Vietato vietare - riflessioni in libertà

Periodicamente, ciclicamente, esattamente come i pidocchi,, le verruche e l'influenza, arrivano quelli che benpensano, sbandierando la grande idea, l'ideona, proprio, la soluzione, la panacea per tutti i mali del mondo:  VIETARE.

In più, immancabilmente, ogni raffica di divieti viene mistificata e ammantata di santità sempre con il solito argomento:  "lo facciamo per proteggere i bambini".

Capita forse in tutti gli ambiti, ma quando accade nel piccolo mondo della protezione dei dati personali non riesco a stare zitto.

Giù le mani dai bambini, per carità, se no mi parte l'embolo!

Raccolgo qui alcuni post che ho pubblicato su twitter e che descrivono abbastanza bene il mio pensiero.

1) tweet n.1, in risposta ad un post (bloccato) di Giulia Pastorella.

(fonte https://twitter.com/prevenzione/status/1667080065203556352)

Questa idea è discutibile. È legittimo fare una proposta simile e, se ottieni il il voto della maggioranza della popolazione, diventi pure realtà. Si chiama democrazia.

Però bisognerebbe essere trasparenti e dire le cose come stanno.

"Proteggere i bambini" è una scusa di facile presa, messa li apposta per raccogliere facile consenso, per dissimulare una triste realtà facendola sembrare meritoria e universalmente condivisibile. Chi mai potrebbe essere contro ai bambini? Chi può dirsi contrario a ciò che si fa per il loro bene?

Purtroppo ormai è un mantra: ogni volta che si vuole far passare una porcata assurda la si mette in relazione alla tutela dei minori, al contrasto alla pedopornografia infantile, al bullismo, ai peggiori scenari a danno dei più deboli. Si vince facile. Siamo sempre tutti d'accordo.

Peccato che le cose non stiano in questi termini.

Il tweet sotto riportato rappresenta il VERO pensiero sottostante: il controllo esercitato al posto dei genitori, giudicati incapaci di attendere alle proprie funzioni.

Noto uno uno spiccato accento morale, un giudizio aprioristico su cose che attengono a ciascuno di noi e per le quali abbiamo bisogno di essere liberi, magari anche di sbagliare e noto la chiara e netta volontà di sostituirsi ai genitori nell'esercizio di una delle più importanti missioni a loro affidate: l'educazione dei propri figli.

Questo passaggio è cruciale perchè il pensiero espresso, questo metodo e questa politica, in prospettiva, apre le porte e va nella direzione del controllo: 

controllo del voto al posto degli elettori, 

controllo dell'opinione al posto delle coscienze,

controllo dell'informazione al posto della stampa,

controllo della pluralità al posto della gente,

controllo dell'impresa al posto dell'imprenditore,

controllo delle libertà al posto della legge,

controllo di tutto.

Non ci sono mezze misure.

Se si sdogana la bontà del controllo, per salvare i bambini dall'incompetenza genitoriale, si aprono le porte dell'abisso.

Il GDPR non chiede di fare questo, ma proprio per niente, anzi, chiede l'esatto contrario. Per favore, non diciamo che questa brillante idea è necessaria per applicare la legge perchè è una bugia.

Il GDPR è una norma di libertà e di responsabilità.

Le aziende hanno la responsabilità di garantire che certi servizi siano utilizzati solo da determinate persone, in alcuni caso dai maggiori di 14 o 18 anni. 

Le famiglie hanno la responsabilità di gestire i propri figli, mettendo a disposizione strumenti appropriati alle loro esigenze e alla loro età, vigilando e insegnando come utilizzare il mondo intero, non solo una app.

Le persone, anche quelle piccole, hanno il dovere, ma anche il diritto, di decidere, di sbagliare, di provare, di capire, di essere libere.

Persone non libere di fare una cosa saranno persone che quella cosa la faranno in modo illecito, aggirando ogni possibile norma pensata dal legislatore per vietare loro ciò che desiderano fare.

Ciascuno faccia le proprie considerazioni, naturalmente, per tutelare i bambini.

Gli adulti di domani non possono ereditare un mondo schifoso, fatto di controllo pervasivo dello stato su tutto ciò che li riguarda.

 

(Secondo post di integrazione)

 

Non bisogna confondere il soggetto tutelato con il soggetto obbligato.

il minore è il oggetto tutelato e ha dei DIRITTI, non ha dei doveri. 

il soggetto obbligato è il social network e non ha dei diritti bensì ha dei doveri.

La vostra proposta inverte tutto, gravando il soggetto tutelato di doveri e comprimendo i suoi diritti.

Che vi piaccia o meno, uno dei diritti delle persone è anche quello di poter violare una norma, rispondendone, poi, se del caso. 

Il sistema proposto è pensato per impedire (formalmente) un accesso a chi non rispetta i criteri stabiliti da una norma amministrativa. E' sproporzionato e lesivo di una libertà importante per la tenuta della nostra democrazia.

Dico "formalmente" perchè in concreto accadranno cose molto diverse da quelle che voi immaginate.

Non so se mentite sapendo di mentire oppure se proprio non fatto alcuna valutazione sull'impatto di questo sciagurato sistema:

1) nessun minore verrebbe tutelato: quelli che già ora utilizzano  socialnetwork anche sotto l'età minima continueranno a farlo. 

2) nessun genitore sarà educato a fare meglio il genitore: chi ha già una sensibilità sull'argomento non ha alcun bisogno di questa norma e si comporta già in modo virtuoso. Al contrario, chi non ha sensibilità su questo argomento percepirà soltanto una nuova fastidiosa pastoia burocratica, per colpa della quale dovrà perdere tempo per fare una cosa che avrebbe lasciato fare in autonomia: aprire un account per il proprio figlio... o per il fratellino... o per il vicino di casa.

3) le piattaforme saranno deresponsabilizzate rispetto ad un proprio preciso obbligo di legge, non rischieranno più sanzioni e potranno disinteressarsi di ciò che avviene all'utente. la norma una chiede di istituire una procedura formale ma chiede di attuare una gestione che garantisca protezione effettiva. 

4) si moltiplicheranno i database, gli archivi e le liste, aumentando a dismisura i rischi per gli inevitabili data breach, errori umani, bug e malfunzionamenti he esporranno valanghe di dati che potrebbero (dovrebbero) non esistere. Diventa solo questione di tempo.

5) ci sarà un nuovo soggetto intermedio con un nuovo database di utenti che, volenti o nolenti, permetterà di tracciare ogni utente impedendo una fruizione veramente anonima dei social network.

Solo per evitarle la fatica di arrabattarsi su questo punto: NO, l'anonimato non è affatto un male e non è sinonimo di sordidi affari. 

L'anonimato è tanto necessario quanto lo è la libertà di espressione.

Senza anonimato, non ci può essere dissenso, non ci può essere opinione contraria a quella di un soggetto autoritario, non si può essere libertà in molti aspetti della nostra vita.

Ci pensi, questa proposta porterà il nostro paese ad essere peggiore, non migliore.

Se poi lo si vuole fare solo per carpire i voti ed il consenso di quattro imbecilli trogloditi che appena sentono "bambini" urlano sguaiatamente in favore della nuova ideona... prego, fate pure, ma abbiate almeno il buongusto di promettere senza mantenere.

 

Come ti inquadro il fornitore. Grazie al Garante ora non si litiga più.

Si registrano episodi in cui alcuni ordini professionali  abbiano dato prova di scarsa competenza pubblicando pareri non condivisibili e fornendo indicazioni errate ai propri iscritti. 

L'etica e la deontologia degli ordini non consentono di esplorare alternative che porterebbero a  concludere che i medesimi pareri siano improntati a criteri di comodo o convenienza. Non è lecito nemmeno pensarlo.

Purtroppo, molto spesso, questi pareri vengono utilizzati come risposta standard, acriticamente applicata, da consulenti molto competenti, ma in altre materie,  e probabilmente troppo occupati per curarsi di questi dettagli.

Personalmente ho spesso dovuto confrontarmi con posizioni atecniche, ma sostenute con veemenza e ardore sia da consulenti del lavoro che fiscalisti, commercialisti, avvocati, notai, revisori contabili, sindaci e consulenti dalle più disparate competenze. Le associazioni di categoria non sono immuni da questa tendenza interpretativa e sono moltissime ad aver guidato le imprese di riferimento sulla strada sbagliata, qualificando il ruolo dei propri fornitori in modo fantasioso e creativo.

Mi stupisce quanta fatica venga sprecata in difesa di temerarie posizioni in tutti  questi casi ove basterebbe un sereno ed intelligente confronto per individuare, caso per caso, lo scenario giuridico che meglio descrive la realtà.

Ultimamente, nel tentativo di semplificare la vita ai miei interlocutori e ai clienti, ho cercato di raccogliere alcuni materiali ufficiali per aiutare a comprendere la distinzione e i differenti ruoli di titolare, responsabile, incaricato, cotitolare, terzo. Tuttavia il parere del WP29 (Gruppo di lavoro ex art. 29 - Parere 1/2010 sui concetti di «titolare del trattamento» e «responsabile del trattamento» WP 169) viene recepito come troppo complesso, lungo, dettagliato e difficile da maneggiare.

Semplificando ulteriormente, ho cercato altri materiali pubblicati dai Garanti e, con rammarico, solo presso il garante Inglese (ICO) ho trovato una guida breve, chiara, orientata alla concreta applicazione della norma, purtroppo in lingua inglese. Anche questo pare essere un elemento che scoraggia la lettura di molti professionisti.

Courtesy Translation della
checklist e guida  ICO
su data processor (responsabile)

Nelle more di qualsiasi indicazione da parte della nostra Autorità, ho provveduto ad una personalissima traduzione di cortesia, ottenendo un documento abbastanza chiaro e leggibile: una paginetta che aiuta in concreto le aziende e i professionisti a comprendere i termini della questione e smorzare i toni di quello che, in moti casi, sembra uno scontro ideologico e un rimpallo di responsabilità.

Purtroppo, in un recente scambio, il precedente Presidente dell'Autorità Garante mi ha messo in guardia segnalando un concreto rischio nell'applicare linee guida di emanazione straniera. Effettivamente il mio ingenuo tentativo partiva dal presupposto che i garanti fossero coordinati e dalla mia intima convinzione che si fossero suddivisi il lavoro:

• il garante inglese ha prodotto molte guide applicative
• il garante francese ha pubblicato il software per elaborare la PIA (Privacy Impact Assessment)
• il garante tedesco ha pubblicato pareri su temi scottanti di difficile soluzione interpretativa
• il garante irlandese ha il compito di affrontare la compliance dei Big del web che in Irlanda hanno la base operativa, 
• diversi garanti hanno pubblicato bozze di registro dei trattamenti, 
• ecc.

Il garante Italiano, inizialmente,  è stato molto attivo su diversi fronti, ma non sulle guide applicative per i temi di più quotidiano interesse. 

Più di recente, si è registrata una accelerazione senza precedenti e l'Autorità ha gestito rilevanti ed urgenti temi, di portata generale, come il reddito di cittadinanza, la fatturazione elettronica, i temi di illecito trattamento dei dati da parte di Facebook–Cambridge Analytica.

La settimana scorsa il nostro Garante ha inoltre pubblicato, nella newsletter periodica, il proprio parere ufficiale, emesso in occasione di una specifica domanda posta da molti professionisti e ripresa dall'ordine dei CdL.

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9080970

Evviva!

Ora, finalmente, non è più necessario guardare alle altre autorità e possiamo fare riferimento ad un importante documento del nostro Garante.

Ad una prima e frettolosa lettura, si potrebbe pensare che la risposta riguardi strettamente la domanda che è stata posta all'autorità. Al contrario, l'articolata spiegazione rappresenta un'indispensabile guida per riuscire a regolare, in modo trasversale, i rapporti tra un titolare (un'azienda) e i propri fornitori e consulenti chiamati a trattare, per suo conto, dati personali. 

Con buona pace delle lettere standard, delle risposte approssimative, delle strampalate posizioni supportate dagli ordini e dalle associazioni, finalmente, esiste un criterio per regolare in modo omogeneo una enorme serie di situazioni.

Il criterio fondamentale è declinato e chiarito in modo molto esplicito dal Garante:

"Le attività di trattamento svolte da soggetti esterni per conto del titolare, il quale può decidere di affidare all’esterno lo svolgimento di compiti strettamente connessi all’esecuzione di obblighi previsti dalla normativa lavoristica e/o dal contratto di lavoro, devono, di regola, essere inquadrate nello schema titolare/responsabile del trattamento."

Sembra molto ragionevole provare, con cautela, ad estendere questo principio anche ad altre attività, parimenti affidate all'esterno, che comportino lo svolgimento di compiti strettamente connessi all’esecuzione di obblighi di legge o all'esecuzione di contratti di cui sia titolare il soggetto originario. 

Tutti siamo chiamati a leggere, analizzare, studiare ed imparare dal testo integrale del garante.

Senza alcuna pretesa, come mero esercizio di astrazione, provo ad usare alcuni testi estratti dal provvedimento in modo da poterli applicare anche oltre la rigida ed inconsistente barriera del singolo ordine professionale:

In via prioritaria occorre distinguere il segmento di attività in cui il consulente tratta i dati dei propri clienti nella sua qualità di professionista (per gli adempimenti propri, fiscalità, fatturazione, ecc), dalla diversa attività per la quale il medesimo soggetto tratta i dati personali di cui è titolare il cliente (erogazione del servizio professionale commissionato).  

Nel secondo caso occorre fare riferimento alla figura del responsabile, che rimane connotata dallo svolgimento di attività delegate dal titolare il quale, all’esito di proprie scelte organizzative, può individuare un soggetto particolarmente qualificato allo svolgimento delle stesse delimitando l’ambito delle rispettive attribuzioni e fornendo specifiche istruzioni sui trattamenti da effettuare  

Il titolare pertanto è il soggetto che, alla luce del concreto contesto nel quale avviene il trattamento, assume le decisioni di fondo relative a finalità e modalità di un trattamento lecitamente effettuato in base ad uno dei criteri di legittimazione individuati dall’ordinamento (v. artt. 6 e 9 del Regolamento). 

...

Su un piano del tutto diverso rispetto alla figura del responsabile si pone colui che effettua (senza apprezzabili margini di autonomia) operazioni di trattamento sotto l’autorità del titolare o del responsabile.

La possibilità di attribuire specifiche funzioni e compiti a soggetti designati dal titolare o dal responsabile, assimilabili al ruolo di incaricati del trattamento, è ora previsto dall’art. 2-quaterdecies del Codice in materia di protezione dei dati personali.

In continuità con la normativa previgente, il garante si è già espresso e conferma che, di regola, siano responsabili del trattamento questi soggetti:

• società capogruppo delegata da società controllate e collegate a svolgere adempimenti in materia di lavoro, previdenza ed assistenza sociale per i lavoratori
• soggetto che fornisce servizi di localizzazione geografica 
• servizi di posta elettronica
• servizi di televigilanza 

A margine di tutto questo, ma anche grazie alle illuminanti parole del Garante, di recente, intrattenendo divertenti conversazioni tra amanti della materia, ho esplorato il ruolo degli ordini professionali che attribuiscono ai propri iscritti indirizzi pec formattati con nome.cognome@ordinedeprofessionale.it 

Nessuno pare essersi reso conto che questa email possa portare all'individuazione dell'ordine come un Responsabile del trattamento del singolo professionista, a questo asservito e dal quale ricevere indicazioni su come comportarsi in tutti quei casi che possano ricorrere con riferimento alla mailbox: uscita di un professionista dall'ordine, portabilità di tale indirizzo e su un differente fornitore, ecc.

Sarà interessare leggere i pareri degli ordini in proposito. Fino ad ora è stato possibile sostenere posizioni fantasiose grazie all'assenza di indicazioni ufficiali. Oggi diventa molto pericoloso discostarsi dalle indicazioni del Garante Privacy.

CB