GDPR e videosorveglianza

GDPR e videosorveglianza; cosa cambia?

Come tutti sappiamo, un sistema di videosorveglianza (anche quelli che non registrano immagini) determina un sistema di trattamento di dati personali (tra l’altro, particolarmente invasivo della privacy e potenzialmente lesivo dei diritti personali).

Dopo il 25 maggio, il Regolamento UE 679/2016 ha effetto anche sui sistemi di videosorveglianza, che debbono esservi “compliant”.

Quali sono i cambiamenti più rilevanti?

Intanto il GDPR concede diversi nuovi diritti ai soggetti interessati; come consequenza diretta, occorrerà rivedere le informative estese (non i cartelli esposti al limite delle aree sorvegliate).

Il Regolamento introduce anche il concetto di “accountability” (responsabilizzazione); ciò assegna al titolare del trattamento ogni decisione e responsabilità derivanti, in merito alla implementazione di un impianto di videosorveglianza.

Si riporta l’estratto dal provvedimento 8235119 – 22 febbraio 2018 del Garante per la Protezione dei Dati Personali:
Si tenga comunque presente che, a decorrere dal 25 maggio 2018, data di applicazione del Regolamento (UE) 2016/679, il titolare del trattamento in ossequio al principio di responsabilizzazione di cui all´art. 24 dovrà valutare autonomamente la conformità del trattamento che intende effettuare alla disciplina vigente, verificando il rispetto di tutti i principi in materia nonché la necessità di effettuare, in particolare, una valutazione di impatto ex art. 35 del citato Regolamento ovvero attivare la consultazione preventiva ai sensi dell´art. 36 del Regolamento medesimo.

Quindi taluni “particolari” sistemi di videosorveglianza dovranno essere soggetti a DPIA preventiva, al posto della precedentemente prevista (e comoda) verifica preliminare a cura della Autorità Garante.

Inoltre, tutti i sistemi di videosorveglianza sono soggetti ai nuovi principi di Privacy by Design & Privacy by Default.

Dobbiamo anche da valutare se predisporre (e manutenere) il famigerato Registro dei Trattamenti;  a mio avviso, qualora il sistema realizzi un trattamento di dati personali che sottoponga ad un rischio elevato la privacy degli interessati, il Registro è necessario.

Da ultimo, occorre valutare se necessiti la nomina del D.P.O. (sistemi complessi e distribuiti, trasferimento di flussi video, riconoscimento volti, analisi comportamentale, dati biometrici e/o geolocalizzazione, ecc…) e tenere bene a mente che il Data-Breach potrà accadere anche sui sistemi di videosorveglianza (l’effetto potrebbe essere devastante).

Consiglio di Stato francese sui cookies

Una sentenza del Consiglio di Stato francese sui “témoins de connexion”, che certamente costituirà una base giurisprudenziale per il futuro.

La storia: il Garante Francese (CNIL) ha sanzionato una casa editrice in quanto il loro sito web utilizzava cookies di terze parti senza informare gli utenti (e quindi senza averne ottenuto il consenso); la società ha successivamente impugnato il provvedimento del CNIL davanti al Consiglio di Stato francese.

Nella sentenza, che rigetta il ricorso della casa editrice e conferma la sanzione del CNIL, il Consiglio di Stato specifica che:

  • i cookies tecnici possono essere “installati” senza consenso;
  • per i cookies di terze parti, anche se necessari per il sostentamento del servizio, occorre informare ed ottenere il consenso;
  • il browser non costituisce un valido strumento per ottenere il consenso all’utilizzo dei cookies, in quanto esso non consente una “scelta informata” ne la libera e “granulare” opposizione ad essi.

Inoltre, si stabilisce che il Titolare del Trattamento (il proprietario del sito) ha tutti gli obblighi che derivano dall’uso dei cookies, anche se sono servizi di terzi, ed addirittura esso ne deve garantire i tempi massimi di conservazione, fissati in 13 mesi.

Dalla sentenza si evince che (almeno in Francia) i siti web che utilizzano cookies di terze parti debbono informare preliminarmente l’utente (banner) ed ottenere il consenso “granulare” per ciascun cookie (o classe di cookies).

Il punto centrale della sentenza è quello relativo al fatto che il browser (tramite le relative impostazioni sui cookies) non può essere utilizzato come strumento per determinare il consenso dell’utente all’utilizzo dei cookie di terze parti.

Ritengo comunque che la sentenza “farà scuola” in tutta Europa.

IPsent

IPsent (acronimo formato da IP + SENTINEL) è una appliance progettata e realizzata allo scopo di garantire la sicurezza delle reti IP locali e conseguentemente dei dispositivi ad esse collegati.

Si tratta di una delle primarie misure di sicurezza richieste all’art. 32 del nuovo Regolamento UE 679/2016.

In primo luogo, dispone di avanzate funzioni di reporting; ciò consente di visualizzare, graficamente ed in tempo reale, il traffico di rete, compreso i sistemi che stanno utilizzando banda.

 

Realizza inoltre visualizzazioni dettagliate, le quali consentono, agli amministratori di sistema, di avere visione sulle specifiche connessioni attuate, la tipologia ed il traffico intercorso.

 

Dispone di tutte le caratteristiche di un FireWall di ultima generazione, comprese le funzioni MultiWan, Traffic Shaper,  Content Filtering, Intrusion Detection ed Intrusion Prevention.

 

Le appliance sono realizzate con componenti opensource collaudati, utilizzando hardware adatto ad ottenere le prestazioni necessarie alla specifica infrastruttura di rete locale; sono disponibili soluzioni adatte a piccoli studi ed uffici sino ad arrivare a soluzioni ad alto traffico e/o sistemi High-Availability.

IPsent può essere installato con nulle o minime modifiche alla infrastruttura LAN esistente.

I costi sono molto accessibili ed inferiori rispetto agli equivalenti dispositivi dei produttori più blasonati.

Firefox e Privacy by Design

Successivamente alla piena entrata in vigore del Regolamento, ricevo molte richieste sui cookies e le relative informative dei siti web.

Vorrei proporre, ai miei 4 occasionali visitatori, una nuova prospettiva dalla quale approcciare il problema.

Dapprima voglio ricordare come molti survey, effettuati da più parti, indicano come i visitatori dei siti web non si soffermano quasi mai a leggere l’informativa, neanche quella semplificata; è quindi errato il concetto alla base.

Propongo quindi di spostare il problema su di un diverso ambito; quello di privacy by design.

Coloro che visitano un sito web utilizzano un software definito web browser; si tratta quindi di un software che gli utenti possono liberamente configurare (anzi devono, se tengono alla propria privacy).

Purtroppo molti non conoscono bene le implicazioni conseguenti ad una errata o mancata configurazione; nello specifico vorrei focalizzare sulla gestione dei cookies di Firefox.

Prendiamo come browser di esempio Firefox in quanto molto conosciuto e da sempre paladino delle libertà in rete; nella sua configurazione di default, esso consente la creazione di tutti i cookies, anche di terze parti, e la conservazione sino alla loro scadenza (impostata dal codice del sito web che lo ha generato).

Questa non è una configurazione “privacy by design”; la configurazione privacy migliore sarebbe quella di non accettare nessun cookie.

Dato che spesso tale configurazione non consente il corretto funzionamento del sito (moltissimi siti utilizzano cookie tecnici per il loro funzionamento) la configurazione minimale e funzionante è quella che indico nella immagine soprastante: accetta solo cookie di prima parte e conservali sino alla chiusura del programma.

In questo modo, non verranno resi possibili cookies di terze parti, mentre quelli tecnici saranno rimossi alla chiusura del browser.

Proporrò ai creatori di Firefox di impostare, durante l’installazione del software, tali parametri come di default.

Molto più semplice e lineare che costringere milioni di siti ad arrampicarsi sugli specchi per rendere compliant i loro servizi, farciti di servizi di terze parti.

Ritengo che questo dovrà valere per ogni software, dispositivo o app che gli utenti possano installare.

Certo, occorrerà una nuova mentalità; spero che il GDPR, ma anche il prossimo Regolamento e-privacy, contribuiranno a tale mutamento.

Gestione della violazione di dati personali

Come sappiamo, il GDPR introduce specifici obblighi, per tutti i Titolari del Trattamento di Dati Personali, inerenti una eventuale violazione dei dati personali (definita anche data breach).

Cosa è una violazione dei dati personali?
Per «violazione dei dati personali» si intende ogni violazione della sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Essa può interessare trattamenti di dati personali effettuati con supporti cartacei oppure con strumenti informatici; ovviamente tale secondo aspetto presenta un maggiore indice di probabilità. Si tenga inoltre conto che non dobbiamo pensare a SE, ma a QUANDO esso avverrà, ed essere pronti a gestirlo.

All’art. 33 del GDPR è prescritto di “comunicare alla Autorità di Controllo, entro 72 ore dal momento che se ne è avuta conoscenza, la violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche”.

Art. 34 “Qualora la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo”.

Voglio sottolineare che, qualora il data breach accada presso un Responsabile del Trattamento esterno (es. lo studio commerciale o il centro paghe), esso deve immediatamente informare i Titolari dei Trattamenti interessati, in quanto spetta ad essi mettere in atto le misure dapprima indicate.

Qualora un data breach interessi sistemi informativi, segnalo come sia importante gestirlo con l’ausilio di persone estremamente esperte e competenti; infatti quasi sempre tali eventi sono correlati ad attività penalmente rilevanti (es. artt. 615 ter, quater e quinquies, codice penale).

Occorre quindi intervenire non solo per chiudere la breccia, ma (prima) anche con le opportune attività di informatica forense.

Quindi consiglio alle organizzazioni di definire un dettagliato piano di gestione del data breach, per evitare di doverlo fare (magari in preda al panico) nelle poche ore a disposizione.