Cookie free: nessun "biscotto" per spiare i lettori

L'Europa: fermare il Privacy Shield. E i Garanti italiani... 

Privacy e sicurezza - Manlio Cammarata - 23 luglio 2018

La multa miliardaria inflitta a Google per pratiche anticoncorrenziali ha messo in secondo piano un altro problema serio: la massa di dati personali che gli Over The Top trattano con metodi che appaiono in contrasto con le norme europee.

La notizia è che il Parlamento europeo ha chiesto alla Commissione di sospendere il "Privacy Shield", l'accordo che dovrebbe proteggere i dati personali dei cittadini europei, dati che sarebbero trattati negli USA in violazione delle disposizioni del GDPR.

E' una presa d'atto di estrema gravità, che ripete nella sostanza le ragioni dell'annullamento del "Safe Harbor", decretato nel 2015 dalla Corte di giustizia. In parole povere: le aziende USA fanno quello che vogliono dei dati personali dei cittadini europei, nell'inerzia delle autorità locali che dovrebbero sorvegliare che i trattamenti non avvengano in violazione delle norme UE.

Il punto è che i trattamenti operati dai grandi "padroni dei dati" americani sono caratterizzati da un'invasività che non era neanche immaginabile fino a pochi anni fa. La vera questione sul tappeto si chiama "Big Data", materia prima della profilazione che ha lo scopo di influenzare le decisioni delle persone in ogni campo, dalla vita privata, agli acquisti, alle scelte politiche.

Lo scandalo dei trattamenti su vasta scala compiuti da Cambridge Analytica con i dati di Facebook, usati per influenzare le scelte elettorali dei cittadini (non solo) americani, ha portato il problema a conoscenza dell'opinione pubblica, che sta incominciando a chiedersi se il baratto tra uso della Rete e dati personali sia conveniente come sembra.

Si pongono questi problemi anche le "autorità competenti", quelle in prima linea nella difesa dei diritti dei cittadini: in Italia il Garante della protezione dei dati personali, l'Autorità garante della concorrenza e del mercato e l'Autorità per le garanzie nelle comunicazioni (che da più di un anno conducono un'indagine congiunta sui Big Data).

I tre presidenti hanno affrontato il problema nelle relazioni che hanno presentato al Parlamento nelle scorse settimane. Ha "aperto il fuoco", il 10 luglio, il presidente del Garante per la protezione dei dati personali Antonello Soro, che nella sua relazione ha detto:

«Per molto tempo i governi, in ogni angolo del pianeta, hanno sottostimato gli effetti e i rischi di un regime privo di regolamentazione, nel quale i grandi gestori delle piattaforme del web hanno scritto le regole, promuovendo un processo inarrestabile di acquisizioni e concentrazioni, dando vita all’attuale sistema di oligopoli. Questi hanno acquisito il potere di orientare i comportamenti di diversi miliardi di persone: non solo nei consumi ma anche nella più generale visione sociale e culturale».

Gli ha fatto eco, l'11 luglio, il presidente dell'Autorità per le garanzie nelle comunicazioni Angelo Marcello Cardani. Nella sua relazione si legge:

«Sempre più ambiti economici e sociali sono governati da algoritmi. Parole, interazioni sociali, spostamenti, localizzazione geografica, gusti, orientamenti. Ma non basta. Sempre di più, tutti gli oggetti che ci circondano funzioneranno sulla base di algoritmi, grazie alle applicazioni 5G ed all’Internet delle cose (c.d. IoT ). L’impiego così massiccio di algoritmi e di automazione si fonda sull’uso dei Big Data e del machine learning. Viviamo già oggi, e sempre più vivremo in futuro, una epoca di “trasformazione in dati”: già oggi possiamo affermare che Facebook ha “trasformato in dati” le relazioni sociali; LinkedIn quelle lavorative; Twitter le opinioni e gli orientamenti; Amazon le propensioni al consumo, i gusti, le capacità di spesa; Google, ragionevolmente, tutto questo, tutto insieme».

Il giorno dopo, 12 luglio, la relazione di Giovanni Pitruzzella, presidente dell'Autorità garante della concorrenza e del mercato, ha rincarato la dose:

«Esiste la grande questione dei Big Data come fonte di potere di mercato delle imprese hi-tech, che possono utilizzare questa nuova risorsa per chiudere i mercati e bloccare l’innovazione che proviene da nuovi attori».
Pitruzzella ha poi citato due casi in cui l'AGCM è intervenuta contro pratiche scorrette. «L’Autorità ha contestato a WhatsApp di condizionare la scelta dell’utente, facendogli credere di dovere accettare le nuove condizioni (e cioè, la cessione dei propri dati) al fine di continuare a godere del servizio aggiornando le modalità di fruizione. È stato affermato il principio secondo cui un servizio, pur apparentemente gratuito, che però comporta la cessione di dati personali poi utilizzati a fini commerciali, implica l’esistenza di una controprestazione – la cessione dei dati – e pertanto costituisce un vero e proprio rapporto contrattuale soggetto alla disciplina di tutela del consumatore nei confronti delle pratiche commerciali scorrette».

Ancora Pitruzzella: «Più di recente, l’Autorità ha aperto un procedimento, non ancora concluso, nei confronti di Facebook, avente a oggetto due possibili pratiche commerciali scorrette: una per la carenza informativa, al momento della registrazione, circa l’uso dei dati personali degli utenti; l’altra per la modalità aggressiva con la quale l’operatore imposta la piattaforma, prevedendo in automatico la cessione e la condivisione dei dati con soggetti terzi, concedendo solo successivamente all’utente la possibilità di negare l’autorizzazione».

Quelle che per il presidente dell'Antitrust sono pratiche commerciali scorrette, per il Garante dei dati dovrebbero essere pesanti violazioni della normativa europea, il GDPR. Su questo punto dovremmo aspettarci le novità più significative.

Perché è facile constatare che le "sei sorelle" (o quante sono) dei Big Data offrono informative lunghissime e complicate, che si autoproclamano compliant con il GDPR, per ottenere (estorcere?) il consenso sul trattamento dei dati personali. Ma è lecito domandarsi quanto possa essere "informato" il consenso sulla base di un'informativa che nessuna persona normale riesce a leggere per intero. I termini del "baratto" non sono chiari e le informazioni sulla sorte finale dei nostri dati mancano del tutto.

E poi, un'informativa di tal fatta si può considerare "in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro", come impone l'articolo 12 del GDPR?

E' solo una delle tante domande che sorgono dalla lettura delle informative degli Over The Top. Informative che non informano, anche se a prima vista sembra che informino troppo.

Ne riparleremo a settembre.