.

.

Ciao

Benvenuta e benvenuto nel Blog di Christian Bernieri. Sei in un posto dove riflettere e rimuginare in libertà su privacy, sicurezza, protezione dei dati personali e sui fatti che accadono nel mondo, sempre in salsa privacy. Con una tempistica assolutamente randomica, con format per nulla omogenei, con un linguaggio decisamente inappropriato, senza alcuna padronanza della grammatica e della sintassi, ti propongo articoli che nessun editore accetterebbe mai di pubblicare... Divertiti.
Visualizzazione post con etichetta anonimizzazione. Mostra tutti i post
Visualizzazione post con etichetta anonimizzazione. Mostra tutti i post

11 giugno 2024

La natura è una gran bastarda




Basta guardare "Il Re Leone" per capire quanto la natura possa essere crudele con noi, imperfette creature destinate all'estinzione.

Le leggi e i fenomeni che governano il mondo sono fredde e spietate, a partire da quella di gravità, passando per l'entropia e arrivando al mito confortante del "pasto gratis". Noi stessi siamo soggetti a regole severe e ingiuste: l'evoluzione progredisce inesorabile condannando i più deboli, quelli che non si adattano rapidamente e chi, semplicemente, non ce la fa.

Per fortuna il progresso ha attutito molto il processo, diluendone i tratti più ostili e rendendo tutto più civile: riusciamo tutti a correre, a trovare il frigo pieno e la casa riscaldata. Almeno nel medio termine, ci aiutiamo per evitare di vedere la brutalità della sorte accanirsi sui meno fortunati.

A volte ne godiamo perché, si sa, alcuni non sono interessati al proprio benessere, troppo faticoso da raggiungere, ma detestano e disprezzano il benessere altrui, ma questa è tutta un'altra questione.


"L'uomo sogna di volare
E scrive sui muri
Noi siamo tutti uguali
Ma prega nel buio
La sorte del più debole
Non tocchi mai a me"

(Negrita - L'uomo sogna di volare)


Il progresso e la tecnologia che ci aiuta a sognare, a volte, contribuiscono a rafforzare quella natura bastarda che, di nuovo, si accanisce sul più debole.

Sì, il preambolo è necessario, è un filtro per disincentivare la lettura ad un preciso cluster, ovvero alle persone che si limitano a prendere in considerazione le prime tre righe del testo. Peraltro, sono le stesse persone che commentano i film senza averli visti.

b.t.w.

Oggi vorrei occuparmi di una tecnologia (bastarda) che ha fatto vittime illustri in passato e che continua ad accanirsi sui più esposti, in particolare sugli stagisti e sugli assistenti parlamentari.

In molti ricorderanno importanti agenzie statunitensi che hanno anonimizzato importantissimi e segretissimi documenti semplicemente passandoci sopra una pennellata digitale nera. Per gli amanti del genere e per gli smemorati, segnalo QUI un bellissimo e completo articolo (divulgativo) da leggere per approfondire.

A farne le spese sono stati importanti politici come Donald Trump e, proprio in questi giorni, un parlamentare italiano, in occasione delle elezioni europee 2024: Borghi.

Ad onor del vero, se Borghi non si fosse messo in evidenza rimanendo l'unico a non aver condiviso, nei modi e nei tempi previsti dalla legge, i documenti obbligatori ai fini di trasparenza, forse, nessuno se ne sarebbe accorto, lasciando alla più totale irrilevanza quei maledetti PDF relativi ad un candidato non eletto. Ma, si sa, sbraitando ad ogni occasione, un po' di attenzione la si attira e fu così che @twittatore, mio amico immaginario, mi segnalò l'ennesimo inciampo nell'accidentato processo di evoluzione digitale del genere umano.  


Per dare un minimo di contesto è necessario ricordare il famoso tweet dedicato a quelle fastidiose password coperte di inutili pallini.

https://x.com/borghi_claudio/status/462717082527088640


Bene, partendo da queste solide basi, andiamo al dunque.

Il sito del Ministero degli Interni è l'HUB centrale delle operazioni di voto e della trasparenza e, a questo  link   (https://dait.interno.gov.it/elezioni/trasparenza/europee2024),  raccoglie e pubblica il CV e il Certificato Penale di ogni candidato alle elezioni europee 2024. Non si tratta di una violazione della privacy e non deve stupire poiché lo prevede la legge e ogni dettaglio in proposito è pubblicato sul sito stesso. 

Da una rapida ricerca, il nostro candidato risulta tuttora (11 Giugno 2024, ore 16:00) non aver caricato né condiviso il Certificato Penale. Pare sia l'unico, e direi che anche questo dettaglio di contesto non rappresenta una buona premessa. Per fortuna c'è il CV.

Ecco il CV:


Come evidenziato nell'area rossa, si nota una vigorosa PENNELLATA DI BIANCO dal tono leggermente differente rispetto allo sfondo. A differenza di ciò che fanno abitualmente le agenzie americane, sempre felici di sottolineare il proprio potere di oscuramento, in questo caso siamo di fronte a qualcosa di più sottile, meno appariscente e si richiama la tecnica del "bianchetto", tanto cara agli studenti di ogni età.

Ottimo, il documento è stato oscurato e non si vedono più i dati che non si desidera condividere. Fatto! 


Peccato che un documento informatico non funzioni così.

Il WYSIWYG va abbastanza bene se si vuole editare un sito web, ma non è decisamente indicato per processi di anonimizzazione. 

Come si può pensare, nel 2024, che modificando il colore ad una scritta, rendendola non percepibile con gli occhi, questa scompaia dal documento informatico? È sciocco tanto quanto pensare che scompaia ogni volta che si battono le palpebre oppure volerla rimpicciolire a tal punto da non riuscire più a distinguere i caratteri e leggere le parole.

Basta, infatti, passare il cursore del mouse su quella strisciata di "bianchetto digitale" per accorgersi che c'è qualcosa di cliccabile, di selezionabile, un normalissimo testo, non visibile per questioni cromatiche ma perfettamente leggibile, copiabile, incollabile.



Peraltro, basta fare un minimo zoom per accorgersi anche del motivo per cui non basta scrivere in piccolo per rendere illeggibile un PDF: i caratteri vettoriali sono descritti matematicamente da curve e rette, non sono disegnati con singoli pixel e si possono ingrandire a piacimento.

Ecco cosa accade facendo COPIA INCOLLA di quel testo cancellato in modo primitivo:

:-) per privacy non lo pubblicherò :-)

Però i miei scrupoli hanno poco senso e servono a poco poiché, sempre il Ministero degli Interni, in occasione delle elezioni politiche del 2022, ha pubblicato il CV del medesimo candidato riportando i dati in chiaro: QUI

Gli stessi dati compaiono in numerose pagine indicizzate da motori di ricerca e in molte di più di natura istituzionale, non indicizzate ma raggiungibili dai siti di riferimento.

Lo stesso Borghi si geo-referenzia piuttosto spesso, aggiornandoci su ciò che egli vede quotidianamente: qui, qui, ecc.

Comunque, ho pensato di rispettare la sgangherata scelta di oscurare dati presenti nel CV.


La giudico sgangherata poiché, trattandosi di un documento digitale, che nasce da un file editabile, non posso fare a meno di pormi una domanda: perché?  Che senso ha preoccuparsi di cancellare un testo da un PDF quando è possibile generare il PDF senza quel testo? Probabilmente la cancellazione con "bianchetto" è la strada più scomoda, rischiosa e lenta e non mi sembra affatto una buona scelta.

Il fatto che il CV non sia particolarmente aggiornato mi fa pensare che sia una questione di pigrizia ma, non conoscendo personalmente il candidato, non posso e non voglio esprimermi.


In ogni caso, sia a beneficio degli stagisti e degli assistenti parlamentari che di ogni altra persona affaccendata con l'anonimizzazione dei dati contenuti in un PDF, posso dare qualche utile consiglio con una premessa: ogni metodo ha dei pro e dei contro ed è più indicato in determinate situazioni, meno in altre.


1) editare il file di partenza rimuovendo il testo da oscurare e "stampare" (esportare) in formato PDF un file pulito, senza il testo che si desidera omettere.

2) stampare, ritagliare/coprire con scotch di carta (apposito), scansionare e inviare la scansione

3) visualizzare il file PDF di partenza, fare uno screenshot (1) e generare un file immagine, con un qualsiasi programma di fotoritocco (Paint, Anteprima ecc) editare lo screenshot (1) coprendo con un colore a piacimento ciò che si desidera cancellare. È anche possibile aggiungere emoticons o forme geometriche. Dopodiché rifare uno screenshot dell'immagine modificata, infine inviare quest'ultimo, eventualmente esportandolo prima in formato PDF. 

4) i possessori di MAC hanno una fantastica funzione all'interno del programma Anteprima: "Oscura". Quella cancella veramente tutto ciò che c'è sotto il quadrato nero.

5) per i possessori di Acrobat, usare la funzione "Redact" che fa esattamente la stessa cosa.

6) usare altre app specifiche ma verificare prima che siano affidabili perché alcune fanno solo finta.



Prosit

 



SEI UN PROFESSIONISTA?



SI


FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi.


Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?


bene... allora mi devi una birra.

NO


Se sei arrivato fino a qui meriti un plauso. Complimenti!

Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi:


- Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone

- Con una donazione. Questo aiuterà me.




👇 👇 Clicca qui 👇 👇






 

 





 

11 maggio 2024

Eye in the sky



Il Vaticano si dota di un proprio GDPR: lo chiamerò il SANTO GDPR.


Qui trovi il testo  del decreto appena approvato: N. DCLVII – Decreto della Pontificia Commissione per lo Stato della Città delVaticano con il quale viene promulgato il Regolamento Generale sulla protezione dei Dati personali. (30 aprile 2024)


PERCHE'?

CUI PRODEST? 

Nessun c'è alcun apparente motivo per farlo poichè lo stato pontificio è sovrano nei propri confini e non ha certo bisogno né di imparare dagli altri come trattare dati personali, come proteggerli, né di scopiazzare una norma europea che mal si adatta alle peculiarità che lo contraddistinguono.

IMHO l'unica ragione per farlo è la necessità di ottenere il "GIUDIZIO DI ADEGUATEZZA" ossia un riconoscimento di pari livello di protezione tra i paesi dell'UE e un paese terzo.

Questo giudizio di adeguatezza permette la libera circolazione dei dati, consente quindi di poter localizzare un fornitore o utilizzare provider dei paesi terzi senza doversi preoccupare di valutare, organizzare, strutturare, legittimare questo trasferimento di dati transfrontaliero, esattamente come se ci si avvalesse di un soggetto francese o tedesco. In breve, semplifica enormemente la vita e permette di considerare "a norma" ogni fornitore di un certo paese extra UE.

Ad oggi, questa è la lista dei paesi per i quali esiste un giudizio di adeguatezza e che non sono più paesi terzi:

- Andorra
- Argentina
- Australia (accordo)
- Canada
- Faer Oer
- Giappone
- Guernsey
- Isola di Man
- Israele
- Jersey
- Nuova Zelanda
- Regno Unito
- Svizzera
- Uruguay
- USA (accordo)

Ora anche il Vaticano può iniziare la procedura per essere riconosciuto come "ADEGUATO" rispetto alle misure normative che garantiscono la protezione dei dati personali in tutta Europa.

Dopodichè... beh, libera circolazione dei dati: l'anima del commercio

Si può dire "Anima"?




Nel merito, il testo del SAN GDPR è breve e ricalca la prima parte del GDPR.

Mi sono divertito a leggerlo nel dettaglio e ho trovato delle chicche interessanti:



La definizione di dati sensibile è molto differente da quella del GDPR. Ecco uno schemino sinottico 


GDPR



l'origine razziale o etnica,


le opinioni politiche,


le convinzioni religiose o filosofiche,


l'appartenenza sindacale,


trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica,


dati relativi alla salute


dati relativi alla vita sessuale


dati relativi all'orientamento sessuale


(...?...)

SANTO GDPR



l’origine razziale o etnica


le opinioni politiche,


le convinzioni religiose (...?...)


(...?...)


trattare dati genetici, dati biometrici intesi

a identificare in modo univoco una persona fisica,


dati relativi alla salute


(...?...)


(...?...)


altre situazioni collegate alla vita privata 


Quindi, a differenza che nel resto d'Europa, nello stato del Vaticano, NON SONO DATI PARTICOLARI (Sensibili) le informazioni relative alla vita sessuale, l'orientamento sessuale, l'appartenenza sindacale, le convinzioni filosofiche.

Che scelta bizzarra, non riesco proprio a pensare alle ragioni che l'abbiano determinata. Mi sforzo ma non mi viene in mente proprio niente...   (andrò all'inferno anche per questo).

Mi incuriosisce molto il fatto che  in Vaticano siano dati sensibili "altre situazioni collegate alla vita privata". Alla faccia della certezza del diritto. Come faremo a distinguere un dato particolare di questa tipologia (altre situazioni) e come faremo a capire se afferisce alla vita privata oppure no? Peraltro, quale altra vita esiste se non quella privata?

Mah! Mistero della fede.

Ha, già... la fede. Forse questa è la chiave di lettura. 



L’informativa, tutti sanno, è un atto fondamentale che da senso e contenuto al principio di trasparenza e buona fede: PRIMA ti dico come tratterò i tuoi dati, POI tu decidi se darmi i tuoi dati ed un eventuale libero consenso informato. 

Credo che non sarei riuscito a fregare nemmeno mia figlia quando aveva due anni dicendole: "prima mi dai la tua caramella, poi io ti dico cosa io ti do in cambio e che cosa farò con la caramella."

Eppure, il Santo GDPR prevede proprio questo. L'informativa può essere data ENTRO 30 GIORNI.

Non sono bravo in matematica ma con l'aiuto di chatGPT sono riuscito a capire che questi 30 giorni significano, in sostanza, che l'informativa può serenamente essere data anche DOPO aver acquisito i dati, DOPO aver ottenuto un consenso rilasciato alla cieca, DOPO aver trattato i dati.

Non ho idea di come si possa pensare che il consenso sia "libero e informato" senza una informativa preventiva e senza che intervenga un MIRACOLO...   ah, già. Capito.


MA PORCA EVA.

No, Eva non si può dire in questo contesto... 

MA PORCA VACCA!

Vacca si può?



Arrivando ai PRINCIPI che legittimano il trattamento, serve un altro quadretto sinottico:


GDPR



trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»);


finalità determinate, esplicite e legittime


successivamente trattati in modo che non sia incompatibile con tali finalità;


adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità


esatti e, se necessario, aggiornati


conservati per un arco di tempo non superiore al conseguimento delle finalità


trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione

SANTO GDPR



liceità, correttezza, trasparenza, buona fede e proporzionalità.



finalità determinate, esplicite e legittime


successivamente trattati in modo che non sia incompatibile con tali finalità


adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità


esatti e, laddove necessario, aggiornati


conservati per un arco di tempo non superiore al conseguimento delle finalità 


trattati in modo da garantire un’adeguata sicurezza dei Dati personali, compresa

la protezione


Sono stati replicati i principi dell'art 5 del GDRP, con l'aggiunta di alcune reliquie del passato codice. In effetti mancherebbero gli altri principi, quelli sparpagliati nel GDPR, quelli che si applicano ai processi decisionali automatizzati, il principio Privacy By Design e by Default... e vari altri principi che costellano il regolamento generale. In vaticano parrebbe che non interessino. Ok.





Poi, nelle definizioni mi sono imbattuto nella definizione di "anonimizzazione" e mi sono genuinamente messo a ridere:

Anonimizzazione:  il Trattamento di informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a Dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’Interessato;

No, Don, l'anonimizzazione consiste nel rendere anonime le informazioni, non nel trattare informazioni che sono state rese anonime. Quello è un trattamento di dati non personali e, quindi, per definizione, non soggetto né al GDPR né ad ogni altra norma. Se i dati sono anonimi, puoi farci quello che vuoi perché NESSUNO sarà coinvolto o danneggiato.

Ma se prendi dei dati personali e li vuoi rendere impersonali, allora li stai anonimizzando. Facendolo, stai trattando dei dati personali e lo devi fare bene, nel rispetto dei principi che ti sei dato.

La definizione è proprio sballata. 

Più sotto, nel testo si trova il campo di applicazione che ci dice a cosa si applica il Santo GDPR. Beh, una delle esclusioni recita proprio "c) nelle ipotesi di anonimizzazione dei Dati."

Ma stando alla definizione, significa che il Santo GDPR non si applica all'atto di PRENDERE DATI PERSONALI E RENDERLI ANONIMI. Quindi, il processo di anonimizzazione che, ricordiamolo, parte da dati personali, magari anche sensibili, è escluso dall'applicazione della norma. Libero, spensierato... Cosa mai potrà andare storto.



Altri elementi interessanti riguardano un diverso schema di DATA CONTROLLER - DATA PROCESSOR e DATA PROTECTION OFFICER... o, per dirlo in italiano, riguardano il titolare del trattamento, il responsabile del trattamento e il responsabile della protezione dei dati personali, il DPO.

In Vaticano, il Titolare è solo il Vaticano stesso. Non avrai altro titolare all'infuori di me. Ok

In Vaticano, il DPO è il Consigliere Generale del Vaticano. Solo lui, protempore, a prescindere da chi possa essere. Il DPO del Vaticano può fare uso della gendarmeria e questa è una figata senza pari: il sogno proibito di ogni DPO. Del resto, a Sanpietro, hanno esteso molto il ruolo del DPO che ha anche la funzione di GARANTE interno. Si perché non c'è il Garante e ogni funzione, compreso il fatto di poter fare un RECLAMO, è riferita unicamente al DPO.

Speriamo che ne abbia le competenze.

Ci vuole fede. Tanta fede.






Nel testo c'è una cosa che nel GDPR non esiste e che mi piace molto. Il REFERENTE.

Il REFERENTE è la persona fisica autorizzata a mettere in atto le misure di sicurezza, vigila e garantisce la corretta osservanza delle medesime ad opera dei lavoratori che materialmente effettuano operazioni di Trattamento sui Dati personali. In caso di violazioni riscontrate dal Referente, ne da notizia al DPO entro 72 ore.

Di referenti ce ne vogliono tanti.

Bello il Referente, concordo molto con la sua necessità, al punto da averlo introdotto anch'io, non senza difficoltà, nei sistemi di gestione dei dati che ho elaborato.

Il REFERENTE, per fare un parallelo noto a tutti, assomiglia molto al PREPOSTO per la sicurezza del lavoro, una figura che ne capisce, che supervisiona e che, così facendo, garantisce l'attuazione delle leggi e delle regole che un'azienda si è data. Nel mio piccolo, ho introdotto il PREPOSTO PRIVACY nelle aziende che hanno accettato questo consiglio, ovviamente configurato come un autorizzato al trattamento con funzioni di coordinamento e vigilanza.

Bravo Don, bella idea, e non perchè lo dico io, ma perchè questo è proprio l'ingranaggio che manca al GDPR per funzionare veramente.





Chiudo questa carrellata di differenze tra il GDPR e il Santo GDPR con un aspetto sul quale bisognerà riflettere a lungo: nel Santo GDPR mancano completamente le sanzioni

ZERO, nemmeno un buffetto sulla guancia, manco uno scappellotto.

Le ho cercate bene perchè mi sembrava poco coerente con una istituzione millenaria che ha prosperato sulla paura del Diavolo e dell'Inferno, sulla confessione dei peccati, sul peccato originale (la presunzione della colpa), sulla penitenza e che, fino a non molto tempo fa, puniva con incredibili strumenti di tortura che oggi troviamo nei musei. Una istituzione che ha saputo dotarsi della Santa Inquisizione e che ha imbracciato le armi per andare a punire comportamenti che riteneva di dover presidiare su tutto il globo terraqueo, a prescindere da confini, credenze, usi e costumi.

In breve, se qualcuno violasse le misure di sicurezza, causasse un data breach, violasse la riservatezza di migliaia di persone o calpestasse i più basilari diritti alla protezione dei dati di un interessato, potrebbe cavarsela semplicemente con due Pater e cinque Ave.

Bene, ma non benissimo.


Prosit

San GDPR
San Gdpr, protettore dei DPO e dei PIRATI INFORMATICI






SEI UN PROFESSIONISTA?



SI


FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi.


Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?


bene... allora mi devi una birra.

NO


Se sei arrivato fino a qui meriti un plauso. Complimenti!

Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi:


- Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone


- Con una donazione. 

Questo aiuterà me.




👇 👇 Clicca qui 👇 👇






 

 


04 febbraio 2024

Venti di cambiamento


Windy è una risorsa fondamentale per chi viaggia per lavoro o per turismo, per chi vola, per chi cammina in montagna, per chi naviga in mare e per tutti coloro che desiderano informazioni meteorologiche affidabili e complete.

Da un po' non andavo sul sito senza protezioni attive e oggi mi sono imbattuto in questa novità: i popup... aria di cambiamento? Si, direi che c'è un po' di maretta.

Entrando compare un popup all'apparenza corretto e rassicurante. Nessun trattamento invasivo, nessuna condivisione, solo la richiesta di usare dati anonimi  per proteggere il sito e garantire il servizio.

Hem... ok, non serve un DPO per iniziare a storcere il naso. Per usare dati anonimi dovrei chiedere il permesso a qualcuno? Si, ma se è anonimo, a chi lo chiedo?

In alteri termini, un po' più tecnici, i dati anonimi, per definizione, non sono affatto dati personali. Proprio per questo, con i dati anonimi si può fare tutto ciò che si vuole senza dover chiedere niente a nessuno.

Comunque, dato che questo permesso non ha alcun senso, clicco su "reject" per necare un consenso inutile.


Prima schermata


Tadaaaaa  Qui arriva la sorpresa. 
Altro che dati anonimi, il primo banner forse va riletto alla luce di ciò che accade se si nega quel consenso, apparentemente inutile ma chiesto con garbo e, soprattutto, con una alternativa.

La spiegazione proposta è più articolata e ciò che prima era condensato in una riga, diventa ben più ricco di dettagli.

Rispettiamo la tua decisione, teniamo in considerazione la tua privacy e la prendiamo molto sul serio ed è per questo che usiamo i tuoi dati solo in forma anonima e bla bla bla. 
 


Seconda schermata - Premendo "Reject"


Quell' "however" funziona come funziona il "MA" in italiano e tutto ciò che precede un "MA", di solito, è spazzatura.
Qualsiasi cosa venga scritta prima del "ma" perde significato e, anche se assolutamente vera, viene dissolta da quelle due letterine.

Quindi, dato che Windy deve proteggere il sito dai robot, da chi sgraffigna informazioni e contenuti, dagli attacchi mirati ad interrompere il servizio, non ce ne frega più niente della tua privacy. Per questo, oltre che per mantenere windy gratuito (!!!), se si vuole veramente bloccare le funzionalità analitiche anonime (!!!) è necessario registrarsi e loggarsi.  Pare che, per windy, questo sia l'unico sistema possibile per garantire che il servizio soddisfi tutti e per proteggere il sito windy.com 

Direi che qui iniziano ad affacciarsi dubbi e considerazioni che meritano una risposta.


Non sarà, forse, che questo è un cookie wall o un consent wall?
Non vorrei che, senza volerlo o come effetto collaterale, si realizzasse la drammatica situazione che abbiamo visto di recente nell'editoria italiana: un muro che si può scavalcare solo abdicando alla propria riservatezza, in mutante, accettando trattamenti invasivi che, in altre circostanza, mai avremmo accettato. Oppure pagando.


Personalmente non ho nulla contro i servizi a pagamento, azi, li sostengo volentieri, ma ho molte cose contro le imposizioni e le mistificazioni. 
Un consenso obbligatorio, Dio ci scampi, sarebbe un bel problema da gestire per Windy.

Registrarsi come alternativa al consenso non mi piace molto perchè apre la porta a trattamenti ulteriori che, a quel punto, trovano base di legittimazione del contratto, ammesso e non concesso che questo sia lecito e conforme al GDPR, come peraltro sostiene facebook da anni.


Resta da capire il senso di chiedere il permesso per trattare dati anonimi dato che, in quanto anonimi, non c'è bisogno di alcun permesso o consenso. L'unica spiegazione è che non siano veramente anonimi e allora, in effetti tutto cambia.


Ogni DPO vede qui un problema spesso trascurato che però potrebbe spiegare questa strana richiesta. Quando si vuole rendere un dato personale anonimo, lo si deve processare cioè lo si deve trattare. Per trattarlo, anche solo per renderlo anonimo, è quindi necessaria una base di legittimazione che spesso è il consenso. Francamente lo eviterei perché la base di legittimazione migliore non è il consenso e si potrebbe benissimo esplorare il legittimo interesse per questa tipologia di trattamenti.
Potrebbe essere? boh! Da come è scritto certamente no. Personalmente non credo che Windy avesse in mente questo trattamento, l'anonimizzazione, per il quale si chiede consenso.

ma attenzione....
- because such processing is necessary for the purposes of the legitimate interests pursued either by us or by a third party and such legitimate interests are not overridden by your privacy or related rights as an individual. Our legitimate interests include e.g. the necessary maintenance of our infrastructure, statistical analysis of the use of the Services, and protection of our legally protected rights;
Consultando l'informativa privacy si scopre che le stesse finalità che sono richiamate da questi due banner sono associate al LEGITTIMO INTERESSE e non al consenso. 

Questa è decisamente una stranezza poiché, come si poteva intuire, si potrebbero ricondurre i trattamenti desiderati al legittimo interesse e così parrebbe proprio leggendo l'informativa, tuttavia il banner chiede un consenso, oppure la registrazione e il login. 

Il login trasforma un visitatore in un utente e permette di attivare altre basi di legittimazione come gli obblighi e le previsioni contrattuali, i terms and conditions, per dirla in termini anglofoni.

Quindi?  Che sta succedendo in casa Windy.com?

Non si può dire senza interpellare chi si occupa di protezione dei dati personali e così ho fatto.
Non resta che attendere la risposta.

Stay tuned.