.

.

Ciao

Benvenuta e benvenuto nel Blog di Christian Bernieri. Sei in un posto dove riflettere e rimuginare in libertà su privacy, sicurezza, protezione dei dati personali e sui fatti che accadono nel mondo, sempre in salsa privacy. Con una tempistica assolutamente randomica, con format per nulla omogenei, con un linguaggio decisamente inappropriato, senza alcuna padronanza della grammatica e della sintassi, ti propongo articoli che nessun editore accetterebbe mai di pubblicare... Divertiti.

17 maggio 2024

"Occhio di aquila"...alias "dove osano le quaglie".



Fulgido esempio di corretta dialettica tra Polizia Municipale e Automobilista.


Prendo spunto da episodi di vita quotidiana. Scene di ordinaria follia che ciascuno può sperimentare parcheggiando a Milano.

Premetto, appartengono alla categoria “ti piace vincere facile” e, per questo, parliamo di MULTE.


Eccolo li, il mio hater sta già sta pensando: “Ma certo, hai preso una multa e quindi dici governo ladro, sindaco dimettiti, vigile infame.” "Quindi" è una parola molto usata da chi non ha sale in zucca.


Ma proprio no.


Non è il mio pensiero, anzi, io mi arrabbio con i vigili che indugiano nei bar nei giorni di pioggia o che sorvegliano in 7 una minacciosa buca, manco fossero i nani intenti a scavarla. Preferisco che si guadagnino lo stipendio facendo tanta prevenzione sulle strade, aiutando i pedoni in difficoltà e sanzionando chi commette infrazioni.



Torniamo a noi, parlando di multe e di come i nostri dati vengono trattati dal Comune di Milano, in violazione di un principio fondamentale del GDPR: il principio di esattezza.


Forse non tutti sanno che… i dati devono essere trattati in modo esatto. Un titolare del trattamento, come il Comune, non può trattare dati errati, o raccogliere dati errati. Il comune deve fare ogni sforzo per trattare unicamente dati esatti e, se necessario, correggerli. Il trattamento di dati non esatti, oltre ad essere una violazione di legge, ha delle implicazioni concrete come


  • l’accesso ad un servizio, o meglio, l’impossibilità di accedervi

  • costi e fastidi per far allineare i dati dei pagamenti con le rispettive posizioni, 

  • recapito corretto e tempestivo di atti e corrispondenza, 

  • agevolazioni varie che dipendono da informazioni sulla persona, ecc. 


In alcuni casi compete al cittadino curare l'aggiornamento dei dati, per esempio, notificando la nascita di un figlio o il cambio di residenza al proprio comune, in altri casi compete al comune essere preciso e diligente nell’acquisire i dati in modo corretto ed esatto. Solo per fare un esempio, il comune deve acquisire dal ministero competente i dati corretti dell’intestatario dei veicoli sulla base dei numeri di targa rilevati, in modo da recapitare le multe alla persona giusta e non ad un ignaro cittadino estraneo ai fatti contestati.


Cosa accade a Milano? 

Dove sarebbe questa presunta illecita acquisizione e trattamento di dati errati?

Per l'appunto, troviamo qualche problemino nella gestione delle multe e, in particolare, di quelle rilevate con la pesca a strascico, tanto cara ai nostri amministratori.


Telecamera in uso per i controlli. “Agenti più efficienti - Città più sicure”, lo slogan commerciale è tutto un programma.
Telecamera in uso per i controlli. “Agenti più efficienti - Città più sicure”, lo slogan commerciale è tutto un programma.



Narra la leggenda che, un tempo, i vigili dovessero prevenire le infrazioni. Trovando una macchina ferma in modo improprio, con a bordo il conducente, si avvicinavano fischiettando e il conducente, un pò imbarazzato, ogni maledetta volta, diceva la stessa frase: “sto andando via”. Problema risolto.

In effetti il codice della strada distingue tra fermata e sosta e la situazione, abbastanza frequente, in cui il conducente è a bordo si colloca proprio in una zona intermedia di valutazione e di buon senso che può ricadere sia nella fermata che nella sosta a seconda delle circostanze. C’è sicuramente chi stiracchia la fermata prolungando maliziosamente la sua durata (malandrini) e c’è sicuramente chi sanziona la sosta brevissima esagerando in rigidità (no comment). Vabbè, gli imbecilli sono omogeneamente distribuiti nella popolazione.



Oggi le cose sono un pò cambiate. Dopo l’introduzione dei sistemi di rilevazione automatizzati la prassi è cambiata sia con riferimento ai vigili quanto agli ausiliari del traffico, tanto temibili quanto è temibile l’ignoranza associata al potere.


Oggi, i veicoli preposti alla verifica delle infrazioni sfrecciano veloci confidando nella infallibilità delle telecamere e dell’algoritmo. Dopo ogni pesca a strascico si fermano brevemente per cliccare OK OK Ok Ok Ok Ok Ok, scorrendo le varie foto corrispondenti ai veicoli da sanzionare.


Il nome del progetto è tanto evocativo quanto deludente: “occhio di aquila”. Ricorda il motto popolare “non sei decisamente un'aquila" normalmente riferito alle persone stupide. 

Le telecamere, effettivamente infallibili nelle prestazioni ottiche, sono stupide. Se rilevano un veicolo in una determinata posizione lo registrano e documentano alcuni elementi in modo preciso. Ciò che le telecamere non riescono a fare è valutare situazioni che richiedono un cervello come, per esempio, valutare la differenza tra un veicolo che effettua una formata ed uno in sosta, oppure un veicolo con il conducente al volante o nei pressi dello stesso.

In effetti, il sistema “occhio di aquila” dovrebbe fare affidamento sul cervello di chi ha programmato la logica del suo funzionamento, gli algoritmi sottostanti e, cosa più importante, dovrebbe basarsi sul cervello degli operatori.

Purtroppo entrambi questi cervelli sono evidentemente etichettati "ab-qualcosa".


La pesca a strascico, poco raffinata sotto il profilo dell’algoritmo, se non può contare sull’intervento di cervelli pensanti, finisce per essere limitata alla mera raccolta di immagini di veicoli, sanzionati sulla base di scarni criteri predefiniti e applicati acriticamente sulla base di targa e posizione: pass-si / pass-no / pagamento-avvenuto / pagamento-scaduto / esenzione / stop.


Il ministero, in effetti, ripropone le antiche logiche basate su l'insostituibile valore della persona umana e autorizza l’impiego di questi sistemi di rilevazione a strascico solo in presenza di due condizioni:


  1. che ci sia un agente a visionare il tablet attraverso il quale si gestisce il sistema

  2. che il conducente dell’auto sanzionata non sia nei paraggi o al volante


Il ministero si è dimenticato di precisare il fatto che l’agente abbia un cervello e che lo abbia effettivamente messo in funzione. A volte l’elemento umano è deludente.




Qui nasce il problema, qui si verifica la violazione del GDPR, qui i dati sono maltrattati, o meglio, trattati illecitamente.



Nella inarrestabile marcia delle macchine dotate di telecamera, vengono raccolti dati in grande quantità, molti dei quali errati.

I veicoli che effettuano una fermata o con conducente a bordo, vengono registrati in modo identico a tutti gli altri veicoli e “giudicati” secondo una logica formalmente corretta e in applicazione del codice della strada. Peccato che il codice parli alle persone, dotate di cervello e di raziocinio, e non alle macchine e il risultato è una fantastica e scintillante violazione del principio di esattezza dei dati, imposto dal GDPR.


La macchina che effettua una fermata, ripresa e classificata come in sosta non è altro che un errore nell'acquisizione di dati personali.

Inoltre, così facendo, il funzionario attesta l'assenza di una persona da determinato luogo e, se ciò non corrisponde a verità, siamo in presenza di un secondo dato personale errato.



L'ESPERIMENTO: giro molto per la città e, quasi per caso, mi è capitato di seguire alcuni di questi veicoli a Milano e notare la stranezza del comportamento. Incuriosito, ho prestato loro una particolare attenzione nell'arco di alcuni mesi. In pratica, ho fatto un periodo di osservazione durante i miei normali spostamenti. Ho collezionato una casistica notevole, certamente non è uno studio rigoroso ma è una attenta osservazione effettuata in varie zone, in diversi giorni e, quindi, non rappresenta l'errore di un singolo funzionario lazzarone. E' un comportamento abituale, routinario, preordinato, costante e, certamente, deliberato. Il punto è da chi.
L'esperimento mi ha appassionato talmente da indagare e raccogliere una casistica di multe attribuite a veicoli con conducente a bordo. Il campione, anche in questo caso, è personale: vicino a scuola, alle varie palestre, ai colleghi ecc. Persino i trasportatori di un'azienda che seguo mi hanno aiutato con la loro personale esperienza. Ho deciso di investire denaro nella ricerca: ho trovato uno dei veicoli "occhio di falco", l'ho superato durante una sua sosta, mi sono accostato qualche centinaia di metri più avanti, restando alla guida del veicolo con finestrino abbassato e la portiera lato passeggero aperta... Taaac. Immancabile, alcuni minuti dopo il passaggio della macchinetta rossa e bianca è arrivata (sulla APP del Comune - fascicolo del cittadino) la notifica della violazione per una infrazione che non ho commesso.


Non bene, direi.




Tornando alle questioni tecniche, si potrebbe anche parlare delle implicazioni relative all’articolo 22 e del Processo decisionale automatizzato sottostante e scoperchiare un pandemonio ma il discorso sarebbe limitato a pochi addetti ai lavori. Non occorre andare tanto sul fine poichè, Occhio d'Aquila, viola le norme del GDPR in un modo ben più basilare, andando a frustrare un principio fondamentale, chiaro e cristallino contenuto nell’art 5 del GDPR: il principio di esattezza 



I dati personali sono trattati lecitamente solo se sono esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati. Il titolare è responsabile per l’applicazione di questo principio e deve essere in grado di comprovarlo.


Se si chiedesse ad un operatore, vigile o ausiliario, risponderebbe alzando le spalle. Certamente, lui deve fare ciò che gli viene detto di fare, gli imbecilli sono i suoi capi, quelli che danno gli ordini e su su fino al vertice.... e poi ogni persona ha il diritto di sbagliare.

Forse il vigile ha anche degli obiettivi da raggiungere e non può permettersi di indugiare ed indagare il senso degli ordini che riceve.

Il sistema è pensato proprio per questo, per ottimizzare le risorse, per gestire i grandi numeri, non è colpa sua né del comune se i veicoli a milano sono tanti, forse troppi.


Anime candide, ma certo, nessuno ve ne fa una colpa.


Però sarei meno accomodante sul ruolo dell’amministrazione, dei suoi dirigenti, nominati o eletti, che ha pensato, progettato, realizzato ed organizzato un sistema che tiene conto solo di alcune esigenze, pur evidenti, della cosa pubblica, frustrando norme di legge, diritti delle persone, logica, correttezza e buonafede.


Si, questo sistema è stato organizzato in modo da non rispettare i principi di legge che dovrebbe rispettare. Vi è una blanda copertura meramente formale e non sostanziale, ma non affiancata da misure di verifica e di controllo o meccanismi che rendano effettiva l'attuazione dei due requisiti obbligatori sopra descritti. È bizzarro, un sistema destinato all’accertamento e sanzione delle violazioni di norme… che viola esso stesso norme alle quali è soggetto e che dovrebbe rispettare fin dalla progettazione.



Sono certo che nelle delibere, nei regolamenti tecnici, nelle istruzioni operative ci siano tutti gli elementi per poter dimostrare che questa stortura non possa succedere, un trafiletto, una noticina, magari interi capitoli.

Sono sicuro che quella scimmietta cliccatrice che preme Ok Ok Ok Ok Ok Ok Ok Ok Ok Ok Ok Ok Ok Ok Ok Ok Ok abbia dei coloratissimi popup che gli ricordano di controllare se la macchina è in sosta o in fermata e se il conducente è nei paraggi.

Ci vorrebbe un Meme...







Mi immagino anche il "disinvolto faccendiero", fiero del suo lucido pensiero, tutto teso ad assolvere la propria coscienza, spaventata all’idea di svolgere il gravoso compito in modo becero: “...come faccio a sapere che quello lì è proprio il conducente? Non lo so, quindi per me non lo è, premo Ok”.

 

Sono sicuro che tutto sia formalmente corretto…  Ma, ciò nonostante, succede il peggio, il comune lo sa benissimo e non fa niente per migliorare le cose.


Come sempre, immancabilmente, tutto ciò che precede un “MA” equivale a un cumulo di letame. (si vedano esempi fulgidi tipo  “non sono razzista ma…”, “hai ragione, ti hanno molestato ma…”, “non sono fascista ma…”, “ti amo ma…”)




Si pone dunque l'eterno problema: c
hi controlla il controllore?

"chi" non penso sia difficile da gestire, magari il "come" diventa più interessante.

Io farei esattamente come si stima la produttività in ambito industriale.


Cronometro alla mano, prendo un lavoratore ordinario e misuro il tempo totale del suo ciclo di lavoro.

Passo con la macchina, mi fermo a fine tratto, esamino i risultati della scansione automatica, rilevo i veicoli segnalati in violazione, scendo, vado da ciascuno di essi e verifico se c'è conducente a bordo, mi guardo attorno per capire se è andato a pagare al parchimetro, se sta scaricando i bagagli o se, in sostanza, è in fermata anzichè in sosta, magari tocco il cofano per capire se è appena arrivato, ripeto per ogni macchina segnalata e annoto quali sono effettivamente in divieto di sosta. Dopodichè torno al veicolo "occhio di aquila", mi siedo, prendo il terminale, sblocco, accedo (mica l'avrò lasciato aperto e sbloccato, voglio sperare), eseguo l'inserimento dati, segno le rilevazioni veritiere, cancello le rilevazioni che non costituiscono violazione al codice della strada, chiudo e procedo. Questo tempo, campionato in diversi scenari, darà un risultato che cambia in funzione della percentuale di veicoli in violazione, della lunghezza della via, dal tempo atmosferico, ecc. Avrò un criterio con il quale valutare l'operato dei miei accertatori.

A quel punto, diventa facile capire che un accertatore che ordinariamente impiega X secondi per ogni veicolo forse non sta facendo bene il suo dovere se in un tempo 100X ha rilevato 5.000 veicoli.

Attenzione, questa cosa si può fare ma costituisce un potenziale controllo a distanza dei lavoratori pertanto, dice l'articolo 4 dello statuto, deve essere concordata con le rappresentanze sindacali o autorizzata alla Direzione Territoriale del Lavoro.... "per la privacy" tanto per restare in tema.



Applicando la logica con cui il Garante interpreta situazioni analoghe, in cui la forma non corrisponde alla sostanza, la situazione può solo peggiorare. Fantastiche regole, scritte ma non applicate, non escludono la violazione del GDPR. E nemmeno servirà dare la colpa all’ultima ruota del carro: l’ausiliario che trasgredisce i manuali e le procedure non esime la sua amministrazione dalla responsabilità. 

Perchè?  Perché il titolare deve applicare  i principi di liceità e dimostrare di aver attuato tutte le misure ragionevoli necessarie per il trattamento.



In altre parole, 

  • hai fretta? Sono problemi tuoi, devi metterci il tempo necessario; 

  • le macchine sono tante? Non importa, le verifichi bene una per una;

  • devi coprire il territorio ed è vasto? Sono problemi del comune che deve aumentare le forze in campo; 

  • le macchine sono troppe? Chissenefrega, è il tuo lavoro e le tasse aumentano con l’aumentare dell’utenza

  • i tuoi collaboratori sbagliano? Sceglili meglio, fai formazione, verifica, fai doppio controllo, non puoi dare incarichi di responsabilità a dei deficienti.

  • piove? Esticazzi, è il tuo lavoro, scendi comunque, con l'ombrello e controlli che non ci sia il proprietario dentro o attorno


E poi… siamo sicuri che in separata sede non abbiano ricevuto istruzioni verbali incoerenti con quelle formali? Magari no, ma magari lo si fa capire o lo si tollera?   Già, sarebbe un bel problema anche perché tollerare comportamenti scorretti che, guardacaso, avvantaggiano l’ente corrisponde a sponsorizzarli e, di conseguenza, ad approvarli. Ma questo è un terreno scivoloso e lo abbandono subito.


Temo che tutto questo ragionamento sia minato alla base da una triste considerazione:

nessuno ha intenzione di fare bene questo mestiere, quello che conta è il gettito. Se ci sono difficoltà normative o formali, si cambia il codice della strada per legittimare metodi efficienti, utilissimi per gestire i grandi numeri. In effetti è ciò che è accaduto con l’avviso di accertamento che, allungando i tempi di contestazione delle infrazioni, è diventato facoltativo. Ma anche questa è un’altra storia.

Questo è ciò che le persone percepiscono e, anche per questo, sono spontaneamente nati fenomeni come Fleximan.


Tornando a noi, noi DPO, noi appassionati artigiani (come idraulici) della protezione dei dati, a noi gente comune i cui dati sono maltrattati, concediamoci alcune considerazioni.


Si, il comune di Milano ha un problema. Acquisisce e tratta i dati in violazione del principio di esattezza non discriminando tra fermata e sosta, applicando sanzioni sulla base di criteri che, di fatto, non sono verificati correttamente e questo è, a tutti gli effetti, un dato personale.


Si, il comune di Milano ha strutturato un sistema fallace, che nella sostanza disattende le sue stesse previsioni, generano un elevato numero di trattamenti illeciti


Si, il problema è essenziale e riconoscibile e tollerarlo significa volerlo.


Si, c'è un processo decisionale automatizzato in violazione dell'art 22 GDPR.



In ultimo, un pensiero amaro. Nessuno fa ricorso. Nessuno prova a tutelarsi per una semplice legge di natura: la coperta è sempre troppo corta.

Se, per non pagare €25, devo mettermi davanti al computer, scrivere per un'ora, sentire l’amico avvocato per un consiglio, mandare una pec “spendendo” un tempo che mi costa dieci volte tanto la sanzione e, perdipiù, rischiando il raddoppio della sanzione se il ricorso viene respinto, lo evito.     Semplicemente non faccio ricorso.


Se parlassimo di €5.000, gli sforzi per ottenere giustizia sarebbero sensati ma, dato che nessuno mi rimborserà per i costi, diretti o indiretti, della lotta al disservizio, ogni sforzo per opporsi smette di essere ragionevole.


Anche per questo i numeri non sono confortanti. Non ha senso ragionare  con i numeri dei ricorsi per sostenere che il meccanismo funzioni e che le persone non ci provano nemmeno perchè sono colpevoli e lo sanno e bla bla bla. Semplicemente le persone non hanno voglia di scontrarsi con un muro di gomma, facendosi male e perdendo serenità, tempo e soldi.



Che schifo

A me fa schifo perché ho la netta sensazione che questo non sia un effetto collaterale del sistema ma  sia un elemento intenzionale e sistematico, forse è il sistema stesso.


Ribadisco, non sono certamente un automobilista incattivito, ma sono un DPO amareggiato da una pubblica amministrazione deludente.



E poi sono un milanese.


A Pescara si parcheggia tutto il giorno con €2. Chi non paga è scemo.

Nei paesini si paga con i centesimi e tutto ciò non esiste.

Nelle località turistiche il parcheggio costa un pò di più ma almeno vedi il mare, i monti, i monumenti, tante belle cose, ecc.

A Milano, e ciascuno faccia le proprie considerazioni, €25 di sanzione sono comunque una somma inferiore al pagamento dei parcheggi (€3/h + €7,50 AreaC). Ne consegue che, se parcheggio a vanvera, senza pagare, ne avrò sempre una convenienza, almeno finché non verrò sanzionato ogni singolo giorno e, allo stato attuale, non è così. 


Ciascuno faccia i propri conti e le proprie valutazioni anche in funzione del fatto di essere “poco ricco” …o poco povero, per usare l’immaginario di Zalone.


Ma i conti con le norme di legge li devono fare tutti, compreso il comune di Milano.


PS. queste considerazioni valgono anche per altri comuni ma preferisco esprimermi per quelli che frequento e dove ho una veste di “interessato”.



Prosit.






SEI UN PROFESSIONISTA?



SI


FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi.


Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?


bene... allora mi devi una birra.

NO


Se sei arrivato fino a qui meriti un plauso. Complimenti!

Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi:


- Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone

- Con una donazione. Questo aiuterà me.




👇 👇 Clicca qui 👇 👇






 

 


11 maggio 2024

Eye in the sky



Il Vaticano si dota di un proprio GDPR: lo chiamerò il SANTO GDPR.


Qui trovi il testo  del decreto appena approvato: N. DCLVII – Decreto della Pontificia Commissione per lo Stato della Città delVaticano con il quale viene promulgato il Regolamento Generale sulla protezione dei Dati personali. (30 aprile 2024)


PERCHE'?

CUI PRODEST? 

Nessun c'è alcun apparente motivo per farlo poichè lo stato pontificio è sovrano nei propri confini e non ha certo bisogno né di imparare dagli altri come trattare dati personali, come proteggerli, né di scopiazzare una norma europea che mal si adatta alle peculiarità che lo contraddistinguono.

IMHO l'unica ragione per farlo è la necessità di ottenere il "GIUDIZIO DI ADEGUATEZZA" ossia un riconoscimento di pari livello di protezione tra i paesi dell'UE e un paese terzo.

Questo giudizio di adeguatezza permette la libera circolazione dei dati, consente quindi di poter localizzare un fornitore o utilizzare provider dei paesi terzi senza doversi preoccupare di valutare, organizzare, strutturare, legittimare questo trasferimento di dati transfrontaliero, esattamente come se ci si avvalesse di un soggetto francese o tedesco. In breve, semplifica enormemente la vita e permette di considerare "a norma" ogni fornitore di un certo paese extra UE.

Ad oggi, questa è la lista dei paesi per i quali esiste un giudizio di adeguatezza e che non sono più paesi terzi:

- Andorra
- Argentina
- Australia (accordo)
- Canada
- Faer Oer
- Giappone
- Guernsey
- Isola di Man
- Israele
- Jersey
- Nuova Zelanda
- Regno Unito
- Svizzera
- Uruguay
- USA (accordo)

Ora anche il Vaticano può iniziare la procedura per essere riconosciuto come "ADEGUATO" rispetto alle misure normative che garantiscono la protezione dei dati personali in tutta Europa.

Dopodichè... beh, libera circolazione dei dati: l'anima del commercio

Si può dire "Anima"?




Nel merito, il testo del SAN GDPR è breve e ricalca la prima parte del GDPR.

Mi sono divertito a leggerlo nel dettaglio e ho trovato delle chicche interessanti:



La definizione di dati sensibile è molto differente da quella del GDPR. Ecco uno schemino sinottico 


GDPR



l'origine razziale o etnica,


le opinioni politiche,


le convinzioni religiose o filosofiche,


l'appartenenza sindacale,


trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica,


dati relativi alla salute


dati relativi alla vita sessuale


dati relativi all'orientamento sessuale


(...?...)

SANTO GDPR



l’origine razziale o etnica


le opinioni politiche,


le convinzioni religiose (...?...)


(...?...)


trattare dati genetici, dati biometrici intesi

a identificare in modo univoco una persona fisica,


dati relativi alla salute


(...?...)


(...?...)


altre situazioni collegate alla vita privata 


Quindi, a differenza che nel resto d'Europa, nello stato del Vaticano, NON SONO DATI PARTICOLARI (Sensibili) le informazioni relative alla vita sessuale, l'orientamento sessuale, l'appartenenza sindacale, le convinzioni filosofiche.

Che scelta bizzarra, non riesco proprio a pensare alle ragioni che l'abbiano determinata. Mi sforzo ma non mi viene in mente proprio niente...   (andrò all'inferno anche per questo).

Mi incuriosisce molto il fatto che  in Vaticano siano dati sensibili "altre situazioni collegate alla vita privata". Alla faccia della certezza del diritto. Come faremo a distinguere un dato particolare di questa tipologia (altre situazioni) e come faremo a capire se afferisce alla vita privata oppure no? Peraltro, quale altra vita esiste se non quella privata?

Mah! Mistero della fede.

Ha, già... la fede. Forse questa è la chiave di lettura. 



L’informativa, tutti sanno, è un atto fondamentale che da senso e contenuto al principio di trasparenza e buona fede: PRIMA ti dico come tratterò i tuoi dati, POI tu decidi se darmi i tuoi dati ed un eventuale libero consenso informato. 

Credo che non sarei riuscito a fregare nemmeno mia figlia quando aveva due anni dicendole: "prima mi dai la tua caramella, poi io ti dico cosa io ti do in cambio e che cosa farò con la caramella."

Eppure, il Santo GDPR prevede proprio questo. L'informativa può essere data ENTRO 30 GIORNI.

Non sono bravo in matematica ma con l'aiuto di chatGPT sono riuscito a capire che questi 30 giorni significano, in sostanza, che l'informativa può serenamente essere data anche DOPO aver acquisito i dati, DOPO aver ottenuto un consenso rilasciato alla cieca, DOPO aver trattato i dati.

Non ho idea di come si possa pensare che il consenso sia "libero e informato" senza una informativa preventiva e senza che intervenga un MIRACOLO...   ah, già. Capito.


MA PORCA EVA.

No, Eva non si può dire in questo contesto... 

MA PORCA VACCA!

Vacca si può?



Arrivando ai PRINCIPI che legittimano il trattamento, serve un altro quadretto sinottico:


GDPR



trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»);


finalità determinate, esplicite e legittime


successivamente trattati in modo che non sia incompatibile con tali finalità;


adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità


esatti e, se necessario, aggiornati


conservati per un arco di tempo non superiore al conseguimento delle finalità


trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione

SANTO GDPR



liceità, correttezza, trasparenza, buona fede e proporzionalità.



finalità determinate, esplicite e legittime


successivamente trattati in modo che non sia incompatibile con tali finalità


adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità


esatti e, laddove necessario, aggiornati


conservati per un arco di tempo non superiore al conseguimento delle finalità 


trattati in modo da garantire un’adeguata sicurezza dei Dati personali, compresa

la protezione


Sono stati replicati i principi dell'art 5 del GDRP, con l'aggiunta di alcune reliquie del passato codice. In effetti mancherebbero gli altri principi, quelli sparpagliati nel GDPR, quelli che si applicano ai processi decisionali automatizzati, il principio Privacy By Design e by Default... e vari altri principi che costellano il regolamento generale. In vaticano parrebbe che non interessino. Ok.





Poi, nelle definizioni mi sono imbattuto nella definizione di "anonimizzazione" e mi sono genuinamente messo a ridere:

Anonimizzazione:  il Trattamento di informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a Dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’Interessato;

No, Don, l'anonimizzazione consiste nel rendere anonime le informazioni, non nel trattare informazioni che sono state rese anonime. Quello è un trattamento di dati non personali e, quindi, per definizione, non soggetto né al GDPR né ad ogni altra norma. Se i dati sono anonimi, puoi farci quello che vuoi perché NESSUNO sarà coinvolto o danneggiato.

Ma se prendi dei dati personali e li vuoi rendere impersonali, allora li stai anonimizzando. Facendolo, stai trattando dei dati personali e lo devi fare bene, nel rispetto dei principi che ti sei dato.

La definizione è proprio sballata. 

Più sotto, nel testo si trova il campo di applicazione che ci dice a cosa si applica il Santo GDPR. Beh, una delle esclusioni recita proprio "c) nelle ipotesi di anonimizzazione dei Dati."

Ma stando alla definizione, significa che il Santo GDPR non si applica all'atto di PRENDERE DATI PERSONALI E RENDERLI ANONIMI. Quindi, il processo di anonimizzazione che, ricordiamolo, parte da dati personali, magari anche sensibili, è escluso dall'applicazione della norma. Libero, spensierato... Cosa mai potrà andare storto.



Altri elementi interessanti riguardano un diverso schema di DATA CONTROLLER - DATA PROCESSOR e DATA PROTECTION OFFICER... o, per dirlo in italiano, riguardano il titolare del trattamento, il responsabile del trattamento e il responsabile della protezione dei dati personali, il DPO.

In Vaticano, il Titolare è solo il Vaticano stesso. Non avrai altro titolare all'infuori di me. Ok

In Vaticano, il DPO è il Consigliere Generale del Vaticano. Solo lui, protempore, a prescindere da chi possa essere. Il DPO del Vaticano può fare uso della gendarmeria e questa è una figata senza pari: il sogno proibito di ogni DPO. Del resto, a Sanpietro, hanno esteso molto il ruolo del DPO che ha anche la funzione di GARANTE interno. Si perché non c'è il Garante e ogni funzione, compreso il fatto di poter fare un RECLAMO, è riferita unicamente al DPO.

Speriamo che ne abbia le competenze.

Ci vuole fede. Tanta fede.






Nel testo c'è una cosa che nel GDPR non esiste e che mi piace molto. Il REFERENTE.

Il REFERENTE è la persona fisica autorizzata a mettere in atto le misure di sicurezza, vigila e garantisce la corretta osservanza delle medesime ad opera dei lavoratori che materialmente effettuano operazioni di Trattamento sui Dati personali. In caso di violazioni riscontrate dal Referente, ne da notizia al DPO entro 72 ore.

Di referenti ce ne vogliono tanti.

Bello il Referente, concordo molto con la sua necessità, al punto da averlo introdotto anch'io, non senza difficoltà, nei sistemi di gestione dei dati che ho elaborato.

Il REFERENTE, per fare un parallelo noto a tutti, assomiglia molto al PREPOSTO per la sicurezza del lavoro, una figura che ne capisce, che supervisiona e che, così facendo, garantisce l'attuazione delle leggi e delle regole che un'azienda si è data. Nel mio piccolo, ho introdotto il PREPOSTO PRIVACY nelle aziende che hanno accettato questo consiglio, ovviamente configurato come un autorizzato al trattamento con funzioni di coordinamento e vigilanza.

Bravo Don, bella idea, e non perchè lo dico io, ma perchè questo è proprio l'ingranaggio che manca al GDPR per funzionare veramente.





Chiudo questa carrellata di differenze tra il GDPR e il Santo GDPR con un aspetto sul quale bisognerà riflettere a lungo: nel Santo GDPR mancano completamente le sanzioni

ZERO, nemmeno un buffetto sulla guancia, manco uno scappellotto.

Le ho cercate bene perchè mi sembrava poco coerente con una istituzione millenaria che ha prosperato sulla paura del Diavolo e dell'Inferno, sulla confessione dei peccati, sul peccato originale (la presunzione della colpa), sulla penitenza e che, fino a non molto tempo fa, puniva con incredibili strumenti di tortura che oggi troviamo nei musei. Una istituzione che ha saputo dotarsi della Santa Inquisizione e che ha imbracciato le armi per andare a punire comportamenti che riteneva di dover presidiare su tutto il globo terraqueo, a prescindere da confini, credenze, usi e costumi.

In breve, se qualcuno violasse le misure di sicurezza, causasse un data breach, violasse la riservatezza di migliaia di persone o calpestasse i più basilari diritti alla protezione dei dati di un interessato, potrebbe cavarsela semplicemente con due Pater e cinque Ave.

Bene, ma non benissimo.


Prosit

San GDPR
San Gdpr, protettore dei DPO e dei PIRATI INFORMATICI






SEI UN PROFESSIONISTA?



SI


FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi.


Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?


bene... allora mi devi una birra.

NO


Se sei arrivato fino a qui meriti un plauso. Complimenti!

Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi:


- Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone


- Con una donazione. 

Questo aiuterà me.




👇 👇 Clicca qui 👇 👇