Mese: Marzo 2018

Abbiamo aspettato qualche giorno prima di commentare l’ormai famoso datagate che coinvolge il più gettonato social network del mondo: Facebook. Abbiamo aspettato per serietà di informazione e, certamente, pur avendo già espresso molte riserve sulla disinvoltura con la quale molti OTT trattano i dati personali, non vogliamo associarci a chi ha etichettato Zuckerberg come “ladro” e battezzato come “truffa digitale” ciò che sta emergendo.

Vogliamo essere chiari: esiste una responsabilità di Facebook ed esiste una responsabilità di tutti gli utenti.

Facebook ha perso il controllo dei dati dei suoi seguaci. Lo ha confessato Zuckerberg dicendo “Sono responsabile di quello che è successo. Abbiamo commesso degli errori e c’è ancora molto da fare”. Questa affermazione potrà essere utilizzata proficuamente da coloro che hanno promosso la prima causa collettiva (class action) nello stato della California. Fa riflettere, tuttavia, la circostanza che il ricorso non è stato promosso da un gruppo di utenti di Facebook ma da un insieme di azionisti che, dalla vicenda, hanno visto perdere di valore le proprie azioni.

Gli utenti, invece, non sembrano avere voglia di boicottare Facebook. Certo, sta spopolando l’hashtag #DeleteFacebook ma una cosa è seguirlo e condividerlo, altra cosa è cancellare davvero il proprio profilo: molte persone non sanno più vivere senza specchiarsi nella rete. E, poi, siamo sicuri che, cancellando il nostro profilo Facebook, riusciamo a tutelare i dati personali che, nel tempo, abbiamo fornito?

Come al solito, deve vincere la consapevolezza: di Facebook e degli utenti, senza demonizzare il primo e senza esagerare nella commiserazione dei secondi.

Certo Zuckerberg ha anche affermato che “Given the stakes here, why shouldn’t Facebook be regulated?” ovvero “Data la posta in gioco, perchè Facebook non dovrebbe essere regolamentato?” senza sapere, forse, che il GDPR le norme le ha stabilite: basta mettersi dentro le regole.

L’Agencia Española de Protección de Datos (AEPD), l’Autorità Garante per la Protezione dei Dati Personali spagnola, ha pubblicato, di recente, due volumi:
• la guida pratica all’analisi dei rischi nei trattamenti di dati personali;
• la guida pratica alla valutazione di impatto nei trattamenti dei dati personali.

È un approccio singolare che prevede una netta separazione tra l’attività di analisi dei rischi e la valutazione di impatto (DPIA). Nessuna delle altre autorità di garanzia europee lo ha sviluppato prima né risulta che lo abbiano fatto altre importanti organizzazioni internazionali. Anzi, tutte le altre organizzazioni hanno, sinora, visto di buon occhio le metodologie che applicano un approccio integrato visto che la realizzazione di una valutazione di impatto aiuta anche a identificare meglio i rischi e a generare misure meno astratte di quelle che, viceversa, potrebbe suggerire una separata valutazione dei rischi.

Ricordiamo che il comma 7 dell’art. 35 del GDPR riporta che:
La valutazione [d’impatto sulla protezione dei dati] contiene almeno:
a) una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l’interesse legittimo perseguito dal titolare del trattamento;
b) una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;
c) una valutazione dei rischi per i diritti e le libertà degli interessati di cui al paragrafo 1; e
d) le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

Questo vuol dire che la valutazione dei rischi è una parte della DPIA e che, in qualche misura, deve essere in essa completamente integrata.
Inoltre, è sempre bene ricordare che gli obblighi richiesti dalla nuova normativa non devono essere né sembrare troppo onerosi: altrimenti si finisce per cadere nell’adempimento sterile che nessuno auspica.

Attenzione a ballare a ritmo di flamenco: si rischia di essere poco fluidi e di muoversi troppo a scatti.