

Per maggiori approfondimenti sul tema:

https://www.maggiolieditore.it/lineamenti-di-diritto-delle-piattaforme-digitali-volume-1.html

https://www.maggiolieditore.it/lineamenti-di-diritto-delle-piattaforme-digitali-volume-2.html

/da
, , , , , , ,

Lo smart contract fra realtà e falsi miti: un contratto né smart né contract. Passato, presente e futuro dei contratti intelligenti

BREVE DESCRIZIONE DEL CONVEGNO

Convegno di studi avente ad oggetto: “L’informatica e il diritto dei contratti: Blockchain e Smart Contracts”

Data: Martedì 31 maggio 2022 – ore 14.30 – 18.30

Luogo del convegno: Sala Crociera di Giurisprudenza presso Università degli Studi di Milano in Via Festa del Perdono n. 7

RELATORI E INTERVENTI

14.30 – Registrazione dei partecipanti

15.00 – Saluti introduttivi

Prof. Lucio Camaldo – Presidente Algiusmi – Università degli Studi di Milano

Coordina: Avv. Massimo Burghignoli – Past President Algiusmi

15.30 – Blockchain e smart contracts: caratteristiche e possibili ambiti di applicazione

Prof. Francesco Delfini (Ordinario di diritto civile – Università degli Studi di Milano)

16.00 – Le nuove frontiere dell’informatica giuridica in ambito contrattuale

Prof. Giovanni Ziccardi (Associato di informatica giuridica – Università degli Studi di Milano)

16.30 – La regolamentazione sovranazionale

Dott.ssa Benedetta Cappiello (Ricercatrice di diritto internazionale – Università degli Studi di Milano)

17.00 – Lo smart contract fra realtà e falsi miti: un contratto né smart né contract. Passato, presente e futuro dei contratti intelligenti

Avv. Giacomo Conti (Avvocato del Foro di Milano – Socio Algisumi)

17.30 – Interventi programmati e dibattito

18.30 – Chiusura dell’incontro

BREVE DESCRIZIONE DELL’INTERVENTO DELL’AVV. GIACOMO CONTI

L’intervento al convegno presso l’Università Statale di Milano organizzato dall’Associazione Algiusmi, è strutturato in una parte di introduttiva dove, per brevissimi cenni, si  affronta l’evoluzione storica e sociologica del contratto dalla prima rivoluzione agricola fino all’era dell’informazione. Verrà messo in luce il rapporto fra uomo e tecnologia nella società contemporanea evidenziando come l’evoluzione tecnologica arrivi a mutare e riformare le modalità attraverso le quali la volontà delle parti si esprime e si esegue nell’ambito di un vincolo giuridico.

Nella seconda parte si approfondirà lo stato dell’arte, natura e applicazioni dello smart contract, mettendo in luce come lo stesso non sia né smart né contract, bensì un programma informatico finalizzato ad eseguire una volontà “programmata” delle parti.

Successivamente, l’intervento toccherà falsi miti che riguardano gli smart contract, e si analizzeranno i profili tecnici di programmazione del codice-contratto con l’analisi di esempi concreti di linee di codice. Successivamente si affronteranno le fondamenta della tecnologia blockchain alla base degli smart contract moderni, con particolare riguardo dell’attività di criptazione della registrazione su blockchain delle informazioni.

Dopo avere fatto il punto sullo stato normativo della materia, verranno analizzati gli scenari di evoluzione della materia con un’ottica esplorativa/speculativa, mettendo in luce le criticità e i profili di sicurezza della blockchain e il futuro ruolo del giurista alla nell’era dei contratti intelligenti e gli impatti dell’intelligenza artificiale sugli smart contract.

 

Scarica la locandina del convegno cliccando alla seguente risorsa: SMART CONTRAT CONVEGNO STAMPA

 

 

Scarica le slide dell’intervento dell’Avv. Giacomo Conti: Slide Smart contract

/da
, , , , , , , , ,

GDPR for dummies. Il modello organizzativo minimo per una PMI – Paperless compliance for free… almost.

Nonostante la protezione del dato e la cultura della sicurezza delle informazioni abbiano compiuto dei significativi passi in avanti negli ultimi anni, ancora oggi, molte piccole-medie imprese trovano difficoltà nell’implementare modelli di gestione della privacy anche basilari.

Molti continuano, ingiustamente, ad avere paura delle sanzioni previste dal Regolamento Europeo con l’effetto di produrre inutile carta senza aumentare il livello di consapevolezza, accountability e sicurezza. Da qui si producono inutili consensi controfirmati, lettere di incarico senza formare le risorse e burocratizzazione inutile di processi che potrebbero essere lineari, semplici e paperless.

Non penso sia un caso, dunque, che la protezione del dato continui erroneamente ad essere abbinata a burocrazia inutile quando essa potrebbe essere agevolmente gestita con pochi essenziali adempimenti.

Non me ne voglia chi ci ha prosperato con la paura delle salatissime multe e prodotto carta inutile; ma molte volte, per raggiungere un grado sufficiente di compliance, è sufficiente dotarsi di pochi piccoli accorgimenti ed effettuare pochi piccoli investimenti mirati, principalmente in misure di sicurezza e formazione delle risorse umane.

Sperando di ripetere l’ovvio, ribadisco che la “paperless compliance for free… almost” non può trovare applicazione, ad esempio, per realtà molto particolari che effettuano trattamenti ad alto rischio, anche se poco strutturate così come per realtà che trattano dati su larga scala o presentano rischi maggiori rispetto alla media.

Per affrontare il discorso relativo alla paperless compliance, è necessario tenere presente che il GDPR va letto partendo dall’articolo 1 per poi scorrere verso gli articoli finali abbinando, se possibile, la lettura dei considerando alla norma.

È oramai opinione consolidata fra gli esperti che il GDPR chiede di affrontare con un approccio organico tutti i processi aziendali dove vengono coinvolti dati personali.

Ogni processo deve, dunque, essere originariamente configurato per garantire il rispetto principi generali previsti dall’art. 5: liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza e responsabilizzazione (o accountability per gli anglofili).  Non ci dilungheremo in questa sede su questi principi, limitandoci a citarli.

In secondo luogo, bisogna vedere se ricorre una o più delle basi di legittimità previste dal susseguente art. 6, fra cui è presente anche il consenso dell’interessato che però, è bene richiedere solo ove strettamente necessario (v. https://avvgiacomoconti.com/un-consenso-per-uno-e-uno-per-tutti-una-corretta-applicazione-del-principio-di-irresponsabilizzazione/ ).

Se l’organizzazione sa perché tratta il dato e partendo da quali basi, ad esempio un contratto o una norma di legge o un legittimo interesse, potrà approfondire la conformità del processo al GDPR, ma potrà con una certa ragionevolezza essere sicura che il processo è, in linea di massima, lecito.

Sorvolando sugli articoli seguenti ci troviamo all’art. 24 che menziona espressamente i rischi per i diritti e per le libertà degli interessati che sono indicati per sommi capi nel testo dell’articolo. La norma, senza richiedere nulla di trascendentale chiede semplicemente di tenere conto dei trattamenti che vengono operati all’interno dell’organizzazione e di adottare misure organizzative e di sicurezza adeguate e parametrate al rischio.

Senza pretesa di esaustività, basti pensare al fatto che il trattamento di dati personali apre una finestra sulla vita dell’interessato e a seconda del “peso specifico” del dato personale sarò in grado di conoscere certi aspetti della vita di una persona che sarà, conseguentemente, vulnerabile. Per questa ragione il GDPR distingue i dati in comuni (che permettono di identificare o prendere contatto con l’interessato) e particolari (che invece rilevano aspetti particolarmente delicati della vita privata altrui).  È bene abbinare la lettura dell’art. 24 agli artt. 9 e 10 del GDPR per meglio comprendere il concetto di “rischi per i diritti e per le libertà”.

Semplificando al massimo questo processo che è piuttosto complesso, è essenziale che ogni organizzazione sappia almeno in linea di massima quali dati tratta, per quale motivo e che effetto una violazione alla loro riservatezza, integrità e disponibilità può avere sulla vita personale del lavoratore, del cliente del fornitore e degli altri soggetti coinvolti nel trattamento.

Veniamo ora all’art. 29 che richiede di adottare misure organizzative adeguate. In questa sede ci limiteremo ad indicare le misure che ogni impresa dovrebbe adottare fra le quali, l’individuazione del designato/privacy officer che è un soggetto interno incaricato della gestione delle procedure di trattamento dei dati e per rispettare il GDPR, come garantire le richieste degli interessati o comunicare con l’autorità garante.

Questa figura dovrebbe essere interessata alla materia, adeguatamente formata e responsabilizzata per assicurare un adeguato livello di compliance interno all’organizzazione. L’attività di designazione del referente privacy è un processo a costo zero. Altrettanto gratuita potrebbe essere la creazione dell’organigramma aziendale dove vengono mappati funzioni e compiti dei soggetti designati dall’organizzazione.

Se si vuole che la designazione sia efficiente, tuttavia, sarebbe bene stanziare una somma – anche modesta – per la formazione dei referenti affinché questi siano in grado di mappare e gestire le procedure di cui sono incaricati e responsabilizzare anche gli altri soggetti autorizzati al trattamento.

Veniamo a questo punto ai registri disciplinati dall’art.30: questi altro non sono che un processo di mappatura dei trattamenti che l’azienda opera. Pertanto, i registri dovrebbero configurarsi più che come un documento, come una procedura da monitorare e tenere aggiornata con l’evolversi dei processi aziendali. Pertanto, essi possono essere tenuti senza particolari formalità e aggiornati, anche mediante stampa del file anche in PDF, all’occorrenza.

Più che la forma, è importante che questi strumenti siano tenuti da un soggetto competente che, verosimilmente, sarà il designato aziendale che conoscerà i processi aziendali ed avrà anche una discreta conoscenza normativa ove adeguatamente formato.

Oltre al registro delle attività di trattamento (art. 30), è opportuno che l’organizzazione si munisca anche di un registro della formazione per documentare l’attività svolta e un registro delle violazioni (art. 33) per documentare eventuali data breach e che è uno strumento di ausilio e responsabilizzazione fondamentale per valutare se e quali conseguenze la violazione potrà avere per gli interessati coinvolti.

Seppure i registri non siano richiesti a tutte le organizzazioni, l’adozione di questi è stata fortemente incoraggiata sia dalla nostra Autorità Garante che dal Comitato Europeo per la protezione dei dati personali, ma anche da autorità straniere.

Veniamo ora ai processi relativi alla sicurezza dei dati che possono avere natura fisica o logica.

La sicurezza fisica si articola in misure piuttosto banali come, ad esempio, l’apposizione di porte blindate agli ingressi, inferriate alle finestre, la presenza di estintori.

Apparentemente più complesso è il profilo della sicurezza informatica, ma anche qui, vedremo soluzioni a basso costo o gratuite che possono aiutare enormemente l’organizzazione ad aumentare il proprio livello di sicurezza.

Il primo problema comune a tutte le organizzazioni è la gestione delle Password. Avere password in giro non protette è come lasciare le chiavi della porta vicino allo zerbino di casa.

Rinviando all’apprezzabile vademecum elaborato dal Garante (v. https://www.garanteprivacy.it/temi/cybersecurity/password) è consigliabile adottare gestionali gratuiti come KeePass ( v. https://keepass.info/ ) che salvano i dati in locale criptati eliminando il rischio del cloud e attraverso la master password e i plugin consentono un’agile gestione delle password eliminando fogliettini, il rischio di perderle e altri rischi. Il dipendente dovrà ricordarsi solo la Master Password di accesso al servizio KeePass per accedere in sicurezza a tutte le proprie credenziali.

Altro problema che ogni organizzazione affronta è il backup e, per le organizzazioni più semplici, può bastare anche un piccolo investimento in un NAS o in un economico servizio di backup online scegliendo quello più adatto alle proprie esigenze. Senza dilungarci sulla gestione della backup policy in questa sede, si segnala Duplicati (v. https://www.duplicati.com/ ): una soluzione che rende più efficiente il processo di backup e aiuta a gestire il rischio di perdita dei dati trattati. Questo sistema, di default cripta i dati in formato criptato e permette di gestire la recovery dei dati in maniera intuitiva e semplice. Il gestionale è anche flessibile e permette all’utente di configurare i tempi, modi e livelli di sicurezza del backup.

Potrebbe essere auspicabile anche prevedere un programma formativo con oggetto la cybersecuirty awareness per sensibilizzare i dipendenti alle minacce informatiche. Per iniziare il percorso di sensibilizzazione si può iniziare con il fruire di risorse gratuite e accessibili online.

I problemi della sicurezza informatica, ça va sans dire, non si esauriscono a quelli indicati ed è auspicabile che buona parte delle organizzazioni si accerti, fra le altre cose, di:

  1. Installare solamente programmi originali da autori verificati e sempre aggiornati all’ultima versione
  2. Investire in un solido antivirus che implementi almeno un firewall logico e sistemi di rimozione di malware
  3. Differenziare la rete ad uso interna da quella data ad uso degli ospiti adottando processi di segmentazione

I più scrupolosi vorranno, altresì, adottare un firewall perimetrale integrato con un servizio di analisi dei file di log.

Pare, dunque, opportuno stanziare somme, anche modeste, per aumentare il proprio livello di sicurezza informatica in azienda investendo sulle risorse umane e sulle misure di protezione tecniche.

Un’azienda con un elevato grado di compliance al GDPR, dunque, saprà valutare in autonomia gli investimenti, a livello tecnico e sulle risorse umane, che dovrà operare e saprà gestirsi autonomamente evitando di spendere soldi in consulenze inutili e carte e agire in autonomia per rispettare la norma, nelle migliori ipotesi, con un costo tendente allo zero o con un investimento più che contenuto.

Il GDPR non richiede, dunque, di produrre carte, ma di implementare dei processi efficienti per una corretta gestione del dato e, per essere applicato efficacemente, richiede cultura, formazione e sensibilizzazione.

/da