Business app, social 2.0 e privacy

Transcript

1 Business app, social 2.0 e privacy Avv. Luca Bolognini Founding Partner ICT Legal Consulting Balboni Bolognini & Partners Presidente Istituto Italiano per la privacy 1

2 Quali normative si APPlicano se parliamo di social biz e privacy? Direttiva 95/46/CE Direttiva 2002/58/CE come modificata dalla Direttiva 2009/136/CE Legge nazionale dello stabilimento europeo del Titolare del trattamento o, se extra-ue, tutte le leggi nazionali di ciascuno Stato UE in cui si installano strumenti (=cookie, apps)

3 Quali norme del Codice privacy italiano (D.Lgs. 196/2003)? Tra gli altri, gli articoli 7 (diritto d'accesso), 3 e 11 (principi fondamentali), 13 (informativa), 14 (profilazione), 23 (consenso), 26 (consenso e autorizzazione per dati sensibili), 37 (notificazione), 122 (cookie e sistemi analoghi), 126 (geolocalizzazione), 130 (marketing diretto), 162 e seguenti (sanzioni amministrative e penali) del D.lgs. 196/2003

4 La cookie law in Italia Recepita con un anno di ritardo nel maggio 2012 (D.Lgs. 69/2012) la Direttiva 2009/136/CE, oggi l'articolo 122 impone il consenso specifico, informato, libero dell'utente/contraente per l'archiviazione di informazioni (cookie, apps) e/o la lettura di informazioni (es. fingerprinting) sul terminale degli utenti o dei contraenti. Provvedimento 8 maggio 2014 del Garante

5 Il Parere n. 2/2013 sulle app del Gruppo dei Garanti UE art. 29 Principi di finalità e minimizzazione dei dati Informativa sintetica (no link) subito, con layer, e poi link a privacy policy estese Consensi diversi tra cookie (derivante dalla Dir. 2002/58/CE) e profilazione di dati personali (derivante dalla Dir. 95/46/CE) ma possibile fonderli in uno Consensi granulari per ogni tipo di dati che la app vuole trattare (rilevante anche per APIs/OS) Consenso separato per geolocalizzazione

6 Il Parere n. 2/2013 sulle app del Gruppo dei Garanti UE art. 29 Diritto dell'utente di interrompere l'installazione No behavioural advertising (pubblicità comportamentale) e profilazione su dati di minori Conservazione dei dati limitata alla necessità Misure di sicurezza idonee Diritto dell'utente di disinstallare la app Messa a disposizione di un punto di contatto a cui l'utente possa rivolgersi per esercitare i diritti No distribuzione in app store (anche piattaforme di condivisione sociale) di app senza privacy policy

7 Notificazione al Garante Obbligatoria la Notificazione al Garante Privacy ex art. 37 D.Lgs. 196/2003 per app o social che facciano Riconoscimento facciale Geolocalizzazione di persone o oggetti Profilazione Trasferimento all'estero dei dati ma anche altri casi (es. app di telemedicina)

8 App cloud-based (SaaS, PaaS, IaaS) Attenzione alla circolazione di dati personali extra-ue Inquadrare bene i rapporti contrattuali con i fornitori cloud Verificare quali trattamenti di dati svolga il fornitore cloud, come terza parte, e a quali subfornitori della filiera passi i dati

9 Le Linee guida sul marketing del Garante privacy del 4/7/13 II c.d. "social spam" consiste in un insieme di attività mediante le quali lo spammer veicola messaggi e link attraverso le reti sociali online. Ciò si inquadra nel problema dell'indiscriminato e spesso inconsapevole impiego dei propri dati personali da parte degli utenti nell'ambito dei social network, tanto più rispetto a profili di tipo "aperto". Questo impiego si presta alla commercializzazione o ad altri trattamenti dei dati personali a fini di profilazione e marketing da parte di società terze che siano partner commerciali delle società che gestiscono tali siti oppure che approfittino della disponibilità di fatto di tali dati in Internet. Inoltre, essendo i social network reti sociali tra persone reali, lo spam in questo caso può mirare a catturare l'elenco dei contatti dell'utente mirato per aumentare la portata virale del messaggio.

10 Le Linee guida sul marketing del Garante privacy del 4/7/13 Una prima ipotesi è quella in cui l'utente riceva, in privato, in bacheca o nel suo indirizzo di posta collegato al suo profilo social, un determinato messaggio promozionale relativo a uno specifico prodotto o servizio da un'impresa che abbia tratto i dati personali del destinatario dal profilo del social network al quale egli è iscritto. In tal caso, il trattamento sarà da considerarsi illecito, a meno che il mittente non dimostri di aver acquisito dall'interessato un consenso preventivo, specifico, libero e documentato ai sensi dell'art. 130, commi 1 e 2, del Codice. Nell'ipotesi dei "contatti" (i c.d. "amici") dell'utente, dei quali spesso nei social network o nelle comunità degli iscritti ai servizi di cui sopra, sono visualizzabili numeri di telefono o indirizzi di posta elettronica, l'impresa o società che intenda inviare legittimamente messaggi promozionali dovrà aver previamente acquisito, per ciascun "contatto" o "amico", un consenso specifico per l'attività promozionale.

11 Le Linee guida sul marketing del Garante privacy del 4/7/13 Una seconda ipotesi è quella in cui l'utente sia diventato "fan" della pagina di una determinata impresa o società oppure si sia iscritto a un "gruppo" di follower di un determinato marchio, personaggio, prodotto o servizio (decidendo così di "seguirne" le relative vicende, novità o commenti) e successivamente riceva messaggi pubblicitari concernenti i suddetti elementi. In tale caso, l'invio di comunicazione promozionale riguardante un determinato marchio, prodotto o servizio, effettuato dall'impresa a cui fa riferimento la relativa pagina, può considerarsi lecita se dal contesto o dalle modalità di funzionamento del social network, anche sulla base delle informazioni fornite, può evincersi in modo inequivocabile che l'interessato abbia in tal modo voluto manifestare anche la volontà di fornire il proprio consenso alla ricezione di messaggi promozionali da parte di quella determinata impresa.

12 Le Linee guida sul marketing del Garante privacy del 4/7/13 Il marketing "virale Per agevolare la diffusione del messaggio, il soggetto promotore offre un incentivo o un bonus o altro bene economico ai destinatari delle comunicazioni che a loro volta, in cambio, si offrano di inoltrare o comunque far conoscere a terzi la comunicazione promozionale ricevuta. Tale attività, quando viene svolta con modalità automatizzate e per finalità di marketing, può rientrare nello spam se non rispetta principi e norme attualmente in vigore, con particolare riferimento agli artt. 3, 11, 13, 23 e 130 del Codice. Non è soggetto al Codice il trattamento dei dati effettuato da chi, ricevendo una proposta promozionale, la inoltri a sua volta a titolo personale, consigliando il prodotto o il servizio ai propri amici, utilizzando strumenti automatizzati. Il Codice si applica invece al trattamento effettuato da chi inoltri, o comunque comunichi, il messaggio promozionale ricevuto a una molteplicità di destinatari i cui dati personali (numeri di telefono o indirizzi e- mail) siano stati reperiti su elenchi pubblici o sul web.

13 Tecnologie di registrazione connect : conformi? Principi di proporzionalità, non eccedenza, necessità e minimizzazione Consenso a cosa? Raccolta di dati presso terzi o presso l'interessato?

14 Big Data, tutti ne parlano ma... la normativa privacy europea? Principi di finalità e proporzionalità appaiono antitetici al concetto stesso di Big Data Pseudonimizzazione soluzione?

15 La custom audience su FB e altri social network DB hashati... quindi no problem? Attenzione: si può verificare comunque la comunicazione illecita di almeno un'informazione al social network, che saprà che Tizio è anche nostro utente o cliente

16 Profilazioni di dati sensibili attraverso le app Vietate le profilazioni ed elaborazioni per finalità di marketing di dati sensibili (i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale) perché manca l'autorizzazione

17 Con il Regolamento UE, quali novità per la privacy nei social? 2002/58/CE /136/CE (cookie law) restano in piedi Consenso per profilazione e analisi dei comportamenti on line, sempre Applicazione della normativa UE a tutti i soggetti che analizzano i comportamenti di utenti residenti in UE, a prescindere dall'uso di strumenti collocati sul territorio europeo

18 Grazie dell'attenzione Domande? Via ma anche via social facebook.com/luca.bolognini twitter.com/lucabolognini