La privacy sul web e sui social media e il diritto all’oblio (sett. 2021)

Avv. Simone Aliprandi, Ph.D. – Progetto Copyleft-Italia.it / Array
www.copyleft-italia.it – www.aliprandi.org – www.array.eu
____________________________________
Università di Bologna – 10 settembre 2021
La privacy sul web e sui social media
e il diritto all’oblio
Avv. Simone Aliprandi, Ph.D.

Avv. Simone Aliprandi, Ph.D. – Copyright-Italia.it / Array Law Firm
www.copyright-italia.it – www.aliprandi.org – www.array.eu
i miei riferimenti in rete:
• Il mio sito web: www.aliprandi.org
• Array Law Firm: www.array.eu
• Blog: http://aliprandi.blogspot.it
• Facebook: www.facebook.com/simone.aliprandi.page/
• Twitter: @simonealiprandi
• SlideShare: www.slideshare.net/simonealiprandi/
Università di Bologna, 10 settembre 2021 – La privacy sul web e sui social media e il diritto all’oblio

parte 0
Introduzione

●
Il problema dell’oblio (in generale)
●
Caso Google Autocomplete
●
Il cosiddetto “effetto Barbra Streisand”
●
Il triste caso di Tiziana Cantone
Internet: memoria eterna?

parte 1
La privacy:
scenario di riferimento e principi generali

privacy = riservatezza
diritto alla privacy = diritto alla tutela
della propria sfera privata
“the right to be let alone”
ovvero il diritto di essere lasciati in pace
(vedi formulazione proposta da Louis Brandeis nel 1890 con
l'articolo The Right To Privacy su Harvard Law Review)
il concetto di privacy

privacy → concetto più ampio,
legato alla sfera giuridica e dei diritti della persona
sicurezza → concetto legato più che altro
alla sfera tecnologica, ma ha comunque
ripercussioni sulla riservatezza
→ infatti proteggere i dati significa anche proteggerli
contro trattamenti illeciti, cioè trattamenti privi di base
giuridica o non sorretti dal consenso o compiuti da
soggetti non legittimati
privacy e sicurezza dei dati
non sono sinonimi

sicurezza informatica
fattori tecnici
(adozione di appositi sistemi
hardware e software)
+
fattori umani
(comportamenti corretti, che
prevengono/non espongono a rischi)

Art. 8 - Carta dei diritti fondamentali Unione Europea (Nizza, 2000)
“Ogni individuo ha diritto alla protezione dei dati di carattere
personale che lo riguardano.
Tali dati devono essere trattati secondo il principio di lealtà,
per finalità determinate e in base al consenso della persona
interessata o a un altro fondamento legittimo previsto dalla
legge. Ogni individuo ha il diritto di accedere ai dati raccolti
che lo riguardano e di ottenerne la rettifica.
Il rispetto di tali regole è soggetto al controllo di un'autorità
indipendente.”
privacy: diritto fondamentale

L’anello debole è nei
comportamenti umani
e nel basso livello di
consapevolezza

●
L. 675/1996: Tutela delle persone e di altri soggetti rispetto
al trattamento dei dati personali → non più in vigore
●
D. Lgs. 196/2003: Codice in materia di protezione
dei dati personali
●
Regolamento UE 2016/679 (c.d. GDPR) relativo alla protezione
delle persone fisiche con riguardo al trattamento dei
dati personali, nonché alla libera circolazione di tali dati e
che abroga la direttiva 95/46/CE (Regolamento generale
sulla protezione dei dati) → in vigore dal 24/05/2016
→ → direttamente applicabile dal 25/05/2018
Il quadro normativo

parte 2
Definizioni e concetti chiave

qualsiasi informazione riguardante una persona fisica
identificata o identificabile («interessato»);
si considera identificabile la persona fisica che può essere
identificata, direttamente o indirettamente, con particolare
riferimento a un identificativo come il nome, un numero di
identificazione, dati relativi all'ubicazione, un identificativo online
o a uno o più elementi caratteristici della sua identità fisica,
fisiologica, genetica, psichica, economica, culturale o sociale;
definizione di dato personale
Art. 4 (punto 1) GDPR

L’espressione “dati sensibili” è spesso usata in modo improprio.
“Dati sensibili” NON è un sinonimo di “dati personali” come
purtroppo molti pensano; i dati sensibili rappresentano un
sottoinsieme dei dati personali, cioè quelli riguardanti sfere
particolarmente delicate dell’identità e della vita privata della
persona (stato di salute, etnia, religione, abitudini sessuali,
convinzioni politiche, etc.). Inoltre il termine non è nemmeno più
utilizzato nel GDPR, il quale parla di “dati particolari”, in quanto
soggetti a una tutela particolare.
Altre categorie di dati definite dal GDPR
→ dati genetici; dati biometrici
dati sensibili ≠ dati personali

L'interessato (data subject) al trattamento è
la persona fisica a cui si riferiscono i dati personali.
L'interessato, inoltre, può essere solo una persona fisica,
e non una persona giuridica, un ente o un'associazione.
Chi è l’interessato?
(Considerando n. 19 del GDPR)

qualsiasi operazione o insieme di operazioni, compiute con o
senza l'ausilio di processi automatizzati e applicate a dati
personali o insiemi di dati personali, come la raccolta, la
registrazione, l'organizzazione, la strutturazione, la conservazione,
l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la
comunicazione mediante trasmissione, diffusione o qualsiasi altra
forma di messa a disposizione, il raffronto o l'interconnessione, la
limitazione, la cancellazione o la distruzione;
La normativa vigente (in particolare artt. 5 e 6 GDPR)
stabilisce in quali termini il trattamento è considerato lecito.
definizione di trattamento (di dati personali)

la persona fisica o giuridica, l'autorità pubblica,
il servizio o altro organismo che, singolarmente o
insieme ad altri, determina le finalità e i mezzi del
trattamento di dati personali;
definizione di titolare del trattamento
[eng. → data controller]

la persona fisica o giuridica, l'autorità pubblica,
il servizio o altro organismo che tratta dati personali
per conto del titolare del trattamento;
definizione di responsabile del trattamento
[eng. → data processor]
NB: da non confondere con il Responsabile della
Protezione dei dati (anche detto DPO)

È un professionista incaricato di sorvegliare l’osservanza delle
disposizioni in materia di protezione dei dati personali nelle
imprese e negli enti e individuato in funzione delle qualità
professionali e della conoscenza specialistica della normativa e
della prassi in materia di protezione dati.*
È una figura introdotta dal GDPR. I suoi compiti sono definiti
dall’art. 39 GDPR. Solo le aziende di certe dimensioni e con
alcune caratteristiche sono obbligate a nominare un DPO;
mentre per gli enti pubblici è obbligatorio (art. 37, par.1).
la figura del Data Protection Officer (DPO)
- in italiano Responsabile Protezione Dati (RPD) -
* definizione tratta da www.agendadigitale.eu/cittadinanza-digitale/gdpr-tutto-cio-
che-ce-da-sapere-per-essere-preparati/ [link]

parte 3
Le basi giuridiche del trattamento

“Base giuridica” nel senso di condizione che rende lecito
il trattamento.
Il trattamento è lecito solo se e nella misura in cui ricorre
almeno una delle seguenti condizioni: … [continua]
le sei “basi giuridiche” del trattamento
Art. 6 GDPR

a) l'interessato ha espresso il consenso al trattamento dei propri
dati personali per una o più specifiche finalità;
b) il trattamento è necessario all'esecuzione di un contratto di cui
l'interessato è parte o all'esecuzione di misure precontrattuali
adottate su richiesta dello stesso;
c) il trattamento è necessario per adempiere un obbligo legale al
quale è soggetto il titolare del trattamento;
d) il trattamento è necessario per la salvaguardia degli interessi
vitali dell'interessato o di un'altra persona fisica; [continua]
Art. 6 GDPR

e) il trattamento è necessario per l'esecuzione di un compito di
interesse pubblico o connesso all'esercizio di pubblici poteri di cui
è investito il titolare del trattamento;
f) il trattamento è necessario per il perseguimento del legittimo
interesse del titolare del trattamento o di terzi, a condizione che
non prevalgano gli interessi o i diritti e le libertà fondamentali
dell'interessato che richiedono la protezione dei dati personali, in
particolare se l'interessato è un minore.
[non si applica al trattamento di dati effettuato dalle autorità
pubbliche nell'esecuzione dei loro compiti]
Art. 6 GDPR

Caso 1: Sul vostro sito mettete un form per iscriversi alla vostra
newsletter e ricevere aggiornamenti sulle vostre iniziative
→ base giuridica: consenso (Art. 6, lettera A)
Caso 2: Sul vostro sito avete una procedura con cui gli utenti
possono acquistare delle videolezioni o dei gadget
→ base giuridica: contratto (Art. 6, lettera B)
Art. 6 GDPR

●
Archivi pubblici (ma anche archivi privati riconosciuti di
interesse pubblico)→ Art. 6, lettera C (obbligo di legge)
oppure Art. 6, lettera E (interesse pubblico)
●
Archivi privati → [tendenzialmente] Art. 6, lettera F (legittimo
interesse del titolare del trattamento)
La domanda delicata da farsi:
qual è la base giuridica che rende legittima
la vostra attività di archiviazione?
NOTA: la questione è ancora dibattuta; per approfondimenti vedi
“La tutela degli archivi privati nell’era del GDPR: le norme da
conoscere”, articolo di Mariella Guercio (agendadigitale.eu)

La definizione del GDPR Art. 4:
qualsiasi manifestazione di volontà libera, specifica, informata
e inequivocabile dell'interessato, con la quale lo stesso
manifesta il proprio assenso, mediante dichiarazione o
azione positiva inequivocabile, che i dati personali che lo
riguardano siano oggetto di trattamento.
Secondo il “Considerando 32”, il consenso dovrebbe essere
espresso mediante un atto positivo inequivocabile con il quale
l'interessato manifesta l'intenzione libera, specifica, informata e
inequivocabile di accettare il trattamento dei dati personali che
lo riguardano, ad esempio mediante dichiarazione scritta, anche
attraverso mezzi elettronici, o orale.
il consenso al trattamento

parte 4
I diritti dell’interessato

●
Diritto di essere informato (in maniera completa e trasparente)
sul trattamento che verrà fatto dei suoi dati → art. 13-14
[vedi parte sull’informativa]
●
Diritto di accesso ai dati oggetto di trattamento → art. 15
●
Diritti di ottenere la rettifica dei dati → art. 16
●
Diritto alla cancellazione (c.d. diritto all’oblio) → art. 17
●
Diritto di limitazione al trattamento → art. 18
●
Diritto alla portabilità dei dati → art. 20
●
Diritto di opposizione al trattamento → art. 21
I diritti dell’interessato secondo il GDPR

1. L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma
che sia o meno in corso un trattamento di dati personali che lo riguardano e in
tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:
a) le finalità del trattamento;
b) le categorie di dati personali in questione;
c) i destinatari […] a cui i dati personali sono stati o saranno comunicati […];
d) il periodo di conservazione dei dati personali previsto oppure i criteri utilizzati
per determinare tale periodo;
e) l'esistenza del diritto di chiedere al titolare del trattamento la rettifica o la
cancellazione dei dati personali o la limitazione del trattamento dei dati
personali o di opporsi al loro trattamento;
f) il diritto di proporre reclamo a un'autorità di controllo;
g) qualora i dati non siano raccolti presso l'interessato, tutte le informazioni
disponibili sulla loro origine;
h) l'esistenza di un processo decisionale automatizzato, compresa la
profilazione; […]
Il diritto di accesso (art. 15 GDPR)

L'interessato ha il diritto di ottenere dal titolare del trattamento
la rettifica dei dati personali inesatti che lo riguardano senza
ingiustificato ritardo. Tenuto conto delle finalità del
trattamento, l'interessato ha il diritto di ottenere l'integrazione
dei dati personali incompleti, anche fornendo una
dichiarazione integrativa.
Il diritto di rettifica (art. 16 GDPR)

1. L'interessato ha il diritto di ottenere dal titolare del trattamento la
cancellazione dei dati personali che lo riguardano senza ingiustificato
ritardo […] se sussiste uno dei motivi seguenti:
a) i dati personali non sono più necessari rispetto alle finalità per le quali
sono stati raccolti o altrimenti trattati;
b) l'interessato revoca il consenso su cui si basa il trattamento […] e se
non sussiste altro fondamento giuridico per il trattamento;
c) l'interessato si oppone al trattamento ai sensi dell'articolo 21 […];
d) i dati personali sono stati trattati illecitamente;
e) i dati personali devono essere cancellati per adempiere un obbligo
giuridico previsto dalla legge cui è soggetto il titolare del trattamento;
f) i dati personali sono stati raccolti relativamente all'offerta di servizi
della società dell'informazione di cui all'articolo 8, paragrafo 1 [dati di
soggetti minori]
Il diritto alla cancellazione (art. 17 GDPR)

parte 5
Il principio di responsabilizzazione:
privacy by default e privacy by design

Il GDPR pone con forza l'accento sulla "responsabilizzazione"
(accountability) di titolari e responsabili, ossia sull'adozione di
comportamenti proattivi e tali da dimostrare la concreta adozione
di misure finalizzate ad assicurare il rispetto delle norme. Si tratta
di una grande novità per la protezione dei dati in quanto viene
affidato ai titolari il compito di decidere autonomamente le
modalità, le garanzie e i limiti del trattamento dei dati personali,
nel rispetto delle disposizioni normative e alla luce di alcuni criteri
specifici indicati nel GDPR. [fonte: garanteprivacy.it]
→ vedi principio fondamentale "privacy by default and by design"
norme di riferimento: articoli 24 e 25 GDPR
la rivoluzione del GDPR: il principio
di responsabilizzazione (accountability)

1. Tenuto conto della natura, dell'ambito di applicazione, del
contesto e delle finalità del trattamento, nonché dei rischi
aventi probabilità e gravità diverse per i diritti e le libertà delle
persone fisiche, il titolare del trattamento mette in atto misure
tecniche e organizzative adeguate per garantire, ed essere in
grado di dimostrare, che il trattamento è effettuato
conformemente al presente regolamento. Dette misure sono
riesaminate e aggiornate qualora necessario.
Articolo 24 GDPR
(Responsabilità del titolare del trattamento)

1. […] sia al momento di determinare i mezzi del trattamento
sia all'atto del trattamento stesso, il titolare del trattamento
mette in atto misure tecniche e organizzative adeguate, quali
la pseudonimizzazione, volte ad attuare in modo efficace i
principi di protezione dei dati, quali la minimizzazione, e a
integrare nel trattamento le necessarie garanzie al fine di
soddisfare i requisiti del presente regolamento e tutelare i
diritti degli interessati. [continua]
Articolo 25 GDPR
(Protezione dei dati fin dalla progettazione e
protezione dei dati per impostazione predefinita)

2. Il titolare del trattamento mette in atto misure tecniche e
organizzative adeguate per garantire che siano trattati, per
impostazione predefinita, solo i dati personali necessari per
ogni specifica finalità del trattamento. Tale obbligo vale per la
quantità dei dati personali raccolti, la portata del trattamento,
il periodo di conservazione e l'accessibilità. In particolare,
dette misure garantiscono che, per impostazione predefinita,
non siano resi accessibili dati personali a un numero indefinito
di persone fisiche senza l'intervento della persona fisica.
Articolo 25 GDPR
(Protezione dei dati fin dalla progettazione e
protezione dei dati per impostazione predefinita)

parte 6
Privacy e attività di archiviazione:
le norme specifiche

●
Art. 89 GDPR – Garanzie e deroghe relative al trattamento a fini di
archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini
statistici [+ il Considerando 156 e il Considerando 158]
●
Art. 9 lett. J GDPR (trattamento di dati particolari a fini di archiviazione)
●
Art. 2-sexies Codice Privacy – Trattamento di categorie particolari di dati
personali necessario per motivi di interesse pubblico rilevante.
●
Art. 2-terdecies Codice Privacy – Diritti riguardanti le persone decedute
●
Regole deontologiche per il trattamento a fini di archiviazione nel pubblico
interesse o per scopi di ricerca storica → vedi testo
Le norme vigenti da tenere presenti

1. Il trattamento a fini di archiviazione nel pubblico interesse, di ricerca
scientifica o storica o a fini statistici è soggetto a garanzie adeguate per i
diritti e le libertà dell'interessato, in conformità del presente regolamento.
Tali garanzie assicurano che siano state predisposte misure tecniche e
organizzative, in particolare al fine di garantire il rispetto del principio
della minimizzazione dei dati. Tali misure possono includere la
pseudonimizzazione, purché le finalità in questione possano essere
conseguite in tal modo. Qualora possano essere conseguite attraverso il
trattamento ulteriore che non consenta o non consenta più di identificare
l'interessato, tali finalità devono essere conseguite in tal modo. […]
Art. 89 del GDPR (Reg. 679/2016/UE)
Garanzie e deroghe relative al trattamento a fini di archiviazione nel
pubblico interesse, di ricerca scientifica o storica o a fini statistici

1. Le presenti regole sono volte a garantire che l’utilizzazione di dati di
carattere personale acquisiti nell’esercizio della libera ricerca storica e
del diritto allo studio e all’informazione, nonché nell’accesso ad atti e
documenti, si svolga nel rispetto dei diritti, delle libertà fondamentali e
della dignità delle persone interessate, in particolare del diritto alla
riservatezza e del diritto all´identità personale.
2. Le presenti regole riguardano i trattamenti di dati personali effettuati
per scopi storici in relazione ai documenti conservati presso archivi delle
pubbliche amministrazioni, enti pubblici ed archivi privati dichiarati di
notevole interesse storico. Le regole deontologiche si applicano, senza
necessità di sottoscrizione, all’insieme dei trattamenti di dati personali
comunque effettuati dagli utenti per scopi storici. […]
Art. 1 delle Regole Deontologiche

parte 7
Le privacy policy di Facebook e LinkedIn

Link:
https://www.facebook.com/policy

Link:
https://it.linkedin.com/legal/privacy-policy?

di Simone Aliprandi
orsù seguitemi
• Twitter: @simonealiprandi
https://twitter.com/simonealiprandi
• Pagina Facebook:
www.facebook.com/simone.aliprandi.page/
• Profilo LinkedIn:
https://it.linkedin.com/in/aliprandi/

grazie per l'attenzione
slides rilasciate sotto licenza
Creative Commons Attribution – Share Alike 4.0

La privacy sul web e sui social media e il diritto all’oblio (sett. 2021)

More Related Content

What's hot

Similar to La privacy sul web e sui social media e il diritto all’oblio (sett. 2021)

More from Simone Aliprandi

La privacy sul web e sui social media e il diritto all’oblio (sett. 2021)