Internet banking: analisi comportamentale contro le frodi, ma rispettare privacy

internet bankingPer combattere i furti di identità o le frodi nell’internet banking, una banca potrà analizzare informazioni biometrico-comportamentali dei clienti, quali la pressione sul touch screen o i movimenti del mouse,  in occasione della loro “navigazione” nell’area privata del proprio sito web.

Il sistema, sottoposto al Garante della privacy per una verifica preliminare [doc. web n. 5252271], si propone di innalzare i livelli di tutela attualmente previsti (come password per l’accesso al conto corrente on line, oppure one time password per bonifici e altre operazioni) con nuove modalità di “identificazione” dell’utente.

Per raggiungere tale obiettivo, l’istituto di credito ha chiesto a un partner tecnologico di generare profili univoci dei propri clienti basati sull’analisi del loro comportamento durante le operazioni svolte nell’area riservata del sito di internet banking.

La società, in una prima fase, raccoglie informazioni su azioni spontanee dell’utente, come i movimenti del mouse (incluse reazioni inconsce a “interferenze” prodotte appositamente dal sistema), la pressione del dito su schermi tattili, oppure la velocità di digitazione sulla tastiera. Tali dati biometrici sono combinati con altre informazioni relative alla tecnologia usata per collegarsi (pc, tablet, smartphone), come i parametri del sistema operativo e del browser di navigazione.

Ogni volta che il cliente si ricollega ai servizi bancari on line, il sistema provvede a comparare le caratteristiche della sua navigazione sul sito con quelle associate al profilo in memoria, così da individuare eventuali tentativi di accesso illecito ai conti on-line, informandone i clienti ed eventualmente inibendo determinate operazioni.

Il Garante ha riconosciuto l’importanza delle finalità perseguite dalla banca a garanzia della sicurezza dei servizi on-line ma, proprio per la delicatezza dei dati personali trattati, ha vincolato l’attivazione del nuovo sistema alla rigorosa osservanza delle misure individuate a tutela della privacy degli interessati.

La banca, ad esempio, potrà attivare il sistema di verifica biometrico-comportamentale solamente su base volontaria, dopo aver fornito al cliente una completa informativa e averne ottenuto lo specifico consenso.

Dovrà inoltre valutare con attenzione l’effettiva pertinenza e non eccedenza di tutti i “dati di navigazione” astrattamente utilizzabili, configurando il sistema in modo tale da acquisire e trattare, fin dall’inizio, solo quelli strettamente necessari all’esecuzione del servizio.

Il partner tecnologico:

  • non avrà accesso alle schede anagrafiche dei clienti dell’istituto di credito in modo tale da non poter risalire alla loro identità e, in ogni caso,
  • non potrà interconnettere i profili comportamentali con le informazioni contenute in altre banche dati, così da scongiurare il rischio di trattamenti illeciti.

Sono state inoltre definite precise misure di sicurezza e limiti ai tempi di conservazione dei dati raccolti per la fornitura del servizio, garantendo comunque gli adempimenti previsti da specifiche normative di settore e la tutela di eventuali diritti in sede giudiziaria.

La Commissione europea lancia lo scudo UE-USA per la privacy: più tutele per i flussi transatlantici di dati

eu-us-privacy-shieldBruxelles, 12 luglio 2016

Oggi la Commissione europea ha adottato lo scudo UE-USA per la privacy.

Il nuovo regime tutela i diritti fondamentali di qualsiasi persona nell’UE i cui dati personali siano trasferiti verso gli Stati Uniti e apporta chiarezza giuridica alle imprese che operano con trasferimenti transatlantici di dati.

Lo scudo UE-USA per la privacy si fonda sui principi esposti qui di seguito.

  • Obblighi rigorosi per le imprese che operano sui dati: nel nuovo regime il Dipartimento del Commercio degli Stati Uniti sottoporrà le imprese aderenti allo scudo a verifiche e aggiornamenti periodici per accertare che rispettino nella pratica le regole che hanno volontariamente accettato. In caso contrario, l’impresa si espone a sanzioni e al depennamento dall’elenco degli aderenti. L’inasprimento delle condizioni applicabili all’ulteriore trasferimento garantirà lo stesso livello di protezione anche quando l’impresa aderente allo scudo trasferisce i dati a terzi.
  • Garanzie chiare e obblighi di trasparenza applicabili all’accesso da parte del governo degli Stati Uniti: gli Stati Uniti hanno assicurato ufficialmente all’UE che l’accesso delle autorità pubbliche ai dati per scopi di applicazione della legge e di sicurezza nazionale è soggetto a limitazioni, garanzie e meccanismi di vigilanza precisi. La novità è che qualsiasi persona nell’UE disporrà di meccanismi di ricorso in questo settore. Gli Stati Uniti hanno escluso attività indiscriminate di sorveglianza di massa sui dati personali trasferiti negli Stati Uniti nell’ambito dello scudo. Secondo le precisazioni fornite dall’Ufficio del Direttore dell’intelligence nazionale, la raccolta di dati in blocco sarà eventualmente ammissibile solo in presenza di determinati presupposti, e comunque si tratterà obbligatoriamente di una raccolta quanto più mirata e concentrata possibile. L’Ufficio ha illustrato nei particolari le garanzie vigenti riguardo all’uso dei dati in tali circostanze eccezionali. Il Segretario di Stato degli USA ha istituito all’interno del Dipartimento di Stato una via di ricorso aperta agli europei per gli aspetti legati all’intelligence nazionale: il meccanismo di mediazione.
  • Tutela effettiva dei diritti individuali: chiunque ritenga che, nell’ambito dello scudo, sia stato compiuto un abuso sui dati che lo riguardano ha a disposizione vari meccanismi di composizione delle controversie di agevole accesso e dal costo contenuto. Idealmente sarà l’impresa stessa a risolvere il caso di reclamo oppure saranno offerte gratuitamente soluzioni basate su un organo alternativo di composizione delle controversie (ADR). Le persone si potranno anche rivolgere alle rispettive autorità nazionali di protezione dei dati, che collaboreranno con la Commissione federale del Commercio per assicurare che i casi di reclamo sottoposti da cittadini dell’UE siano esaminati e risolti. Esperiti tutti gli altri mezzi a disposizione, come extrema ratio il caso irrisolto potrà essere sottoposto a arbitrato. Per i casi che implicano la sicurezza nazionale, i cittadini dell’UE dispongono di una possibilità di ricorso nella figura del mediatore, che è indipendente dai servizi d’intelligence degli Stati Uniti.
  • Analisi annuale comune: il meccanismo consentirà di monitorare il funzionamento dello scudo, compresi gli impegni e le garanzie relative all’accesso ai dati a fini di contrasto della criminalità e finalità di sicurezza nazionale. La Commissione europea e il Dipartimento del Commercio degli Stati Uniti effettueranno l’analisi, alla quale assoceranno esperti dell’intelligence nazionale statunitense e le autorità europee di protezione dei dati. La Commissione attingerà a tutte le altre fonti di informazioni disponibili e presenterà una relazione pubblica al Parlamento europeo e al Consiglio.

Dopo aver presentato il progetto di scudo a febbraio, la Commissione vi ha inserito varie precisazioni e ulteriori miglioramenti basandosi sui pareri espressi delle autorità europee di protezione dei dati (Gruppo dell’articolo 29) e dal garante europeo della protezione dei dati e sulla risoluzione del Parlamento europeo. In particolare, la Commissione europea e gli Stati Uniti hanno concordato ulteriori precisazioni sulla raccolta di dati in blocco, il rafforzamento del meccanismo di mediazione e una maggiore esplicitazione degli obblighi delle imprese quanto ai limiti applicabili alla conservazione e all’ulteriore trasferimento.

Prossime tappe:

  • la “decisione di adeguatezza” sarà notificata oggi agli Stati membri, entrando così in vigore immediatamente.
  • Gli Stati Uniti pubblicheranno lo scudo per la privacy nel Registro federale, che è l’equivalente della nostra Gazzetta ufficiale. Il Dipartimento del Commercio degli Stati Uniti darà avvio allo scudo.
  • Una volta studiato il regime e aggiornate pratiche e politiche per conformarvisi, le imprese potranno certificarsi come aderenti presso il Dipartimento del Commercio a partire dal 1o agosto.
  • La Commissione pubblicherà nel frattempo una breve guida per informare i cittadini dei mezzi di ricorso di cui dispone la persona che ritiene che i suoi dati personali siano stati usati senza tener conto delle norme sulla protezione dei dati.

 

Per ulteriori informazioni

 

 

Rc auto: app su stile di guida, solo se garantisce la privacy

image_gallery

Il software proposto da una assicurazione per ottenere sconti sulle polizze

Una compagnia assicurativa, la Zuritel s.p.a,  potrà attivare una app per monitorare lo stile di guida degli utenti che decideranno di installarla sul proprio smartphone e proporre a ai più prudenti e attenti al Codice della strada dei buoni sconto per l’acquisto di polizze auto. La società dovrà però informare correttamente i guidatori, limitare i tempi di conservazione dei dati e garantire la privacy degli automobilisti.

Il progetto, sottoposto alla verifica preliminare del  Garante per la privacy [doc. web n. 5175960], prevede lo sviluppo di un’applicazione gratuita da installare sul cellulare, che attribuisce un diverso punteggio basato sullo stile di guida rilevato, e consente agli utenti la visualizzazione dei luoghi in cui si sono verificati eventi potenzialmente rischiosi (quali inversioni ad U, brusche frenate e accelerate).

Obiettivo dichiarato della società quello di:

  • promuovere modalità di guida più sicure, 
  • contribuire a un minor consumo di carburante e
  • offrire al contempo ai guidatori che hanno raggiunto un certo punteggio eventuali promozioni per l’acquisto di una polizza auto.

La società potrà attivare l’applicativo solo dopo averlo modificato per garantire maggiormente la riservatezza degli automobilisti come richiesto dal Garante.

Il partner tecnologico coinvolto nella fornitura del servizio, ad esempio:

  • non potrà conservare i dati sulla geo-localizzazione dei guidatori per più di 90 giorni e
  • potrà trasmettere alla compagnia assicuratrice informazioni statistiche sulle strade percorse esclusivamente dopo aver anonimizzato i dati, eliminando così ogni riferimento agli automobilisti.

I dati necessari a contattare gli utenti che manifesteranno uno specifico consenso alla profilazione del loro stile di guida per finalità di marketing potranno invece essere conservati dalla compagnia assicuratrice al massimo per un anno.

Il Garante ha infine prescritto alla società assicuratrice di modificare l’informativa fornita agli utenti che decideranno di installare l’applicativo, chiarendo con precisione quali dati personali saranno trattati e per quale finalità.

Tali indicazioni, ad esempio, non dovranno limitarsi a riportare generici riferimenti al monitoraggio dello “stile di guida”,  ma dovranno specificare i parametri su cui sarà basata la profilazione del guidatore, come:

  • il tipo di strada percorsa,
  • le accelerazioni e le frenate brusche,
  • l’eventuale superamento della velocità consentita.

 

Videosorveglianza e geolocalizzazione, guida al nuovo modello

  • Fonte: PMI.it
  • di: Avv. Emiliano Vitelli

Compilazione del nuovo modello unificato per l’installazione di apparati di videosorveglianza o geolocalizzazione: novità normative, requisiti tecnici, responsabilità penali.

Videosorveglianza

Il 5 maggio 2016 il Ministero del Lavoro ha pubblicato il modello unificato con cui richiedere l’autorizzazione a installare impianti di videosorveglianza e/o di geolocalizzazione, completo anche negli aspetti più tecnici: l’impresa dovrà limitarsi a compilarlo ed allegare la documentazione richiesta. Allo stesso tempo, l’impegno è notevole laddove le dichiarazioni rilasciate siano sottoscritte nel rispetto dell’art. 76 Dlgs 445/00 in materia di responsabilità penali per le dichiarazioni mendaci.

Il nuovo articolo 4 dello Statuto dei Lavoratori, a seguito delle modifiche introdotte dal Jobs Act in combinato con la normativa privacy, prevede che gli impianti audiovisivi e gli altri strumenti dai quali derivi la possibilità di controllo a distanza dei lavoratori possano essere impiegati:

“esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale”.

Il tutto, previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o aziendali, oppure con autorizzazione della DTL.

Nel rispetto dello Statuto dei Lavoratori e del Codice Privacy l’impresa deve quindi impegnarsi a trattare i dati personali esclusivamente per soddisfare esigenze organizzative e produttive o per la sicurezza sul lavoro, nonché a non utilizzare i dispositivi di tracciamento al fine di monitorare il comportamento e gli spostamenti di autisti o altro personale. Allo stesso modo dovrà essere fornita adeguata informazione (dipendenti, terzi, clienti, ecc.) in merito all’adozione di detti strumenti, per mezzo di opportuna informativa e di apposita segnaletica.

Le dichiarazioni elencate nel modello non sono mere enunciazioni di principio: se da una parte si semplifica le procedura autorizzativa, dall’altra diventa cruciale che azienda provveda a dare concreta attuazione a quanto ivi dichiarato. Vediamo di seguito quelle obbligatorie (tra le altre).

Videosorveglianza

  • L’angolo di ripresa delle telecamere (fisse o mobili) dovrà essere indirizzato soltanto verso le aree di rischio e nel rispetto della riservatezza dei lavoratori;
  • le registrazioni dovranno essere custodite sotto chiave o “sotto password” e vi potranno accedere solo gli indicati legale rappresentante (o delegato) e il rappresentante dei lavoratori;
  • andranno rispettate le prescrizioni in materia di conservazione (24 ore) dettate dal Codice Privacy e dai provvedimenti del Garante;
  • dovrà essere allegata la planimetria dell’impianto specificando anche numero e posizione delle telecamere, lunghezza focale e profondità di campo, posizione dei monitor e dispositivo di registrazione;
  • dovrà essere allegata una dettagliata relazione tecnico-descrittiva sulla gestione e l’utilizzo dell’impianto di videosorveglianza

Geolocalizzazione

  • Nella fase di installazione, utilizzo dei sistemi di rilevazione e gestione dei dati acquisiti saranno rispettati i principi di pertinenza e non eccedenza, per mezzo di dispositivi opportunamente configurati che potranno rilevare, oltre all’ubicazione del veicolo, la distanza percorsa, i tempi di percorrenza, il carburante consumato, la velocità media del veicolo;
  • il monitoraggio della posizione non deve essere effettuato in via continuativa ma solo quando necessario;
  • dovranno essere rispettati i tempi di conservazione così come prescritto dal Garante;
  • gli operatori economici che forniscono i servizi di localizzazione dovranno essere nominati responsabili del trattamento;
  • dovrà essere allegata una dettagliata relazione tecnico-descrittiva contenente le modalità di localizzazione del sistema satellitare GPS, con la descrizione e disposizione delle apparecchiature nella sede ricevente.

Qui il link per scaricare il modello

Si rimane lievemente perplessi in merito alle modalità di comunicazione e di informazione prese in considerazione dal modello. Nella nota in calce, infatti, si specifica che il modello deve essere obbligatoriamente compilato in digitale e poi inviato per posta elettronica (!) o PEC all’ufficio competente. 

Parrebbe dedursi che soltanto in via facoltativa l’invio del modello potrebbe essere eseguito a mezzo di posta certificata, laddove, a giudizio di chi scrive, sarebbe dovuto esser obbligatorio tout court; ma soprattutto non si prevede la possibilità di firmare il modello digitalmente chiedendo tra l’altro di allegare un documento di riconoscimento in caso di invio a mezzo fax o per posta certificata. Allo stesso modo, anche per il pagamento dei bolli, si obbliga la consegna a mano non prevedendo –neanche in via alternativa– la possibilità di pagamento per via telematica.

In ogni caso, accantonando queste ultime considerazioni operative, si deve ritenere che senz’altro il modello aiuterà molto le aziende a regolarizzare la loro posizione nel momento in cui decidano di adottare sistemi di videosorveglianza o geolocalizzazione.

No allo spam elettorale nelle mail dei dipendenti comunali

Concept of sending e-mails from your computerUn candidato non può usare a fini di propaganda elettorale  i dati personali in suo possesso per ragioni istituzionali. È quanto ha ribadito il Garante privacy in un provvedimento con cui ha vietato ad un ex assessore di utilizzare gli indirizzi mail dei dipendenti comunali  nella sua disponibilità ai tempi del suo mandato.

La vicenda risale alle amministrative dello scorso anno, quando una dipendente comunale, aprendo la mail di lavoro,  scopre che l’ex assessore al personale si candida alle elezioni regionali e chiede il suo voto.

La scena si ripete più volte –  probabilmente la stessa mail è stata spedita a tutto il personale comunale – e alcuni dipendenti, che si ritengono lesi nei loro diritti, si rivolgono al Garante per la protezione dei dati personali. I dipendenti segnalano all’Autorità che gli indirizzi mail sono stati acquisiti da un indirizzario di posta elettronica che non è pubblico, essendo ad esclusivo uso interno dell’amministrazione e nella disponibilità dell’ex assessore al personale  in virtù dell’incarico precedentemente ricoperto.

Per questo motivo ritengono che i loro dati personali siano stati trattati in modo non corretto e  in violazione delle regole dettate dal Garante privacy in materia di propaganda elettorale.

Tesi condivisa dall’Autorità che, nell’emettere il provvedimento di divieto, ha ritenuto l’operato dell’ex assessore illecito sotto diversi profili.

  • In primo luogo, perché il trattamento dei dati è avvenuto in violazione del principio di finalità: gli indirizzi mail comunali, infatti, il cui scopo è quello di consentire il contatto per l’assolvimento delle funzioni istituzionali, non possono essere utilizzati per il perseguimento di altre finalità (non compatibili con quelle che ne hanno giustificato la raccolta originaria),  come appunto la propaganda elettorale. Così come non possono essere utilizzati liberamente da chi ricopre incarichi pubblici e detiene  questi dati solo per lo svolgimento dei propri compiti istituzionali.
  • In secondo luogo perché, come affermato dal Garante in più occasioni, i partiti, le liste o i singoli candidati non possono utilizzare indirizzi di posta elettronica senza il consenso specifico e informato dei destinatari. Consenso che, nel caso in esame,  non risulta acquisito, come non risulta che i destinatari siano stati informati sull’uso che veniva fatto dei loro dati.

Con un autonomo procedimento l’Autorità provvederà a verificare i presupposti per l’applicazione della sanzione amministrativa prevista per l’omessa informativa e la  mancata acquisizione del consenso.

Data breach: chi deve comunicarli al Garante?

0001I dati personali conservati, trasmessi o trattati da aziende e pubbliche amministrazioni possono essere soggetti al rischio di perdita, distruzione o diffusione indebita, ad esempio a seguito di attacchi informatici, accessi abusivi, incidenti o eventi avversi, come incendi o altre calamità.

Si tratta di situazioni che possono comportare pericoli significativi per la privacy degli interessati cui si riferiscono i dati.

Per questa ragione, anche sulla base della normativa europea, il Garante per la protezione dei dati personali ha adottato negli ultimi anni una serie di provvedimenti che introducono in determinati settori l’obbligo di comunicare eventuali violazioni di dati personali (data breach) all’Autorità stessa e, in alcuni casi, anche ai soggetti interessati.

Il mancato o ritardato adempimento della comunicazione espone alla possibilità di sanzioni amministrative.

I casi e gli adempimenti previsti dai provvedimenti del Garante

Clicca per l’infografica che offre un prospetto sintetico sulla materia.