EMAIL, LA PRIVACY E' A RISCHIO !!!

A rischio la privacy di chi manda messaggi di posta elettronica utilizzando sistemi di web mail.

 

La denuncia arriva dai promotori di una class action contro Google, cui si addebita di effettuare la scansione dei contenuti dei messaggi non solo per ragioni tecniche, ma anche per scopi ulteriori, contrari alla normativa statunitense.

Nel contenzioso pendente davanti alla Corte distrettuale della California, divisione San Jose, il colosso multinazionale si difende sostenendo, da un lato, che la scansione dei messaggi rientra nell’attività ordinaria del fornitore di posta elettronica, dall’altro lato che solo con la scansione dei messaggi è possibile sviluppare servizi utili all’utenza (prevenzione da spam e virus, consentire ricerche con parole chiave); Google aggiunge, però, che chi invia messaggi non ha alcuna aspettativa legittima a che il fornitore del servizio non effettui una copia del messaggio.

 

Su questo punto può emergere un elemento di contrasto con la legislazione europea e conseguentemente italiana sul trattamento dei dati personali.

 

Negli atti difensivi Google equipara i messaggi di posta elettronica alle lettere cartacee, che vengono aperte dalla segreteria della società, cui sono inviate senza ledere la privacy del destinatario.

 

Ma vediamo come si sviluppano le tesi che si fronteggiano nella class action, dalla cui soluzione potrebbero esserci ripercussioni anche per gli utenti italiani del servizio di Gmail.

 

Il problema posto dai promotori della azione collettiva riguarda la scansione dei messaggi di posta elettronica in entrata o in uscita da account di posta elettronica del dominio Gmail.

 

Come si legge negli atti difensivi del colosso americano, Gmail è uno dei più usati sistemi di posta elettronica sul web ed è utilizzato da oltre 400 milioni di utenti.

 

Una parte del processo di smistamento dei messaggi è rappresentato dalla scansione del contenuto degli stessi.

 

La scansione viene realizzata con sistemi automatici ed è utilizzata, innanzi tutto, per garantire la funzionalità del sistema.

 

La scansione è la base per poter impostare sistemi di protezione contro virus e per prevenire il fenomeno delle mail spazzatura (spam).

 

La scansione dei contenuti serve anche a consentire all’utente di poter fare ricerche, in quanto per la ricerca è necessario che i messaggi siano archiviati nel sistema.

 

In sostanza la scansione è una parte del processo di invio dei messaggi di posta elettronica.

 

I sistemi automatici servono, però, anche per trattamenti ulteriori, quali ad esempio far apparire sulle pagine web messaggi pubblicitari congrui con il contenuto delle e-mail e tali da poter essere di interesse per i fruitori del servizio di posta elettronica.

 

D’altra parte la vendita dello spazio web è anche una attività commerciale remunerativa, che contribuisce anche a fornire gratuitamente il servizio di posta elettronica.

 

Tra l’altro questo è proprio un argomento difensivo utilizzato dai legali di Google. Coloro che hanno attivato una casella di posta elettronica di Google hanno accettato condizioni contrattuali che prevedono la scansione del messaggio e quindi hanno acconsentito alla operazione esplicitamente.

 

L’altro argomento utilizzato dalle difese di Google riguarda la aspettativa legittima degli utilizzatori del servizio di posta elettronica a riguardo dell’utilizzo dei messaggi di posta elettronica.

 

Secondo Google, anche sulla scorta di numerosi precedenti nella giurisprudenza statunitense, in realtà, tutti gli utilizzatori del servizio di web mail (anche chi invia messaggi a un utente di Gmail) sono ben consapevoli che i loro messaggi verranno elaboratori dal fornitore del servizio e che in particolare i loro messaggi saranno sottoposti a scansione.

 

La legittimazione alla scansione dei messaggi viene rinvenuta, dunque, su base contrattuale oppure anche implicitamente per il fatto dell’uso del servizio.

 

Ma i legali di Google si spingono a fare un paragone anche con la posta tradizionale su carta.

 

Si legge, infatti, negli atti difensivi, che chi manda una lettera d’affari al suo corrispondente non si stupisce di certo se la lettera viene aperta dall’assistente del destinatario.

 

Così dovrebbe essere anche per la posta elettronica, in cui troviamo un terzo intermediario che mette in collegamento mittente e destinatario.

 

Questo, secondo Google, significa che non sussiste una legittima aspettativa al non utilizzo dei messaggi di post elettronica, anzi vi è previsione e accettazione del trattamento.

 

Se c’è un terzo intermediario, che gestisce il mezzo di comunicazione, scrivono i legali di Google, l’aspettativa di privacy diminuisce.

 

Google cita precedenti sentenze che riguardano l’uso del telefono e ritiene che siano applicabili anche alla posta elettronica.

 

Peraltro il trattamento non sempre è consapevole e vi è da chiedersi se, invece, ai sensi della legge italiana, non debba valere il sistema del consenso informato preventivo rispetto a quei trattamenti che vanno al di là delle necessità tecniche per garantire il servizio di posta elettronica.

Vi è da chiedersi, infatti, se il gestore del servizio rappresenti sempre il ruolo del collaboratore di chi usa la posta elettronica (come l’assistente che apre la porta del proprio superiore in azienda) o se, invece, non agisca per scopi autonomi e indipendenti dal semplice perfezionamento della comunicazione.

PRIVACY ADDIO, GLI STUDENTI SOTTOVALUTANO IL VALORE DEL DATO ONLINE

Gli studenti italiani se la cavano con internet ma non danno grande importanza al valore dei propri dati personali.

 

È urgente quindi un nuovo modello di privacy, che tuteli gli utenti e al tempo stesso non gravi sui costi delle aziende con un eccesso di formalismo e burocrazia.

 

È il tema di un workshop «Privacy, sicurezza e trasparenza nell'era digitale», che si è tenuto il 6 giugno all'Università Europea di Roma.

 

E' stata presentata una ricerca del Laboratorio In.Di.Co dell'Università di Salerno, su questi temi.

Sono i risultati di un sondaggio condotto su 600 studenti in sei facoltà diverse dell'Ateneo campano.

 

«In generale risulta che gli studenti sono tecnicamente capaci e hanno timori, relativi alla privacy, causati perlopiù da quanto apprendono dai media», dice Giovanni Maria Riccio, uno degli autori e professore associato di Diritto comparato dell'Università di Salerno.

 

L'altro autore è Salvatore Sica, fondatore del Laboratorio e docente ordinario di Diritto Comparato.

 

Quasi la metà degli intervistati trascorre tra 1 e 3 ore al giorno su internet (molto, per gli standard dell'italiano medio).

 

Il 60% degli studenti ha dichiarato di essere in grado di modificare le impostazioni di default di motori di ricerca e/o di social network e una percentuale appena inferiore (59%) ha dichiarato di averle effettivamente modificate.

 

Il 30% ha dichiarato, poi, di essere comunque a conoscenza della possibilità di modificare le impostazioni, ma di non saperlo fare.

 

E tuttavia, «sembra che gli studenti, attratti dalla forza del gratis in internet, non diano grande valore ai propri dati», dice Riccio.

Lo studio giudica "sorprendente" per solo il 47 per cento dei dati considera personale la password della mail e dei social network e lo condivide quindi con il partner o con i familiari.

 

La possibilità che un sito internet possa registrare, per finalità statistiche, gli accessi degli utenti non sembra essere percepita come un rischio dal 75% degli intervistati.

 

Risultati analoghi riguardano la possibilità che i siti internet raccolgano informazioni sul browser utilizzato dagli utenti.

 

A giudizio del 33% questa pratica non ha alcun rischio, mentre il 40% dichiara di esserne poco preoccupato.

 

Solo il 34%è preoccupato del fatto che i social network conservino i dati pubblicati.

 

E tuttavia ben l'81% dichiara di essere preoccupato della circolazione dei propri dati personali.

Sembra insomma una preoccupazione generica, che poi non si concretizza in pratica e in dettaglio.

 

Solo il 41% è contrario a cedere informazioni personali in cambio di servizi gratis.

 

PER GOOGLE LA PRIVACY SU GMAIL E' UNA PRETESA IRRAGIONEVOLE

 

Per Google la richiesta di privacy da parte degli utenti è illegittima. Questa la tesi di Big G in risposta ad una class action avanzata negli Stati Uniti contro Mountain View.

 

Consumer Watchdog, associazione statunitense a tutela dei diritti dei consumatori, ha pubblicato sul proprio sito alcune delle frasi riportate nella memoria difensiva preparata dai legali di Google che verrà discussa davanti al tribunale di San José il prossimo 5 settembre.

La teoria di Big G è semplice: non ci si può ragionevolmente attendere la protezione della privacy se ci si affida in modo volontario a terze parti.

 

Se non è ragionevole credere che una lettera inviata per posta tradizionale verrà letta dal destinatario o solo da questi, a maggiore ragione non si può pretendere che la posta elettronica offra maggiori garanzie di privacy.

 

La torrida estate californiana di fresco ha solo lo scandalo datagate, troppo recente per non inviperire ancora di più i detentori di 425milioni di mailbox Gmail.

 

Sotto accusa, principalmente, il processo automatizzato con cui le email vengono controllate, processo esplicitamente citato da Big G nel disclaimer che ogni utente deve dichiarare di avere letto quando crea il proprio account Google.

 

Anche in questo caso c'è una netta spaccatura: per Mountain View il processo di scanning è orientato alla pubblicità, per gli oppositori è una leggerezza volontaria che favorisce l'Agenzia per la sicurezza nazionale (Nsa).

 

La sentenza, qualunque sarà, non sarà probabilmente sufficiente a placare gli animi.

RISCHIA DI PIU' CHI IGNORA GLI ORDINI DETTATI DAL GARANTE

 

 

Non tutti i reati privacy sono presupposto della responsabilità 231: il Dl 93, infatti, richiama solo i delitti e non anche le contravvenzioni.

Vale a dire il trattamento illecito di dati, la falsità nelle dichiarazioni o notificazioni al Garante, l'inosservanza di provvedimenti del Garante.

 

Il caso del trattamento illecito non dovrebbe porre troppo in allarme le aziende.

 

Il delitto, infatti, presuppone che il trasgressore ne abbia tratto profitto e che la violazione abbia prodotto un «nocumento».

 

Ad esempio, l'avere trattato dati senza il necessario consenso sarà sì una condizione oggettiva di punibilità, ma occorrerà dimostrare anche che dal fatto ne sia derivata una effettiva lesione all'interessato.

 

Detto ciò, non ci si potrà comunque rilassare troppo, visto che la Cassazione (Sezione III penale, 13 maggio 2011 n. 18908) ha ravvisato un trattamento illecito nella diffusione, per scopi diversi dalla tutela di un diritto proprio o altrui, di una conversazione documentata mediante registrazione.

 

Nelle prassi aziendali e in mancanza di un buon modello organizzativo data protection, le ipotesi di false dichiarazioni e notificazioni al Garante suscitano maggiori preoccupazioni.

 

Si pensi a un'azienda che – convenuta innanzi al Garante in sede di ricorso – dichiari il falso affermando, ad esempio, di aver rilasciato un'informativa orale nel corso di una telefonata promozionale.

 

Oppure un'azienda che notifichi al Garante di procedere al trattamento di dati comuni, omettendo di indicare che invece utilizza anche dati sensibili.

In tali casi, dei delitti risponderà anche la società ai sensi del decreto 231. 

 

Analogamente, nel caso di inosservanza dei provvedimenti del Garante, vi sarà responsabilità 231 da parte dell'azienda che ometta di adempiere a un provvedimento dell'Authority che, ad esempio, abbia disposto il blocco di uno o più trattamenti o abbia prescritto misure necessarie a rendere il trattamento conforme.

 

Ipotesi non troppo remote in un'azienda che, per il fatto stesso di essere incappata in questo tipo di provvedimenti, ha già mostrato di avere una modesta sensibilità in materia.

 

Ciò che emerge, in conclusione, è che non ci si potrà limitare ad atteggiamenti puramente formali, ritenendosi al riparo per avere eseguito qualche adempimento.

 

Occorrerà, invece, che il modello organizzativo tenga in conto l'intero flusso di dati, nonché il loro utilizzo e custodia anche tramite enti terzi, garantendo un livello di sicurezza adeguata e la conformità rispetto alle finalità per cui l'informazione è stata raccolta.

 

Ad esempio, saranno elementi che il nuovo modello gestionale dovrà prevedere:

 

• la creazione di un organigramma data protection con idonei mansionari per responsabilizzare chi effettua le operazioni;
• il controllo dei flussi informativi;
• la tracciabilità delle operazioni;
• la conservazione e la manutenzione delle informazioni personali;
• verifiche periodiche suffragate da reportistica.