Intervista ad Alessandro Curioni sulla vicenda Facebook-Cambridge Analytica, i contenuti del Regolamento UE per la protezione dei dati (G.D.P.R.) che sarà applicato dal 25 maggio prossimo

Radio radicale venti marzo abbiamo al microfono Alessandro Corioni presidente di Vigini accadermi e esperto di sarebbero Security oggi sulle prime pagine di diversi giornali italiani si parla della caso Facebook che ha proprio che vedere con la la protezione dei dati informatici e con Alessandro Curioni parliamo del nuovo Regolamento europeo appunto per la protezione dei dati informatici ma intanto approfittando delle sue competenze
Vi chiediamo di dirci in due parole cosa è successo cosa sta succedendo con questa cosa di Facebook e con la Cambridge annalistica e quale problema dal punto di vista del vecchio perché al momento non ancora entrata in vigore quello nuovo
Regolamento europeo
Ma allora il caso Facebook embrici analitica era in un caso esemplare di quelli che possono essere i rischi legati alla perdita di controllo dei dati al loro uso illecito fondamentalmente Cambridge analitica sfruttando all'accesso tramite l'account Facebook ha iniziato a monitorare il comportamento di milioni di persone come attraverso una perché si scaricavano hanno scaricato circa duecentosettanta mila persone e che consentiva di di raccogliere una gran quantità di informazioni ma non soltanto su di loro la cosa più grave e che le raccoglieva anche su tutti i loro contatti
Da cui una sorta di trattamento illecito dei dati da un lato e per Facebook quello che tecnicamente potrebbe essere definita una violazione dei dati personali tant'è che la prima testa che è saltata in Facebook è stata proprio quella del responsabile la protezione dei dati personali
Cosa succede Mao ma e in in Italia ne abbiamo una normativa anche restrittiva in materia di protezione dei dati ma come sempre quando si verificano eventi che si svolgono sulla Grande Rete c'è un problema di giurisdizione
Chi dove come e quali sono i cittadini di quale Paese ognuno applica il suo metro dove sta Cambridge analitica né il problema in questo caso deve essere affrontato su una scala complessiva un primo tentativo di allargare l'ambito almeno territoriale quello che sta facendo l'Unione europea con l'entrata in vigore il prossimo venticinque maggio del Recon un nuovo Regolamento in materia di protezione dei dati
Partiamo da da qui dai personaggi che si occupano di queste cose e dalle competenze il regolamento tuttora in vigore prima che arrivi quello nuovo
Vedeva titolare responsabile incaricato queste tre figure cos'erano di che cosa si occupa
Profondamente avente il titolare era colui che prendeva le decisioni in materia di finalità e i e di protezione dei dati quindi era il come dire responsabile ultimo cioè il soggetto al quale io interessato davo i miei dati in cambio di servizi nell'ambito la gestione di un contratto somma nell'ambito di tutta una serie di possibili attività economiche
Il responsabile era fondamentalmente il soggetto che veniva delegato dal titolare a svolgere uno o più attività regate al trattamento mentre l'incaricato era la persona fisica che materialmente eseguiva l'operazione di trattamento
Questa triade con il nuovo Regolamento europeo e viene scomposta in qualche modo senso dell'incaricato sparisce come figura definita all'interno del Regolamento irresponsabile viene necessariamente a considerarsi un soggetto terzo Rispetto
A titolare quindi Esterno una persona giuridica Esterna
E il titolare invece mantiene questa sua prerogativa diciamo che l'unica figura che resta uguale a se stesse in materia di decisione sulle finalità sulla protezione dei dati ecco questo
Che cosa comporta per una media azienda in termini di reperimento delle risorse valutazione della competenza delle persone alle quali ti affidi
E gestione dei dati materialmente troppe allora qui ci sono molteplici aspetti allora il primo aspetto che sicuramente soprattutto per le nei termini di aziende italiane che non sono abituate al tema della sicurezza delle informazioni della protezione dei dati perché badate bene non parliamo di una norma sulla privacy
La privacy un fatto personale ognuno di noi è libero di rivelare anche dettagli più intimi della sua vita ma si parla di protezione dei dati cioè io do i miei dati a qualcuno io diritto di sapere cosa se ne fa lui deve proteggerli mi deve tenere informato
Una media azienda tipica italiana non ha questo tipo di di di idea
E di conseguenza non ha gli strumenti o le strutture quindi deve iniziare anche la media delle italiana che ha che fare con trattamenti mirati a prendere in considerazione il tema della sicurezza
Sicurezza delle tecnologie sicurezza delle informazioni fra l'altro il Regolamento europeo crea di fatto una nuova figura professionale
Il responsabile della protezione dei dati che fino a ieri non esistere adesso per alcune categorie per alcuni soggetti che effettuano particolari trattamenti per esempio tutte le pubbliche amministrazioni tutti gli operatori del mondo sanitario tutte le aziende che erano allora uno pubblici servizi
Tutte le aziende che trattano larghe masse di dati per esempio banche assicurazioni e quant'altro dovranno dotarsi di questa figura Pecchia collabora con questi tu con queste grossi conglomerato che deve fare
Allora il problema questo che ovviamente per la media azienda e anche per la piccola c'è un riverbero molto pesante
Perché perché il titolari in diciamo che sono fornitore di una banca
Rimane responsabile quindi il momento in cui affidamento trattamento di dati per una qualche ragione perché io ho un contratto di servizi con questa banca
Chiederà a me fornitore
Analoghe garanzie
E quindi garanzie in materia di sicurezza in materia di protezione dei dati le piccole-medie aziende italiane adesso sono subissati di richieste di grandi operatori di mercato che gli chiedono cosa stanno facendo in materia di sicurezza informazioni cosa stanno facendo per proteggere i dati quali sono le loro misure di sicurezza
Che sta cogliendo completamente impreparata all'azienda tra l'altro nel Regolamento sono previste nei prossimi io dico anni ma magari qualcuno uscirà anche tra qualche mese
E le certificazioni di qualità garanzia della protezione dei dati e dei codici di condotta che le categorie e le associazioni di categorie possono in qualche modo no devono sviluppare per garantire la conformità rispetto al Regolamento
E questo li uno sforzo organizzativo ma anche uno sforzo di carattere economico a fronte di quale efficacia
Allora sicuramente c'è uno sforzo organizzativo sicuramente le aziende devono investire
Diciamo che la logica dell'Unione europea in questo caso è quello di cercare di porre come dire obtorto collo sul tavolo delle aziende il tema della sicurezza dei dati e della sicurezza delle informazioni
Perché perché ci si è resi rapidamente conto nel caso di Facebook lo dimostrando ampiamente che da un lato il dà atto è un bene economico
Potremmo paragonarlo al denaro è il petrolio del nuovo millennio perché su quella base si costruiscono delle fortune e su quella base le aziende possono crescere quindi il Regolamento europeo fa un atto di bilanciamento tra quello che il diritto alla protezione dei dati e quello che l'uso del dato nel senso che la Ste al per l'articolo uno questa norma dice che non c'è nessuna regola nessuna norma può impedire la libera circolazione dei dati questo atto di bilanciamento prende atto che ormai siamo nell'economia dell'informazione
Dall'altra parte
Questo obbliga le aziende a investirci perché se io una banca una volta la banca duecento anni fa aveva spendeva i soldi in un caveau e nel caveau ci metteva entro i soldi
E qui siamo tornati praticamente abbiamo virtualizzato il cavo che noi dobbiamo avere dei sistemi informatici di sistemi di gestione i dati che siano concavo per cui io sono in grado di dimostrare che sto proteggendo quei dati che sono a tutti gli effetti un bene economico dovranno spendere le aziende si la considerate che l'Unione europea questa è solo una delle leggi che intendono rilevare il livello di sicurezza
è in corso sta facendo il suo iter la Nissan
è una direttiva europea questa volta in un Regolamento chi vuole garantire un livello minimo di sicurezza informatica a tutte le infrastrutture critiche
Arriverà nel due mila e diciannove le privacy che sarà un ampliamento del regolamento europeo sulla protezione dei dati specifico per il mondo del web Ferrero piace sta pesantemente muovendo in questa direzione
Perché perché la sicurezza è forte quanto sono nello più debole quindi se c'è un Paese che particolarmente sguarnito da quel punto di vista mette a rischio tutti gli altri Paesi
Ecco dicevi regole omogenee un minimo di sicurezza
Questo fa venire alla mente uno di quelli che alcuni giudicano un limite dell'Unione Europea il fatto che si lasci comunque spazio una sorta di gestione intergovernativa come quella politica si lasci spazio poi alla legislazione nazionale e questo che tipo di garanzie che tipo di problemi pone
Allora il problema è che il principio fondante della sussidiarietà legato all'Unione Europea
Inevitabilmente lascia spazio ai governi nazionale purtroppo in questa materia è un limite perché dico che un limite perché si potrebbero creare disparità di situazione nei diversi Stati
è vero che il Regolamento ti dice soltanto in termini più restrittivi Massimo mostrato stringe di più le maglie può diventare meno appetibile dal punto di vista economico giuridico per un'azienda rispetto a un altro sì in Italia come probabile manteniamo le sanzioni penali
E in un altro Paese meno o forse un'azienda potrebbe essere tentato andare un altro Paese dell'Unione si in un Paese europeo non stringono le maglie per esempio sul trattamento dei dati biometrici
Ma la mente consentono al datore di lavoro di inserire il dato biometrico nel match di accesso alla sede in un altro Paese nord può essere che un'azienda ritenga più utile o più interessante quel paese lì
Il problema è che si rischia di creare questo tipo di disparità
Margine di manovra ma c'è purtroppo nonostante si tratti un Regolamento ma credo che l'Unione europea da questo punto di vista ha dimostrato più volte di non essere in grado di riuscire a imporre una regola ferrea per tutti i Paesi
Parlare il catino biometrici vigente il regolamento attuale
Si parla di dati sensibili
Cosa cambia da questo punto di vista allora in realtà il regolamento europeo in qualche modo spacchettato i dati sensibili
Dati sensibili erano una serie di categorie tra cui dati relativi alla salute i dati biometrici dati genetici
Opinioni politiche opinioni sindacali convenzioni filosofico religiosi origini razziali eccetera eccetera la norma che spacchettati Comeglio spacchettati ha di fatto estratto i dati biometrici dati genetici i dati relativi alla salute
Ne ha messi in una sorta di categoria a parte perché su quella categoria ogni Stato
Può andare intervenire sul Regolamento rendendolo più restrittivo viceversa i dati relativi a opinioni politiche opinioni sindacali Formia razza e quant'altro
Restano in un generale categoria di cosiddetti dati e particolari c'è una categoria per categorie particolari di dati
Questa è stata la distinzione che hanno deciso di fare per cercare di fornire la possibilità di varie misure più restrittive su quelli che ritengono gli elementi critici anche se questo è un limite fondamentale del regolamento europeo
Cioè il Regolamento europeo si concentra molto sulla tipologia di dato il nulla sul contesto in cui il dato viene usato
Cioè c'è uno schiacciamento tra l'idea di dato e informazione che diventano di fatto sinonimi ma non è vero perché facciamo un esempio concreto
La mia casella di posta elettronica che è un banale dato personale inserita nel contesto dell'abbonamento a un giornale
Non riveste particolari rischi per i miei diritti o le mie libertà
La stessa casella di posta elettronica nel contesto della mailing list degli alcolisti anonimi
Qualora fosse divulgata capite che sulla mia libertà e sui diritti potrebbe avere un impatto decisamente più forte
Dice di prima io sono libero di comunicare pubblicamente cose che mi riguardano
E quindi da una parte c'è la questione del punto dei dati sensibili come si chiamavano prima ma dall'altra c'è anche la questione dell'essere viste determinate circostanze V rispetto determinate azioni o luoghi che si frequentano eccetera e qui il celebre la questione del del diritto all'oblio
Da questo punto di vista il regolamento è competente fatta la cosa uno comunque come siamo messi
Assolutamente sì nel senso che il diritto all'oblio è sancito formalmente dal regolamento europeo cosa che precedentemente non c'era cioè il diritto alla cancellazione stabilito per legge
Ora il problema vero è che nel momento in cui noi affidiamo i nostri dati alla Rete l'esercizio del diritto all'oblio rischia di diventare tecnicamente impossibile
Per la natura stessa della Rete per cui pensare di essere cancellati da interamente è pressoché impossibile perché il dato si replica si distribuisce si diffonde e non è soltanto un Google Google lo indicizzato ma se io mi scatta una foto e la mandò un mio amico su WhatsApp e questo ma la pubblica su internet
Magari solo fare muovere con la sua intera ma quella forzata non riuscirà mai a parlare e muovere gli potrebbe riportarla infinite volte ovunque
Quindi c'è questo problema di dispersione e per quel diritto all'oblio lì diventa estremamente difficile
Da esercitare sicuramente viene formalmente riconosciuto comun altro diritto nuovo che viene riconosciuto il diritto la portabilità dei dati cioè io
Ti ho dato i miei dati non lo so a a Google per la pagella di posta elettronica posso chiedere a Google di Grégoire voglio cambiare posta elettronica restituiscimi miei dati in un formato di uso comune che io voglio prendere la posta elettronica di Yahoo
I Google è costretto ad Armani
Oppure ancora più riesca ad osservarle dai suoi archivi esattamente a cancellare dal suo chili qualora io noi chiedo esplicitamente di conservarli oppure un uno ancora più estremo se volete sapete che ci sono i contatori intelligenti
I montatori teli intelligenti lo Smart Mitre in così detto consentirà a tutti gli operatori degli amici ed energico energia elettrica di monitorare i nostri consumi
Quindi di sapere quando accende la lavatrice quando accendiamo il televisore questo Pirlo ottimizzare
L'erogazione di energia elettrica ecco io potrei chiedere dopo due anni al mio operatore dico guarda mi tutti i dati relativi nei consumi che io voglio andare da un altro gestore a cui chiedo un preventivo
O addirittura trasferisce lì direttamente tu così mi può fare un preventivo personalizzato
Questo è un altro diritto che viene sancito dal regolamento europeo
Cioè il concetto è il dato è un bene economico
Il proprietario di quel bene economico e l'interessato
L'interessato può esercitare tutta una serie di diritti e il titolare deve non solo agevolarli consentirgli di questi diritti ma devi anche proteggere il dato in quanto bene economico perché è di mia proprietà
Abbiamo perso con questa vicenda di Facebook e di Cambridge analitica chiudiamo ancora su questo un scrisse del presidente del Parlamento europeo dice che questa vicenda di Facebook minacce il funzionamento della democrazia critici
Ma allora minacce funzionamento della democrazia perché è venuto fuori che Cambridge analitica utilizzava per pilotare i voti letto documento per fare propaganda elettorale ovviamente molto mirata molto verticale molto precise e molto puntuale
Minaccia la democrazia manco questo come altre mille cose che riguardano il fatto che il grande fratello di orwelliana memoria e qui e qui con noi
Ci stiamo imparando a convivere ed è evidente chi chi controlla questi dati domani rischia di controllare il mondo
Voglio dire io sfido qua io sfido qui io ho scritto un libro tra la privacy mi salverà la vita non la protezione dei dati perché la presi quella che viene prima e dipende da noi
Ed è fondamentale perché si in ogni leggerissimo ogni tanto le informative che sul nostro accetta accetta accetta scopriremo cosa fanno dei nostri dati e quanto margine di manovra li diamo e mettiamo tutto nelle loro mani la nostra identità digitale nelle loro mani ma ormai l'hanno sentito degli digitale talmente vicino a quella reale sono quasi indistinguibile quello che succede al di là dello schermo produce delle conseguenze al di qua dello schermo
Quindi abituiamoci questa che la realtà di oggi ma impariamo ad essere consapevoli che noi siamo
Quindi possiamo concludere così siccome siamo noi i responsabili della nostra vita
Chi governa non noi ma i problemi sociali del vivere comune dovrebbe essere attento
A fornirci le possibilità per crescere al meglio per quanto siamo capaci di fare
E appunto poi per difenderci
è un problema culturale
Noi non siamo acculturati in materia e tutto sommato siamo anche disposti a barattare per un servizio
Un pezzo la nostra vita
Perché non abbiamo ancora la percezione vera mamma è proprio un problema col per quello di culturale perché non c'è la percezione di cosa succede al di là dello schermo è per noi remoto per noi gli eccessi Trane o non abbiamo quella sensibilità culturale non non solo non sappiamo come funzione neanche ci interessa ma vediamo solo superficie perché perché culturalmente l'idea di approfondire qualcosa l'idea di verificare qualcosa l'idea di controllare qualcosa in questi ultimi vent'anni sta scomparendo se no perché ci sarebbero effects
Basterebbe controllare nei controlli umane contro le due controlli tre e dice a veri la prima era una filius
Ma non interessa in realtà noi culturalmente ci stiamo deprimendo
E un paese popolo culturalmente depresso difficilmente può affrontare una sfida come quella rappresentata internet dalla rete
Questo è quanto la storia è una severa maestra
E e noi di solito la sua lezione la impariamo ma dopo e adesso è tardi
Grazie grazie ad Alessandro Curioni presidente DG accanto