Privacy, sanzioni record nel 2018: oltre 8 milioni. “Allarme cybersicurezza nella sanità”

Durante l'ultima relazione annuale che conclude i suoi sette anni alla guida dell'Authority, il garante per la protezione dei dati personali Antonello Soro parla anche del voto elettronico e del controllo biometrico sui dipendenti pubblici. Un punto sul quale interviene il ministro Bongiorno: "Modalità di controllo che non violano la privacy"

Evidenzia le criticità nei controlli sugli asili in relazione alla tutela dei minori, solleva il tema della cybersicurezza nella sanità e della democrazia nella società digitale ricordando lo scandalo di Cambridge Analytica e il nodo della Cina, per la quale intravede il rischio di “totalitarismo digitale”. Nell’ultima relazione annuale del suo settennato alla guida dell’Authority della Privacy, il garante Antonello Soro traccia il bilancio del 2018, sono state oltre 8 milioni le sanzioni riscosse, il 115% in più rispetto al 2017. Tra i punti toccati anche la tutela dei dati personali nell’ambito del voto elettronico – che “rientra nell’autonomia delle associazioni politiche quale metodo di espressione, da parte degli iscritti, della propria volontà” – per evitare “rischi di violazione, profilazione, manipolazione” e anche la conservazione dei dati in Italia, sulla quale il garante è critico. “Sotto il profilo della data retention il legislatore italiano, nonostante i nostri reiterati richiami, non sembra aver colto sino in fondo le implicazioni di questi principi. La norma senza eguali in Europa – ha proseguito – che consente la conservazione generalizzata e indifferenziata, per sei anni, dei dati di traffico telefonico e telematico, costituisce una miope sfida al principio di proporzionalità ed espone il nostro Paese al rischio di censura in sede di controllo giurisdizionale di legittimità”.

Cybersicurezza, dati sanitari e reddito di cittadinanza: il dialogo tra legislatore e garante – Soro sottolinea come il 2018 sia stato “l’anno peggiore relativamente alla sicurezza cibernetica, così costantemente esposta a minacce da configurare una sorta di cyber-guerriglia permanente. E se nel settore pubblico in generale – ha aggiunto – gli attacchi sono cresciuti nell’ultimo anno del 41%, in ambito sanitario l’incremento ha toccato l’acme del 99% rispetto all’anno precedente, con effetti tanto più gravi che in altri settori perché l’alterazione dei dati sanitari può determinare errori diagnostici o terapeutici“. Il dialogo tra Garante e legislatore, ha proseguito, “ha spesso consentito apprezzabili miglioramenti dei testi, come nel caso del reddito di cittadinanza. Maggiori resistenze si sono invece riscontrate, ad esempio, rispetto all’introduzione generalizzata dei controlli biometrici per i dipendenti pubblici. È auspicabile che la sottovalutazione dei principi di proporzionalità e minimizzazione dei dati, riscontrata rispetto a tali provvedimenti, lasci spazio in futuro a un supplemento di riflessione“. Un punto sul quale interviene con una nota il ministro della pubblica amministrazione Giulia Bongiorno. “Credo che nella P.a sia arrivato il momento di mettersi a correre, senza continuare a rinviare il cambiamento – ha detto -. Conosco la posizione del Garante alla Privacy, e lo rassicuro sul fatto che sono state studiate modalità di controllo che non violano la privacy. Le impronte digitali dei dipendenti pubblici – ha poi aggiunto – saranno infatti trasformate in codici alfanumerici“. Quindi, rimarca il ministro, sul punto “non intendo arretrare di un millimetro”.

Democrazia e società digitale – “Le esperienze di questi ultimi anni rendono sempre più urgente affrontare il tema della democrazia nella società digitale e gli effetti distorsivi dello slittamento, della profilazione e del nudging, (strategia di economia comportamentale che ha come obiettivo l’orientamento verso scelte virtuose, ndr) dal piano commerciale a quello politico“. E parlando di questo tema fa riferimento a Cambrige Analytica, “oggetto di un nostro provvedimento inibitorio e alla base della recente norma dell’Unione, che sanziona l’uso illecito dei dati personali per condizionare i risultati elettorali”. “La prospettiva – avverte – è aggravata dalla concentrazione di tali informazioni (e del conseguente potere di condizionamento) in capo a poche imprese, capaci così di spiegare effetti determinanti su questioni di rilevanza pubblica primaria. Si destrutturano così – aggiunge – presidi democratici essenziali, quali quelli volti a garantire la libera formazione del consenso elettorale e la fisiologica competizione tra partiti”.

Le sanzioni nel 2018 – Quelle amministrative, riscosse a seguito di segnalazioni al garante, ammontano a oltre 8 milioni 160 mila euro, segnando circa 115% in più rispetto al 2017. Le violazioni amministrative contestate nel 2018 sono state 707, in larghissima parte concernenti il trattamento illecito di dati; la mancata adozione di misure di sicurezza; il telemarketing; le violazioni di banche dati; l’omessa o inadeguata informativa agli utenti sul trattamento dei loro dati personali; l’omessa esibizione di documenti al Garante.

Sono state effettuate 150 ispezioni. Gli accertamenti, svolti nel 2018 anche con il contributo del Nucleo speciale tutela privacy e frodi tecnologiche, hanno riguardato numerosi e delicati settori, sia nell’ambito pubblico che privato. Per quanto riguarda il settore privato, le ispezioni si sono rivolte principalmente ai trattamenti effettuati: dagli istituti di credito; da società per attività di rating sul rischio e sulla solvibilità delle imprese; dalle aziende sanitarie locali e poi trasferiti a terzi per il loro utilizzo a fini di ricerca; da società che svolgono attività di telemarketing; da società che offrono servizi di “money transfer”.

Oggetto di particolare accertamento anche i trattamenti di dati svolti da società assicuratrici attraverso l’installazione di “scatole nere” a bordo degli autoveicoli e da società che offrono servizi medico-sanitari tramite app. Per quanto riguarda il settore pubblico, l´attività di verifica si è concentrata su enti pubblici, soprattutto Comuni e Regioni, che svolgono trattamenti di dati personali mediante app per smartphone e tablet, (con particolare attenzione all’eventuale profilazione e geolocalizzazione degli utenti); sulle grandi banche dati; sul sistema della fiscalità, con speciale riguardo alle misure di sicurezza e al sistema degli audit; sul sistema informativo dell´Istat e sullo Spid. Per quanto riguarda l’attività di relazione con il pubblico si è dato riscontro a 22.800 quesiti, che hanno riguardato, in maniera preponderante, gli adempimenti legati all’applicazione del Regolamento Ue, seguiti dalle questioni legate alle telefonate, mail, fax e sms promozionali indesiderati; a Internet; alla videosorveglianza; al rapporto di lavoro; ai dati bancari.

Pechino e il controllo sociale – Per quanto riguarda la Cina, Soro sottolinea che “il rischio di un nuovo totalitarismo digitale” è “fondato sull’uso della tecnologia per un controllo ubiquitario sul cittadino e su un vero e proprio capitalismo della sorveglianza”. In particolare, “la sinergia tra assenza di norme efficaci a tutela della privacy e dirigismo (anche) economico – ha spiegato Soro – favorisce una sostanziale osmosi informativa tra i provider e il governo cinese che, anche per ragioni culturali, può massivamente raccogliere dati personali, da riutilizzare per le finalità più diverse: dalla sicurezza nazionale alla promozione dell’intelligenza artificiale. E persino per la realizzazione di un sistema di controllo sociale fondato sul capillare monitoraggio e la penalizzazione di comportamenti ritenuti socialmente indesiderabili, con la preclusione all’accesso persino a determinate scuole o ad altri servizi di welfare“.