NCC e Foglio di servizio elettronico: dal punto di vista della protezione dei dati personali.
I rastrellamenti e le deportazioni accadute durante la vigenza delle leggi razziali erano perfettamente legali perchè previste dalla legge. Aiutare e nascondere Anne Frank per salvarla dalla camera a gas è stato un atto illegale perchè vietato dalla legge. A volte la legge è assai deludente, si allontana molto dal concetto di "giustizia" e diventa persino pericolosa. Ma su questo tornerò più avanti.
Ecco cosa sta succedendo: se ho bisogno di andare in aeroporto mi serve un passaggio e, da oggi, la mia scelta avrà delle conseguenze di cui è bene essere consapevoli.
SCELGO DI ANDARE A PIEDI... e vengo ripreso da mille mila telecamere.
SCELGO I MEZZI PUBBLICI... e devo usare il biglietto elettronico o la carta di credito per aprire i tornelli e, stando all'informativa del gestore, accetto implicitamente ogni tipo di maltrattamento dei dati personali e analisi comportamentale.
SCELGO IL TAXI: se chiamo un taxi posso contare su un anonimato pressochè totale, posso non dire chi sono, non sono tenuto a qualificarmi, non vengo registrato da nessuna parte e, se riesco a superare le sue resistenze e convinco il conducente a non usare il pos e ad accettare denaro contante, rendo impossibile la tracciabilità del servizio di cui ho usufruito. Nessuno lo saprà mai, né il comune, né il fisco, né gli agenti di polizia, né un giornalista ficcanaso che vuole fare uno scoop pruriginoso. Sempre che il tassinaro, sempre attento alla privacy, non abbia messo le telecamere nel veicolo.
SCELGO un NCC: se decido di chiamare un NCC (Uber, per fare un esempio noto, ma la stessa cosa vale per qualunque noleggio con conducente anche senza portale o senza app, per il fuoristrada che ti porta al rifugio, vale per i calessini con il cavallo che girano nei parchi, vale per le motocarrozzette tipo tuc tuc e per le barche e unità da diporto. Fa già ridere così.) la situazione cambia radicalmente rispetto al taxi. Per legge, dovrò dire chi sono, comunicare i miei dati anagrafici e persino il mio codice fiscale. La stessa cosa dovranno fare le persone che mi accompagnano. Se organizzo il trasporto per mia figlia, saremo registrati entrambi, io che pago e lei che viene trasportata. Dovrò dichiarare da dove parto e dove voglio essere lasciato, sarà registrato ogni dettaglio relativo al tragitto come giorno ed ora della partenza e dell'arrivo. Persino la lunghezza del tragitto verrà annotata sul foglio di servizio elettronico (di seguito FDSE). I dati del FDSE saranno archiviati in un sistema informatico ministeriale per 3 anni (TRE ANNI - 1095 giorni) e saranno accessibili da remoto da una pletora di soggetti: polizia, funzionari del comune, tecnici informatici del ministero, qualsiasi autorità che ne faccia richiesta per funzioni giurisdizionali. Per carità, tutti integerrimi, ma in questo idillio di stinchi di santo qualche losco figuro c'è.
Cosa potrà mai andare storto?
In un paese dove gli "scandali" sono talmente frequenti da non fare più scandalo, dove gli operatori autorizzati utilizzano o condividono le proprie credenziali per appagare la propria curiosaggine, per fare favori ad amici, per operare consultazioni per conto terzi e per dare accesso ai dati a chiunque ne faccia richiesta, creare un database dei movimenti delle persone potrebbe non essere affatto una buona idea.
Questo scenario è stato disegnato nel lontano 1992 e descritto nella legge 15 gennaio 1992, n. 21:
Il Presidente supplente della Repubblica SPADOLINI
ANDREOTTI, Presidente del Consiglio dei Ministri
PRANDINI, Ministro dei lavori pubblici
BERNINI, Ministro dei trasporti
SCOTTI, Ministro dell'interno
MARTELLI, Ministro di grazia e giustizia
ROGNONI, Ministro della difesa
FORMICA, Ministro delle finanze
CARLI, Ministro del tesoro
MISASI, Ministro della pubblica istruzione
GORIA, Ministro dell'agricoltura e delle foreste
RUFFOLO, Ministro dell'ambiente
CONTE, Ministro per i problemi delle aree urbane
Visto, il Guardasigilli: MARTELLI
All'epoca avevo 19 anni e la normativa sulla privacy, ancora in gestazione, avrebbe visto la luce solo qualche anno dopo (Legge n. 675 del 31 dicembre 1996).
Successivamente, la norma(21/1992) è stata modificata nel 2008 con l'introduzione del FOGLIO DI SERVIZIO, all'epoca cartaceo e della durata di 2 settimane.**
NAPOLITANO
Berlusconi, Presidente del Consiglio dei Ministri
Vito, Ministro per i rapporti con il Parlamento
Tremonti, Ministro dell'economia e delle finanze
Visto, il Guardasigilli: Alfano
Praticamente, un altro mondo.
Beh, da allora nessuno si è più preoccupato di questa norma, nemmeno dopo le modifiche del 2008, forse anche perchè è stata bellamente ignorata da tutti, compresi i diretti interessati, i destinatari, le autorità di controllo... nessuno si è nemmeno degnato di produrre i decreti attuativi. In ogni caso, la versione originaria prevedeva una conservazione del Foglio di Servizio cartaceo di 15 giorni. Il Garante si è accorto di questa colossale violazione della privacy solo una decina di anni dopo la sua introduzione.
Persino la Consulta è intervenuta per demolire alcune parti della assurda norma: sentenza della Corte Costituzionale n. 56 del 26 febbraio 2020.
Sovvengono le parole di Tolkien: "Alcune cose che non avrebbero dovuto essere dimenticate andarono perdute. La storia divenne leggenda, la leggenda divenne mito..." la norma è rimasta li, in silenzio, e ora, come spesso accade, un governo che ha un preciso scopo da perseguire, ha ravanato nel torbido sussurrando "il mio tesssoroooooo" ripescando una norma desueta e anacronistica per darle nuovo vigore, per applicarla in un mondo diverso, fondato su principi che, all'epoca, nemmeno esistevano e che confliggono con la ratio e con le finalità nella norma, sia quelle dichiarate che quelle larvate.
Torna nuovamente alla memoria Tolkien: “Un Anello per domarli, un Anello per trovarli, un Anello per ghermirli e nel buio incatenarli", solo che al posto di un anello ora abbiamo un database e lo chiamiamo FDSE.
Solo per non lasciare troppo spazio all'interpretazione voglio chiarire che, dal punto di vista che mi appartiene, quello di DPO, la questione non riguarda affatto la batracomiomachia che vede contrapposti i tassinari e i noleggiatori. Il tema è ben più ampio ed alto e riguarda la gente, le persone che dovrebbero poter utilizzare liberamente un servizio, anzi, ogni servizio, potendo avere ampia scelta tra diverse opzioni. Le vittime di questa assurda norma sono i cittadini che verranno schedati, registrati e tracciati per il solo fatto di aver utilizzato un mezzo di trasporto. Schedature che rimarranno tre anni (minimo), che non saranno mai adeguatamente protette, che saranno utilizzate in modi che ancora non riusciamo ad immaginare ma che, questo è certo, non saranno favorevoli ed auspicabili. Questa è una compressione intollerabile della libertà per milioni di persone. Sì, perchè per ogni auto a noleggio ci sono decine e decine di clienti al giorno, ogni giorno. basta fare le moltiplicazioni.
Arriviamo dunque a noi, oggi, alla legge che legittima l'incredibile: decreto interministeriale numero 226 del 16 ottobre 2024.
Firmato da IL CAPO DIPARTIMENTO PER I TRASPORTI E LA NAVIGAZIONE di concerto con IL CAPO DELLA POLIZIA DIRETTORE GENERALE DELLA PUBBLICA SICUREZZA DEL MINISTERO DELL’INTERNO. Per estensione, firmato da Matteo Salvini e Matteo Piantedosi, ministri dei Trasporti e dell'Interno.Tutto un programma!
Il Governo ha imposto una raccolta sistematica di dati, conservati per tre anni su sistemi del ministero, senza alcuno scopo dichiarato e senza alcuna logica di utilizzo. Una raccolta alluvionale fine a se stessa. Un trattamento simile è vietato dal GDPR che impone una cosa semplicissima: la necessità di avere una finalità determinata. Non si possono accumulare dati con la riserva mentale di utilizzare in futuro a seconda di ciò che farà comodo. Se non c'è una finalità, ogni raccolta di dati è illecita per definizione. Sarebbe tautologico pensa che la finalità sia il rispetto di una legge che prescrive l'obbligo di raccolta dati, a sua volta senza uno scopo. Altrettanto vano è dichiarare generiche finalità di controllo. Se il controllo è rivolto al noleggiatore, gli unici dati rilevanti sono quelli del noleggiatore. Acquisire i dati di ogni utente sarebbe superfluo e, quindi, illecito.
Ma il Garante Privacy non dice niente?
Quando un governo ha un'idea e la trasforma in legge, diventa molto difficile gestirne le conseguenze, le prerogative dell'autorità di controllo, il Garante Privacy, vengono depotenziate.
Il Garante deve essere consultato preventivamente ma non ha molti strumenti per contrastare una norma in vigore. Sì, è possibile ma estremamente complicato. Il percorso corretto dovrebbe privilegiare il supporto all'attività di governo per evitare che vengano approvate norme in aperto contrasto con i principi del GDPR.
Tutto ciò è avvenuto ma vale la pena di vedere come è avvenuto, perchè c'è da ridere:
Il Garante ha pubblicato ben tre pareri di cui due spontanei ed uno come parere su bozza di decreto:
Segnalazione al Governo in tema di trattamento di dati personali dei titolari di licenza per l’esercizio del servizio di noleggio con conducente (NCC) - Presidente del Consiglio dei Ministri Prof. Giuseppe Conte https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9114825
Segnalazione al Governo in tema di trattamento di dati personali dei titolari di licenza per l’esercizio del servizio di noleggio con conducente (NCC) - Ministro delle infrastrutture e dei trasporti Sen. Danilo Toninelli https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9114991
Nelle due segnalazioni gemelle, il Garante avverte così:
"Il trattamento di informazioni così delicate, quali l’ubicazione o gli spostamenti degli interessati, che possono essere suscettibili di disvelare anche dettagli sensibili della vita degli stessi, non risulta conforme al canone di proporzionalità previsto dal Regolamento (UE) 2016/679 quale requisito della base normativa su cui si fonda il trattamento e parametro essenziale di legittimità delle limitazioni del diritto alla protezione dei dati."
e aggiunge
"Il Garante non ha potuto evidenziare in via preventiva i rischi sottesi ad una tale previsione normativa individuando, ad un tempo, possibili misure idonee ad escluderli o quanto meno a mitigarli, non essendo stato richiesto il parere di cui all’articolo 36, par. 4, del Regolamento (UE) 2016/679, che ha introdotto l’obbligo di consultazione preventiva dell’Autorità anche con riguardo agli atti normativi di natura primaria."
Il garante conclude così:
"Per le ragioni esposte, la norma, così come è formulata, non è idonea a soddisfare i requisiti richiesti di proporzionalità dalla normativa in tema di protezione dei dati personali, con serie ricadute sulla liceità del trattamento dei dati che su di essa si dovesse fondare; si rende pertanto necessario un intervento correttivo della disciplina, al fine di superare i profili di criticità evidenziati ed evitare ingiustificate limitazioni dei diritti degli interessati."
Decisamente chiaro. La questione non è di tipo tecnico, non si risolve il problema con quattro magheggi informatici o irrobustendo le protezioni alla cassaforte che custodisce i dati. Il problema è perchè si intenda raccogliere i dati personali (e sensibili) di milioni di persone!
Parere su schemi di decreto recanti la disciplina dell'attività delle piattaforme tecnologiche di intermediazione tra domanda e offerta di autoservizi pubblici non di linea, del reg. pub. nazionale delle imprese titolari di licenza per il servizio taxi, e delle imprese titolari di autorizzazione per il servizio di NCC nonché del foglio di servizio elettronico - 23 maggio 2023 https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10019934
In questo parere il Garante affronta congiuntamente tre atti normativi:
- disciplina delle piattaforme di intermediazione domanda-offerta per i servizi di trasporto, sia per taxi che per NCC;
- disciplina del registro pubblico nazionale delle imprese titolari di licenza per il servizio taxi, e delle imprese titolari di autorizzazione per il servizio di NCC, denominato RENT;
- disciplina del foglio di servizio elettronico, denominato FDSE.
Con riferimento al FDSE le indicazioni sono perentorie e chiarissime e questo diventa un problema perchè non applicarle assume una valenza univoca: piena consapevolezza e deliberato consenso; sapendo e volendo (sciens et volens).
Tu Governo, se non fai quello che ti dice il Garante significa che te ne fotti delle istituzioni a garanzia dei diritti fondamentali, te ne fotti delle norme che dovresti rispettare e che stai facendo una norma sbagliata, che sai essere sbagliata e che porti avanti con puro autoritarismo!
Una domanda resta senza risposta: perchè il Garante non si è attivato nel lontano 2008 e ha atteso la successiva modifica del 2018, dopo 10 anni, per dire qualcosa a riguardo?
Ora forse va riletto il primo paragrafo di questo articolo. Ha più senso.
IL DECRETO FDSE
Vediamo, insintesi, cosa dice lo sciagurato decreto interministeriale numero 226 del 16 ottobre 2024 Salvini Piantedosi.
Sono previste credenziali rilasciate dal Ministero e installabili su un solo dispositivo per operare sul FDSE. l'NCC può abilitare propri collaboratori ma le credenziali restano uniche. In parallelo, il decreto prevede l'utilizzo di SPID e CIE per l'autenticazione dell'operatore.
Stabilisce che i FDS cartacei debbano essere conservati per 15 giorni sino all'attivazione della piattaforma elettronica. Da quel giorno, i dati saranno conservati 3 anni. Il Garante ha evidenziato con forza la necessità di riconsiderare la durata e, come minimo, ridurla a due anni come previsto da altre norme dell''ordinamento*.
(*Nota: art. 3, come modificato dall’art. 1, comma 153, della legge n. 244/2007, del decreto-legge n. 203/2005, convertito, con modificazioni, dalla legge n. 248/2005, nel rispetto del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), del GDPR.)
Il FDSE va compilato sin dalla prenotazione e, eventualmente, aggiornato in funzione del servizio effettivamente erogato. In pratica, sono schedate e registrate persino le intenzioni, le prenotazioni dei servizi di trasporto.
Il titolare del trattamento è il Ministero delle infrastrutture e dei trasporti ed è previto che sia proprio il Ministero a dare l'informativa alle persone i cui dati saranno macinati dal FDSE. Sono veramente ansioso alla sola idea di leggere questa informativa e, nell'attesa, faccio scorta di maalox. Mi servirà.
Gli enti che hanno accesso ai dati sono:
- POLIZIA: gli organi di cui all’articolo 12 del decreto legislativo 30 aprile 1992, n. 285, per finalità di consultazione;
- I COMUNI: tramite i propri operatori, per finalità di consultazione dell'operato dei titolari di licenze rilasciate dal comune stesso;
- il CED del ministero per finalità tecniche e di gestione dei sistemi
Ora, la "consultazione" non è una finalità. È semplicemente un'azione che determina l'esistenza di un trattamento. Le finalità sono una cosa diversa e riguardano lo scopo, le ragioni, uno stracazzo di motivo sulla base del quale si decide di consultare i dati. Questo punto il Garante lo ha evidenziato bene ma il Governo ha bellamente fatto finta di niente.
Di fatto, ora i dati sono li e possono essere semplicemente e arbitrariamente consultati senza nemmeno doversi prendere il disturbo di spiegare o documentare il perchè.
"A cazzo di cane" direbbe Renè Ferretti in Boris.
Consiglio di rileggere di nuovo il primo paragrafo di questo articolo.
Il Decreto continua con alcuni aspetti tecnici e ho l'impressione che sia un sapiente copia-incolla buttato li tanto per salvare la forma.
Le mie considerazioni sul punto:
1) i dati del committente (chi paga) e utente (chi viene trasportato), luogo data e ora di partenza, luogo data e ora di arrivo, chilometri percorsi... con queste informazioni il tracciamento è pressoché totale, si può ricostruire persino quali vie siano state percorse e se, durante il tragitto, siano state fatte delle deviazioni. Io già me lo immagino un disinvolto faccendiero, forte delle sue presuzioni di legge, pretendere una giustificazione se dal punto A al punto B sono stati percorsi 25 chilometri in più rispetto al percorso più diretto... me lo vedo a sospettare attività fraudolente, illeciti guadagni, smercio di sostanze proibite, ricavi non dichiarati, sordide carezze come se l'NCC fosse la carrozza di Madame Bovary.
2) la compilazione del FDSE è una cosa seria: "la presente compilazione di dati, atti e fatti è resa in forma di Dichiarazione Sostitutiva dell’atto di Notorietà (Art.47 D.P.R. 28 dicembre 2000, n.445) ed è sottoscritta con la piena consapevolezza delle sanzioni penali richiamate dall’art.76 del d.P.R. 28 dicembre 2000, n.445, in caso di dichiarazioni mendaci e di formazione o uso di atti falsi."
3) i sistemi, l'hosting dell'infrastruttura, deve essere localizzata in Italia. Questo sembra un dettaglio ma pesa come un macigno perché in Europa vige la libera circolazione dei dati. Un fornitore francese non potrà essere scartato dalla gara solo perché non dispone di infrastrutture entro i confini italiani. Per questo piccolo dettaglio rischiamo una procedura di infrazione.
4) nelle specifiche tecniche non si fa alcun cenno alla immodificabilità dei dati. Anzi, al contrario, è previsto che "solo le entità autorizzate possano accedere e modificare le informazioni." Sembra una bella cosa ma è un incubo, significa che si prevede sin dall'origine che qualcuno, non si sa chi, possa entrare nel sistema e modificare i dati, non si sa per quale finalità. In pratica, se servisse, potrebbe facilmente risultare che ho fatto una corsa proprio sul luogo di un delitto oppure sono passato in un certo posto in un certo giorno. Nello stesso modo, possono essere modificati dati per far scomparire eventuali tragitti compromettenti, per togliere una persona da un posto o per costruire alibi inesistenti.
4bis) mi permetto un consiglio destinato amici noleggiatori: fate uno screenshot di ogni cosa che inserite nell'applicazione del foglio di servizio elettronico FDSE. Non è previsto alcun invio di ricevuta con copia dei dati e, non essendo prevista alcuna forma di immodificabilità dei dati archiviati, io mi preoccuperei di poter dimostrare di aver inerito determinate informazioni, a prescindere da ciò che risulti nel cervellone del ministero.
5) l'analisi dei rischi mi ha fatto molto piacere. Rene saprebbe come definirla e sarebbe ancora poco. Quattro stronzate in croce, valutate con l'accetta, senza alcun dettaglio sulle possibili conseguenze per gli interessati, alcune scarse e insufficienti misure preventive, zero misure di mitigazione in caso di incidenti. La prossima volta che il Garante contesterà una analisi dei rischi, chiunque sarà autorizzato a tirare fuori questo documento e confrontarlo con quanto contestato. Se è passata questa valutazione dei rischi allora vale tutto. Si può tranquillamente disegnare una casetta un albero e il sole nel cielo, chiamarla analisi dei rischi e procedere tranquillamente.
L'unico rischio serio, ciò che la cronaca ci sta amaramente insegnando e il motivo per cui le istituzioni sono prese a schiaffoni dalla realtà, il fattore umano e l'abuso degli strumenti in suo non sono nemmeno stati contemplati.
6) la pseudonimizzazione, per come è descritta nel decreto, fa ridere. Non tutela nessuno e i dati sono tutti li, presenti, accessibili e disponibili in chiaro. chiunque, nell'esercizio di funzioni giurisdizionali, potrà avere completo accesso a tutti i dati conservati per tre anni. Agghiacciante.
7) il sistema è dotato di Log e leggendo questa specifica tecnica mi si sono riempiti gli occhi di goccioloni. Ho subito pensato al Garante Privacy, a quanto abbia fatto per diffondere la cultura della sicurezza, per sottolineare i rischi connessi ai log e al loro potenziale abuso, al grande coraggio che ha avuto nello sfidare l'impopolarità quando ha obbligato le aziende italiane a conservare i log di sistemi analoghi al massimo per 7 giorni, poi aumentati a 21 giorni... Ecco, ho pianto quando ho visto che il ministero terrà i log del sistema FDSE per 1 anno, peraltro indicizzandoli e prevedendo un sistema di consultazione diretta, senza alcuna limitazione nella platea degli operatori. Ho vissuto un momento decisamente catartico. Dato che non sono stato incenerito da un fulmine, penso di aver dimostrato una delle due ipotesi: "Dio non esiste" oppure "Dio è infinitamente buono e perdona qualsiasi cosa detta dagli esseri umani".
8) concluderei riportando l'ultima frase dell'ultimo allegato del decreto e la riporto così com'è, senza commento, perché la Poesia, quella con la P maiuscola, è purezza e perfezione: "con riferimento alle policy e alle procedure per la protezione dei dati personali, come definito nel piano della sicurezza, il Ministero delle Infrastrutture e dei trasporti adotta integralmente quanto stabilito dal Codice privacy e dal GDPR."
A volte anche le Puttanate hanno la P maiuscola.
Se fossi il Garante Privacy mi sentirei leggermente preso in giro, prenderei in mano il telefono e chiamerei i ministri interessati per fare due chiacchiere. Anzi no, penso che prenderei un NCC e mi presenterei di persona.
Per quanto mi riguarda, quando prenoto le mie corse mi chiamo Pepito Sbazzeguti, viaggio con i miei amici Nikolaj Korpanov, Luther Blisset e Winston Smith. Non essendo tenuti a portare addosso alcun documento di identità non potremo mostrare alcunchè, la corsa verrà pagata con il cellulare e attraverso una piattaforma... il tutto, rigorosamente a cazzo di cane.
Rischio qualcosa? No.
Metto nei guai l'NCC? Nemmeno.
Comunque, in un paese che obbliga all'uso del FDSE per l'uso di motocarrozzette e calessini, ci si può anche aspettare un cavallo come senatore.
Prosit.
PS1: ** I provvedimenti del Garante riconducono l'introduzione del Foglio di servizio alle norme del 2018. Così non è. La prima modifica all'art 11 della legge 15 gennaio 1992, n. 21 risale al 2008, proprio a metà strada tra il codice privacy (2003) e il GDPR (2016). Per la precisione, modifiche introdotte da DECRETO-LEGGE 30 dicembre 2008, n. 207 (in G.U. 31/12/2008, n.304) convertito con modificazioni dalla L. 27 febbraio 2009, n. 14 (in S.O. n. 28/L, relativo alla G.U. 28/2/2009, n. 49) ha disposto (con l'art. 29, comma 1-quater, lettera d)) la modifica dell'art. 11, commi 3 e 4. Un guazzabuglio normativo degno della peggiore burocrazia immaginabile.
PS2: mentre scrivevo questo pezzo ho ricevuto una mail da Uber.
Leggendola mi è venuto in mente che, forse, tracciare gli spostamenti delle persone fa comodo a tutti, tranne che alle persone tracciate.
Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili per la tua vita, prendi in considerazione l'idea di ringraziarmi. Puoi farlo in due modi:
- Condividendo il mio lavoro sui tuoi social. Così facendo aiuterai altre persone
- Con una donazione. In questo modo aiuterai me.
Se sei un professionista della privacy, fammi sapere come la pensi, il confronto è essenziale per migliorarsi. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di mer#a con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?
Bene... allora mi devi una birra.
👇 👇 Clicca qui 👇 👇
