{{feedLink}}

ATM e trattamento dati personali: tanta sciatteria e impenetrabile ottusità.

ATM Christian Bernieri
(Aggiornato il )

Questo articolo fa riferimento alla pagina del sito ATM dedicata all'iscrizione degli utenti per effettuare attività online, acquisto di abbonamenti, richiesta della tessera su cui caricarli, ecc. È un passaggio obbligatorio per ogni studente milanese che debba utilizzare i mezzi pubblici.

La sua versione attuale è storicizzata qui.

Quanti saranno i genitore di figli in eta scolare, i ragazzi e le ragazze che studiano e vivono a Milano, quanti i lavoratore che si spostano con i mezzi pubblici? Quante persone avranno dovuto registrarsi sul sito dell'ATM? 

A spanne, direi milioni e sono milioni di persone i cui dati sono stati ferocemente maltrattati da ATM.

Il sito ha delle criticità indegne del peggiore dei DPO. Voglio sperare che sia talmente mal pagato da non poter dedicare più di un paio d'ore all'anno di consulenza all'azienda municipale del trasposti milanese. L'alternativa è che il DPO abbia visto e segnalato le non conformità ma che l'azienda lo abbia serenamente ignorato. Capita anche questo.

Comunque sia, il sito è li, continua a raccogliere e trattare dati di persone in aperta violazione del GDPR.

Non sto parlando di qualche oscuro sofisma o di una norma esoterica ma di adempimenti di base della protezione dei dati personali: l'abc della privacy.

Purtroppo sul sito sono capitato anch'io, non per caso ma per necessità. Si, sono una delle milioni di persone che, di fatto, devono iscriversi e registrarsi. Anzi, peggio, lo devo fare per poter iscrivere mia figlia, quindi le persone che rappresento sono almeno due... oltre a tutte quelle che hanno dovuto fare lo stesso percorso e hanno incontrato la stessa pagina del portale.

Dopo l'iscrizione ho deciso di aiutare l'ATM e ho dedicato il mio tempo a preparare una breve segnalazione, documentando le violazioni e dando indicazioni sintetiche su come procedere. Lo faccio spesso, quando vedo errori gravi che possono riguardare molte persone, cerco di migliorare il mondo, pro bono. So bene che nella maggior parte dei casi, mi brucio ogni possibilità di lavoro con l'azienda che cerco di supportare perché le mie segnalazioni generano qualche imbarazzo e, a volte, saltano delle teste.

Non ho voluto entrare troppo nello specifico perché c'è un collega DPO che dovrà occuparsene e potrebbe avere un suo avviso, differente dal mio, ma sicuramente converrà sul fatto che le mie segnalazioni siano reali, gravi e correggere al più presto.

 

Ecco, dunque, il testo della mia segnalazione:

Spett.le ATM
 
iscrivendo mia figlia al sito, per poter acquistare un abbonamento, mi sono imbattuto in errori piuttosto grossolani relativi all'informativa e, soprattutto, relativi alle caselle di acquisizione del consenso.
 
Segnalo in sintesi:
 
1) al punto 2 dell'informativa sono unite due finalità eterogenee, una richiede il consenso, l'altra no perchè ha una differente base di legittimazione. 
"La finalità del trattamento è l’iscrizione al sito e/o all’app con l'invio della newsletter relativa ad eventi, iniziative, servizi, attività e convenzioni del Gruppo ATM."
 
 
2) Nel modulo chiedete obbligatoriamente un consenso (grave errore) e chiedete di accettare l'informativa che, al contrario, è un vostro obbligo informativo verso l'utente e l'utente non ha assolutamente alcun onere di accettazione.
Sono errori gravi che rischiano di tradursi in sanzioni da parte del Garante Privacy, vi consiglio di condividere urgentemente questi rilievi con il vostro DPO
 
Infine consiglio una radicale revisione dell'informativa stessa che, con disarmante evidenza, non comprende gli elementi obbligatori previsti dal GDPR.
Cordiali saluti
 
 
 
Ho evidenziato nella pagina i punti a cui la segnalazione fa riferimento:
 
 
 
 
Dopo una quindicina di giorni ho ricevuto una email da ATM, il cielo sopra Milano si è riempito di minacciose nuvole temporalesche, fade out delle luci, effetto dolly zoom, un empia voce nella lingua nera di Mordor ha riempito l'aria.
 
 
 
Il testo della risposta:

Egregio sig. Bernieri,

grazie per la cortese segnalazione (1).

Nello specifico, siamo a comunicarle come l’iscrizione a news istituzionali (2) non comporta l’acquisto di alcun prodotto/servizio (3) di società del Gruppo ATM.

Inoltre, ciascun iscritto potrà disiscriversi (4) dalla newsletter tramite il link (5) disponibile al termine della newsletter medesima alla voce “disiscriviti” o altrimenti esercitare il diritto di recesso tramite richiesta (6) ad ATM.

Cogliamo l’occasione per porgere i più cordiali saluti.

Staff Protezione e Trattamento Dati Personali (7)

 

...e il mio commento, punto per punto:

 
(1) Potreste risparmiarmi la falsa cortesia: se la segnalazione fosse gradita dareste corso alle modifiche necessarie per rispettare la legge. In realtà nulla è stato fatto e, ad oggi, il sito è nelle stesse condizioni di dicembre.
 
(2) Ho letto questo passaggio alcune volte perché mi sembra troppo stupido per essere vero. La mia segnalazione lamenta il fatto che, registrandosi al sito per sottoscrivere un abbonamento, viene obbligatoriamente attivata l'iscrizione a newsletter. La risposta di ATM dice che l'iscrizione alla newsletter non implica alcun acquisto obbligatorio di alcun prodotto o servizio. Ho provato a far leggere questi due passaggi ad un bambino di età prescolare e siamo entrambi d'accordo che ATM non ha capito un accidente di ciò che le è stato segnalato.
 
(3) La segnalazione riguarda l'accesso ad un servizio: la registrazione dell'utente per emissione di tessera ed abbonamento. Queste attività non riguardano affatto "il gruppo ATM" ma solo una delle aziende, quella con la quale si stipula il contratto. Ciò che fa il resto del gruppo è cosa che rileva affatto. Dio non voglia che i dati siano allegramente condivisi internamente al gruppo.
 
(4) Che gli iscritti alla newsletter si possano disiscrivere con il link di unsubscribe, contenuto in ogni news ricevuta, è certamente una cosa buona e giusta, ma non basta. Necessaria ma non sufficiente. ATM chiede il consenso all'iscrizione ed è obbligatorio per poter procedere con le altre attività che, peraltro, sono le uniche che interessano alla persona che si registra. Il GDPR dice alcune cose interessanti in proposito: 
- il consenso non può essere mai obbligatorio;
- il consenso deve poter essere tranquillamente negato senza che questo abbia delle conseguenze su un rapporto contrattuale, come la registrazione al portale o l'acquisto dell'abbonamento;
 
(5)
- l'iscrizione automatica a una news informativa può essere ricondotta al "legittimo interesse" e questo è l'unico modo per proporla a tutti
- anche nel caso del legittimo interesse, ogni persona deve avere da subito la possibilità di opporsi al trattamento, cioè all'iscrizione alla newsletter. Il fatto di poterlo fare solo dopo non è conforme al GDPR.
In pratica, ATM sta gestendo l'iscrizione alla newsletter sulla base di un consenso illecitamente acquisito e, in parallelo, ritiene di essere a norma ma sulla base dell'applicazione del legittimo interesse, peraltro errata, che non applica. Un verminaio di errori.
 
(6) Ad un certo punto ATM parla di "recesso". Ecco di nuovo l'empia voce di Mordor. Ma quale recesso! L'iscrizione ad una newsletter informativa non ma natura contrattuale, o meglio, non ce l'ha in questo caso dato che voi chiesto il consenso... e poi sbandierate elementi riconducibili al legittimo interesse. Ora citate il recesso che è un istituto tipico di un rapporto contrattuale. Decidetevi perché per un trattamento ci può essere una sola base di legittimazione e, a quanto pare, ne state utilizzando almeno tre.
 
(7) Secondo me in ATM hanno le idee un pò confuse. Più ci penso più sono convinto che questa email di risposta sia stata scritta dal solito stagista, imberbe ragazzino alle prime armi, distratto da incessanti notifiche di tiktok, abbandonato a se stesso mentre i suoi supervisori sono in vacanza.
Di sicuro questa mail non è stata scritta o vista da un DPO, non senza procurarne l'immediato decesso per arresto cardiaco o shock anafilattico.
 
 
 
 
 
 
Il mio pensiero in sintesi: in ATM fanno gestire le segnalazioni relative alla protezione dei dati personali a una persona che non capisce una fava della materia, che probabilmente ha delle disfunzioni cognitive al limite dell'analfabetismo funzionale e che, con tutta evidenza, non è in grado di comprendere ciò che legge.
 
 
Nonostante lo scoramento, ho ancora voglia di migliorare il mondo quindi confezionerò una bella segnalazione per il Garante Privacy nella speranza che i milioni di persone coinvolte da un trattamento illecito siano una motivazione sufficiente perché si interessi della questione.
 
 
Per capire,
per essere consapevoli,
per difendersi.
 
 

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di ringraziarmi.

Puoi farlo in due modi:
- Condividendo il mio lavoro sui tuoi social. Così facendo aiuterai altre persone
- Con una donazione. In questo modo aiuterai me.

Se sei un professionista della privacy, fammi sapere come la pensi, il confronto è essenziale per migliorarsi. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di mer#a con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?
Bene... allora mi devi una birra.

Clicca qui per inviare una donazione

...un caffè, una birra, una pizza, una cena elegante...

 

 

Christian Bernieri

“A fucking good DPO” - Data Protection advocate. IAPP CIPP/E.

Consulente privacy (oppure) DPO. Mai le due cose contemporaneamente!

Principal Consultant presso SGST srl

Su Twitter (X) ero @prevenzione ma li non interagissco più.

Sono su BLUESKY, e li sono @garantepiracy.it 

 

Se mi cerchi fisicamente, mi puoi trovare qui: φ 42° 21,5′ N - λ 10° 3,85′ E

Altri post correlati

Letture totali:  

...