, , , , , , , , ,

LA SANZIONE DELL’AGCM A TIKTOK PER IL CASO FRENCH SCAR. ACCOUNTABILITY E GESTIONE DEI CONTENUTI PERICOLOSI.

Di Giacomo Conti

Con provvedimento in data 05 marzo 2024, l’Autorità Garante della Concorrenza e del Mercato ha comminato a TikTok Information Technologies UK Limited una sanzione amministrativa pecuniaria di 10.000.000 € (diecimilioni di euro) per inadeguata vigilanza sui contenuti pubblicati dagli utenti.

La decisione dell’autorità si pone nel solco di un filone interpretativo che mira a responsabilizzare le piattaforme per la gestione dei contenuti e che individua una vera e propria responsabilità per mancata gestione del rischio laddove i contenuti condivisi all’interno del servizio possano porre dei rischi per i diritti degli utenti. Merita menzione sul punto il precedente caso AGCM contro TripAdvisor dove la piattaforma di recensioni era stata sanzionata per Mezzo Milione di Euro per non avere vigilato sulle false recensioni all’interno della piattaforma la cui presenza avrebbe provocato danni ad albergatori e ristoratori (https://www.agcm.it/media/comunicati-stampa/2014/12/alias-7365 ).

Nel caso in esame, l’autorità di vigilanza ha rilevato all’interno della piattaforma TikTok, da un lato, la presenza di contenuti suscettibili di minacciare la sicurezza psico-fisica degli utenti, quali quelli relativi alla challenge c.d. “cicatrice francese” (“french scar”); e, dall’altro, l’inadeguatezza delle azioni realizzate dal social per evitarne la diffusione. In particolare, è stato accertato che questi contenuti pericolosi venivano addirittura proposti reiteratamente agli utenti attraverso ‘sistemi di raccomandazione’ suscettibili di condizionare le scelte dei consumatori, nella specie di quelli vulnerabili.

In particolare, i contenuti vengono proposti sulla base di un sistema di profilazione algoritmica che individua e seleziona contenuti personalizzati in base a una combinazione di fattori volti a cogliere le preferenze e gli interessi del singolo attraverso le interazioni con gli altri utenti dove vengono inseriti like, quali video sono condivisi, commenti inseriti, tempo speso a vedere un vide,;  le caratteristiche del video come didascalie, hashtag, suoni, paese; nonché le informazioni sull’utente come le impostazioni del dispositivo, dell’account o la lingua selezionata. Inoltre, è integrato un sistema di consultazione basato sui feed “Seguiti”, dove sono rinvenibili i video pubblicati dagli utenti di cui l’utente è diventato “follower”.

L’AGCM ha, peraltro, messo bene in evidenza come il sistema di ricerca attiva dei contenuti operi solo in via residuale a maggiore evidenza di come gli utenti siano esposti ai contenuti proposti dalla piattaforma. In particolare, le risultanze istruttorie hanno dimostrato che adolescenti vulnerabili sono esposti con una frequenza maggiore a contenuti pregiudizievoli a causa del sistema di raccomandazione di TikTok in ragione della profilazione operata dalla piattaforma.

Inoltre, l’Authority ha messo in luce come l’aumento dell’attività degli utenti sulla piattaforma amplifica la redditività degli spazi pubblicitari perché il maggior utilizzo di TikTok fornisce al sistema di raccomandazione algoritmico più informazioni sulle preferenze degli utenti. Questo a maggiore dimostrazione dell’interesse della piattaforma a proporre contenuti potenzialmente perché di potenziale interesse dell’utente pure se dannosi per la salute fisica e mentale di questi.

Anche in questo caso, come accaduto in precedenza con la sanzione a TripAdvisor (v. https://www.agcm.it/media/comunicati-stampa/2014/12/alias-7365 ), l’AGCM ha ribadito l’esistenza di un vero e proprio obbligo per la piattaforma di gestire questi contenuti.

Dagli accertamenti, inoltre, è stata dimostrata l’inadeguatezza dei sistemi di moderazione dei contenuti, automatizzati e gestiti dalle risorse umane di TikTok posto che è emerso che la maggior parte dei video rimossi da TikTok riguarda le categorie che le Parti hanno definito “sicurezza dei minori”, “contenuti violenti espliciti”, “nudità e attività illegali”, mentre solo il 5% delle rimozioni ha riguardato “atti e sfide pericolose”. Nonostante l’attività umana di moderazione sia particolarmente rilevante per contenuti la cui inadeguatezza risulta meno immediata, dagli atti risulta che i componenti del “Team di moderatori” sono selezionati secondo requisiti generici come l’“attenzione alle problematiche sociale”, la familiarità con le leggi e normative relative a internet e la capacità di lavorare su turni diversi. Inoltre, è stato documentato che i moderatori vengono formati tramite corsi interni sull’applicazione delle Linee Guida che, per quanto in atti, appaiono incentrati più sui contenuti violenti, illegali, o a contenuto sessuale che non su challenge e atti pericolosi per i minori

Nella propria valutazione, pertanto, l’autorità ha ritenuto che la piattaforma avesse violato gli obblighi di diligente applicazione delle proprie Linee Guida comunicate agli utenti, condizionato indebitamente degli utenti attraverso la riproposizione di contenuti che sfruttano la vulnerabilità di alcuni gruppi di consumatori; predisposto inadeguate misure di controllo e vigilanza adottate da TikTok sui contenuti pubblicati dagli utenti, con particolare riferimento alla tutela dei soggetti minori e vulnerabili e, da ultimo, diffuso contenuti in grado di minacciare la sicurezza psico-fisica di bambini ed adolescenti.

Per queste ragioni è stata, pertanto, emessa una sanzione per pratica commerciale scorretta ai sensi degli articoli 20, comma 2 e 3, 21, comma 2 lettera b), 21, comma 4, 25, comma 1, lettera c) del Codice del consumo in quanto contraria alla diligenza professionale e idonea riconoscendo una vera e propria responsabilità per inadeguata vigilanza sui contenuti pubblicati dagli utenti.

 

 

Per maggiori informazioni si rinvia al testo integrale del provvedimento reperibile in https://www.agcm.it/media/comunicati-stampa/2024/3/PS12543-

/da
, , , , , , , ,

Ruoli GDPR, Whistleblowing e gestione del canale di segnalazione. Perché l’art. 13 del Decreto Whistleblowing non convince?

Di Giacomo Conti

 

Secondo l’art. 13 comma 4 del Decreto Whistleblowing, i trattamenti di dati personali relativi al ricevimento e alla gestione delle segnalazioni sono effettuati dai soggetti di gestori dei canali di segnalazione, che sono da considerarsi, a rigor di norma, titolari del trattamento.

Se così fosse, sarebbero questi soggetti sono tenuti ad adottare le misure di organizzazione e sicurezza appropriate a tutela dei diritti e delle libertà degli interessati, mentre per eventuali violazioni della normativa o per data breach. Il tutto mentre, l’organizzazione che non ha implementato il canale o non ha adottato adeguate misure di sicurezza non dovrebbe rispondere per violazioni o data breach non essendo titolare del trattamento.

A livello sistematico appare evidente come questa norma non sia compatibile con quanto stabilito dal GDPR secondo cui i ruoli nell’ambito delle attività di trattamento di dati personali sono dettati dal principio di finalità del trattamento in ragione del quale il titolare è colui che determina le finalità del trattamento e ne individua la base giuridica.

Pertanto, secondo l’art. 4 numero 7 del GDPR, deve intendersi come titolare del trattamento la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. Quindi, l’organizzazione che ha predisposto il canale di segnalazione.

Seppure il GDPR stabilisca che quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri, la scrittura della norma appare non conforme con i principi generali in materia di protezione dei dati.

È, infatti, evidente come nel caso in cui la gestione dei canali di segnalazione si affidata a un ufficio interno all’ente le persone incaricate della gestione del canale di segnalazione saranno necessariamente autorizzate ai sensi dell’art. 29 GDPR. Peraltro, in ragione del principio di substance over form nella definizione dei ruoli GDPR non dovrebbe rilevare se questi soggetti sono professionisti autonomi o dipendenti dell’ente.

Il fatto che questi soggetti siano persone autorizzate e non titolari di trattamento è messo in evidenza dall’articolo 4 comma 2 del Decreto Whistleblowing secondo cui la gestione del canale di segnalazione è affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione. Questo comma è in evidente contraddizione e distonia con l’art. 13 della norma.

Il Decreto Whistleblowing contempla anche il caso in cui la gestione del canale sia affidata a un soggetto esterno e, come nel caso precedente, il personale preposto alla gestione della segnalazione che in questo caso è del gestore del canale esterno deve essere specificamente formato. In questo caso, l’ente esterno incaricato della gestione del canale potrebbe essere un data processor ai sensi dell’art. 28 GDPR e le persone che trattano i dati personali nell’ambito delle segnalazioni, ugualmente, dovrebbero ritenersi soggetti autorizzati che operano sotto l’autorità non del controller, ma del processor.

Seppure la normativa sia ancora troppo recente per avere prodotto giurisprudenza sul punto, si può attingere, almeno per analogia, ad alcuni precedenti del Garante che si è espresso in tema di ruolo GDPR dell’Organismo di Vigilanza.

In alcune ipotesi, infatti, il gestore del canale di segnalazione potrebbe anche essere un membro dell’organismo di vigilanza e il Garante si è già espresso sul punto con il “Parere sulla qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza previsti dall’art. 6, d.lgs. 8 giugno 2001, n. 231” in data 21 maggio 2020 reperibile in: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9347842

Il Garante ha ritenuto che l’OdV, nel suo complesso e a prescindere dalla circostanza che i membri che lo compongano siano interni o esterni, debba essere considerato come parte integrante dell’ente. Per l’effetto, i singoli membri dell’OdV debbano considerarsi come soggetti autorizzati ai sensi dell’artt. 4, n. 10, 29, 32 par. 4 Regolamento e dell’art. 2-quaterdecies del Codice della Privacy.

La designazione dei membri dell’OdV, al pari dell’istituzione dell’ufficio preposto alla gestione del canale di segnalazione è, infatti, un atto di organizzazione e non negoziale e, pertanto, appare corretto qualificare questi soggetti come autorizzati (art. 29 GDPR) e non come responsabili di trattamento piuttosto che titolari (art. 28 GDPR).

Ne consegue che, anche nel caso di una violazione di dati derivante nell’ambito della gestione del canale di segnalazione affidata a un soggetto esterno, dovrà rispondere necessariamente l’ente. In quest’ultimo caso, per culpa in eligendo in ragione di una scelta di un soggetto non adeguato.

L’impostazione normativa, all’apparenza, sembra deresponsabilizzare le organizzazioni che, per legge sono tenute ad adottare il sistema di whistleblowing e, pertanto, è opportuno e necessario adottare un’interpretazione correttiva conforme al GDPR che vorrebbe che l’organizzazione fosse titolare di trattamento. Il tutto anche per assicurare un adeguato livello di protezione dei dati personali che il Decreto WhistleBlowing richiede essendo la protezione dei dati personali del segnalante uno dei principi cardini assieme alle misure di protezione della sua persona.

 

/da
, , , , , , , , , , , , , ,

I rapporti tra piattaforma e influencer nella creator economy.

BREVE DESCRIZIONE DEL CONVEGNO

Convegno di studi avente ad oggetto: “L’informatica e il diritto dei contratti: Blockchain e Smart Contracts”

Data: Martedì 21 giugno 2023 – ore 14.30 – 18.30

Luogo del convegno: Sala Crociera di Giurisprudenza presso Università degli Studi di Milano in Via Festa del Perdono n. 7

RELATORI E INTERVENTI

15.00 – Introducono e coordinano
Prof. Lucio Camaldo – Presidente Algiusmi – Università degli Studi di Milano
Dott. Stefano Gazzella – Coordinatore Comitato scientifico AssoInfluencer
15.30 – Professione Influencer
Arianna Chieli, Creator Digitale e Content Strategist
16.00 – Il diritto dell’influencer: work in progress?
Prof. Pierluigi Perri, Docente di Informatica giuridica, Università degli Studi di Milano
16.30 – La tutela legale dei contenuti digitali
Prof.ssa Silvia Giudici, Docente di Diritto industriale, Università degli Studi di Milano
17.00 – Profili giuslavoristici dei creator
Avv. Paolo Iervolino, Vicecoordinatore Comitato scientifico AssoInfluencer, Assegnista di ricerca presso l’Università di Palermo
17.30 – Le nuove professioni digitali e non ordinistiche
Avv. Massimo Burghignoli, Past President Algiusmi
18.00 – I rapporti tra Piattaforma e Creator
Avv. Giacomo Conti, Socio Algiusmi e Patreon AssoInfluencer
18.30 – Interventi e dibattito

17.30 – Interventi programmati e dibattito

18.30 – Chiusura dell’incontro

BREVE DESCRIZIONE DELL’INTERVENTO DELL’AVV. GIACOMO CONTI

Il convengo si propone di esaminare i rapporti economici e giuridici nell’ambito dell’ecosistema delle piattaforme digitali.
Dopo avere fatto luce su cosa si intenda per Influencer e messo in luce i profili di professionalità dei creatori di contenuti, si affronteranno i profili relativi alla tutela dei contenuti digitali e giuslavoristici.

Per meglio comprendere la portata di questa nuova figura professionale, verranno esaminati i profili relativi alle nuove professioni digitali e non ordinistiche nonché i rapporti Platform2Business, con particolare riguardo ai rapporti fra creatore di contenuti e piattaforma.

L’intervento dell’avvocato Conti pone dapprima il focus sull’ecosistema di rapporti giuridici che le piattaforme digitali creano per mettere al centro la figura del creatore dei contenuti e dell’influencer, analizzando i rapporti fra queste importanti figure centrali nell’ambito dell’economia del web 2.0.
Successivamente, dopo averne analizzato i tratti distintivi della figura dell’influencer, si analizza come l’influencer sia al centro di una serie complessi di rapporti, ad esempio con la propria fanbase, con i propri sponsor ma anche con la piattaforma online.
Nonostante la centralità di questa figura, l’influencer può essere oggetto di comportamenti di abuso da parte delle grandi piattaforme digitali che, attraverso i propri poteri, possono penalizzarne fortemente l’attività, ad esempio demonitizzandone o rimuovendone i contenuti o bloccandone il canale. Ma anche con comportamenti più subdoli, come collocarlo ingiustificatamente in fondo ai risultati di ricerca facendogli perdere importanti visualizzazioni e, per l’effetto, occasioni di crescita e sviluppo professionale.
Pertanto, vengono analizzati i profili di tutela che l’ordinamento civilistico offre a questa figura partendo dai rimedi in house alla piattaforma per poi approfondire i profili di tutela giudiziale.

Il convegno nasce da una sinergia fra Algiusmi, Associazione dei Laureati di Giurisprudenza dell’Università di Milano, ed AssoInfluencer, associazione rappresentativa dei creatori di contenuti a livello nazionale

Scarica la locandina del convegno cliccando alla seguente risorsa: SAlgiusmi_AssoInfluencer 21-06-2023

Scarica le slide dell’intervento dell’Avv. Giacomo Conti: Rapporti Piattaforma2Influencer Conti

Per maggiori approfondimenti sul tema:

https://www.maggiolieditore.it/lineamenti-di-diritto-delle-piattaforme-digitali-volume-1.html

https://www.maggiolieditore.it/lineamenti-di-diritto-delle-piattaforme-digitali-volume-2.html

/da
, , , , , , , ,

PRIVACY E GESTIONE DEL RISCHIO FRODI DA PARTE DI BANCHE E ISTITTUTI DI CREDITO FRA GDPR E PSD2

La sentenza 322/2023 del Tribunale di Milano rappresenta una pietra miliare in tema di responsabilità degli istituti di credito in materia di responsabilità da trattamento illecito di dati personali e per mancata prevenzione del rischio frodi e perdite finanziarie.

Le materie, infatti, presentano importanti punti di contatto e interferenza in quanto il considerando 75 al GDPR prevede espressamente le perdite finanziarie come uno dei rischi tipici derivanti da una violazione del GDPR.

La direttiva PSD2 impone a banche e istituti di credito stabilisce di adottare specifiche misure di protezione e sicurezza dei correntisti la cui efficace e corretta applicazione deve essere dimostrata secondo quanto richiede il principio di accountability.

La Corte Meneghina, nel caso in esame, ha tracciato un chiaro quadro giuridico in tema di responsabilità derivante da mancata gestione del rischio derivante dal trattamento di dati personali intervenendo chiaramente sui criteri di ripartizione dell’onere della prova.

Il Tribunale, applicando correttamente il principio di accountability, ha stabilito che grava in capo a questi l’onere di dimostrare di avere adottato adeguate misure di protezione della clientela per prevenire il rischio frodi e perdite finanziarie.

La pronuncia in esame dà atto di come la giurisprudenza di legittimità abbia già precedentemente inquadrato la responsabilità dell’istituto di credito nell’ambito della responsabilità per l’esercizio di attività pericolose. La Corte ha richiamato i precedenti in tema di disposizioni non autorizzate dal cliente su conto corrente mediante accesso abusivo a sistema di internet banking e conseguenti riflessi applicativi nell’ambito della responsabilità per trattamento dei dati personali (cfr. Cassazione, sez. I, 23 maggio 2016 n. 10638).

Secondo l’art. 15 del d.lgs. 196/2003 (Codice Privacy), citato dal Tribunale: “chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’articolo 2050 del codice civile”, l’istituto di credito deve fornire la prova liberatoria dalla propria responsabilità dimostrando di aver adottato tutte le misure idonee ad evitare il danno. Da valutarsi secondo le conoscenze acquisite in base al progresso tecnico, alla natura dei dati, alle caratteristiche specifiche del trattamento, mediante adozione di misure idonee e preventive per impedire l’accesso o il trattamento non autorizzato ai sensi dell’art. 31 e 36 del d.lgs. 196/2003.

Applicando in combinato disposto l’art 2050 c.c. e l’art. 15 del codice della privacy, l’istituto che svolge un’attività di tipo finanziario o in generale creditizio (…) risponde, quale titolare del trattamento di dati personali, dei danni conseguenti al fatto di non aver impedito a terzi di introdursi illecitamente nel sistema telematico del cliente mediante la captazione dei suoi codici di accesso e le conseguenti illegittime disposizioni di bonifico. La responsabilità è esclusa solo se il titolare prova che l’evento dannoso non gli è imputabile perché discendente da trascuratezza, errore (o frode) dell’interessato o da forza maggiore.

La Cassazione ha, quindi, rilevato che ad analoga conclusione si perviene applicando le disposizioni del d.lgs. 11/2010 di attuazione della direttiva 2007/64/CE, relativa ai servizi di pagamento nel mercato interno. L’art. 10 del d.lgs. 11/2010 pone in capo al prestatore dei servizi di pagamento l’onere di dimostrare, in caso di disconoscimento di una operazione l’onere di dimostrare che l’operazione non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione ovvero altri inconvenienti connessi al servizio in caso di disposizione di ordini di pagamento in caso di disconoscimento dell’operazione da parte del cliente.

Richiamando la Cassazione, il Tribunale di Milano argomenta che “in punto di ripartizione delle responsabilità derivanti dall’utilizzazione del servizio, il citato D.Lgs., artt. 10 e 11, prevede che, qualora l’utente neghi di aver autorizzato un’operazione di pagamento già effettuata, l’onere di provare la genuinità della transazione ricade essenzialmente sul prestatore del servizio. E nel contempo obbliga quest’ultimo a rifondere con sostanziale immediatezza il correntista in caso di operazione disconosciuta, tranne ove vi sia un motivato sospetto di frode, e salva naturalmente la possibilità per il prestatore di servizi di pagamento di dimostrare anche in un momento successivo che l’operazione di pagamento era stata autorizzata, con consequenziale diritto di chiedere e ottenere, in tal caso, dall’utilizzatore, la restituzione dell’importo rimborsato”.

Per l’effetto, il Tribunale ha ritenuto che tale onere non può venire assolto senza la dimostrazione dell’adozione di specifiche cautele antiphishing “idonee ad evitare l’acquisizione fraudolenta delle chiavi di accesso al sistema da parte di terzi” (così Cass., Sez. I, 29.12.2017 n. 31199).

L’istituto di credito convenuto, nel caso in esame, non ha dimostrato e nemmeno specificamente allegato, secondo il Tribunale, quali cautele avrebbe adottato sia in generale per contrastare il fenomeno del phishing sia nello specifico per evitare il prodursi del danno patito dagli attori, con riguardo a ciascuno dei tre bonifici istantanei eseguiti senza l’autorizzazione degli attori.

Il Tribunale non ha, pertanto, ritenuto assolto l’onere della prova gravante sull’istituto di credito ai sensi dell’art. 1218 c.c. e la conseguente non imputabilità del danno.

Secondo la Corte meneghina, gli istituti di credito devono adottare in relazione a tali operazioni delle cautele e verifiche ulteriori rispetto a quelle predisposte per i bonifici standard, cautele e verifiche che devono essere preliminari all’esecuzione della disposizione, per evitare che la disposizione impartita da terzi non autorizzati provochi effetti irreversibili sul patrimonio del pagatore, cautele che, nel caso di specie la convenuta ha completamente pretermesso, non avendo compiuto alcuna specifica attività in tal senso.

Importantissimo è il principio affermato dalla Corte Territoriale secondo cui l’automatizzazione dei controlli bancari consentita dal progresso scientifico e tecnologico non può comportare una regressione del livello di tutela che deve essere garantito al singolo risparmiatore.

Tale soluzione, imposta dalla disciplina di cui agli artt. 10 ss. del d.lgs. 11/2010, appare del tutto coerente anche dal un punto di vista dell’analisi economica del diritto privato. Pertanto laddove gli istituti di credito omettano di adottare sistemi di controllo per evitare il perpetrarsi di frodi ai danni dei propri clienti dovranno risarcire il danno subito dai propri clienti derivante da questo inadempimento.

Infine, il Tribunale di Milano ha argomentato come l’istituto di credito convenuto non ha nemmeno documentato o altrimenti provato di essersi effettivamente attivata per ottenere dal prestatore del servizio di pagamento del beneficiario dell’operazione, il consenso alla revoca dell’operazione ai sensi dell’art. 17.5 d.lgs. 28/2010, e risulta, anzi, dimostrato dall’attrice che solo la denuncia all’autorità di polizia giudiziaria abbia consentito di recuperare, benché parzialmente, le somme oggetto delle disposizioni disconosciute.

 

In allegato, per maggiori approfondimenti, il testo integrale del provvedimento Sentenza n. 322-2023 BLIND

/da
, , , , , , , ,

Contratto tipo di contitolarità dell’Autorità di controllo per la protezione dei dati personali del Baden-Württemberg, Germania

In allegato il Contratto tipo contitolartà 26 GDPR Baden Wuttermberg  Modello contrattuale ai sensi dell’art. 26 GDPR fra contitolari del trattamento elaborato dall’Autorità di controllo per la protezione dei dati personali del Baden-Württemberg, Germania.

 

Traduzione a cura di Christopher SCHMIDT, CIPP/E CIPM CIPT CBSA con il contributo di Giacomo Conti

 

Il testo in lingua originale è reperibile al seguente link: https://www.baden-wuerttemberg.datenschutz.de/mehr-licht-gemeinsame-verantwortlichkeit-sinnvoll-gestalten/.Non 

 

/da
, , , , , , , , , , ,

QUANTO COSTANO REALMENTE I SERVIZI ONLINE? L’APPARENTE GRATUITÀ DEI SERVIZI ONLINE DEL WEB 2.0 FRA PRIVACY. I PROFILI DI INTERFERENZA FRA GDPR E CODICE DEL CONSUMO. IL CASO APPLE E GOOGLE

di Giacomo Conti

Nell’era del Web 2.0 è più che mai attuale la massima secondo la quale: “Se non paghi un prodotto, allora il prodotto sei tu”.

Tutti noi utilizziamo i servizi della società dell’informazione quali, ad esempio, Google, Facebook, Amazon, Netflix. Giganti tecnologici come Apple sviluppano, inoltre, le proprie piattaforme commerciali App Store, iTunes Store e Apple Books.

Mentre alcuni servizi prevedono un sistema di fruizione attraverso il pagamento di un canone, altri servizi operano in maniera più subdola e, dietro un’apparente gratuità, chiedono in realtà come corrispettivo i nostri dati personali che vengono forniti da consumatori, molto spesso, inconsapevoli.

I dati dei consumatori vengono, infatti, monetizzati e ceduti a terzi oppure utilizzati direttamente dal fornitore del servizio attraverso un’attività promozionale per aumentare la vendita dei propri prodotti e/o di quelli di terzi. Questo, a prescindere dal fatto che si paghi o meno per il servizio.

Dopo avere tracciato un quadro generale sulla complessa relazione fra piattaforme online, consumatori (Platform2Consumer) e utenti commerciali (Platoform2Business) e dopo avere il modello economico di queste piattaforme, l’intervento ha lo scopo di mettere in relazione i profili di interferenza fra protezione fra il diritto alla protezione del dato la protezione del consumatore.

Nella seconda parte verranno poi approfondite i procedimenti dell’Autorità Garante della Concorrenza e del Mercato nei confronti di Google Ireland Ltd. e di Apple Distribution International Ltd dove entrambe le piattaforme sono state sanzionate per 10 milioni di euro ossia per il massimo edittale secondo la normativa vigente.  L’Antitrust ha, infatti, accertato per ogni società due violazioni del Codice del Consumo, una per carenze informative e un’altra per pratiche aggressive legate all’acquisizione e all’utilizzo dei dati dei consumatori a fini commerciali.

 

 

 

Per il testo integrale dei provvedimenti dell’AGCM:  v. https://www.agcm.it/media/comunicati-stampa/2021/11/PS11147-PS11150Platform2bus

 

In allegato le slide dell’intervento al convegno e-privacy XXXI – ««Privacy tra attivismo e scienza» – prima giornata – pomeriggio

220929 SLIDE CONTI EPRIVACY

/da
, , , , , , , , , , , , ,

Lo smart contract fra realtà e falsi miti: un contratto né smart né contract. Passato, presente e futuro dei contratti intelligenti

BREVE DESCRIZIONE DEL CONVEGNO

Convegno di studi avente ad oggetto: “L’informatica e il diritto dei contratti: Blockchain e Smart Contracts”

Data: Martedì 31 maggio 2022 – ore 14.30 – 18.30

Luogo del convegno: Sala Crociera di Giurisprudenza presso Università degli Studi di Milano in Via Festa del Perdono n. 7

RELATORI E INTERVENTI

14.30 – Registrazione dei partecipanti

15.00 – Saluti introduttivi

Prof. Lucio Camaldo – Presidente Algiusmi – Università degli Studi di Milano

Coordina: Avv. Massimo Burghignoli – Past President Algiusmi

15.30 – Blockchain e smart contracts: caratteristiche e possibili ambiti di applicazione

Prof. Francesco Delfini (Ordinario di diritto civile – Università degli Studi di Milano)

16.00 – Le nuove frontiere dell’informatica giuridica in ambito contrattuale

Prof. Giovanni Ziccardi (Associato di informatica giuridica – Università degli Studi di Milano)

16.30 – La regolamentazione sovranazionale

Dott.ssa Benedetta Cappiello (Ricercatrice di diritto internazionale – Università degli Studi di Milano)

17.00 – Lo smart contract fra realtà e falsi miti: un contratto né smart né contract. Passato, presente e futuro dei contratti intelligenti

Avv. Giacomo Conti (Avvocato del Foro di Milano – Socio Algisumi)

17.30 – Interventi programmati e dibattito

18.30 – Chiusura dell’incontro

BREVE DESCRIZIONE DELL’INTERVENTO DELL’AVV. GIACOMO CONTI

L’intervento al convegno presso l’Università Statale di Milano organizzato dall’Associazione Algiusmi, è strutturato in una parte di introduttiva dove, per brevissimi cenni, si  affronta l’evoluzione storica e sociologica del contratto dalla prima rivoluzione agricola fino all’era dell’informazione. Verrà messo in luce il rapporto fra uomo e tecnologia nella società contemporanea evidenziando come l’evoluzione tecnologica arrivi a mutare e riformare le modalità attraverso le quali la volontà delle parti si esprime e si esegue nell’ambito di un vincolo giuridico.

Nella seconda parte si approfondirà lo stato dell’arte, natura e applicazioni dello smart contract, mettendo in luce come lo stesso non sia né smart né contract, bensì un programma informatico finalizzato ad eseguire una volontà “programmata” delle parti.

Successivamente, l’intervento toccherà falsi miti che riguardano gli smart contract, e si analizzeranno i profili tecnici di programmazione del codice-contratto con l’analisi di esempi concreti di linee di codice. Successivamente si affronteranno le fondamenta della tecnologia blockchain alla base degli smart contract moderni, con particolare riguardo dell’attività di criptazione della registrazione su blockchain delle informazioni.

Dopo avere fatto il punto sullo stato normativo della materia, verranno analizzati gli scenari di evoluzione della materia con un’ottica esplorativa/speculativa, mettendo in luce le criticità e i profili di sicurezza della blockchain e il futuro ruolo del giurista alla nell’era dei contratti intelligenti e gli impatti dell’intelligenza artificiale sugli smart contract.

 

Scarica la locandina del convegno cliccando alla seguente risorsa: SMART CONTRAT CONVEGNO STAMPA

 

 

Scarica le slide dell’intervento dell’Avv. Giacomo Conti: Slide Smart contract

/da
, , , , , , , ,

Disaster recovery & business continuity

di Jacopo Sabbadini

 

Solo negli ultimi due mesi vi sono stati diversi attacchi alle aziende italiane. SIAE, Regione Lazio, San Carlo, solo per citarne alcuni.

Recente è lo studio di Trend Micro che dimostra come l’Italia sia, ad oggi, il terzo paese più colpito da malware, al mondo, secondo solo a Stati Uniti e Giappone.

 

Per queste ragioni diventa imperativo adoperarsi, non importa quanto grande sia la propria azienda, per avere delle efficaci politiche di disaster recovery e business continuity.

Partiamo da una rapida definzione:

  • Per disaster recovery si intende la possibilità di riprendersi in maniera efficace da un evento atto a distruggere o compromettere gravemente la propria infrastruttura.
  • Per business continuity si intendono quella serie di procedure atte a mantenere attiva la propria infrastruttura durante un evento atto a compromettere l’infrastruttura.

Pietra angolare di ogni procedura di disaster recovery è una corretta politica di backup; questa deve essere pensata per essere automatica e sicura, in modo tale da evitare da un lato la perdita potenziale di dati, dall’altro il backup della minaccia stessa.
Per questa ragione si consiglia sempre di eseguire backup asincroni, in ridondanza su più unità, e solo dei file effettivamente importanti, mai dell’intero sistema; questo proprio per evitare di portarsi dietro, con il backup, anche un potenziale malware, rendendo quindi inutile la procedura stessa.

In aggiunta, i sistemi su cui vengono eseguiti i backup dovrebbero trovarsi su una rete particolare, non raggiungibile dalle altre, se non nel momento della copia dei dati o, in alternativa, completamente scollegati dalla rete.

Per quanto riguarda le procedure di business continuity  invece, il concetto principale è la ridondanza. Vanno previsti più sistemi, ridondanti tra di loro, in modo tale che se uno di questi sistemi dovesse trovarsi sotto attacco, esso possa essere velocemente scollegato e rimpiazzato da un altro; in questo modo si può garantire la continuità dei servizi, anche durante un incidente.

 

Essenziale è anche testare le sopracitate procedure. Un po’ come per le procedure antincendio, se le procedure di backup, disaster recovery e business continuity non vengono mai testate, non importa quanto queste possano essere sicure ed efficaci sulla carta, non può esserci garanzia di reale efficacia e funzionalità.
Una buona prassi è quella di simulare quindi, periodicamente, questi scenari, in modo tale che tutti i membri dell’azienda, grande o piccola che essa sia, siano a conoscenza dei propri ruoli, e possano agire in maniera efficace quando sarà necessario.

/da
, , , , , , , , ,

GDPR for dummies. Il modello organizzativo minimo per una PMI – Paperless compliance for free… almost.

Nonostante la protezione del dato e la cultura della sicurezza delle informazioni abbiano compiuto dei significativi passi in avanti negli ultimi anni, ancora oggi, molte piccole-medie imprese trovano difficoltà nell’implementare modelli di gestione della privacy anche basilari.

Molti continuano, ingiustamente, ad avere paura delle sanzioni previste dal Regolamento Europeo con l’effetto di produrre inutile carta senza aumentare il livello di consapevolezza, accountability e sicurezza. Da qui si producono inutili consensi controfirmati, lettere di incarico senza formare le risorse e burocratizzazione inutile di processi che potrebbero essere lineari, semplici e paperless.

Non penso sia un caso, dunque, che la protezione del dato continui erroneamente ad essere abbinata a burocrazia inutile quando essa potrebbe essere agevolmente gestita con pochi essenziali adempimenti.

Non me ne voglia chi ci ha prosperato con la paura delle salatissime multe e prodotto carta inutile; ma molte volte, per raggiungere un grado sufficiente di compliance, è sufficiente dotarsi di pochi piccoli accorgimenti ed effettuare pochi piccoli investimenti mirati, principalmente in misure di sicurezza e formazione delle risorse umane.

Sperando di ripetere l’ovvio, ribadisco che la “paperless compliance for free… almost” non può trovare applicazione, ad esempio, per realtà molto particolari che effettuano trattamenti ad alto rischio, anche se poco strutturate così come per realtà che trattano dati su larga scala o presentano rischi maggiori rispetto alla media.

Per affrontare il discorso relativo alla paperless compliance, è necessario tenere presente che il GDPR va letto partendo dall’articolo 1 per poi scorrere verso gli articoli finali abbinando, se possibile, la lettura dei considerando alla norma.

È oramai opinione consolidata fra gli esperti che il GDPR chiede di affrontare con un approccio organico tutti i processi aziendali dove vengono coinvolti dati personali.

Ogni processo deve, dunque, essere originariamente configurato per garantire il rispetto principi generali previsti dall’art. 5: liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza e responsabilizzazione (o accountability per gli anglofili).  Non ci dilungheremo in questa sede su questi principi, limitandoci a citarli.

In secondo luogo, bisogna vedere se ricorre una o più delle basi di legittimità previste dal susseguente art. 6, fra cui è presente anche il consenso dell’interessato che però, è bene richiedere solo ove strettamente necessario (v. https://avvgiacomoconti.com/un-consenso-per-uno-e-uno-per-tutti-una-corretta-applicazione-del-principio-di-irresponsabilizzazione/ ).

Se l’organizzazione sa perché tratta il dato e partendo da quali basi, ad esempio un contratto o una norma di legge o un legittimo interesse, potrà approfondire la conformità del processo al GDPR, ma potrà con una certa ragionevolezza essere sicura che il processo è, in linea di massima, lecito.

Sorvolando sugli articoli seguenti ci troviamo all’art. 24 che menziona espressamente i rischi per i diritti e per le libertà degli interessati che sono indicati per sommi capi nel testo dell’articolo. La norma, senza richiedere nulla di trascendentale chiede semplicemente di tenere conto dei trattamenti che vengono operati all’interno dell’organizzazione e di adottare misure organizzative e di sicurezza adeguate e parametrate al rischio.

Senza pretesa di esaustività, basti pensare al fatto che il trattamento di dati personali apre una finestra sulla vita dell’interessato e a seconda del “peso specifico” del dato personale sarò in grado di conoscere certi aspetti della vita di una persona che sarà, conseguentemente, vulnerabile. Per questa ragione il GDPR distingue i dati in comuni (che permettono di identificare o prendere contatto con l’interessato) e particolari (che invece rilevano aspetti particolarmente delicati della vita privata altrui).  È bene abbinare la lettura dell’art. 24 agli artt. 9 e 10 del GDPR per meglio comprendere il concetto di “rischi per i diritti e per le libertà”.

Semplificando al massimo questo processo che è piuttosto complesso, è essenziale che ogni organizzazione sappia almeno in linea di massima quali dati tratta, per quale motivo e che effetto una violazione alla loro riservatezza, integrità e disponibilità può avere sulla vita personale del lavoratore, del cliente del fornitore e degli altri soggetti coinvolti nel trattamento.

Veniamo ora all’art. 29 che richiede di adottare misure organizzative adeguate. In questa sede ci limiteremo ad indicare le misure che ogni impresa dovrebbe adottare fra le quali, l’individuazione del designato/privacy officer che è un soggetto interno incaricato della gestione delle procedure di trattamento dei dati e per rispettare il GDPR, come garantire le richieste degli interessati o comunicare con l’autorità garante.

Questa figura dovrebbe essere interessata alla materia, adeguatamente formata e responsabilizzata per assicurare un adeguato livello di compliance interno all’organizzazione. L’attività di designazione del referente privacy è un processo a costo zero. Altrettanto gratuita potrebbe essere la creazione dell’organigramma aziendale dove vengono mappati funzioni e compiti dei soggetti designati dall’organizzazione.

Se si vuole che la designazione sia efficiente, tuttavia, sarebbe bene stanziare una somma – anche modesta – per la formazione dei referenti affinché questi siano in grado di mappare e gestire le procedure di cui sono incaricati e responsabilizzare anche gli altri soggetti autorizzati al trattamento.

Veniamo a questo punto ai registri disciplinati dall’art.30: questi altro non sono che un processo di mappatura dei trattamenti che l’azienda opera. Pertanto, i registri dovrebbero configurarsi più che come un documento, come una procedura da monitorare e tenere aggiornata con l’evolversi dei processi aziendali. Pertanto, essi possono essere tenuti senza particolari formalità e aggiornati, anche mediante stampa del file anche in PDF, all’occorrenza.

Più che la forma, è importante che questi strumenti siano tenuti da un soggetto competente che, verosimilmente, sarà il designato aziendale che conoscerà i processi aziendali ed avrà anche una discreta conoscenza normativa ove adeguatamente formato.

Oltre al registro delle attività di trattamento (art. 30), è opportuno che l’organizzazione si munisca anche di un registro della formazione per documentare l’attività svolta e un registro delle violazioni (art. 33) per documentare eventuali data breach e che è uno strumento di ausilio e responsabilizzazione fondamentale per valutare se e quali conseguenze la violazione potrà avere per gli interessati coinvolti.

Seppure i registri non siano richiesti a tutte le organizzazioni, l’adozione di questi è stata fortemente incoraggiata sia dalla nostra Autorità Garante che dal Comitato Europeo per la protezione dei dati personali, ma anche da autorità straniere.

Veniamo ora ai processi relativi alla sicurezza dei dati che possono avere natura fisica o logica.

La sicurezza fisica si articola in misure piuttosto banali come, ad esempio, l’apposizione di porte blindate agli ingressi, inferriate alle finestre, la presenza di estintori.

Apparentemente più complesso è il profilo della sicurezza informatica, ma anche qui, vedremo soluzioni a basso costo o gratuite che possono aiutare enormemente l’organizzazione ad aumentare il proprio livello di sicurezza.

Il primo problema comune a tutte le organizzazioni è la gestione delle Password. Avere password in giro non protette è come lasciare le chiavi della porta vicino allo zerbino di casa.

Rinviando all’apprezzabile vademecum elaborato dal Garante (v. https://www.garanteprivacy.it/temi/cybersecurity/password) è consigliabile adottare gestionali gratuiti come KeePass ( v. https://keepass.info/ ) che salvano i dati in locale criptati eliminando il rischio del cloud e attraverso la master password e i plugin consentono un’agile gestione delle password eliminando fogliettini, il rischio di perderle e altri rischi. Il dipendente dovrà ricordarsi solo la Master Password di accesso al servizio KeePass per accedere in sicurezza a tutte le proprie credenziali.

Altro problema che ogni organizzazione affronta è il backup e, per le organizzazioni più semplici, può bastare anche un piccolo investimento in un NAS o in un economico servizio di backup online scegliendo quello più adatto alle proprie esigenze. Senza dilungarci sulla gestione della backup policy in questa sede, si segnala Duplicati (v. https://www.duplicati.com/ ): una soluzione che rende più efficiente il processo di backup e aiuta a gestire il rischio di perdita dei dati trattati. Questo sistema, di default cripta i dati in formato criptato e permette di gestire la recovery dei dati in maniera intuitiva e semplice. Il gestionale è anche flessibile e permette all’utente di configurare i tempi, modi e livelli di sicurezza del backup.

Potrebbe essere auspicabile anche prevedere un programma formativo con oggetto la cybersecuirty awareness per sensibilizzare i dipendenti alle minacce informatiche. Per iniziare il percorso di sensibilizzazione si può iniziare con il fruire di risorse gratuite e accessibili online.

I problemi della sicurezza informatica, ça va sans dire, non si esauriscono a quelli indicati ed è auspicabile che buona parte delle organizzazioni si accerti, fra le altre cose, di:

  1. Installare solamente programmi originali da autori verificati e sempre aggiornati all’ultima versione
  2. Investire in un solido antivirus che implementi almeno un firewall logico e sistemi di rimozione di malware
  3. Differenziare la rete ad uso interna da quella data ad uso degli ospiti adottando processi di segmentazione

I più scrupolosi vorranno, altresì, adottare un firewall perimetrale integrato con un servizio di analisi dei file di log.

Pare, dunque, opportuno stanziare somme, anche modeste, per aumentare il proprio livello di sicurezza informatica in azienda investendo sulle risorse umane e sulle misure di protezione tecniche.

Un’azienda con un elevato grado di compliance al GDPR, dunque, saprà valutare in autonomia gli investimenti, a livello tecnico e sulle risorse umane, che dovrà operare e saprà gestirsi autonomamente evitando di spendere soldi in consulenze inutili e carte e agire in autonomia per rispettare la norma, nelle migliori ipotesi, con un costo tendente allo zero o con un investimento più che contenuto.

Il GDPR non richiede, dunque, di produrre carte, ma di implementare dei processi efficienti per una corretta gestione del dato e, per essere applicato efficacemente, richiede cultura, formazione e sensibilizzazione.

/da
, , , , , , , , , , ,

“Quanto apparteniamo alla rete?”

con l’Avv. Andrea Lisi, l’Avv. Giacomo Conti e il Dott. Alessandro Bottonelli

Lo ho-BIT ‖ Ep.16

Sospesi tra due realtà: il web non è più “altro” rispetto alla nostra realtà fisica. Al suo interno coesistono nuovi spazi “essenziali” per la società, quali servizi, piattaforme, app e strumenti di lavoro a distanza.

L’evoluzione tecnologica non riguarda più solo i modelli di business: l’enorme potere dei grandi player influenza anche le dinamiche individuali e il quadro dei rapporti sociali.

L’Avv. Andrea Lisi affronterà con l’Avv. Giacomo Conti, specializzato in nuove tecnologie e web reputation, e Alessandro Bottonelli, CEO & Lead Advisor di AxisNet, l’importanza di conoscere i meccanismi e imparare a utilizzare in modo consapevole il web “partecipativo”, anche per evitare di divenire a nostra volta oggetto di “utilizzo” da parte delle stesse piattaforme o di chi le gestisce.

 

Link al contenuto video: 🟣 Quanto apparteniamo alla rete? 🟣 Lo ho-BIT – Andrea Lisi – MRTV – YouTube

/da