Il whistleblowing è uno strumento aziendale fondamentale tramite il quale dipendenti, collaboratori o soggetti esterni a un’azienda o organizzazione possono segnalare illeciti. All’interno di una segnalazione troviamo, infatti, due principali agenti coinvolti: il segnalante o whistleblower (che tradotto letteralmente vuol dire “colui che suona il fischietto”) e il segnalato, quindi l’azienda o l’ente pubblico che ha potenzialmente compiuto un illecito nei confronti del segnalante.  

Whistleblowing esterno e interno

In questo rapporto tra segnalante e segnalato, colui che segnala l’illecito agisce in maniera attiva: scoprendo quindi un illecito, una possibile frode, un pericolo o qualsiasi cosa che possa recare danno o serio rischio a sé stesso, a terzi o all’azienda stessa, il segnalante denuncia tali comportamenti e si espone così al rischio di ritorsioni e molestie a livello personale e professionale.

La Direttiva Europea sul whistleblowing (2019/1937), in vigore a partire dal 17 dicembre 2021, prevede l’adozione di nuovi standard di protezione a favore dei segnalanti. Il whistleblowing può essere effettuato da un dipendente dell’azienda o da una terza parte, come per esempio un fornitore o un cliente. È possibile effettuare una segnalazione tramite canali interni all’azienda, in questo caso si parla di whistleblowing “interno”, oppure tramite l’autorità giudiziaria, i media o le associazioni competenti, in questo caso si parla di whistleblowing “esterno”.

Come avviene la procedura di segnalazione?

Come riporta l’Art. 54-bis del D.Lgs del 30 marzo 2001, il dipendente o il soggetto esterno possono fare una segnalazione all’ANAC (Autorità Nazionale Anti-Corruzione)  ed è possibile comunicare gli eventuali comportamenti ritorsivi qualora l’azienda lo abbia ostacolato nel processo. L’identità del segnalante non può essere rivelata fino alla chiusura della fase istruttoria o salvo esplicito consenso del segnalante.

L’ANAC, dal canto suo, adotta precise linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni. Qualora l’illecito venisse accertato, l’autorità competente può applicare una sanzione amministrativa che va dai 5.000 ai 30.000 euro.

Quali sono i vantaggi per le aziende?

Avere un sistema di segnalazioni in azienda porta enormi vantaggi in termini di gestione delle problematiche e prevenzione delle frodi: secondo l’Association of Certified Fraud Examiners, il 42% dei casi di frode aziendale viene scoperto grazie alle segnalazioni dei whistleblower.

Sempre più aziende e pubbliche amministrazioni, quindi, sono tenute a dotarsi di un sistema di segnalazione interno: questo permette ai dipendenti dell’azienda di segnalare le irregolarità attraverso un percorso guidato in modo semplice e veloce.

Il whistleblowing in Italia

Il whistleblowing nella pubblica amministrazione italiana è già un obbligo da diversi anni. Si tratta di un sistema di segnalazione che è previsto in alcuni casi anche nel contesto privato. Tutte le aziende soggette al modello organizzativo n. 231 hanno, infatti, già messo in piedi iniziative di questo genere. Il recepimento della Direttiva europea favorisce la conseguente istituzione di canali di segnalazione interni rivolti a tutte le imprese del settore privato con almeno 50 lavoratori, indipendentemente dalla natura delle loro attività. 

A prescindere dal numero dei dipendenti, si tratta di un adempimento che è obbligatorio per tutte quelle imprese che operano nel settore dei servizi finanziari esposti a rischio di riciclaggio e finanziamento del terrorismo e per tutte quelle società che operano in settori a rischio. Tutte le aziende del settore privato che rientrano entro queste categorie hanno tempo fino al 17 dicembre 2023 per istituire un canale di segnalazione interno.

Smartleaks: il sistema il sistema di whistleblowing sicuro 

Recentemente Synesthesia e Smart Flow hanno presentato “Smartleaks”, un sistema di whistleblowing basato su GlobaLeaks per integrare nei siti web aziendali procedure anonime di segnalazione. Lo strumento risponde alla Direttiva Europea 2019/1937 e si rivolge a imprese del settore privato con almeno 50 dipendenti o operanti in settori a rischio. Smartleaks garantisce l’anonimato, la riservatezza e la protezione del segnalante, facilitando la denuncia di illeciti o comportamenti scorretti in azienda. Per saperne di più clicca qui.

Giulia, perché oggi è diventato così importante sistemare i cookie sui siti web?

“Dobbiamo sistemare i nostri siti web perché il Garante della Privacy ha pubblicato le nuove linee guida sui cookie.  L’idea è di aiutare a mettere in ordine gli orrori che proliferano in rete. Sapete tutti quanto è difficile navigare su un sito web con i continui pop up e banner che ci impediscono di proseguire. Ecco il perché di queste nuove regole, che intendono tutelare gli utenti e semplificare la navigazione. Aggiungo che probabilmente da gennaio 2022 inizieranno i controlli online da parte del Garante – e coi controlli le multe”.

A cosa servono i cookie?

“I cookie sono piccoli file di testo che vengono salvati sul dispositivo dell’utente e utilizzati dai siti web per memorizzare alcune informazioni. I cookie per esempio vengono usati per tenere traccia della lingua con cui si preferisce visualizzare i contenuti, o dei prodotti aggiunti al carrello nel caso di un e-commerce”.

L’attivazione dei cookie avviene già al primo accesso in un sito web?

“Esatto. Fin dal primo accesso, i siti web cominciano il tracciamento delle informazioni dell’utente in modo da poterle riutilizzare in futuro per diversi scopi”.

Che vantaggi porta usare i cookie su un sito web?

“Come si può immaginare uno degli scopi più comuni per i quali vengono usati i cookie è tracciare le abitudini di navigazione degli utenti in modo da poter offrire pubblicità personalizzata. Avete presente quando, navigando sul web, vi ritrovate ovunque la pubblicità di quella stessa lampada che avete appena visto sul sito dell’Ikea? Tutto merito dei cookie, che permettono a Ikea di profilarvi per raggiungere i suoi obiettivi di business. L’uso dei cookie quindi può essere utile sia alle aziende, sia agli utenti: infatti permette di proporre contenuti personalizzati”.

È sempre necessario richiedere il consenso all’utilizzo dei cookie attraverso un banner?

“Quando un sito persegue l’obiettivo di profilare i propri utenti, il consenso è obbligatorio. Non solo: il consenso deve precedere l’inizio del tracciamento. In altre parole finché l’utente non accetta i cookie, il sito web non può nemmeno cominciare la profilazione”.

Come si fa a navigare senza essere profilati? Basta chiudere il banner cliccando sulla “X”?

“La X serve proprio a semplificare il (naturale) rifiuto del tracciamento. Immaginate che l’esperienza degli utenti venga assimilata a quella in un negozio fisico. Devo poter entrare e fare un giro senza che nessuno sia in grado di riconoscermi. Il gestore del negozio naturalmente può chiedermi dei dati e devo poter essere libero di decidere se darglieli o meno”. 

Chi naviga su un sito web può cambiare le preferenze espresse precedentemente?

“Certamente. Per supportare fino in fondo l’idea di trasparenza che sostiene queste linee guida è necessario fornire agli utenti la possibilità di gestire con facilità le preferenze espresse in precedenza. Questo si può fare attraverso un’area accessibile sul sito, come per esempio una pagina dedicata ai cookie”.

Per quanto tempo devono essere registrate e conservate le preferenze dell’utente?

“La scelta dell’utente deve essere registrata e conservata per un periodo prolungato di almeno 6 mesi”.

Perché conviene ai gestori dei siti seguire le linee guida del garante?

“Sempre di più gli utenti imparano a dare valore alla propria privacy e a valutare positivamente i fornitori di servizi e di beni che sono sulla loro lunghezza d’onda. Una corretta gestione dei cookie è probabilmente la prima occasione che possiamo cogliere per dimostrare che lavoriamo bene, il primo biglietto da visita della nostra azienda al pubblico. Non dimentichiamoci che da gennaio 2022, al Garante basterà navigare sul sito web di un’azienda per fare un controllo. In altre parole, non gli sarà più necessario ispezionare a fondo l’impianto privacy della nostra azienda per emettere una sanzione. E poi, se trova o gli viene segnalato un sito internet con i cookie fuori posto non procede ad una verifica ancora più adeguata?”

Quali caratteristiche NON deve avere il banner?

“Vediamo insieme i 4  errori da evitare:

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Da quando è entrato in vigore nel 2014 il provvedimento del Garante della Privacy per l’acquisizione del consenso ai cookie sui siti web sembra passata “un’era geologica”. All’epoca di internet, infatti, i cambiamenti sono continui e molto rapidi. 

Quasi tutti vivono con sofferenza, e a ragione, il momento in cui devono aprire una pagina web di un nuovo sito. Leggere la ricetta per la “vera amatriciana” dietro un banner per il consenso ai cookie potrebbe essere “una nuova disciplina sportiva” e non una di quelle più divertenti e appaganti.

I cookie sono stringhe di testo che i siti web (indicate come “prime parti” nei testi di legge) visitati dall’utente oppure siti o web server diversi (le cosiddette “terze parti”) posizionano e archiviano all’interno del dispositivo di navigazione dell’utente.

Le informazioni codificate nei cookie possono contenere dati non personali come le impostazioni della lingua o informazioni sul tipo di dispositivo che una persona sta utilizzando per navigare il sito. Spesso però possono includere dati personali, come un indirizzo IP, un nome utente, un identificativo univoco o un indirizzo e-mail.

I browser possono memorizzare i cookie e poi trasmetterli nuovamente ai siti web che li hanno generati in occasione di una successiva visita del medesimo utente, mantenendo così memoria della sua precedente interazione con uno o più ambienti web.

I cookie possono, per esempio, essere impiegati per tenere traccia degli articoli in un carrello degli acquisti online o delle informazioni utilizzate per la compilazione di un modulo informatico. Sempre attraverso di essi è possibile veicolare anche la pubblicità comportamentale (behavioural advertising) e misurare l’efficacia del messaggio pubblicitario.

Tutti i cookie devono essere classificati e dettagliati in una specifica pagina del sito che deve contenere il testo dell’informativa cookie estesa (quella presente sui banner, quando è presente, è solo un breve riassunto) e l’opzione che consente di modificare il consenso al tracciamento.

Sì. In buona sostanza, il provvedimento precedente, così come le buone pratiche consigliate dall’EDPBoard (l’organismo che riunisce tutti i Garanti della privacy europei) sono stati in buona parte disattesi, rendendo la navigazione internet una frustrante impresa per tutti.

Lo scopo di queste linee guida è circoscrivere il perimetro di azione delle misure già esistenti. Non sono state introdotte delle novità significative per quanto riguarda le regole da rispettare, ma è stato messo al centro il concetto di legal design: per l’utente deve essere chiaramente e facilmente comprensibile ciò che accetta o rifiuta.

Anche l’approccio del Garante cambia e diviene molto più deciso e fermo in materia di controlli e potenziali multe. Il tracciamento dei dati in sé è lecito e utile, a condizione che avvenga nel rispetto delle norme contenute nel GDPR. Per questo motivo, oggi nella maggior parte dei siti web, troviamo opzioni di tracciamento pulsanti come “Accetta tutti” o “Personalizza”. Nel primo caso, ovviamente, clicchiamo quando siamo “con il sugo che brucia sul fuoco” e non sappiamo se nella vera amatriciana ci voglia la panna o no. Il secondo caso è un trucchetto per farci pentire di non aver cliccato “Accetta tutti”.

Le linee guida che entrano in vigore da gennaio 2022, invece, invertono il paradigma della scelta. Lo stravolgimento imposto serve a riportare in primo piano il concetto di privacy by design espresso nel GDPR: il fornitore del servizio (chi possiede il dominio) può imbastire il proprio percorso di tracciamento senza “approfittarsi” a tradimento dell’utente. Questi, infatti, non deve essere forzato a una scelta negoziale ma deve essere, invece, tranquillo di poter entrare e uscire senza lasciare “tracce”.

È stato promesso un controllo totale delle difformità: è ovvio che sarà così, perché altrimenti non si sarebbe arrivati a queste linee guida più rivolte all’esperienza utente che alla facilità della profilazione marketing. Il Garante della privacy italiano sta cercando di rendere più difficile per le aziende di data brokering continuare a fare incetta di informazioni personali senza controllo.

Al momento del primo accesso in un sito web nessun cookie o altro strumento di tracciamento diverso da quelli tecnici deve essere posizionato all’interno del dispositivo dell’utente.

Sarà poi sempre necessario richiedere il consenso all’utilizzo di cookie di profilazione attraverso un banner ben visibile. Il banner dovrà dare agli utenti la possibilità di proseguire la navigazione senza essere tracciati. Basterà, infatti, chiudere il banner cliccando su una “X” riconoscibile.

La “X” indicherà dunque la scelta di “rifiuto del tracciamento” e non la semplice eliminazione del banner. Come succede per tutte le altre X nelle finestre di dialogo dei sistemi, il click chiude il pop up del consent banner senza però far partire nessun tipo di tracciamento. 

Questa si può ritenere come l’unica vera novità delle linee guida: si può, dunque, salutare il già citato scrolling in pagina (che non è mai stata peraltro una forma legittima di acquisizione del consenso per il tracciamento e per i cookie). Attraverso il semplice scrolling, infatti, non si può distinguere se l’utente stia dando il consenso al tracciamento o stia piuttosto cercando un’informazione in basso nella pagina.

Adesso, con il fatto che l’accettazione al tracciamento deve essere un’azione univoca, è chiarissimo che lo scrollbar non può essere espressione del consenso informato.

Per chi non l’avesse ancora fatto, è necessario consentire al browser di rivedere le preferenze nella pagina dedicata alla cookie policy implementando una sezione in cui è possibile modificare le opzioni precedentemente espresse. Nella stessa pagina deve essere pubblicata per intero l’informativa cookie con dati e funzionalità dei sistemi di tracciamento.

Il documento evidenzia le informazioni circa gli altri soggetti destinatari dei dati personali e i tempi di conservazione di questi dati. Decade quindi la possibilità di “propinare”, per legittimo interesse, l’elenco con migliaia di data broker che cercano di speculare sui dati personali. Come da Regolamento europeo, il legittimo interesse non è (e non è mai stato) una base giuridica per il trattamento dei dati e non si può utilizzare per tracciare gli utenti. 

Le linee guida sottolineano che l’accesso e l’espressione di un consenso o un rifiuto al tracciamento deve essere fruibile facilmente anche a portatori di disabilità. Questa parte coinvolge non solo centinaia di siti web della pubblica amministrazione che avrebbero dovuto rendere fruibili i loro portali da tempo, ma tutti i domini.

Per questa necessità vogliamo evidenziare il lavoro di Accessiway, il nostro partner che commercializza un servizio utile a dare accessibilità ad app e siti internet a coloro che sono affetti da disabilità permanenti o temporanee. Insieme con Synesthesia, stiamo lavorando per realizzare sistemi informatici fruibili con piena accessibilità a tutti e, di conseguenza, anche strumenti per la registrazione del consenso adatti.

La scelta dell’utente, infine, deve essere registrata e conservata per un periodo prolungato di tempo. È errato, quindi, presentare il banner di richiesta del consenso a ogni accesso: un cookie tecnico dovrà ricordarsi le nostre preferenze per almeno sei mesi.

Mettiamo un punto fermo

Da tempo ci si interroga sul futuro dei cookie che tutti i browser già limitano e Google intende eliminare dal 2023 con il progetto FloC. Apple ne fa un cavallo di battaglia da anni e anche noi abbiamo trattato l’argomento parlando di campagne pubblicitarie.

L’evoluzione del tracciamento degli utenti sul web potrà passare da una profilazione individuale e personale, come nella situazione attuale, a un metodo per informazioni aggregate sul comportamento di consumo, come sarà in futuro.

Come esperti di privacy e utenti della rete interessati, osserviamo il panorama digitale trasformarsi sotto i nostri occhi. Offriamo soluzioni efficaci per approcciare tanto queste recenti linee guida quanto il cambiamento che sarà proposto dalle Big Tech. Smart Flow e Synesthesia hanno creato un servizio di adeguamento dei portali che comprende la gestione relativa a policy e consenso a profilazione marketing per app e siti web.

Desideriamo che tutti abbiano la possibilità di prendere coscienza dell’impatto che questo insieme di regole dovrà esercitare affinché navigare sul web continui a essere un piacere per chi lo fa come utente e profittevole per chi propone il proprio business.

A gennaio 2022, quando inizieranno i controlli da parte del Garante privacy sull’implementazione delle nuove linee guida, potremo guardare la ricetta della vera amatriciana senza essere interrotti da fastidiosi pop up. Se hai dei dubbi o necessiti di un aiuto, rivolgiti a noi: Smart Flow e Synesthesia hanno team di esperti qualificati per risolvere ogni tua necessità.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Le modifiche di Tik Tok

Con i suoi 689 milioni di utenti attivi, di cui 5,4 milioni solo in Italia, Tik Tok è il settimo social network più popolare al mondo. Attualmente è più utilizzato nel sud-est asiatico, ma la sua popolarità è in aumento anche in occidente. Dopo neanche 4 anni dal lancio iniziale, ha superato la quota di due miliardi di download, registrando nel primo quadrimestre del 2020 la cifra di 350 milioni di download in tutto il mondo. Ma la piattaforma dai numeri stratosferici ha di recente attuato alcune modifiche che interesseranno i suoi utenti:

“Potremmo raccogliere identificatori biometrici e informazioni biometriche, come definito dalle leggi statunitensi, come impronte facciali e impronte vocali, dai contenuti utente. Laddove richiesto dalla legge, chiederemo all’utente tutte le autorizzazioni necessarie prima di tale raccolta”.

Con questa breve nota il celebre social network cinese ha annunciato la modifica alla propria informativa sulla privacy. 

Un cambiamento non indifferente che interesserà direttamente la vita e la privacy di tutti gli utenti (per ora) di nazionalità statunitense. La raccolta di dati biometrici da parte di Tik Tok consiste nell’attività eseguita dal social di identificare oggetti e scenari, l’esistenza e la posizione all’interno di un’immagine di caratteristiche del corpo e del viso e il testo delle parole pronunciate. In realtà non è l’unico social che elabora i dati degli utenti in questo modo, ma ne esistono già altri che utilizzano la stessa strategia per ottimizzare gli annunci pubblicitari. Tik Tok, inoltre,sembrerebbe voler soltanto migliorare le proprie funzionalità, per questo la nuova privacy policy avverte che la raccolta di immagini e audio sarà utile per abilitare “effetti video speciali per la moderazione dei contenuti, per la classificazione demografica, per i contenuti e i consigli sugli annunci e per altre operazioni non di identificazione personale“.

La “questione” della privacy

L’annuncio da parte dell’app sulla raccolta dei dati biometrici, per quanto vaga, ha già suscitato numerose preoccupazioni. Tik Tok, infatti, non ha specificato lo scopo di questa raccolta, né tantomeno le modalità con cui chiederà il consenso per il trattamento dei dati. Ha soltanto svelato che inizierà con i dati degli utenti statunitensi e non è sicuramente un caso, considerando che in pochi Stati sono presenti delle leggi che tutelano la privacy biometrica. Per questo motivo, laddove non esista una legislazione specifica, molte persone potrebbero non essere avvisate sulla raccolta dei dati. Sembrerebbe però non essere questa l’intenzione di Tik Tok, che assicura di essere sempre molto attenta alla privacy del suo pubblico. La piattaforma che per tutta la durata dell’Amministrazione Trump era stata considerata come una minaccia per la sicurezza nazionale, ora sta cercando di riconquistare la fiducia degli utenti statunitensi. Per questo motivo ha più volte dichiarato di archiviare le loro informazioni in data center degli US e di Singapore, assicurando di non averli mai condivisi con il governo cinese. 

Il futuro di Tik Tok 

Tik Tok raccoglie già moltissime informazioni dal profilo dei suoi utenti, come i contenuti da loro creati, i cookie, le app e i file presenti sul loro smartphone, la posizione del dispositivo utilizzato e addirittura lo stato della batteria e i ritmi di battitura. Per cui, a cosa serviranno i dati biometrici? 

Per il momento restano i dubbi e le polemiche di molti utenti di Tik Tok. Nei prossimi mesi scopriremo se l’app avrà fatto una scelta sbagliata, spaventando e facendo “scappare” dalla piattaforma tutti quelle persone preoccupate per la loro privacy, o se gli utenti saranno riusciti a digerire questa novità mantenendo attiva la loro presenza sull’app. 

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

I nostri servizi di marketing e social media trasformano idee brillanti ma complesse in soluzioni digitali semplici, rapide e innovative, che proponiamo e progettiamo insieme al cliente per aiutare la sua azienda in modo concreto a raggiungere importanti obiettivi di brand e di mercato. Grazie al lavoro di team esperti sviluppiamo strategie di comunicazione social e piani editoriali all’avanguardia per i nostri clienti e partner.

Scopri le nostre strategie all’interno di questa pagina dedicata.

Il video diffuso dalla multinazionale di Cupertino lo scorso 26 aprile 2021 spiega come, grazie al nuovo sistema operativo di iOS, sarà direttamente l’utente a decidere quando consentire alle app di collezionare i dati per creare un profilo personale e un’identità digitale.

Se questo ha scatenato qualche flashback proveniente da Matrix, l’immagine mentale è voluta.“What is the Matrix? The Matrix is a computer-generated dream, built to keep us under control. In order to change the human being into this” (immaginate i vostri dati personali al posto della pila) – Morpheus che si rivolge a NEO all’inizio di Matrix.

Facebook sta cercando le misure da adottare nel momento in cui Apple consentirà ai suoi utenti di negare il consenso per la pubblicità targetizzata. Molte compagnie, come il noto social network si difendono, affermando che il targeting ADS rende migliore l’esperienza degli utenti sulle applicazioni. Apple, invece, su questo tema si schiera apertamente contro l’azienda rivale: una vera e propria “guerra fredda” tra le due multinazionali, come si può intuire anche dalle continue dichiarazioni rilasciate dai rispettivi CEO.

Come si è arrivati a questa situazione?

Prima del 2011, il rapporto tra Steve Jobs e Mark Zuckerberg era quasi “idilliaco”: incontri privati raccontati in libri e biografie e un legame simile a quello condiviso tra Obi Wan Kenobi e Anakin Skywalker. 

Facebook era una piattaforma già usata da milioni di persone e Apple sviluppò il device che consentì la fruizione della piattaforma nel miglior modo possibile. Il 2011 fu l’anno di svolta: Tim Cook prese il posto di Jobs dopo che questi fu costretto a lasciare la guida di Apple per motivi di salute. Il nuovo CEO adottò immediatamente una direzione diversa per l’azienda, più incline alla protezione dei dati personali. 

A livello aziendale, il rapporto tra le due Big Tech si raffreddò nel 2012 quando “Zuck” decise di creare, insieme a HTC e AT&T, il suo telefono, l’HTC First, con un sistema operativo differente e un proprio servizio di messaggistica istantanea. Il progetto naufragò nel 2013 ma la vicenda conteneva già in sé i punti di futuro contrasto tra le aziende.

Gli avvenimenti politici della seconda parte del decennio furono influenzati pesantemente dalle campagne di comunicazione organizzate da gruppi di influenza sulle piattaforme social. Il caso di Cambridge Analytica, scoppiato all’inizio del 2018, è stato emblematico: l’azienda britannica aveva raccolto i dati personali di 87 milioni di account Facebook senza il loro consenso e li aveva usati per scopi di propaganda politica. 

A metà marzo 2018 il New York Times fornì le prove della raccolta non autorizzata delle informazioni, mentre il The Guardian scoprì che Facebook era a conoscenza delle attività illecite del gruppo da almeno due anni, ma non aveva fatto niente per proteggere i dati dei suoi utenti.

Non è tutto: Tim Cook fu ospite dell’emittente MSNBC nei giorni in cui Zuckerberg venne convocato dal Senato USA per rispondere alle accuse di non aver impedito la manipolazione dei dati personali sulle sue piattaforme. Alla domanda su come si sarebbe comportato lui di fronte alla Commissione, Cook dichiarò: “Io non mi sarei mai trovato in quella situazione: la privacy è un diritto costituzionale degli USA, un diritto umano”. Tim Cook decise così di fare della privacy una colonna portante del business model di Apple. In larga parte la decisione fu presa tenendo in considerazione il trend del momento.

Ogni anno, Apple organizza la Worldwide Developers Conference: un evento in cui sono presentati i prodotti in uscita per l’anno successivo. Nel 2018 Tim Cook presentò un’estensione per Safari che bloccava i cookies di tracciamento. Quale fu il portale usato come esempio per promuovere questa nuova feature? Instagram, mettendo così Facebook in disparte.

Nel 2019, in occasione della conferenza annuale organizzata dalla banca d’investimento Allen&Company a Sun Valley, in Idaho, e riservata a mogul delle aziende tech e media, si consumò la deriva finale. 

Da quanto emerso di recente Mark Zuckerberg provò a “sporgere un ramoscello d’ulivo” a Tim Cook chiedendo come lui avrebbe affrontato le conseguenze del caso Analytica. 

Tim, gelido, rispose che si sarebbero dovute cancellare tutte le informazioni collezionate con le piattaforme di Facebook nel corso degli anni. In pratica, Cook, di fronte al gotha della Silicon Valley, disse a Zuckerberg che il suo business model era “tossico”. E l’offerta di pace fu rispedita al mittente.

A questo punto “Zuck” perse definitivamente la pazienza, dichiarò che Facebook avrebbe sviluppato una piattaforma per tutti, senza necessità di sborsare migliaia di dollari. 

Apple, paladina della protezione dei dati personali?

Anche da parte del colosso di Menlo Park la strategia di comunicazione si divise tra critiche personali rivolte a Tim Cook e valutazioni sull’operato della multinazionale concorrente.

Facebook iniziò a diramare migliaia di annunci su come, in tutto il mondo, ci fossero imprese che avevano prosperato grazie alle attività sulle piattaforme social e in particolare attraverso la funzione di pubblicità target. 

Può risultare credibile che Facebook si erga a paladino di piccole medie imprese? Il controsenso può trovare consistenza nei dati e nel giro d’affari prodotto nell’ultimo anno, in cui migliaia di imprese effettivamente si sono rese conto dell’importanza della pubblicità sui canali digitali e, convertendo la business organization, hanno potuto sopravvivere. 

La migliore freccia nella faretra di Facebook però risiede tuttora nell’ipocrisia di Apple. L’azienda di Cupertino, infatti, vende in Cina ogni anno centinaia di milioni di dispositivi, realizzando utili considerevoli. Non solo, assembla nel Paese asiatico la maggior parte dei device e soprattutto condivide con il governo locale tutti i dati che transitano nei server e sui dispositivi, incluso l’App Store. 

Al contrario di altre compagnie (Google Search, per esempio) che hanno rinunciato a condividere le informazioni, Apple ha deciso di affidare il trattamento dei dati personali degli utenti cinesi a Guizhou-Cloud Big Data, una compagnia di proprietà del Governo cinese.

Un altro argomento che spesso viene portato all’attenzione dai detrattori di Apple è che Siri funziona con il motore di ricerca di Google, la cui politica sui dati personali è tanto invasiva quanto quella di Facebook (se non di più) .

Sebbene i temi sollevati siano di primaria importanza, senza ombra di dubbio è l’azienda di Menlo Park che sta accusando i colpi inferti dalla concorrenza. 

In fin dei conti, per l’utente delle piattaforme digitali è semplice sposare i temi sollevati da Apple (privacy è buona cosa), sebbene purtroppo sia altrettanto facile chiudere più di un occhio sul rispetto dei diritti umani in altri contesti del globo.

Gli argomenti fatti emergere da Facebook sono percepiti come frammentati e raggiungono gli utenti più tardi rispetto al messaggio lanciato dall’azienda di Cupertino.

In conclusione: il paradosso della privacy

Ma quanto interessa davvero l’argomento alle multinazionali? Forse l’unica risposta è “nella misura in cui possono trarne un vantaggio competitivo rispetto alla concorrenza”.

Apple sta capitalizzando sulla tensione costruita negli ultimi anni e ha “stravinto” questo round. Facebook deve trovare un altro modo per risalire la china (una china che ha prodotto 27 miliardi di dollari di ricavi nell’ultimo quadrimestre).

Perché non siamo più nel panorama del 2011? Per amore della competizione insita nella Silicon Valley dove se non stai crescendo stai recedendo. La competizione tra CEO è l’unica regola tra chi vive quella situazione: l’economia americana è fondata sull’assunto “Go big or go home”. 

Seguendo questo ragionamento possiamo dedurre che l’immagine pubblica di Zuckerberg sia in declino, offuscata dalla diatriba con Tim Cook e dall’ascesa di altri personaggi nel mondo Tech che ne stanno appannando la dimensione pubblica.

Quando lasciamo alle corporazioni il compito di tutelare i nostri diritti va a finire male. Quali saranno i prossimi campi di battaglia? Possiamo ipotizzare: messaggistica istantanea, piattaforme di gaming, podcast e soprattutto realtà aumentata e virtuale.

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

È necessario e urgente allora trovare una via per semplificare e rendere fruibili queste informazioni così importanti che ci toccano molto da vicino. Occorre trovare un modo per far sì che chiunque leggendole anche rapidamente possa avere un’idea chiara del contenuto. In questo senso il contest “Informative privacy più chiare grazie alle icone? È possibile” lanciato dal Garante italiano per la Protezione dei Dati personali rappresenta una proposta creativa e accattivante. Cerchiamo allora di capire lo “stato dell’arte” attuale e l’importanza dell’iniziativa per il futuro di tutti.

Lo scenario degli artt. 13 e 14 GDPR

In un mondo sempre più digitalizzato e interconnesso, le “tracce” che lasciamo online sono numerosissime al punto che è quasi impossibile mantenerne il controllo. I problemi sorgono quando queste “tracce” contengono dati personali, più o meno sensibili, che ci appartengono e in grado di ricondurre i terzi a noi. L’esigenza, dunque, di proteggere queste informazioni da un uso distorto e non autorizzato a opera di estranei è evidente. Per questi motivi l’UE ha emanato un regolamento ad hoc, il General Data Protection Regulation 2016/679 o GDPR, con l’obiettivo, appunto, di tutelare i dati personali dei propri cittadini. 

Gli artt. 13 e 14 del GDPR costituiscono il cuore della normativa di tutela. Contengono un elenco di informazioni che chi tratta i dati altrui deve obbligatoriamente fornire all’interessato. Queste informazioni riguardano, per esempio, l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante, le finalità del trattamento, il periodo di conservazione dei dati personali, il diritto dell’interessato di chiederne la cancellazione o la rettifica e molto altro.

È evidente che si tratta di un elenco corposo, tecnico e poco leggibile da un pubblico ampio, disomogeneo e spesso di fretta. Basti pensare che tutte queste informazioni devono essere contenute nel volantino del supermercato che compiliamo per iscriverci a un “programma fedeltà”. Non leggeremo mai una normativa sulla privacy così strutturata in quelle circostanze.

Semplificare le informazioni sulla privacy, ma come? 

Una possibile risposta alla questione arriva dall’Autorità Garante nazionale con un’idea creativa e innovativa allo stesso tempo: lanciare un contest rivolto a grafici, designer, sviluppatori, avvocati, tecnici del settore e più in generale a chiunque voglia mettersi in gioco nel tentare di tradurre la normativa del testo europeo in icone, simboli o immagini. È risaputo che una grafica efficace è in grado di catturare la nostra attenzione molto più di un eccellente romanzo. Le immagini sono più immediate e fruibili da tutti. E questo vale ancora di più nel nostro quotidiano in cui siamo bombardati di informazioni e abbiamo sempre meno tempo per leggere. Per non dimenticare che la nostra stessa comunicazione passa sempre di più attraverso emoticon, gif e icone di ogni tipo.

L’iniziativa lanciata dal nostro Garante è, dunque, davvero “al passo con i tempi”. Sul sito del GPDP, nella sezione dedicata al contest, leggiamo che “le proposte ritenute più efficaci e coerenti con le norme del Regolamento saranno rese disponibili, in licenza CC BY a chiunque voglia utilizzarle, con l’indicazione dell’autore”. Il progetto ha quindi anche il grande pregio di coinvolgere in prima persona i cittadini e i risultati potrebbero tradursi in un’importante conquista condivisa sulla via della semplificazione per tutti.

In conclusione

Anche le leggi, come tutto ciò che riguarda da vicino la società e le sue dinamiche, necessitano costantemente di essere aggiornate soprattutto nel momento in cui devono essere “messe in pratica”. Le norme, infatti, per poter essere efficaci e raggiungere gli obiettivi per cui sono state emanate devono essere prima di tutto conosciute dagli interessati. La vera sfida, dunque, consiste nel trovare il modo migliore per renderle fruibili dal grande pubblico, comunicandole in modo veritiero, chiaro, trasparente e anche un po’ “accattivante”. L’iniziativa dell’Autorità Garante Italiana è un primo passo importante in questa direzione. Una direzione innovativa e che tiene conto delle sensibilità e delle preferenze che contraddistinguono la nostra società. 

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

“Per te il giorno in cui ho causato la fuoriuscita dei tuoi dati insieme a quelli di altri 533 milioni di utenti è stato il più importante della tua vita, ma per me? Per me è stato un giorno qualsiasi”. Mark Zuckerberg (probabilmente) 

(a cura di Smart Flow)

Perché ci permettiamo di iniziare quella che dovrebbe essere una riflessione responsabile su un tema molto serio e in un “contenitore autorevole” con una citazione diretta da “Street Fighter”? Un po’ ci piace pensare che “Zuck” ami vestirsi come M. Bison, il villain interpretato da Raul Julia in uno dei b movie più cult degli ultimi trent’anni. 

In verità la situazione è davvero seria. Sebbene per molti di noi il giorno (o per meglio dire i mesi) in cui Facebook permetteva di effettuare lo scraping di milioni di dati personali in tutto il mondo non è il più importante nella vita, la portata della vicenda è tale da coinvolgere tutti gli utenti del social network e non solo coloro direttamente coinvolti nel famigerato leak.

Iniziamo subito con una doverosa premessa. I file che contengono i milioni di dati sono facilmente individuabili sul web, tuttavia vi consigliamo di non procedere oltre con la ricerca: in primo luogo, si deve avere una minima dimestichezza con il materiale che si troverebbe. Secondo, si tratta di avere a che fare con dati personali ottenuti senza autorizzazione, quindi c’è il rischio di “passare dei guai”.

Se si vuole controllare il proprio numero di telefono, si può fare attraverso il portale “haveibeenpwned” di Troy Hunt, famoso ricercatore e speaker di Web Security.

Si può parlare di data breach

Come ha confermato la stessa azienda di Menlo Park, a partire dal 2019 un (gruppo di?) hacker ha sfruttato una funzionalità che allora permetteva di cercare un utente Facebook attraverso il numero di telefono. Grazie a questa tecnica poteva(no) individuare un profilo, copiare ed esportare una lista degli amici di questo, a meno che non fosse impostata come privata. Per ogni contatto esportato sulla lista comparivano poi informazioni come l’ID del portale, nome e cognome, spesso città di residenza e provenienza, grado di istruzione eccetera. Questo è lo scraping: una raccolta di informazioni superficiali, sfruttando le disattenzioni dei portali.

Non si può parlare di leak, ma di certo è un data breach “coi fiocchi” in quanto i dati sono stati raccolti “uno a uno” utilizzando i servizi della piattaforma stessa. Per questo il famoso file incriminato è strutturato con numeri sequenziali: gli hacker sono partiti da +10000000001 e hanno ottenuto 533 mln di profili chiedendo a Facebook l’utente di riferimento.

Da un paio di anni non si può più effettuare la ricerca di utente tramite numero telefonico, ma la versione mobile di Messenger, il sistema di messaggistica di Facebook, ha supportato questa caratteristica per un periodo di tempo più prolungato, consentendo verosimilmente l’estrazione di ancora più dati.

Una degli aspetti più bizzarri che alcune persone stanno verificando in questi giorni, è che sebbene in passato non avessero mai fornito il numero di cellulare a Facebook nei file trafugati compare comunque. Per questo fenomeno ci possono essere tante soluzioni possibili, a noi ne vengono in mente un paio:

Numerosi sono anche i casi di persone che dicono di aver subito la esfiltrazione dei propri dati ma che il telefono non corrisponde al loro. In questo caso ci potrebbero essere altre due ipotesi:

Che tipo di dati ci sono in rete ora? Cosa può succedere?

I dati online sono quelli di cui avrete già letto e i numeri sono impressionanti: in Italia si parla di 36 milioni di numeri di telefono e 440 mila email (praticamente tutti gli utenti Facebook del “bel Paese”). Gli altri dati sono l’ID del profilo nome e cognome, status relazionale, città di provenienza. Non sempre si tratta di informazioni complete, dipende da quanto il social ci conosce. Le possibili minacce, purtroppo, sono molteplici.

Il rischio di SIM swap è certamente uno dei più reali. Sapendo qual è il tuo numero di cellulare e ipotizzando i servizi a cui ti sei registrato (ipotesi che posso corroborare tenendo d’occhio i social, tra l’altro) posso provare a effettuare il log in ai suddetti servizi con il numero di cellulare o tentare di recuperare il codice di controllo con tecniche di sostituzione di persona stile truffa telefonica.

Se pensate di essere esenti da questo pericolo solo perché il vostro portafoglio elettronico non trabocca di Bitcoin, fate attenzione comunque: se usate il numero di telefono come ricevente per il PIN di autenticazione per la posta elettronica, la Banca o ogni altro servizio, siete a rischio di truffa.

Un altro rischio è collegato al telemarketing selvaggio. Vi sembra meno pericoloso del quadro prospettato in precedenza? Probabilmente sì, tuttavia immaginate di dover passare i prossimi mesi a lottare contro nefasti call center che hanno deciso di sfruttare questa occasione per approvvigionare letteralmente milioni di nuovi contatti.

Un terzo pericolo molto concreto è collegato al vostro UID di Facebook. Anche se utilizzate pseudonimi, infatti, sul sito si può risalire attraverso quello e il vostro numero di cellulare ad altri dati personali. Se siete un personaggio pubblico, impegnato nel sociale o che ha preso posizioni sgradite a una minoranza rumorosa magari non avrete voglia (come gli altri) che i vostri dati e i vostri numeri siano alla mercé di tutti.

Al momento efficaci contromisure non ce ne sono. Ormai i file sono circolati su internet per cui non è possibile limitare la diffusione dei dati trafugati. Il Garante per la protezione dei dati personali si è dato da fare nel corso della settimana per chiudere tanti domini che diffondevano i dati fuoriusciti illegalmente, anche se alcuni di questi portali si erano proposti, con buone intenzioni, di dare una mano alle persone colpite.

In conclusione, quali sono i prossimi passi per noi utenti

Ritorniamo al discorso con cui abbiamo iniziato. La situazione è seria perché dal modo in cui la comunità internazionale, la comunità degli utenti di Facebook e Facebook stessa reagiranno alla vicenda si determinerà un percorso importante nella gestione dei dati personali di ciascuno di noi.

In primo luogo, Facebook non si può difendere adducendo come scusa che i perpetratori hanno approfittato di una falla che non è più in attività nel suo sistema. Il Garante italiano, come altri Enti corrispondenti nel mondo, ha chiesto alla compagnia americana di attivare un servizio di verifica sul portale per dar modo agli utenti di controllare facilmente se numero o e-mail siano stati esfiltrati. 

Per quanto riguarda noi utenti, che ogni settimana veniamo a conoscenza di casi di data breach sempre più importanti sia come numeri sia come entità coinvolte, dobbiamo mantenere costante la soglia di attenzione. Il pericolo di assuefarsi a queste notizie è sempre più alto, ma siccome si parla di dati personali, una moneta di scambio fondamentale nelle transazioni digitali del web e dei social network, impariamo a tenere ben stretta la nostra identità tout court. 

Infine, è consigliabile non affidarsi a canali ambigui per il recupero dei dati che sono stati pubblicati online perché non c’è più possibilità di secretare quelle informazioni. C’è anzi il rischio di esporsi ancora di più, consegnando altri dati personali (e soldi) a compagini poco raccomandabili, con la prospettiva di dover “sganciare” in un futuro ancora più denaro.

Cosa può essere peggio di trovarsi tra quei 36 milioni di italiani colpiti dallo scraping su Facebook nel 2019? Essere iscritto anche a LinkedIn.

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Avete mai provato a leggere una informativa privacy? 

Quel “muro di testo” con il quale quasi nessuno ha voglia di confrontarsi, ma dentro cui si trova ogni informazione relativa all’utilizzo dei nostri dati da parte di qualsiasi piattaforma o app che utilizziamo quotidianamente. Io  sì, ma d’altra parte lo faccio per lavoro. Sono Maurizio Bulgarini esperto di privacy e Data Protection Officer di Synesthesia. 

Voglio cominciare facendo “coming out”: anche io mi sono iscritto a qualche servizio senza leggere con attenzione l’informativa, o i “Termini e Condizioni”. I testi sono troppo prolissi, scritti in “legalese” e solitamente presentati in maniera tale che è difficile coglierne il contenuto.

Il mio lavoro sarebbe estremamente più semplice se le persone con cui vengo a contatto fossero più consapevoli dell’utilizzo dei propri dati personali da parte di terzi. Alcune delle compagnie tech più in vista provano a realizzare infografiche o video per avvicinare il navigatore alla consultazione delle informative, ma non si può contare solo su questi supporti.

Lo scorso autunno, in una mattina come un’altra, complice uno dei canali Telegram che seguo abitualmente, scopro l’esistenza di Legal Hackers. Curiosando sul loro portale, mi imbatto nel bando di “Hack the Doc”. L’obiettivo della challenge del primo legal design europeo è “hackerare” i documenti, ossia le informative privacy presenti sui siti e sulle app che navighiamo, per renderle più fruibili da parte degli utenti. 

Gli organizzatori hanno previsto tre ruoli per i partecipanti alla challenge: esperti legali, consulenti di comunicazione e designer, per ridisegnare graficamente, oltre che concettualmente, le informative prese in esame.

Il Collegio del Garante della Privacy italiano ha promosso questa manifestazione al fine di contaminare la cultura giuridica rendendola accessibile agli utenti comuni e facendo valere, allo stesso tempo, il loro diritto di essere informati sui motivi e le modalità di trattamento dei loro dati. “L’Autorità per essere tale deve risiedere in mezzo alla società” – ha dichiarato Guido Scorza, avvocato e membro del collegio – “e sgretolare formalismi burocrazia e lentezza”.

L’idea mi conquista e inizio a parlarne col mio team. Poi, al termine di una riunione con Francesco Ronchi e Riccardo Recalchi, per integrare l’offerta di Synesthesia con servizi sulla compliance al GDPR, accenno loro la questione. Francesco, in appena cinque minuti, condivide un concetto estremamente interessante: perché non usare l’intelligenza artificiale per decifrare le privacy policy e trarre le informazioni più importanti?

La realizzazione del progetto 

La proposta mi affascina perché si tratta di un’idea ben diversa dal modificare il design di un’informativa. In breve tempo la macchina si mette in moto: Francesco mi presenta Matteo Grella, suo amico e grande esperto di trattamento automatico del linguaggio naturale (Natural Language Processing) e relativi modelli di apprendimento automatico (Machine Learning). 

Il motore fornitoci da Matteo ci permetterebbe di masticare e restituire ogni tipo di testo. I modelli di apprendimento automatico funzionano molto bene quando, all’interno di un dominio conosciuto, esistono esempi da cui la macchina può apprendere. Proprio come nel caso delle informative privacy.

Abbiamo giusto il tempo di fare una riunione per presentarci e iscriverci: è già il 10 dicembre e la manifestazione sta partendo. La partecipazione è numerosa, inaspettata e attivissima, nonostante il conseguente disagio per la gestione su Zoom di un evento di questo genere. 

I due giorni successivi sono febbrili e scanditi dal ritmo frenetico dei compiti da portare a termine. 

L’informativa privacy di Instagram (4769 parole) è il nostro punto di partenza. 

Dopo 48 ore dall’inizio della sfida presentiamo ai giudici il volto del nostro prodotto, Informa.me,  una Social Knowledge Base con funzionalità di ricerca in linguaggio naturale e Speech to Text, interrogabile dai navigatori. In questo modo diventa possibile conoscere tipologie di dati raccolti da qualsiasi piattaforma, finalità, diritti e comunicazione. Il nostro portale spicca tra gli altri progetti per la natura originale e diversa dell’approccio all’obiettivo della challenge. Abbiamo anche ridotto la lunghezza dell’informativa del testo originale (che ora conta solo 1205 parole, circa il 75% in meno). Il risultato è ampiamente raggiunto.

I giudici decidono di promuovere il nostro team al giorno successivo, per il round finale con i big boss tra cui proprio Guido Scorza, in rappresentanza dell’Autorità Garante della Privacy. Domenica mattina sfidiamo altri 8 team che presentano altrettanti progetti interessanti e molto ben curati. Non siamo stati premiati dalla giuria in finale (qui l’elenco dei vincitori), ma abbiamo potuto confrontarci con realtà istituzionali e sociali interessate al tema della data protection al di là della mera logica commerciale.

In conclusione 

Il nostro lavoro rimane attuale e coinvolgente per chiunque abbia interesse e consapevolezza dell’importanza dell’argomento. Si tratta di un punto di partenza per allargare il cono di visibilità del tema anche a coloro che navigano su siti e app senza preoccuparsi di “che fine faranno” i propri dati, perché “a me non interessa della privacy”, “io non ho niente da nascondere”.

Noi di Smart Flow ringraziamo ancora una volta Francesco e Matteo per averci voluto sostenere e aiutare in questa iniziativa: al prossimo hackathon, sperando sia “dal vivo”!

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR. 

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Guarda la presentazione integrale

Che significa Privacy by Design? Qual è la sua funzione?

Il GDPR stabilisce l’obbligo legale per tutti i Paesi UE di incorporare la protezione dei dati personali nella progettazione, nelle operazioni ICT, nelle infrastrutture tecniche di servizio e nelle pratiche di business.

Oggi per le aziende dover gestire i dati personali dei propri utenti, prevenendo a monte i rischi legati alla loro raccolta e conservazione, è diventata dunque una necessità imprescindibile dell’adozione del principio della Privacy by Design secondo il quale:

“Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati” (Art. 25 co. 1,  GDPR). 

Il trattamento e la gestione dei dati: una questione di trasparenza

Il trattamento e la gestione dei dati devono essere sempre “formalizzati”, ovvero chiari e trasparenti per l’utente. Perciò diventa essenziale che i gestori assicurino sempre e in modo automatico la protezione dei dati personali in tutti i sistemi IT di propria competenza o nelle attività di business, senza alcuna necessità di azioni da parte dei titolari. 

Deve essere garantita la sicurezza durante l’intero ciclo di vita delle informazioni: tutti i dati raccolti devono essere conservati, aggiornati e distrutti, qualora non più necessari, secondo i principi previsti dal GDPR. Nell’ambito di una struttura societaria, inoltre, è obbligatorio garantire agli azionisti che le pratiche di business, così come le tecnologie a supporto, operino secondo gli obiettivi di trasparenza e siano soggette a verifiche indipendenti. 

L’interesse dell’utente sempre al centro della PbD

All’interno di questo modello i concetti di privacy e sicurezza hanno entrambi la stessa importanza. Un approccio vincente in materia di privacy e trattamento dati personali è sicuramente quello utente-centrico: gli interessi individuali supportati da procedimenti di protezione dati e un’informativa semplice e chiara sono ingredienti essenziali per trasmettere al proprio pubblico un sentore di fiducia e sicurezza e agire nel rispetto della regolamentazione europea.

Le fasi di assessment, costruzione e mantenimento della PbD aziendale

Il principio della Privacy by Design richiede alcuni importanti passaggi per poter essere attuato efficacemente e raggiungere i risultati sperati. Le fasi principali consistono in: 

  1. valutazione PbD su sistemi, app, servizi;
  2. rilevazione GAP;
  3. copertura GAP rilevati; 
  4.  audit periodico per l’aggiornamento e il mantenimento della PbD.

Chi sono i destinatari principali della norma?

Il GDPR si rivolge a tutte le aziende che a qualunque titolo, raccolgono, gestiscono o trattano dati personali. In questo senso quindi ogni azienda è soggetta al regolamento, ma alcune  categorie devono prestare maggiore attenzione agli adempimenti, in particolare: 

In conclusione

La compliance Privacy e il rispetto delle normative europee è al centro del nostro modo di operare. Per questo motivo Synesthesia collabora con Smart Flow, società torinese che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR. 

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.