Di Marco Govoni
Quotidianamente, per la mia attività lavorativa, mi trovo nel "maneggiare" una mole importante di informazioni che reperisco da fonti pubbliche o semi-pubbliche.
In particolare sono dati figli di ricerche OSINT svolte su social network, forum, deep, dark e clear web: lo faccio per monitorare cosa accade nel mondo del cybercrime, analizzare cosa viene estratto (in maniera illecita) dalle aziende e ragionare quindi su quali siano i migliori approcci per una protezione e difesa efficace.
Questo mi impone di trattare queste informazioni con cura, soprattutto quando racconto il mio lavoro proprio qui nel blog.
Negli ultimi mesi poi abbiamo assistito alla pubblicazione di enormi database esfiltrati da vari social network, Facebook in primis, ma anche LinkedIn e Clubhouse, che hanno così messo a disposizione dei più una quantità di dati personali ingente. Spesso poi usata per finalità criminali, come attacchi phishing.
Per questo motivo mi sono posto una domanda: quali sono i limiti che ci si deve porre nel maneggiare informazioni pubbliche?
Per avere una risposta autorevole, mi sono rivolto all'amico Francesco Cucci, avvocato, DPO e consulente privacy. Serve un parere di un esperto. E spero che questa chiacchierata possa servire a chi, come me ma anche per finalità diverse, trova e raccoglie informazioni pubbliche.
Semplificando la cosa, possiamo dire che le informazioni pubbliche possono essere raccolte principalmente con tre modalità:
Questa è una delle domande alle quali spesso si da la risposta sbagliata. Ovvero: se trovo una informazione che è pubblica e accessibile, posso utilizzarla per altre finalità.
La risposta è NO. Ce lo spiega molto bene l'avvocato Francesco Cucci:
Occorre partire da questo concetto: pubblicazione non equivale a consenso preventivo a qualunque trattamento.
I dati pubblici sono pubblici per ben precise ragioni che non fanno presumere di per sé che l’interessato abbia prestato il consenso a qualsiasi trattamento.
Per intenderci facciamo alcuni esempi.
I dati personali di un individuo che compie un crimine possono essere fatti oggetto di trattamento - comprensivo della pubblicazione - da parte di una testata giornalistica nell’esercizio del diritto di cronaca, che ne costituisce la condizione di liceità, ma non per questo possono essere raccolti da un altro soggetto al fine di costruire un archivio strutturato di informazioni di carattere giudiziario per realizzare una sorta di casellario giudiziario privato cui attingere, a pagamento, informazioni di tal genere sui cittadini.
O ancora:
le persone che partecipano ad un concerto rendono pubblici i loro volti e l’informazione della loro presenza al concerto. Ciò, però, non autorizza in automatico un fotografo professionista a rubare primi piani e a pubblicarli.
O ancora:
i nominativi sui citofoni dei palazzi in una pubblica via sono stati esposti alla possibilità che un numero indefinito di persone possa leggerli, ma non comportano il consenso dei residenti ad essere raccolti ed inseriti in un database pubblico per la ricerca online di corrispondenze tra nominativi ed indirizzi, ad esempio.
In ambito OSINT, Francesco ci ricorda che:
L’OSINT, l’Open Source Intelligence, cioè la raccolta di informazioni personali relative ad uno o più individui accedendo a fonti informative aperte è, per definizione stessa, un’attività di intelligence, cioè di investigazione.
A tal fine occorre domandarsi quali siano le possibili basi giuridiche dell’OSINT.
Sappiamo che per l’art. 6 del Regolamento UE 579/2016 (GDPR), non prevede espressamente una condizione di liceità riferita all’esercizio di un diritto in sede giudiziaria, che, infatti, ritroviamo indicata solo quale condizione di deroga del Titolare dal divieto di trattare dati particolari, di trasferire dati in paese ectra UE o da alcuni specifici adempimenti previsti negli articoli riferiti ai diritti degli interessati.
Questo sta a significare che un avvocato o un investigatore privato, autorizzati dalla legge italiana a svolgere indagini (e quindi anche attività di OSINT), potranno fondare i trattamenti di dati personali operati nell’ambito di tali indagini non tanto su una condizione di deroga, ma sulle altre basi giuridiche, e, in particolare, sulle lettere b) (trattamento necessario all’esecuzione di un contratto, quello di “mandato”) e c) (trattamento necessario ad adempire un obbligo legale al quale è soggetto il titolare del trattamento, cioè quello di adempiere fedelmente il patrocinio) del primo paragrafo dell’art. 6 GDPR
In sostanza le informazioni raccolte non possono essere condivise. Ma andiamo avanti perché c'è un aspetto interessante:
Sull’OSINT, poi, c’è da fare anche una analisi della reale “apertura” delle fonti consultate, perché spesso accade, invece che:
- la fonte non sia effettivamente accessibile (cioè si renda necessaria quale attività di forzatura dei filtri di accesso alla fonte)
- la fonte non sia legalmente accessibile (cioè, pur essendo effettivamente accessibile, chi vi accede non potrebbe farlo in quanto non ne ha le qualità, o indichi false motivazioni autocertificando, ad esempio, circostanze false)
- la fonte, pur effettivamente e legittimamente accessibile al pubblico, contenga dati che gli interessati non hanno affatto autorizzato a pubblicare (es: informazioni date ad un titolare che le archivia in database erroneamente resi pubblici: l’interessato ha autorizzato il titolare a trattare i dati per determinate finalità; non lo ha affatto autorizzato a renderli accessibili a chicchessia).
- la fonte, pur accessibile al pubblico in maniera legittima, contenga dati personali della cui comunicazione gli interessati non si sono avveduti (es.: si pensi a tutte le info personali che oggi i dispositivi IoT comunicano sul web, come, ad esempio, un braccialetto sportivo, configurato male dall’utente perché i consensi che ha prestato erano totalmente disinformati o fondati sull'opt-out).
Il contesto è quindi fondamentale ed il rischio di uscire dal perimetro, alto.
Sullo scraping - che di per sé non è una attività illecita - sempre in base al principio espresso prima, è comunque fondamentale rispondere prima ad alcune domande:
Una persona fisica o giuridica qualificabile come Titolare, secondo la definizione datane dal GDPR, che raccogliesse informazioni pubbliche per inserirle in un proprio database destinato a soddisfare finalità diverse ed ulteriori rispetto a quelle che erano alla base della pubblicazione (consenso dell’interessato, diritto all’informazione, ecc.) dovrebbe certamente chiedersi:
- Posso contare su una condizione di liceità ex art. 6 GDPR?
- In caso positivo sono tenuto ad erogare agli interessati l’informativa ex art. 14 GDPR (quella che deve fornire chi acquisisce i dati personali non direttamente dall'interessato)?
- Se sì, come la metto in atto nei termini previsti dalla norma?
- Se no, qual è la base giuridica su cui fondare questa deroga dal dovere di informativa?
Qui valgono i principi visti per lo scraping con l'aggravante che non c'è alcuna autorizzazione rilasciata da chi ha in gestione l'applicazione.
Uno dei casi concreti e più recenti è quello delle varie app che sono nate per tracciare le attività su ClubHouse: in sostanza permettono di avere una quantità ingente di analytics sui partecipanti ad una conversazione, l'account, il tempo e la data di partecipazione e le eventuali interazioni.
Sì, sono dati pubblici, ma non possono essere raccolti, elaborati e condivisi senza una specifica autorizzazione degli interessati.
Il principio cardine è quello di tenere alta l'attenzione e non sottovalutare quali - nostre - informazioni pubbliche sono in circolazione.
Il mondo del cybercrime "vive" sulla presenza di questi dati. In questo articolo ho spiegato come sapere se la tua azienda ha delle email compromesse.
Per chiudere, grazie a Francesco per la disponibilità!
L'articolo è tratto da Informatore Informatico e proviene da "Cronache Digitali"
Ringrazio Marco per aver voluto condividere con noi questo contenuto.
Trovi l'articolo originale di Marco cliccando qui >> Privacy: cosa posso fare con i dati pubblici?
Classe 1972, nato a Bologna, libero professionista, appassionato di internet, CyberSecurity e OSINT. Oggi - grazie a Fastweb - aiuto le medie e grandi aziende nella digital transformation.
Nel 2° trim sono aumentati del 250% con un picco a giugno: il 2020 sta diventando l’anno peggiore di sempre! Nel secondo trimestre di quest’anno, in Italia, gli attacchi informatici sono esplosi a dismisura, +250% rispetto al trimestre precedente, toccando un picco preoccupante nel mese di giugno. Sono dati pubblicati in una ricerca dell’osservatorio cybersecurity di Exprivia. A determinare questa situazione una serie di fattori, primo fra tutti l’emergenza Covid-19 che ha costretto molti a lavorare in smart working o, comunque, in...
Scritto da: Luigi DuraccioImportante A seguito della sentenza del 16 luglio 2020 nella causa C-311/18 Data Protection Commissioner/Maximilian Schrems e Facebook Ireland che ha di fatto invalidato il Privacy Shield, stiamo rivedendo questo articolo. Al momento non ci sono ancora molte indicazioni in merito. Ecco quello che devi sapere per ora: Normalmente, per trasferire al di fuori dell’UE i dati personali degli utenti dell’UE è necessario soddisfare le condizioni indicate negli articoli 44-50 del GDPR (se ad esempio salvi dati personali di cittadini dell’UE su un server negli...
Scritto da: Luigi DuraccioFino a poco tempo fa gli hacker usavano i ransomware per crittografare i dati e chiedere un riscatto. Ora i cybercriminali minacciano di segnalare al Garante della Privacy la mancata adozione delle misure di sicurezza prescritte dal Gdpr. Da Federprivacy.it A segnalare questo fenomeno è stato il ricercatore informatico Victor Gevers, che ha rivelato come in una campagna di estorsioni online un singolo hacker sarebbe riuscito ad accedere a ben 23.000 server tramite internet utilizzando degli strumenti automatizzati per individuare quali di essi non erano dovutamente...
Scritto da: Luigi DuraccioInsieme ai gestori sanzionati anche partner commerciale e call center: nel mirino anche i procacciatori che trattano i dati senza affidamento e autorizzazione. La vicenda è ormai arcinota: Wind Tre Spa è stata sanzionata per circa 17 milioni di euro per numerosi trattamenti illeciti di dati, legati prevalentemente ad attività promozionali. La sanzione si inquadra all'interno dell’attività di controllo del Garante per la protezione dei dati personali nei confronti degli operatori telefonici anche a seguito delle centinaia di segnalazioni e reclami che settimanalmente...
Scritto da: Luigi Duraccio11 milioni di caselle attive, oltre 3 miliardi di messaggi scambiati, 19 gestori accreditati: sono i numeri della PEC da inizio 2019 ad oggi. La PEC garantisce pieno valore legale alle comunicazioni, al pari di una raccomandata, ed è completamente digitale. Fonte: In4mati Con le ultime disposizioni aumenta ancora la diffusione di questo strumento, completamente digitale, che garantisce pieno valore legale alle comunicazioni, al pari di una raccomandata, e consente una trasmissione dei messaggi più semplice, comoda e veloce permettendo ai cittadini risparmi...
Scritto da: Luigi DuraccioLa utilizziamo tutti i giorni ma non sappiamo di farlo. Com'è regolata l'Identità digitale, quali sono le responsabilità del proprietario e di chi la utilizza, cos'è lo SPID, il Sistema Pubblico di Identità Digitale: la parola all'esperto. L'identità digitale può essere definita come la rappresentazione digitale di un utente con cui ci si muove all'interno di un sistema informatico (es. internet). Più semplicemente la identificazione di un utente attraverso username e password ed è legata al concetto di domicilio informatico (vedi PEC), e di...
Scritto da: Luigi DuraccioDa oggi inauguriamo una rubrica in cui ospitiamo l'editoriale di un professionista, un nostro partner in ambito gdpr e sicurezza informatica, che, in un breve contributo video, ci guida all'interno del mondo digitale. Oggi il focus è sui cookies. Ne sentiamo parlare in continuazione e li incontriamo sempre quando navighiamo in internet ma, per molti di noi, sono solo quel fastidioso banner su cui facciamo click, quasi automanticamente, per continuare la navigazione e non sappiamo cosa abbiamo accettato. Il video ci spiega...
Scritto da: Luigi DuraccioNegli ultimi giorni sono venuti a galla diversi attacchi da parte di criminali informatici ad importanti multinazionali o aziende internazionali. Che cosa ci insegnano tutti questi casi? Dopo gli attacchi a Honda, Enel e Nintendo, si allunga l'elenco di illustri vittime del crimine informatico con l'attacco subito da Geox. Gli attacchi non hanno tutti la stessa matrice ma possono insegnarci qualcosa sopratutto, ci dicono molto sulla consapevolezza, scarsa, delle aziende e degli utenti riguardo ai rischi informatici. Partiamo da casa nostra. Il disservizio sulla propria rete informatica...
Scritto da: Luigi DuraccioIl 4 Maggio scorso, il comitato europeo dei Garanti (EDPB), ha emanato una nuova direttiva con le linee guida in materia di cookie e consenso, in particolare sulla validità del consenso tramite lo "scroll" e la presenza dei "cookiewall". Quelli che tra di voi sono più attenti avranno notato che, almeno in alcuni siti, i banner che segnalano la presenza dei cookie sono un po' cambiati. Questi banner sono quegli avvisi, spesso molto piccoli, che compaiono quando accedete per la prima...
Scritto da: Luigi DuraccioMartinelli S.r.l. Via Circonvallazione N/E, 98 - 41049 Sassuolo (MO) | Tel: 0536 868611 Fax: 0536 868618 | info@martinelli.it
P.Iva 02262430362 - C.F. 01413050350 - Iscriz. registro Imprese di Modena 01413050350 - Capitale Sociale 350.000 i.v.