Blog Layout

DPIA: Quando è necessario fare la valutazione di impatto

Tiziana Pica • 4 giugno 2021

Un vademecum sulla DPIA, la valutazione d’impatto prevista dal GDPR come strumento per garantire l’accountability. Tutti i casi in cui la procedura è obbligatoria, come farla e a che cosa serve

Un articolo dell'Avv. Tiziana Pica sulla DPIA pubblicato da Cyber Security 360: https://www.cybersecurity360.it/legal/privacy-dati-personali/dpia-quando-e-obbligatoria-e-chi-sono-i-soggetti-coinvolti/ 

La DPIA è uno strumento fondamentale per l’adeguamento alla normativa sulla privacy e per garantire la sicurezza nella protezione dei dati. La procedura può risultare complessa, diverse sono le necessità a seconda degli ambiti produttivi di riferimento.

Cerchiamo di fare chiarezza sull’obbligatorietà di questa pratica e su quali soggetti debbano essere coinvolti.


Il contesto normativo

Come proclamato unanimemente in Europa e oltreoceano, la base fondante della vigente normativa europea per la protezione e la sicurezza dei dati personali stabilita dal Regolamento UE n. 2016/679 (General Data Protection Regulation – GDPR) è l’accountability, ovvero la responsabilizzazione.
Il concetto di accountability permea l’intero GDPR riecheggiando in ogni suo articolo: dall’art. 5 (Principi applicabili al trattamento dei dati personali) – dove al paragrafo 2 si ribadisce come “Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)” -, passando per l’art. 7 (Condizioni per il consenso) – il paragrafo 1 stabilisce che laddove il trattamento sia basato sul consenso, “il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali” – e l’art. 24, paragrafo 1 (Responsabilità del titolare del trattamento) – “il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento” – fino all’art. 33 che in merito all’obbligo di notificare il data breach all’autorità di controllo entro il termine di 72 ore dal momento in cui il titolare ne è venuto a conoscenza – obbligo che peraltro viene meno qualora il titolare del trattamento sia “in grado di dimostrare che, conformemente al principio di responsabilizzazione, è improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche” (Considerando (85) del Regolamento UE n. 2016/679) – prevede anche che il titolare del trattamento debba documentare qualsiasi violazione dei dati personali (paragrafo 5 dell’art. 33).

L’accountability, ovvero la responsabilizzazione, assume forma ed espressione anche, e soprattutto, attraverso una serie di novità introdotte dal GDPR, quali il registro dei trattamenti (art. 30), la scelta scrupolosa da parte del titolare del trattamento di chi assumerà il ruolo di Responsabile da formalizzare attraverso un contratto o altro atto scritto di nomina con precise istruzioni (art. 28) nonché la Valutazione d’Impatto sulla protezione dei dati (art. 35).

La valutazione d’impatto
Ebbene, proprio in merito a quest’ultima novità, nota con l’acronimo “DPIA” (Data Protection Impact Assessment), è opportuno dedicare lo spazio necessario per comprenderne il significato e il contenuto. Il Titolo VI (“Adempimenti”) del D.lgs. n. 196/2003 (il Codice privacy italiano) – abrogato il 19 settembre 2018 con l’entrata in vigore del D.lgs. n. 101/2018 che ha adeguato il Codice privacy italiano al GDPR – prevedeva in capo al Titolare del trattamento l’obbligo di notificare al Garante privacy il trattamento di dati personali ogni qualvolta il trattamento avesse riguardato:

dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica;
dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria;
dati idonei a rivelare la vita sessuale o la sfera psichica trattati da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale;
dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l’utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti;
dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie;
dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti.
Dunque, prima del GDPR, il titolare del trattamento agiva nel rispetto della normativa sulla tutela dei dati personali trasmettendo al Garante la richiesta di autorizzazione ad iniziare una serie di trattamenti di dati cd. sensibili e/o di dati personali archiviati e trattati ricorrendo a particolari banche dati e strumenti innovativi sotto il profilo delle nuove tecnologie.

Nell’era ante GDPR, non c’era un’assunzione di responsabilità in prima persona del titolare del trattamento, ma la “fatidica” decisione sulla possibilità di intraprendere trattamenti di dati personali potenzialmente rischiosi, frutto di uno studio e di una serie di valutazioni sulla loro pericolosità per la sicurezza del dato e per i diritti e le libertà dell’interessato, era rimessa al Garante privacy.

Il titolare, una volta ricevuta l’autorizzazione, non percepiva di aver assunto una diretta responsabilità relativa alla valutazione e successiva attuazione del trattamento, perché questo era a monte stato autorizzato da un altro soggetto, il Garante.

L’avvento del Regolamento UE n. 2016/679, con l’art. 35, ha definitivamente incastonato nel quadro normativo europeo lo strumento della valutazione d’impatto sul trattamento dei dati personali, che dona forma concreta all’accountability.

Dal 25 maggio 2018, infatti, il Titolare del trattamento deve in prima persona compiere – in una serie di ipotesi suscettibili di future integrazioni – una serie di riflessioni, approfondimenti e valutazioni che dovranno fondare la sua decisione finale circa la fattibilità, con quali modalità e strumenti, o la non possibilità di avviare determinati trattamenti di dati oppure di utilizzare determinate tecnologie.

Viene meno il “filtro”, il placet dell’autorizzazione del (terzo) Garante che, ove concessa, poteva indurre il titolare a una sorta di deresponsabilizzazione[1]. Da poco più di un anno il titolare assume fin da subito la responsabilità delle proprie scelte, valutazioni e decisioni che confluiscono nella realizzazione di trattamenti di dati personali e solo lui, ed eventualmente il o i responsabili del trattamento, ne risponderà in prima persona.

Si sposta il focus decisionale e si passa dalla previa autorizzazione del Garante a un immediato coinvolgimento a 360 gradi del Titolare del trattamento, proprio nel solco della responsabilizzazione.

Quando e come procedere alla DPIA
Secondo il legislatore comunitario, in linea generale, il titolare “prima di procedere al trattamento” deve svolgere una valutazione dell’impatto che i trattamenti dei dati personali potrebbero avere sulla protezione dei medesimi dati qualora “un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche” (art. 35, par. 1 GDPR).

La norma prosegue specificando:

i casi in cui la valutazione d’impatto è obbligatoria (par. 3) e, in ogni caso,
rimette alle autorità di controllo il compito di redigere e rendere pubblico un elenco delle tipologie dei trattamenti per i quali la DPIA divenga un requisito preliminare imprescindibile per l’avvio del trattamento stesso.
Ebbene, è evidente che con tali premesse il titolare del trattamento, in prima persona e in autonomia oppure con il supporto del responsabile della protezione dei dati (DPO) eventualmente designato, a monte, prima ancora della valutazione sull’impatto che potrebbero avere i trattamenti insiti nell’attuazione di un progetto, di un’attività istituzionale o economica, sui dati coinvolti, debba svolgere una vera e propria prevalutazione d’impatto[2].

Infatti, deve inizialmente porre in essere una sommaria raccolta di informazioni su tipologia dei dati personali e sulla categoria degli interessati coinvolti nonché su caratteristiche, strumenti, durata, modalità e misure organizzative che coinvolgeranno e caratterizzeranno i trattamenti per poter (pre)valutare se la (le) sua (sue) attività ricadano nell’ambito delle fattispecie per le quali è obbligatorio procedere ai sensi dell’art. 35, parag. 1, 3 e 7 del GDPR.

Il titolare del trattamento deve pertanto fare un’analisi preliminare per comprendere se il o i trattamenti di dati personali che si accinge a porre in essere consistano in:

una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, tra cui la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche;
un trattamento su larga scala di categorie particolari di dati personali (art. 9 par. 1 GDPR) o di dati relativi a condanne penali e a reati (art. 10 GDPR);
nella sorveglianza sistematica su larga scala di una zona accessibile al pubblico e rientrino conseguentemente nel novero di quei trattamenti che non possono avere inizio se non alla stregua dell’esito della valutazione d’impatto di cui all’art. 35 del Regolamento UE n. 2016/679.
Come articolare la valutazione d’impatto
Appurata la sussistenza di tale condizione preliminare, si dovrà procedere alla valutazione d’impatto che il titolare del trattamento dovrà articolare seguendo un contenuto minimo composto da:

discrezione “sistematica” dei trattamenti che dovrà svolgere e delle relative finalità tra cui, ove ricorra, anche l’indicazione del cd. legittimo interesse di cui alla lett. f) del par. 1 dell’art. 6 del GDPR;
analisi del rispetto o meno da parte delle sue attività dei principi di finalità, minimizzazione e proporzionalità del trattamento di cui all’art. 5 del GDPR;
valutazione dei rischi ai quali i diritti e libertà degli interessati (sia in materia di privacy, sia intesi come libertà di espressione e di pensiero, libertà di movimento, libertà di coscienza e religione e il diritto a non subire discriminazioni di alcuna sorta) sono esposti attraverso i trattamenti dei dati personali che effettuerà;
susseguente individuazione delle misure tecniche, organizzative e di sicurezza presenti e/o da implementare o adottare per gestire i rischi di cui al precedente periodo e per garantire la protezione dei dati personali al fine di poter dimostrare una condotta responsabilizzata, ovvero tracciabile e conforme al Regolamento, che non leda i diritti e gli interessi degli interessati e di eventuali altri soggetti indirettamente coinvolti.
Per agevolare la realizzazione di una DPIA efficiente è indubbiamente utile dotarsi di protocollo interno avente ad oggetto la schematizzazione del funzionamento delle aree di trattamenti suddivise sulla base della natura dei dati trattati, delle finalità, categorie dei soggetti interessati dai trattamenti nonché delle soluzioni tecniche (nuove tecnologie, sistemi di monitoraggio, software, personal computer, notebook, tablet, smartphone, telefoni ecc.) ed organizzative (struttura fisica degli uffici, schedari, assegnazione di dispositivi ai dipendenti, gestione della chiusura – chiavi, serrature, pass – distribuzione di ruoli tra il personale interno).

È poi altresì utile affiancare al protocollo una checklist di verifica preliminare in funzione della quale individuare la “misurazione” del rischio derivante dall’impatto dei trattamenti sui dati e, successivamente, messa a punto la procedura dei trattamenti affinché sia rispondente e argini il livello d’impatto valutato, predisporre una nuova checklist di verifica periodica.

Il caso della videosorveglianza
Per meglio coadiuvare il Titolare del trattamento in questo nuovo obbligo, sinonimo di un operare secondo accountability, il dato normativo dell’art. 35 è stato necessariamente integrato e completato dai Considerando del Regolamento (in particolare i Considerando nn. 84, 89, 90, 91, 92, 94), dalle Linee Guida del Gruppo di Lavoro sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali (ovvero del Gruppo di Lavoro “Articolo 29” – WP29) nonché dall’intervento delle autorità di controllo di cui al paragrafo 4 dell’art. 35 del GDPR.

In particolare, le Linee Guida WP29, adottate il 4 aprile 2017, hanno precisato che una DPIA può essere rivolta ad un singolo trattamento oppure può avere ad oggetto più trattamenti che siano tra loro analoghi sotto il profilo della natura del contesto, finalità e rischi.

Caso pratico tra i più diffusi è quello dei sistemi di videosorveglianza: se più soggetti diversi (quindi distinti titolari del trattamento) devono utilizzare un sistema di videosorveglianza dal livello tecnologico e strutturale analogo per raccogliere e trattare la stessa tipologia di dati per le medesime finalità oppure un titolare del trattamento debba adottare un sistema di videosorveglianza da installare in luoghi diversi, si può procedere ad una sola valutazione sull’impatto dei trattamenti effettuati attraverso questo sistema di videosorveglianza.

Nel primo caso si tratterà di una DPIA condivisa tra i diversi titolari[3] e nel secondo caso sarà applicata nell’organizzazione e gestione dei trattamenti nei vari contesti territoriali coinvolti dalle attività dell’unico titolare.

L’utilità della DPIA
La DPIA è inoltre uno strumento particolarmente utile per i titolari del trattamento che, ad esempio, stanno elaborando con un proprio ufficio tecnico, oppure stanno per acquistare da un terzo produttore, una licenza d’uso per nuovi dispositivi tecnologici (licenze software, banche dati, hardware).

Si pensi al titolare che eroga servizi di formazione on line, cosiddetto e-learning, che debba decidere se e a quali condizioni concludere un accordo commerciale con un produttore di sistemi di riconoscimento biometrico che possano implementare la piattaforma dei servizi in questione.

In tal caso, prima di sottoscrivere un contratto e avviare l’utilizzo di una tecnologia che implica la raccolta e il trattamento del dato biometrico, il titolare dovrà fare una DPIA per inquadrare allo stato attuale il livello di rischio al quale sarebbero esposti i dati personali coinvolti nei trattamenti oggetto del servizio di formazione e-learning[4] e, una volta definito il rischio, dovrà organizzarsi – e in questa fase ovviamente rientra anche la predisposizione del contratto con il fornitore della nuova tecnologia (previsioni di obblighi, penali, istruzioni ecc.) – per assumere la decisione finale: essere nelle condizioni di poter assumere responsabilmente trattamenti che si svolgano con la nuova tecnologia potendone contenere e gestire i rischi, oppure non intraprendere, per il momento, queste nuove forme di trattamento dei dati a causa di un esito della DPIA che attualmente fotografa una situazione non ottimale per un trattamento sicuro o quanto meno responsabile secondo accountability, fermo restando che in tale ultima ipotesi il titolare potrà coinvolgere l’autorità di controllo invocandone l’esercizio dei poteri di consultazione preventiva, come stabilito dall’art. 36 del Regolamento UE n. 2016/679.

Dunque, come già aveva avuto modo di chiarire il WP29 nel parere n. 04/2013 adottato in merito al modello di DPIA elaborato dalla task force nominata dalla Commissione europea per l’introduzione dei sistemi di misuratori intelligenti nei mercati dell’energia elettrica e del gas[5], la valutazione d’impatto deve descrivere il trattamento previsto, individuarne i rischi per i dati e per i diritti e le libertà degli interessarti, focalizzandosi sulla persona interessata, ma in ogni caso deve avere quale obiettivo ultimo del procedimento di analisi del rischio, l’individuazione dei controlli, delle misure che riducano entro limiti ragionevoli e tollerabili l’impatto negativo per i diritti e le libertà degli interessati.

Ed è proprio questo obiettivo ultimo ad essere di vitale importanza affinché la DPIA risponda alla sua funzione e sia completa ed esaustiva.

Quando è obbligatoria la DPIA
Venendo alle ipotesi in cui il Titolare del trattamento è tenuto a svolgere la valutazione d’impatto sui dati personali, l’intervento del WP29 – che ha individuato nove criteri fondanti il riconoscimento e la qualifica di un trattamento di dati personali “a rischio elevato” e, dunque, desumere l’obbligatorietà della DPIA – ha poi permesso la tempestiva adozione da parte dell’Autorità di controllo italiana, e ovviamente delle Autorità degli altri Stati membri, del provvedimento n. 467 contenente l’elenco delle tipologie dei trattamenti, soggetti al meccanismo di coerenza, che devono necessariamente essere oggetto di valutazione d’impatto[6].

Il Garante privacy, partendo dalle Linee guida del WP29 – secondo cui il ricorrere di almeno due dei nove criteri è indice di un trattamento che presenta un rischio elevato per i diritti e le libertà degli interessati e per il quale è quindi richiesta una valutazione d’impatto sulla protezione dei dati – ritiene che debbano essere obbligatoriamente sottoposti a DPIA i trattamenti:

valutativi o di scoring su larga scala[7], nonché trattamenti che comportano la profilazione[8] degli interessati nonché lo svolgimento di attività predittive effettuate anche on-line o attraverso app, relativi ad “aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti dell’interessato” [9];
automatizzati finalizzati ad assumere decisioni che producono “effetti giuridici” oppure che incidono “in modo analogo significativamente” sull’interessato, comprese le decisioni che impediscono di esercitare un diritto o di avvalersi di un bene o di un servizio o di continuare ad esser parte di un contratto in essere (ad es. screening dei clienti di una banca attraverso l’utilizzo di dati registrati in una centrale rischi);
che prevedono un utilizzo sistematico di dati per l’osservazione, il monitoraggio o il controllo degli interessati, compresa la raccolta di dati attraverso reti, effettuati anche on-line o attraverso app, nonché il trattamento di identificativi univoci in grado di identificare gli utenti di servizi della società dell’informazione inclusi servizi web, tv interattiva, rispetto alle abitudini d’uso e ai dati di visione per periodi prolungati. Rientrano in tale previsione anche i trattamenti di metadati ad es. in ambito telecomunicazioni, banche, effettuati non soltanto per profilazione, ma più in generale per ragioni organizzative, di previsioni di budget, di upgrade tecnologico, miglioramento reti, offerta di servizi antifrode, antispam, sicurezza ecc.;
su larga scala di dati aventi carattere estremamente personale, ovvero dati connessi alla vita familiare o privata (quali i dati relativi alle comunicazioni elettroniche dei quali occorre tutelare la riservatezza), o che incidono sull’esercizio di un diritto fondamentale (quali i dati sull’ubicazione, la cui raccolta mette in gioco la libertà di circolazione) oppure la cui violazione comporta un grave impatto sulla vita quotidiana dell’interessato (quali i dati finanziari che potrebbero essere utilizzati per commettere frodi in materia di pagamenti);
effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e di geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti (si pensi all’utilizzo di dispositivi che geolocalizzano il dipendente per distribuire delle consegne);
non occasionali di dati relativi a soggetti vulnerabili (minori, disabili, anziani, infermi di mente, pazienti, richiedenti asilo);
effettuati attraverso l’uso di tecnologie innovative, anche con particolari misure di carattere organizzativo (es. IoT; sistemi di intelligenza artificiale; utilizzo di assistenti vocali on-line attraverso lo scanning vocale e testuale; monitoraggi effettuati da dispositivi wearable; tracciamenti di prossimità come ad es. il Wi-Fi tracking) ogniqualvolta ricorra anche almeno un altro dei nove criteri individuati dal WP29 nel provvedimento n. 248/2017;
che comportano lo scambio tra diversi titolari di dati su larga scala con modalità telematiche;
di dati personali effettuati mediante interconnessione, combinazione o raffronto di informazioni, compresi i trattamenti che prevedono l’incrocio dei dati di consumo di beni digitali con dati di pagamento (es. mobile payment);
di categorie particolari di dati ai sensi dell’art. 9 oppure di dati relativi a condanne penali e a reati di cui all’art. 10 interconnessi con altri dati personali raccolti per finalità diverse;
sistematici di dati biometrici, tenendo conto, in particolare, del volume dei dati, della durata, ovvero della persistenza, dell’attività di trattamento,
sistematici di dati genetici, tenendo conto, in particolare, del volume dei dati, della durata, ovvero della persistenza, dell’attività di trattamento[10].
Sul punto, il Comitato europeo per la protezione dei dati[11] ha ribadito come tali elenchi, adottati dagli Stati membri, siano uno strumento rilevante per l’applicazione coerente del GDPR, ferma restando la facoltà per ogni titolare del trattamento di (pre)valutare e decidere, in forza della propria struttura, delle circostanze e caratteristiche oggettive della fattispecie concreta in cui opera, se una valutazione d’impatto sia necessaria prima di avviare l’attività di trattamento[12].

Settore sanitario e attività a fini statistici
A poco meno di un anno dalla diretta applicabilità del GDPR, la Relazione annuale 2018 presentata dall’Autorità di controllo italiana il 7 maggio 2019 ha reso un ulteriore contributo sulle ipotesi in cui è necessario porre in essere una DPIA. Sicuramente, rileva tra le novità introdotte con il D.lgs. n. 101/2018 per l’adeguamento del D.lgs. n. 196/2003 al GDPR, la previsione dell’applicazione della sanzione amministrativa pecuniaria di cui all’art. 83, par. 4 del GDPR (ovvero quella appartenente allo scaglione di 10 milioni di euro, o per le imprese, del 2% del fatturato mondiale totale annuo dell’esercizio precedente) nei confronti di colui che trattando dati relativi alla salute, alla ricerca scientifica in campo medico, biometrico, epidemiologico non abbia svolto la valutazione d’impatto come stabilito dall’art. 110, comma 1 del Codice Privacy o non abbia sottoposto il programma di ricerca a consultazione preventiva del Garante a norma del terzo periodo del medesimo comma 1, dell’art. 110 (così il novellato art. 166 del D.lgs. n. 196/2003).

Sempre nel settore sanitario, il Garante privacy ha ribadito come il Titolare del trattamento debba porre in essere la DPIA, ad esempio proprio con riferimento a case di cura o associazioni che intendevano adottare sistemi integrati di monitoraggio (mediante timbratura badge) e di videosorveglianza di pazienti (soggetti affetti da condizioni di disabilità o particolari patologie di salute) [13].

Un altro settore attenzionato dalla necessità di procedere alla valutazione d’impatto è stato quello delle attività per fini statistici che contemplino il trattamento dei dati di soggetti minori di età: in tale contesto il Garante ha invitato il titolare a “valutare con estrema attenzione, anche nell’ambito di una specifica valutazione d’impatto effettuata ai sensi dell’art. 35 del RGPD, l’opportunità di trattare dati personali riferiti a tale particolare categoria vulnerabile di interessati e ad adottare appropriate garanzie (ad esempio, innalzando l’età per la quale la raccolta dei dati viene effettuata tramite proxy e rendendo anonimi i dati al termine del trattamento statistico per il quale sono stati raccolti)”[14]. La valutazione d’impatto è stata incentivata anche nelle attività di studio per fini statistici realizzati mediante i cd. big data.

Sul punto, con riferimento alle sperimentazioni che prevedono l’utilizzo di fonti di telefonia mobile, il Garante ha precisato che l’impiego di queste informazioni comporta specifici rischi per la riservatezza e la protezione dei dati personali degli interessati, in quanto con le nuove tecnologie e le nuove tecniche di analisi che permettono l’elaborazione e l’interconnessione dei dati, diviene sempre più frequente la re-identificazione di un interessato (cd. single-out) anche attraverso informazioni apparentemente anonime[15]. Da ultimo, si segnala che il Comitato europeo per la protezione dei dati sta portando avanti un importante lavoro in materia di intelligenza artificiale proprio evidenziando il ruolo centrale della valutazione d’impatto preventiva in tale settore[16].

Gli attori della valutazione d’impatto
Come emerge chiaramente dal testo normativo nonché dalle successive Linee guida e dai provvedimenti adottati in questi mesi da alcuni enti, la valutazione d’impatto ha un solo attore protagonista: deve essere condotta, e dunque sottoscritta, dal soggetto titolare del trattamento dei dati.

Dunque, l’autore della DPIA sarà la società privata in persona del legale rappresentante pro tempore, il Ministero in persona del Ministro pro tempore, la fondazione in persona del Presidente, e così a seguire, e ne sarà responsabile unicamente il titolare del trattamento.

Tuttavia, come delineato dal combinato disposto degli artt. 35 e 39, par. 1 lett. c), del Regolamento UE n. 2016/679, il titolare del trattamento può coinvolgere, ove lo abbia designato, il responsabile per la protezione dei dati e, in particolare, qualora nella fase di cd. prevalutazione emergano dei dubbi o delle difficoltà sull’obbligatorietà o meno della DPIA oppure laddove, al termine della valutazione condotta dal titolare, risulti lampante un rischio elevato per i dati personali trattati e/o per i diritti e le libertà degli interessati coinvolti dai trattamenti.

In tali ipotesi il titolare può chiedere al DPO un supporto nella fase di valutazione, soprattutto con riferimento all’elaborazione dei relativi esiti. Difatti, come illustrato dalla recente circolare del Ministero della Giustizia[17], si instaura un dialogo cooperativo tra titolare e responsabile per la protezione dei dati, al termine del quale il soggetto che risponde della DPIA sarà unicamente il titolare dei trattamenti, indipendentemente dal parere reso dal DPO (parere che non è vincolante e che, anche qualora il titolare se ne discosti, dovrà essere allegato al documento/file della valutazione d’impatto).

Non solo. Laddove, la valutazione d’impatto svolta dal titolare, con o senza il supporto del parere del responsabile per la protezione dei dati, individui un livello di rischio elevato e/o l’assenza di strumenti e misure organizzative e di sicurezza adeguate per mitigare o attenuare i rischi, è altresì opportuno che il titolare non intraprenda o non prosegua il trattamento se non dopo aver ricevuto il parere scritto dell’Autorità di controllo.

Il titolare dovrà infatti coinvolgere il Garante privacy ricorrendo allo strumento della consultazione preventiva di cui all’art. 36 del GDPR. Ebbene, una volta compiuta la valutazione d’impatto non da sola non è sufficiente a garantire la conformità dei trattamenti ai principi e ai livelli adeguati di sicurezza.

Proprio perché essa è obbligatoria laddove ricorrano anche solo due criteri tra quelli individuati dalla Linee Guida del WP29, ovvero quando i dati – personali o particolari – siano coinvolti in attività di profilazione, scoring, valutazione, monitoraggio attraverso dispositivi, strumenti e soluzioni innovative dal punto di vista tecnologico, ovvero siano oggetto di trattamenti in continua evoluzione, la DPIA deve essere anch’essa uno strumento “in continuo movimento” e non un mero adempimento statico fine a se stesso.

Una DPIA “in evoluzione”
La valutazione d’impatto, nel fluire continuo dell’approccio olistico dell’accountability, dovrà periodicamente essere rimessa in moto attraverso l’aggiornamento trimestrale, semestrale o annuale (cadenzato tenendo conto dell’articolazione degli uffici che compongono la struttura operativa del titolare del trattamento, della tipologia e dei flussi dei dati trattati nonché del livello di rischio dei trattamenti) delle altre “voci” della responsabilizzazione: il registro dei trattamenti, condotte strutturate e poste in essere secondo la privacy by design (protezione fin dalla progettazione) e la privacy by default (protezione per impostazione predefinita), la registrazione di eventuali data breach (o tentativi di data breach) sinonimi di lacune o falle nel sistema.

Alla luce di questi elementi, il titolare del trattamento, con l’eventuale supporto di uno o più responsabili del trattamento e dell’intervento consultivo del proprio DPO (qualora nominato), dovrà rivedere e, se del caso, integrare e implementare la check list con cui verificare la rispondenza delle misure organizzative e di sicurezza a eventuali mutamenti del livello del rischio derivante dai trattamenti in essere (o da eventuali nove attività che implicano nuovi trattamenti) con susseguente implementazione delle misure tecniche e/o organizzative da mettere in campo.

Estremamente utili in questo approccio olistico proattivo sono gli audit periodici svolti dai responsabili e/o dai referenti delle aree dell’organigramma aziendale o della PA con gli eventuali designati autorizzati al trattamento delle varie aree in cui si sviluppano i trattamenti di dati personali realizzati dall’ente, pubblico o privato che sia.

Conclusione
Da quanto sin qui esaminato, appare evidente il ruolo della valutazione d’impatto: non deve essere intesa né vissuta dai titolari del trattamento come un onere, o un mero formalismo burocratico, ma deve essere affrontata come un’opportunità fino a divenire un modus operandi propositivo collaudato all’interno dell’ente.

Il titolare del trattamento, unico autore e responsabile finale della DPIA, deve comprenderne il vero significato, ovvero quello di strumento che permette di realizzare un documento che, creato seguendo un ordine logico calato nella realtà concreta e reso attuale mediante verifiche e aggiornamenti, permette al titolare di dimostrare l’approccio, il metodo, le iniziative seguiti per operare non solo nel rispetto delle norme, ma anche, e soprattutto, secondo l’approccio circolare proattivo di accountability delineato dagli artt. 24, 25, 30 e 35 del GDPR.

NOTE
[1] In ogni caso, l’Autorità di controllo italiana con il provvedimento n. 497 del 13.12.2018 ha riassunto quali prescrizioni delle Autorizzazioni generali nn. 1, 3, 6, 8 e 9 rese nel 2016 sono compatibili, e dunque utilizzabili, con il GDPR (https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9068972).

[2] Così Mauro Formato, Quando procedere ad una DPIA ex art. 35 GDPR: la “prevalutazione d’impatto”, pubblicato su ICT Security Magazine, 24 luglio 2018 (http://www.ictsecuritymgazine.com)

[3] Qualora poi ricorra anche la contitolarità, il documento con cui ai sensi dell’art. 26 del Regolamento UE n. 2016/679 due o più soggetti contitolari dovranno determinare congiuntamente le diverse finalità e modalità del trattamento dei dati e stabilire i confini delle rispettive responsabilità, dovranno altresì articolare la DPIA cristallizzandovi le rispettive responsabilità in ordine alle specifiche misure organizzative e di sicurezza che ciascuno adotterà per la propria area di trattamenti.

[4] Sarà sicuramente utile ai fini di una completa DPIA richiedere al fornitore la sua valutazione d’impatto elaborata al momento della messa a punto della nuova tecnologia.

[5] Parere n. 04/2013 adottato dal Gruppo di lavoro Articolo 29 il 22 aprile 2013.

[6] Provvedimento n. 467 dell’11 ottobre 2018.

[7] Sull’interpretazione del concetto di “larga scala” si veda il Considerando 91 del Regolamento UE n. 2016/679 – dove si ricorda che i trattamenti su larga scala sarebbero quelli che “mirano al trattamento di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un rischio elevato, ad esempio, data la loro sensibilità, laddove, in conformità con il grado di conoscenze tecnologiche raggiunto, si utilizzi una nuova tecnologia su larga scala, nonché ad altri trattamenti che presentano un rischio elevato per i diritti e le libertà degli interessati, specialmente qualora tali trattamenti rendano più difficoltoso, per gli interessati, l’esercizio dei propri diritti”; nonché l’intervento chiarificatore del WP29 con le Linee Guida del 4 aprile 2017, dove il Gruppo di lavoro annovera fra i criteri fondanti la qualifica “su larga scala” di un trattamento: i) il numero di soggetti interessati dal trattamento, in termini assoluti ovvero espressi in percentuale della popolazione di riferimento; ii) il volume dei dati e/o le diverse tipologie di dati oggetto di trattamento; iii) la durata, ovvero la persistenza, dell’attività di trattamento; iv) la portata geografica dell’attività di trattamento.

[8] Il GDPR definisce la profilazione come qualunque forma di “trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica” (art. 4, parag. 1, n. 4), Reg. UE 679/2016). Su questo genere di trattamenti per i quali è obbligatorio procedere alla DPIA, il Garante privacy italiano si è più volte espresso con i provvedimenti 22 maggio 2018, n. 319, doc. web n. 9018611; n. 320, doc. web n. 9018628; n. 321, doc. web n. 9019882; n. 322, doc. web n. 9019890; n. 323, doc. web n. 9019902; n. 324, doc. web n. 9020242; n. 325, doc. web n. 9020250.

[9] Così le Linee Guida del WP29 riprendendo il passaggio dei Considerando 71 e 91 del Regolamento UE n. 2016/679, pubblicato sul sito del Garante per la protezione dei dati personali.

[10] Così il provvedimento del Garante Privacy italiano n. 467/2018.

[11] Istituito come nuova veste del Gruppo di Lavoro articolo 29 (WP29) ai sensi degli artt. 68 e ss. del Regolamento UE n. 2016/679.

[12] Il Comitato ha in ogni caso precisato che gli elenchi dei trattamenti di dati personali per i quali è obbligatoria la DPIA devono presentare almeno due criteri di rischio per ciascuna tipologia di trattamento e contenere un “nucleo comune” obbligatorio di tipologie di trattamenti. Tra di essi, in particolare, ricorrono i trattamenti che hanno ad oggetto dati genetici, biometrici e di localizzazione. Il Comitato, richiamando le Linee guida (wp248) in materia di valutazione d’impatto sulla protezione dei dati (adottate quando operava come WP29), ha chiarito peraltro che non possono essere considerati quali criteri di rischio una specifica base giuridica o il trattamento ulteriore dei dati e che le liste non devono contenere una definizione numerica o percentuale del concetto di “larga scala”.

[13] Cfr. paragrafo 5.4.2., pag. 83 della Relazione 2018 del Garante Privacy.

[14] Così il Garante a pag. 91 della Relazione 2018, dove si legge che “vista la delicatezza delle informazioni rilevate presso minori, relative anche alle discriminazioni eventualmente subite in diversi ambiti (origine etnica, identità di genere, genere, religione o credo, aspetti relativi alla salute, orientamento sessuale), sono stati richiesti specifici chiarimenti sui questionari utilizzati nell’ambito del lavoro IST-02726-Indagine sulle discriminazioni, nonché alla conservazione dei dati identificativi diretti per la “creazione di un archivio per ritorni sull’argomento”, prima di avviare il trattamento”.

[15] Pag. 91 Relazione 2018.

[16] Le Linee guida adottate il 25 gennaio 2019 (T-PD(2019)01) dove il Comitato afferma che “Dovrebbero essere incoraggiate forme partecipative di valutazione del rischio, basate sul coinvolgimento attivo degli individui e dei gruppi potenzialmente interessati dalle applicazioni I.A.” (intelligenza artificiale) e che “le procedure di appalto pubblico dovrebbero imporre a sviluppatori, produttori e fornitori di servizi di IA specifici obblighi di trasparenza, una valutazione preliminare dell’impatto del trattamento dei dati sui diritti umani e sulle libertà fondamentali e l’obbligo di vigilanza sugli effetti negativi e le conseguenze potenzialmente derivanti dalle applicazioni IA”.

[17] Circolare adottata dal Ministero della Giustizia in data 31 maggio 2019.
25 ottobre 2024
Rome 4 Future 2024 - Future Week. Studium Cives | Studio Legale - Law Firm grazie alla sua anima rivolta alla digital transformation è stato invitato all'opening party di Rome Future Week.
Autore: Luca Sanna 22 gennaio 2022
Didattica a distanza, Green Pass e Super Green Pass : la privacy in pandemia sembra essere un diritto fluido. Gli ultimi interventi del Garante per la protezione dei dati personali evidenziano in maniera marcata come i diritti costituzionali di “nuova creazione” siano tutelati in maniera arbitraria e a volte nebulosa.
Autore: Tiziana Pica e Luca Sanna 3 dicembre 2021
Le truffe informatiche e lo scam finanziario nella maggior parte dei casi inducono l’investitore a cadere nella rete dei truffatori attraverso promesse di facile guadagno contenute all’interno di portali considerati affidabili. Ecco alcuni accorgimenti che permettono di individuare fin da subito la truffa on line
Autore: Luca Sanna 3 dicembre 2021
Semplificazioni bis, come sopravvivere alla giungla degli appalti rispettando le norme di tracciabilità
Autore: Avv. Tiziana Pica 16 novembre 2021
Studium Cives ha moderato con l'avv. Tiziana Pica e l'avv. Luca Sanna la Settimana della Legalità presso la Sala Fellini di Cinecittà S.p.A. Si ringrazia il Consigliere presso la Corte dei Conti Dott.ssa Rossana Rummo e il Segretario Generale della Corte Costituzionale Dott. Carlo Visconti, nonché tutti i consiglieri, i dirigenti, gli avvocati di Cinecittà che hanno reso possibile questa iniziativa. #studiumcives #Cinecittà #legalità #trasparenza #diritto #giornatadellalegalitàetrasparenza #formazione #culturadellalegalità
Autore: Tiziana Pica 22 settembre 2021
Premessa Nel mondo informatico e digitale, nella navigazione tra siti e app mobile, hanno assunto un ruolo da protagonisti i famigerati “cookies”, i pionieri dei sistemi di tracciamento dell’utente del web. Fino a pochi giorni fa la disciplina dell’uso corretto dei cookies era quella tracciata dalle Linee guida adottate dal Garante per la Protezione dei Dati Personali nel 2014. Tuttavia, di fronte al persistere di uno sconfinato utilizzo dei cookie in violazione delle Linee Guida del Garante nonché dei principi stabiliti dal Regolamento UE n. 2016/679 (il GDPR), l’Autorità è nuovamente intervenuta sul punto per delineare in modo più chiaro e netto l’impiego dei “biscotti digitali” affinché il “barattolo” dei cookies si riduca a un mero baratto tra accesso a piattaforme, siti web e servizi in cambio dei dati personali dell’Interessato navigatore. La disciplina dei Cookies prima del Regolamento UE n. 2016/679 Come noto, il Garante Privacy con provvedimento dell’8 maggio 2014 aveva adottato le Linee guida per un uso dei cd. Cookies conforme a quella che all’epoca, ante GDPR, era la normativa vigente in materia di privacy e tutela dei dati personali. Perseguendo l’obiettivo di tutelare gli utenti da profilazioni effettuate a loro insaputa sulla base dei loro comportamenti in rete, il Garante aveva adottato un provvedimento per chiarire e semplificare l’osservanza della disciplina sul corretto utilizzo di tali strumenti di tracciamento e profilazione derivante dalla normativa comunitaria che in Italia era stata recepita nel 2012. Ebbene, l’ambito applicativo della normativa sui cookie rileva per tutti i siti web e le web app che, a prescindere dalla presenza di una sede nel territorio italiano, installano cookie sui terminali degli utenti, utilizzando quindi per il trattamento “strumenti situati sul territorio dello Stato” (così recitava il vecchio testo dell’art. 5, comma 2, del Codice privacy, abrogato con il d.lgs. n. 101/2018). In particolare, secondo i capisaldi delle linee guida del 2014: • i siti che non utilizzano cookie non sono soggetti ad alcun obbligo; • per l´utilizzo di cookie tecnici è richiesta la sola informativa (ad esempio nella privacy policy del sito). Non è necessario realizzare specifici banner; • i cookie analitici sono assimilati a quelli tecnici solo quando realizzati e utilizzati direttamente dal sito prima parte per migliorarne la fruibilità; • se i cookie analitici sono messi a disposizione da terze parti i titolari non sono soggetti ad obblighi (tra cui in primis la notificazione al Garante) qualora: i) siano adottati strumenti che riducono il potere identificativo dei cookie (ad esempio tramite il mascheramento di porzioni significative dell´IP) e ii) la terza parte si impegna a non incrociare le informazioni contenute nei cookies con altre di cui già dispone; • se sul sito ci sono link a siti di terze parti (es. banner pubblicitari; collegamenti a social network) che non richiedono l´installazione di cookie di profilazione non c´è bisogno di informativa e consenso; • nell´informativa estesa il consenso all´uso di cookie di profilazione potrà essere richiesto per singole categorie (es. viaggi, sport); • È possibile effettuare una sola notificazione per tutti i diversi siti web che vengono gestiti nell´ambito dello stesso dominio; • gli obblighi si applicano a tutti i siti che installano cookie sui terminali degli utenti, a prescindere dalla presenza di una sede in Italia. Le novità introdotte dal provvedimento del Garante Privacy del 10 giugno 2021 Il quadro giuridico di riferimento attualmente è costituito tanto dalle disposizioni della direttiva 2002/58/Ce (cd. direttiva ePrivacy) e successive modifiche, come recepita nell’ordinamento italiano all’art. 122 del Codice Privacy, quanto dal Regolamento UE n. 2016/679 per ciò che concerne specificamente la nozione di consenso di cui agli artt. 4, punto 11) e 7) e al Considerando 32, come da ultimo interpretati dalle Linee Guida del WP29 adottate il 10 aprile 2018, ratificate dal Comitato europeo per la Protezione dei dati personali (di seguito, EDPB) il 25 maggio 2018 e sostituite, da ultimo, dalle Guidelines 05/2020 on consent under Regulation 2016/679 adottate il 4 maggio 2020. Sennonchè, la figura dell’Interessato sempre più esigente e propenso a perfezionare o massimizzare la navigazione sul web e i profili personali delle app attivate sui propri dispositivi, da una lato, e le novità del GDPR, incentrato sui principi di privacy by design e privacy by default, e le sempre più numerose segnalazioni prevenute all’Autorità di Controllo negli ultimi due anni, dall’altro latro, hanno inevitabilmente condotto il Garante privacy all’adozione di un aggiornamento della disciplina. L’upgrade delle Linee guida del 2014, passa per i seguenti punti fermi e le relative considerazioni. Anzitutto, osserva il Garante, i cookie e gli altri strumenti di tracciamento possono avere caratteristiche diverse sotto il profilo temporale e dunque essere considerati in base alla loro durata (di sessione o permanenti), ovvero dal punto di vista soggettivo (a seconda che il publisher agisca autonomamente o per conto della “terza parte”). La loro classificazione poggia essenzialmente su due macro categorie: a) i cookie tecnici, utilizzati al solo fine di “effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dal contraente o dall’utente a erogare tale servizio” (art. 122, comma 1 del Codice); b) i cookie di profilazione, utilizzati per ricondurre a soggetti determinati, identificati o identificabili, specifiche azioni o schemi comportamentali ricorrenti nell’uso delle funzionalità offerte (pattern) al fine del raggruppamento dei diversi profili all’interno di cluster omogenei di diversa ampiezza, in modo che sia possibile inviare messaggi pubblicitari sempre più mirati, cioè in linea con le preferenze manifestate dall’utente nell’ambito della navigazione in rete. Anche per gli altri strumenti di tracciamento si può ricorrere al criterio della finalità per la quale sono utilizzati, ovvero quella meramente tecnica e quella commerciale, per procedere alla loro classificazione. Ciò premesso, il Garante ha chiarito che per l’impiego di cookie tecnici, in virtù della funzione assolta e nei limiti ed alle condizioni richiamate, il titolare del trattamento sarà assoggettato al solo obbligo di fornire l’informativa, anche eventualmente inserita all’interno dell’informativa di carattere generale, rientrando il loro impiego in una ipotesi codificata di esenzione dall’obbligo di acquisizione del consenso dell’interessato. Invece, per i cookie di profilazione e gli altri strumenti di tracciamento potranno essere utilizzati esclusivamente dopo la previa acquisizione del consenso informato dell’interessato utente così come prevede ancora oggi l’art. 122 del Codice privacy. Tale norma è stata introdotta nel d.lgs. n. 196/2003 a seguito del recepimento in Italia della direttiva ePrivacy n. 2002/58/Ce, che, come le norme di diritto interno che la recepiscono, è tuttora applicabile allo specifico settore che riguarda i trattamenti di dati effettuati nell’ambito delle comunicazioni elettroniche. Difatti, il Garante sottolinea come ad esclusione delle fattispecie disciplinate in via esclusiva ed esaustiva dalla direttiva ePrivacy, molte attività di trattamento devono dunque essere ricondotte all’ambito di applicazione tanto della direttiva quanto del Regolamento UE n. 2016/679, con la specificazione tuttavia che, per la parte di potenziale sovrapposizione ogniqualvolta la direttiva renda più specifiche le regole del Regolamento, essa, in quanto lex specialis, dovrà essere applicata e prevarrà sugli articoli del Regolamento. Le disposizioni del GDPR sono invece applicabili per tutte quelle fattispecie non specificamente previste dalla direttiva nonché per offrire, alle norme di questa, la cornice regolatoria di carattere generale entro cui collocarne i precetti, come appunto quella sull’acquisizione del consenso. Ebbene, le Linee guida del 10 giugno 2021 fissano le seguenti novità: a) ai fini della corretta acquisizione del consenso dell’utente al trattamento dei dati il solo “scrolling” (ovvero l’azione consistente nel lasciare scorrere la pagina così da mostrarne sullo schermo la parte sottostante al banner contenente la c.d. informativa breve) non è sufficiente ad integrare un valido consenso dell’interessato all’installazione e all’utilizzo di cookie di profilazione nonché all’utilizzo del c.d. cookie wall che vincolano l’utente a cliccare solo su “ok” pena l’impossibilità di navigare sul sito. Mentre tale ultima tecnica è ritenuta illegittima dal Garante, salva l’ipotesi, da verificare caso per caso, nella quale il titolare del sito consenta all’utente l’accesso a contenuti o servizi equivalenti senza richiesta di consenso all’uso dei cookie o di altri tracciatori, con riferimento allo scrolling l’Autorità ritiene possa essere utilizzata ma solo come componente di un più articolato processo che consenta comunque all’utente di segnalare al titolare del sito una scelta inequivoca nel senso di prestare il proprio consenso all’uso dei cookie. b) sempre nell’ambito dell’acquisizione del consenso è stato evidenziato che, al fine di evitare ridondanti richieste del consenso all’utilizzo dei cookies effettuati da alcuni siti web ad ogni singolo accesso dell’utente che già aveva espresso le sue preferenze al primo accesso – riproposizione della richiesta del consenso e delle preferenze che integra peraltro una sorta di pratica defatigante che mira a sfiancare l’utente del web, che aveva già espresso le sue preferenze, inducendolo a dare in maniera forzosa il consenso all’utilizzo di tutte le diverse tipologie di cookies – , i gestori di siti web debbano evitare di attivare il banner per la raccolta delle preferenze dell’interessato ad ogni accesso. Una volta che l’utente non ha fornito il proprio consenso o lo abbia fornito solo per l’impiego di alcuni cookie, il banner non dovrà più essere ripresentato salvo che in specifici casi, ovvero: i) quando cambiano significativamente una o più condizioni del trattamento, ad esempio le “terze parti”; ii) quando è impossibile per il provider sapere se un cookie tecnico è già stato posizionato nel dispositivo dell’utente (ad esempio nel caso in cui sia l’utente stesso a cancellare i cookie, ricordando che la cancellazione dei cookie dalla cronologia effettuata dall’utente non integra la revoca del consenso dell’interessato); iii) quando sono trascorsi almeno sei mesi dalla precedente presentazione del banner. c) per impostazione predefinita (privacy by design e privacy by default), al momento del primo accesso dell’utente a un sito web, alcun cookie diverso da quelli tecnici può essere posizionato all’interno del dispositivo dell’utente, né può essere utilizzata alcuna altra tecnica attiva o passiva di profilazione. Tuttavia, poiché occorre assicurare anche la libertà di scelta di chi invece intenda accettare di essere profilato, il Garante suggerisce che i gestori dei siti web implementino un meccanismo in base al quale l’utente, accedendo alla home page (o ad altra pagina) del sito web, visualizzi immediatamente un’area di dimensioni sufficienti da costituire una percettibile discontinuità nella fruizione dei contenuti della pagina web che sta visitando, che sia parte integrante di un meccanismo che, pur non impedendo il mantenimento delle impostazioni di default, permetta anche l’eventuale espressione di una azione positiva nella quale deve sostanziarsi la manifestazione del consenso dell’interessato. d) Dunque, secondo il Garante, l’utente che sceglie di mantenere le impostazioni di default e dunque di non prestare il proprio consenso al posizionamento dei cookie o all’impiego di altre tecniche di profilazione, dovrebbe dunque limitarsi a chiudere tale finestra o area cliccando sulla famosa “X” del comando “annulla” posizionata in alto a destra del banner medesimo, senza essere costretto ad accedere ad altre aree o pagine a ciò appositamente dedicate. In tal modo, il Titolare del trattamento opererebbe nel rispetto dei principi della privacy by default e il consenso potrà intendersi come validamente prestato soltanto se sarà conseguenza di un intervento attivo, libero e consapevole dell’utente, riscontrabile e dimostrabile da parte del Titolare (accountability), che consenta di qualificarlo come in linea con il Regolamento. e) Già nelle Linee guida del 2014 ha affermato che i cookie identificativi, ovvero i cookie analytics, possono essere ricompresi nella categoria di quelli tecnici, e come tali essere utilizzati in assenza della previa acquisizione del consenso dell’interessato, al verificarsi di determinate condizioni. Ma, affinché il Titolare operi anche nel rispetto dell’art. 25, paragrafo 1, del Regolamento ovvero attuando “in modo efficace i principi di protezione dei dati”, dovrà anche adottare misure di minimizzazione del dato che riducano significativamente il potere identificativo dei cookie analytics, qualora il loro utilizzo avvenga ad opera di “terze parti”. Ciò implica, a parere dell’Autorità di Controllo italiana, che i cookie analytics possano essere equiparati ai cookie tecnici solo laddove attraverso il loro utilizzo non sia possibile risalire all’identificazione dell’interessato (cd. single out): dunque bisogna impedire l’uso di cookie analytics che, per le loro caratteristiche, possano risultare identificatori diretti ed univoci. Infine, il Garante ricorda che l’uso dei cookie analytics deve essere limitato alla produzione di statistiche aggregate e deve avvenire in relazione ad un singolo sito o una sola applicazione mobile, in modo da non consentire il tracciamento della navigazione della persona che utilizza applicazioni diverse o naviga in siti web diversi. f) Anche l’informativa, antefatto della raccolta del consenso e delle eventuali preferenze dell’interessato, deve essere migliorata affinché gli utenti ricevano un’informativa conforme ai rinnovati requisiti di trasparenza imposti dagli articoli 12 e 13 del Regolamento, compresa l’indicazione circa gli eventuali altri soggetti destinatari dei dati personali ed i tempi di conservazione delle informazioni acquisite. Al riguardo il Garante suggerisce il ricorso a modelli di informativa che sia multilayer, ovvero dislocata su più livelli, e che al contempo possa essere resa, eventualmente in relazione a specifiche necessità, anche per il tramite di più canali e modalità (cd. multichannel), in modo da sfruttare al massimo più canali comunicativi dinamici (es. canali video, pop-up informativi, interazioni vocali, assistenti virtuali, all’impiego del telefono, etc.). I soggetti che in qualità di Titolari del trattamento gestiscono siti web, siti app o app mobili dovranno adeguarsi al testo definitivo delle Linee Guida sottoposte entro il termine di 6 mesi dalla pubblicazione sulla Gazzetta Ufficiale.
Autore: Luca Sanna 3 settembre 2021
Da una parte le ragioni di Apple, per anni indiscusse. Dall’altra, quelle degli sviluppatori. Le cui pressioni cercano di smuovere un castello – quello degli app store, quello di Google incluso – che finora sembrava destinato a restare intatto in eterno. Al momento il castello sembra resistere bene agli assalti. Resilienza, la parola giusta. Primi segnali di cedimento di Apple o è solo un trucco? Lo scorso 26 agosto, quando Apple ha proposto un accordo in transazione con un’associazione di sviluppatori, all’interno di una class action, che è stato definito epocale dalla stampa, ma che in realtà mantiene lo status quo dell’azienda fondata da Steve Jobs per i prossimi tre anni. L’accordo prevede l’impegno della Mela di lasciare invariata la percentuale della commissione sulle transazioni per i prossimi tre anni, di basare la visualizzazione delle app su criteri oggettivi di download e valutazione degli utenti ed infine di aumentare il prezzario delle App e dei servizi associati dal numero di 100 al numero di 500 (in altre parole il prezzo applicato per le App e per i servizi può essere scelto sulla base di 500 possibilità). Dall’altra parte cade l’obbligo per gli sviluppatori di far pagare un contenuto o un abbonamento in app. Molti commentatori, tra cui Jack Nicas del New York Times, hanno definito tale accordo una “farsa”, perché, seppur decada l’obbligo di acquisto all’interno dell’applicazione, ancora non è prevista la possibilità di inserire all’interno delle app un sistema diverso di transazioni. Nei fatti sarà possibile per le aziende informatiche comunicare al cliente la possibilità di usufruire di altri sistemi di pagamento diversi da quello di Apple, così come già stava accadendo dopo che persino Spotify aveva iniziato ad indirizzare i clienti all’interno del proprio sistema interno. Con l’accordo Apple ha proposto il pagamento di 100 milioni di dollari alle aziende querelanti, che però ne richiedono altri 30. Il pagamento non sarà a titolo risarcitorio, ma come un incentivo ai piccoli sviluppatori a proseguire la loro opera meritoria. Da una indiscrezione del NY Times pare che il patto di quota lite tra la difesa dei querelanti e gli sviluppatori si aggiri intorno alla percentuale del 25%. Sicché, dei circa 70 milioni di euro attesi, ogni azienda dovrebbe ricevere da 250 dollari a 30.000 dollari ciascuno in proporzione al fatturato. Occorre precisare che l’accordo del 26 Agosto attende ancora l’approvazione del Giudice Yvonne Gonzalez Rogers della Corte Distrettuale degli Stati Uniti d’America per il distretto della California. Concessione a Netflix, Spotify Un passetto ulteriore è arrivato a inizi settembre, quando Apple ha proposto che le reading app, come Netflix e Spotify, permettano in effetti di pubblicare sistemi di pagamento alternativi all’interno delle app. Ma ancora dalle carte del processo con Fortine – riporta il NYTimes – risulta che i ricavi Apple da questo tipo di app sono trascurabili; il grosso viene dai videogiochi, infatti. Le diverse ragioni Apple sostiene che la percentuale di commissione applicata sulle transazioni, 30 per cento che crea un mercato di 20 miliardi di dollari, è il prezzo che lo sviluppatore paga per appoggiarsi su un negozio che ha una vetrina dalla quale passano potenzialmente 7 miliardi di persone. Così come un negozio nelle vie centrali delle grandi metropoli ha un costo di affitto molto alto, allo stesso modo la presenza all’interno dello Store più famoso del mondo sconta un prezzo elevato. Simili gli argomenti che Google ha sempre sostenuto (con la differenza che permette, a differenza di Apple, di installare app al di fuori del sistema store): la commissione ci permette di mantenere un ambiente sicuro. Gli sviluppatori, soprattutto delle Big Tech, dall’altra parte non sono più disposti a rinunciare ad una parte importante dei loro profitti e hanno così iniziato numerosissime battaglie legali all’interno dei Tribunali distrettuali americani. Il sistema di Apple è semplice. Al momento della immissione all’interno dello Store, l’azienda californiana costringe lo sviluppatore ad usare il suo sistema di pagamento interno, riscuotendo così la propria commissione, in modo automatico. Apple per un lungo tempo ha anche impedito alle aziende di App di inviare mail ai propri clienti per destinarli ad altri sistemi esterni di pagamento. E’ evidente che la maggioranza delle aziende informatiche preferirebbe fare sterzare il cliente al proprio sistema di pagamento, evitando di dover pagare il gettone ad Apple. La prima ribellione Una delle prime aziende che si è lamentata di tale sistema è stata Spotify, l’azienda svedese che offre il servizio di streaming musicale on demand nei confronti di quasi 140 milioni di utenti di cui 70 milioni di abbonati. E’ ironico che un’azienda musicale, evoluzione dell’I-Tunes store, sia stata la prima a rompere il sistema di pagamento interno, facendo registrare i proprio utenti all’interno dell’applicazione, ma impedendo agli stessi di sottoscrivere un abbonamento direttamente dalla App. Laddove un utente Spotify volesse sottoscrivere un abbonamento ha la necessità di andare direttamente sul sito internet dell’azienda. Per favorire ”l’esodo”, Spotify invia una e-mail agli account dei registrati dove pubblicizza semplicemente i servizi, con i relativi link di collegamento, senza mai violare i termini e le condizioni con Apple. Apple e Fortnite: La Royale Battle Non è certo finita qui. Curiosamente lo stesso giudice distrettuale è anche investito di dover decidere la querelle legale tra Epic Games, la società sviluppatrice di Minecraft e Fortnite, e Apple. La ragione della battaglia legale si può facilmente intuire: Fortnite è il gioco online più diffuso tra gli adolescenti e ha avuto il suo debutto nel mercato delle App il 2 aprile del 2018. Il gioco è gratuito, ma prevede una serie di servizi legati al gameplay acquistabili attraverso micropagamenti. Dopo solo il primo mese di pubblicazione si calcola che i guadagni abbiano superato i 25 milioni di Dollari, ed il gioco ha velocemente salito la classifica in termini numerici di download dello store. La genesi dello scontro avviene quando Epic Games decide di introdurre un metodo alternativo di pagamento aggirando Itunes ed impedendo a Apple di riscuotere la propria commissione. Apple si difende dicendo che il proprio Store non è differente rispetto a quello di altri colossi come Playstation o X-Box (Sony e Microsoft) che hanno anche loro un sistema nativo per i pagamenti che non può essere eluso e non comprende le ragioni di tale decisione. La App viene sospesa dallo store per qualche tempo e le parti finiscono innanzi al Tribunale. Uno degli aspetti importanti di questa vicenda sarà quindi la valutazione del giudice in merito ai terminali, I-Phone e I-Pad: se considerare tali device beni “generalisti”, cioè funzionali a più aspetti della vita, oppure devono rientrare in quella definizione che potremo chiamare “special purpose”. Epic Games ha citato a testimonio Lori Wright, responsabile della Xbox Business Development di Microsoft, la quale ha definito console come Xbox un dispositivo special purpose, perché viene utilizzata per uno scopo specifico, mentre un Computer Windows invero si presta ad un numero infinito di scopi. Un altro aspetto che emerso dal dibattimento riguarderebbe la tutela del consumatore. Mentre Epic Games ha imposto il limite di tre rimborsi per account, Apple ha una policy nei confronti dei consumatori molto più permissiva e non pone limiti ai rimborsi. Inoltre c’è un altro aspetto da considerare: Fortnite è accusato da molti osservatori, anche istituzionali, di essere uno strumento che aumenta la compulsività degli utenti più giovani, specie in termini di acquisti effettuati all’interno del gioco. In tal senso Epic Games, così come fatto da Spotify, avrebbe potuto indirizzare gli utenti ad effettuare i pagamenti esterni, e non in app, ma tale scelta avrebbe certamente ridotto gli introiti in maniera rilevante, perché avrebbe probabilmente smorzato “l’entusiasmo” del giocatore. In altre parole, il giocatore avrebbe potuto razionalmente decidere di non effettuare l’acquisto una volta smessi i panni del proprio eroe. Ci sarà un Giudice in California? Così come il mugnaio di Bertold Brecht che lotta contro l’imperatore per difendere i propri diritti, nella battaglia legale più attesa dell’anno si attende un verdetto che potrebbe non apparire più così storico, alla luce dell’accordo tra gli sviluppatori e Apple che potrebbe influenzare il Giudice Rogers verso una sentenza più conservativa. Non ci resta che attendere. https://www.agendadigitale.eu/mercati-digitali/apple-e-gli-sviluppatori-chi-vincera-la-battaglia-degli-store/
Autore: Luca Sanna 31 agosto 2021
A causa di un furto di un tablet che utilizzavo principalmente come hub per gestire il lavoro durante le lunghe trasferte, ho deciso di rispolverare un vecchio iPad 3, scoprendo, mio malgrado, che un prodotto informatico basato su una tecnologia un po’ vecchiotta è oggi inutilizzabile: in altri termini non è possibile scaricare alcuna applicazione compatibile all’interno dello store nel caso in cui si utilizzi un nuovo account. In realtà ancora oggi il prodotto, da un punto di vista hardware, seppure datato, può essere considerato un tablet entry level – eppure non c’è stato modo di poterlo utilizzare a causa della incompatibilità con le applicazioni. Ebbene tale vicenda sarebbe oggi chiamata dai Geek “obsolescenza programmata”, una definizione, ormai divenuta di uso comune, che identifica quel processo dei grandi produttori di elettrodomestici e di devices informatici, che impedisce un uso prolungato del proprio bene di consumo, permettendo al mercato di avere sempre una domanda stabile e crescente del medesimo bene. Le pratiche commerciali mirate a far invecchiare anzitempo prodotti di recente costruzione sono tornate alla ribalta della cronaca in seguito alle sanzioni comminate proprio a Apple, ma non sono certo una cosa recente. Ricostruiamone l’origine prima di arrivare ai casi più recenti. La cospirazione delle lampadine Eppure, il più eclatante caso di obsolescenza programmata non è quello degli smartphone, come si potrebbe immaginare, bensì quello delle lampadine. Il cartello Phoebus (in inglese Phoebus cartel «cartello Febo») fu un famoso episodio nel quale i maggiori produttori di lampadine nel 1924 costituirono un “trust”, ovvero un cartello. WHITEPAPER Guida per il rientro in ufficio: come ripensare la gestione degli spazi in azienda Scarica il White Paper Scarica il Whitepaper Un cartello economico è un patto tra più operatori di un settore che mira a limitare la concorrenza di un mercato, fissa alcuni parametri, quali prezzo e condizioni di vendita, determina alcuni target produttivi e stabilisce una logistica distributiva che garantisca un equo guadagno tra i partecipanti all’accordo. Ebbene nel lontano 1924 diverse società concordarono dei parametri per il controllo e la vendita di lampadine. Il nome Febo deriva dalla società svizzera registrata nel 1916 con il nome di la Phoebus S.A. Compagnie Industrielle pour le Développement de l’Éclairage. La costituzione di tale cartello è considerato il primo grande passo nella moderna storia dell’economia in relazione alla obsolescenza pianificata in quanto i partecipanti decisero di pattuire la vita media di una lampadina permettendo così un aumento del numero dei prodotti venduti. I membri del cartello erano la General Electric Company, la Tungsram, la Compagnie di Lampes, la OSRAM e la Philips i quali decisero che una lampadina dovesse avere una durata media di 1000 h. Prima di tale cartello la vita media di un lampadina era decisamente superiore: è famoso il caso della lampadina che si trova attualmente all’interno della caserma dei Vigili del Fuoco di Livermore, in California, che è accesa da ben 120 anni e fu addirittura nomenclata come Centennial Light. Il cartello si sciolse alla fine degli anni ’30 e in seguito tale vicenda arrivò addirittura innanzi alla Corte Suprema Americana che condannò la General Electric ad un salato risarcimento nella causa civile n. 1364 iniziata nel 1942 e conclusa nel 1953. L’obsolescenza programmata nei devices elettronici Un esempio fastidioso di obsolescenza pianificata riguarda quello delle cartucce delle stampanti, nelle quali è ormai presente un chip che determina il termine finale della cartuccia anche laddove sia ancora presente inchiostro. Ebbene, l’esempio è ancora più eclatante nelle cartucce incluse all’interno delle scatole della stampante che hanno una vita media decisamente inferiore a quelle acquistate successivamente, in quanto il modello di business è propriamente basato sul guadagno derivante dai prodotti accessori, piuttosto che dall’utile marginale del singolo device. Eppure, quasi tutti gli elettrodomestici si basano sui medesimi principi, così come per esempio le automobili acquistate possiedono un libretto di manutenzione che stabilisce la vita media dei prodotti consumabili, che a volte esula dalla reale necessità di sostituzione meccanica di un determinato componente. Il caso Apple: le sanzioni dell’Agcm Nel gennaio del 2018 l’Autorità Garante della Concorrenza e del Mercato ha inteso iniziare una procedura di infrazione nei confronti della società Apple per le seguenti ragioni: “A) la proposta insistente, ai consumatori in possesso di iPhone 6/6plus/6s/6splus, di procedere ad installare il sistema operativo iOS 10 e i successivi aggiornamenti (tra cui iOS 10.2.1) le cui caratteristiche e impatto sulle prestazioni degli smartphone stessi sono state descritte in maniera omissiva ed ingannevole, senza offrire (se non in misura limitata o tardiva) alcun mezzo di ripristino dell’originaria funzionalità degli apparecchi in caso di sperimentata diminuzione delle prestazioni a seguito dell’aggiornamento. In particolare, secondo informazioni acquisite ai fini dell’applicazione del Codice del Consumo e le segnalazioni di alcuni consumatori 5 pervenute nel dicembre 2017, Apple, in occasione della release del sistema iOS 10.1, non ha informato i clienti dei possibili inconvenienti di funzionamento che il nuovo SO avrebbe potuto provocare attesa la configurazione hardware degli smartphone in cui sarebbe stato installato (ed in particolare del grado di usura della batteria) in determinate condizioni d’uso comune. Inoltre, in occasione della release del sistema iOS 10.2.1, Apple ha omesso di informare preliminarmente i consumatori, in maniera chiara e immediata, che per evitare alcuni rilevanti inconvenienti (quali l’improvviso spegnimento/riaccensione del proprio iPhone) tale release includeva un sistema di gestione delle prestazioni dello smartphone che avrebbe opportunamente rallentato tali prestazioni per evitare lo spegnimento inatteso – sistema mantenuto anche in successivi aggiornamenti di iOS; B) la mancata informazione sulle caratteristiche della batteria e specificamente in merito alle condizioni per mantenere un adeguato livello di prestazioni degli iPhone, alla sua durata e alle modalità per la sua corretta gestione al fine di rallentarne la naturale usura e, quindi, in merito alla sostituzione della medesima batteria.” A seguito di una lunga istruttoria nella quale Apple si è difesa sostenendo fondamentalmente come (così si legge all’interno del provvedimento dell’AGCM): “ […] Non vi sarebbero prove dirette riguardo una strategia di obsolescenza programmata. Al contrario, il piano di sostituzione annuale di Apple – rispondente ad una sua libera scelta commerciale e attuato principalmente attraverso appositi accordi con gli operatori telefonici – mirerebbe unicamente ad allettare la clientela con nuovi modelli e non vi sarebbe alcuna coartazione della volontà dei consumatori che scelgono di optare per la permuta annuale del proprio dispositivo utilizzato dalle aziende produttrici di stampanti si basa sul guadagno derivante dalle cartucce. Apple evidenzia inoltre che, nel periodo dal giugno 2016 al gennaio 2018, il graduale calo del numero di sostituzioni gratuite dei modelli interessati – cui peraltro non si accompagna un aumento di quelle a pagamento – sarebbe collegato al progressivo esaurimento della garanzia. Inoltre, il grande numero di sostituzioni gratuite nel periodo considerato testimonierebbe la volontà di Apple di favorire l’accesso degli utenti a un dispositivo nuovo, anche oltre la durata della garanzia. Apple sottolinea che le contestazioni formulate in esito all’istruttoria avrebbero dovuto essere suffragate da un’analisi economica volta a esaminare la posizione dei professionisti nel mercato rilevante, per rintracciare un’eventuale posizione dominante. Anche la conservazione del valore degli iPhone nel mercato dei prodotti di seconda mano dimostrerebbe la mancanza di prove circa l’esistenza di una strategia di obsolescenza programmata.” Malgrado le difese svolte l’AGCM ha riscontrato le violazioni in merito alle pratiche commerciali secondo tali conclusioni: “ […] Da quanto affermato in precedenza emerge che ai consumatori che avevano acquistato iPhone 6/6Plus/6s/6sPlus è stato insistentemente proposto l’aggiornamento del sistema operativo iOS 10 e del successivo aggiornamento 10.2.1, senza che fossero adeguatamente informati degli inconvenienti che tali installazioni avrebbe potuto comportare e senza provvedere, se non tardivamente ed in maniera limitata, a rimediare a tali inconvenienti. Apple ha potuto indurre i consumatori ad accettare tali aggiornamenti anche grazie all’asimmetria informativa esistente con essi, che porta tali consumatori a essere costretti a riporre la loro fiducia in quanto affermato da Apple sulla utilità e bontà di tali aggiornamenti. 162. Per i motivi sopra esposti, la pratica commerciale in esame risulta scorretta ai sensi degli artt. 20, 21, 22 e 24 del Codice del Consumo, in quanto Apple ha sviluppato e suggerito aggiornamenti firmware iOS 10 e 10.1.2 per gli iPhone 6/6Plus/6s/6sPlus già acquistati dai consumatori che ne modificano le caratteristiche funzionali già ampiamente pubblicizzate e ne riducono in maniera sensibile le prestazioni, nonché ha indotto in errore i consumatori nella decisione di procedere all’installazione di tali aggiornamenti. Infine, sotto altro profilo, il professionista ha indebitamente condizionato i consumatori, da un lato, inducendoli ad aggiornare il firmware mediante l’insistente richiesta di procedere ad effettuare il download e l’installazione degli aggiornamenti, dall’altro, non prestando un’adeguata assistenza ai consumatori per ripristinare la funzionalità preesistente dei loro apparecchi, in tal modo accelerando il processo di sostituzione di tali apparecchi con nuovi modelli di iPhone. La seconda pratica commerciale consiste nella mancata ed insufficiente informazione su alcune caratteristiche essenziali delle batterie, quali la vita media e deteriorabilità delle batterie e la loro correlazione con le prestazioni degli iPhone, specificamente con riferimento alle batterie degli iPhone 6/6Plus/6s/6sPlus. Essa riguarda inoltre la mancata indicazione di corrette procedure per verificare e/o mantenere un adeguato livello di prestazioni della batteria e quindi dei propri dispositivi cellulari, della necessità di procedere alla sostituzione della stessa in relazione alle modalità di utilizzo e alle eventuali maggiori richieste degli aggiornamenti iOS. Tali informazioni sono state fornite dal professionista solo a partire dagli ultimi giorni di dicembre 2017.” Per le ragioni sopra espresse l’Agcm ha multato la Apple per 5 milioni di euro per ogni infrazione contestata, ai sensi dell’art. 27 comma 9 del Codice del Consumo, applicando la pena massima edittale prevista per un importo totale di € 10.000.000,00. Il Tar del Lazio Apple ha deciso di impugnare il provvedimento dell’Agcm innanzi al competente Tribunale Amministrativo del Lazio – Roma, seppur dopo aver pagato la sanzione, per le ragioni che il TAR nel provvedimento n. 5736 del 29.05.2020 ha così riassunto: “[…] Con una prima e unica sostanziale censura la parte ricorrente lamenta, in estrema sintesi, il difetto di istruttoria sui vari profili tecnici sulla base dei quali l’AGCM ha ritenuto che la pratica sub A) configuri una pratica scorretta (motivi I, II, e III). Secondo Apple l’Autorità sarebbe giunta a conclusioni erronee, in assenza di prove tecniche, sul peggioramento delle performance dei dispositivi Apple e sul presunto danno arrecato dal download di IOS 10. L’Autorità, al contempo, avrebbe omesso di considerare spiegazioni alternative più plausibili e fondate su dati tecnico-scientifici, presentati nel corso dell’istruttoria da parte delle ricorrenti. Con un secondo gruppo di motivi si sostiene che la complessiva condotta di Apple non integrerebbe gli estremi dell’aggressività e della scorrettezza, anche in considerazione dei limitati effetti che avrebbe prodotto e della durata della condotta, che sarebbe stata erroneamente stimata dall’Autorità (motivi IV, V, VI, VII, VIII e IX). Con l’ultimo motivo, riferito alla pratica sub B), la parte ricorrente contesta di essere stata lacunosa rispetto all’informativa sulla durata della batteria affermando che le informazioni relative al normale invecchiamento delle batterie e alla conseguente necessità di sostituirle sarebbero inidonee a integrare una pratica commerciale omissiva. In ogni caso, lamenta che l’AGCM avrebbe introdotto nel provvedimento conclusivo condotte mai considerate prima, in violazione del principio del contraddittorio (motivo X).” All’interno del presente articolo si eliminano le censure effettuate con motivi aggiunti, di natura formale, che nulla arricchiscono rispetto al focus dell’approfondimento. Il Tar all’esito del giudizio ad ogni modo ha confermato la sanzione dell’Agcm specificando quanto segue: “le pratiche commerciali aggressive non sono necessariamente connotate dal ricorso alla violenza fisica o verbale, ma sono certamente accomunate dal fatto che il consumatore viene a trovarsi in situazione di “stress” che lo condiziona nel decidere e tale “stress” può essere determinato sia da condotte del professionista ripetute e irriguardose della volontà del cliente, sia dalla esistenza di vincoli contrattuali percepiti come opprimenti”(T.A.R. Lazio, Roma, Sez. I, 20 febbraio 2020, n. 2245). È stato anche chiarito che “l’espressione «pratiche commerciali scorrette» designa le condotte che formano oggetto del divieto generale sancito dall’art. 20 del D.Lgs. 6 settembre 2005 n. 206 (Codice del consumo), in attuazione della direttiva del Parlamento europeo e del Consiglio 11 maggio 2005, n. 2005/29/CE. La finalità perseguita dalla direttiva europea consiste nel garantire, come si desume dal «considerando 23», un elevato livello comune di tutela dei consumatori, procedendo ad un’armonizzazione completa delle norme relative alle pratiche commerciali sleali delle imprese, ivi compresa la pubblicità sleale, nei confronti dei consumatori. Scopo della normativa è quello di ricondurre l’attività commerciale in generale entro i binari della buona fede e della correttezza. Il fondamento dell’intervento è duplice: da un lato, esso si ispira ad una rinnovata lettura della garanzia costituzionale della libertà contrattuale, la cui piena esplicazione si ritiene presupponga un contesto di piena “bilateralità”, dall’altro, in termini analisi economica, la trasparenza del mercato è idonea ad innescare un controllo decentrato sulle condotte degli operatori economici inefficienti. Le politiche di tutela della concorrenza e del consumatore sono sinergicamente orientate a promuovere il benessere dell’intero sistema economico. Per «pratiche commerciali» ‒ assoggettate al titolo III della parte II del Codice del consumo ‒ si intendono tutti i comportamenti tenuti da professionisti che siano oggettivamente «correlati» alla «promozione, vendita o fornitura» di beni o servizi a consumatori, e posti in essere anteriormente, contestualmente o anche posteriormente all’instaurazione dei rapporti contrattuali. Quanto ai criteri in applicazione dei quali deve stabilirsi se una determinata pratica commerciale sia o meno «scorretta», il comma 2 dell’art. 20 del Codice del consumo stabilisce in termini generali che una pratica commerciale è scorretta se «è contraria alla diligenza professionale» ed «è falsa o idonea a falsare in misura apprezzabile il comportamento economico, in relazione al prodotto, del consumatore medio che raggiunge o al quale è diretta o del membro medio di un gruppo qualora la pratica commerciale sia diretta a un determinato gruppo di consumatori». Nella trama normativa, tale definizione generale di pratica scorretta si scompone in due diverse categorie: le pratiche ingannevoli (di cui agli artt. 21 e 22) e le pratiche aggressive (di cui agli artt. 24 e 25). Il legislatore ha inoltre analiticamente individuato una serie di specifiche tipologie di pratiche commerciali (le c.d. ‘liste nere’) da considerarsi sicuramente ingannevoli e aggressive (art. 23 e 26, cui si aggiungono le previsioni ‘speciali’ di cui ai commi 3 e 4 dell’art. 21 e all’art. 22-bis), senza che si renda necessario accertare la sua contrarietà alla «diligenza professionale» nonché dalla sua concreta attitudine «a falsare il comportamento economico del consumatore»” (Cons. Stato, Sez. VI, 14 aprile 2020, n. 2414). Alla stregua dei declinati principi si può senz’altro concludere che correttamente l’Autorità ha fatto applicazione, nel caso di specie, delle norme di cui artt. 21, 22, 24 e 25 del Codice del Consumo, avendo ritenuto violate, da parte di Apple, le regole di diligenza professionale esigibili da un operatore del settore di primaria importanza mondiale.” Conclusioni Le sanzioni comminate alla Apple hanno riguardato in verità pratiche commerciali mirate a far invecchiare anzitempo prodotti di recente costruzione e non riguardano evidentemente il mancato coordinamento tra gli aggiornamenti software e gli hardware datati di terminali acquistati in un periodo lontano del tempo. Ad ogni modo chi scrive si domanda se sia lecito o meno impedire il download delle applicazioni (anche di precedenti versioni non più supportate dai produttori) che rendono device datati utili poco più di tavolette che si illuminano e se non fosse più utile conservare la possibilità, evidentemente non priva di rischi in merito alla sicurezza informatica, di proseguire l’utilizzo dell’apparecchio. Tutti conosciamo le difficoltà di funzionamento di strumenti elettronici vintage, come amplificatori fuori produzione o automobili d’epoca, legate principalmente alle difficoltà di reperire nel mercato i componenti elettronici/meccanici ormai degradati. Ma anche gli strumenti più vintage hanno invero una nicchia di distribuzione che consente almeno l’utilizzo originario del bene acquistato. Riguardo gli Smartphone e i tablet in realtà ciò non è possibile. La stessa Apple, innanzi al procedimento celebrato innanzi all’AGCOM, descrive i-phone “Sin dal lancio nel 2007 […] come una piattaforma integrata di hardware, software e servizi”. E quindi mi domando, se viene a mancare l’integrazione, possiamo sempre parlare del medesimo prodotto?
Autore: Luca Sanna 29 luglio 2021
Trovare le ragioni della volatilità del mercato delle criptovalute è sempre difficile, in quanto dietro le criptovalute non esiste un mercato dell’economia reale, non esiste un prodotto o una materia prima venduta, non esiste un’entrata indipendente dal mercato finanziario e allo stesso tempo non vi è nemmeno l’impiego di manodopera che possa generare un contesto stabile. Allo stesso tempo è difficile comprendere le curve tra domanda e offerta in un ambito nel quale è sempre possibile la creazione di moneta. Per tale ragione il “sentiment” e il “feeling” del compratore e dell’investitore in criptovalute determina il suo valore, ma non in quanto acceleratore di comportamenti, quali la fiducia nei mercati, ma in virtù proprio dell’emozione del momento. La volatilità delle criptovalute Se all’aspetto emozionale si somma una completa deregolamentazione normativa ci si accorge che lo strumento è lasciato alla libera scelta di persone poco preparate, non istituzionali, che si lasciano coinvolgere dalle fluttuazioni momentanee poiché il loro stesso orizzonte temporale è limitato. Giovani, millennials, influencer, speculatori geek e programmatori rappresentano la base di un mercato speculativo privo di disciplina governativa. Questo può spiegare la volatilità delle criptovalute. Il MEF – Ministero dell’economia e della finanza, in una risposta del 26.05.2021 a una interpellanza parlamentare promossa dal Movimento 5 Stelle ha inteso riferirsi alle criptovalute come “ […] criptoattività di natura altamente speculativa e senza alcun sottostante a sostegno del suo valore” e allo stesso tempo ha auspicato l’intervento del legislatore in quanto l’assenza di normative di riferimento si riverbera in perdita di occasioni per gli imprenditori della new economy (Miner, Yel-Farming, NFT, ecc.). Ma di che valore stiamo parlando in termini di perdita di chance economica? Il valore delle criptovalute Seppur storicamente precedente il valore delle criptovalute inizia il proprio rally nel 2008 con la crisi bancaria mondiale. Gli investitori, scottati dai mercati tradizionali, rifuggono dagli investimenti bancari per trovare una alea deregolamentata nelle criptovalute. Nel 2016 la criptovaluta Ethereum (la seconda per ordine di importanza) era scambiata con il prezzo di 13 dollari. Il 7 maggio del 2021 aveva raggiunto il suo apice di 3.483 dollari, per subire successivamente un calo vertiginoso. Bitcoin ha avuto un’evoluzione simile ma con una forbice che è andata da 5 dollari nel 2012 a 55.000 dollari nel 2021, perdendo però come detto ben 20.000 dollari negli ultimi giorni. Litecoin ha avuto anch’essa un andamento simile passando da 3 dollari del 2016 agli attuali 189 dollari con picchi di quasi 400 dollari il mese scorso. Dogecoin, criptovaluta di nuova creazione, quest’anno ha invece guadagnato oltre il 12.000%. Quanto sono inquinanti le criptovalute L’economista americano Alexander Benfield, analista delle criptovalute di Weiss Ratings, intervistato da Jurica Djumovic di Market Watch ha specificato come il mining dei Bitcoin impieghi circa 130 Terawattora all’anno (tutti gli Stati Uniti D’America consumano circa 4.000 Terawattora annui, un impiego smisurato di energia. 1 Terawattora corrisponde a 1000 Gigawattora). Ma ciò che i dati nascondono è la provenienza di tale consumo energetico, che varia dal 39% al 73% in energia rinnovabile. Inoltre, gran parte di tale energia rinnovabile è consumata direttamente alla fonte, senza essere trasportata dalle aree rurali (specialmente cinesi) e rappresenta pertanto energia in surplus. Peraltro, il concetto di mining sotteso alla creazione dei blocchi è proprio quello della complessità crescente e quindi proporzionale al consumo di energia: semmai la sfida del futuro è quella di creare sistemi che possano ottimizzare il consumo energetico o incentivare l’indipendenza energetica di criptovalute complesse. Le criptovalute cosiddette “green” evidentemente possiedono un grado di complessità irrilevante e come tale sono basate su reti sottodimensionate o addirittura inesistenti. Il movimento $Stopelon per fermare la volatilità delle criptovalute Se è sufficiente un annuncio di Elon Musk su Twitter per manipolare il mercato delle criptovalute, occorre difendersi dagli annunci “wow” anche attraverso lo stesso “sentiment” che svolge un ruolo di primaria importanza nell’effetto valanga derivato da singoli tweet di personaggi influenti. Per questa ragione è sul mercato da pochi giorni la moneta virtuale $Stopelon i cui membri, miner e investitori, avversando la politica della volatilità richiedono alla comunità di comprare e tenere (Buy&Hold) e in poche ore il token ha raggiunto ben 34 milioni di dollari di capitalizzazione, mentre il canale Telegram già conta più di 17mila iscritti. Il nuovo token è emerso sulla blockchain di Binance Smart Chain e ha già registrato una crescita del 5.000% da 0,0000019 a 0,00009450 dollari. Conclusioni Sono molto lontani i tempi del baratto e l’idea di diventare ricchi improvvisamente, anche senza merito, pervade la storia dell’uomo in maniera costante. Immaginare che gli stati si privino della possibilità di istituzionalizzare il mercato delle criptovalute e di rinunciare alle entrate derivanti dal mercato è da ingenui, ma trovare il modo di regolare un sistema non regolabile con le categorie mentali della vecchia economia è altrettanto utopistico. Fintanto che il mondo sarà governato dai “boomers”, tra i quali lo scrivente, non vi sarà modo di comprendere il fenomeno e di provare a regolarlo senza ucciderlo LINK: https://www.blockchain4innovation.it/criptovalute/criptovalute-perche-il-mercato-e-cosi-volatile/
Autore: Luca Sanna 15 luglio 2021
’idea di arricchirsi senza sudare troppo è innata nell’uomo, ma non è detto che sia tanto facile. Lo dimostra il numero crescente di truffe che prende di mira gli investitori in bitcoin e altre criptovalute. Di che numeri parliamo? Facciamo il punto. La vertiginosa crescita delle criptovalute viene vista e anche presentata da alcuni servizi online come un’occasione di facile guadagno. Bitcoin e la sua crescita dai 5 dollari nel 2012 fino agli oltre 100.000 dollari del 2019 rappresenta il caso più eclatante, ma non l’unico, e certamente è indicativo di un fenomeno attrattivo da parte dell’investitore che, attraverso gli strumenti tradizionali, non potrebbe minimamente avvicinarsi a tale tipo di rendimenti. Il mercato delle truffe Accanto alla crescita vertiginosa delle lotterie e dei soldi facili, così come in un moderno gioco delle tre carte, si è accompagnata la crescita dei truffatori, aiutati peraltro dalla mancanza di regolamentazione statale e internazionale delle criptovalute e dall’anonimato che contraddistingue lo strumento del mercato digitale. Secondo la Federal Trade Commission, un’agenzia federale americana che si occupa fin dal primo dopoguerra di tutela dei consumatori, le perdite legate alle truffe informatiche in relazione al mercato della moneta digitale ammontano ad 82 ​​milioni di dollari durante il quarto trimestre del 2020 e il primo trimestre del 2021, oltre 10 volte l’importo rispetto allo stesso semestre dell’anno precedente. Certamente il periodo di lockdown ha incrementato le occasioni di incontro tra malintenzionati online e consumatori bramosi di ottenere la propria fetta di fortuna. I truffatori hanno inteso prendere di mira tutta la platea di destinatari della propria azione, dai piccoli investitori che perlustrano i social media in cerca di consigli sui loro piccoli investimenti, ai veterani di Wall Street che hanno sostenuto un gestore di fondi di criptovalute australiano recentemente accusato di aver eseguito una frode da 90 milioni di dollari. Fare fortuna senza fatica, un’idea innata È una idea innata nell’essere umano quella di poter fare fortuna senza fatica e senza difficoltà fin dai tempi degli antichi romani. L’imperatore Vespasiano durante le feste per le Kalendae Martiae distribuiva alcuni biglietti che venivano chiamati apophoreta il cui autore si diceva fosse Marziale, che con tale nome ha successivamente pubblicato una raccolta. Gli apophoreta in gergo letteralmente indicavano “cose da portar via”. Infatti, alla fine delle occasioni conviviali i bigliettini a volte venivano distribuiti e scombinati affinché gli ospiti portassero via i doni, come una vera e propria riffa. Si racconta di Elagabalo, imperatore romano della dinastia dei Severi, il quale mise in palio dieci cammelli e dieci mosche, dieci libbre d’oro e dieci di piombo. Si può facilmente sostenere come il desiderio di “diventare ricchi” non sia minimamente cambiato nella storia dell’uomo, dalla lotteria nazionale, al superenalotto passando per il totocalcio e infine alla lotteria degli scontrini. Il caso lub token Alcuni creatori e speculatori nei primi mesi del 2021 hanno lanciato un servizio per scambiare criptovalute: per la prima volta consumatori e utilizzatori avrebbero potuto comprare il token LUB attraverso un exchanger disponibile sul servizio di messaggistica Telegram. Il guadagno promesso variava dall’1% al 10% al giorno e questo ha attirato numerosissime adesioni, ma malgrado i grandi investimenti privati dopo qualche mese il servizio è sparito dal web e il sito internet oggi appare disattivo. Precisiamo come il LUB Token si basasse su tecnologia Ethereum, la seconda criptovaluta in ordine di importanza oggi in circolazione. “Mi vergogno e ancora non riesco a capire quanto sono stato stupido”, ha detto Sebastian, che ha investito ingenti somme sul servizio LUB e che ha chiesto che il suo cognome non fosse pubblicato dal Wall Street Journal in modo da non essere preso di mira dai troll di Internet. Sono migliaia le esperienze che si trovano online simili a quelle di Sebastian e sono nati addirittura numerosissimi gruppi Telegram come “Lub Token=scam!!!” per denunciare la pratica commerciale scorretta. Il Wall Street Journal ha stimato che le vittime nella sola Germania hanno perso tra 500.000 e 1,5 milioni di euro a causa dello schema. La polizia tedesca sta indagando sulle denunce relative allo schema LUB in tutto il paese, ha affermato un portavoce della polizia nella città di Aalen, che ha ricevuto una denuncia a maggio. Come difendersi dalle truffe Partendo dal presupposto che una truffa basata sullo schema LUB TOKEN è difficile da intuire, poiché ha ingannato anche gli investitori più attenti, i consumatori o i semplici utilizzatori di moneta digitale dovrebbero prestare alcuni necessari accorgimenti. Difendersi dalle truffe online sta diventando sempre più difficile, ma prima di investire soldi in criptovalute false comprate attraverso siti fake, i consumatori dovrebbero seguire alcuni semplici consigli. A differenza, infatti, dei pagamenti con carte di credito, molte transazioni in criptovalute non sono annullabili o revocabili, sicché anche se il sito presenta caratteristiche del tutto simili al portale generalmente utilizzato occorre prestare attenzione alla presenza del lucchetto prima dell’indirizzo URL. Può succedere inoltre di fare clic su un link che sembri identico al sito originale in tutto e per tutto, mentre gli autori dell’attacco hanno creato un URL falso con uno zero al posto di una lettera ‘o’. Controllare anche due volte potrebbe far risparmiare molti soldi. Lo stesso principio vale per le app del telefono false (il rischio maggiore è sul market Android), sebbene gli store ufficiali riescano spesso a individuare e rimuovere queste app. Migliaia di persone hanno già scaricato app di criptovaluta false, come segnalato da Bitcoin News; anche in questo caso, le app fake presentano errori di ortografia evidenti nella copia o addirittura nel nome dell’app, il marchio commerciale sembra a volte contraffatto con colori diversi o più sbiaditi rispetto all’originale. Una ulteriore verifica prima del download è opportuno. Una nuova moda è quella di lanciare aggiornamenti o news attraverso account social (twitter, facebook, instagram, ecc.) falsi di personaggi famosi: attenzione alla spunta blu vicino al nome che contraddistingue il più delle volte un account ufficiale. Di che numeri parliamo? È difficile stimare quanti soldi perdono gli investitori a causa delle frodi online. Le cifre della FTC si basano sull’autodichiarazione delle vittime di truffe e sono in gran parte limitate agli Stati Uniti, quindi probabilmente riflettono solo una parte delle perdite totali. Peraltro, non sempre i truffati sporgono denuncia, un po’ per vergogna, un po’ perché i soldi investiti nelle scommesse informatiche sono considerati dagli investitori come un rischio calcolato. CipherTrace, una società di analisi blockchain che tiene traccia delle segnalazioni di crimini crittografici in tutto il mondo, afferma che i truffatori stanno guadagnando meno di quanto non facessero in passato, da 4,1 miliardi di dollari nel 2019 a 432 milioni durante i primi quattro mesi di quest’anno. I conteggi di CipherTrace per il 2019 e lo scorso anno sono stati elevati a causa dell’esposizione di alcuni grandi schemi Ponzi in Asia. Conclusioni I dati rappresentati dal Wall Street Journal sono solo la punta di un iceberg che nel tempo emergerà sempre più. La agognata regolamentazione del mercato probabilmente cercherà di trovare una soluzione al problema, anche se gli alti guadagni fin’ora registrati scoraggiano l’intervento statale. Ci troveremo a breve di fronte a un crollo come nel 1929 e come nel 2008? Solo la storia potrà dirlo, di certo per adesso sappiamo che da una forte deregolamentazione è sempre seguita una veloce speculazione e una inevitabile caduta. https://www.agendadigitale.eu/cittadinanza-digitale/pagamenti-digitali/bitcoin-come-ti-raggiro-gli-investitori-le-ultime-truffe-e-in-che-modo-difendersi/
Show More
Share by: