RISPETTO DELLA LEGISLAZIONE SULLA PRIVACY

Il GDPR sarà davvero reso più semplice?

L’articolo “Il GDPR verso una revisione in nome della semplificazione per favorire la competitività delle imprese” discute la prossima revisione del GDPR (Regolamento generale sulla protezione dei dati) da parte di Bruxelles, prevista per maggio 2025, con l’obiettivo di semplificare la normativa per aumentare la competitività del settore tecnologico dell’UE, in particolare rispetto agli Stati Uniti e alla Cina, e per alleggerire l’onere di conformità per le piccole e medie imprese (PMI). L’attuale GDPR è percepito come eccessivamente normativo, frammentato e che impone requisiti eccessivamente onerosi alle imprese.

La revisione mira a trovare un migliore equilibrio tra la protezione dei dati e le esigenze aziendali, concentrandosi su aree come la tenuta dei registri e le valutazioni di impatto, pur preservando gli obiettivi fondamentali della protezione dei dati e del libero flusso dei dati. L’articolo evidenzia anche l’importanza della proporzionalità tra la protezione dei dati e altri diritti fondamentali, come la libertà di impresa, e sottolinea la necessità di uniformità e certezza nel GDPR rivisto per promuovere lo sviluppo e la competitività.

L’autore quindi evidenzia l’attuale criticità dovuta all’ipertrofia ​[ingrandimento esagerato​] e alla frammentazione normativa e all’impatto degli adempimenti richiesti.

Le P.A. devono bilanciare il dovere alla trasparenza e la protezione dei dati personali

L’articolo “Privacy e trasparenza amministrativa: una sentenza della Corte UE cerca di conciliare i due diritti” discute come una recente sentenza della Corte di Giustizia dell’Unione Europea affronti il delicato equilibrio tra il diritto dei cittadini alla trasparenza amministrativa e il loro diritto alla protezione dei dati personali. La sentenza sottolinea che il GDPR non vieta la diffusione di tali dati, ma richiede un bilanciamento responsabile. 

Le pubbliche amministrazioni dovranno motivare le scelte di oscuramento o diffusione, documentare le valutazioni compiute e dimostrare di aver tentato di contattare i soggetti coinvolti. Questo orientamento mira a promuovere una nuova cultura della trasparenza, dove la privacy non sia utilizzata come scudo per l’opacità.  ​[Ancora una volta, non c’è una direttiva precisa, si rimanda sempre all’accountability per decisioni di carattere soggettivo e pertanto opinabili. Ndr]

Una sentenza consente l’uso di videosorveglianza a dispetto del diniego da parte dell’INL

L’articolo “Videosorveglianza: telecamere e lavoratori sotto osservazione non solo formale” evidenzia che, anche quando le telecamere di videosorveglianza sono posizionate al di fuori dello stabilimento aziendale e riprendono i lavoratori, è comunque necessario un accordo sindacale. Questo obbligo deriva dall’articolo 4 dello Statuto dei Lavoratori, che vieta l’uso di impianti audiovisivi per il controllo a distanza dei lavoratori, a meno che non vi sia un accordo con le rappresentanze sindacali o, in alternativa, un’autorizzazione dell’Ispettorato del Lavoro.

La sentenza menzionata nell’articolo ha​ però, nel caso specifico, annullato il diniego opposto dall’Ispettorato del Lavoro in merito all’autorizzazione all’installazione delle telecamere, sottolineando l’importanza di valutare attentamente ogni progetto di videosorveglianza, inclusi gli spazi esterni come cancelli e parcheggi, se i lavoratori sono potenzialmente identificabili o monitorabili.

L’Intelligenza Artificiale può aumentare i rischi di non conformità ai regolamenti quando si utilizza per la videosorveglianza

L’articolo “Attenzione alle derive tecnologiche con l’abuso dell’intelligenza artificiale per la sorveglianza nei luoghi di lavoro” evidenzia i rischi dell’uso dell’intelligenza artificiale per la sorveglianza sul posto di lavoro. Riporta il caso di una società immobiliare francese multata per eccessiva sorveglianza, inclusa la registrazione audio e video continua, il monitoraggio delle pause dei dipendenti e screenshot sistematici dei loro schermi. L’articolo sottolinea che, sebbene il GDPR non vieti completamente la sorveglianza sul posto di lavoro, stabilisce limiti rigorosi, tra cui la necessità di una chiara base giuridica, proporzionalità, trasparenza, sicurezza dei dati e valutazioni d’impatto.

Federprivacy ha organizzato un webinar sulla videosorveglianza e le attività di controllo sul posto di lavoro.

L’articolo conclude sottolineando l’importanza di un approccio responsabile alla tecnologia sul posto di lavoro, considerando sia gli impatti legali che umani per evitare di danneggiare l’ambiente di lavoro e incorrere in sanzioni. Da notare ​che le pratiche e modalità di controllo​, utilizzate dalla società che è stata multata​, violavano comunque diversi requisiti di tutela della privacy, indipendentemente dall’utilizzo dell’Intelligenza Artificiale.

Il progetto Privacy Sandbox è stato eliminato da Google.

L’articolo “Privacy Sandbox al capolinea: Google continuerà ad usare i cookie per tracciare gli utenti” riferisce che Google, avendo abbandonato il progetto Privacy Sandbox manterrà l’attuale sistema di gestione dei cookie di terze parti su Chrome, che consente la tracciatura online dai cookie degli utenti. Altrimenti Google avrebbe avuto una posizione di predominio, incompatibile con i regolamenti sulla concorrenza. Comunque gli utenti potranno continuare a scegliere l’opzione migliore per le impostazioni di privacy e sicurezza di Chrome, anche relativamente alla scelta dei cookie di terze parti.

GESTIONE DEI RISCHI E MISURE DI CONTRASTO

Clienti di ePrice: attenzione ed eventuali attacchi phishing

L’articolo “Violata la piattaforma di e-commerce ePrice: dati personali di 6.8 milioni di clienti in vendita sul dark web” discute una grave violazione dei dati presso ePrice, una piattaforma di e-commerce italiana, in cui sono stati compromessi i dati personali di circa 6,8 milioni di clienti. Il data breach ha comportato il furto di informazioni sensibili come nomi, indirizzi, numeri di telefono, indirizzi e-mail e cronologie degli ordini risalenti al 2008. I dati rubati vengono attualmente venduti sul dark web, aumentando significativamente il rischio per gli utenti di subire attacchi di ingegneria sociale e frodi mirate, poiché i criminali informatici possono utilizzare queste informazioni per impersonare ePrice o altre entità affidabili.

L’attacco ha sfruttato una vulnerabilità che consentiva query dirette al database. ePrice ha quindi implementato misure di sicurezza aggiuntive ed ha consigliato ai clienti di cambiare le password e di essere cauti nei confronti di possibili tentativi di phishing. L’articolo evidenzia i pericoli di violazioni di dati così complete nel contesto di truffe avanzate basate sull’IA, sottolineando la necessità di una maggiore vigilanza da parte dei consumatori.

Internet delle cose: comporta dei rischi se non si prendono delle precauzioni

L’articolo “Un hacker può violare la privacy della vostra abitazione: come può riuscirci e come difendersi” affronta il tema della violazione della privacy domestica da parte degli hacker, resa possibile dalla crescente diffusione di dispositivi intelligenti connessi alla rete, noti come IoT (Internet of Things).

Gli hacker possono sfruttare le vulnerabilità di questi dispositivi, spesso dovute a credenziali deboli o impostazioni di fabbrica, per accedere a reti Wi-Fi domestiche e prendere il controllo di telecamere, microfoni e altri dispositivi. Ciò può portare a spionaggio, furto di informazioni personali e persino alla manipolazione di elettrodomestici, creando situazioni di disagio o pericolo. L’articolo evidenzia anche come il phishing e gli attacchi “man-in-the-middle” rappresentino ulteriori minacce alla privacy domestica.

Per proteggersi da questi rischi, l’articolo raccomanda di cambiare regolarmente le password dei dispositivi, utilizzando combinazioni complesse e uniche, e di mantenere il software aggiornato. Suggerisce, inoltre, di utilizzare una rete Wi-Fi separata per i dispositivi IoT e di adottare l’autenticazione a due fattori per gli account online associati ai dispositivi domestici. Infine, sottolinea l’importanza di educarsi sulle minacce informatiche e di prestare attenzione a segnali di possibili intrusioni, come comportamenti anomali dei dispositivi connessi.

Messaggi truffa su WhatsApp simulano il mittente sia persona nota

L’articolo “«Per favore, vota per mia nipote per farle vincere la borsa di studio»: nuova truffa su WhatsApp che ruba i dati della rubrica” discute una nuova truffa su WhatsApp che ruba i dati dei contatti. La truffa coinvolge un messaggio, apparentemente da un amico, che chiede un voto per una giovane ballerina per vincere una borsa di studio. Il messaggio include un link che, quando viene cliccato, richiede un login e poi un codice SMS. Questa azione dà agli scammer accesso ai dati WhatsApp dell’utente, che vengono poi utilizzati per inviare lo stesso messaggio a tutti i contatti, creando una catena. L’articolo avverte gli utenti di essere cauti con tali messaggi e consiglia di contattare il mittente per telefono per verificare l’autenticità del messaggio se sembra sospetto.

L’autenticazione a due fattori, tramite l’invio di un codice per SMS non è più sufficiente

L’articolo “Attenzione a Tycoon 2FA, la soluzione chiavi in mano che consente agli hacker di aggirare l’autenticazione a due fattori” discute la minaccia alla sicurezza informatica rappresentata da Tycoon 2FA, uno strumento di phishing sofisticato che consente agli hacker di aggirare l’autenticazione a due fattori. Sottolinea come questo strumento, identificato per la prima volta nell’ottobre 2023, utilizzi tecniche avanzate come caratteri Unicode invisibili e CAPTCHA personalizzati per creare pagine di accesso quasi indistinguibili dagli originali, catturando sia le credenziali utente che i codici di autenticazione.

L’articolo menziona anche come Google e Microsoft stiano rispondendo promuovendo alternative più sicure come Passkeys e applicazioni come Microsoft Authenticator. Infine, suggerisce strategie per contrastare tali minacce, tra cui il monitoraggio comportamentale, il sandboxing del browser e l’uso di strumenti come la regola YARA di Trustwave per rilevare modelli di offuscamento.

La protezione dei dati personali nella blockchain richiede misure aggiuntive

L’articolo “Adottate le linee guida sui trattamenti di dati personali effettuati attraverso blockchain” discute le nuove linee guida sull’uso delle tecnologie blockchain per il trattamento dei dati personali, adottate dal Comitato europeo per la protezione dei dati (EDPB) durante la plenaria di aprile 2025. L’obiettivo è fornire orientamenti pratici alle organizzazioni che utilizzano queste tecnologie, affinché rispettino i requisiti del GDPR.

La blockchain è definita come un sistema di registro digitale distribuito, in grado di confermare transazioni e attestare la proprietà di asset digitali, garantendo la gestione e il trasferimento sicuro di informazioni, salvaguardandone l’integrità e la tracciabilità.

Le Linee Guida 02/2025 ​(Guidelines 02/2025 on processing of personal data through blockchain technologies – Version 1.1) forniscono esempi di tecniche utili alla minimizzazione dei dati, nonché indicazioni su come gestire e archiviare le informazioni personali. In generale, raccomandano di evitare la memorizzazione di dati personali direttamente sulla blockchain, se ciò contrasta con i principi del GDPR.

Una legge che se avesse carattere universale potrebbe vanificare i ransomware

L’articolo “Ransomware e cyber estorsioni: chi pagherà il riscatto sarà multato” tratta di una proposta di legge relativa a ransomware e cyber estorsioni. La proposta prevede che chi paga il riscatto in caso di attacco ransomware sarà multato. Questa legge si applica sia alle imprese pubbliche che private. Implicita nella legge è la messa a rischio delle attività dei cyber-negoziatori, ovvero quelle figure che mediano tra le richieste dei criminali informatici e le aziende, che potrebbero essere accusate di concorso nel reato di estorsione informatica.

Drastico aumento delle intrusioni nei sistemi informativi e conseguente pericolo di ransomware

L’articolo “Data Breach: +53% violazioni da intrusione di sistema nell’area EMEA” riferisce che il Data Breach Investigations Report 2025 di Verizon Business rivela un aumento del 53% delle violazioni da intrusione di sistema nell’area EMEA​ (“Europe, Middle East, and Africa”). Il rapporto, basato su oltre 12.000 violazioni confermate, evidenzia anche un aumento del coinvolgimento di terze parti e la persistente minaccia del ransomware. Sottolinea la necessità di robuste difese esterne e interne, aggiornamenti regolari e formazione per contrastare le crescenti minacce informatiche.

Un sofisticato phishing ci potrebbe ingannare se abbiamo pagamenti alla PA in sospeso

L’Agenzia per l’Italia Digitale (CERT-AgID) ha segnalato un aumento delle campagne di phishing che prendono di mira gli utenti italiani. Queste campagne sfruttano l’identità visiva e il marchio di PagoPA, la piattaforma ufficiale per i pagamenti alla Pubblica Amministrazione, per svolgere attività fraudolente.

Dettagli dell’attacco:

Il metodo principale di attacco consiste nell’invio di e-mail e SMS di massa che imitano le notifiche di sanzioni amministrative non pagate per violazioni del Codice della Strada, includendo importi specifici, numeri di pratica e scadenze ravvicinate

4 punti per identificare un’email di phishing:

  1. Verificare l’indirizzo del mittente: Le comunicazioni ufficiali di PagoPA provengono esclusivamente da indirizzi certificati, come noreply-checkout@ricevute.pagopa.it.
  2. Controllare attentamente gli URL: Prima di cliccare su qualsiasi collegamento ipertestuale, assicurarsi della sua legittimità.
  3. Analizzare criticamente il contenuto: Prestare attenzione agli elementi visivi come loghi e formattazione.
  4. Verificare la legittimità della richiesta: Consultare fonti ufficiali o utilizzare canali istituzionali per verificare la comunicazione.

Una contraddizione tra una caratteristica della blockchain ed un requisito del GDPR

L’articolo “Blockchain e privacy: sfide tecniche e conformità normativa nel trattamento dei dati personali” tratta dell’innovazione della tecnologia blockchain in vari settori come finanza, logistica, sanità e pubblica amministrazione.

L’articolo evidenzia una contraddizione tra l’immutabilità della blockchain, che garantisce sicurezza e affidabilità, e i principi della normativa europea sulla protezione dei dati personali. L’immutabilità, una caratteristica fondamentale della blockchain, si scontra con i diritti degli interessati previsti dal GDPR, come il diritto alla cancellazione e alla rettifica dei dati.

Raccomandazioni del governo svizzero che dovrebbero valere anche per i cittadini dei paesi membri dell’UE

L’articolo “Svizzera: prima dei viaggi all’estero i dipendenti pubblici devono cancellare i dati riservati dai loro cellulari e rimuovere le app aziendali” tratta della decisione del governo svizzero di obbligare i dipendenti pubblici a cancellare i dati riservati dai loro cellulari e a rimuovere le app aziendali prima di recarsi all’estero. Questa misura è anche un consiglio per tutti i cittadini svizzeri che viaggiano all’estero.

La motivazione principale è la protezione dei dati sensibili e delle informazioni riservate del governo svizzero, che potrebbero essere a rischio di spionaggio o accesso non autorizzato da parte di governi stranieri o entità ostili. La Svizzera, pur non essendo membro dell’UE, è soggetta a un aumento delle attività di spionaggio, in particolare da parte di Russia e Cina. La rimozione dei dati e delle app aziendali dai dispositivi personali riduce significativamente il rischio di compromissione di tali informazioni.

Questo vale anche per viaggiatori d’affari e turisti, comunque invitati alla prudenza.

PUBBLICITA’ E PRIVACY

La Direttiva ePrivacy prevale sul GDPR

L’articolo “La posizione della Corte UE su email marketing e protezione dati: la Direttiva ePrivacy prevale sul GDPR?” tratta della posizione della Corte di Giustizia dell’Unione Europea (CGUE) in merito al rapporto tra la Direttiva ePrivacy e il Regolamento Generale sulla Protezione dei Dati (GDPR) nel contesto dell’email marketing. La CGUE ha stabilito che la Direttiva ePrivacy, che tutela la riservatezza delle comunicazioni elettroniche, prevale sul GDPR in materia di email marketing. Ciò significa che le norme più specifiche della Direttiva ePrivacy, che richiedono il consenso esplicito per l’invio di email pubblicitarie, devono essere applicate prioritariamente rispetto alle disposizioni più generali del GDPR. ​L’articolo menziona anche l’Art. 95 del GDPR, il quale stabilisce infatti che il Regolamento non impone obblighi supplementari in settori già regolati dalla Direttiva ePrivacy (Direttiva 2022/58/CE)

La decisione della CGUE rafforza la protezione della privacy degli utenti in ambito di comunicazioni elettroniche e chiarisce il quadro normativo per le attività di email marketing.​ ​T​uttavia, se un indirizzo email è stato raccolto nel contesto della vendita di un prodotto o servizio, può essere riutilizzato per commercializzazione diretta, promuovendo prodotti o servizi analoghi anche a mezzo di sistemi automatizzati come la posta elettronica, purché venga offerta al cliente un’opzione chiara e gratuita per opporsi.​ E, come ha ricordato la Corte di Giustizia UE​, una comunicazione può essere considerata “commercializzazione diretta” quando persegue uno scopo commerciale​ e si rivolge direttamente e individualmente al consumatore.

LIMITI E RISCHI NEL MONITORAGGIO DELLE PERSONE

Salvo eccezioni, anche il riconoscimento facciale deve sottostare ai requisiti del GDPR

L’articolo “Quando il volto diventa una password: il riconoscimento facciale tra necessità di ordine pubblico e rispetto della privacy” tratta del riconoscimento facciale, evidenziando come questa tecnologia, pur offrendo vantaggi in termini di sicurezza e controllo degli accessi, sollevi importanti questioni relative alla privacy e alla protezione dei dati personali. L’articolo sottolinea come il riconoscimento facciale possa essere utilizzato per sorvegliare, profilare e schedare opinioni e abitudini, e come il diritto debba intervenire prima dello sviluppo tecnologico per regolamentarne l’uso.

L’articolo menziona l’uso del riconoscimento facciale negli stadi italiani per prevenire la violenza e identificare i colpevoli di reati, basandosi sulla Legge 401/1989. Tuttavia, si precisa che questa è una disciplina eccezionale e settoriale, non estendibile automaticamente ad altri contesti. L’articolo evidenzia che, in assenza di normative specifiche, il GDPR e il Regolamento europeo sull’intelligenza artificiale (AI Act) forniscono le regole da seguire.

L’articolo sottolinea l’importanza del principio di proporzionalità, previsto dall’art. 35 del GDPR, che richiede un bilanciamento tra i fini perseguiti e i diritti sacrificati. In contesti come stadi, piazze o grandi eventi, dove sono coinvolte molte persone senza possibilità di scelta, è necessaria la massima cautela. La DPIA (Data Protection Impact Assessment – Valutazione di impatto sulla protezione dei dati [personali]) è uno strumento fondamentale, ma non una scorciatoia. Non è un lasciapassare, ma una valutazione critica che può concludersi con una decisione negativa se i rischi per i diritti e le libertà fondamentali non sono adeguatamente mitigabili. L’articolo conclude sottolineando la necessità di regole univoche ed europee sull’uso del riconoscimento facciale, evidenziando che l’AI Act è solo un primo passo e che è essenziale considerare l’origine e la circolazione di queste tecnologie, spesso sviluppate in contesti con normative diverse dalle nostre.

Tutela della privacy o tutela della salute?

L’articolo “Giusta la sanzione per violazione della privacy all’azienda sanitaria che classificava i pazienti riguardo al rischio di complicanze da Covid-19” discute un caso di violazione della privacy che coinvolge l’Azienda Sanitaria Friuli Centrale.

L’azienda sanitaria ha classificato i pazienti in base al loro rischio di sviluppare complicanze da COVID-19, utilizzando un algoritmo per analizzare i dati dei pazienti da database aziendali e cartelle cliniche elettroniche. ​Il Garante ​della Privacy ha considerato questa attività illecita perché la stratificazione della popolazione assistita in base al rischio sanitario individuale non è compresa nelle finalità di programmazione, valutazione e controllo. Il Garante ha multato l’Azienda Sanitaria Friuli Centrale con 55.000 euro e ha ordinato la cancellazione dei dati elaborati. La Corte di Cassazione ha confermato la decisione del Garante, affermando che la situazione pandemica non giustificava i metodi di elaborazione dei dati utilizzati dall’azienda sanitaria.

[Questo è un caso in cui le pastoie dei regolamenti possono anche ostacolare il bene dei cittadini, impedendo che ai pazienti fragili siano prestate attenzioni sanitarie più tempestive e mirate. Non sarebbero stati sufficienti il consenso che si dà all’Azienda Sanitaria per il trattamento dei nostri dati, misure di riservatezza e di protezione dalle violazioni, nonché fare appello alla base giuridica del trattamento costituita dalla “salvaguardia degli interessi vitali dell’interessato” ? Ndr]

Il riconoscimento facciale per azioni di polizia preventiva

L’articolo “Catena di supermercati sperimenta il riconoscimento facciale per scovare ladri e individui pericolosi nei propri punti vendita” tratta della sperimentazione di una catena di supermercati nel Regno Unito, Asda, che utilizza la tecnologia di riconoscimento facciale per identificare ladri e individui pericolosi nei suoi negozi.

La sperimentazione, della durata di due mesi, si svolge in cinque negozi del Greater Manchester e confronta le immagini con un elenco di persone note per furti e attività criminali. In caso di corrispondenza, il team di sicurezza centrale avvisa il negozio in tempo reale. Se non c’è corrispondenza, le immagini vengono eliminate immediatamente.

Asda sottolinea l’importanza di garantire la sicurezza nei negozi a causa dell’aumento del taccheggio e delle minacce ai commercianti. Tuttavia, la soluzione solleva preoccupazioni sulla privacy dei clienti e sulle potenziali discriminazioni.

La startup FaiceTech fornisce il sistema di riconoscimento facciale, che promette un’alta precisione e conformità con il GDPR del Regno Unito. I risultati della sperimentazione determineranno se la tecnologia verrà estesa ad altre sedi, sempre che l’autorità per la protezione dei dati britannica sia d’accordo e non trovi non conformità alla normativa sulla protezione dei dati personali.

IN BREVE, DALL’ITALIA E DAL MONDO

Formazione sul GDPR attraverso brevi video, prodotti dal Garante della Privacy

L’articolo “Online «A proposito di privacy», il podcast del Garante per aiutare cittadini e imprese a comprendere il valore dei dati personali” discute “A proposito di privacy”, un podcast​ del Garante per i dati personali, progettato per aiutare i cittadini e le imprese a comprendere l’importanza dei dati personali e la loro protezione.​ [​un podcast programma audio digitale, che è possibile scaricare o ascoltare in streaming online, in genere in più episodi riferiti ad un argomento specifico]

Il podcast affronta vari argomenti, tra cui la sicurezza informatica, l’intelligenza artificiale e i diritti dei minori online, utilizzando un linguaggio chiaro per raggiungere un vasto pubblico. Il primo episodio si concentra sulla vulnerabilità dei sistemi di sicurezza dei database bancari e sui consigli del Garante per la protezione dei dati. Il podcast è disponibile sul sito web del Garante e sulle principali piattaforme online.

Il database di Oracle è stato davvero violato?

L’articolo “Hacker dichiara di aver violato Oracle Cloud e per dimostrarlo mette in vendita i dati degli utenti, ma l’azienda americana smentisce” discute​ di una possibile violazione dei dati su Oracle Cloud, dove un hacker ha affermato di aver estratto dati sensibili degli utenti. L’hacker, che operava su BreachForums, ha affermato di aver sfruttato una vulnerabilità in Oracle Access Manager, accedendo a oltre 6 milioni di record relativi a 140.000 “inquilini”, inclusi credenziali e configurazioni interne.

Oracle ha negato qualsiasi violazione, ma alcuni esperti di cyber security suggeriscono il contrario, indicando le prove fornite dall’hacker, come i dati campione che sembrano coerenti con ambienti reali. Trustwave Holdings Inc. indica che l’hacker offre diverse opzioni di acquisto per i dati rubati, classificati in base al nome dell’azienda e al tipo di credenziale.

Se la violazione fosse confermata, potrebbe portare a una significativa esposizione di credenziali sensibili, con il rischio di campagne di phishing o accesso non autorizzato ai database. Trustwave consiglia alle organizzazioni colpite di prendere misure proattive, come cambiare le credenziali potenzialmente esposte e aumentare il monitoraggio per attività sospette. L’articolo evidenzia le affermazioni contrastanti e i potenziali rischi coinvolti, sottolineando la necessità di vigilanza e azioni preventive da parte delle organizzazioni che utilizzano Oracle Cloud.

In linea con le indicazioni di Trustwave (esperti di sicurezza informatica), le entità coinvolte dovrebbero implementare misure di sicurezza immediate, tra cui la sostituzione delle credenziali potenzialmente vulnerabili, l’introduzione dell’autenticazione multi-fattore, un rafforzamento della vigilanza sulle attività inusuali e un’indagine approfondita sull’effettiva portata della violazione dei dati.

Strumenti digitali internet in aumento e intelligenza media in declino?

L’articolo “Le nuove identità umane all’epoca della rivoluzione digitale” esplora come l’era digitale abbia trasformato l’identità umana. Secondo l’autore, esistono tre identità: la persona fisica, l’identità virtuale (un doppione digitale costruito online) e l’​ “Homo Googlis​” (l’essere umano in simbiosi con i dispositivi digitali). L’articolo solleva interrogativi sulle implicazioni giuridiche e sociali di queste nuove identità, sottolineando la necessità di proteggere l’identità virtuale e considerare l’uso postumo dei dati personali.

​Vengono elencati i possibili danni, l​​e trasformazioni psichiche, sociali ​e le ricadute cognitive derivanti dall’utilizzo poco consapevole delle funzionalità digitali (motori di ricerca, social)​ e dal bisogno ossessivo di connessione Internet:​ disturbi come la nomofobia​ (fobia da assenza di telefono cellulare), la FOMO​ (Fear of Missing Out, la paura di essere esclusi da esperienze che altri potrebbero vivere), l’ansia da notifica o la dismorfia da filtro​ (ansia causata dalla discrepanza tra il proprio aspetto reale e l’immagine idealizzata di sé che si vede riflessa nei filtri dei social media), la demenza digitale (progressiva atrofia del pensiero critico in favore dell’esternalizzazione della memoria), il declino dell’intelligenza media, probabilmente legato a un sapere sempre più frammentato e superficiale. ​

​L’articolo quindi accenna a necessità legali ​(un’estensione concettuale e normativa dei diritti della persona fisica all’identità virtuale e alle sue emanazioni) e ​alla necessità di consapevolezza​ (a partire da un’informativa che tuteli i tre individui).

Un regolamento europeo specifico per i dati sanitari

L’articolo “Al via il Regolamento sullo Spazio Europeo dei Dati Sanitari” informa che il 26 marzo 2025 è entrato in vigore il Regolamento (UE) 2025/327 relativo allo Spazio Europeo dei Dati Sanitari (EHDS). Questo regolamento introduce cambiamenti significativi nell’uso dei dati sanitari all’interno dell’Unione Europea.

  • Uso primario dei dati sanitari: Si riferisce all’uso dei dati sanitari per la cura del paziente. Il regolamento mira a facilitare l’accesso dei pazienti ai propri dati sanitari elettronici in tutta l’UE, migliorando la continuità delle cure e evitando la duplicazione di esami medici.
  • Uso secondario dei dati sanitari: Riguarda l’uso dei dati sanitari per finalità diverse dalla cura diretta del paziente, come la ricerca, l’innovazione, l’elaborazione di politiche sanitarie e attività regolatorie o statistiche. Il regolamento stabilisce le condizioni alle quali questi dati possono essere riutilizzati, garantendo al contempo la protezione della privacy.

Il regolamento identifica tre attori principali:

  1. Organismi responsabili dell’accesso ai dati sanitari: Designati dagli Stati membri per autorizzare le richieste di accesso ai dati per scopi secondari.
  2. Titolari dei dati: Organizzazioni sanitarie e professionisti che raccolgono e gestiscono i dati sanitari.
  3. Utenti dei dati: Persone fisiche o giuridiche (incluse istituzioni e ricercatori) a cui viene concesso l’accesso ai dati per l’uso secondario.

Sebbene il regolamento sia entrato in vigore, la sua piena applicazione richiederà decreti di adozione da parte dei singoli Stati membri per definire le modalità concrete di implementazione a livello nazionale.

Cooperazione tra i Garanti europei della Privacy: semplificazione o complicazione?

L’articolo “Bruxelles sotto accusa: «le riforme sul GDPR hanno un approccio medievale e rischiano di indebolire la privacy europea»” riferisce che l’Avv. Max Schrems, fondatore di noyb, critica duramente una proposta legislativa dell’Unione Europea che mira a semplificare la cooperazione tra le autorità garanti della privacy degli Stati membri. Secondo Schrems, invece di rafforzare l’efficacia del GDPR, la riforma introdurrebbe nuove complicazioni procedurali, rischiando di ostacolare l’applicazione del regolamento. In particolare, denuncia l’introduzione di una nuova fase pre-procedimentale obbligatoria che permetterebbe alle imprese sotto indagine di ritardare l’avvio dell’istruttoria. Schrems esprime preoccupazione per il fatto che la proposta sia stata approvata senza un reale confronto pubblico.

Le relazioni annuali drell’EDPBe del EDPS sulle loro attività svolte nel 2024

L’articolo “Pubblicate le relazioni annuali del Comitato europeo per la protezione dei dati e del Garante Privacy dell’UE” tratta delle relazioni annuali pubblicate dal Comitato Europeo per la Protezione dei Dati (EDPB) e dal Garante europeo della protezione dei dati (EDPS) per l’anno 2024.

La relazione dell’EDPB evidenzia l’adozione della strategia 2024-2027, i pareri sulla conformità al GDPR e gli sforzi per fornire orientamenti giuridici. In particolare, l’EDPB ha adottato 8 pareri, inclusi quelli sulla validità del consenso nei modelli “consenso o pagamento”, sul riconoscimento facciale negli aeroporti e sull’uso dei dati personali per la formazione dell’IA. L’EDPB ha anche partecipato a discussioni legislative, sottolineando le considerazioni e gli impatti sulla protezione dei dati per le piccole imprese (https://www.edpb.europa.eu/sme-data-protection-guide/home_it), e sulle linee guida circa il legittimo interesse sul trasferimento dei dati alle autorità di Paesi terzi (https://www.edpb.europa.eu/sme-data-protection-guide/international-data-transfers_it); inoltre ha ampliato le sue linee guida per aiutare le organizzazioni a conformarsi al GDPR.

La relazione dell’EDPS si concentra sulla creazione di un futuro digitale più sicuro e celebra i 20 anni di protezione della privacy e dei dati dei cittadini. L’EDPS ha creato un’unità AI e ha presentato una strategia AI basata sulla governance, la gestione dei rischi e la supervisione. L’EDPS ha anche pubblicato 97 consultazioni legislative, fornendo consulenza sugli aspetti della protezione dei dati delle prossime normative UE. L’EDPS ha inoltre aumentato le sue azioni di supervisione e di applicazione della legge, fornendo gli strumenti necessari alle autorità di controllo dell’UE.

INTELLIGENZA ARTIFICIALE

Intelligenza Artificiale: opportunità, rischi e regole da rispettare (in breve)

L’articolo “L’intelligenza artificiale nelle pmi Italiane: navigare in acque sicure tra promesse e insidie grazie alla bussola del Gdpr” fa un’analisi schematica sull’utilizzo dell’Intelligenza Artificiale.

L’adozione dell’intelligenza artificiale (IA) nelle piccole e medie imprese (PMI) italiane è in crescita. 

Opportunità:

L’IA offre diverse opportunità per le PMI italiane, tra cui:

  • Ottimizzazione operativa: Automazione dei processi, miglioramento dell’efficienza e riduzione dei costi.
  • Miglioramento dell’esperienza cliente: Personalizzazione dei servizi, chatbots per il customer service, analisi dei comportamenti dei clienti.
  • Analisi avanzata dei dati e decisioni strategiche: Identificazione di trend, previsioni di mercato, ottimizzazione della supply chain.
  • Previsioni più accurate: Sviluppo di modelli predittivi per la manutenzione preventiva, la gestione delle scorte e la pianificazione della produzione.

Settori interessati:

L’IA può essere applicata in diversi settori, tra cui:

  • Manifatturiero: Automazione dei processi produttivi, controllo qualità, manutenzione predittiva.
  • Retail ed e-commerce: Personalizzazione dei prodotti e dei servizi, analisi dei comportamenti dei clienti, marketing mirato.
  • Servizi (Finanziario, Consulenza, Logistica, IT): Automazione dei processi amministrativi, analisi dei dati per il supporto decisionale, miglioramento dell’esperienza cliente.
  • Agroalimentare: Monitoraggio delle colture, ottimizzazione dell’irrigazione, analisi della qualità dei prodotti.
  • Sanitario (Cliniche Private, Centri Diagnostici): Analisi dei dati clinici, supporto alla diagnosi, sviluppo di nuovi farmaci.

Insidie:

L’implementazione dell’IA presenta anche alcune insidie, tra cui:

  • Formazione del personale: È necessario formare il personale non solo nell’uso degli strumenti di IA, ma anche nella comprensione delle loro implicazioni e dei potenziali pregiudizi.
  • Compliance con il GDPR: L’IA spesso si basa su dati personali, quindi è fondamentale garantire il rispetto del GDPR.

Requisiti GDPR:

Per garantire la conformità al GDPR, le PMI devono:

  • Minimizzare i dati: Raccogliere solo i dati necessari per gli scopi specifici.
  • Limitare gli scopi: Utilizzare i dati solo per gli scopi per i quali sono stati raccolti.
  • Ottenere consenso informato: Ottenere il consenso esplicito degli utenti per l’elaborazione dei loro dati personali.
  • Garantire i diritti degli interessati: Garantire il diritto degli interessati all’accesso, alla rettifica, alla cancellazione e all’opposizione dei loro dati.
  • Rispettare i requisiti specifici per il processo decisionale automatizzato e la profilazione: Valutare l’impatto sul singolo e adottare misure appropriate per proteggere i diritti e le libertà.

Tuttavia, l’implementazione dell’IA comporta anche rischi che devono essere attentamente considerati. Le PMI italiane devono navigare nel GDPR, adottando un approccio “privacy by design” e “security by design”. L’articolo conclude sottolineando che l’integrazione riuscita dell’IA richiede una valutazione proattiva dei rischi e un impegno per la conformità etica e normativa.

E’ necessaria la formazione dei dipendenti sul corretto utilizzo degli strumenti di IA

L’articolo “Uso indiscriminato di AI in azienda: la formazione dei dipendenti gioca un ruolo chiave per la compliance privacy” tratta dell’uso indiscriminato dell’intelligenza artificiale (AI) nelle aziende e dell’importanza della formazione dei dipendenti per garantire la conformità alla privacy.

L’articolo evidenzia che, sebbene l’IA offra strumenti potenti per aumentare la produttività e migliorare i processi decisionali, la sua adozione incontrollata da parte dei dipendenti può rappresentare una grave minaccia per la sicurezza dei dati e la privacy. In particolare, viene sottolineato come una parte significativa dei dipendenti installi autonomamente estensioni di IA nei propri browser, spesso senza seguire procedure di sicurezza o autorizzazioni ufficiali, esponendo le aziende a rischi di attacchi informatici e perdita di informazioni riservate.

L’articolo sottolinea che la formazione dei dipendenti gioca un ruolo chiave nella mitigazione di questi rischi. Promuovere una cultura della consapevolezza tecnologica è essenziale per ridurre i rischi associati all’uso improprio dell’IA. I dipendenti devono essere informati sui potenziali pericoli legati all’adozione di strumenti non autorizzati e sull’importanza della protezione dei dati personali e aziendali. L’articolo conclude che la formazione e l’istruzione dei dipendenti sull’uso corretto e responsabile dell’IA sono diventate una necessità per le aziende.

Intelligenza Artificiale negli studi professionali: è necessario un utilizzo consapevole

Evitando di ripetere la trattazione degli scenari già descritti nell’articolo “​Uso indiscriminato di AI in azienda: la formazione dei dipendenti gioca un ruolo chiave per la compliance privacy”, si riporta l’articolo “Intelligenza artificiale negli studi professionali: quando l’uso incontrollato compromette privacy e reputazione aziendale” solo in riferimento all’uso crescente dell’intelligenza artificiale (IA) negli ambienti professionali come studi legali e studi contabili, sia ​per i suoi vantaggi che ​per i rischi che pone alla privacy dei dati e alla reputazione aziendale. Si nota che i professionisti stanno utilizzando strumenti di IA come ChatGPT per semplificare le attività ripetitive e analizzare dati complessi, portando a un aumento della spesa digitale nel settore.

L’articolo cita statistiche che mostrano che una percentuale significativa di aziende europee e italiane, compresi gli studi legali, non hanno politiche chiare per l’uso dell’IA, aumentando il rischio di violazioni dei dati e ripercussioni legali.

I benefici dell’Intelligenza Artificiale presuppongono un utilizzo etico e la supervisione umana

L’articolo “L’intelligenza artificiale per una società digitale etica: costruire fiducia attraverso un approccio umano” discute l’importanza di un approccio umano-centrico all’intelligenza artificiale (IA) per lo sviluppo di una società digitale etica. Sottolinea che sebbene l’IA abbia rivoluzionato vari settori come l’assistenza sanitaria, la finanza e l’istruzione, il suo sviluppo deve rispettare i principi di equità, trasparenza e responsabilità.

L’articolo evidenzia le applicazioni dell’IA nell’assistenza sanitaria, come il miglioramento della diagnostica, la ricerca di farmaci e la gestione dei pazienti, e nella finanza, come il rilevamento delle frodi e i consigli di investimento personalizzati [ci sono però anche inconvenienti come, a volte, un incremento dei trend della borsa, come accaduto recentemente sui ribassi provocati dai dazi, per cui è stato affermato che uno dei motivi dell’eccesso è stato l’algoritmo di IA. Ndr].

Nel​ campo dell’istruzione, l’IA offre esperienze di apprendimento personalizzate. Tuttavia, l’articolo sottolinea la necessità di un controllo umano per garantire un utilizzo etico e sicuro dell’IA, proteggere la privacy e prevenire la discriminazione.

In definitiva, l’articolo sostiene che costruire fiducia è fondamentale per il successo dell’adozione dell’IA. Conclude che con il giusto impegno, l’IA può guidare l’innovazione e beneficiare la società, a condizione che rimanga sotto il controllo e la supervisione umana.

L’intelligenza Artificiale in aiuto al Data Protection Officer

L’articolo “La tecnica del close reading applicata alla protezione dei dati: l’uso da parte del Data Protection Officer” discute l’applicazione della tecnica del “close reading”, una tecnica di analisi testuale approfondita focalizzata su dettagli linguistici e strutturali per rivelare significati nascosti, ​applicabile al campo della protezione dei dati e al ruolo del Responsabile della Protezione dei Dati (DPO).

Un DPO può utilizzare il close reading per analizzare a fondo le politiche sulla privacy, gli accordi contrattuali e le procedure per garantire la conformità al GDPR, la chiarezza e la completezza. Può anche aiutare a identificare i potenziali rischi relativi a pratiche errate di elaborazione dei dati, scoprire ambiguità che potrebbero compromettere i diritti degli utenti, verificare l’accuratezza dei record e valutare la coerenza delle informazioni condivise con i team.

L’articolo conclude che i DPO che padroneggiano la lettura ravvicinata possono identificare più efficacemente i rischi per la privacy nei documenti complessi e sviluppare strategie di protezione dei dati sofisticate, evidenziando l’importanza dell’apprendimento continuo e degli approcci innovativi per i DPO per migliorare la loro efficacia. [Sarebbe interessante un’applicazione di IA in grado di applicare il close reading a un testo fornendo output mirati​; ndr]

AMBITO CLOSE READING PROTEZIONE DATI
Analisi dettagliata del contenuto Esame meticoloso dei testi per identificare significati nascosti e implicazioni Individuazione della presenza di identificatori personali diretti o indiretti nei documenti
Identificazione di pattern Ricerca di modelli ricorrenti e strutture sottostanti nei testi Riconoscimento di combinazioni di informazioni che potrebbero permettere la re-identificazione dei dati e/o creare ambiguità
Competenza interpretativa Capacità di leggere oltre il significato superficiale Valutazione del rischio di inferenze e profilazione dei dati trattati apparentemente per fini innocui
Contesto, intertestualità ed ipertestualità Esame delle relazioni tra testi e riferimenti incrociati Analisi della possibilità di collegare diverse fonti di dati per rivelare informazioni protette
Approccio critico Atteggiamento scettico verso interpretazioni immediate Approccio cauto nella classificazione e nel trattamento dei dati
Metodologia di redazione Strumenti per decifrare ciò che è celato nel testo Tecniche di pseudonimizzazione e anonimizzazione per nascondere trattamenti di dati sensibili o applicazioni che richiedono consensi quali la profilazione
Analisi di impatto Valutazione degli effetti del linguaggio sul lettore Valutazione della capacità di comprensione da parte dell’interessato del contenuto dell’informativa

​[La tabella riportata sopra è tratta integralmente dall’articolo originale​]

Il DPO potrebbe quindi usare uno strumento di close reading per le seguenti attività:

– analisi approfondita dei documenti contrattuali e degli accordi con​ i fornitori di servizi, 

​- analisi approfondita​ per la conformità al GDPR di politiche e procedure,

– verificare la chiarezza​ e la completezza delle informazioni fornite​, anche internamente ed ai fini di incrementare la consapevolezza,
– identificare eventuali rischi legati a​i trattament​i,
– individuare eventuali lacune ​nelle misure di protezione, che potrebbero compromettere i diritti degli utenti​,

​- individuare ambiguità nella gestione dei consensi​,

– verificare la correttezza delle registrazioni (es. report di data breach).

Scrivendo sui social addestreremo l’IA di Meta

L’articolo “Meta addestrerà la sua intelligenza artificiale usando i dati dei cittadini europei” discute il piano di Meta di utilizzare i dati dei cittadini europei per addestrare i suoi modelli di intelligenza artificiale. Dopo un anno di incertezza riguardo alla legalità del trattamento dei dati, Meta ha annunciato che utilizzerà i contenuti generati dagli utenti dei suoi social network (Facebook, Instagram) per addestrare la sua IA.

Il contenuto utilizzato sarà “contenuto pubblico condiviso da utenti adulti”, escludendo i contenuti di minori e i messaggi privati. Sebbene Meta affermi che questa pratica sia in linea con altre società come Google e OpenAI, una differenza fondamentale è che l’accesso diretto di Meta AI cambia le carte in tavola per gli utenti che hanno limitato la visibilità dei loro profili.

Sebbene gli utenti avranno la possibilità di opporsi a questo utilizzo dei loro dati, l’efficacia di questa opposizione è discutibile. L’articolo evidenzia anche potenziali problemi come le preoccupazioni sul copyright e l’insoddisfazione degli utenti, poiché gli utenti potrebbero sentirsi sfruttati nel contribuire allo sviluppo dell’IA di Meta.

[​Una domanda​, ​se è lecito: come farà il modello di addestramento di IA a distinguere e scartare la marea di stupidaggini, insulti compresi, che vengono scritte sui social?​ Ndr]

Chi paga se il sistema di Intelligenza Artificiale procura dei danni?

L’articolo “La responsabilità civile da intelligenza artificiale: un quadro sistematico dopo il fallimento della proposta europea” esamina il tema della responsabilità civile derivante dall’utilizzo dell’intelligenza artificiale (IA), a seguito del fallimento della proposta di direttiva europea in materia​ (data l’assenza di un consenso politico tra gli Stati membri e complici le critiche espresse principalmente dal vicepresidente degli Stati Uniti JD Vanc). ​Sottolinea l’importanza di un intervento normativo esplicito, sia a livello nazionale che europeo, per stabilire un quadro giuridico chiaro e coerente. Questo quadro dovrebbe definire le responsabilità in caso di danni causati da sistemi di IA, tenendo conto della complessità e dell’opacità di tali sistemi.

La mancanza di una regolamentazione adeguata potrebbe portare a incertezze legali e difficoltà nell’attribuire le responsabilità, ostacolando l’innovazione e la fiducia nell’IA. L’articolo evidenzia quindi l’urgenza di un’azione legislativa per garantire una gestione responsabile e sicura dell’IA.

Aviazione e Intelligenza Artificiale

L’articolo “Applicazioni dell’Intelligenza Artificiale nell’aviazione: i benefici secondo l’EASA” discute i vantaggi dell’Intelligenza Artificiale (AI) nel settore dell’aviazione, con un focus sui benefici per la sicurezza secondo l’EASA (Agenzia dell’Unione Europea per la Sicurezza Aerea). L’IA può migliorare la sicurezza analizzando grandi quantità di dati dai sensori degli aerei, identificando anomalie che potrebbero sfuggire all’occhio umano. Può anche supportare i piloti in situazioni di emergenza e ottimizzare la manutenzione degli aeromobili.

Un mercato unico europeo dei dati per l’Intelligenza Artificiale

L’articolo “AI Continent Action Plan: strategia ambiziosa che non può fare a meno dei dati” informa che il Piano d’Azione per il Continente dell’IA, pubblicato dalla Commissione Europea il 9 aprile 2025, mira a creare un vero mercato unico per i dati nei prossimi cinque anni per promuovere ulteriormente l’intelligenza artificiale in Europa.

La strategia delinea cinque orientamenti programmatici. Sottolinea che l’accesso a una grande quantità di dati di alta qualità è fondamentale per lo sviluppo dell’IA. Il piano incoraggia la creazione di un’Unione dei Dati per promuovere la fiducia e la cooperazione. Mira inoltre a creare tredici “Fabbriche di IA” in tutta Europa, inclusa l’iniziativa​ “AI Factory IT4ALIA​” in Italia, per supportare lo sviluppo dell’IA. All’interno di queste fabbriche saranno adottati i Data Lab per facilitare l’accesso e l’utilizzo dei dati, collegandosi agli Spazi Comuni Europei di Dati per l’accessibilità di dati di alta qualità agli sviluppatori di IA, garantendo la conformità alle normative esistenti.

VIOLAZIONI DI DATI PERSONALI E SANZIONI, IN BREVE

  • ​TikTok rischia una sanzione di oltre mezzo miliardo di euro per aver trasferito in Cina i dati degli utenti senza il loro consenso, secondo quanto emerso da un’indagine avviata a settembre 2021 e con una decisione attesa entro fine aprile.
  • Hacker hanno rubato i dati sanitari di 1,6 milioni di persone negli Stati Uniti, violando i sistemi della Laboratory Services Cooperative (LSC) nell’ottobre 2024 ed esponendo informazioni sensibili.
  • ​I​ Garante Privacy ha avviato un’indagine su Lusha, una società che vende online i dati di contatto di milioni di persone​, a seguito di segnalazioni riguardanti la commercializzazione di questi dati, sollevando preoccupazioni sulla privacy e sulla protezione dei dati personali.
  • ​La startup cinese DeepSeek è stata accusata in Corea del Sud di trasferire i dati personali degli utenti senza il loro consenso. Questo non è il primo problema di privacy per DeepSeek, dato che a febbraio il governo giapponese aveva già invitato i suoi dipendenti a non utilizzare l’IA di DeepSeek.
  • L’Unione Europea ha sanzionato Apple con 500 milioni di euro e Meta con 200 milioni di euro per violazioni del Digital Markets Act (DMA). Apple è stata sanzionata per aver limitato la possibilità agli sviluppatori di app di informare i clienti sulle offerte alternative al di fuori dell’App Store, mentre Meta è stata sanzionata per il suo modello pubblicitario “Consenso o pagamento” su Facebook e Instagram.

  • ing. Michele Lopardo

    Responsabile Qualità @ Wondersys