La Società Digitale è ormai la realtà che ci circonda: siamo sempre più connessi, più interattivi, più condizionati da quanto avviene nella rete e che anche noi contribuiamo ad orientare con le nostre scelte, con le nostre navigazioni tra i siti, con i nostri post, con i nostri “like”.
Oggi che siamo tutti profilati e soggetti alle Analytics che utilizzano algoritmi che interpretano il nostro profilo di preferenze e di comportamento per inserirci in categorie, finalmente gli utenti cominciamo ad avere sempre più perplessità, quasi un rigetto per la profilazione. La vera novità è che dopo un lunghissimo periodo in cui i social network hanno perpetrato uno sfruttamento intensivo per finalità di business della conoscenza delle abitudini, dei gusti, delle preferenze e perfino degli spostamenti degli utenti (e delle organizzazioni), nell’ultimo anno ci sono dei segnali di discontinuità rispetto al passato. Quali sono?
Per esempio negli Stati Uniti un’importante multinazionale come la Mattel si è vista costretta a ritirare il lancio di un prodotto innovativo come Aristotle, il primo assistente virtuale pensato per i piccoli di casa, a causa delle proteste e delle accuse di rischio di invasione della privacy dei bambini e di una profilazione inconsapevole dei minori e delle loro famiglie. Un’inversione di tendenza storica.
Altro esempio significativo è ciò che è avvenuto in Germania con l’Autorità Garante delle Telecomunicazioni che ha messo al bando Cayla, una bambola interattiva, perché questo giocattolo in realtà rappresentava un dispositivo in grado di registrare e trasmettere dati personali e conversazioni private in modo occulto, violando la locale legge nazionale sulle telecomunicazioni. Ma oltre a questo, poteva profilare le preferenze dei bambini e dei loro genitori (sul cibo, sui vestiti, sui cartoni animati, sui giocattoli, ecc.).
Ultimo esempio simpatico, infine, è rappresentato dalle esperienze quotidiane in cui riceviamo delle proposte commerciali di prodotti e servizi. Un collega mi ha chiesto: “Ma perché solo a me arrivano le proposte per l’acquisto di pannoloni per anziani? Vorrei conoscere dal vivo lo sviluppatore che ha scritto l’algoritmo di profilazione che mi ha inserito nella categoria anziani e, oltretutto, con problemi di incontinenza!” sostenendo implicitamente di essere ancora giovane.
Insomma i consumatori sono sempre più insofferenti alla profilazione digitale, sia diretta, che indiretta.
Cos’è la profilazione? Come la possiamo definire?
La profilazione consiste nell’operazione di gestione, grazie a strumenti software automatici, di enormi masse di dati personali degli utenti e di applicazione di algoritmi che identificano e segmentano le identità reali delle persone in identità potenziali e astratte, a ciascuna delle quali si possono attribuire caratteristiche specifiche, gusti e preferenze e si associano, infine, previsioni di comportamento e preferenze di acquisto o di tendenza sociale.
L’effetto di questa attività è che ad un individuo verranno associate, in modo del tutto inconsapevole e senza il suo consenso, previsioni mirate che tratteggiano un’identità digitale magari completamente fuorviante rispetto alla realtà. Dati sensibili come quelli anagrafici, genetici, sanitari, comportamentali, insomma tutto lo scibile di un individuo potrebbe essere soggetto alla profilazione digitale, ingabbiando la sua identità.
E potrebbe capitare che un istituto di credito potrebbe arrivare o negare un prestito o l’incremento di un fido ad un interessato solo perché convinta della sua inaffidabilità, frutto di una profilazione errata.
Come minimizzare questi rischi? Quali difese si possono attivare?
Nel nostro ordinamento si può ricorrere alle disposizioni del Codice della Privacy, emanato con il Decreto legislativo 196 del 2003 e più volte aggiornato, completato dalle Linee guida in tema di profilazione riportate sulla Gazzetta Ufficiale del 6 maggio 2015.
La parte più interessante su questo tema è quella del consenso poiché si afferma che “Qualunque attività di trattamento dei dati personali dell’utente per finalità di profilazione e diversa da quelle necessarie per la fornitura del servizio (ad esempio, i filtri antispam o antivirus, gli strumenti per consentire ricerche testuali, etc.) potrà essere effettuata esclusivamente con il consenso informato dell’utente.”
Quest’obbligo, quindi, si applica dunque alla profilazione per finalità promozionali comunque effettuata: sia quella sui dati relativi all’uso della posta elettronica, sia quella basata sull’incrocio dei dati personali raccolti in relazione all’utilizzo di più funzionalità da parte degli utenti (ad esempio: posta elettronica e navigazione sul web, partecipazione a social network e utilizzo di mappe o visualizzazione di contenuti audiovisivi ecc.), sia infine quella fondata sull’impiego di strumenti di identificazione diversi dai cookie (come il fingerprinting, che costruisce profili dell’utente sulla base di specifici parametri di impostazione del terminale o sulle modalità del suo utilizzo).
Il consenso deve essere libero, acquisito prima del trattamento dati e chiaramente riferibile a trattamenti che perseguono finalità esplicite e determinate. Di tale consenso deve rimanere traccia scritta in forma digitale.
Cosa cambia con l’applicazione del GDPR (679/2016) dal maggio del 2018?
L’art. 9 del GDPR vieta il trattamento, e quindi anche la profilazione, di tutti i dati personali sensibili, ma contiene significative deroghe tra le quali il consenso esplicito dell’interessato, ragioni mediche e sanitarie, indagini statistiche, storiche e scientifiche.
Colui i cui dati vengono trattati ha vari diritti tra i quali l’accesso, la rettifica dei dati inesatti e la cancellazione (definita anche come diritto all’oblio). Quanto alla profilazione, se ne occupa l’art. 22, affermando in particolare il diritto dell’interessato di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.
L’art. 35 introduce l’interessante e innovativo istituto della valutazione d’impatto (PIA). Esso si applica allorché una tipologia di trattamento dati fondata su nuove tecnologie crei un rischio elevato per i diritti e le libertà delle persone fisiche. In tal caso il titolare del trattamento è tenuto a valutare l’impatto che questo può avere sulla protezione dei dati personali. Il rischio è presunto quando vengano in rilievo valutazioni sistematiche e globali di aspetti personali di persone fisiche, il trattamento su larga scala di dati sensibili, la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
Lo scorso 3 ottobre 2017 il Gruppo consultivo ed indipendente istituito dall’art. 29 della direttiva 95/46 (meglio noto come Working Party 29), ha pubblicato delle linee guida sulla profilazione che meglio precisano come deve essere applicato il GDPR su questo tema e che fornisce delle raccomandazioni/best practise.
Conclusione
Non è solo il Data Breach (la violazione dei dati personali) che può comportare delle sanzioni gravi (fino al 2% o al 4% del fatturato annuo o fino a 10 o 20 milioni di euro) ed ancor più pesanti danni di immagine per le organizzazioni. Anche l’attività di profilazione, che è ampiamente utilizzata senza alcun consenso da parte degli interessati, rappresenta una vera e propria “mina vagante” all’interno degli asset aziendali, molto sottovalutata.
Occorre stoppare immediatamente queste attività nel caso fossero state avviate senza il rispetto delle informative e della raccolta del consenso. Se si desiderasse reimpostarle occorre riavviarle richiedendo il consenso in modo trasparente e manifestando le finalità esplicite per cui è richiesto il consenso.
Magari sapremmo per quale motivo ci vogliono vendere dei pannoloni anche se non soffriamo (ancora) di problemi d’incontinenza!
Francesco Speciale
