Internet banking: analisi comportamentale contro le frodi, ma rispettare privacy

internet bankingPer combattere i furti di identità o le frodi nell’internet banking, una banca potrà analizzare informazioni biometrico-comportamentali dei clienti, quali la pressione sul touch screen o i movimenti del mouse,  in occasione della loro “navigazione” nell’area privata del proprio sito web.

Il sistema, sottoposto al Garante della privacy per una verifica preliminare [doc. web n. 5252271], si propone di innalzare i livelli di tutela attualmente previsti (come password per l’accesso al conto corrente on line, oppure one time password per bonifici e altre operazioni) con nuove modalità di “identificazione” dell’utente.

Per raggiungere tale obiettivo, l’istituto di credito ha chiesto a un partner tecnologico di generare profili univoci dei propri clienti basati sull’analisi del loro comportamento durante le operazioni svolte nell’area riservata del sito di internet banking.

La società, in una prima fase, raccoglie informazioni su azioni spontanee dell’utente, come i movimenti del mouse (incluse reazioni inconsce a “interferenze” prodotte appositamente dal sistema), la pressione del dito su schermi tattili, oppure la velocità di digitazione sulla tastiera. Tali dati biometrici sono combinati con altre informazioni relative alla tecnologia usata per collegarsi (pc, tablet, smartphone), come i parametri del sistema operativo e del browser di navigazione.

Ogni volta che il cliente si ricollega ai servizi bancari on line, il sistema provvede a comparare le caratteristiche della sua navigazione sul sito con quelle associate al profilo in memoria, così da individuare eventuali tentativi di accesso illecito ai conti on-line, informandone i clienti ed eventualmente inibendo determinate operazioni.

Il Garante ha riconosciuto l’importanza delle finalità perseguite dalla banca a garanzia della sicurezza dei servizi on-line ma, proprio per la delicatezza dei dati personali trattati, ha vincolato l’attivazione del nuovo sistema alla rigorosa osservanza delle misure individuate a tutela della privacy degli interessati.

La banca, ad esempio, potrà attivare il sistema di verifica biometrico-comportamentale solamente su base volontaria, dopo aver fornito al cliente una completa informativa e averne ottenuto lo specifico consenso.

Dovrà inoltre valutare con attenzione l’effettiva pertinenza e non eccedenza di tutti i “dati di navigazione” astrattamente utilizzabili, configurando il sistema in modo tale da acquisire e trattare, fin dall’inizio, solo quelli strettamente necessari all’esecuzione del servizio.

Il partner tecnologico:

  • non avrà accesso alle schede anagrafiche dei clienti dell’istituto di credito in modo tale da non poter risalire alla loro identità e, in ogni caso,
  • non potrà interconnettere i profili comportamentali con le informazioni contenute in altre banche dati, così da scongiurare il rischio di trattamenti illeciti.

Sono state inoltre definite precise misure di sicurezza e limiti ai tempi di conservazione dei dati raccolti per la fornitura del servizio, garantendo comunque gli adempimenti previsti da specifiche normative di settore e la tutela di eventuali diritti in sede giudiziaria.

Annunci

No allo spam elettorale nelle mail dei dipendenti comunali

Concept of sending e-mails from your computerUn candidato non può usare a fini di propaganda elettorale  i dati personali in suo possesso per ragioni istituzionali. È quanto ha ribadito il Garante privacy in un provvedimento con cui ha vietato ad un ex assessore di utilizzare gli indirizzi mail dei dipendenti comunali  nella sua disponibilità ai tempi del suo mandato.

La vicenda risale alle amministrative dello scorso anno, quando una dipendente comunale, aprendo la mail di lavoro,  scopre che l’ex assessore al personale si candida alle elezioni regionali e chiede il suo voto.

La scena si ripete più volte –  probabilmente la stessa mail è stata spedita a tutto il personale comunale – e alcuni dipendenti, che si ritengono lesi nei loro diritti, si rivolgono al Garante per la protezione dei dati personali. I dipendenti segnalano all’Autorità che gli indirizzi mail sono stati acquisiti da un indirizzario di posta elettronica che non è pubblico, essendo ad esclusivo uso interno dell’amministrazione e nella disponibilità dell’ex assessore al personale  in virtù dell’incarico precedentemente ricoperto.

Per questo motivo ritengono che i loro dati personali siano stati trattati in modo non corretto e  in violazione delle regole dettate dal Garante privacy in materia di propaganda elettorale.

Tesi condivisa dall’Autorità che, nell’emettere il provvedimento di divieto, ha ritenuto l’operato dell’ex assessore illecito sotto diversi profili.

  • In primo luogo, perché il trattamento dei dati è avvenuto in violazione del principio di finalità: gli indirizzi mail comunali, infatti, il cui scopo è quello di consentire il contatto per l’assolvimento delle funzioni istituzionali, non possono essere utilizzati per il perseguimento di altre finalità (non compatibili con quelle che ne hanno giustificato la raccolta originaria),  come appunto la propaganda elettorale. Così come non possono essere utilizzati liberamente da chi ricopre incarichi pubblici e detiene  questi dati solo per lo svolgimento dei propri compiti istituzionali.
  • In secondo luogo perché, come affermato dal Garante in più occasioni, i partiti, le liste o i singoli candidati non possono utilizzare indirizzi di posta elettronica senza il consenso specifico e informato dei destinatari. Consenso che, nel caso in esame,  non risulta acquisito, come non risulta che i destinatari siano stati informati sull’uso che veniva fatto dei loro dati.

Con un autonomo procedimento l’Autorità provvederà a verificare i presupposti per l’applicazione della sanzione amministrativa prevista per l’omessa informativa e la  mancata acquisizione del consenso.

Privacy e videosorveglianza: no alle telecamere negli spogliatoi aziendali

portierato ferraraLegittima l’aspettativa di riservatezza dei lavoratori: un’azienda non potrà installare le  telecamere all’interno degli spogliatoi dei dipendenti.

Lo ha ribadito il  Garante della privacy [doc. web n. 3325380] che ha respinto la richiesta di una società di attivare un sistema di videosorveglianza che avrebbe violato la legittima aspettativa di intimità e la dignità dei lavoratori.

L’Azienda

L’azienda metalmeccanica riteneva la misura necessaria per arginare le “numerose e ripetute segnalazioni di effrazioni negli spogliatoi”, che l’avevano già  indotta a rafforzare gli armadietti, dotandoli di lucchetti, e a installare una telecamera all’ingresso degli spogliatoi.

Alla richiesta presentata al Garante, la società aveva anche allegato:

  • alcune denunce di furti avvenuti negli ultimi due anni, nonché
  • un accordo raggiunto con i sindacati aziendali che secondo l’impresa avrebbe consentito l’estensione dell’attuale impianto di videosorveglianza all’interno degli spogliatoi.

Il Garante

Nel vietare l’attuazione del progetto, il Garante ha ritenuto che l’installazione delle  telecamere negli  spogliatoi dei dipendenti non fosse conforme alle norme sulla protezione dei dati personali.

Il sistema, infatti, era configurato in modo tale da prevedere espressamente il minuzioso controllo dell’intera area adibita a spogliatoio, senza alcuna limitazione all’angolo di ripresa, in una zona connotata, invece, da una particolare aspettativa di riservatezza e di tutela della intimità e dignità della persona.

L’azienda, inoltre, non aveva motivato l’inutilità delle misure di sicurezza già adottate (rafforzamento degli armadietti, telecamera all’ingresso degli spogliatoi) e anche le denunce, presentate a sostegno del progetto,  riguardavano furti avvenuti in altre aree dell’azienda e al di fuori dell’orario di lavoro.

Il progetto, per giunta, non rispettava neppure l’accordo raggiunto con i sindacati né per quanto riguarda i luoghi di installazione delle telecamere né, ad esempio, per i tempi di conservazione delle immagini.

Fascicolo sanitario elettronico: via libera al primo decreto attuativo

1342164699Consenso specifico del Paziente e tracciabilità degli accessi al Fse 

Primi passi concreti per la realizzazione del fascicolo sanitario elettronico, l’insieme dei dati e dei documenti digitali che rappresentano la storia clinica e sanitaria di una persona. Il Garante per la privacy ha espresso parere favorevole [doc. web n. 3230826] su uno schema di decreto del  Presidente del Consiglio dei ministri –  il primo di  una serie di decreti attuativi previsti dalla norma di legge – che consentirà a Regioni e Province autonome di dare il via al Fse.

Già nel 2009 l’Autorità era intervenuta  in tale materia con un provvedimento generale, svolgendo un ruolo di “supplenza” in attesa di una normativa adeguata. Lo schema odierno individua i primi contenuti  da attivare a livello nazionale:

  • i dati e i documenti da inserire nel fascicolo elettronico;
  • le responsabilità e i compiti dei soggetti coinvolti; 
  • le garanzie e le misure di sicurezza da adottare nel trattamento dei dati personali; 
  • le modalità e i livelli diversificati di accesso al fascicolo;
  • i criteri di interoperabilità, nonché i contenuti informativi e le codifiche del profilo sanitario sintetico e del referto di laboratorio.

Lo schema di decreto è stato elaborato nell’ambito di un tavolo di lavoro istituito presso il Ministero della salute cui ha partecipato anche l’Ufficio del Garante fin dalla sua costituzione nel gennaio 2013.

Informativa e consenso specifico

Il testo che ha avuto l’ok del Garante prevede, in particolare, che:

  • il paziente sia informato chiaramente e possa decidere con maggiore consapevolezza se dare il consenso all’alimentazione del Fse (in mancanza del quale il fascicolo rimarrà vuoto e quindi non accessibile,  né per finalità di cura, né per finalità di ricerca o di programmazione sanitaria e monitoraggio),
  • e in caso positivo, decidere se dare anche il consenso per finalità di cura (in mancanza del quale il fascicolo potrà essere utilizzato solo per finalità di monitoraggio, programmazione e ricerca, con le dovute garanzie di anonimato)
  • il paziente potrà decidere, inoltre, con un consenso ad hoc, se far inserire nel Fse alcune informazioni di particolare delicatezza (sieropositività, interruzione volontaria di gravidanza, violenza sessuale, pedofilia, uso di sostanze stupefacenti,  parto in anonimato).

Giova comunque ricordare che la mancata  adesione al Fse non preclude la possibilità di aderire alle prestazioni del servizio sanitario nazionale.

Accessi al Fse e data breach

  • Gli accessi al Fse da parte degli operatori del Ssn dovranno essere tracciabili e
  • la consultazione del Fse dovrà essere limitata al personale sanitario che abbia in cura effettivamente il paziente, e solo per il tempo necessario.

Per scongiurare il rischio di accessi abusivi, lo schema è stato integrato prevedendo l’obbligo per il titolare del trattamento di avvisare immediatamente il Garante nel caso in cui i dati trattati nell’ambito del Fse subiscano violazioni (c.d. “data breach”: derivanti da attacchi informatici, incendi o altre calamità).

Telecamere “intelligenti”: sì del Garante a Bankitalia

video_surveillance_and_physical_security_212463Telecamere “intelligenti”ammesse per tutelare la sicurezza di edifici e beni

Il Garante per la privacy ha accolto [doc. web n. 3230814] la richiesta di verifica preliminare presentata dalla Banca d’Italia relativa all’uso di sistemi di videosorveglianza intelligente da istallarsi presso le sedi dell’Amministrazione centrale e delle filiali. Lo scopo della Banca è garantire la sicurezza degli edifici e dei beni dell’Istituto in relazione agli specifici rischi connessi allo stoccaggio e alla gestione di elevate quantità di valori.

Gli impianti sottoposti alla verifica del Garante prevedono un  sistema di “alert” che si attiva a fronte:

  • del superamento di una barriera virtuale predefinita
  • o dell’accesso a determinate aree interdette
  • o del riconoscimento della presenza di persone.

Le ulteriori funzionalità del sistema che Bankitalia intende installare  (tra le quali la lettura targhe e identificazione mezzi e il conteggio delle persone)  non rientrano invece tra le ipotesi per le quali è necessario richiedere la verifica preliminare perché non prevedono la generazione di allarmi.

Anche le funzioni di “riconoscimento oggetto abbandonato” e “mancanza oggetto”, pur prevedendo l’attivazione di un allarme, non richiedono la verifica preliminare, in quanto non comportano un trattamento di dati personali.

green_globe_ok_tic_584Proporzionalità del trattamento

Alla luce della verifica effettuata, il Garante ritiene proporzionato e quindi ammissibile il trattamento dei dati personali che la Banca d’Italia intende effettuare. Esso infatti non comporta un pregiudizio rilevante per gli interessati dal momento che i sistemi sono volti esclusivamente a richiamare l’attenzione degli addetti al controllo e non ad attivare ulteriori funzionalità (ad esempio la geolocalizzazione o il confronto con dati biometrici).

In ogni caso, sulla base del Codice privacy e del provvedimento generale sulla videosorveglianza del 2010, il Garante ha richiamato la Banca d’Italia al rispetto delle  prescrizioni relative alle misure minime di sicurezza, delle indicazioni in materia di informativa agli interessati e delle garanzie previste sul controllo a distanza dei lavoratori.

Internet: Garante privacy, no ai cookie per profilazione senza consenso

image_gallery (1)In un banner le informazioni all’utente e la possibilità di scegliere quali cookie autorizzare

Stop all’installazione dei cookie per finalità di profilazione e marketing da parte dei gestori dei siti senza aver prima informato gli utenti e aver ottenuto il loro consenso. Chi naviga on line potrà quindi decidere in maniera libera e consapevole se far usare o no le informazioni raccolte sui siti visitati per ricevere pubblicità mirata.

Lo ha stabilito il Garante privacy con un Provvedimento generale [doc. web n. 3118884] pubblicato sulla Gazzetta ufficiale, adottato al termine di una consultazione pubblica,  nel quale ha individuato modalità semplificate per rendere agli utenti l’informativa on line sull’uso dei cookie e ha fornito indicazioni per acquisire il consenso, quando richiesto dalla legge.

Cosa sono i cookie?

I cookie sono piccoli file di testo che i siti visitati inviano al terminale (computer, tablet, smartphone, notebook) dell’utente, dove vengono memorizzati, per poi essere ritrasmessi agli stessi siti alla visita successiva.

Sono usati per:

  • eseguire autenticazioni informatiche,
  • monitoraggio di sessioni e memorizzazione di informazioni sui siti  (senza l’uso dei cookie “tecnici” alcune operazioni risulterebbero molto complesse o impossibili da eseguire).

Ma attraverso i cookie si può anche monitorare la navigazione, raccogliere dati su gusti, abitudini, scelte personali che consentono la ricostruzione di dettagliati profili dei  consumatori.

“Con questo provvedimento, maturato anche attraverso la consultazione dei vari stakeholder, diventa più facile il rispetto degli obblighi previsti dalla normativa europea” – commenta Antonello Soro, presidente del Garante privacy. “La procedura semplificata consentirà agevolmente ai navigatori di manifestare un consenso davvero libero e consapevole”.

alert-icon-redNuovi obblighi di informazione

Per proteggere la privacy degli utenti e consentire loro scelte più consapevoli, il Garante ha dunque stabilito che, d’ora in poi  quando si accede alla home page o ad un’altra pagina di un sito web deve immediatamente comparire un banner ben visibile, in cui sia indicato chiaramente:

  1. che il sito utilizza cookie di profilazione per inviare messaggi pubblicitari mirati;
  2. che il sito consente anche l’invio di cookie di “terze parti”, ossia di cookie installati da un sito diverso tramite il sito che si sta visitando;
  3. un link a una informativa più ampia, con le  indicazioni sull’uso dei cookie inviati dal sito, dove è possibile negare il consenso alla loro installazione direttamente  o collegandosi ai vari siti nel caso dei cookie di “terze parti”;
  4. l’indicazione che proseguendo nella navigazione (ad es., accedendo ad un’altra area del sito o selezionando un’immagine o un link)  si presta il consenso all’uso dei cookie.

Per quanto riguarda l’obbligo di tener traccia del consenso dell’utente, al gestore del sito è consentito utilizzare un cookie tecnico, in modo tale da non riproporre l’informativa breve alla seconda visita dell’utente.

L’utente mantiene, comunque, la possibilità di modificare le proprie scelte sui cookie attraverso l’informativa estesa, che deve essere linkabile da ogni pagina del sito.

Il modello del banner

A mero titolo di esempio, il Garante ha predisposto il seguente modello di banner disponibile anche sul  sito del Garante

image_gallery

 

 

Privacy e trasparenza on line della Pa: le nuove Linee guida del Garante

pubblica-amministrazione-600x383Garanzie per i più deboli Sui siti on line della Pa solo dati esatti, aggiornati e indispensabili. Vietato diffondere informazioni sulla salute. Sì agli “open data”, ma senza pregiudicare i diritti delle persone. Garanzie per i più deboli.

Allo scopo di contemperare le esigenze di pubblicità e trasparenza con i diritti e le libertà fondamentali nonché la dignità delle persone, il Garante privacy ha individuato un quadro organico e unitario di cautele e misure che le Pa devono adottare quando diffondono sui loro siti web dati personali dei cittadini.

Le Linee guida [doc. web n. 3134436], emanate alla luce del recente decreto legislativo n.33/2013, riguardano:

  • sia la pubblicazione di dati e documenti che le Pa devono mettere on line per finalità di trasparenza,
  • sia di quelli finalizzati a garantire altri obblighi di pubblicità degli atti amministrativi (es. pubblicazioni matrimoniali, deliberazioni sull’albo pretorio on line, avviso di deposito delle cartelle esattoriali etc.).

Su tali Linee guida (in corso di pubblicazione sulla G.U.) il Garante ha sentito il Dipartimento della funzione pubblica, l’Autorità nazionale anticorruzione (Anac) e l’Agenzia digitale.

Ecco in sintesi le principali misure indicate per la trasparenza on line.

Principi generali

Le Pa devono pubblicare solo dati esatti, aggiornati e contestualizzati.

Prima di mettere on line sui propri siti informazioni, atti e documenti amministrativi contenenti dati personali, le amministrazioni devono verificare che esista una norma di legge o di regolamento che ne preveda l’obbligo.

Le Pa devono pubblicare on line solo dati la cui pubblicazione risulti realmente necessaria. E’ sempre vietata la pubblicazione di dati sulla salute e sulla vita sessuale.

I dati sensibili (etnia, religione, appartenenze politiche etc.) possono essere diffusi solo laddove indispensabili al perseguimento delle finalità di rilevante interesse pubblico.

Occorre adottare misure per impedire la indicizzazione dei dati sensibili da parte dei motori di ricerca e il loro riutilizzo.

Qualora le Pa intendano pubblicare dati personali ulteriori rispetto a quelli individuati nel decreto legislativo n.33, devono procedere prima all’anonimizzazione di questi dati, evitando soluzioni che consentano l’identificazione, anche indiretta o a posteriori, dell’interessato.

Open data e riutilizzo dei dati

I dati pubblicati on line non sono liberamente utilizzabili da chiunque per qualunque finalità.

L’obbligo previsto dalla normativa in materia di trasparenza on line della Pa di pubblicare dati in “formato aperto”, non comporta che tali dati siano anche “dati aperti”, cioè liberamente utilizzabili da chiunque per qualunque scopo. Il riutilizzo dei dati personali non deve pregiudicare, anche sulla scorta della direttiva europea in materia, il diritto alla privacy.

Le Pa dovranno quindi inserire nella sezione denominata “Amministrazione trasparente” sui propri siti web un alert con cui si informa il pubblico che i dati personali sono riutilizzabili in termini compatibili con gli scopi per i quali sono raccolti e nel rispetto del norme sulla protezione dei dati personali.

I dati sensibili e giudiziari non possono essere riutilizzati.

Durata degli obblighi di pubblicazione

Il periodo di mantenimento on line dei dati è stato generalmente fissato in 5 anni dal decreto legislativo n.33. Sono previste però alcune deroghe, come nell’ipotesi in cui gli atti producano i loro effetti oltre questa scadenza. In ogni caso, quando sono stati raggiunti gli scopi per i quali essi sono stati resi pubblici e gli atti hanno prodotto i loro effetti, i dati personali devono essere oscurati anche prima del termine dei 5 anni.

Motori di ricerca

L’obbligo di indicizzare i dati nei motori di ricerca generalisti (es. Google) durante il periodo di pubblicazione obbligatoria è limitato ai soli dati tassativamente individuati dalle norme in materia di trasparenza. Vanno dunque esclusi gli altri dati che si ha l’obbligo di pubblicare per altre finalità di pubblicità (es. pubblicità legale sull’albo pretorio, pubblicazioni matrimoniali etc).

Non possono essere indicizzati (e quindi reperibili attraverso i motori di ricerca) i dati sensibili e giudiziari.

Specifici obblighi di pubblicazione

Risulta proporzionato indicare il compenso complessivo percepito dai singoli dipendenti (determinato tenendo conto di tutte le componenti, anche variabili, della retribuzione). Non è però giustificato riprodurre sul web le dichiarazioni fiscali o la versione integrale dei cedolini degli stipendi. Esistono invece norme ad hoc per gli organi di vertice politico.

A tutela di fasce deboli, persone invalide, disabili o in situazioni di disagio economico destinatarie di sovvenzioni o sussidi, sono previste limitazioni nella pubblicazione dei dati identificativi.

Vi è invece l’obbligo di pubblicare la dichiarazione dei redditi di politici e amministratori, con l’esclusione di dati non pertinenti (stato civile, codice fiscale) o dati sensibili (spese mediche, erogazioni di denaro ad enti senza finalità di lucro etc.).

Obblighi di pubblicità degli atti per finalità diverse dalla trasparenza

Il rispetto dei principi di esattezza, necessità, pertinenza e non eccedenza, permanenza on line limitata nel tempo dei dati personali, vale anche per la pubblicazione di atti per finalità diverse dalla trasparenza (albo pretorio on line degli enti locali, graduatorie di concorsi etc.).

Al fine di ridurre i rischi di decontestualizzazione del dato personale e la riorganizzazione delle informazioni secondo parametri non conosciuti dall’utente, è necessario:

  • prevedere l’inserimento all’interno del documento di “dati di contesto” (es. data di aggiornamento, periodo di validità, amministrazione, numero di protocollo)
  • ed evitare l’indicizzazione tramite motori di ricerca generalisti, privilegiando funzionalità di ricerca interne ai siti web delle amministrazioni.

Deve essere evitata la duplicazione massiva dei file.