Privacy e Internet. Copyright Stefano Penge Copyright Stefano Penge Licenza CC BY/SA

Transcript

1 Privacy e Internet

2 Privacy Diritto della persona di controllare che le informazioni che la riguardano vengano trattate o guardate da altri solo in caso di necessità.

3 Dati sensibili l'origine razziale ed etnica le convinzioni religiose, filosofiche o di altro genere le opinioni politiche l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale lo stato di salute e la vita sessuale

4 Rischi Furto di dati (indirizzi, password,...) Stalking Furto di identità Rivendita di profili personali Discriminazioni Persecuzione

5 Vulnerabilità client Spyware, keylogger... Web browser Tracciamento IP, cookies, adware... Codice Javascript, Flash Estensioni App Accesso a rubrica, agenda, dati, posizione (GPS), IP, SMS, fotocamera,...

6 Whatsapp Creata nel 2009, dal 2014 di proprietà di Facebook > utenti Dal 18 Gennaio 2016 ha abbandonato il modello di business freemium Basato sul numero di telefono dell'utente La rubrica dell'utente è caricata sul server

7 Whatsapp 5 Aprile 2016: Whatsapp per default critta le conversazioni E' possibile assicurarsi dell'identità del mittente tramite QR code

8 Telegram Fondato nel 2013, gestito da un'associazione non a scopo di lucro Client aperto, server proprietario Selezione utente per nickname (no telefono) Scelta tra chat classica (in chiaro su server, crittata nelle trasmissioni) e chat segreta (crittata in partenza)

9 EFF Secure messaging Score card 1) Encrypted in transit? 2) Encrypted so the provider can t read it? 3) Can you verify contacts identities? 4) Are past comms secure if your keys are stolen? 5) Is the code open to independent review? 6) Is security design properly documented? 7) Has there been any recent code audit?

10 Score Card Telegram (secret chats) Yes Yes Yes Yes Yes Yes Yes WhatsApp Yes Yes Yes Yes No Yes Yes Telegram standard Yes No No No Yes Yes Yes Google Hangouts Yes No No No No No Yes Facebook chat Yes No No No No No Yes Skype Yes No No No No No No

11 Privacy e sanità "...accessi al dossier da parte di personale amministrativo o sanitario che non era stato mai coinvolto nel processo di cura dell interessato" "... non per finalità di cura dell interessato, bensì per acquisire informazioni sanitarie per scopi personali (es., curiosità, cause giudiziarie tra le parti) o commerciali" "Linee guida in materia di dossier sanitario", 5 Giugno 2015, Allegato A. Garante per la protezione dei dati personali

12 Diritti del paziente Ai pazienti deve essere consentito di scegliere, in piena libertà, se far costituire o meno il dossier sanitario In assenza del consenso il medico avrà a disposizione solo le informazioni rese in quel momento dal paziente o in precedenti prestazioni fornite dallo stesso professionista La mancanza del consenso non deve incidere minimamente sulla possibilità di accedere alle cure richieste Per poter inserire nel dossier informazioni particolarmente delicate (infezioni Hiv, interventi di interruzione volontaria della gravidanza, dati relativi ad atti di violenza sessuale o pedofilia) sarà necessario un consenso specifico Per consentire al paziente di scegliere in maniera libera e consapevole, la struttura sanitaria dovrà informarlo in modo chiaro, indicando in particolare, chi avrà accesso ai suoi dati e che tipo di operazioni potrà compiere.

13 Doveri della struttura sanitaria Garantire al paziente l'esercizio dei diritti riconosciuti dal Codice privacy (accesso ai dati, integrazione, rettifica, etc.) e la possibilità di conoscere il reparto, la data e l'orario in cui è avvenuta la consultazione del suo dossier Garantire al paziente la possibilità di "oscurare"alcuni dati o documenti sanitari che non intende far confluire nel dossier Adottare elevate misure di sicurezza. I dati sulla salute dovranno essere separati dagli altri dati personali, e dovranno essere individuati criteri per la cifratura dei dati sensibili. L'accesso al dossier sarà consentito solo al personale sanitario coinvolto nella cura. Ogni accesso e ogni operazione effettuata, anche la semplice consultazione, saranno tracciati e registrati automaticamente in appositi file di log che la struttura dovrà conservare per almeno 24 mesi. Comunicare al Garante eventuali violazioni di dati o incidenti informatici (data breach) entro quarantotto ore dalla conoscenza del fatto

14 Direttiva 95/46/CE del Parlamento europeo e del Consiglio 24 ottobre 1995 Articolo 6 1. Gli Stati membri dispongono che i dati personali devono essere: a) trattati lealmente e lecitamente; b) rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché gli Stati membri forniscano garanzie appropriate; c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati; d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono rilevati o sono successivamente trattati, cancellati o rettificati; e) conservati in modo da consentire l'identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientifici.

15 Carta dei diritti fondamentali UE (trattato di Nizza, 2000) CAPO II LIBERTÀ Articolo 6 Diritto alla libertà e alla sicurezza Ogni individuo ha diritto alla libertà e alla sicurezza. Articolo 7 Rispetto della vita privata e della vita familiare Ogni individuo ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle sue comunicazioni. Articolo 8 Protezione dei dati di carattere personale 1. Ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano. 2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni individuo ha il diritto di accedere ai dati raccolti che lo riguardano e di ottenerne la rettifica. 3. Il rispetto di tali regole è soggetto al controllo di un'autorità indipendente.

16 Regolamento sulla protezione dei dati personali 25 gennaio 2012 Applicabilità del diritto anche fuori dalla UE "privacy by design" "privacy impact assessment" (valutazione dell'impatto-privacy) diritto alla "portabilità del dato" diritto all oblio

17 Normativa Italiana Legge D.Lgs. n.196 del 20 giugno 2003 "Codice in materia di protezione dei dati personali" (cd. "Testo unico sulla privacy") D. Lgs., n. 33 del 14 marzo 2013

18 Art. 3 Testo Unico "I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente dati anonimi od opportune modalità che permettono di identificare l'interessato solo in caso di necessità."

19 Equilibrio tra privacy e sicurezza DL antiterrorismo 24 marzo 2015 "All articolo 266-bis, comma 1, del codice di procedura penale, dopo le parole: «è consentita l intercettazione del flusso di comunicazioni relativo a sistemi informatici o telematici ovvero intercorrente tra più sistemi», sono aggiunte le seguenti: "anche attraverso l impiego di strumenti o di programmi informatici per l acquisizione da remoto delle comunicazioni e dei dati presenti in un sistema informatico" Questo vale per ogni tipo di reato connesso all'uso di internet: reati di opinione, violazione del copyright, ingiuria, (la proposta è stata poi stralciata grazie alle segnalazioni del Garante della privacy e di altri)

20 Crittografia Il cifrario di Cesare (e di Provenzano) a b c d e f g h u v z a b c d e E quello di Leon Battista Alberti

21 Crittografia simmetrica DES (64 bit, con backdoor?) AES, Advanced Encryption Standard Chiave a bit Una serie di trasformazioni (round) La chiave a 128 bit produce 3, combinazioni diverse Un attacco "brute force" richiederebbe almeno 5 anni

22 Crittografia asimmetrica PGP Pretty Good Privacy (1991) Usa una chiave pubblica per crittare il testo e una chiave privata per decrittarlo Non è possibile derivare la chiave privata da quella pubblica e viceversa

23 PRISM NSA dal 2007 (sulla base de Foreign Intelligence Surveillance Act e del Patriot Act) Snowden, 2013: Analisi di , chat, chat vocali e videochat, video, foto, conversazioni VoIP, trasferimento di file, notifiche d'accesso e dettagli relativi a siti di reti sociali Collaborazione con Google, Facebook, Microsoft, Skype, Apple, Yahoo, AOL e con gli ISP (Internet Service Provider)

24 Global Government Surveillance Reform (Lettera firmata da AOL, Dropbox, Apple, Facebook, Google, Microsoft, Twitter, Yahoo!) 1) Limiting Governments Authority to Collect Users Information 2) Oversight and Accountability 3) Transparency About Government Demands 4) Respecting the Free Flow of Information 5) Avoiding Conflicts Among Governments

25 Difese 1.Aggiornare, aggiornare, aggiornare... 2.Non cliccare 3.Non scaricare 4.Leggere 5.Ricercare 6.Informarsi 7.Informare

26 Altri consigli 1) Do not reveal personal information inadvertently 2) Turn on cookie notices in your Web browser 3) Keep a "clean" address. 4) Don't reveal personal details to strangers or "friends". 5) Realize you may be monitored at work 6) Beware sites that offer a reward or prize in exchange for your contact information and personal details. 7) Do not reply to spammers, for any reason 8) Remember that YOU decide what information about yourself to reveal, when, why, and to whom. 9) Use encryption!

27 Sii cauto quando fai clic sui link che ricevi in messaggi da parte di amici dei social network. Tratta i link in questi messaggi come faresti con quelli contenuti nelle Sii consapevole di ciò che hai pubblicato su te stesso. Un modo comunemente usato dagli hacker per accedere ad account finanziari o di altro tipo è il link Hai dimenticato la password? nella pagina di accesso all account. Per entrare nel tuo account, cercano le risposte alle tue domande di sicurezza, come la data del tuo compleanno, la tua città natale, la classe delle superiori o il secondo nome di tua madre. Se il sito lo consente, crea domande di sicurezza personalizzate e non scegliere risposte accessibili a chiunque con una rapida ricerca. Non credere che un messaggio venga davvero dal firmatario. Se sospetti che un messaggio sia fraudolento, usa un metodo alternativo per contattare il mittente e scoprirlo. Per evitare di rivelare gli indirizzi dei tuoi amici, non consentire ai servizi di social networking di analizzare la tua rubrica. Quando ti iscrivi a un nuovo social network, potresti ricevere la richiesta di inserire indirizzo e password per scoprire se i tuoi contatti ne fanno parte. Il sito può usare tali informazioni per inviare a tutti coloro che sono nel tuo elenco di contatti o anche a tutti coloro a cui hai inviato un messaggio da quell indirizzo. I siti di social networking dovrebbero segnalare questa condotta, ma alcuni non lo fanno. Digita l indirizzo del tuo sito di social networking direttamente nel browser o usa i segnalibri personali. Se fai clic su un link al tuo sito in un o in un altro sito, rischi di immettere nome e password dell'account in un sito falso, dove tali informazioni possono essere rubate. Sii selettivo nell accettare amici nei social network. I ladri di identità possono creare falsi profili per ottenere informazioni da te. Scegli i social network con attenzione. Valuta il sito che intendi usare e leggi l'informativa sulla privacy. Cerca di scoprire se il sito monitora i contenuti pubblicati dagli utenti. Fornirai informazioni personali al sito web in questione, quindi usa gli stessi criteri che adotteresti per scegliere un sito in cui utilizzare la carta di credito. Considera che tutto ciò che inserisci in un sito di social networking è permanente. Anche se riesci a eliminare il tuo account, chiunque potrà stampare foto o testi o salvare immagini e video sul proprio computer. Stai attento quando installi applicazioni sul tuo sito. Molti siti di social networking ti consentono di scaricare applicazioni di terze parti che aggiungono funzionalità alla tua pagina personale. Rifletti bene prima di usare i siti di social networking al lavoro.