Associazione Nazionale per Operatori e Responsabili della Conservazione Digitale

www.anorc.it mail: segreteria@anorc.it

Graziano Garrisi Copyright 2015

Vietata diffusione e duplicazione

ANORC (Associazione Nazionale per Operatori e Responsabili della Conservazionedigitale dei documenti) è un’associazione senza scopo di lucro che dal 2007 mette incomunicazione e canalizza le conoscenze e i bisogni di aziende, enti pubblici,professionisti ed esperti che operano con diversi ruoli nella Dematerializzazione eConservazione digitale.

L’associazione si fa quindi portavoce delle esigenze di chi si occupa della gestioneelettronica dei documenti, affinché questo processo - che è alla base di qualunqueprogetto efficace di innovazione - sia gestito correttamente e in sicurezza e garantiscaai nuovi archivi fatti di bit durata e immutabilità nel tempo.

Con quasi 400 soci e 19 sedi territoriali, entrambe cifre in costante crescita,ANORC agisce su molteplici fronti e su gran parte del territorio nazionale,promuovendo la creazione di gruppi di studio tematici sulla legislazione vigente,sostenendo un confronto costante e attivo con le istituzioni centrali competenti,promuovendo attività di ricerca e organizzando percorsi formativi professionalizzantidestinati agli operatori del settore.

INTERNET OF THINGS (IoT)

Che cos’è?

L’internet of things è considerata dai più come un’evoluzione della Rete. Gli

oggetti intelligenti – che sono alla base dell’IoT – sono i normali oggetti che ci

circondano e che usiamo quotidianamente, ma connessi tramite internet e capaci

quindi di comunicare e ricevere dati, comportandosi di conseguenza.

Gli oggetti intelligenti saranno in grado di connettersi con migliaia di altri

device e avranno la possibilità di confrontare ed elaborare dati in maniera

massiccia. L’operatività di questa nuova configurazione sarà praticamente totale e

tutti i fattori lasciano presagire che si tratterà di una rivoluzione dirompente e che

cambierà in maniera sostanziale molti degli equilibri in gioco.

L’internet of things promette possibilità di business notevolmente allettanti e gli

investimenti e le unità aziendali dedicati a questa nuova fetta di mercato prolifereranno

sempre di più.

Riflessioni visive sul domani dei nostri giorni

Ormai tutti siamo on line e viviamo (con tranquillità) nelle nostre identità digitali

IoT - Come si usa?

La possibilità di avere a disposizione degli oggetti intelligenti, in grado di interagire con

l’ambiente circostante, elaborare dati scambiando le informazioni raccolte e reagendo di

conseguenza è sicuramente una grossa opportunità.

I vantaggi sono riscontrabili sia nel contenimento dei costi che nella riduzione degli

sprechi, nell’interesse del singolo (sono sempre di più le famiglie che scelgono

elettrodomestici e altri accessori capaci di gestire al meglio i propri cicli produttivi

grazie alla rilevazione ed elaborazione delle abitudini e delle specifiche esigenze) e

della società nel suo complesso.

Anche gli amministratori pubblici colgono l’entità della posta in gioco: efficienza energetica,

mobilità e tutela ambientale se declinate con il paradigma dell’IoT potrebbero avere dei

miglioramenti inimmaginabili, con un indubbio ritorno in termini di soddisfazione dei cittadini e

di benessere diffuso, oltre ai grandi benefici che un tale efficientamento potrebbe portare ai

bilanci pubblici. Le smart city, da questo punto di vista, sono un’ipotesi di sviluppo sostenibile

e auspicabile.

Altro ambito che sicuramente avrà un rapporto molto intenso e proficuo con l’IoT è quello

della sanità. È ipotizzabile ottenere un monitoraggio praticamente costante dello stato di

salute degli individui aumentando, a livello di immediatezza, la prontezza della risposta in

caso di anomalia delle funzioni vitali.

IoT - Precauzioni ed effetti collaterali

Di fronte a un così ampio ventaglio di vantaggi non mancano ovviamente degli effetti

collaterali. Ci si riferisce prevalentemente alla sicurezza e alla privacy, che vanno

salvaguardate nel modo più opportuno, considerate le peculiarità dell’IoT.

Come è facile intuire, la massa di dati che verrà generata da questa tecnologia sarà

monumentale e soprattutto si incroceranno dati provenienti da tanti dispositivi diversi,

raccolti in circostanze differenti.

La sicurezza andrà preservata già in fase di progettazione e molte responsabilità

andranno preventivamente chiarite e individuate in maniera certa (considerato anche

che molti degli attuali dispositivi non hanno ancora raggiunto un livello di sicurezza

adeguato). Gli strumenti di difesa da accessi abusivi e i sistemi di controllo dovranno

necessariamente essere assolute priorità durante tutte le attività che vanno dallo

studio, alla commercializzazione e alla manutenzione degli oggetti intelligenti.

Molto probabilmente, vi sarà la necessità che sui dispositivi IoT - prima della loro

immissione nel mercato - venga effettuato un Privacy Impact Assessment.

IoT - Profili di rischio

VULNERABILITA': molti dispositivi non hanno ancora raggiunto un livello di sicurezzaadeguato

ESTRAPOLAZIONE DI DATI SENSIBILI: dati (identificativi, anonimi o pseudo-anonimi?) possono essere utilizzati per la raccolta di un ampio spettro di informazioniriguardanti le abitudini quotidiane e gli stili di vita

MANCANZA DI CONTROLLO: la condivisione di dati personali tra produttori deidispositivi, sviluppatori di software, fornitori di capacità di calcolo, cloud provider eanalisti, comporta per le persone, i cui dati sono trattati, un’estrema difficoltà adesercitare un adeguato controllo su questi dati, sulle modalità della loro trasmissionedai dispositivi IoT, sulla condivisione tra terze parti e, soprattutto, sulle finalitàperseguite diverse da quelle associate al dispositivo (c.d. “uso secondario”);

CONSENSO: il consenso al trattamento dei dati deve essere informato. Questo, però,è talvolta molto difficile perchè molti dispositivi IoT non sono progettati per favorireinformazioni agli utenti interessati;

PROFILAZIONE INTRUSIVA: è altamente possibile la profilazione delle abitudinidegli utenti;

GIURISDIZIONE: tramite il dispositivo si può estendere l'applicazione di norme invigore in altri Paesi. Ad esempio, un operatore IoT extra-UE può essere soggetto aldiritto comunitario, se i dati raccolti vengono trattati attraverso “things” di utenti situatinell'UE.

IoT - Lo scenario italiano

Avvio di una consultazione pubblica - indetta dal Garante per la protezione dei dati personalicon deliberazione del 26 marzo 2015 - volta ad individuare regole e tutele.

Entro 180 giorni dalla pubblicazione dell’avviso sulla Gazzetta Ufficiale potevano essere inviati icontributi da parte di tutti i soggetti interessati (es. anche le associazioni di categoriarappresentative dei settori di appartenenza - imprenditoriali e dei consumatori ove presenti -nonché del mondo universitario e della ricerca scientifica).

Obiettivo della consultazione è quello di acquisire osservazioni e proposte rispetto gli aspetti diprotezione dei dati personali illustrati nel provvedimento connessi alle nuove tecnologieclassificabili come Internet of Things:- possibili attività di profilazione di utenti anche inconsapevoli;- informazione trasparente anche al fine dell'eventuale acquisizione del consenso;- rischi relativi alla qualità dei dati nonché a possibili monitoraggi o condizionamenti deicomportamenti degli interessati, così come a quelli connessi ad aspetti di sicurezza ed allerelative misure;- applicabilità di paradigmi di privacy and data protection by design;- possibile ricorso a tecniche di cifratura e di anonimizzazione dei dati;- modelli di business utilizzati;- aspetti di standardizzazione;- possibile adozione di strumenti di certificazione ovvero di autenticazione tesa al mutuoriconoscimento diretto ovvero intermediato.

Il Gruppo di lavoro in A.N.O.R.C. e gli argomenti affrontati:

Asimmetria informativa e mancanza di controllo sui propri dati personali

Consenso informato

Profilazione intrusiva

Sicurezza e rispetto del principio della privacy by design e privacy by default

Corretta regolamentazione di ruoli e responsabilità privacy e rapporto tra

sviluppatori, utilizzatori, etc.

Privacy Impact Assessment

Asimmetria informativa e controllo degli interessati sui propri dati

La complessità dell’ecosistema dell’IoT comporta un’elevata probabilità che l’utilizzatore nonabbia una sufficiente consapevolezza di quali dei suoi dati personali vengono trattati, in capoa chi sono le responsabilità del trattamento e per quali finalità avviene lo stesso

Ne consegue che deve essere prestata particolare attenzione alla necessità di individuare inmodo corretto il ruolo e le relative responsabilità di ognuno dei diversi soggetti(stakeholders) coinvolti nelle operazioni di trattamento dei dati personali provenienti daidispositivi IoT

Assume una fondamentale importanza l’adeguatezza dell’informativa che deve essere fornitaal cliente/utilizzatore al momento dell’acquisto del dispositivo IoT

L’informativa, oltre a contenere tutti gli elementi previsti dall’art. 13 del D. Lgs. 196/03,dovrà evidenziare le motivazioni che inducono l’azienda a vendere un prodotto IoT associatoa uno specifico servizio e gli strumenti utilizzati per analizzare i dati, i benefici checontraddistinguono la connettività e i vantaggi connessi alla raccolta e alla elaborazione deidati stessi (esigenze di marketing, aumento di fidelizzazione, ecc.).

Asimmetria informativa e controllo degli interessati sui propri dati

Nel rispetto del principio di trasparenza, nel fornire l’informativa dovrebbe essere favoritol’utilizzo dei c.d. formati multistrato, specialmente per l’acquisto on line

Nel caso dell’e-commerce vanno trovate soluzioni che assicurino maggiori garanzie per latutela degli acquirenti

In caso di vendita del dispositivo IoT sui canali tradizionali, l’informativa dovrà essere resaal momento dell’acquisto con relativa prestazione dell’eventuale consenso

Garantire il diritto dell’utilizzatore di poter esercitare un adeguato controllo sui propri datipersonali raccolti da dispositivi di IoT e specificare nell’informativa come l’interessato puòesercitare i diritti ex art. 7 del Codice Privacy(le applicazioni dovrebbero consentire un facile esercizio del diritto di accesso, di rettifica odi cancellazione dei dati personali raccolti dai dispositivi IoT)

Profilazione intrusiva

a) La capacità di interconnessione dei dispositivi IoT e la conseguente raccolta, registrazione edelaborazione di dati personali, può facilmente consentire un’attività di “profilazione intrusiva”delle abitudini degli utenti, di cui spesso gli stessi sono inconsapevoli

b) Riteniamo fondamentale l’ottenimento di uno specifico consenso per la “profilazione”, che siaanche preventivo e informato (e sempre revocabile)

c) La profilazione nell’Iot dovrebbe essere un processo Win-Win

modalità semplificate per il rilascio dell’informativa e l’acquisizione del consenso?

d) L’informativa – nel caso della profilazione - deve essere resa non solo sul piano formale, ma suquello più decisivo della trasparenza

e) La profilazione dovrebbe avvenire rispettando il più possibile l’anonimato, in relazione allefinalità che si intendono perseguire

f) Previsione di un periodo congruo di conservazione dei dati di profilazione

Privacy Impact Assessment (PIA)

Sarebbe utile, infatti, in un contesto come l’IoT, rendere obbligatoria per ititolari del trattamento la redazione di un Privacy Impact Assessment (PIA)relativo a tutti quei dispositivi implicati nel nuovo scenario dell’IoT

Quando il trattamento dei dati, per la sua natura, il suo oggetto o le sue finalità, presentispecifici rischi per i diritti e le libertà degli interessati, il titolare del trattamento (o ilresponsabile del trattamento che agisce per conto del titolare del trattamento) deveeffettuare una valutazione dell’impatto del trattamento previsto sulla protezione dei datipersonali

Tale valutazione - svolta prima del lancio sul mercato del dispositivo IoT - consentirebbedi identificare e valutare a priori i rischi che possono verificarsi sul piano della privacy edella sicurezza dei dati durante tutto il ciclo di vita del dispositivo stesso

Privacy and data protection by design

Fermi restando gli obblighi in materia di sicurezza dei dati e dei sistemi previsti nell’art. 31 eseguenti del Codice privacy, è opportuno che nel contesto dell’Internet of Thingsvenga rispettato il principio della «privacy by design» (PbD) e ciò in considerazioneche:

a) è importante un approccio proattivo piuttosto che reattivo (per anticipare e prevenire glieventi invasivi della privacy prima che essi accadano);

b) realizzare il massimo livello di privacy assicurando che i dati personali sianoautomaticamente protetti in un qualunque sistema IT (o IoT) o di pratica commerciale;

c) la PbD è incorporata nella progettazione e nell’architettura dei sistemi IT e delle pratichecommerciali;

d) si riesce a conciliare tutti gli interessi in gioco e gli obiettivi con modalità di valorepositivo “vantaggiose per tutti”;

e) la PbD si estende in modo sicuro attraverso l’intero ciclo vitale dei dati (tutti i datidevono essere conservati con cura e poi distrutti in modo sicuro alla fine del processo);

f) richiede ai progettisti e agli operatori di considerare prioritari gli interessi degli individui,offrendo efficaci interventi di default della privacy, informazioni appropriate epotenziando opzioni di facile utilizzo per l’utente.

Data Breaches

Sarebbe opportuno prevedere anche specifiche procedure di gestione dei c.d. “personaldata breaches”, anche nel contesto dell’Internet of Things;

Già il Garante Privacy ha reso obbligatoria in altri contesti una comunicazione quando siverificano violazioni dei dati (data breach) o incidenti informatici (ad es. accessi abusivi,azione di malware, etc.), oppure anche solo nei casi in cui i dati vengono esposti a rischi diviolazione;

Da «misura di sicurezza necessaria» ai sensi dell’art. 154, comma 1, lett. c del CodicePrivacy a «misura di sicurezza obbligatoria» (ai sensi dell’art. 162-ter del Codice Privacy perora solo applicabile nei confronti di fornitori di servizi di comunicazione elettronica accessibilial pubblico ).

Dopo la consultazione pubblica sarà possibile fare ulteriori considerazioni alla luce

delle risposte e soluzioni prospettate di fronte ai quesiti sollevati dal Garante.

Sicuramente dovranno essere ri-perimetrati giuridicamente alcuni istituti per non

paralizzare in maniera eccessiva un settore economico che presenta floridi margini di

crescita, ma allo stesso modo dovranno essere definiti in maniera chiara alcuni ruoli e

circostanze.

Le nuove domande da porsi:

- I dati raccolti, da chi verranno trattati?

- Per quali finalità e con quali modalità?

- Saranno resi anonimi?

- Gli utenti saranno consapevoli

di che fine faranno i loro dati personali?

Siate indipendenti. Non guardate al domani, ma al dopodomani

Aldo Moro

E allora proviamoci:A essere indipendenti (dalla tecnologia).

A non guardare (controvoglia) il domani, A immaginare il dopodomani

per avere le chiavi interpretative di un mondo inesorabilmente digitale (dove i nostri piedi sono già da

tempo poggiati)E soprattutto a contaminarci professionalmente per

crescere insieme

Per maggiori informazioni e richiedere le modalitàdi adesione ad ANORC ecco i nostri contatti:

c/o D&L Department srlvia Mario Stampacchia, 2173100 Lecce

Tel e Fax: 0832 25.60.65Cell: 3277027035

Ufficio di Presidenza: ufficio.presidenza@anorc.itSegreteria: segreteria@anorc.itDirezione: direzione@anorc.itComunicazione: comunicazione@anorc.itPec: anorc@pec.it

Grazie per l’attenzione

Avv. Graziano Garrisi

email:

grazianogarrisi@studiolegalelisi.it

D&L Department s.r.l.

telefax +39 0832 25 60 65