Di Marco Govoni
Quotidianamente, per la mia attività lavorativa, mi trovo nel "maneggiare" una mole importante di informazioni che reperisco da fonti pubbliche o semi-pubbliche.
In particolare sono dati figli di ricerche OSINT svolte su social network, forum, deep, dark e clear web: lo faccio per monitorare cosa accade nel mondo del cybercrime, analizzare cosa viene estratto (in maniera illecita) dalle aziende e ragionare quindi su quali siano i migliori approcci per una protezione e difesa efficace.
Questo mi impone di trattare queste informazioni con cura, soprattutto quando racconto il mio lavoro proprio qui nel blog.
Negli ultimi mesi poi abbiamo assistito alla pubblicazione di enormi database esfiltrati da vari social network, Facebook in primis, ma anche LinkedIn e Clubhouse, che hanno così messo a disposizione dei più una quantità di dati personali ingente. Spesso poi usata per finalità criminali, come attacchi phishing.
Per questo motivo mi sono posto una domanda: quali sono i limiti che ci si deve porre nel maneggiare informazioni pubbliche?
Per avere una risposta autorevole, mi sono rivolto all'amico Francesco Cucci, avvocato, DPO e consulente privacy. Serve un parere di un esperto. E spero che questa chiacchierata possa servire a chi, come me ma anche per finalità diverse, trova e raccoglie informazioni pubbliche.
Semplificando la cosa, possiamo dire che le informazioni pubbliche possono essere raccolte principalmente con tre modalità:
Questa è una delle domande alle quali spesso si da la risposta sbagliata. Ovvero: se trovo una informazione che è pubblica e accessibile, posso utilizzarla per altre finalità.
La risposta è NO. Ce lo spiega molto bene l'avvocato Francesco Cucci:
Occorre partire da questo concetto: pubblicazione non equivale a consenso preventivo a qualunque trattamento.
I dati pubblici sono pubblici per ben precise ragioni che non fanno presumere di per sé che l’interessato abbia prestato il consenso a qualsiasi trattamento.
Per intenderci facciamo alcuni esempi.
I dati personali di un individuo che compie un crimine possono essere fatti oggetto di trattamento - comprensivo della pubblicazione - da parte di una testata giornalistica nell’esercizio del diritto di cronaca, che ne costituisce la condizione di liceità, ma non per questo possono essere raccolti da un altro soggetto al fine di costruire un archivio strutturato di informazioni di carattere giudiziario per realizzare una sorta di casellario giudiziario privato cui attingere, a pagamento, informazioni di tal genere sui cittadini.
O ancora:
le persone che partecipano ad un concerto rendono pubblici i loro volti e l’informazione della loro presenza al concerto. Ciò, però, non autorizza in automatico un fotografo professionista a rubare primi piani e a pubblicarli.
O ancora:
i nominativi sui citofoni dei palazzi in una pubblica via sono stati esposti alla possibilità che un numero indefinito di persone possa leggerli, ma non comportano il consenso dei residenti ad essere raccolti ed inseriti in un database pubblico per la ricerca online di corrispondenze tra nominativi ed indirizzi, ad esempio.
In ambito OSINT, Francesco ci ricorda che:
L’OSINT, l’Open Source Intelligence, cioè la raccolta di informazioni personali relative ad uno o più individui accedendo a fonti informative aperte è, per definizione stessa, un’attività di intelligence, cioè di investigazione.
A tal fine occorre domandarsi quali siano le possibili basi giuridiche dell’OSINT.
Sappiamo che per l’art. 6 del Regolamento UE 579/2016 (GDPR), non prevede espressamente una condizione di liceità riferita all’esercizio di un diritto in sede giudiziaria, che, infatti, ritroviamo indicata solo quale condizione di deroga del Titolare dal divieto di trattare dati particolari, di trasferire dati in paese ectra UE o da alcuni specifici adempimenti previsti negli articoli riferiti ai diritti degli interessati.
Questo sta a significare che un avvocato o un investigatore privato, autorizzati dalla legge italiana a svolgere indagini (e quindi anche attività di OSINT), potranno fondare i trattamenti di dati personali operati nell’ambito di tali indagini non tanto su una condizione di deroga, ma sulle altre basi giuridiche, e, in particolare, sulle lettere b) (trattamento necessario all’esecuzione di un contratto, quello di “mandato”) e c) (trattamento necessario ad adempire un obbligo legale al quale è soggetto il titolare del trattamento, cioè quello di adempiere fedelmente il patrocinio) del primo paragrafo dell’art. 6 GDPR
In sostanza le informazioni raccolte non possono essere condivise. Ma andiamo avanti perché c'è un aspetto interessante:
Sull’OSINT, poi, c’è da fare anche una analisi della reale “apertura” delle fonti consultate, perché spesso accade, invece che:
- la fonte non sia effettivamente accessibile (cioè si renda necessaria quale attività di forzatura dei filtri di accesso alla fonte)
- la fonte non sia legalmente accessibile (cioè, pur essendo effettivamente accessibile, chi vi accede non potrebbe farlo in quanto non ne ha le qualità, o indichi false motivazioni autocertificando, ad esempio, circostanze false)
- la fonte, pur effettivamente e legittimamente accessibile al pubblico, contenga dati che gli interessati non hanno affatto autorizzato a pubblicare (es: informazioni date ad un titolare che le archivia in database erroneamente resi pubblici: l’interessato ha autorizzato il titolare a trattare i dati per determinate finalità; non lo ha affatto autorizzato a renderli accessibili a chicchessia).
- la fonte, pur accessibile al pubblico in maniera legittima, contenga dati personali della cui comunicazione gli interessati non si sono avveduti (es.: si pensi a tutte le info personali che oggi i dispositivi IoT comunicano sul web, come, ad esempio, un braccialetto sportivo, configurato male dall’utente perché i consensi che ha prestato erano totalmente disinformati o fondati sull'opt-out).
Il contesto è quindi fondamentale ed il rischio di uscire dal perimetro, alto.
Sullo scraping - che di per sé non è una attività illecita - sempre in base al principio espresso prima, è comunque fondamentale rispondere prima ad alcune domande:
Una persona fisica o giuridica qualificabile come Titolare, secondo la definizione datane dal GDPR, che raccogliesse informazioni pubbliche per inserirle in un proprio database destinato a soddisfare finalità diverse ed ulteriori rispetto a quelle che erano alla base della pubblicazione (consenso dell’interessato, diritto all’informazione, ecc.) dovrebbe certamente chiedersi:
- Posso contare su una condizione di liceità ex art. 6 GDPR?
- In caso positivo sono tenuto ad erogare agli interessati l’informativa ex art. 14 GDPR (quella che deve fornire chi acquisisce i dati personali non direttamente dall'interessato)?
- Se sì, come la metto in atto nei termini previsti dalla norma?
- Se no, qual è la base giuridica su cui fondare questa deroga dal dovere di informativa?
Qui valgono i principi visti per lo scraping con l'aggravante che non c'è alcuna autorizzazione rilasciata da chi ha in gestione l'applicazione.
Uno dei casi concreti e più recenti è quello delle varie app che sono nate per tracciare le attività su ClubHouse: in sostanza permettono di avere una quantità ingente di analytics sui partecipanti ad una conversazione, l'account, il tempo e la data di partecipazione e le eventuali interazioni.
Sì, sono dati pubblici, ma non possono essere raccolti, elaborati e condivisi senza una specifica autorizzazione degli interessati.
Il principio cardine è quello di tenere alta l'attenzione e non sottovalutare quali - nostre - informazioni pubbliche sono in circolazione.
Il mondo del cybercrime "vive" sulla presenza di questi dati. In questo articolo ho spiegato come sapere se la tua azienda ha delle email compromesse.
Per chiudere, grazie a Francesco per la disponibilità!
L'articolo è tratto da Informatore Informatico e proviene da "Cronache Digitali"
Ringrazio Marco per aver voluto condividere con noi questo contenuto.
Trovi l'articolo originale di Marco cliccando qui >> Privacy: cosa posso fare con i dati pubblici?
Classe 1972, nato a Bologna, libero professionista, appassionato di internet, CyberSecurity e OSINT. Oggi - grazie a Fastweb - aiuto le medie e grandi aziende nella digital transformation.
La predisposizione del manuale della conservazione, la nomina del responsabile della conservazione e del procedimento di conservazione, l’adeguamento ai fini privacy: ecco tutti gli adempimenti di cui nessuno ti ha mai parlato. Il prossimo 10 marzo scadono i termini per la conservazione digitale a norma delle fatture elettroniche del 2019. La scadenza coincide con i tre mesi dal termine per l’invio della dichiarazione dei redditi 2020 che, per effetto della proroga prevista dal decreto Ristori quater, poteva essere trasmessa fino al 10 dicembre scorso. Il nostro...
Scritto da: Luigi DuraccioIl datore di lavoro non può conoscere i dati relativi alle vaccinazioni. Intervento del Garante privacy. Acquisire i dati relativi alle vaccinazioni dei dipendenti non è consentito dalla disciplina in materia di tutela della salute e sicurezza nei luoghi di lavoro né dalle disposizioni sull’emergenza sanitaria. A questi comportamenti, incidendo su diritti fondamentali dell’individuo, è necessario applicare a particolari attenzioni. Negli ultimi giorni si sono aggiunti interventi chiarificatori del Garante per la protezione dei dati personali in relazione alla normativa sulla privacy. Il Garante...
Scritto da: Luigi DuraccioCarte di credito e ricaricabili sempre di più nel mirino degli hacker. Sono molte le truffe online in grado di svuotare i conti correnti e le prepagate. Non ci sono quasi più errori di sintassi o di grammatica, l’italiano è molto più scorrevole e questo si traduce in una maggiore difficoltà di accorgersi della truffa e quindi maggiori pericoli per gli utenti possessori di carte, soprattutto prepagate. Tra le più gettonate ci sono le truffe che hanno ad oggetto le carte prepagate...
Scritto da: Luigi DuraccioI ransomware sono virus informatici che rendono inaccessibili i dati dei computer infettati e chiedono il pagamento di un riscatto per ripristinarli. Vediamo come è fatto ed un metodo innovativo per proteggersi. Quando un sistema informatico viene attaccato da un ransomware e i file contenuti vengono crittografati significa che il virus ha già superato tutte le difese. Oltre a questo molti malfattori che li programmano non si accontentano e non si fermano dopo aver sfondato le barriere di protezione di un solo PC: non è...
Scritto da: Luigi DuraccioCrimine informatico, solo il Covid sta facendo più danni. Il quadro del 2020. Quando un sistema informatico viene attaccato e le difese informatiche di un’azienda vengono superate, l’hacker paralizza il sistema informativo e preleva dati, contratti, accordi, informazioni segrete e rilevanti, informazioni personali. L’attacco, di solito, parte di notte, spesso di sabato, e la mattina, quando apri il computer, è già troppo tardi: file contenuti nei PC, nei server, nei backup, vengono crittografati e non sono più utilizzabili. A questo punto viene chiesto di pagare...
Scritto da: Luigi DuraccioAffidarci alle solite misure o sperare nelle competenze degli utenti equivale ad un suicidio. Il modello “security-as-a-service” nei processi di security integrata. A causa, o grazie alla pandemia, ora l’ufficio può essere ovunque e senza vincoli e le aziende si ritrovano sempre meno vincolate alle tradizionali infrastrutture di rete e a un ufficio fisico. L’adozione di massa e “frettolosa” del lavoro da remoto ha fatto emergere, tuttavia, in tema di sicurezza informatica e difesa dal cybercrime, tutte le criticità di una mal-gestione [o nessuna...
Scritto da: Luigi DuraccioIn un quadro di cambiamento del Paese diventa irrinunciabile, per le aziende, investire sulla “formazione” del personale attraverso enti o società di formazione che portano i loro saperi direttamente all’interno. Il virus ci impone di cambiare e per questo dobbiamo rimboccarci le maniche e costruire un nuovo modo di vivere e di produrre. Dobbiamo agire subito senza aspettare la fine della crisi. La tecnologia ci sarà di aiuto nel cambiamento e dovrà essere impiegata di più nelle aziende. Perché questo avvenga occorre modificare la...
Scritto da: Luigi DuraccioPare che EcoCare, un sito fatto sviluppare dal Parlamento Europeo, non rispetti la stringente normativa europea prevista per la tutela dei dati personali. Se anche i “regolatori” hanno difficoltà ad osservare le norme scritte da loro stessi vuol dire che c’è un problema nell’affrontare una norma con troppa leggerezza. La norma impone un’autovalutazione che spesso necessita dell’insostituibile consulenza di esperti in più settori. Guarda il video sull’argomento pubblicato dall’Avvocato Stefano Nardini che ha affrontato questo caso particolare sul suo canale YouTube.
Scritto da: Luigi DuraccioIl 31 gennaio scade un termine importante del punto di vista fiscale: la conservazione digitale a norma delle fatture elettroniche. In realtà il termine è slittato al 10 marzo a seguito della proroga disposta dal decreto ristori alla presentazione della dichiarazione dei redditi. Questo perchè il termine per la conservazione delle fatture si calcola proprio a partire da quello per la presentazione della dichiarazione dei redditi. Occorre avere le idee chiare per poter adempiere a quanto richiesto dalla normativa. Le norme...
Scritto da: Luigi DuraccioMartinelli S.r.l. Via Circonvallazione N/E, 98 - 41049 Sassuolo (MO) | Tel: 0536 868611 Fax: 0536 868618 | info@martinelli.it
P.Iva 02262430362 - C.F. 01413050350 - Iscriz. registro Imprese di Modena 01413050350 - Capitale Sociale 350.000 i.v.