La profilazione dei dati personali In questa lezione ci proponiamo di osservare l’atteggiamento del diritto verso una pratica elettronica di trattamento.

Presentazione sul tema: "La profilazione dei dati personali In questa lezione ci proponiamo di osservare l’atteggiamento del diritto verso una pratica elettronica di trattamento."— Transcript della presentazione:

1 La profilazione dei dati personali In questa lezione ci proponiamo di osservare l’atteggiamento del diritto verso una pratica elettronica di trattamento dei dati personali particolarmente invasiva e pericolosa per le sue potenzialità di compromissione delle libertà fondamentali. Dopo aver constatato quanto poco il diritto si interessi alla profilazione dei dati personali, esamineremo alcuni provvedimenti dell’Authority. Da essi emerge come anche per la regolazione della profilazione sia necessaria l’applicazione di alcune importanti regole disciplinate dal Codice della Privacy in materia di trattamento dati, quali la trasparenza, la libertà del consenso e la proporzionalità nel trattamento. In questa materia, peraltro, è particolarmente necessario sorvegliare che il consenso corrisponda sempre ad una piena autodeterminazione del soggetto profilato e alla piena consapevolezza delle finalità sottese al trattamento.

2 Cos’è la profilazione? Una delle nuove frontiere del trattamento (definizione ex art. 4, lett. a ) dei dati personali è rappresentata dallo studio e dalla raccolta di informazioni ( definizione ex art. 4, lett. b, c, d ) sui comportamenti dei soggetti (individui o gruppi) per tracciarne un profilo al quale ispirare campagne pubblicitarie, tecniche di marketing, decisioni relative all’accesso ad un servizio. Il procedimento di raccolta dati sfocia, poi, nella profilazione in senso stretto. Essa consiste in una tecnica di trattamento automatico mediante algoritmi di dati relativi a quantità numericamente anche molto elevate di persone, per attribuire a ciascuna di esse un profilo, cioè una categoria predefinita e delineata attraverso parametri che il responsabile del trattamento considera necessari alla sua ricerca, al raggiungimento del suo scopo. Il target è studiato nelle sue abitudini di consumo e negli stili di vita che ne rivelano attitudine e capacità di spesa, gusti per alcuni prodotti o servizi e disinteresse per altri, caratteristiche legate alla sua identità personale.

3 Profilazione ottenuta mediante arricchimento dei dati personali La profilazione è stata oggetto di valutazione giuridica nel settore economico dei servizi di comunicazione elettronica e televisiva accessibili al pubblico che, per la loro stessa natura, permettono agli operatori di entrare in contatto con flussi di dati elevatissimi e, soprattutto, con diverse tipologie di informazioni. Emerge, proprio in questa materia, uno degli aspetti più critici della profilazione, un argomento particolarmente significativo della rischiosità di questa tecnica di trattamento automatizzato: quello dell’arricchimento dei dati per aggregazione, in grado di combinare informazioni per ottenere i cosiddetti clusters, cioè elementi statistici omogenei all’interno dei quali inserire individui e gruppi. Infatti, l’aspetto forse più delicato della profilazione consiste nella possibilità di associare dati per ottenere un profilo sempre più dettagliato, sempre più intrusivo. Peraltro, la singola informazione, rispetto all’identità personale, è come la tessera di un complesso mosaico, la cui costruzione, affidata alla mente dell’operatore e alle connessioni informatiche, può facilmente sfuggire allo specchio della realtà.

4 Provvedimento «Arricchimento dei dati personali della clientela nell'ambito dell'attività di profilazione» del 15 marzo 2012 Un recente provvedimento autorizzativo si segnala, perché rende immediatamente l’idea di quanto, nella realtà, il trattamento profilatorio di dati arricchiti per aggregazione possa davvero funzionare come una lente d’ingrandimento su aspetti assolutamente sensibili per la vita degli individui. Osserviamo il fatto. KW S.p.A. è una società fornitrice di servizi di comunicazione elettronica accessibili al pubblico. KW dichiara, in proposito ad un trattamento elettronico di dati che essa intende avviare, che la profilazione sarà elaborata attraverso un arricchimento del proprio data base, ottenuto incrociando ed associando alcuni dati personali degli utenti (già patrimonio informativo della società, perché raccolti in occasione dell’esecuzione dei rapporti contrattuali di servizio) con nuove informazioni derivanti dall’elaborazione statistica di dati di natura geografica, socio-demografica, economica della popolazione presente nel relativo luogo di residenza. L’arricchimento sarà elaborato elettronicamente da un terzo soggetto, responsabile del trattamento, che metterà a disposizione un apposito software di sua proprietà (denominato HJ) in grado di associare i dati della clientela di KW con quelli dell’indicatore geografico più piccolo del censimento ISTAT, consistente in una microzona di residenza di una cinquantina di famiglie. Le famiglie inserite all’interno di HJ vengono categorizzate in funzione di specifici parametri quali: 1) le caratteristiche socio-demografiche della popolazione residente nella sezione (sesso, età della popolazione, stato civile, titolo di studio, occupazione); 2) la struttura del nucleo familiare; 3) la capacità di spesa della famiglia; 4) la tipologia dell’unità abitativa; 5) le etnie straniere residenti. Come si può facilmente considerare, l’arricchimento dei dati proposto all’autorizzazione del Garante riuscirebbe ad ottenere un cluster davvero molto dettagliato su aspetti sensibili della vita dei soggetti profilati. Con il medesimo sistema, KW intende profilare anche i propri utenti professionisti, mediante l’arricchimento dei dati di cui essa dispone con quelli del software HJ che abbinano l’utente ad una determinata area geografica ad alla categoria merceologica di appartenenza.

5 La profilazione nel Codice della privacy Il Codice della privacy fa riferimento alla creazione e all’utilizzo di profili nel suo art. 14: Nessun atto o provvedimento giudiziario o amministrativo che implichi una valutazione del comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato La norma esprime un preciso divieto di utilizzo dei profili realizzati dal trattamento elettronico per l’adozione di provvedimenti amministrativi o giudiziari (quindi in riferimento a rapporti fra cittadino e pubblica autorità) fondati sulla valutazione dell’interessato attraverso la sua inclusione in un profilo creato per mezzo dell’elaborazione elettronica delle informazioni raccolte. La ratio è quella di evitare provvedimenti pubblici discriminanti.

6 Nel secondo comma, invece, è previsto che L’interessato può opporsi ad ogni altro tipo di determinazione adottata sulla base del trattamento di cui al comma 1, SALVO CHE la determinazione sia stata adottata sulla base di adeguate garanzie individuate dal presente codice o da un provvedimento del Garante ai sensi dell’art. 17

7 Provvedimenti del Garante di autorizzazione alla profilazione Art. 17. Trattamento che presenta rischi specifici 1. Il trattamento dei dati diversi da quelli sensibili e giudiziari che presenta rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell’interessato, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, è ammesso nel rispetto di misure ed accorgimenti a garanzia dell’interessato, ove prescritti. 2. Le misure e gli accorgimenti di cui al comma 1 sono prescritti dal Garante in applicazione dei principi sanciti dal presente codice, nell’ambito di una verifica preliminare all’inizio del trattamento (omissis) Dal combinato disposto degli artt. 14 e 17 si desume che: 1.La profilazione è lecita se autorizzata 2.Al Garante è riconosciuto il compito di ponderare se quanto richiesto dal responsabile del trattamento sia conforme ai principi posti a tutela dell’interessato 3.Nei provvedimenti di autorizzazione il Garante elabora dei parametri interpretativi, in applicazione dei principi generali in materia di privacy, che si ripetono e si attagliano alla specifica materia della profilazione

8 La profilazione nei provvedimenti del Garante della privacy In molti interventi, il Garante indaga sulle tecniche di trattamento profilatorio estese in intere aree economiche e giunge a delineare le regole che serviranno agli operatori (per conferire liceità al loro operato) e agli interpreti (per valutare le eventuali condotte illecite). Si riscontra, in particolare, la tensione ad individuare soluzioni destinate a ripetersi nella casistica, pur se adattate alle diverse estrinsecazioni delle vicende da regolare.

9 Nei suoi provvedimenti il Garante subordina l’autorizzazione alla presenza di modalità di trattamento che garantiscano il principio del CONSENSO. In esso si manifesta l’autodeterminazione dell’interessato La regola prevista dall’art. 23 prevede la necessità di acquisire uno specifico consenso da parte dell’interessato per qualunque forma di trattamento. La necessità del consenso dell’interessato è direttamente collegata a della sua piena consapevolezza del fatto che dalle informazioni che lo riguardano sarà tratto un profilo che gli sarà attribuito. Peraltro, l’operazione di profilazione si distingue rispetto alle altre necessità del titolare del trattamento (es. dati raccolti per la fatturazione o per l’esecuzione delle prestazioni contrattuali) e perciò per poter svolgere attività di profiling è necessaria l’acquisizione del consenso specifico di ciascun interessato e distinto rispetto alle altre finalità del titolare del trattamento (es. comunicazioni marketing). Il consenso nel trattamento dei dati personali, peraltro, non deve essere in alcun modo condizionato. Il Garante perciò ha elaborato una specifica regola per la profilazione: la prestazione del consenso alla profilazione, quando essa si collega alla predisposizione di attività di marketing, non deve essere mai considerata quale pre-condizione necessaria per l’accesso a benefits. Art. 23 1. Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell’interessato. 2. Il consenso può riguardare l’intero trattamento ovvero una o più operazioni dello stesso. 3. Il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto e se sono state rese all’interessato le informazioni di cui all’art. 13 4. Il consenso è manifestato in forma scritta quando il trattamento riguarda dati sensibili

10 Il consenso può essere AUTODETERMINAZIONE solo se consegue ad una piena informativa indice di TRASPARENZA La regola di trasparenza che impone una informativa chiara e specifica sulle finalità di profilazione, era destinata – per la sua caratteristica di generalità – ad andare oltre il confine del caso specifico delle fidelity cards e ad estendersi a molteplici casi di profilazione inconsapevole, nei quali i dati erano raccolti dichiaratamente per l’esecuzione di obblighi contrattuali ma occultamente sottoposti a profilazione. Così, è stata vietata la profilazione su dati personali e abitudini di consumo raccolti in occasione di rapporti fra professionisti e utenti di beni e servizi di varia natura, quali la fornitura energia elettrica, la fruizione di strutture turistico-alberghiere, la partecipazione a concorsi a premio via radio o web, l’uso di servizi autostradali e di trasporto, l’accesso a servizi di customer care. Il Garante, in particolare, si preoccupa di verificare che l’informativa che precede il form di consenso – sia cartacea e sia elettronica – specifichi la finalità di profilazione e sia tenuta ben distinta rispetto ai moduli consenso per l’accettazione delle condizioni generali di contratto con le quali l’utente rilascia le informazioni necessarie al professionista per dare esecuzione alle prestazioni oggetto del rapporto contrattuale. Ancora, nel provvedimento Ferragamo (maggio 2013) il Garante specifica che l’autorizzazione alla profilazione avviene sulla condizione che l’informativa specifichi il carattere non obbligatorio del consenso che l’eventuale rifiuto non avrà alcuna conseguenza rispetto all’esecuzione del rapporto fra il cliente e il rivenditore. L’informativa, inoltre, dovrà richiamare le condizioni di conservazione e di accesso ai dati, compresi i soggetti autorizzati al trattamento soprattutto in relazione alle diverse sedi dell’attività di vendita. Art. 13 L’interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa: a)Le finalità e le modalità del trattamento cui sono destinati i dati; b)La natura obbligatoria o facoltativa del conferimento dei dati; c)Le conseguenze di un eventuale rifiuto a rispondere d)I soggetti o la categorie di soggetti (omissis) che possono venire a conoscenza di dati e l’ambito di diffusione di essi e)I diritti di cui all’art. 7 (accesso, aggiornamento, opposizioni, rettifica, cancellazione) f)I dati identificativi del titolare

11 In questo senso, si registra l’attenzione del Garante per un preciso dovere di trasparenza del titolare del trattamento nei confronti della persone da profilare. Chi entra in contatto con proposte commerciali o campagne di promozione e pubblicità deve essere pienamente consapevole del preciso uso che si intende fare dei dati raccolti e, in particolare, deve essere specificamente informato del fatto che sarà tratto un profilo in base all’analisi di abitudini e scelte di consumo. Se ne trae la conseguenza di considerare illecite le schede contenenti informazioni generiche e richieste di consenso dalle quali il sottoscrittore non possa trarre elementi per formarsi un pieno e consapevole convincimento, perché carenti di informative relative all’attività di profilazione e alle finalità con essa perseguite. Il Garante osserva il profilo dell’informativa da rendere al momento del consenso non solo sul piano formalistico, ma su quello più decisivo della trasparenza. Non una semplice comunicazione, una generica disclosure magari inserita in un modulo di consenso denso di altre informazioni, può essere considerata adeguata a determinare una precisa consapevolezza nell’interessato. La trasparenza, invece, trova piena attuazione in funzione delle modalità con le quali l’informazione è data. Si può dire che il consenso sia pienamente formato solo quando l’intelligibilità, la formulazione, la stessa presentazione grafica con cui è espressa l’informativa rendono essa e il suo significato pienamente accessibile da chi consente al trattamento dei dati che lo riguardano.

12 Principio di necessità del trattamento Provvedimento sull’arricchimento (marzo 2012): il Garante prevede delle condizioni di liceità per l’autorizzazione: Per il richiedente, in base alle finalità dichiarate (studio abitudini di utenza per proposte commerciali), non è necessaria la conservazione di qualsivoglia dato identificativo delle persone profilate. Pertanto, la profilazione dovrà avvenire cercando il più possibile di rispettare l’anonimato delle persone profilate, usando codici che non permettano di risalire immediatamente all’identità degli utenti. Per la definizione del cluster, si dovranno utilizzare esclusivamente i parametri che risultino necessari all’elaborazione della specifica campagna promozionale. Pertanto dovranno essere esclusi dal trattamento dati inutili per la campagna di marketing quali stato civile, etnia, titolo di studio, occupazione. Il Garante impone che dopo la profilazione, i dati arricchiti potranno essere conservati per un anno, poi andranno cancellati o resi anonimi in maniera irreversibile. Art. 3. I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possano essere realizzate mediante dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità. Regola della proporzionalità rispetto agli scopi Art. 11. I dati personali oggetto di trattamento sono raccolti e registrati per scopi determinati, espliciti e legittimi pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono trattati conservati in forma che consenta l’identificazione per un periodo di tempo proporzionale agli scopi e comunque limitato

13 Il Garante specifica che la liceità della profilazione debba rispondere rigorosamente ad un criterio di stretta necessità e proporzionalità fra informazioni raccolte e finalità perseguite con il trattamento. Innanzitutto, il Garante pone la condizione che la profilazione avvenga rispettando il più possibile l’anonimato, in relazione alle finalità che si intendono perseguire. Se, cioè, gli obiettivi del titolate del trattamento possono essere soddisfatti attraverso la creazione di profili anonimi, l’utilizzo di dati personali o identificativi risulta illecito perché non rispondente ai criteri di pertinenza e non eccedenza richiesti dall’art. 11 del Codice. Sotto questo aspetto, il provvedimento sull’arricchimento dei dati profilati è significativo in quanto reca un’elaborazione dei criteri di pertinenza e non eccedenza nel senso di individuare in essi un generale principio di proporzionalità nelle operazioni di trattamento dati applicabile anche alla profilazione. Essa, cioè, deve essere svolta attraverso la massima economia di accumulo e conservazione di informazioni. Proprio per questo motivo, il titolare del trattamento ha l’obbligo di individuare e dichiarare preventivamente e con trasparenza gli obiettivi per i quali crea i profili e deve adoperare questionari, cartacei o telematici, su informazioni strettamente necessarie al perseguimento delle finalità prefissate. Tutte le informazioni che non conferiscano al profilo la significatività necessaria e sufficiente al raggiungimento degli obiettivi dichiarati, non possono essere elettronicamente elaborate e nemmeno raccolte e conservate: il loro trattamento è illecito.

14 Misure di sicurezza Provvedimento Costa Crociere (giugno 2014) Il Garante concede un periodo di trattamento dati superiore ai dodici mesi (10 anni contro i 13 richiesti) in relazione al tipo di prodotto acquistato. Ma proprio per questo, irrigidisce le richieste relative alla sicurezza, soprattutto in relazione all’accesso. Chiunque avrà accesso ai dati dovrà essere nominato responsabile del trattamento Dovrà essere adottato un sistema di sicurezza idoneo a limitare sensibilmente le persone autorizzate all’accesso (credenziali e dispositivi individualmente assegnati) Dovrà sempre essere individuato il soggetto che ha avuto accesso al sistema Dovranno essere tracciate le attività svolte da ciascun soggetto che abbia avuto accesso al sistema Art. 31 I dati sono custoditi e controllati in modo da ridurre al minimo i rischi di distruzione, perdita, accesso non autorizzato o trattamento non consentito o diverso dalle finalità della raccolta. Art. 34 Il trattamento con strumenti elettronici è consentito solo in presenza di Autenticazione informatica Adozione di procedure di gestione delle credenziali di autenticazione Adozione di sistemi di autorizzazione Protezione degli strumenti elettronici rispetto aa accessi e trattamenti illeciti