Alla pochi giorni dalla chiusura della consultazione avviata dall’Autorità Garante per la Protezione dei Dati Personali sull’Internet of Things (delibera del 26 marzo 2015), una riflessione sull’impatto della interconnessione tra gli oggetti sulla tutela della riservatezza degli utenti, con uno sguardo alle prevedibili evoluzioni degli strumenti tradizionali di informativa e acquisizione del consenso.
****
Internet of things è una di quelle espressioni che sfuggono a qualsiasi intento definitorio, sia per la molteplicità di contenuti che in essa si racchiudono, sia perché il suo significato è già interamente condensato nella definizione, che ne coglie esattamente l’essenza.
L’Internet delle cose è l’internet che vive nelle cose e in queste si incorpora, consentendo loro di dialogare, di interagire, di trasmettere e ricevere informazioni e di rielaborarle in modo “intelligente”.
Una interazione che – come evidente – sottende un flusso continuo di dati, un complesso di operazioni di scambio ed elaborazione di informazioni che configura a tutti gli effetti un trattamento, sebbene non sempre percepito come tale .
Ebbene, è proprio tale generalizzata carenza di consapevolezza da parte degli users la questione che si pone al centro del dibattito sull’IoT, ponendone il luce criticità e rischi, primo tra tutti quello di una indebita e incontrollata intrusione nella sfera di riservatezza degli utenti, per i quali il dialogo tra oggetti rischia di tradursi nella totale perdita di un controllo effettivo sui propri dati.
Lo user, difatti, il più delle volte, ignora che l’interazione tecnologica in cui si sostanzia l’Internet of things si fonda su un massiccio e continuo processo di raccolta e manipolazione dei propri dati personali, come tale idoneo a consentire una ingerenza, più o meno penetrante, nella propria sfera di riservatezza (“ubiquitous computing”[1]).
Al riguardo, è doveroso evidenziare come tale difetto di awareness da parte dell’utente sia in parte imputabile alle nuove modalità di interazione automatica su cui tipicamente si basa il funzionamento dei dispositivi IoT – e quindi alla crescente marginalizzazione del ruolo dello user rispetto allo scambio dei dati – e in parte alla inadeguatezza delle informative fornite.
Se è vero, difatti, che l’emersione di nuove tecnologie basate sul dialogo tra i devices involge profili di rischio finora sconosciuti agli utenti, deve ritenersi ineludibile l’esigenza di fornire a questi ultimi un’informativa idonea a renderli effettivamente consapevoli delle singole attività di elaborazione e trasmissione di dati sottese ai servizi utilizzati, con particolare attenzione alle finalità del trattamento.
Tanto è stato efficacemente evidenziato dal WP29 nella nota Opinion 8/14 sull’Internet of Things, dove si precisa che, affinchè il trattamento possa considerarsi lecito, “users must remain in complete control of their personal data throughout the product lifecycle[2]” (c.d. principle of self-determination of data).
In questo senso, dunque, la nozione di controllo sui dati viene anzitutto a coincidere con quella di consapevolezza effettiva circa l’utilizzo e la destinazione degli stessi, nonché circa le potenziali utilizzazioni ulteriori rispetto alla erogazione del servizio richiesto dall’utente.
Al riguardo, paradigmatico è il caso delle c.d. quantified self things, dispositivi impiegati per la registrazione e la memorizzazione di informazioni relative ad abitudini di vita e attività (es. dispositivi per il calcolo dei chilometri trascorsi, cardiofrequenzimetri ecc.) nonché i c.d. wearable devices (es. Google glass) , il cui funzionamento si fonda sulla raccolta e l’elaborazione di dati ad elevato potere tracciante.
In particolare, l’Opinion sopracitata pone l’accento sui rischi connessi al c.d. subsequent use delle informazioni così raccolte, ovvero al riutilizzo dei dati inizialmente trattati, per finalità diverse da quella originaria, anche attraverso l’incrocio dei dati acquisiti con altre informazioni, attraverso complessi sistemi di analisi (c.d. cross-matching)[3].
In siffatte ipotesi, come più volte evidenziato, il rischio principale è quello connesso alla utilizzazione dei dati originari per finalità di estrazione di informazioni ulteriori – tra cui eventualmente anche dati sensibili – le quali potrebbero essere a loro volta impiegate per scopi differenti da quelli per i quali il consenso era stato originariamente prestato.
Più segnatamente, in tali casi il pericolo per la riservatezza degli utenti si sostanzia innanzitutto in una vulnerazione del principio di finalità del trattamento, nonché di quello -al primo intimamente correlato- della trasparenza degli scopi, tale da invalidare il consenso originariamente prestato.
I second uses, difatti, ove realizzati in assenza di una preventiva autorizzazione da parte dell’interessato, caducano il valore del consenso prestato per il trattamento iniziale, il quale in nessun caso può essere invocato come fondamento legittimante i trattamenti successivi.
Come è agevole intuire, potrebbe difatti verificarsi che lo user, il quale abbia inizialmente prestato il proprio consenso al trattamento di singole informazioni (raw data) per una specifica finalità, non intenda acconsentire alla successiva estrazione di informazioni ulteriori, né all’impiego di queste ultime per scopi diversi da quello iniziale.
Al riguardo, sia l’Opinion del 2014, sia la delibera del Garante del 26 marzo 2015, relativa all’”Avvio della consultazione pubblica sull’Internet delle cose”, richiamano l’attenzione sui rischi connessi alla possibilità di una profilazione intrusiva e incontrollata, ossia di un monitoraggio costante del comportamento degli interessati teso all’offerta di servizi mirati, strutturati e concepiti sulla base dei gusti e delle caratteristiche dello user.
Se è vero, difatti, che l’analisi delle abitudini e degli stili di vita degli utenti consente a questi ultimi di fruire dei vantaggi derivanti dal maggior grado di personalizzazione dei servizi offerti, nonché, in alcune ipotesi, di benefici di ordine economico – è il caso dei premi assicurativi ridotti in caso di installazione di check boxes – è innegabile che tale attività di “tracciamento” debba necessariamente essere subordinata al consenso preventivo dell’interessato, in quanto strumentale a finalità ulteriori rispetto a quelle originarie.
Il trattamento dei dati deve essere sorretto dal consenso in ogni sua fase, con la conseguenza che l’eventuale riutilizzo dei dati per finalità ulteriori rispetto a quella iniziale – per cui era già stata resa l’informativa – necessita di una nuova manifestazione di consenso da parte dell’interessato.
Ove così non fosse, verrebbe meno, difatti, quella simmetria tra finalità e consenso su cui sempre deve fondarsi ogni operazione di trattamento dei dati personali e, ancora prima, si configurerebbe una violazione dell’art. 5(3) della Direttiva e-privacy (2002/58/CE[4]).
A ciò si aggiungano le criticità legate alla elaborazione dei dati da parte di soggetti terzi – diversi dal titolare – i quali possono a loro volta impiegare le informazioni acquisite per scopi ignoti all’interessato: un processo di frammentazione del trattamento che ha come principale rischio la totale estromissione del data subject dall’esercizio di un reale controllo sui propri dati.
Al riguardo, vale la pena evidenziare come la vulnerabilità degli utenti rispetto agli utilizzi da parte di terzi sia sensibilmente aggravata dalla inadeguatezza delle informazioni fornite; è il caso delle app che richiedono, per il loro funzionamento, l’installazione, da parte dello user, di applicazioni di terze parti, le quali consentano a queste ultime l’accesso ai dati archiviati nel dispositivo.
Ebbene, in tali ipotesi, sussistono rilevanti perplessità in ordine alla effettiva validità del consenso prestato dall’interessato, attesa l’incompletezza e scarsa chiarezza delle informazioni relative all’accessibilità delle informazioni da parte dei c.d. third party application developers e alle modalità di impiego delle stesse[5].
Pertanto, appare indispensabile una implementazione dei meccanismi tradizionali di acquisizione del consenso, nonché l’adozione di informative rafforzate, le quali definiscano preventivamente le finalità dell’utilizzazione dei dati raccolti, così da consentire agli interessati di esercitare un controllo effettivo sul data flow dall’inizio fino al termine del processo, in conformità a quanto disposto dall’art. 10 della Direttiva 95/46.
Al riguardo, la proposta di Regolamento UE in materia di protezione dei dati personali pone l’accento sulla necessità di adottare un nuovo approccio concettuale, in forza del quale la tutela della privacy non si configura come strumento rimediale e successivo rispetto al trattamento dei dati, bensì come componente intrinseca dell’architettura del device o dell’applicazione (c.d. privacy by design)6
E’ il caso delle c.d. sticky policies, la cui logica di base è quella di una sostanziale incorporazione dei limiti e dei termini di utilizzo dei dati all’interno dei dati stessi, nell’ottica di una effettiva implementazione del controllo esercitato dello user.
Più precisamente, in virtù di tale modello, agli interessati deve essere consentito di manifestare il proprio consenso al trattamento dei dati attraverso vere e proprie privacy policies, le quali, incorporandosi ai dati stessi, circolano insieme a loro, definendone le condizioni di utilizzo e ponendosi come parametro di riferimento nella gestione delle richieste di accesso ai dati da parte di terzi[7].
La medesima logica di anticipazione della tutela della riservatezza già al momento della progettazione del dispositivo è alla base del c.d. PIA (Privacy Impact Assessment) – anch’esso inserito nella bozza di Regolamentazione UE – procedimento teso ad operare una valutazione prognostica dell’impatto dei dispositivi IoT sulla privacy degli utenti e sui potenziali profili di rischio, prima della immissione sul mercato.
In conclusione, la presa di coscienza della obsolescenza e inadeguatezza dei meccanismi tradizionali di tutela della riservatezza – prevalentemente incentrati su interventi di tipo reattivo anziché preventivo8 – costituisce il nucleo centrale in base al quale orientare il processo di ammodernamento della disciplina della privacy.
Soprattutto, è fondamentale privilegiare un approccio usercentrico, il cui obiettivo ultimo sia quello di evitare che il dialogo tra gli oggetti – su cui si costruisce l’universo IoT – sottragga all’interessato il diritto inviolabile di autodeterminarsi nella gestione dei propri dati.
[1] Opinion 8/2014 on the Recent Developments on the Internet of Things, 16 settembre 2014, p. 4, disponibile all’indirizzo http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion- recommendation/files/2014/wp223_en.pdf.
[2] Opinion 8/2014 on the Recent Developments on the Internet of Things, cit. p. 3.
[3] Opinion 8/2014 on the Recent Developments on the Internet of Things, 16 settembre 2014, cit. p. 8.
[4] Art. 5 (3), Direttiva 2002/58/CE: “Gli Stati membri assicurano che l’uso di reti di comunicazione elettronica per archiviare informazioni o per avere accesso a informazioni archiviate nell’apparecchio terminale di un abbonato o di un utente sia consentito unicamente a condizione che l’abbonato o l’utente interessato sia stato informato in modo chiaro e completo, tra l’altro, sugli scopi del trattamento in conformità della direttiva 95/46/CE e che gli sia offerta la possibilità di rifiutare tale trattamento da parte del responsabile del trattamento”.
[5] Opinion 02/13 on apps on smart devices, 27 Febbraio 2013, disponibile alla pagina http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion- recommendation/files/2013/wp202_en.pdf : “According to Article 10 of the Data Protection Directive, each data subject has a right to know the identity of the data controller who is processing their personal data. Additionally, in the context of apps, the end user has the right to know what type of personal data is being processed and for what purpose the data are intended to be used”.
[5] Opinion 02/13 on apps on smart devices, cit. p. 11 : “The concept of “privacy by design” (…) requires from the manufacturers of a device or an application to embed data protection from the very beginning of its design”.
[6] Opinion 02/13 on apps on smart devices, cit. p. 11 : “The concept of “privacy by design” (…) requires from the manufacturers of a device or an application to embed data protection from the very beginning of its design”.
[7] P.M. OGEDEBE, A.H. ALAKU, G. MAYOKA KITUYI, The design and implementation of a cloud-based application demonstrating the use of sticky policies and encryption to enforce users’ privacy and access constraint, disponibile alla pagina http://www.researchgate.net/publication/268224945_The_Design_and_Implementation_of_a_Cloud-Based_Application_Demonstrating_the_Use_of_Sticky_Policies_and_Encryption_to_Enforce_Users_Privacy_an
