Vita on line e sicurezza dei dati ai tempi del coronavirus

Il nemico invisibile ha costretto tutti a restare a casa. E qui, nell’inedia assoluta, è esplosa una dipendenza generalizzata, specie dei più giovani, dal mondo on line, che li trasformati tutti in consumatori seriali di contenuti online.
Il consumo è salito in modo esponenziale; e, di pari passo, la quantità e la qualità delle nostre tracce sulla rete, nonché il numero dei soggetti pronti ad approfittarne.

Chiusi in cattività i consumatori non hanno più prestato particolare attenzione alle potenziali minacce e ai rischi che correvano.

D’altronde il “lockdown” ha imposto restrizioni tali che ridurre la lista di app/programmi/portali/servizi che collegano verso l’esterno per ragioni di prudenza è parso ai più inaccettabile.

La storia racconta che le minacce erano reali e che a poco sono valsi gli sforzi delle autorità per contrastarli aumentando i controlli e gli interventi sanzionatori.

Il “punctum dolens” evocato in questo frangente – visti gli attacchi e i disservizi subiti da piattaforme didattiche, enti previdenziali e strumenti di comunicazione – è stato la privacy.

La normativa sulla protezione dei dati personali è in effetti attinente, e anche condivisibile quando rende obbligatorio ciò cui ogni soggetto gestore, se in piena buona fede, dovrebbe sentirsi obbligato: proteggere ciò che gli è stato affidato.

Tuttavia, la normativa sulla privacy – rispetto ad altri meccanismi giuridici di prevenzione rischi e di tutela della “parte debole” in un rapporto contrattuale – ha una forte peculiarità.
Essa non impone al “titolare del trattamento dei dati” solo l’obbligo di informare l’utenza di certi contenuti fissi di garanzia e trasparenza (come avviene ad esempio per i contratti bancari, assicurativi, del turismo, del consumatore), ma anche quello di trovare il modo migliore, caso per caso, di assicurare la massima probabilità che l’utente di ogni fascia di età capisca effettivamente cosa sta succedendo, quali sono i suoi diritti e come fare per esercitarli.

È questa una bella peculiarità, che contiene in sé oltre ad taglio quasi educativo, uno scopo sociale ideale: far crescere l’utente e il cittadino; essa tuttavia non coincide con gli interessi propri dei “titolari del trattamento” (che questi siano imprese, soggetti del terzo settore o professionisti) che fanno il possibile per eluderla, sostenendo che, visto che le previsioni sulla privacy regolano già l’esigenza di sicurezza dei dati personali condivisa da tutti, non si comprende perché un Titolare del trattamento dovrebbe andare oltre?

Un esempio emblematico è l’informativa del trattamento. Per un Titolare, redigerne una che sia compliant è un costo. Rilasciarne una poi che risulti addirittura allettante da leggere e che stimoli la piena comprensione dell’utente raddoppia quel costo, e triplica i rischi.

Infatti:
1) Un documento veramente “user friendly” è più complesso da aggiornare, con un maggior rischio di incomprensioni e lacune.

2) Un utente così consapevole è più pronto a rilevare eventuali incongruenze, moltiplicando le richieste di accesso, di esercizio di diritti e le segnalazioni.
3) Un’esposizione molto semplice rischia di apparire incompleta rispetto ai contenuti di legge, con l’effetto paradossale di subire appunti per sospetta violazione dell’obbligo di esaustività.

I vantaggi per i Titolari così volenterosi esistono (fidelizzazione del cliente, reputazione generale) ma paiono per lo più indiretti e non in grado di compensare i costi.
E così, le istituzioni lanciano focus che gli utenti (specie i più giovani) non cercano. E, i “titolari del trattamento” rilasciano informative buone da esibire al controllore ma respingenti verso l’utenza, e la parte ideale della normativa, cioè la consapevolezza dell’utente, rimane purtroppo persa.

Sarebbe utilissimo trovare il modo per compensare maggiormente gli sforzi dei Titolari più volenterosi, e forse una strada percorribile si rinviene proprio nel Regolamento (UE) n°679/2016.
I Titolari che abbiano aderito a dei Codici di condotta (documenti con uno standard di compliance privacy certificato) possono vedersi riconoscere dalle autorità di controllo nazionali, nella loro discrezionalità, vantaggi in sede di valutazioni, accertamenti e sanzioni.

Al momento essi rappresentano uno strumento non molto diffuso, e sarebbe comunque difficile un’attuazione per una vasta platea di “titolari”; nulla tuttavia pare impedire alle autorità di valutare l’impostazione di un format intermedio; un meccanismo premiale magari più settoriale, ma in grado di proporre un riconoscimento e un vantaggio certo ai “Titolari” che si applicano seriamente non soltanto per perseguire bene la conformità alla normativa, ma decidono di puntare realmente al meglio.