Smart Cities e trattamento di dati personali: dal Codice della Privacy al Regolamento Europeo

DirICTo
Smart Cities e trattamento di dati
personali: dal Codice della Privacy
al Regolamento Europeo
cod. 29287
Giovedì 23 - ore 10:00
Durata: 50 minuti
Arena Smart
Communities - Pad.2
DirICTo
di Massimo Farina
Privacy e Comunicazioni Commerciali: l
e linee guida in materia di attività promozionale
Massimo Farina

DirICTo
PREMESSA
“Ogni grande evento tecnologico, che impatti sulle abitudini di vita
dell’essere umano, ha delle implicazioni di natura giuridica e ciò
impegna il giurista nello studio delle nuove fattispecie al fine di
inquadrare la disciplina, ad esse applicabile”
Massimo Farina

DirICTo
I TRE GRANDI PERIODI DELLA RETE
La prima grande rivoluzione tecnologica è stata il web, ovvero la
migrazione di tutti i servizi via rete telematica e, ovviamente, la nascita
di nuove applicazioni (per es. le chat) e il potenziamento di quelle
esistenti prima del web (per es. la posta elettronica).
La seconda rivoluzione è stata quella del Web 2.0, ovvero dei blog, di
wikipedia e , più in generale, del web partecipativo che poi ha portato
ai social network (Twitter, Facebook e così via).
Oggi, si prefigura quella che viene già chiamata “la terza onda” (the
third wave), ovvero un nuovo salto nell’utilizzo delle reti telematiche,
che viene comunemente denominato “Internet of Thing” (IoT) o
“Internet degli Oggetti” o, ancora, “Internet delle Cose”.
Massimo Farina

DirICTo
CARATTERISTICHE PECULIARI DI CIASCUN PERIODO
la presenza di pochi produttori (siti web) si incontrava con i molti
fruitori (utenti)
Nel periodo successivo, invece, si è determinato un notevole aumento
del numero dei produttori (per es. i blogger etc) per i, già molti, fruitori
(utenti)
la nuova era è caratterizzata da aumento esponenziale di entrambi i
soggetti (produttori e fruitori) ma i primi stanno mutando parzialmente
identità; si sta infatti già imponendo una nuova moltitudine di
produttori costituita da “macchine” o, meglio, da “sensori connessi ad
Internet”: per questo motivo si parla di “Internet of Things”.
Massimo Farina

DirICTo
Si aprono tantissimi scenari, che partono dalla semplice automazione (controllo remoto
di qualcosa), alla rilevazione automatica (traffico), all’intrattenimento (giochi), alla
sicurezza, ai processi delle imprese.
Massimo Farina
Luogo in cui l'utilizzo pianificato e sapiente delle risorse umane
e naturali, opportunamente gestite e integrate mediante le
numerose tecnologie ICT già disponibili, consente la creazione
di un ecosistema capace di utilizzare al meglio le risorse e di
fornire servizi integrati e sempre più intelligenti (cioè il cui
valore è maggiore della somma dei valori delle parti che li
compongono).

DirICTo
IL TRACCIAMENTO DELLE COSE………
E DELLE PERSONE
Nella Smart City, dove gli oggetti
ESEMPIO: quell’oggetto oltrepassa una
sono IDENTIFICABILI E
barriera che lo rileva e, dunque, si
LOCALIZZABILI, solleva delle
acquisisce l’informazione che l’oggetto (e,
problematiche afferenti al
trattamento dei dati personali ed
dunque, la persona) è in un certo luogo.
alla tutela degli interessati ai quali le
informazioni si riferiscono. Dagli all'ingresso della metropolitana un sensore
oggetti, sarà possibile RISALIRE
ALLE PERSONE ed, in particolare,
alla POSIZIONE di queste ultime.
Massimo Farina
rilevasse la presenza del cellulare di Tizio (già
possibile quando il Bluetooth è acceso e il
cellulare è “visibile”) si potrebbe sapere che egli
(o, meglio, il suo cellulare) a quell’ora era
presente in quel dato luogo; che, poi,
successivamente è salito sull’autobus per poi
dirigersi verso il supermercato e così via. I diritti
degli utenti potrebbero risultare ancor più
compressi se si pensa allo sviluppo di sistemi di
monitoraggio della salute
Si tratta di un vero e proprio
TRACCIAMENTO degli individui

DirICTo
Quando il tracciamento riguarda
Dati sensibili
una volta che si saranno sviluppati sensori capaci di essere
supportati da vettori delle dimensioni di granelli di polvere, sarà
possibile creare delle medicine realmente “smart”, che
dialogheranno con la confezione riguardo i dosaggi da assumere, ad
esempio segnalando eventuali sovradosaggi, o direttamente con il
farmacista, avvisando la necessità di un nuovo acquisto.
Possibile applicazione
al settore farmaceutico
Massimo Farina
INOLTRE --------------> NEL PROSSIMO FUTURO
I medicinali, una volta nel corpo del paziente potranno “dialogare”
anche tra loro, riconoscendo autonomamente se risultano
incompatibili l’uno con l’altro, ed evitando dunque di attivare i propri
principi attivi al fine di evitare rischi molto seri per la salute del
paziente. Altre applicazioni si possono avere in caso di danni già
arrecati alla salute del paziente, poiché identificare le sostanze
presenti nel corpo sarà molto più facile e veloce, ed eventualmente
le stesse sostanze potranno fornire indicazioni immediate
sull’antidoto capace di neutralizzarle .

DirICTo
Gerusalemme, 27-29 Ottobre:
Risoluzione sulla “Privacy by
25 gennaio
Proposta di
REGOLAMENTO DEL PARLAMENTO
EUROPEO E DEL CONSIGLIO
concernente la tutela delle persone
Contesto “normativo” di riferimento
Design” adottata durante la 32^
Conferenza internazionale dei
Garanti privacy
Massimo Farina
fisiche con riguardo al trattamento
dei dati personali e la libera
circolazione di tali dati (regolamento
generale sulla protezione dei dati)

DirICTo
CONTESTO NAZIONALE
Decreto legislativo 30 giugno 2003, n. 196
CODICE IN MATERIA DI PROTEZIONE DEI DATI
PERSONALI
Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa
alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché
alla libera circolazione dei dati
Massimo Farina

DirICTo
Impatto con la disciplina attualmente vigente
(adempimenti)
SOGGETTI
TTIITTOOLLAARREE
RREESSPPOONNSSAABBIILLEE
ADEMPIMENTI
Massimo Farina
INTERESSATO
NNOOTTIIFFIICCAAZZIIOONNEE
CCOONNSSEENNSSOO
IINNFFOORRMMAATTIIVVAA
GARANTE

DirICTo
Art. 37, co. 1, lett. a): dati genetici, biometrici o dati che
indicano la posizione geografica di persone od oggetti
mediante una rete di comunicazione elettronica;
Art. 163: Chiunque, essendovi tenuto, non provvede
tempestivamente alla notificazione ai sensi degli articoli 37 e
38, ovvero indica in essa notizie incomplete, è punito con la
sanzione amministrativa del pagamento di una somma da
CCOONNSSEENNSSOO
Massimo Farina
ventimila euro a centoventimila euro
Art. 23, co. 4: Il consenso è manifestato in forma scritta
quando il trattamento riguarda dati sensibili.
Art. 167. […] è punito, se dal fatto deriva nocumento, con la
reclusione da sei a diciotto mesi o, se il fatto consiste nella
comunicazione o diffusione, con la reclusione da sei a
ventiquattro mesi.

DirICTo
Art. 13 L'interessato o la persona presso la quale sono
raccolti i dati personali sono previamente informati oralmente
o per iscritto circa:
a) le finalità e le modalità del trattamento cui sono destinati i
dati;
b) la natura obbligatoria o facoltativa del conferimento dei
dati;
c) le conseguenze di un eventuale rifiuto di rispondere;
Massimo Farina
d) i soggetti o le categorie di soggetti ai quali i dati personali
possono essere comunicati o che possono venirne a
conoscenza in qualità di responsabili o incaricati, e l'ambito di
diffusione dei dati medesimi;
e) i diritti di cui all'articolo 7;
Art. 161: La violazione delle disposizioni di cui all'articolo 13 è
punita con la sanzione amministrativa del pagamento di una
somma da seimila euro a trentaseimila euro.

DirICTo
IINNTTEERRPPEELLLLOO
Per i trattamenti di dati di localizzazione che possono
presentare rischi specifici per i diritti e le libertà
fondamentali, nonché per la dignità degli interessati è
sempre possibile sottoporsi a verifica preliminare ai
sensi dell'art. 17, comma 2 del Codice.
Massimo Farina

DirICTo
Art. 37, co. 1, lett. d): d) dati trattati con l'ausilio di strumenti
elettronici volti a definire il profilo o la personalità
dell'interessato, o ad analizzare abitudini o scelte di consumo,
ovvero a monitorare l'utilizzo di servizi di comunicazione
elettronica […];
Art. 163: Chiunque, essendovi tenuto, non provvede tempestivamente alla
notificazione ai sensi degli articoli 37 e 38, ovvero indica in essa notizie
incomplete, è punito con la sanzione amministrativa del pagamento di una
somma da ventimila euro a centoventimila euro
CCOONNSSEENNSSOO
Massimo Farina
Art. 23, co. 4: Il consenso è manifestato in forma scritta
quando il trattamento riguarda dati sensibili.
Art. 167. […] è punito, se dal fatto deriva nocumento, con la
reclusione da sei a diciotto mesi o, se il fatto consiste nella
comunicazione o diffusione, con la reclusione da sei a ventiquattro
mesi.

DirICTo
Art. 13 L'interessato o la persona presso la quale sono raccolti i dati personali
sono previamente informati oralmente o per iscritto circa:
a) le finalità e le modalità del trattamento cui sono destinati i dati;
b) la natura obbligatoria o facoltativa del conferimento dei dati;
c) le conseguenze di un eventuale rifiuto di rispondere;
d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere
comunicati o che possono venirne a conoscenza in qualità di responsabili o
incaricati, e l'ambito di diffusione dei dati medesimi;
e) i diritti di cui all'articolo 7;
Art. 161: La violazione delle disposizioni di cui all'articolo 13 è
punita con la sanzione amministrativa del pagamento di una
somma da seimila euro a trentaseimila euro.
Massimo Farina

DirICTo
Impatto con la disciplina attualmente vigente
(aspetti soggettivi)
TTIITTOOLLAARREE
RREESSPPOONNSSAABBIILLEE
Possibile disgiunzione di ruoli
tra chi raccogli e i dati e chi offre
e gestisce il servizio di raccolta
DATI SENSIBILI
Massimo Farina
MISURE DI
SICUREZZA

DirICTo
CONTESTO
INTERNAZIONALE
Gerusalemme, 27-29 Ottobre:
La 32^ Conferenza internazionale
dei Garanti privacy ha adottato
una risoluzione sulla Privacy by
Design
Encourage the adoption of Privacy by
Design’s Foundational Principles, such
as those set out below as guidance to
establishing privacy as an
organization’s default mode of
operation…
Privacy by Design:
The Foundational Principles
Proactive not Reactive; Preventative not
Remedial
Privacy as the Default
Privacy Embedded into Design
Full Functionality: Positive-Sum, not Zero-
Sum
End-to-End Lifecycle Protection
Visibility and Transparency
Respect for User Privacy
Massimo Farina
SETTORI IINTERESSATI
Sistemi IT
Pratiche commerciali corrette
(responsabili) – la privacy non è
finalizzata a se stessa
Progettazione fisica (costruzioni)

DirICTo
I sette principi fondamentali (fondazionali)
1. Proattivo non reattivo; prevenire non correggere
L’approccio alla Privacy by Design (PbD) è caratterizzato da interventi di tipo proattivo
piuttosto che reattivo.
Esso anticipa e previene gli eventi invasivi della privacy prima che essi accadano. La
Privacy by Design non attende che i rischi della privacy si concretizzano, né offre
rimedi per risolvere le violazioni della privacy una volta occorse – ha lo scopo di
prevenirli dal verificarsi. In breve, la Privacy by Design viene prima del fatto e non
dopo.
2. Privacy come impostazione di default
Possiamo tutti essere certi di una cosa - la regola di base ! La Privacy by Design cerca
di realizzare il massimo livello di privacy assicurando che i dati personali sono
automaticamente protetti in un qualunque sistema IT o di pratica commerciale. Se un
individuo non fa nulla, la sua privacy rimane ancora intatta. Non è richiesta alcuna
azione da parte dell’individuo per proteggere la propria privacy - è incorporata nel
sistema per default.
Massimo Farina

DirICTo
3. Privacy incorporata nella progettazione
La PbD è incorporata nella progettazione e nell’architettura dei sistemi IT e delle
pratiche commerciali. Non è agganciata come un’aggiunta, dopo il fatto. Il risultato è che
la privacy diventa un componente essenziale per la realizzazione del nucleo funzionale.
La privacy è integrata nel sistema, senza diminuirne la funzionalità.
4. Massima funzionalità − Valore positivo, non valore zero
La Privacy by Design mira a conciliare tutti gli interessi legittimi e gli obiettivi con
modalità di valore positivo “vantaggioso per tutti”, non attraverso un approccio datato di
valore zero, dove sono inutili i compromessi.
La Privacy by Design evita la pretesa di false dicotomie, come la privacy contro la
sicurezza, dimostrando che è possibile avere entrambi.
Massimo Farina

DirICTo
5. Sicurezza fino alla fine − Piena protezione del ciclo vitale
La Privacy by Design essendo stata incorporata nel sistema prioritariamente rispetto alla
acquisizione del primo elemento di informazione, si estende in modo sicuro attraverso
l’intero ciclo vitale dei dati - solidi interventi di sicurezza sono essenziali per la privacy,
dall’inizio alla fine. Questo assicura che tutti i dati sono conservati con cura, e poi
distrutti in modo sicuro alla fine del processo, in maniera opportuna. Pertanto, la Privacy
by Design assicura dalla culla alla tomba, un’intera e sicura gestione delle informazioni,
fino alla fine.
6. Visibilità e trasparenza − Mantenere la trasparenza
La Privacy by Design cerca di assicurare che tutti i soggetti interessati, qualunque sia la
prassi aziendale o tecnologia utilizzata, è di fatto, operativa secondo promesse ed
obiettivi stabiliti, soggetti a verifica indipendente.
I suoi componenti e operazioni restano visibili e trasparenti sia agli utenti sia ai fornitori.
Si ricorda di fidarsi ma di verificare.
Massimo Farina

DirICTo
7. Rispetto per la privacy dell’utente − Centralità dell’utente
Al di là di tutto, la Privacy by Design richiede ai progettisti e agli operatori di considerare
prioritari gli interessi degli individui offrendo efficaci interventi di default della privacy,
informazioni appropriate e potenziando opzioni di facile utilizzo per l’utente. Si
raccomanda la centralità dell’utente.
Massimo Farina

DirICTo
pubblicata una Comunicazione della Commissione al Parlamento
Europeo, al Consiglio, al Comitato economico e sociale europeo e al
Comitato delle regioni, intitolata L'internet degli oggetti - Un piano
d'azione per l'Europa (COM(2009) 278 def. COM(2009) 278 final).
(15 giugno) Risoluzione del Parlamento d'Europa che dispone che
l’Internet delle cose debba viaggiare in parallelo con la tutela della
privacy degli utenti, oltre che con un generale stato di sicurezza sui
possibili effetti negativi sulla salute. In tal senso, i campi d’azione sui
quali l’Unione Europea vuole essere protagonista sono: governance,
privacy e protezione dei dati, diritto al “silenzio dei chip”, rischi
emergenti, risorse vitali, standardizzazione, ricerca, partnership tra
pubblico e privato, innovazione, consapevolezza delle istituzioni,
dialogo internazionale, ambiente, statistica, evoluzione.
Massimo Farina

DirICTo
IL PROSSIMO REGOLAMENTO EUROPEO
ARTICLE 23 – DATA PROTECTION BY DESIGN AND BY DEFAULT
1. Having regard to the state of the art and the cost of implementation, the controller
shall, both at the time of the determination of the means for processing and at the time
of the processing itself, implement appropriate technical and organisational measures
and procedures in such a way that the processing will meet the requirements of this
Regulation and ensure the protection of the rights of the data subject.
2. The controller shall implement mechanisms for ensuring that, by default, only those
personal data are processed which are necessary for each specific purpose of the
processing and are especially not collected or retained beyond the minimum necessary
for those purposes, both in terms of the amount of the data and the time of their
storage. In particular, those mechanisms shall ensure that by default personal data are
not made accessible to an indefinite number of individuals.
3. The Commission shall be empowered to adopt delegated acts in accordance with Article
86 for the purpose of specifying any further criteria and requirements for appropriate
measures and mechanisms referred to in paragraph 1 and 2, in particular for data
protection by design requirements applicable across sectors, products and services.
4. The Commission may lay down technical standards for the requirements laid down in
paragraph 1 and 2. Those implementing acts shall be adopted in accordance with the
examination procedure referred to in Article 87.
Massimo Farina

DirICTo
introduce, uno specifico riferimento a
“data protection (NON PRIVACY) by design and by default” (articolo 23).
La Commissione europea ha preferito descrivere le funzioni del responsabile del
trattamento e non lo status giuridico della
“data protection by design and by default”.
Approccio orientato all’uso di determinate tecnologie per garantire la privacy
(di orientamento maggiormente commerciale???)
Massimo Farina

DirICTo
DIFFERENZE TRA
CONTESTO EUROPEO e INTERNAZIONALE
STANDARD OLTRE GLI ACCORDI
Massimo Farina

DirICTo
PRIVACY SICUREZZA
Il rispetto della privacy presuppone sicurezza
Il perseguimento della sola sicurezza non garantisce la privacy
Massimo Farina

DirICTo
La Pubblica Amministrazione riveste ruoli importanti in questo scenario essendo:
promotore di interventi coordinandone lo sviluppo, svolge compiti di integrazione delle
diverse iniziative, detentore di dati ed informazioni rilevanti in quantità e qualità, utente
qualificato dei servizi offerti dalle comunità intelligenti, soggetto finanziatore di servizi e
delle infrastrutture a loro supporto, fino a possibile partner degli operatori del settore.
NESSUN RIFERIMENTO A PRIVACY BY DESIGN
Da parte di molte Amministrazioni, quali soprattutto gli Enti Locali e le realtà collegate, è
emerso l’interesse per una migliore comprensione delle problematiche tecnologiche,
organizzative, economiche e legali legate all’adozione di modelli e servizi di comunità
intelligenti e smart city.
Massimo Farina

DirICTo
DigitPA ha costituito un Gruppo di Lavoro con l’obiettivo di condurre l’analisi dello stato dell’arte,
i modelli di servizi e competenze, le necessità di regolazione e normativa e gli eventuali rischi legati
al paradigma delle Smart city e comunità intelligenti, con particolare attenzione ai requisiti della
Pubblica Amministrazione, al fine di proporre un documento di sintesi ed una serie di
raccomandazioni per le Amministrazioni.
Partecipano al Gruppo di Lavoro rappresentanti nominati dal Ministero dell’Istruzione, dell’
Università e della Ricerca Scientifica, del CNR, dell’ Arma dei Carabinieri, dell’Autorità Garante per
la Protezione dei Dati Personali, della RAI, e rappresentanti nominati dagli operatori di mercato
come Assintel, IBM, Telecom Italia, CapGemini, CISCO, Technolabs ed altri.
Lo schema di documento è stato sottoposto a consultazione pubblica durante il mese di
agosto 2012. Sono state ricevute diverse osservazioni che, sono state valutate e recepite nel testo.
Il 2 ottobre 2012 il Gruppo di lavoro ha fatto proprie all’unanimità le modifiche del testo e lo ha
proposto alla Agenzia per l’emanazione e pubblicazione.
Massimo Farina

DirICTo
Il risultato della consultazione è un documento che si chiama:
“Architetture informative per le Comunità Intelligenti: visione concettuale
e raccomandazioni alla pubblica amministrazione”
•Architettura di riferimento del modello
delle Comunità Intelligenti e Smart
City;
•individuazione, classificazione e
stratificazione tra sorgenti informative;
•aggregazione e distribuzione delle
informazioni;
•livelli di interfacce standard da
definire.
Massimo Farina
la legge di conversione del d.l. 179/2012
ha recepito le indicazioni contenute nel
documento che definisce il contesto di
riferimento per la costruzione della
Piattaforma nazionale delle comunità
intelligenti (art.20, comma 9 del d.l.
179/2012) e fornisce elementi utili per una
visione integrata e coerente del paradigma
Smart City.

DirICTo
Aspetti negoziali: i contratti per l’erogazione dei servizi
Diritto alla salute: il silenzio dei chip
ecc
Massimo Farina

DirICTo
Grazie per l’attenzione
http://www.massimofarina.it
http://www.diricto.it
Massimo Farina
http://ict4forensics.diee.unica.it
massimo@massimofarina.it

DirICTo
Attribuzione - Non Commerciale - Condividi allo stesso modo 2.5
Tu sei libero:
di riprodurre, distribuire, comunicare al pubblico, esporre in pubblico, rappresentare, eseguire o
recitare l'opera
di creare opere derivate
Alle seguenti condizioni:
LICENZA
Attribuzione. Devi riconoscere il contributo dell'autore originario.
Non commerciale. Non puoi usare quest’opera per scopi commerciali.
Condividi allo stesso modo. Se alteri, trasformi o sviluppi quest’opera, puoi
distribuire l’opera risultante solo per mezzo di una licenza identica a questa.
In occasione di ogni atto di riutilizzazione o distribuzione, devi chiarire agli altri i termini della licenza
di quest’opera.
Se ottieni il permesso dal titolare del diritto d'autore, è possibile rinunciare ad ognuna di queste
condizioni.
Le tue utilizzazioni libere e gli altri diritti non sono in nessun modo limitati da quanto sopra
Massimo Farina

Smart Cities e trattamento di dati personali: dal Codice della Privacy al Regolamento Europeo

Recommended

Recommended

More Related Content

Similar to Smart Cities e trattamento di dati personali: dal Codice della Privacy al Regolamento Europeo

Similar to Smart Cities e trattamento di dati personali: dal Codice della Privacy al Regolamento Europeo (20)

More from Massimo Farina

More from Massimo Farina (20)

Smart Cities e trattamento di dati personali: dal Codice della Privacy al Regolamento Europeo