Finalmente una normativa

E se l’intelligence americana avesse eccessiva libertà ai nostri dati personali? Per tre anni il vuoto normativo lasciato dall’abolizione dello “Scudo UE-USA per la privacy”, che ha permesso alle imprese americane di accedere ai dati sensibili dei cittadini europei senza una legislazione ad hoc, è stato colmato. Dopo i tentativi di intesa fallimentari del 2015 e del 2020, conosciuti come “Safe Harbor” e “Privacy Shield”, si è arrivati a un accordo con l’obiettivo di bilanciare gli interessi di sicurezza nazionale e il diritto di tutela dei dati sensibili dei cittadini.

Il 10 luglio 2023 la Commissione Europea ha riconosciuto gli Stati Uniti come un Paese capace di proteggere il trattamento dei dati personali, attraverso lo strumento del GDPR definito “decisione di adeguatezza”.

L’accordo è basato su criteri come stato di diritto e rispetto dei diritti umani fondamentali e permette di considerare un paese extraeuropeo capace di proteggere i dati personali in modo corretto.

L’impatto della decisione di adeguatezza

Grazie alla decisione, il DPRC (Data Protection Review Court), tribunale totalmente indipendente che si occupa del riesame in materia di protezione dei dati, può richiedere la cancellazione di dati europei posseduti da aziende statunitensi in caso di violazioni sulle garanzie o sulla conservazione oltre le tempistiche necessarie.

Questa svolta, che va sicuramente a favore di big tech come Google e Meta, secondo la Presidente Ursula von der Leyen, “apporterà certezza giuridica alle imprese su entrambe le sponde dell’Atlantico”; ma non solo, questo garantirà flussi di dati sicuri per i cittadini europei (Decisione di adeguatezza per la circolazione sicura dei flussi di dati UE-USA).

Conclusioni

La sentenza “Schrems II” che aveva creato il panico tra le multinazionali tech viene quindi superata, attraverso una decisione che sembra accontentare tutte le parti interessate.

L’accordo raggiunto tra gli stati è un grande passo avanti per il mondo della privacy, che potrà finalmente guardare a una soluzione comune tra due realtà storicamente divise in materia di tutela dei dati, ma la strada verso un quadro normativo chiaro e applicabile a livello globale è ancora lunga.

La compliance Privacy e il rispetto delle normative europee è al centro del modo di operare di Synesthesia. Per questo motivo collaboriamo con Smart Flow, società torinese che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR. 

Per conoscere le nostre soluzioni, scrivici. Saremo contenti di trovare insieme la risposta migliore alle tue esigenze.

La decisione del Garante della privacy in Italia

Come abbiamo già avuto occasione di analizzare nel nostro precedente articolo “Google Analytics e GDPR: i rischi per gli utenti dell’UE”, la questione del trattamento dei dati da parte della nota azienda americana ha attirato l’attenzione di numerose Autorità Garanti di diversi paesi Europei.

Le garanzie, infatti, previste dalle leggi americane  in questo ambito sono molto più deboli e meno “protettive” nei confronti dei titolari dei dati, rispetto a quelle previste dalle normative europee e dal GDPR. Con il comunicato del 23 giugno 2022, il Garante della privacy italiana ha espresso un punto critico già sollevato da molti utenti e Autorità anche in altri Paesi Europei. Si legge che:

“il Garante ha evidenziato, in particolare, la possibilità, per le Autorità governative e le agenzie di intelligence statunitensi, di accedere ai dati personali trasferiti senza le dovute garanzie, rilevando al riguardo che, alla luce delle indicazioni fornite dall’EDPB (Raccomandazione n. 1/2020 del 18 giugno 2021), le misure che integrano gli strumenti di trasferimento adottate da Google non garantiscono, allo stato, un livello adeguato di protezione dei dati personali degli utenti”.

La nota del nostro Garante è molto chiara e si colloca perfettamente in linea con la precedente decisione dell’Autorità austriaca che aveva dichiarato, a sua volta, che le “clausole contrattuali standard firmate dalle parti (nel caso di specie il gestore di un sito austriaco e Google) non offrono un livello di protezione adeguato” rispetto alle norme previste dal Regolamento Europeo per protezione dei dati personali.

A seguito di questa decisione, dunque, è evidente che i gestori di siti web in Italia dovranno fare a meno dei servizi finora offerti da Google Analytics.

L’Autorità italiana, infatti, ha stabilito un termine di 90 giorni entro il quale

 “tutti i titolari del trattamento sono tenuti a verificare la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web, con particolare attenzione a Google Analytics e ad altri servizi analoghi, con la normativa in materia di protezione dei dati personali”.

Allo scadere di questo periodo, l’Autorità Garante si riserva di verificare la conformità al Regolamento Europeo dei soggetti interessati e, in caso di esito negativo, di procedere con le sanzioni previste dalle normative applicabili. 

Gli effetti negativi che simili decisioni producono anche sulle stesse attività di Google non sono difficili da immaginare. È probabile, infatti, che con il susseguirsi di queste restrizioni da parte delle Autorità europee, la stessa azienda americana proceda presto con modifiche ai suoi standard di sicurezza per essere in linea con le disposizioni del GDPR.

Un’altra strada potrebbe anche essere quella per cui Stati Uniti e Unione Europea scelgano di modificare i propri accordi in materia di privacy e protezione dati in modo da facilitare le attività delle aziende che operano in questo settore. 

Possibili strade alternative: Matomo

I servizi offerti da Google Analytics costituiscono oggi una fonte di informazioni essenziale per tantissime aziende in Italia e in Europa.

Per questo motivo occorre trovare soluzioni alternative che consentano ai soggetti interessati di continuare a usufruire di tutti i vantaggi e i servizi che Analytics ha sempre fornito. 

Una di queste soluzioni è Matomo: un software libero open source grazie al quale i gestori di siti web possono ottenere report dettagliati e in tempo reale sui visitatori, sui motori di ricerca utilizzati di questi ultimi, sulle parole chiave cercate, sulla lingua e anche sulle pagine di maggiore interesse. 

Le funzionalità del software sono estendibili e personalizzabili secondo le esigenze dell’utilizzatore con la semplice installazione di un plugin. In questo modo si migliora ulteriormente la compliance con le specifiche normative sulla privacy e sulla tutela dei dati. 

Un elemento molto importante, infine, che differenzia Matomo da Google Analytics è il fatto che questo software si installa sul server del gestore/owner del sito web e di conseguenza i dati sul traffico sono memorizzati nel proprio database e non vengono trasferiti in paesi terzi. 

Grazie all’esperienza maturata sul campo e alla professionalità dei nostri team, in Synesthesia siamo in grado di mettere a disposizione dei nostri clienti nuove soluzioni come Matomo, per far fronte nel modo migliore alle esigenze di ogni progetto. Contattaci! Saremo contenti di trovare insieme la risposta migliore alle tue esigenze. 

L’Autorità austriaca, con una pronuncia risalente a dicembre 2021, ha dichiarato che Google Analytics non garantisce il livello di tutela dei dati personali degli utenti stabilito dal GDPR. Ma quali sono le origini della questione nei rapporti tra UE e USA? Quali potranno essere le conseguenze della pronuncia proveniente dall’Austria per utenti e aziende? Esistono già alternative “pronte all’uso”?

Le origini della questione: NOYB e la sentenza Schrems II

NOYB (None Of Your Business) è l’organizzazione no-profit co-fondata da Max Schrems, un nome noto nella questione riguardante il trasferimento dei dati di utenti europei verso gli USA. È stata infatti proprio la causa intentata da Maximilian Schrems contro Facebook Ireland che ha condotto, il 16 luglio 2020, alla nota sentenza “Schrems II”. In quell’occasione la Corte di Giustizia dell’Unione Europea si era pronunciata invalidando una precedente decisione della Commissione Europea “sull’adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy”. 

La Corte ha dichiarato che:

“ai sensi del regolamento generale sulla protezione dei dati il trasferimento dei suddetti dati verso un Paese terzo può avvenire, in linea di principio, solo se il Paese terzo considerato garantisce a tali dati un adeguato livello di protezione”.

La normativa statunitense non garantisce questo livello di protezione. Negli Stati Uniti, infatti, i “fornitori di servizi di comunicazione elettronica” (tra cui senz’altro sono compresi sia Facebook sia Google) sono soggetti alla sorveglianza delle agenzie di intelligence statali. Questo implica che per motivi di sorveglianza e sicurezza, i dati degli utenti possono essere consegnati indiscriminatamente alle autorità statunitensi.

Il “problema“ di Google Analytics

A questo punto si arriva alla questione riguardante nello specifico Google Analytics.  Nell’agosto 2020, NOYB ha presentato 101 reclami nei confronti di diverse organizzazioni europee che continuano a trasferire i dati degli utenti a Google e Facebook negli Stati Uniti. 

Una delle prime risposte a questi reclami è arrivata dall’Austria. Il Garante privacy austriaco (DSB – Datenschutzbehörde) ha emanato, infatti, un provvedimento nei confronti del gestore di un sito web che esportava i propri dati verso Google LLC negli Stati Uniti, usufruendo del servizio di analytics di casa Google. Il provvedimento si rivolge, al momento, solo all’esportatore dei dati,  quindi al gestore europeo del sito e non a Google (importatore dei dati) e stabilisce che i dati trasferiti a Google LLC sono, a tutti gli effetti, dati personali ai sensi dell’art. 4.1 GDPR e le “clausole contrattuali standard firmate dalle parti non offrono un livello di protezione adeguato”.

È evidente che nonostante la mancata pronuncia esplicita nei confronti dell’azienda americana le conseguenze di una simile decisione si riflettono necessariamente su quest’ultima, dal momento che, di fatto, il provvedimento preclude l’utilizzo del servizio di Analytics da parte di tutti i gestori di siti web in Austria. Google non ha accettato la decisione e ha pubblicato un articolo per difendere il proprio operato, perché sostiene di compiere legittimamente il trasferimento dei dati. Persino il DSB, nei documenti che accompagnano la sentenza, riconosce tutti gli sforzi prodotti per minimizzare il trattamento dei dati.

La “colpa” in questo caso specifico non è dell’azienda di Mountain View, quanto più dell’asimmetria normativa di EU e USA: i Garanti privacy non possono far altro che registrare l’inadeguatezza della legislazione americana. L’Autorità, infatti, non può ignorare il pronunciamento della Corte di Giustizia europeo: ironicamente, anche l’EDPS,  l’European Data Protection Supervisor, ha sanzionato nei giorni scorsi il Parlamento europeo e gli organi correlati per violazione del GDPR a causa dell’uso degli strumenti di Google.

Non solo Analytics

Il problema a quanto pare è più generale e investe anche altri “strumenti” del mondo Alphabet. A inizio gennaio 2022 è stato, infatti, multato in Germania il gestore di un sito web per aver utilizzato Google Fonts: in quel modo consentiva il trasferimento non autorizzato di dati di navigazione quali IP, browser, sistema (tra gli altri). Anche in questo caso, il gestore del sito web può risolvere il problema utilizzando soluzioni che eliminino la necessità per il browser dell’utente di lanciare connessioni verso server di terze parti, e diffondendo così informazioni personali. 

Questa recente sentenza, però, rende ancora più chiari gli effetti prodotti dal pronunciamento Schrems II: se fino a poco tempo fa i cittadini europei potevano ignorare l’argomento e le aziende potevano evitarlo, ora a ogni livello è impossibile fingere che il tema non esista. Risulta sempre più evidente che la questione sia prettamente politica: l’Unione Europea e gli Stati Uniti già da tempo stanno negoziando un nuovo accordo sul trasferimento dei dati. Il trattato però deve essere pronto al più presto e, soprattutto, efficace nella sua applicazione. 

Ma quali strade potrebbero essere percorse per trovare soluzioni alla questione? Per venire incontro alle necessità europee, il legislatore statunitense potrebbe stabilire maggiori tutele per i dati personali dei cittadini europei. In attesa delle decisioni politiche che cosa possono fare gli utenti e in particolare le aziende? Un primo passo, che molti stanno valutanto, se non attuando è utilizzare  servizi equivalenti ad Analytics e allo stesso tempo rispettosi della normativa europea in tema di privacy.

Matomo è il candidato più promettente?

Matomo, precedentemente conosciuto con il nome di Piwik, è un software libero che fornisce un servizio concorrenziale rispetto allo stesso Google Analytics. Con Matomo i gestori di siti web possono ottenere report dettagliati e in tempo reale sui visitatori di un sito web con riguardo ai motori di ricerca di provenienza, alle parole chiave usate, alla lingua, alle pagine più visitate. 

Le funzionalità del software sono estendibili con l’installazione di plugin con cui è possibile aggiungere nuove funzionalità e rimuovere quelle non necessarie,  in modo da migliorare ulteriormente la compliance con le specifiche normative sulla privacy. Matomo viene installato sul server del gestore/owner del sito web, ciò significa che i dati sul traffico sono memorizzati nel proprio database. L’interfaccia utente, inoltre, è completamente personalizzabile: trascinando e rilasciando i widget che si desidera visualizzare, è possibile creare una visualizzazione “su misura”.

Possibili scenari futuri

La pronuncia del Garante Austriaco ha di fatto segnato una strada per tutte le autorità europee statali competenti. Ogni singolo Stato dell’Unione Europea, infatti, potrebbe adottare e imporre le medesime restrizioni dell’Austria sui dati appartenenti a utenti europei in caso di trasferimento di questi dati in Paesi come gli USA che non garantiscono un livello di protezione pari o maggiore rispetto a quello imposto dal GDPR. Se il nuovo accordo producesse un ulteriore fallimento i danni, in termini economici, potrebbero essere molto elevati. Per fare solo un esempio: tutti i gestori europei di siti web non potrebbero più usufruire di un servizio come Analytics e più in generale di tutti i servizi offerti da Google che interessino il trattamento di dati di utenti europei. Un cambiamento risulta, dunque, inevitabile soprattutto nell’ottica di garantire una tutela più concreta e garantita per tutti gli utenti. 

La compliance Privacy e il rispetto delle normative europee è al centro del modo di operare di Synesthesia. Per questo motivo collaboriamo con Smart Flow, società torinese che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR. 

Per conoscere le nostre soluzioni, scrivici. Saremo contenti di trovare insieme la risposta migliore alle tue esigenze.

Giulia, perché oggi è diventato così importante sistemare i cookie sui siti web?

“Dobbiamo sistemare i nostri siti web perché il Garante della Privacy ha pubblicato le nuove linee guida sui cookie.  L’idea è di aiutare a mettere in ordine gli orrori che proliferano in rete. Sapete tutti quanto è difficile navigare su un sito web con i continui pop up e banner che ci impediscono di proseguire. Ecco il perché di queste nuove regole, che intendono tutelare gli utenti e semplificare la navigazione. Aggiungo che probabilmente da gennaio 2022 inizieranno i controlli online da parte del Garante – e coi controlli le multe”.

A cosa servono i cookie?

“I cookie sono piccoli file di testo che vengono salvati sul dispositivo dell’utente e utilizzati dai siti web per memorizzare alcune informazioni. I cookie per esempio vengono usati per tenere traccia della lingua con cui si preferisce visualizzare i contenuti, o dei prodotti aggiunti al carrello nel caso di un e-commerce”.

L’attivazione dei cookie avviene già al primo accesso in un sito web?

“Esatto. Fin dal primo accesso, i siti web cominciano il tracciamento delle informazioni dell’utente in modo da poterle riutilizzare in futuro per diversi scopi”.

Che vantaggi porta usare i cookie su un sito web?

“Come si può immaginare uno degli scopi più comuni per i quali vengono usati i cookie è tracciare le abitudini di navigazione degli utenti in modo da poter offrire pubblicità personalizzata. Avete presente quando, navigando sul web, vi ritrovate ovunque la pubblicità di quella stessa lampada che avete appena visto sul sito dell’Ikea? Tutto merito dei cookie, che permettono a Ikea di profilarvi per raggiungere i suoi obiettivi di business. L’uso dei cookie quindi può essere utile sia alle aziende, sia agli utenti: infatti permette di proporre contenuti personalizzati”.

È sempre necessario richiedere il consenso all’utilizzo dei cookie attraverso un banner?

“Quando un sito persegue l’obiettivo di profilare i propri utenti, il consenso è obbligatorio. Non solo: il consenso deve precedere l’inizio del tracciamento. In altre parole finché l’utente non accetta i cookie, il sito web non può nemmeno cominciare la profilazione”.

Come si fa a navigare senza essere profilati? Basta chiudere il banner cliccando sulla “X”?

“La X serve proprio a semplificare il (naturale) rifiuto del tracciamento. Immaginate che l’esperienza degli utenti venga assimilata a quella in un negozio fisico. Devo poter entrare e fare un giro senza che nessuno sia in grado di riconoscermi. Il gestore del negozio naturalmente può chiedermi dei dati e devo poter essere libero di decidere se darglieli o meno”. 

Chi naviga su un sito web può cambiare le preferenze espresse precedentemente?

“Certamente. Per supportare fino in fondo l’idea di trasparenza che sostiene queste linee guida è necessario fornire agli utenti la possibilità di gestire con facilità le preferenze espresse in precedenza. Questo si può fare attraverso un’area accessibile sul sito, come per esempio una pagina dedicata ai cookie”.

Per quanto tempo devono essere registrate e conservate le preferenze dell’utente?

“La scelta dell’utente deve essere registrata e conservata per un periodo prolungato di almeno 6 mesi”.

Perché conviene ai gestori dei siti seguire le linee guida del garante?

“Sempre di più gli utenti imparano a dare valore alla propria privacy e a valutare positivamente i fornitori di servizi e di beni che sono sulla loro lunghezza d’onda. Una corretta gestione dei cookie è probabilmente la prima occasione che possiamo cogliere per dimostrare che lavoriamo bene, il primo biglietto da visita della nostra azienda al pubblico. Non dimentichiamoci che da gennaio 2022, al Garante basterà navigare sul sito web di un’azienda per fare un controllo. In altre parole, non gli sarà più necessario ispezionare a fondo l’impianto privacy della nostra azienda per emettere una sanzione. E poi, se trova o gli viene segnalato un sito internet con i cookie fuori posto non procede ad una verifica ancora più adeguata?”

Quali caratteristiche NON deve avere il banner?

“Vediamo insieme i 4  errori da evitare:

• il famigerato cookie wall: un monolite che oscura i contenuti tenendoli in ostaggio finché l’utente non accetta di essere tracciato; 
• il viscidone: l’insidioso, quello che fa valere un semplice scroll o un qualsiasi clic sulla pagina come un consenso; 
• la peperonata, quella che non si riesce a digerire, che si ripropone, insistentemente, all’utente che ha già espresso le proprie preferenze;
• il labirinto che rende arzigogolata la strada per rifiutare i cookie costringendo l’utente a una maratona di click.
• Errore bonus n.5: non affidarsi a Synesthesia e Smart Flow!”

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Da quando è entrato in vigore nel 2014 il provvedimento del Garante della Privacy per l’acquisizione del consenso ai cookie sui siti web sembra passata “un’era geologica”. All’epoca di internet, infatti, i cambiamenti sono continui e molto rapidi. 

Quasi tutti vivono con sofferenza, e a ragione, il momento in cui devono aprire una pagina web di un nuovo sito. Leggere la ricetta per la “vera amatriciana” dietro un banner per il consenso ai cookie potrebbe essere “una nuova disciplina sportiva” e non una di quelle più divertenti e appaganti.

Cos’è un cookie e a cosa serve?

I cookie sono stringhe di testo che i siti web (indicate come “prime parti” nei testi di legge) visitati dall’utente oppure siti o web server diversi (le cosiddette “terze parti”) posizionano e archiviano all’interno del dispositivo di navigazione dell’utente.

Le informazioni codificate nei cookie possono contenere dati non personali come le impostazioni della lingua o informazioni sul tipo di dispositivo che una persona sta utilizzando per navigare il sito. Spesso però possono includere dati personali, come un indirizzo IP, un nome utente, un identificativo univoco o un indirizzo e-mail.

I browser possono memorizzare i cookie e poi trasmetterli nuovamente ai siti web che li hanno generati in occasione di una successiva visita del medesimo utente, mantenendo così memoria della sua precedente interazione con uno o più ambienti web.

I cookie possono, per esempio, essere impiegati per tenere traccia degli articoli in un carrello degli acquisti online o delle informazioni utilizzate per la compilazione di un modulo informatico. Sempre attraverso di essi è possibile veicolare anche la pubblicità comportamentale (behavioural advertising) e misurare l’efficacia del messaggio pubblicitario.

Tutti i cookie devono essere classificati e dettagliati in una specifica pagina del sito che deve contenere il testo dell’informativa cookie estesa (quella presente sui banner, quando è presente, è solo un breve riassunto) e l’opzione che consente di modificare il consenso al tracciamento.

Sono davvero necessarie delle nuove linee guida sui cookie nel 2021?

Sì. In buona sostanza, il provvedimento precedente, così come le buone pratiche consigliate dall’EDPBoard (l’organismo che riunisce tutti i Garanti della privacy europei) sono stati in buona parte disattesi, rendendo la navigazione internet una frustrante impresa per tutti.

Lo scopo di queste linee guida è circoscrivere il perimetro di azione delle misure già esistenti. Non sono state introdotte delle novità significative per quanto riguarda le regole da rispettare, ma è stato messo al centro il concetto di legal design: per l’utente deve essere chiaramente e facilmente comprensibile ciò che accetta o rifiuta.

Anche l’approccio del Garante cambia e diviene molto più deciso e fermo in materia di controlli e potenziali multe. Il tracciamento dei dati in sé è lecito e utile, a condizione che avvenga nel rispetto delle norme contenute nel GDPR. Per questo motivo, oggi nella maggior parte dei siti web, troviamo opzioni di tracciamento pulsanti come “Accetta tutti” o “Personalizza”. Nel primo caso, ovviamente, clicchiamo quando siamo “con il sugo che brucia sul fuoco” e non sappiamo se nella vera amatriciana ci voglia la panna o no. Il secondo caso è un trucchetto per farci pentire di non aver cliccato “Accetta tutti”.

Le linee guida che entrano in vigore da gennaio 2022, invece, invertono il paradigma della scelta. Lo stravolgimento imposto serve a riportare in primo piano il concetto di privacy by design espresso nel GDPR: il fornitore del servizio (chi possiede il dominio) può imbastire il proprio percorso di tracciamento senza “approfittarsi” a tradimento dell’utente. Questi, infatti, non deve essere forzato a una scelta negoziale ma deve essere, invece, tranquillo di poter entrare e uscire senza lasciare “tracce”.

È stato promesso un controllo totale delle difformità: è ovvio che sarà così, perché altrimenti non si sarebbe arrivati a queste linee guida più rivolte all’esperienza utente che alla facilità della profilazione marketing. Il Garante della privacy italiano sta cercando di rendere più difficile per le aziende di data brokering continuare a fare incetta di informazioni personali senza controllo.

Cosa dicono le più recenti linee guida per l’utilizzo dei Cookie?

Al momento del primo accesso in un sito web nessun cookie o altro strumento di tracciamento diverso da quelli tecnici deve essere posizionato all’interno del dispositivo dell’utente.

Sarà poi sempre necessario richiedere il consenso all’utilizzo di cookie di profilazione attraverso un banner ben visibile. Il banner dovrà dare agli utenti la possibilità di proseguire la navigazione senza essere tracciati. Basterà, infatti, chiudere il banner cliccando su una “X” riconoscibile.

La “X” indicherà dunque la scelta di “rifiuto del tracciamento” e non la semplice eliminazione del banner. Come succede per tutte le altre X nelle finestre di dialogo dei sistemi, il click chiude il pop up del consent banner senza però far partire nessun tipo di tracciamento. 

Questa si può ritenere come l’unica vera novità delle linee guida: si può, dunque, salutare il già citato scrolling in pagina (che non è mai stata peraltro una forma legittima di acquisizione del consenso per il tracciamento e per i cookie). Attraverso il semplice scrolling, infatti, non si può distinguere se l’utente stia dando il consenso al tracciamento o stia piuttosto cercando un’informazione in basso nella pagina.

Adesso, con il fatto che l’accettazione al tracciamento deve essere un’azione univoca, è chiarissimo che lo scrollbar non può essere espressione del consenso informato.

Per chi non l’avesse ancora fatto, è necessario consentire al browser di rivedere le preferenze nella pagina dedicata alla cookie policy implementando una sezione in cui è possibile modificare le opzioni precedentemente espresse. Nella stessa pagina deve essere pubblicata per intero l’informativa cookie con dati e funzionalità dei sistemi di tracciamento.

Il documento evidenzia le informazioni circa gli altri soggetti destinatari dei dati personali e i tempi di conservazione di questi dati. Decade quindi la possibilità di “propinare”, per legittimo interesse, l’elenco con migliaia di data broker che cercano di speculare sui dati personali. Come da Regolamento europeo, il legittimo interesse non è (e non è mai stato) una base giuridica per il trattamento dei dati e non si può utilizzare per tracciare gli utenti. 

Le linee guida sottolineano che l’accesso e l’espressione di un consenso o un rifiuto al tracciamento deve essere fruibile facilmente anche a portatori di disabilità. Questa parte coinvolge non solo centinaia di siti web della pubblica amministrazione che avrebbero dovuto rendere fruibili i loro portali da tempo, ma tutti i domini.

Per questa necessità vogliamo evidenziare il lavoro di Accessiway, il nostro partner che commercializza un servizio utile a dare accessibilità ad app e siti internet a coloro che sono affetti da disabilità permanenti o temporanee. Insieme con Synesthesia, stiamo lavorando per realizzare sistemi informatici fruibili con piena accessibilità a tutti e, di conseguenza, anche strumenti per la registrazione del consenso adatti.

La scelta dell’utente, infine, deve essere registrata e conservata per un periodo prolungato di tempo. È errato, quindi, presentare il banner di richiesta del consenso a ogni accesso: un cookie tecnico dovrà ricordarsi le nostre preferenze per almeno sei mesi.

Mettiamo un punto fermo

Da tempo ci si interroga sul futuro dei cookie che tutti i browser già limitano e Google intende eliminare dal 2023 con il progetto FloC. Apple ne fa un cavallo di battaglia da anni e anche noi abbiamo trattato l’argomento parlando di campagne pubblicitarie.

L’evoluzione del tracciamento degli utenti sul web potrà passare da una profilazione individuale e personale, come nella situazione attuale, a un metodo per informazioni aggregate sul comportamento di consumo, come sarà in futuro.

Come esperti di privacy e utenti della rete interessati, osserviamo il panorama digitale trasformarsi sotto i nostri occhi. Offriamo soluzioni efficaci per approcciare tanto queste recenti linee guida quanto il cambiamento che sarà proposto dalle Big Tech. Smart Flow e Synesthesia hanno creato un servizio di adeguamento dei portali che comprende la gestione relativa a policy e consenso a profilazione marketing per app e siti web.

Desideriamo che tutti abbiano la possibilità di prendere coscienza dell’impatto che questo insieme di regole dovrà esercitare affinché navigare sul web continui a essere un piacere per chi lo fa come utente e profittevole per chi propone il proprio business.

A gennaio 2022, quando inizieranno i controlli da parte del Garante privacy sull’implementazione delle nuove linee guida, potremo guardare la ricetta della vera amatriciana senza essere interrotti da fastidiosi pop up. Se hai dei dubbi o necessiti di un aiuto, rivolgiti a noi: Smart Flow e Synesthesia hanno team di esperti qualificati per risolvere ogni tua necessità.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Quello che “dicono di noi” i nostri smartwatch

I dispositivi indossabili che utilizziamo ogni giorno semplificano molti aspetti della nostra vita quotidiana, ma per farlo devono raccogliere grandi quantità di dati anche sensibili. 

Prendiamo in considerazione, per esempio, i dati sanitari (che costituiscono, inoltre, una categoria di dati definiti “sensibili” e per cui è necessario un grado di protezione ancora maggiore) raccolti dagli smartwatch per contare i passi e monitorare il battito cardiaco. Il tracciato che rappresenta questo dato viene registrato, entrando così a far parte del “patrimonio” di dati a disposizione di giganti del digitale come Google o Apple, per i quali i dati degli utenti costituiscono una fonte molto preziosa di ricchezza. 

In un’intervista risalente del 4 marzo 2021, Pasquale Stanzione, Presidente del Garante per la protezione dei dati personali, ha evidenziato un ulteriore aspetto di rischio collegato proprio ai dati sensibili: “alcuni smartwatch idonei alla rilevazione biometrica possono, poi, rivelare le reazioni emotive dell’utente alla visione di determinate immagini. Il controllo cui ci esponiamo può superare, dunque, persino la dimensione corporea e attingere al pensiero, condannandoci a vere e proprie “servitù volontarie”. 

I dati raccolti possono dire di noi molto di più di quello che potremmo immaginare. Una semplice app per contare i passi potrebbe rivelare anche i nostri stati d’animo, cosa influenza le nostre emozioni nell’arco della giornata e non semplicemente quante calorie abbiamo bruciato. È evidente che questo tema è un punto di attenzione di cui tutti gli utenti dovrebbero essere adeguatamente informati al fine di poter scegliere sui dispositivi le impostazioni meno invasive per la privacy. 

I Ray-Ban Stories “invadono” la privacy?

Il problema della privacy è rappresentato dall’app che collega gli occhiali a Facebook: dopo che un utente scatta foto e registra video, può caricarli in modalità wireless su Facebook View e, successivamente, può decidere se condividere i contenuti sui suoi social network o salvarli nel rullino del telefono senza passare tramite app. Dunque, tutti i dati biometrici presenti nelle immagini, sia dell’utente stesso sia di terzi ripresi senza saperlo, sono caricati sull’app di Facebook. In teoria, per tutelare la privacy, quando è in corso la registrazione si accende una spia luminosa sugli occhiali, avvisando le persone che sono state fotografate o filmate. Ma, secondo il parere di molti, l’indicatore si noterebbe solo da vicino, impedendo così ai terzi di accorgersi di esser stati ripresi. 

Secondo l’informativa sulla privacy aggiuntiva per l’utilizzo di Facebook View, la società dichiara che i contenuti rimarranno archiviati negli occhiali fino a quando non saranno caricati nell’app dall’utente. Inoltre, raccoglieranno i metadati relativi ai contenuti, come data e ora di creazione, e tutte le informazioni del dispositivo raccolte tramite cookie, pixel e dati di utilizzo. Le condizioni d’uso dell’app indicano la licenza concessa a Facebook e include i contenuti condivisi, pubblicati o caricati dall’utente su Facebook View. Questo implica, ovviamente, che Facebook riceva l’autorizzazione dell’utente per poter memorizzare, copiare e condividere i contenuti sulla piattaforma.  

Che cosa significa dunque innovare nel rispetto del GDPR?

Se da un lato la tecnologia ha sempre più bisogno di dati per progredire, dall’altro gli utenti hanno bisogno di una tecnologia che garantisca loro una maggiore tutela della privacy. Per difenderci dall’esponenziale dispersione dei nostri dati non ci resta che avvalerci della tecnologia stessa, perché alla base del GDPR ci sarà sempre la chiara e irremovibile volontà di proteggere i nostri dati personali. 

Per rispondere ai numerosi dubbi sulla questione, il Garante per la protezione dei dati personali ha richiesto all’Autorità Garante irlandese (DPC- Data Protection Commission, competente in quanto la sede europea di Facebook si trova in Irlanda) maggiori chiarimenti riguardo alla base giuridica secondo la quale Facebook tratterà i dati personali degli utenti e le misure per tutelare le persone riprese occasionalmente. Il social network ha deciso di avviare alcune iniziative con l’obiettivo di responsabilizzare tutti i cittadini che acquisteranno gli occhiali. L’Autorità, intanto si riserva di valutare l’efficacia delle proposte operative che saranno presentate. 

Non ci resta che attendere per verificare gli ulteriori sviluppi della vicenda. 

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Le modifiche di Tik Tok

Con i suoi 689 milioni di utenti attivi, di cui 5,4 milioni solo in Italia, Tik Tok è il settimo social network più popolare al mondo. Attualmente è più utilizzato nel sud-est asiatico, ma la sua popolarità è in aumento anche in occidente. Dopo neanche 4 anni dal lancio iniziale, ha superato la quota di due miliardi di download, registrando nel primo quadrimestre del 2020 la cifra di 350 milioni di download in tutto il mondo. Ma la piattaforma dai numeri stratosferici ha di recente attuato alcune modifiche che interesseranno i suoi utenti:

“Potremmo raccogliere identificatori biometrici e informazioni biometriche, come definito dalle leggi statunitensi, come impronte facciali e impronte vocali, dai contenuti utente. Laddove richiesto dalla legge, chiederemo all’utente tutte le autorizzazioni necessarie prima di tale raccolta”.

Con questa breve nota il celebre social network cinese ha annunciato la modifica alla propria informativa sulla privacy. 

Un cambiamento non indifferente che interesserà direttamente la vita e la privacy di tutti gli utenti (per ora) di nazionalità statunitense. La raccolta di dati biometrici da parte di Tik Tok consiste nell’attività eseguita dal social di identificare oggetti e scenari, l’esistenza e la posizione all’interno di un’immagine di caratteristiche del corpo e del viso e il testo delle parole pronunciate. In realtà non è l’unico social che elabora i dati degli utenti in questo modo, ma ne esistono già altri che utilizzano la stessa strategia per ottimizzare gli annunci pubblicitari. Tik Tok, inoltre,sembrerebbe voler soltanto migliorare le proprie funzionalità, per questo la nuova privacy policy avverte che la raccolta di immagini e audio sarà utile per abilitare “effetti video speciali per la moderazione dei contenuti, per la classificazione demografica, per i contenuti e i consigli sugli annunci e per altre operazioni non di identificazione personale“.

La “questione” della privacy

L’annuncio da parte dell’app sulla raccolta dei dati biometrici, per quanto vaga, ha già suscitato numerose preoccupazioni. Tik Tok, infatti, non ha specificato lo scopo di questa raccolta, né tantomeno le modalità con cui chiederà il consenso per il trattamento dei dati. Ha soltanto svelato che inizierà con i dati degli utenti statunitensi e non è sicuramente un caso, considerando che in pochi Stati sono presenti delle leggi che tutelano la privacy biometrica. Per questo motivo, laddove non esista una legislazione specifica, molte persone potrebbero non essere avvisate sulla raccolta dei dati. Sembrerebbe però non essere questa l’intenzione di Tik Tok, che assicura di essere sempre molto attenta alla privacy del suo pubblico. La piattaforma che per tutta la durata dell’Amministrazione Trump era stata considerata come una minaccia per la sicurezza nazionale, ora sta cercando di riconquistare la fiducia degli utenti statunitensi. Per questo motivo ha più volte dichiarato di archiviare le loro informazioni in data center degli US e di Singapore, assicurando di non averli mai condivisi con il governo cinese. 

Il futuro di Tik Tok 

Tik Tok raccoglie già moltissime informazioni dal profilo dei suoi utenti, come i contenuti da loro creati, i cookie, le app e i file presenti sul loro smartphone, la posizione del dispositivo utilizzato e addirittura lo stato della batteria e i ritmi di battitura. Per cui, a cosa serviranno i dati biometrici? 

Per il momento restano i dubbi e le polemiche di molti utenti di Tik Tok. Nei prossimi mesi scopriremo se l’app avrà fatto una scelta sbagliata, spaventando e facendo “scappare” dalla piattaforma tutti quelle persone preoccupate per la loro privacy, o se gli utenti saranno riusciti a digerire questa novità mantenendo attiva la loro presenza sull’app. 

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

I nostri servizi di marketing e social media trasformano idee brillanti ma complesse in soluzioni digitali semplici, rapide e innovative, che proponiamo e progettiamo insieme al cliente per aiutare la sua azienda in modo concreto a raggiungere importanti obiettivi di brand e di mercato. Grazie al lavoro di team esperti sviluppiamo strategie di comunicazione social e piani editoriali all’avanguardia per i nostri clienti e partner.

Scopri le nostre strategie all’interno di questa pagina dedicata.

Il video diffuso dalla multinazionale di Cupertino lo scorso 26 aprile 2021 spiega come, grazie al nuovo sistema operativo di iOS, sarà direttamente l’utente a decidere quando consentire alle app di collezionare i dati per creare un profilo personale e un’identità digitale.

Se questo ha scatenato qualche flashback proveniente da Matrix, l’immagine mentale è voluta.“What is the Matrix? The Matrix is a computer-generated dream, built to keep us under control. In order to change the human being into this” (immaginate i vostri dati personali al posto della pila) – Morpheus che si rivolge a NEO all’inizio di Matrix.

Facebook sta cercando le misure da adottare nel momento in cui Apple consentirà ai suoi utenti di negare il consenso per la pubblicità targetizzata. Molte compagnie, come il noto social network si difendono, affermando che il targeting ADS rende migliore l’esperienza degli utenti sulle applicazioni. Apple, invece, su questo tema si schiera apertamente contro l’azienda rivale: una vera e propria “guerra fredda” tra le due multinazionali, come si può intuire anche dalle continue dichiarazioni rilasciate dai rispettivi CEO.

Come si è arrivati a questa situazione?

Prima del 2011, il rapporto tra Steve Jobs e Mark Zuckerberg era quasi “idilliaco”: incontri privati raccontati in libri e biografie e un legame simile a quello condiviso tra Obi Wan Kenobi e Anakin Skywalker. 

Facebook era una piattaforma già usata da milioni di persone e Apple sviluppò il device che consentì la fruizione della piattaforma nel miglior modo possibile. Il 2011 fu l’anno di svolta: Tim Cook prese il posto di Jobs dopo che questi fu costretto a lasciare la guida di Apple per motivi di salute. Il nuovo CEO adottò immediatamente una direzione diversa per l’azienda, più incline alla protezione dei dati personali. 

A livello aziendale, il rapporto tra le due Big Tech si raffreddò nel 2012 quando “Zuck” decise di creare, insieme a HTC e AT&T, il suo telefono, l’HTC First, con un sistema operativo differente e un proprio servizio di messaggistica istantanea. Il progetto naufragò nel 2013 ma la vicenda conteneva già in sé i punti di futuro contrasto tra le aziende.

Gli avvenimenti politici della seconda parte del decennio furono influenzati pesantemente dalle campagne di comunicazione organizzate da gruppi di influenza sulle piattaforme social. Il caso di Cambridge Analytica, scoppiato all’inizio del 2018, è stato emblematico: l’azienda britannica aveva raccolto i dati personali di 87 milioni di account Facebook senza il loro consenso e li aveva usati per scopi di propaganda politica. 

A metà marzo 2018 il New York Times fornì le prove della raccolta non autorizzata delle informazioni, mentre il The Guardian scoprì che Facebook era a conoscenza delle attività illecite del gruppo da almeno due anni, ma non aveva fatto niente per proteggere i dati dei suoi utenti.

Non è tutto: Tim Cook fu ospite dell’emittente MSNBC nei giorni in cui Zuckerberg venne convocato dal Senato USA per rispondere alle accuse di non aver impedito la manipolazione dei dati personali sulle sue piattaforme. Alla domanda su come si sarebbe comportato lui di fronte alla Commissione, Cook dichiarò: “Io non mi sarei mai trovato in quella situazione: la privacy è un diritto costituzionale degli USA, un diritto umano”. Tim Cook decise così di fare della privacy una colonna portante del business model di Apple. In larga parte la decisione fu presa tenendo in considerazione il trend del momento.

Ogni anno, Apple organizza la Worldwide Developers Conference: un evento in cui sono presentati i prodotti in uscita per l’anno successivo. Nel 2018 Tim Cook presentò un’estensione per Safari che bloccava i cookies di tracciamento. Quale fu il portale usato come esempio per promuovere questa nuova feature? Instagram, mettendo così Facebook in disparte.

Nel 2019, in occasione della conferenza annuale organizzata dalla banca d’investimento Allen&Company a Sun Valley, in Idaho, e riservata a mogul delle aziende tech e media, si consumò la deriva finale. 

Da quanto emerso di recente Mark Zuckerberg provò a “sporgere un ramoscello d’ulivo” a Tim Cook chiedendo come lui avrebbe affrontato le conseguenze del caso Analytica. 

Tim, gelido, rispose che si sarebbero dovute cancellare tutte le informazioni collezionate con le piattaforme di Facebook nel corso degli anni. In pratica, Cook, di fronte al gotha della Silicon Valley, disse a Zuckerberg che il suo business model era “tossico”. E l’offerta di pace fu rispedita al mittente.

A questo punto “Zuck” perse definitivamente la pazienza, dichiarò che Facebook avrebbe sviluppato una piattaforma per tutti, senza necessità di sborsare migliaia di dollari. 

Apple, paladina della protezione dei dati personali?

Anche da parte del colosso di Menlo Park la strategia di comunicazione si divise tra critiche personali rivolte a Tim Cook e valutazioni sull’operato della multinazionale concorrente.

Facebook iniziò a diramare migliaia di annunci su come, in tutto il mondo, ci fossero imprese che avevano prosperato grazie alle attività sulle piattaforme social e in particolare attraverso la funzione di pubblicità target. 

Può risultare credibile che Facebook si erga a paladino di piccole medie imprese? Il controsenso può trovare consistenza nei dati e nel giro d’affari prodotto nell’ultimo anno, in cui migliaia di imprese effettivamente si sono rese conto dell’importanza della pubblicità sui canali digitali e, convertendo la business organization, hanno potuto sopravvivere. 

La migliore freccia nella faretra di Facebook però risiede tuttora nell’ipocrisia di Apple. L’azienda di Cupertino, infatti, vende in Cina ogni anno centinaia di milioni di dispositivi, realizzando utili considerevoli. Non solo, assembla nel Paese asiatico la maggior parte dei device e soprattutto condivide con il governo locale tutti i dati che transitano nei server e sui dispositivi, incluso l’App Store. 

Al contrario di altre compagnie (Google Search, per esempio) che hanno rinunciato a condividere le informazioni, Apple ha deciso di affidare il trattamento dei dati personali degli utenti cinesi a Guizhou-Cloud Big Data, una compagnia di proprietà del Governo cinese.

Un altro argomento che spesso viene portato all’attenzione dai detrattori di Apple è che Siri funziona con il motore di ricerca di Google, la cui politica sui dati personali è tanto invasiva quanto quella di Facebook (se non di più) .

Sebbene i temi sollevati siano di primaria importanza, senza ombra di dubbio è l’azienda di Menlo Park che sta accusando i colpi inferti dalla concorrenza. 

In fin dei conti, per l’utente delle piattaforme digitali è semplice sposare i temi sollevati da Apple (privacy è buona cosa), sebbene purtroppo sia altrettanto facile chiudere più di un occhio sul rispetto dei diritti umani in altri contesti del globo.

Gli argomenti fatti emergere da Facebook sono percepiti come frammentati e raggiungono gli utenti più tardi rispetto al messaggio lanciato dall’azienda di Cupertino.

In conclusione: il paradosso della privacy

Ma quanto interessa davvero l’argomento alle multinazionali? Forse l’unica risposta è “nella misura in cui possono trarne un vantaggio competitivo rispetto alla concorrenza”.

Apple sta capitalizzando sulla tensione costruita negli ultimi anni e ha “stravinto” questo round. Facebook deve trovare un altro modo per risalire la china (una china che ha prodotto 27 miliardi di dollari di ricavi nell’ultimo quadrimestre).

Perché non siamo più nel panorama del 2011? Per amore della competizione insita nella Silicon Valley dove se non stai crescendo stai recedendo. La competizione tra CEO è l’unica regola tra chi vive quella situazione: l’economia americana è fondata sull’assunto “Go big or go home”. 

Seguendo questo ragionamento possiamo dedurre che l’immagine pubblica di Zuckerberg sia in declino, offuscata dalla diatriba con Tim Cook e dall’ascesa di altri personaggi nel mondo Tech che ne stanno appannando la dimensione pubblica.

Quando lasciamo alle corporazioni il compito di tutelare i nostri diritti va a finire male. Quali saranno i prossimi campi di battaglia? Possiamo ipotizzare: messaggistica istantanea, piattaforme di gaming, podcast e soprattutto realtà aumentata e virtuale.

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Un “passaporto verde” per ripartire

Il turismo è da sempre per l’Italia una delle principali fonti di guadagno e crescita. Nel 2019 rappresentava il 13% del PIL. Ed è altresì ben noto come proprio il settore turistico sia stato uno dei più colpiti dalla pandemia di Coronavirus. L’impossibilità di viaggiare e visitare Paesi esteri ha sottratto a moltissime realtà la loro principale fonte di guadagno. Basti pensare alle località sciistiche che per la stagione 2020 sono rimaste integralmente chiuse, senza alcuna possibilità di lavorare e recuperare le entrate stagionali di solito conseguite. 

Andando verso la stagione calda, con l’avvicinarsi delle ferie estive e nell’ottica di contenere i danni, l’Italia prima e l’Europa poi si sono attivate introducendo il “Green Pass”. Con questo documento, che attesta l’avvenuta vaccinazione o comunque la guarigione dalla malattia o la negatività a essa, sarà possibile viaggiare in Europa e non solo (rientrano nel programma infatti anche gli USA e Israele, dal momento che le vaccinazioni in questi Stati hanno raggiunto numeri rassicuranti) senza dover rispettare alcun periodo di quarantena. Una svolta importante, dunque, per tutti coloro che desidereranno viaggiare per piacere e svago e non perché costretti da esigenze lavorative. 

Le osservazioni del Garante

Il nuovo passaporto verde nazionale presenta, secondo il Garante per la protezione dei dati personali, alcune criticità. All’indomani, infatti, dell’emanazione del D.L. n.52, il 23 aprile 2021 il Garante ha sottoposto all’attenzione del Governo un provvedimento di avvertimento con alcune osservazioni rilevanti . 

Secondo il Garante, innanzitutto, il provvedimento normativo non definirebbe, con precisione e chiarezza, le finalità per il trattamento dei dati sulla salute, lasciando ampio spazio a possibili utilizzi futuri non autorizzati. Un simile difetto viola il principio di proporzionalità previsto dall’art. 6 del GDPR.  Secondo l’Autorità il decreto legge n.52 sarebbe in contrasto anche con l’art. 5 del Regolamento europeo e quindi con il principio di minimizzazione per cui i dati raccolti “devono essere adeguati, pertinenti e limitati a quanto necessario” (come si legge nello stesso provvedimento). 

È stata sollevata poi anche un questione riguardante l’esattezza e l’aggiornamento dei dati raccolti. Il testo normativo predisposto dal Governo, infatti, non stabilisce, secondo il Garante, un meccanismo chiaro e preciso per l’aggiornamento, la cancellazione o la rettifica dei dati sanitari che richiedono di essere costantemente corretti e attuali per rispettare i diritti dei cittadini (titolari dei dati) stabiliti dallo stesso GDPR.

Il Garante evidenzia, infine, una criticità legata al principio di trasparenza. Nel testo di legge non viene indicato il titolare del trattamento dei dati né i soggetti che vi hanno accesso o che sono responsabili di controllare la validità e l’autenticità delle certificazioni verdi. È evidente che una simile mancanza può comportare conseguenze molto gravi: è molto difficile, infatti, se non addirittura impossibile, per i cittadini sapere a chi rivolgersi in caso di violazioni dei propri diritti riguardanti i dati contenuti nel passaporto verde. 

In conclusione 

Il Green Pass rappresenta senz’altro un tentativo importante di tornare alla normalità pre-pandemia e di limitare il più possibile i gravi danni subiti da tutto il settore turistico italiano ed europeo. Tuttavia, come abbiamo visto, le sfide da affrontare sono ancora molte e di grande impatto e rilevanza. Nei prossimi mesi dovranno essere prese scelte importanti e ponderate da parte dei governi nazionali e delle autorità comunitarie al fine di non ledere i diritti dei cittadini europei in materia di dati personali e privacy, garantendo allo stesso tempo un ritorno efficace alla normalità.

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR. Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Nel gennaio 2014 il social network di Mark Zuckerberg, Facebook, si ingrandiva acquisendo Whatsapp, app di messaggistica tra le più diffuse a livello mondiale. L’annuncio suscitò da subito grande preoccupazione negli utenti che facevano ampio ricorso all’app bianca e verde, ma avevano, allo stesso tempo, poca fiducia nel social network americano. Nel 2016 venne introdotta la crittografia end-to-end, un modello di protezione dei dati. Recentemente Whatsapp ha divulgato un nuovo aggiornamento alla propria informativa sulla privacy: la novità riguarda la possibilità, per le aziende, di utilizzare i servizi di Facebook al fine di conservare e gestire le proprie chat su Whatsapp. Gli utenti si sono nuovamente “sollevati” e la modifica, che sarebbe dovuta entrare in vigore l’8 febbraio 2021, è stata rimandata.

Ma ci saranno davvero dei cambiamenti? E in caso di risposta affermativa, in che misura sarà coinvolta la privacy? Telegram diventerà (come pare già essere) una buona alternativa a Whatsapp?

Andiamo dunque ad analizzare meglio queste domande, con l’obiettivo di trovare risposte concrete, corrette e chiare.

Le modifiche di Whatsapp alla luce del GDPR

Il Regolamento generale sulla protezione dei dati (GDPR), emanato nel 2016 dal Parlamento Europeo, ed entrato ufficialmente in vigore il 25 maggio 2018, realizza un regime di tutela dei dati personali applicabile a tutti i cittadini dell’Unione e non derogabile dalle normative nazionali. I regolamenti europei costituiscono, infatti, uno strumento legislativo direttamente applicabile e vincolante per tutti gli Stati membri dell’UE. Ciò significa che qualunque azienda, anche con sede in un Paese extra-UE, come nel caso di Whatsapp, è tenuta a rispettare le norme del GDPR (General Data Protection Regulation) ogni qualvolta tratti dati appartenenti a cittadini comunitari. 

Le ricadute di una simile previsione sono evidenti e molto concrete qualunque modifica o aggiornamento Whatsapp, in futuro, decida di apportare ai propri termini e condizioni d’uso non potrà mai ledere il regime di tutela imposto dal GDPR. In caso contrario, infatti, incorrerà inevitabilmente nelle pesanti sanzioni previste dallo stesso regolamento. 

Alla luce delle presenti considerazioni, dunque, si può affermare che i dati degli utenti europei raccolti da Whatsapp non potranno mai essere trattati in modo tale da ledere il regime di tutela attuale. L’app di messaggistica continuerà a non poter condividere le informazioni con Facebook come avviene dal 2018, anno in cui il GDPR è entrato in vigore. 

Il posticipo nell’applicazione della modifica, che sarebbe dovuta avvenire l’8 febbraio, è stato determinato da una richiesta avanzata dall’Autorità garante europea per la protezione dei dati personali che ha portato il “caso” all’attenzione del corrispondente Comitato europeo, l’EDPB (organo che riunisce le Autorità garanti di tutti i Paesi membri). L’Autorità ha ritenuto infatti che l’informativa emanata da Whatsapp sia poco leggibile e non permetta agli utenti, come si legge dalla nota, di “manifestare una volontà libera e consapevole”. Whatsapp dovrà rispondere in merito a questo richiamo. 

Lo “scudo” del regolamento europeo non protegge comunque tutti gli utenti extra-UE e quindi la questione a livello mondiale resterà aperta. 

È importante tuttavia sottolineare, come ha specificato la stessa piattaforma sul proprio sito ufficiale, che la modifica di Whatsapp riguarderà solo ed esclusivamente la messaggistica “business” ovvero la comunicazione gestita dalle aziende tramite profili commerciali. L’app intende facilitare l’operato delle imprese mettendo a disposizione i servizi di hosting di Facebook anche su Whatsapp. 

Telegram e Whatsapp a confronto 

A fronte delle modifiche, per ora solo annunciate, di Whatsapp, pare che, negli ultimi tempi, molti utenti abbiano deciso di abbandonare l’app bianca e verde per migrare su altre soluzioni analoghe e (forse) più “sicure” come Telegram. Ma cerchiamo di analizzare più a fondo le reali differenze tra i due servizi.

La piattaforma di messaggistica e broadcasting di origini russe, a differenza della concorrente americana, utilizza un codice sorgente opensource e non adotta la crittografia end-to-end di default. Offre, in compenso, la possibilità di avviare chat segrete e in grado di autoeliminarsi in un intervallo di tempo deciso dall’utente (che va da 1 secondo a 1 settimana). Questa funzionalità costituisce “un’arma a doppio taglio”: se da un lato, infatti, garantisce un elevato standard di privacy e segretezza delle conversazioni, dall’altro rappresenta lo strumento ideale per coloro che perseguono scopi illeciti (dalla distribuzione di contenuti vietati alla pedofilia) e che grazie al sistema dell’autodistruzione della chat possono nascondere facilmente le tracce del proprio operato. 

Telegram, poi, non mostra l’orario preciso dell’ultimo accesso degli utenti ma solo un più generico “pochi minuti fa”. 

I dati degli utenti raccolti da Whatsapp sono decisamente più numerosi rispetto a quelli collezionati da Telegram. La prima, infatti, raccoglie una quantità enorme di informazioni, dalla posizione geografica precisa alla lista dei contatti, dall’indirizzo email alla cronologia degli acquisti effettuati tramite l’app. Dall’altro lato, invece, Telegram individua “solo” nome, numero di telefono, contatti, user ID e indirizzo IP dell’utente.

In conclusione 

All’esito dell’analisi che abbiamo tracciato, si può affermare che tanto Whatsapp quanto Telegram (e altre app concorrenti) hanno punti di forza e punti di debolezza in tema di privacy e sicurezza nel trattamento dei dati raccolti. La scelta migliore, dunque, dipende dalle esigenze dell’utente. Quel che è certo, però, è che la tutela garantita dal Regolamento europeo rappresenta un mezzo di protezione effettivo ed efficace importante per tutti i cittadini europei. Una tutela omogenea per il territorio comunitario è la soluzione migliore, anche allo scopo di evitare differenze o carenze ingiustificate. Il GDPR rappresenta, quindi, un modello virtuoso che potrebbe essere fonte di ispirazione anche per altri sistemi legislativi nel mondo. 

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.