Eye in the sky

Il Vaticano si dota di un proprio GDPR: lo chiamerò il SANTO GDPR.

Qui trovi il testo  del decreto appena approvato: N. DCLVII – Decreto della Pontificia Commissione per lo Stato della Città delVaticano con il quale viene promulgato il Regolamento Generale sulla protezione dei Dati personali. (30 aprile 2024)

PERCHE'?

CUI PRODEST? 

Nessun c'è alcun apparente motivo per farlo poichè lo stato pontificio è sovrano nei propri confini e non ha certo bisogno né di imparare dagli altri come trattare dati personali, come proteggerli, né di scopiazzare una norma europea che mal si adatta alle peculiarità che lo contraddistinguono.

IMHO l'unica ragione per farlo è la necessità di ottenere il "GIUDIZIO DI ADEGUATEZZA" ossia un riconoscimento di pari livello di protezione tra i paesi dell'UE e un paese terzo.

Questo giudizio di adeguatezza permette la libera circolazione dei dati, consente quindi di poter localizzare un fornitore o utilizzare provider dei paesi terzi senza doversi preoccupare di valutare, organizzare, strutturare, legittimare questo trasferimento di dati transfrontaliero, esattamente come se ci si avvalesse di un soggetto francese o tedesco. In breve, semplifica enormemente la vita e permette di considerare "a norma" ogni fornitore di un certo paese extra UE.

Ad oggi, questa è la lista dei paesi per i quali esiste un giudizio di adeguatezza e che non sono più paesi terzi:

- Andorra
- Argentina
- Australia (accordo)
- Canada
- Faer Oer
- Giappone
- Guernsey
- Isola di Man
- Israele
- Jersey
- Nuova Zelanda
- Regno Unito
- Svizzera
- Uruguay
- USA (accordo)

Ora anche il Vaticano può iniziare la procedura per essere riconosciuto come "ADEGUATO" rispetto alle misure normative che garantiscono la protezione dei dati personali in tutta Europa.

Dopodichè... beh, libera circolazione dei dati: l'anima del commercio

Si può dire "Anima"?

Nel merito, il testo del SAN GDPR è breve e ricalca la prima parte del GDPR.

Mi sono divertito a leggerlo nel dettaglio e ho trovato delle chicche interessanti:

La definizione di dati sensibile è molto differente da quella del GDPR. Ecco uno schemino sinottico 

GDPR l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute dati relativi alla vita sessuale dati relativi all'orientamento sessuale (...?...)

SANTO GDPR l’origine razziale o etnica le opinioni politiche, le convinzioni religiose (...?...) (...?...) trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute (...?...) (...?...) altre situazioni collegate alla vita privata

Quindi, a differenza che nel resto d'Europa, nello stato del Vaticano, NON SONO DATI PARTICOLARI (Sensibili) le informazioni relative alla vita sessuale, l'orientamento sessuale, l'appartenenza sindacale, le convinzioni filosofiche.

Che scelta bizzarra, non riesco proprio a pensare alle ragioni che l'abbiano determinata. Mi sforzo ma non mi viene in mente proprio niente...   (andrò all'inferno anche per questo).

Mi incuriosisce molto il fatto che  in Vaticano siano dati sensibili "altre situazioni collegate alla vita privata". Alla faccia della certezza del diritto. Come faremo a distinguere un dato particolare di questa tipologia (altre situazioni) e come faremo a capire se afferisce alla vita privata oppure no? Peraltro, quale altra vita esiste se non quella privata?

Mah! Mistero della fede.

Ha, già... la fede. Forse questa è la chiave di lettura. 

L’informativa, tutti sanno, è un atto fondamentale che da senso e contenuto al principio di trasparenza e buona fede: PRIMA ti dico come tratterò i tuoi dati, POI tu decidi se darmi i tuoi dati ed un eventuale libero consenso informato. 

Credo che non sarei riuscito a fregare nemmeno mia figlia quando aveva due anni dicendole: "prima mi dai la tua caramella, poi io ti dico cosa io ti do in cambio e che cosa farò con la caramella."

Eppure, il Santo GDPR prevede proprio questo. L'informativa può essere data ENTRO 30 GIORNI.

Non sono bravo in matematica ma con l'aiuto di chatGPT sono riuscito a capire che questi 30 giorni significano, in sostanza, che l'informativa può serenamente essere data anche DOPO aver acquisito i dati, DOPO aver ottenuto un consenso rilasciato alla cieca, DOPO aver trattato i dati.

Non ho idea di come si possa pensare che il consenso sia "libero e informato" senza una informativa preventiva e senza che intervenga un MIRACOLO...   ah, già. Capito.

MA PORCA EVA.

No, Eva non si può dire in questo contesto... 

MA PORCA VACCA!

Vacca si può?

Arrivando ai PRINCIPI che legittimano il trattamento, serve un altro quadretto sinottico:

GDPR trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»); finalità determinate, esplicite e legittime successivamente trattati in modo che non sia incompatibile con tali finalità; adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità esatti e, se necessario, aggiornati conservati per un arco di tempo non superiore al conseguimento delle finalità trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione

SANTO GDPR liceità, correttezza, trasparenza, buona fede e proporzionalità. finalità determinate, esplicite e legittime successivamente trattati in modo che non sia incompatibile con tali finalità adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità esatti e, laddove necessario, aggiornati conservati per un arco di tempo non superiore al conseguimento delle finalità  trattati in modo da garantire un’adeguata sicurezza dei Dati personali, compresa la protezione

Sono stati replicati i principi dell'art 5 del GDRP, con l'aggiunta di alcune reliquie del passato codice. In effetti mancherebbero gli altri principi, quelli sparpagliati nel GDPR, quelli che si applicano ai processi decisionali automatizzati, il principio Privacy By Design e by Default... e vari altri principi che costellano il regolamento generale. In vaticano parrebbe che non interessino. Ok.

Poi, nelle definizioni mi sono imbattuto nella definizione di "anonimizzazione" e mi sono genuinamente messo a ridere:

Anonimizzazione:  il Trattamento di informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a Dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’Interessato;

No, Don, l'anonimizzazione consiste nel rendere anonime le informazioni, non nel trattare informazioni che sono state rese anonime. Quello è un trattamento di dati non personali e, quindi, per definizione, non soggetto né al GDPR né ad ogni altra norma. Se i dati sono anonimi, puoi farci quello che vuoi perché NESSUNO sarà coinvolto o danneggiato.

Ma se prendi dei dati personali e li vuoi rendere impersonali, allora li stai anonimizzando. Facendolo, stai trattando dei dati personali e lo devi fare bene, nel rispetto dei principi che ti sei dato.

La definizione è proprio sballata. 

Più sotto, nel testo si trova il campo di applicazione che ci dice a cosa si applica il Santo GDPR. Beh, una delle esclusioni recita proprio "c) nelle ipotesi di anonimizzazione dei Dati."

Ma stando alla definizione, significa che il Santo GDPR non si applica all'atto di PRENDERE DATI PERSONALI E RENDERLI ANONIMI. Quindi, il processo di anonimizzazione che, ricordiamolo, parte da dati personali, magari anche sensibili, è escluso dall'applicazione della norma. Libero, spensierato... Cosa mai potrà andare storto.

Altri elementi interessanti riguardano un diverso schema di DATA CONTROLLER - DATA PROCESSOR e DATA PROTECTION OFFICER... o, per dirlo in italiano, riguardano il titolare del trattamento, il responsabile del trattamento e il responsabile della protezione dei dati personali, il DPO.

In Vaticano, il Titolare è solo il Vaticano stesso. Non avrai altro titolare all'infuori di me. Ok

In Vaticano, il DPO è il Consigliere Generale del Vaticano. Solo lui, protempore, a prescindere da chi possa essere. Il DPO del Vaticano può fare uso della gendarmeria e questa è una figata senza pari: il sogno proibito di ogni DPO. Del resto, a Sanpietro, hanno esteso molto il ruolo del DPO che ha anche la funzione di GARANTE interno. Si perché non c'è il Garante e ogni funzione, compreso il fatto di poter fare un RECLAMO, è riferita unicamente al DPO.

Speriamo che ne abbia le competenze.

Ci vuole fede. Tanta fede.

Nel testo c'è una cosa che nel GDPR non esiste e che mi piace molto. Il REFERENTE.

Il REFERENTE è la persona fisica autorizzata a mettere in atto le misure di sicurezza, vigila e garantisce la corretta osservanza delle medesime ad opera dei lavoratori che materialmente effettuano operazioni di Trattamento sui Dati personali. In caso di violazioni riscontrate dal Referente, ne da notizia al DPO entro 72 ore.

Di referenti ce ne vogliono tanti.

Bello il Referente, concordo molto con la sua necessità, al punto da averlo introdotto anch'io, non senza difficoltà, nei sistemi di gestione dei dati che ho elaborato.

Il REFERENTE, per fare un parallelo noto a tutti, assomiglia molto al PREPOSTO per la sicurezza del lavoro, una figura che ne capisce, che supervisiona e che, così facendo, garantisce l'attuazione delle leggi e delle regole che un'azienda si è data. Nel mio piccolo, ho introdotto il PREPOSTO PRIVACY nelle aziende che hanno accettato questo consiglio, ovviamente configurato come un autorizzato al trattamento con funzioni di coordinamento e vigilanza.

Bravo Don, bella idea, e non perchè lo dico io, ma perchè questo è proprio l'ingranaggio che manca al GDPR per funzionare veramente.

Chiudo questa carrellata di differenze tra il GDPR e il Santo GDPR con un aspetto sul quale bisognerà riflettere a lungo: nel Santo GDPR mancano completamente le sanzioni. 

ZERO, nemmeno un buffetto sulla guancia, manco uno scappellotto.

Le ho cercate bene perchè mi sembrava poco coerente con una istituzione millenaria che ha prosperato sulla paura del Diavolo e dell'Inferno, sulla confessione dei peccati, sul peccato originale (la presunzione della colpa), sulla penitenza e che, fino a non molto tempo fa, puniva con incredibili strumenti di tortura che oggi troviamo nei musei. Una istituzione che ha saputo dotarsi della Santa Inquisizione e che ha imbracciato le armi per andare a punire comportamenti che riteneva di dover presidiare su tutto il globo terraqueo, a prescindere da confini, credenze, usi e costumi.

In breve, se qualcuno violasse le misure di sicurezza, causasse un data breach, violasse la riservatezza di migliaia di persone o calpestasse i più basilari diritti alla protezione dei dati di un interessato, potrebbe cavarsela semplicemente con due Pater e cinque Ave.

Bene, ma non benissimo.

Prosit

San Gdpr, protettore dei DPO e dei PIRATI INFORMATICI

SEI UN PROFESSIONISTA?

SI FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere? bene... allora mi devi una birra.

NO Se sei arrivato fino a qui meriti un plauso. Complimenti! Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi: - Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone - Con una donazione.  Questo aiuterà me.

👇 👇 Clicca qui 👇 👇

 

 

Chi ci da una mano?

Sono stato colpito da due notizie di cronaca che mi hanno fatto riflettere in modo nuovo sul GDPR e alle sue implicazioni.

PRIMA NOTIZIA- ieri si è verificato un fatto assurdo: un agente di polizia è stato ferito esaminando una pendrive, una chiavetta di memoria USB che da due anni giaceva nell'ambito di un indagine. Poichè sospetta e segnalata dall'avvocato destinatario e dall'ordine degli avvocati che era indicato falsamente come mittente, è stata acquisita per essere poi analizzata.

La chiavetta è rimasta due anni in attesa e, nel momento in cui è stata presa in considerazione per svolgere l'indagine, è stata inserita in un PC ed è esplosa. Si trattava di un dispositivo modificato e fatto apposta per esplodere, dotato di una carica che ha detonato grazie alla tensione fornita dal PC in cui è stata inserita.

Assurdo, criminale, folle... ma anche evitabile.

SECONDA NOTIZIA- oggi, su diverse testate, leggo di un europarlamentare che ha dichiarato di aver dovuto condividere le sue password dei social media account con la segreteria del proprio partito. Che ciò sia vero o falso, quasi non conta. Si tratta di una notizia grave, preoccupante e angosciante, che mette in luce risvolti spaventosi di pratiche antiche ma che, con la tecnologia, diventano decisamente più efficaci, complesse da gestire e problematiche.

Entrambi questi fatti hanno un denominatore comune: il GDPR e i suoi principi fondamentali.

Il regolamento europeo richiede di elevare gli standard di sicurezza in funzione dei rischi che ciascuno deve individuare e valutare. L'uso di una pendrive, ad esempio per una copisteria, può avere un livello di rischio medio ed è lecito pensare alla sola presenza di virus o programmi dannosi. Al contrario, un computer di una banca deve essere protetto anche rispetto ad attacchi più sofisticati e deve considerare la porta USB come una grave vulnerabilità, fino al punto di bloccarne l'uso. La gestione dei dispositivi deve essere pertanto adeguata e rafforzata. Il reparto indagini forensi, al quale la procura può aver affidato l'esame della chiavetta modificata, ha certamente necessità di applicare lo stesso principio di proporzionalità e di valutazione del rischio, di individuare rischi ben maggiori di quelli meramente informatici, strutturarsi per prevenirli e addirittura per proteggersi da essi. Nel caso specifico, il laboratorio non è tenuto ad applicare il GDPR ai sensi dell'art. 2, comma 2 lett.D del Regolamento. tuttavia, applicarne le logiche, i principi e considerarlo una best-practice da seguire anche se non specificamente obbligati, avrebbe certamente comportato un esito differente per il malcapitato agente che è rimasto danneggiato dalla bomba che stava per analizzare.

Il regolamento, se correttamente applicato, garantisce a tutte le persone libertà di pensiero e di comportamento, fa sì che ciascuno possa esprimersi o non esprimersi e che sia sempre libero di comportarsi a suo piacimento e in piena libertà, senza vincoli o paure. Se si pensa ad un europarlamentare, ad un senatore, un presidente, un funzionario, un sindaco o chiunque sia chiamato ad esercitare un dovere pubblico o a guidare l'amministrazione dello stato, la libertà e l'indipendenza diventano essenziali e necessari anche per garantire una effettiva democrazia. Da sempre si raffinano sottili tecniche per condizionare l'esercizio del potere: penso all'uso distorto del denaro e mi tornano alla memoria famose inchieste giudiziarie su "fogli firmati in bianco" che i militanti dovevano rilasciare al proprio partito alcune decine di anni fa e che altro scopo non avevano se non condizionarne l'operato e ridurre la loro libertà di agire, decidere, parlare. Oggi, complice la tecnologia, diventa decisamente semplice ottenere questo scopo in modo economico ed infallibile. Oggi, i dati sono il nuovo denaro. Oggi, le password sono i nuovi fogli in bianco.

Nel caso dell'europarlamentare, la libertà e la tutela della riservatezza e dei suoi dati personali, diventa il baluardo della libertà di tutti.

Il GDPR, assieme ad una lunga serie di norme penali, impedisce in modo energico e tassativo che si possa verificare uno scenario come quello descritto dai giornali di oggi e che un esponente politico debba condividere password con il suo partito o fogli firmati in bianco.

Il GDPR ci può aiutare, se solo siamo disposti a vedere quante implicazioni e quanta protezione sia annidata tra le pieghe dei suoi articoli, dei suoi considerando, dei suoi principi.

CB

Legal Design: quell'irrefrenabile voglia di leggere l'informativa privacy...

Cos'è il design? probabilmente chiunque vorrebbe rivolgere questa domanda ad un architetto, ad uno stilista, ad un esteta, ad un grafico o ad un artista.

Oggi, questa domanda può e deve essere rivolta anche a chi cura la protezione di dati personali e i temi legali in azienda.

Tutti hanno letto e sentito il termine PRIVACY BY DESIGN ma comprenderne la portata richiede un approccio molto ampio alla materia e una pluralità di prospettive differenti.

Uno degli aspetti più interessanti e meno visibili è la necessità di applicare i concetti di privacy by design in modo ampio anche alle privacy policy e, più in generale, ai termini legali.
Per non generare confusione, è bene chiamre questa applicazione LEGAL DESIGN. Il concetto si è sviluppato in ambito accademico ed è la risposta ad una crescente necessità, sia legale che sociale.

Parlare di Legal Design significa ribaltare il procedimento classico delle funzioni legali: occorre privilegiare e partire dalla PERSONA che dovrà fruire delle informazioni e non dalla norma o dall'elaborato che, di solito, è percepito come punto di partenza e di arrivo, con un'ottica autoreferenziale e indifferente all'utente finale.

Forse nel solco dell'antico adagio "la legge non ammette ignoranza" ci si è spesso arroccati su posizioni formali, asettiche, complicate, tecniche e distanti dalla funzione reale dei testi legali. Le ambiguità hanno bisogno di questo approccio.

Il Legal Design  introduce una prospettiva opposta che privilegia la funzione, l'utente, la persona.

Applicando il design al diritto occorre umiltà: la competenza legale non basta più e non si può pensare di essere autonomi per realizzare un prodotto legale (che sia una lettera di incarico al trattamento, una nomina a responsabile del trattamento, un contratto, una licenza d'uso, una privacy policy, TeC, o anche solo una risposta ad una richiesta di accesso ai dati).

Occorre applicare concretamente il DESIGN THINKING e avere un approccio centrato sull'utente, sulle sue caratteristiche, le sue competenze, i suoi limiti, le sue aspettative, i suoi bisogni.

Occorre accettare il rischio di essere più trasparenti, più comprensibili, meno tecnici, meno ambigui. Occorre differenziare il lavoro sulla base di una moltitudine di elementi che richiedono differenti prospettive e differenti competenze.

Anche il procedimento di scrittura cambia radicalmente. Non è pensabile che il prodotto legale possa essere completato unicamente sul PC dell'esperto legale e inviato direttamente al destinatario o immediatamente applicato. Occorre cercare la collaborazione di esperti di altre materie, grafici, designer, mediatori culturali, sociologi, tecnici informatici, persino degli utenti!

Il prodotto legale, alla luce del design, del Legal Design, si sviluppa con un percorso in fasi distinte:
- richiede una fase di progettazione e ideazione,
- una fase di prova o prototipizzazione,
- una fase di test per la verifica dell'efficacia, della comprensibilità, della trasparenza e della funzionalità del prodotto.
Solo alla fine di un processo complesso si potrà considerare il prodotto legale completo e pronto per essere utulizzato.

Il design riporta a leggi universali e a concetti inusuali in contesti legali:

occorre ricercare il massimo risultato con il minimo sforzo

che porta a compattezza ed essenzialità delle informazioni

occorre agilità e completezza

che porta a sviluppo stratificato (layered)

occorre comprensibilità e semplicità

che porta alla trasparenza totale

Il design costa molto, non in termini economici, ma di scelta. Il design può vincolare radicalmente ciò che si intende fare. Se il focus è l'utente e l'imperativo è la trasparenza, diventa molto difficile riuscire a nascondere un rapporto di forze sbilanciato, un uso anomalo o eccessivo dei dati, diventa pericoloso mistificare una finalità in modo da edulcorarne la reale portata e i rischi conseguenti. Se al centro c'è l'utente, le ambiguità diventano un nemico da combattere ed eliminare.

Il design può essere imbarazzante perchè mette in evidenza tutte quelle ambiguità che, nei testi legali classici, sono abilmente mimetizzate nei testi eccessivamente lunghi e verbosi, nelle formule di stile, nelle locuzioni tecniche, nei riferimenti normativi oscuri e complicati e che vivono in un ecosistema fatto di stratagemmi esoterici del diritto.

Senza Design, senza Legal Design, un normale testo legale, come i Termini e Condizioni di uso di un social network, può diventare un mostro. Che senso può avere chiedere ad un utente di leggere e acconsentire ad un testo che richiede almeno 60 minuti per un lettore allenato... e che, con le complicazioni legali, richiederebbe una rilettura e una riflessione attenta su molti punti, allungandone ulteriormente il tempo di lettura? Quanti lo hanno fatto realmente? Si può pensare che questo approccio sia coerente con il GDPR?

Direi proprio di no e il rischio legale per il titolare del trattamento di sottoporre testi privi di Legal Design all'utente è reale.
L'art. 12 del GDPR impone che le privacy policy siano scritte in "forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro".
Le linee guida sul consenso del WP29 sono ancora più esplicite: "Controllers cannot use long privacy policies that are difficult to understand or statements full of legal jargon.". I garanti si stanno esprimendo in modo coerente e uniforme con provvedimenti e indicazioni chiarissime ed esplicite. Talmente esplicite da sembrare punitive, ostili, inapplicabili. Cambiando prospettiva però, le stesse indicazioni sono condivisibili, giuste, logiche, coerenti e necessarie.

Il Design nella comunicazione tra titolare del trattamento ed interessato è un requisito fondamentale di legittimità del trattamento perchè da questo dipende la validità al consenso.

Il GDPR impone che l'utente possa leggere ciò a cui deve acconsentire ed è onere del titolare del trattamento rendere leggibile il testo.
Ricordiamolo,  l'art 4 del GDPR è prescrittivo: certamente definisce i termini ma ne detta anche i requisiti di esistenza.  E' qui che si definisce il principio secondo cui il consenso, per esistere, deve corrispondere ad una manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento. In mancanza, non è un consenso.

La maggior parte delle informative sono validate sulla base di una domanda errata: i riferimenti legali sono aggiornati al GDPR? Qualsiasi risposta è sbagliata perchè è sbagliata la domanda. Aggiornare i riferimenti non mette a norma nulla.
paradossalmente, togliere tutti i riferimenti a leggi, articoli e commi è un buon indizio del fatto che la privacy policy sia aggiornata e conforme al GDPR.

Quali domande bisogna porsi per validare l'informativa?
Ogni titolare potrebbe provare a considerare domande nuove:

- la Privacy Policy è molto lunga?
(deve essere breve e non demotivante)

- la Privacy Policy è comprensibile solo all'utente medio o all'utente evoluto?
(deve essere leggibile e comprensibile anche dall'utente più svantaggiato e limitato)

- la Privacy Policy è ricca di termini legali o riferimenti complicati?
(deve essere chiara e non ambigua)

Allo stato attuale, sono ancora poche le privacy policy che possano superare questo semplice test e che, quindi, non richiedano un intervento "estetico" di modifica, una rivisitazione in chiave Legal Design.
Preservare il significato legale e associare ad esso una forma comprensibile e chiara non è una sfida impossibile, anzi, è tecnicamente fattibile e spesso molto divertente, ma richiede un cambiamento di mentalità abbastanza radicale. Con la diffusione di questo approccio, aumenterà il numero delle Privacy Policy  conformi al GDPR.

L'obbiettivo classico nella stesura dei testi legali era, magari in modo indiretto, disincentivarne la lettura da parte dei destinatari e minimizzare il numero degli utenti consapevoli dei contenuti, annoiandoli.
Il nuovo obbiettivo è far si che ogni utente abbia voglia di leggere e capire il testo legale,  divertendosi.

... potrebbe essere necessario farsi un'ultima domanda prima di pubblicare una informativa privacy:  la mia privacy policy è bella?

CB.