Privacy e disaster recovery marciano sempre più unite.

Molto spesso abbiamo affermato che le due materie Privacy e Disaster recovery hanno molti punti di contatto adesso se ne è accorto anche il Garante con Nostra somma soddisfazione.

Il Garante ha messo il proprio sigillo sullo schema di “Linee-guida per il Disaster Recovery delle pubbliche amministrazioni” predisposto dall’Agenzia per l’Italia digitale (ex DigitPa).

Come previsto dal Codice dell’amministrazione digitale (Cad),tutte le P.A. hanno l'obbligo di predisporre, e aggiornare periodicamente, il piano di disaster recovery, ossia l’insieme delle attività necessarie per ripristinare le funzionalità di un sistema informatico nel suo complesso (strutture hardware, software e servizi di comunicazione), messo fuori uso da un evento improvviso che potrebbe comportare danni e perdite gravi per l’amministrazione.

Con la decisione del Garante non si apportano modifiche sostanziali a quanto già predisposto dall'art. 50 bis del Cad ma il garante stavolta definisce in modo chiaro che il fornitore di servizi di cloud computing ha l'obbligo di dichiarare, in sede contrattuale, l’esatta localizzazione geografica dei dati gestiti.

Questo consentirà all’amministrazione di valutare se il paese in cui vengono trasferiti i dati appartenga all’Unione europea o assicuri comunque un livello di tutela dei dati personali adeguato ai sensi della normativa UE sulla protezione dei dati personali.




Sembra una stupidata, che mira solo a far altra confusione sui contratti, noi invece riteniamo che mai come stavolta il Garante ha introdotto una vera norma per la tutela dei dati personali, cosi facendo infatti le pubbliche Amministrazioni non potranno un domani dire che non sapevano.

Per chi non ci credeva Privato guadagna 10.000 euro per violazione della propria privacy

Partiamo dal risultato. Nel caso in questione ad un privato cittadino di Chieti sono stati riconosciuti 10.000 euro per violazione della privacy, ed il condannato non ha opposto ricorso per cui adesso deve pagare.

A pagare la multa è stata condannata una banca e per la precisione l'istituto Santander,che nella fattispecie è stata riconosciuta colpevole dal tribunale di Chieti per lesione della riservatezza.

Con precisione al querelante è stato riconosciuto il fatto che la banca era tenuta a comunicare che i dati privati potevano (come del resto poi è avvenuto) essere venduti a terzi. 

Naturalmente chi ha comprato ha iniziato a bombardare di telefonate ed sms il mal capitato e sembra anche i suoi parenti, costringendo il querelante ha dare spiegazioni in famiglia di una cosa completamente privata.

Per fortuna tanto è bastato questa volta per condannare la Banca.   

Nuove direttive da parte del Garante per quanto attiene allo Spam

"Prescrizioni per il trattamento di dati personali per finalità di marketing, mediante l'impiego del telefono con operatore, a seguito dell'istituzione del registro pubblico delle opposizioni" 

http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2542348

per chi ancora crede di poter mandare mail (spam).

E-waste. Ma di cosa stiamo parlando.

Partendo dalla segreteria telefonica attraverso il fax e l’agendina elettronica fino ad arrivare al personal computer forse in pochi ci hanno pensato ma nella “spazzatura” arrivano una mole di dati privati e sensibili da far inorridire qualsiasi politica di Privacy.

E’ indubbio che la tecnologia ha arricchito le possibilità di tutti noi di essere sempre in contatto e soprattutto di essere sempre pronti a rispondere a qualsiasi esigenza lavorativa e non.

Non ci dilungheremo sul ciclo di vita di questi apparecchi elettronici e soprattutto sul quando questi stessi possono essere definiti vecchi ed inservibili, ma vorremmo analizzare a fondo cosa succede quando non li usiamo più.

Il termine oggi in voga per definire questa spazzatura elettronica è “e-waste”, cioè “rifiuti elettronici” o “spazzatura tecnologica”. Stiamo parlando di una vera montagna di rifiuti elettronici, si calcola che, in media, ogni cittadino europeo produce in un anno 20 kg di e-waste. Valore destinato a crescere nei prossimi anni con una stima che vede nel prossimo quinquennio un aumento che varia da un minimo del 16% sino ad un massimo del 28%.

In Italia, ogni anno si producono 6 milioni di tonnellate di rifiuti elettronici, cifra che da sola basterebbe a far capire che siamo di fronte ad un problema le cui dimensioni non sono banali

Da questa premessa nascono almeno due tipi di considerazioni:

• la prima e più importante, è sicuramente l’impatto del e-waste per l’ambiente, ma lasciamo questo aspetto agli esperti di settore potendo solo garantire la nostra attenzione massima in fase di smaltimento di questi rifiuti.
• La seconda molto meno importante a livello mondiale ma di sicuro impatto legislativo/informatico è la gestione dei dati che si bruciano, non sapendo in che mani vanno se qualcuno li recupera e soprattutto come verranno poi usati.

Un Buco della Privacy? No stavolta no, ed anzi il garante ne ha già in passato dato comunicazioni a riguardo, stavolta il vero buco sta tra i costruttori che non inseriscono software sui computer per la cancellazione dei dati, ma ancor peggio fanno i proprietari di tutti questi apparecchi che non si curano di dismettere il pc piuttosto che l’agenda elettronica o il cellulare senza prima provvedere alla cancellazione dei dati.

Sembra assurdo pensare ai dati di tutti questi oggetti elettronici, viene da dire che cosa ci troveranno mai di particolare nella mia spazzatura? Nella mia forse poco ma pensiamo un attimo a cosa succede quando una amministrazione locale o centrale che sia (dal piccolo comune al grande ministero) dismette i propri Personal Computer.

I grandi uffici, come le pubbliche amministrazioni rinnovano il proprio parco macchine ogni tre anni, tenendo presente che nell’oltre 77% dei casi chi acquista non distrugge i vecchi elementi elettronici mali dona a:

• associazioni e/o fondazioni,
• scuole e chiese,
• o su tutte li restituisce avendoli originariamente presi in leasing.

Sicuramente nei primi due punti dobbiamo lodare l’azione ed il fatto che con ciò si prolunga la vita di questi elementi e-waste, riducendo l’impatto ambientale, ma purtroppo solo il 4% dei computer donati hanno preventivamente subito azioni di pulizia dei dati sul disco.

La cancellazione definitiva e permanente dei propri dati è fondamentale per evitare che informazioni sensibili possano essere recuperate.

Anche la commissione che si occupa della sicurezza dei dati, lo European Data Protection Supervisor si sta interessando all’argomento, tanto da chiedere già in passato che alla direttiva sullo smaltimento dei rifiuti elettronici venissero collegate misure atte e sufficienti a garantire l’effettiva cancellazione dei dati personali dai dispositivi dismessi.

Occorre quindi assicurare maggiore privacy in fase di gestione delle apparecchiature elettroniche a fine vita.

Viene così rivisitata l’attuale direttiva 2002/96/Ce, aggiungendo obblighi volti a gestire la vita dei dati contenuti su dispositivi elettronici dismessi. Procedura fondamentale in particolar modo nei casi direimpiego e di riciclaggio dei Raee.

Il Garante Privacy italiano aveva già dato indicazioni sulla protezione dei dati ai soggetti coinvolti nella filiera Aee-Raee (provvedimento generale 13 ottobre 2008).

la cancellazione sicura interessa tutti coloro che si servono di p.c., e comunque di apparecchiature elettronica in grado di memorizzare dati, parliamo quindi tanto delle aziende pubbliche e private quanto dei professionisti e dei cittadini comuni che possono cosi correre il rischio di far conoscere i propri dati sensibili.

Il Garante in proposito è già intervenuto (e questo dovrebbe accendere a tutti la famosa lampadina pensando che recuperare dati da dispositivi elettronici da dismettere non è una pratica inconsueta) stabilendo che tutti devono provvedere alla cancellazione dei dati personali contenuti nei pc e altri supporti che li conservano prima di disfarsene.

Ricordiamo a tutti che occorre, per essere certi del risultato, della distruzione fisica per quanto riguarda i CD-ROM e i DVD-R e per quei pochi ancora in uso anche dei floppy disk, mentre occorre affidarsi quanto meno a tecniche software come ad esempio “wiping program” (programmi di pulizia) o “file shredder” (distruttori di scheda), questi software permettono la scittura ripetuta nelle zone vuote dell’hard disk attraverso sequenze casuali di cifre binarie che hanno lo scopo di impedire il ripristino delle informazioni anche utilizzando software specifici per il recupero dei dati.

Per i meno esperti o comunque per chi non sa gestire software particolari si può sempre utilizzare la pratica dellaformattazione “a basso livello” che permette la cancellazione rapida delle informazioni.

Do not Track

Ormai i gestori del marketing non sanno più cosa tentare per scavalcare i vincoli sulla Privacy.

La notizia, che la BBC ha già messo in evidenza anche se per altri motivi, cita Neelie Kroes nella sua veste di commissario europeo all'Agenda Digitale, che finalmente ha affermato che” la standardizzazione dei sistemi di protezione on-line va troppo a rilento” anzi ancora non decolla aggiungeremo noi.

Tutto nasce dallo stato fermo di avanzamento dello standard “Do Not Track” che secondo il commissario deve essere robusto e forte abbastanza per fare la differenza quando entra in gioco la protezione della privacy delle persone”.

Ma che cosa è il Do not Track.

Molto semplicemente stiamo parlando di uno standard proposto nel 2009 per chiedere alle applicazioni web l’interruzione della raccolta delle informazioni circa l’utente che sta navigando sul sito. Ad oggi vista la mancanza d “obbligatorietà” a cessare la raccolta dei dati, lo standard è molto semplice accettando tre possibili valori:

1 nel caso in cui l'utente non vuole che vengano raccolte le informazioni che lascia durante la navigazione,

0 nel caso in cui l'utente permette di essere tracciato nelle informazioni

Nessun valore o non inviato nel caso in cui l'utente non ha espresso una preferenza.

ma soprattutto udite udite ad oggi i valore di default è 1, questo standard è stato affidato al consorzio W3C ma i progressi non si vedono ne tantomeno si sentono.

Ed Infatti il commissario europeo ha dichiarato “non sta procedendo secondo I piani”, ma soprattutto si è fatta sentire per far capire a tutti che proposta di esentare il marketing da controlli è pura follia.

Noi diciamo soltanto una cosa ma se dal DnT eliminiamo il marketing cosa lo creiamo a fare questo standard.

Parliamoci chiaro il vero problema della privacy, soprattutto nel mondo web, al di la del furto d’identità e delle sue frodi connesse, è proprio l’utilizzo che il marketing fa degli usi e costumi degli internauti quando ne viene in possesso.

Per onesta di informazione va detto che i browser hanno recepito tali indicazioni e tutti si sono adeguati inserendo il DnT nella propria tecnologia, eccezion fatta per google , ma qui si apre una voragine che prima o poi affronteremo.

E per questo che ci fa piacere che Neelie Kroes si faccia sentire nelle sedi opportune, accusando i membri dell’industria digitale di annacquare gli standard disegnati per proteggere la privacy dei consumatori online.

In proposito il commissario ha dichiarato “Il processo di standardizzazione non va abbastanza veloce. Sono molto preoccupata, il processo di standardizzazione dovrebbe essere basato sul concetto di consenso informato, dando alle persone il controllo sulle informazioni di loro proprietà. E ovviamente lo standard deve dare alla gente il diritto di scegliere di non essere controllata online”

“La Commissione è stata cristallina su questo punto nella lettera inviata al W3C – al momento dell’installazione o del primo utilizzo, gli utenti devono essere informati sull’importanza della loro scelta in tema di Dnt”, ha aggiunto.

Insomma a far infuriare il commissario Neelie Kroes è stata Direct Marketing Association (Dma), che ha formalizzato al consorzio W3c di aggiungere il marketing nella lista delle attività da esentare dallo standard, che come detto prima renderebbe inutile in molti sensi tale standard.

Gran parte del processo di monitoraggio degli internauti avviene tramite i cookie. Una norma entrata in vigore a livello Ue il 26 maggio scorso prevede che i siti internet spieghino agli internauti cosa sono i cookie e come vengono utilizzati. Gli internauti devono dare il consenso prima di usarli. In proposito Joomla ha sviluppato un plug-in ad Hoc, ma come joomla anche altri si sono e si stanno muovendo.

Rapporto Privacy 2012

Leggiamo la relazione 2012 del Garante Privacy sulla protezione dei dati, la trasparenza e le principali tecnologie della comunicazione.

Partiamo da un dato sintetico ma che dimostra, come ripetiamo ormai da troppo tempo, che la nostra privacy vale un bel po di soldini.

Per il 2012 le sanzioni amministrative emesse e riscosse dal Garante per la protezione dei dati personali ammontano a poco meno di 4 milioni di euro, importo derivante dal massiccio aumento del numero delle violazioni contestate che passano dalle 358 del 2011 alle 578 del 2012.

Ed in proposito colpisce il fatto che un numero rilevante del totale è da imputare come causa alla conservazione eccessiva dei dati.

Come già detto in alcuni post precedenti molto lavoro che poi si trasforma in molte e salate sanzioni lo genera da solo il colosso Google.

In questo lavoro di tutela siamo sicuramente al fianco del presidente Antonello Soro che non vuole permettere che i dati personali degli utenti siano automaticamente proprietà di chi li raccoglie.

La relazione va letta integralmente per capirne la portata ma vi vogliamo segnalare un paio di punti per far capire che la Privacy non è solo un termine ma a volte, e molto più spesso di quanto si pensa, ci abbraccia nel quotidiano. Naturalmente i punti segnalati sono riportati per determinare il contesto e non perchè siamo d'accordo o meno con quanto scritto. 

Comunque per quanto detto citiamo ad es:

"In materia di giustizia e ordine pubblico alcune deliberazioni collegiali si segnalano per il loro rilievo generale.

Su richiesta del Ministero della giustizia, il Garante ha espresso parere favorevole sullo schema di decreto dirigenziale riguardante la consultazione diretta, per via telematica, del Sistema informativo del Casellario (SiC) da parte delle amministrazioni pubbliche, dei gestori di pubblici servizi e dell’autorità giudiziaria (ai sensi dell’art. 39 d.P.R. 14 novembre 2002, n. 313, t.u. delle disposizioni in materia di Casellario giudiziario).

Il testo esaminato è volto, in particolare, ad assicurare un accesso selettivo ai soli dati giudiziari indispensabili per lo svolgimento degli accertamenti di competenza, tramite l’introduzione dell’apposito “certificato selettivo”, per evitare che al soggetto richiedente siano rese disponibili, temporaneamente, anche eventuali iscrizioni di provvedimenti giudiziari non strettamente correlati agli accertamenti in corso (provv. 11 ottobre 2012 [doc. web n. 2091248]). "

oppure 

"1.2. attività fiscale e tributaria 

L’Autorità ha altresì adottato alcuni pareri relativi ad atti dell’amministrazione finanziaria volti al contrasto dell’evasione fiscale, caratterizzati da un complesso intreccio tra profili amministrativi e tecnici.

In particolare il Garante si è espresso sullo schema di provvedimento del Direttore dell’Agenzia delle entrate riguardante le modalità con le quali le banche dovranno comunicare all’Agenzia le informazioni relative ai conti correnti bancari (saldo iniziale e finale, importi totali degli accrediti e degli addebiti delle numerose tipologie di operazioni effettuate) (parere 17 aprile 2012 [doc. web n. 1886775]).

Tali dati dovranno poi essere ordinati su scala nazionale, a mezzo di procedure centralizzate, per la formazione di specifiche liste dei contribuenti a maggior rischio di evasione, secondo i criteri successivamente individuati dall’Agenzia. 

Il Garante ha anzitutto evidenziato che la normativa pone rilevanti problemi, sia con riferimento all’eccezionale concentrazione presso l’Anagrafe tributaria di un’enorme quantità di informazioni personali, sia in relazione alle finalità di classificazione degli interessati, cui la raccolta di tali informazioni risulta preordinata. Ha al riguardo ribadito quanto rappresentato in sede di audizione presso la Commissione parlamentare di vigilanza sull’Anagrafe tributaria, sottolineando che non è in discussione l’esigenza di disporre delle informazioni necessarie per contrastare l’evasione fiscale, bensì l’integrale duplicazione presso

l’Anagrafe stessa di una moltitudine di dati, che genera un incremento esponenziale dei rischi. Ha pertanto prescritto, per la trasmissione e la conservazione dei dati, misure di sicurezza di natura organizzativa e tecnica particolarmente rigorose."