Non è elementare Watson!

"Non è elementare Watson".   Non essendo Sherlok Holmes, partirei da questo dato di fatto.  Watson non è affatto uno strumento banale e varrebbe la pena tenerlo presente quando si commentano situazioni relative a questa iniziativa. 

A questo ho pensato leggendo la notizia riferita da MilanoToday che informa di una interrogazione presentata da un consigliere regionale della Lombardia per sapere se sia vero che la Regione vende i dati sanitari dei lombardi a Ibm

Si tratta, infatti, di un sistema di intelligenza artificiale, in grado di rispondere a domande espresse in un linguaggio naturale. Per dare un'idea delle dimensioni di questo progetto è utile considerare che Watson può analizzare 500GB, equivalenti ad un milione di libri, ogni secondo. I costi dell'hardware di Watson  sono stati stimati in tre milioni di dollari.  Stiamo parlando di un progetto di eccellenza che IBM gestisce da più di vent'anni (e - tra l'altro - il nome è stato scelto in onore del primo presidente dell'IBM Thomas J. Watson)  il  suo obiettivo è quello di avere computer in grado di interagire nel linguaggio naturale con gli uomini attraverso una vasta gamma di applicazioni e processi, capendo le domande poste dagli esseri umani e fornendo risposte in un linguaggio comprensibile da essi.

Detto questo le applicazioni di uno strumento così potente ai vari settori delle attività umane sono potenzialmente infinite ma è nella ricerca farmaceutica e nelle scelte di politica sanitaria che si potranno avere risultati che incideranno profondamente nella determinazione della speranza di vita del genere umano nei prossimi decenni.   Come è facile immaginare,  in ambito sanitario Watson sarà utilizzato come sistema di supporto per le decisioni cliniche, ad utilizzo del personale medico. Per aiutare i medici nel trattamento dei loro pazienti, non appena un dottore ha posto una domanda al sistema specificando i sintomi e gli altri fattori correlati, Watson prima elabora l'informazione per identificare le parti più importanti, poi elabora i dati del paziente per trovare fatti rilevanti nella storia medica ed ereditaria del paziente, in seguito esamina i dati disponibili dalle fonti per formulare e testare ipotesi, e infine fornisce una lista di raccomandazioni individualizzate e classificate per livello di evidenza. Le sorgenti di dati che Watson utilizza per le analisi possono includere linee guida di trattamenti, registri medici elettronici, annotazioni dei dottori e degli infermieri, materiali di ricerca, studi clinici, articoli di riviste e informazioni sul paziente.

IBM prevede di investire fino a 150 milioni di dollari nel corso dei prossimi anni e di riunire data scientist, ingegneri, ricercatori e progettisti di Watson per sviluppare una nuova generazione di applicazioni e soluzioni sanitarie basate sui dati.

Queste cose possono piacere o meno ma sono, inevitabilmente, le conseguenze della nuova capacità di software ed hardware di elaborare enormi masse di dati.  la novità principale consiste nel fatto che dai dati non si estraggono più le stesse informazioni presenti nel data base consultato  ma informazioni nuove generate dall'elaborazione di quelle di cui si dispone.

Se vogliamo usare un'immagine suggestiva non si tratta più solo di cercare un ago in un pagliaio ma di generare  l'ago e di usarlo nel modo corretto e al momento giusto.  Questo significa, in definitiva, usare i Big Data.

Ridurre tutto questo ad una mera vendita di dati mi sembra francmente riduttivo. Siamo di fronte ad una nuova frontiera della conoscenza che come tutte le cose cui non siamo abituati può suscitare perplessità e reazioni epidermiche.  I rischi sono numerosi ma non riguardano, direi, il mercimonio di dati sanitari che sono già oggi protetti da norme molto rigorose che ne impediscono utilizzi impropri.

Sarà necessario fornire un'adeguata informativa agli interessati e presumibilmente il titolare del trattamento nominerà IBM responsabile fornendo istruzioni accurate per garanttire la pseudonimizzazione e anonomizzazione dei dati a seconda delle modalità e finalità di utilizzo dei dati stessi.

Non credo quindi sia sufficiente chiedere conto di questa ipotizzata vendita di dati. Non è quello il problema reale, perchè le norme già oggi disciplinano questi aspetti e rendono legittimo questo passaggio di informazioni, rispettando alcuni criteri di gestione.

La vera questione, a mio parere, è legata al fatto che l'intelligenza di Watson potrà essere usata per determinare il destino di una persona e a condurre, spietatamente, un'analisi dei costi/benefici rispetto all'opportunità di spendere denaro, tempo e competenze per curare una persona destinata (con la logica probabilistica che Watson utilizzerà ampiamente) a non guarire o a morire per un' altra patologia (magari latente nel momento in cui viene formulata la valutazione).

Intendo dire che il vero quesito non riguarda tanto il fatto di stabilire se i dati sanitari dei cittadini lombardi siano stati "venduti" ad IBM. Basta un bravo data protection specialist per permettere di gestire questo flusso di dati nel pieno rispetto della normativa: una buona informativa, una nomina a responsabile del trattamento, un privacy program che permetta di definire tempi, modi e fini di utilizzo dei dati  modulando bene anonimizzazione e pseudonimizzazione dei dati.

Ma le criticità vere, presenti in questa situazione sono molto più concrete e sostanziali:  si tratta di definire le finalità per le quali è lecito che i dati sanitari siano affidati ad un gestore di intelligenza artificiale e quali siano i limiti di utilizzo delle informazioni raccolte in questo modo. 

Capisco che si possa essere allarmati da questo passaggio di dati sanitari dal Pubblico al Privato ma ritengo che il vero problema sia quello di fare in modo  che l'intelligenza artificiale che esaminerà  queste informazioni sensibili non sia solo un'intelligenza aumentata rispetto a quella umana ma sia anche,  come insegna la psicologia più consapevole, attenta alle conseguenze delle singole azioni.  La vera intelligenza è quella emotiva che è in grado di riconoscere, utilizzare, comprendere e gestire in modo consapevole ciò che è bene per sè e per gli altri. Di questo dovremo occuparci nel prossimo futuro:  saper usare i dati in modo intelligente e rispettando ogni persona.

 

Questa è la vera frontiera che la tecnologia ci chiederà di superare.

Sarebbe bello che la classe politica parlasse di questo.

Caro amico ti scrivo (una lettera su carta) così ti distrai un po' meno

-->

di Marco Maglio – Avvocato in Milano – Professore di Diritto Privato dei Consumi e del Marketing

Il titolo di questo post parafrasa il verso di una canzone del secolo scorso ("L'anno che verrà" di Lucio Dalla, per chi volesse mettere alla prova la sua conoscenza musicale).  L'intento di questo gioco della memoria è richiamare l'attenzione sull'importanza del classico direct mailing, quello basato su buste da aprire, francobolli e gaddet per rendere interessante un messaggio. Non ci siamo quasi più abituati in tempi di web e di smaterializzazione digitale. Ma nel marketing buste, bolli e kicker sono sempre importanti. I destinatari di questi messaggi ormai desueti li leggono e non si distraggono nella lettura. Proprio quello che i marketers di tutto il mondo desiderano: un po' di attenzione per i loro messaggi.

Perché è importante comunicare direttamente con il cliente

Comunicare con il cliente è diventato sempre più importante per le aziende: creare un canale di informazioni con i consumatori ha due utilità principali. Da un lato riduce gli sprechi, indirizzando le energie verso i clienti con maggiore potenziale; dall’altro aumenta il valore di ciascun cliente costruendo una relazione con una corrispondenza continua. 

 

Per questo motivo il fondamento del marketing di relazione è possedere e costruire un data base dei migliori possibili clienti. Questo strumento si crea combinando informazioni da fonti diverse per abbinare atteggiamenti e comportamenti con indirizzi e informazioni demografiche. Le liste possono essere compilate da diverse fonti, scambiate con altre imprese che hanno profili simili, o acquistate da venditori di liste (broker).

Creare un rapporto con il proprio mercato

Se ha informazioni di buona qualità, un'impresa può stare vicina al suo cliente. Una base-dati integrata costruisce una relazione forte, aggiornando continuamente le informazioni che si ricevono dai clienti ed arricchendola continuamente con prodotti o proposte tagliate su misura.

Pensiamo per esempio ad un’azienda che produce strumenti informatici. E’ sufficiente inviare ad un elenco di potenziali clienti una semplice lettera con questo messaggio: «Se ha in mente di comprare un nuovo computer, ci dica quale marca e tipo. Potremo consigliarla e venire incontro alle sue aspettative» Con queste informazioni quella società sarebbe in grado di preparare un nuovo messaggio che confronti le caratteristiche del suo nuovo computer con quelle della macchina che ciascuno aveva in mente di comprare. Ed il meccanismo di vendita sarebbe più semplice e più efficace.

La verifica continua di atteggiamenti, comportamenti d'uso e fedeltà alla marca richiede l’utilizzo di strumenti che permettano di costruire una sequenza di azioni nel tempo per costruire una relazione forte fra chi vende e chi acquista. 

 

Si raggiunge così l’obiettivo fondamentale cui mira il cosiddetto marketing di relazione: creare un rapporto di fidelizzazione del cliente. Un esempio efficace di quest’operazione è il programma di direct marketing che utilizzano molte aziende che operano nel settore della prima infanzia. Se dispongono di elenchi affidabili delle donne in gravidanza, solitamente queste aziende inviano lettere informative prima della nascita dei loro bambini, seguite da altri messaggi a scadenze calcolate man mano che i bambini entravano in diverse fasi di crescita con consigli utili, campioni gratuiti e buoni sconto.

Quali servizi postali utilizzare per l’invio della corrispondenza commerciale?

Con queste premesse, diventa assai utile per le aziende, soprattutto per quelle di dimensioni medio piccole, capire quali strumenti utilizzare per l’invio dei messaggi promozionali.

Senza prendere in considerazione l’ipotesi del cosiddetto e.mail-marketing che comporta la spedizione di messaggi di posta elettronica , analizziamo quali sono le possibilità offerte dallo strumento tradizionale grazie al quale il direct marketing si è potuto sviluppare nel secolo appena concluso: la posta.

Sarebbe sbagliato pensare che la vecchia posta non serva più per fare comunicazione commerciale. Vale la pena ricordare che se l’e.mail riduce fortemente i costi di stampa e di spedizione dei messaggi, la posta consente invece di stabilire un contatto fisico con il cliente e di attirare la sua attenzione con confezioni che suscitano curiosità e sollecitazioni attraenti che inducono all’apertura delle lettere (ciò che con una immagine suggestiva gli anglosassoni definiscono door opener).

Quindi la classica busta recapitata dal postino ha ancora grande efficacia e dignità in un mondo ormai basato sulla smaterializzazione dei documenti e sull’immediatezza del messaggio.

Aggiungo, da giurista malizioso, che le regole che disciplinano il mailing postale sono infinitamente più semplici da gestire di quelle poste a tutela dei consumatori per la comunicazione elettronica. Quando le regole diventano sempre più complesse andare alla ricerca di ciò che è semplice può fare la differenza e rendere possibili risultati altrimenti irraggiungibili.

Meditate, marketers, meditate!

Pensa ai dati! La vera privacy parte da te.

di Marco Maglio

Think Privacy! E’ un messaggio che invita alla moderazione e alla cautela chi usa informazioni aziendali. Viene diffuso nei luoghi di lavoro attraverso manifesti, volantini, gadget vari, tutti personalizzati con questa formula che fa riflettere sull’importanza che la protezione dei dati personali assume nella vita di tutti i giorni.

Nel mondo anglosassone è da tempo uno slogan conosciuto dai dipendenti di grandi aziende organizzazioni multinazionali.

Sono campagne di comunicazione interna che diffondono la cultura della riservatezza per l’utilizzo dei documenti e delle banche dati aziendali. Gestire senza cura i dati di un cliente, di un fornitore, di un collega, significa mancare di rispetto a queste persone e può causare danni irreparabili per l’azienda. Le conseguenze negative determinate dall’abuso delle informazioni riservate sono costituite dalle possibili sanzioni che i Titolari del trattamento possono essere costretti a subire. Con le nuove norme introdotte dal Regolamento Generale Europeo sui dati personali che sarà operativo in tutta l’Unione Europea dal 2018 le sanzioni previste per illecito uso dei dati personali possono arrivare fino al 4% del fatturato mondiale per un Gruppo multinazionale e fino a venti milioni di euro per una singola azienda.

Ma i danni riguardano l’immagine dell’azienda e la sua reputazione: una società che tratta male i dati è una società che dimostra di essere disorganizzata e disattenta, irrispettosa e pericolosa: un’azienda da evitare per lavoratori, clienti, prospect.

Le aziende hanno compreso che i dati sono la “materia prima” della New Economy: occorre custodire con cura questo patrimonio, prevenendo azioni che possono metterlo a rischio. Da qui è nata l’idea di svolgere vere e proprie campagne di comunicazione interne che rendano concrete le linee guida che gli uffici legali aziendali pubblicano per imporre procedure di sicurezza.

L’idea è piaciuta alle istituzioni e nel Regno Unito, l’Information Commissioner Office, la locale autorità per la protezione dei dati personali, ha diffuso un toolkit, rivolto soprattutto alle piccole e medie imprese (perché il tema riguarda tutte le aziende), che spiega come gestire queste campagne di comunicazioni interne. E’ nato un Consorzio non profit che aiuta imprese ed enti a divulgare questi materiali (Tutti i dettagli sono nel sito www.thinkprivacy.org ).

E negli altri Paesi cosa succede? L’iniziativa inizia a diffondersi e già si segnalano molte imprese che hanno deciso di cimentarsi in questa campagna. Sotto l’egida dell’osservatorio Europeo per la Data Protection per il prossimo 28 gennaio 2017 (Giornata europea della Protezione dei dati personali) verranno lanciate iniziative analoghe a quella inglese. In Italia lo slogan prescelto sarà “Pensa ai dati!”.Speriamo che l’effetto di questo invito sia compreso in tutta la sua importanza. Basta poco per rispettare le persone con le quali entriamo in contatto sul luogo di lavoro. La vera privacy comincia da ognuno di noi.
 

Il verbal order e la conferma del contratto concluso al telefono

Verbal order: cosa cambia con i provvedimenti dell'Antitrust del 2015? A due anni dalla riforma del codice del consumo, alcuni provvedimenti dell’Antitrust hanno fornito importanti indicazioni operative sulle norme riguardanti il verbal order. 

Questi sono due dei dieci provvedimenti emanati dall'Autorità su questo tema

Provvedimento 1

Provvedimento 2 

Vediamo nel dettaglio cosa è cambiato con l'avvocato Marco Maglio, specializzato in privacy e protezione dati, ospite dell'evento organizzato da AdSalsa "Il verbal order tra Antitrust e riforma della privacy"

Dieci cose da sapere e dieci cose da fare ora per prepararsi al nuovo regolamento europeo sui dati personali

Il nuovo Regolmento Europeo è ormai una realtà. Entrerà definitivamente in vigore nel maggio 2018 ma occorre prepararsi subito al cambiamento che sarà significativo. Non cambieranno solo gli adempimenti cui siamo oggi abituati. Cambierà l'organizzaizone delle aziende e aumenterà l'importanza che la tutela dei dati personali assumerà per garntire il rispetto delle norme vigenti.

Per capire quali sono le cose essenziali da sapere e cosa bisogna fare ora la Redazione di Diritto & Marketing in collaborazione con lo Studio Legale Maglio & Partners ha preparato una presentazione che spiega in trenta slides le prossime azioni da intraprendere.

Ci sono dieci cose da sapere e dieci cose da fare ora.

Per scoprire quali sono basta leggere qui sotto la presentazione che illustra le novità con taglio pratico e guardando alle esigenze concrete delle imprese e degli enti che dovranno da subito cimentarsi con questa nuova normativa.

La presentazione è consultabile qui.

Dieci cose da sapere e dieci cose da fare ora per prepararsi al nuovo regolamento europeo ui dati personali

Il Web Data Scraping e le tentazioni del marketing

di Marco Maglio
 
Se un dato è pubblicato sul web si può usare liberamente a fini di marketing? No ed è per questo che il  web data scraping resta una pratica vietata

 _______________

 Ne abbiamo parlato tempo fa  in questo Post dedicato al marketing ed alle tentazioni di usare ogni dato che ci passa sotto il naso.

Anche voi sapete resistere a tutto tranne che alle tentazioni?

Ognuno potrà rispondere come gli suggerisce la sua legge interiore. Certo è che invece i professionisti del marketing nell'era dei social e di quella enorme banca dati a cielo aperto che è diventata il web devono imparare a resiste ad almeno una tentazione: copiare i dati disponibili ed usarli senza aver dato un'inforamtiva e aver raccolto il consenso degli interessati.

La tentazione è forte ma bisogna resistere per non incorrere in pesanti sanzioni.

Lo ha ribadito recentemente il Garante per la protezione dei dati personali che ha pronunciato una solenne sconfessione dei software che raccolgono on line in maniera sistematica e indiscriminata dati e informazioni per realizzare liste da utilizzare a fini di marketing.

Chi intende raccogliere tali dati deve acquisire il consenso libero, informato, specifico per ogni finalità che intende perseguire: invio di messaggi a fini promozionali, analisi degli interessi e profilazione, comunicazione a terzi.

Il Garante lo dice da tempo (il primo provvedimento a tale riguardo risale al maggio 2001 e le linee guida per l'uso dei dati a fini promozionali e per il contrasto allo spamming del luglio 2013 ribadiscono queste regole). Ma ancora più recentemente il Garante dichiarato illecito e ha vietato ad una società la formazione e la diffusione on line di un elenco telefonico contenente dati di oltre 12.500.000 persone non raccolti dal dbu ma da altri siti web senza il consenso degli utenti. I dati trattati in modo illecito dovranno essere cancellati dalla società autrice di questa attività.

Questa volta il Garante condanna in modo ancora più espicito la pratica del web scraping, la pesca a strascico che permette di raccogliere mediante software una enorme massa di dati presente in rete.

Svolgere queste attività senza il consenso degli interessati costituisce un trattamento particolarmente invasivo per l’agevole reperibilità dei dati anche mediante i più comuni motori di ricerca e per la possibilità che essi possano essere utilizzati anche per ulteriori trattamenti (ad es. marketing indesiderato).

In definitiva viene ribadito il principio per cui non basta che un dato sia pubblico per ritenere che esso sia liberamente utilizzabile. Questo conferma ancora una volta di più, se ce ne fosse bisogno, che la normativa sui dati personali non protegge la privacy delle persone ma previene gli utilizzi impropri dei dati riferiti agli individui, a prescindere dal fatto che questi dati siano riservati o noti a tutti.

Ciò che la normativa protegge è il diirtto all'autodeterminazione individuale: ognuno di noi ha diritto ad esercitare un controllo sulle informazioni che lo riguardano e a impedirne utilizzi abusivi in assenza del suo consenso, salvi i casi specifici in cui la normativa non preveda la necessità di tale consenso.

Occorre quindi resistere alle tentazioni, con buona pace di Oscar Wilde. I dati non si trattano all'insaputa degli intessati. Il nuovo regolamento europeo sulla data protetion lo renderà ancora più chiaro ed evidente ma già oggi la regola fondamentale resta questa e faremo bene tutti a ispirare le nostre azioni a questo basilare principio

Il nuovo regolamento europeo in materia di dati personali: una mappa per conoscerlo. ( seconda parte)

di Marco Maglio


Abbiamo disegnato nell'articolo precedente i pumi cinque punti della nuova mappa delle regole in materia di dati personali disegnata dal Regolamento Europeo che è in fase di pubblicazione nella Gazzett Ufficiale dell'Unione Europea.

Ecco qui di seguito gli altri cinque punti per completare il quadro di riferimento

6)  meno burocrazie più sostanza: cessa l'obbligo della notificazione al Garante

Fino ad oggi chi effettuata alcune tipologie di trattamenti (ad esempio geolocalizzazione, ricerca genetica, profilazione, analisi sulla puntualità dei pagamenti e altre tipologie di trattamenti particolarmente invasivi) e' tenuto ad effetuare un adempimento preventivo: si tratta della notificazione al Garante per la protezione dei dati personali.

Con la riforma europea che entrerà in vigore nel 2018 cambierà tutto. Viene abolito l’obbligo di Notificazione di specifici trattamenti  all’Autorità Garante.

Tale  adempimento  è  considerato  dal Legislatore  europeo  come  un  obbligo  che  comporta  oneri  amministrativi  e finanziari  senza  aver  mai  veramente  contribuito  a  migliorare  la  protezione  dei dati  personali  (in  particolare  per  le  piccole  e  medie  imprese). 

Si è quindi deciso di abolire tale obbligo generale di notificazione  e  sostituirlo  con  meccanismi  e  procedure  efficaci  che  si concentrino  piuttosto  su  quelle  operazioni  di  trattamento  che  potenzialmente presentano  rischi  specifici  per  i  diritti  e  le  libertà  degli  interessati,  per  la  loro natura, portata o finalità.

Tali trattamenti saranno  l’effettuazione della valutazione di impatto nel trattamento dei dati.

7)  Un nuovo protagonista della privacy aziendale: il Data Privacy Officer

Se fino ad oggi siamo stati abituati a prevedere i tre ruoli classici nel trattamento dei dati (titolare, responsabile ed incaricato), prepariamoci ad un grosso cambiamento. A parte le novità puramente terminologiche (noi italiani scopriremo infatti con sorpresa che quello che chiamiamo Titolare nel linguaggio eruopeo si chiama Responsabile del trattamento  che è colui che definisce le finalità del trattamento, mentre chi noi chiamiamo oggi Responsabile nella terminologia europea viene chiamato Incaricato, mentre quelli che noi oggi in Italia chiamiamo incaricati non sono previsti dal nuovo ordinamento europeo) prepariamoci a veder nascere una nuova stella nel firmamento  della privacy aziendale: nascerà infatti nel 2018 la nuova figura del Data Privacy Officer (DPO) o meglio del Responsabile della protezione dei dati personali.

Sarà una figura obbligatoria se:

a) chi tratta i dati è un soggetto pubblico

b) si trattano rivelanti quantità di dati personali

c) si trattano sistematicamente dati sensibili o giudiziaria

Il DPO, che può essere un consulente esterno all'azienda, deve possedere requisiti di professionalità ed indipendenza ed autonomia di spesa diventando una sorta di auditor interno dei processi di trattamento dei dati personali e il referente che il Garante contatterà in caso debba acquisire informazioni o formulare contrstazioni rivolte a chi tratta i dati personali in azienda.

I compiti essenziali del DPO sono questi

a) informare e consigliare il titolare o il responsabile del trattamento in merito agli obblighi derivanti dal regolamento europeo e conservare la documentazione relativa a tale attività e alle risposte ricevute;

b) vigilare sull’attuazione e sull’applicazione delle politiche del titolare o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la formazione del personale che partecipa ai trattamenti e gli audit connessi;

c) verificare l’attuazione e l’applicazione del Regolamento europeo; la sicurezza dei dati; il riscontro alle richieste degli interessati di esercitare i diritti riconosciuti dal Regolamento;

d) garantire la conservazione della documentazione relativa ai trattamenti effettuati dal titolare;

e) controllare che le violazioni dei dati personali siano documentate, notificate e comunicate;

f) controllare che il titolare o il responsabile del trattamento effettui la valutazione d’impatto sulla protezione dei dati e richieda l’autorizzazione preventiva o la consultazione preventiva nei casi previsti;

g) fungere da punto di contatto per il Garante per la protezione dei dati personali oppure, eventualmente, consultare il Garante di propria iniziativa;

h) controllare che sia dato seguito alle richieste del Garante per la protezione dei dati personali e, nell’ambito delle sue competenze, cooperare di propria iniziativa o su richiesta dell’Autorità.

8)  I nuovi principi della protezione della privacy fin dalla sua progettazione (privacy by design) e della protezione di default di dati e sistemi (privacy by default).

Vengono introdotti nel sistema normativo europeo due nuovi principi fondativi dell'apporccio evoluto al corretto trattamento dei dati personali: la privacy by design e la privacy by default.

Vediamo di cosa si tratta. Privacy by design significa che la tutela dei dati personali deve essere pensata ed organizzata fin dalla fase progettuale della raccolta di informazioni.  Diventa obbligatorio  prevedere meccanismi di protezione dei dati fin dalla progettazione delle attività e per l'intera gestione del ciclo di vita dei dati.

Bisgonerà analizzare i flussi di dati connessi all'attività che si vuole effetutare e adotttare criteri che minimizzino i rischi del trattamento e riducano le quantità dei dati trattati (si parla di minimization of data)

Privacy by default significa che occorrerà prevenire raccolte di dati non necessari, per le finaltià perseguite, evitando di acquisire inforamzioni eccedenti rispetto agli obiettivi dichisrati nell'informativa. La privacy quindi di acquisisce come presupposto delle attività di trattamento e cessa di essere, come è oggi, un obiettivo secondario da perseguire rispettando adempimenti formali. La privacy cessa di essere un mero requisito legale e diventa un elemento intrinseco del processo di gestione delle informazioni. Questa è la vera essenza della riforma. Chi non capisce questo sarà destinato a vagare alla ricerca di un centro di gravità permanente. Privacy by design e by default si fondono in un unico precetto organizzativo che diventa , quindi, la vera stella polare nel cammino verso il corretto trattamento dei dati personalizza

9)  viene introdotto l'obbligo di autodenuncia per le violazioni di dati patite da chi tratta dati

All'estero esiste da tempo questa regole estesa a tutti coloro che trattano dati personali: si parla di data breach notification, che è l'obbligo di segnalare all'Autorità le violazioni di dati subite da chi li tratta.  Per violazione dei dati personali (c.d. “personal data breaches”), si intende: la distruzione, la perdita, la modifica, la rivelazione non autorizzata o  l'accesso, in modo accidentale o illecito, ai dati personali trasmessi, memorizzati o comunque elaborati.

In Italia tale obbligo esiste solo per gli operatori di comunicazioni elettroniche ma con la riforma europea tutti dovranno abituarsi a questo nuovo standard di sicurezza: chi tratta dati,  in  caso  di  una  violazione, dovrà  mettere  in  atto  due  differenti  azioni:

1. la  notificazione  della  violazione all’Autorità di controllo entro 72 ore dal fatto
2. la segnalazione al diretto interessato (senza ritardo ingiustificato).

Il mancato rispetto di questo obbligo comporta sanzioni penali.

Appare chiaro che questo nuovo standard comporterà interventi significativi per l'adozione di software di monitoraggio (cd. Software sentinella) che segnalino immediatemente le violazioni e per l'ottenimento di adeguate coperture assicurative che proteggano dai crescenti rischi legati al cosiddetto cyber risk.

10) le sanzioni di nuova generazione

Cone la riforma europea si passa dalle sanzioni a cifra fissa alle sanzioni “personalizzate”.

Fino ad oggi in Italia le sanzioni erano definite entro misure che potevano arrivare fino a 360.000 euro salvo incrementi dovuti alle dimensioni dell'impresa ed alla particolare gravità delle violazioni. Con la riforma le sanzioni diventeranno molto più pesanti:

1. Fino a € 20.000.000 per i privati e le imprese non facenti parte di gruppi.
2. Fino al 4% del fatturato complessivo (consolidato) per i Gruppi societari

Si tratta di un cambio di passo significativo. E' chiaro che queste sanzioni sono pensate per incidere sulle condotte dei grandi gruppi multinazionali che trattano dati in diverse aree geografiche e spesso cercano di individuare i paradisi legali del trattamento dei dati personali per eludere norme e criteri di comportamento definiti dalle nazioni più rigorose.

Dulcis in fundo: consenso e profilazione

Abbiamo completato la mappa ma non abbiamo ancora parlato di due elementi essenziali, fino ad ora, per chi gestisce i dati a fini di comunicazione commerciale: il consenso e la profilazione.

Cosa dice il nuovo regolamento a questo riguardo?

Con una certa sorpresa, accolta con toni fortemente critici dai difensori della privacy individuale, la riforma apre spazi nuovi per chi voglia sperimentare e cogliere opportunità interessanti.

Per quanto riguarda il consenso, che noi siamo abituati a considerare valido solo se formulato con una dichiarazione espressa (è l'effetto del cosiddetto sitema dell'opt in che l'Italia ha adottato con convinzione fin dal 1997, anno di entrata in vigore della prima normativa sui dati personali), si introduce un approccio di chiaro sapore anglosassone meno formalista e più sostanziale.

Secondo il nuovo regolamento europeo (così recita il Considerando 25 del testo approvato) “il consenso dovrebbe essere espresso mediante un'azione positiva inequivocabile con la quale l'interessato manifesta l'intenzione libera, specifica, informata e inequivocabile di accettare che i dati personali che lo riguardano siano oggetto di trattamento, ad esempio mediante  dichiarazione scritta, anche elettronica, o orale. Ciò potrebbe comprendere la selezione di un'apposita casella in un sito web, la scelta di impostazioni tecniche  o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in questo contesto che l'interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il consenso tacito o passivo o la preselezione di caselle. Il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per la stessa o le stesse finalità. Qualora il trattamento abbia più finalità, il consenso dovrebbe essere dato per

l'insieme delle finalità del trattamento. Se il consenso dell’interessato è richiesto con modalità elettronica, la richiesta deve essere chiara, concisa e non disturbare inutilmente il servizio per il quale il consenso è espresso”.

Questo di fatto dà spazio, entro certi limiti, a forme di consenso desunto da comportamenti concludenti espressi mediante azioni positive da parte dell'interessato. E' un grosso cambiamento che apre spazi nuovi rispetto ai rigidi steccati dell'opt in che pure restano formalmente in piedi.  Va tenuto conto che la definizione di “consenso dell'interessato” fornita dal regolamento è questa : “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile con la quale l'interessato accetta, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.”

E' quindi sparito il riferimento, originariamente previsto dal testo, al carattere esplicito del consenso che, a certe condizioni si può desumere in base al comportamento attivo dell'interessato.

Quanto alla profilazione, che per molti consisterebbe nella semplice analisi e clusterizzazione di un data base, il regolamento da risposte molto precise.  In particolare la riforma  chiarisce che la profilazione consiste nell'analisi di dati cui fa seguito un'azione automatica senza l'intervento dell'uomo. Quindi se si analizzano con strumenti informatici i dati presenti nei propri archivi e poi l'elaborazione dei dati stessi viene sottoposta alla valutazione preventiva di una persona prima dell'utilizzo dei dati stessi, per adattare e verificare i dati stessi, non si effettua profilazione. Quindi non occorre un consenso specifico per svolgere tale attività di analisi.

E così la mappa è completa: non resta che affrontare le nuove regole, capirle e soprattutto tenere a mente che la nuova tutela dei dati personali è un diventato un essenziale processo organizzativo stategico per le imprese cessando di essere un  semplicistico susseguirsi di adempimenti formali.