Oggi non ho alcuna voglia di raccontare gli eventi, non parlerò di PEC o di Revolut. Anche i sassi nelle caverne si sono accorti dell'immenso puttanaio in corso che, per dirla con le parole di un caro amico, è un iceberg di merda.

Siamo messi male. Siamo tutti coinvolti da uno scenario di Business Email Compromise (BEC) ad alto livello d'impatto, e il confine tra l'autorevolezza delle istituzioni e la malafede dei criminali non è più distinguibile .

In estrema sintesi, per i distratti, i criminali informatici, usando credenziali vere, assumendo l'identità digitale delle Autorità italiane, hanno potuto:
accedere all'archivio della corrispondenza storica (inviata e ricevuta) di PEC ufficiali, hanno analizzato la rete di interlocuzioni con banche, istituti di credito, compagnie assicurate e piattaforme fintech;
inviare PEC autentiche da domini istituzionali reali, indirizzando richieste d'informazione giudiziaria e patrimoniale agli istituti finanziari, richiedendo ed ottenendo fascicoli informativi completi su specifici clienti e correntisti;
acquisire un patrimonio informativo ad alta riservatezza.

L'acquisizione di un set così vasto di dati, che comprende documenti d'identità, selfie di verifica KYC, estratti conto, saldi, abitudini di spesa e movimenti di criptovalute, permette attività di data enrichment senza precedenti e mette nelle mani dei malintenzionati un "arsenale nucleare" di ingegneria sociale.

Una persona comune, leggendo le notizie, pensa "che casino... ma infondo chissenefrega, non mi riguarda, non sono un calciatore, né un attore, non conto un cazzo e ho sul conto solo ragnatele e tarzanelli".

Questo è il vero problema, un pensiero più pericoloso del data breach stesso perché trasforma ciascuno di noi nella vittima designata, quella più indifesa, quella che ci cascherà, anzi, che c'è già cascata.

Non sono ottimista ma nemmeno pessimista. Per realismo ed esperienza, dalle aziende coinvolte e dalle istituzioni mi aspetto le solite comunicazioni farsa in cui le rassicurazioni prevalgono sui fatti, che paiono scritte apposta per non generare allarme, completamente prive di alcuna utilità pratica. Se saremo fortunati, al massimo verranno ipotizzati generici rischi per tentativi di phishing diretto, ricatti estorsivi e l'invio di mail truffa da PEC reali, indistinguibili da messaggi autentici.

C'è di peggio, molto peggio e, anche se è davanti al nostro naso, ci rifiutiamo di vederlo perché siamo persone per bene, incapaci di commettere crimini, incapaci di fare del male, incapaci di ragionare come un criminale.

Lo faccio io. L'ho sempre fatto... lo so, non è una bella cosa.

Ecco cosa rischia ciascuno di noi:

"SVEGLIATI"

No, nessuno ti aiuterà, nessuno ti supporterà se perderai tutto, a nessuno fregherà niente di te, della tua famiglia o della tua disperazione. In compenso sarai istituzionalmente e abbondantemente coccolato, rassicurato e anestetizzato.

Beh...

Nonostante l'indubitabile valore ipoalgesico del turpiloquio e delle bestemmiare, le imprecazioni non ti aiuteranno granché, così come non ti sarà di alcun aiuto o sollievo osservare la squallida gara per trovare chi è più colpevole in tutto questo cinema di criminali e imbecilli al potere.

La buona notizia è questa: respiri ancora!

Svegliati, datti una scrollata e prova a fare qualcosa di utile... forse sei ancora in tempo.

Rimboccati le maniche, rendi la vita difficile ai criminali. Inizia a pensare in modo diffidente, sempre. Metti in discussione tutto e verifica.

"DIFFIDA"

PS: questo articolo è stato seguito, a breve distanza, da un provvedimento identico, ma focalizzato sulle registrazioni audio. Questo post va letto assieme a "Videosorveglianza: forse l'impianto è tuo, ma le immagini no!"

Dopo il grande successo delle scarpe multicolor, fortunatamente prodotte in edizione molto limitata, nacque il sospetto che alla Lidl fossero tutti daltonici. Oggi questa teoria non basta più a spiegare gli evidenti problemi dell'azienda con le immagini.

Un cliente, probabilmente esacerbato dai contrasti cromatici, ha dato in escandescenze in un negozio Lidl appena inaugurato. I dettagli sono, probabilmente, molto interessanti e sfiziosi, ma non emergono dagli atti, quindi posso solo immaginare la scena a modo mio: un avventore afferra una treccia d'aglio e inizia a proferire parole incomprensibili, in una fosca lingua antica e dimenticata, con gli occhi ribaltati all'indietro, fluttuando a 20 cm da terra, i commessi terrorizzati provano ad immobilizzarlo saltandogli addosso come in una mischia da superbowl, il fruttivendolo cerca di ammanettarlo con il rotolo dei sacchetti, il cassiere chiama la forza pubblica con voce suadente ed impostata tramite l'altoparlante, il responsabile di negozio che accorre gaio e, passando, riordina sboffonchiando gli scaffali scompigliati dal parapiglia, i clienti divertiti dalla scena che pensano ad nuova trovata promozionale e attendono di poter riempire il carrello con il misterioso prodotto variopinto in offerta speciale... chissà, magari è andata proprio così, non lo sapremo mai, i verbali parlano di "molestie ed aggressioni reiterate, commesse da più dipendenti Lidl in associazione tra loro e continuate per circa un’ora". Quello che sappiamo per certo è che, dopo poche ore dalla surreale baraonda, il cliente esagitato ha chiesto a lidl di poter avere copia delle immagini dell'impianto di videosorveglianza e di conservarle oltre il tempo di cancellazione automatico previsto che, solitamente, non va oltre un paio di giorni.

Ma Lidl non lo ha fatto, ha lasciato che il tempo passasse, negando al cliente le immagini, lasciando che venissero automaticamente cancellate e, di fatto, negando l'esercizio dei diritti previsti dal GDPR.

Eh, ma, abbiamo una procedura

Eh, ma, la domanda doveva essere compilata su apposito modulo disponibile al banco, inviata poi via email all'assistenza clienti

Eh, ma, il modulo ci serve per essere sicuri che la richiesta sia legittima e precisa

Eh, ma, la domanda non poteva avere forma libera e non doveva essere inviata via PEC

Eh, ma, le immagini devono essere estratte e dovremmo cancellare la faccia delle altre persone

Eh, ... ciao !

Per il Garante Privacy, quel cliente aveva fatto bene la sua parte, inviando alcune pec circostanziate, descrivendo "il punto vendita, il giorno e l’intervallo temporale nel quale avevano avuto luogo i fatti oggetto di ripresa, descrivendone le peculiari dinamiche del diverbio, che avevano visto il coinvolgimento di diversi addetti del supermercato, incluso il direttore, e per un apprezzabile intervallo temporale (indicato in via approssimativa in un’ora circa nei vari reparti dell’esercizio commerciale), sino all’intervento delle Forze dell’ordine. "

Al contrario, Lidl è stata meno ligia ai propri doveri, lasciando che le immagini venissero cancellate, subordinando la richiesta alla compilazione di un modulo specifico nonostante tutte le informazioni necessarie fossero già state trasmesse all'azienda.

Peraltro, Lidl stessa ha scritto nell'informativa che "eventuali richieste di scarico immagini di videosorveglianza devono essere trasmesse con la massima tempestività all’Assistenza Clienti di Lidl Italia all’indirizzo PEC dedicato all’assistenza clienti"

Ma allora deciditi! Se dici alla gente che basta una pec, non puoi inventarti un modulo del cxxxo!

Nel provvedimento relativo alla sanzione, il Garante scrive una cosa molto importante, ma lo fa come lo farebbe Bartolo, il leguleio bolognese del milletrecento, quindi tocca tradurla e spiegarla:

Lidl ha cancellato le immagini che appartengono al cliente, sulle quali solo il cliente ha diritto di parola. Lidl le deve custodire e gestire secondo il volere del cliente, non a cxxxo di cane. Se quelle immagini, necessarie per difendersi in tribunale, vengono cancellate, il danno causato è grave ed irreparabile.

Lidl, come ogni altra azienda che tratta dati, è tenuta a rispettare il suo obbligo di correttezza: tratta i dati per conto delle persone alle quali i dati si riferiscono, non sono per niente dati suoi o dei quali possa fare ciò che vuole. Essere corretti significa agevolare, non ostacolare, aiutare la persona ed esaudire le sue legittime richieste relative a quei maledetti dati.

Altro che "il nuovo petrolio". Avere dati personali in casa è una grossa responsabilità e bisognerebbe fare di tutto per evitarlo! 

In questa vicenda, quindi, Lidl ha violato il GDPR negando l'accesso ai dati e permesso la loro cancellazione, si, ma la conseguenza è ben maggiore: una ulteriore grave e permanente lesione dei diritti di quella persona, negandole la possibilità di esercitare qualsiasi altro diritto su dati che non esistono più.

Lidl avrebbe dovuto proteggere quei dati, nell'interesse delle persone riprese dalle telecamere.

Infine, tanto per arrotondare, il fumantino cliente aveva chiesto che gli venisse data risposta via PEC, ma Lidl ha deciso di rispondergli con una pulciosa raccomandata, come fanno quelli che ti vogliono dare fastidio, che vogliono far passare i giorni contando sull'inefficienza delle poste, che ti vogliono far perdere tempo e che godono nel farti passare un ora in coda alla posta. Beh, ragazzi dal visus compromesso, c'è un limite alla stupidità...

Lidl ha fatto tutto da sola, non ha chiesto nulla al DPO e, a mio giudizio, questo ha portato al disastro al quale ora assistiamo.

Lidl ha fatto ciò che ogni altro titolare del trattamento fa: si è organizzata e strutturata con procedure, modelli, schemi operativi per poter gestire la mole di dati che l'azienda tratta e ciò che ne consegue. Purtroppo c'è un elemento prevalente che ridimensiona l'importanza della carta e degli schemi rigidi, approvati e certificati: il risultato effettivo e concreto.

Ciò che si fa, per quanto corretto e benfatto, non può portare ad un risultato deludente per l'unica persona che non doveva restare delusa, l'interessato. Se questo accade, significa che è il lavoro è sbagliato e, anche se apparentemente conforme al GDPR, costituisce una concreta violazione dei più importanti principi della norma.

Per questo, Lidl dovrà pagare €43.000 di sanzione.

Proprio di recente ho avuto modo di scontrarmi con la mastodontica procedura di accessi ai dati di Trenitalia e l'ho percepita come una vera e propria barriera all'esercizio dei diritti degli interessati. Chissà se il Garante Privacy avrà voglia di guardarci dentro, anche alla luce dei recenti data breach e dei milioni di persone coinvolte. Chissà a quanto ammonterebbe la sanzione in questo caso.

Come DPO ricevo richieste di accesso alle immagini della videosorveglianza dei clienti ogni giorno e ciascuna deve essere valutata singolarmente. I clienti si scocciano perchè vorrebbero automatizzare il processo di valutazione e renderlo meno costoso, ma pensare di gestire in modo meccanizzato, schematico e veloce richieste umane, porta al disastro, esattamente come è capitato a Lidl.

Per gli amanti della materia, segnalo questo passaggio di grande interesse:

"Meritano di essere richiamate le menzionate “Linee guida 1/2022 sul diritto di accesso”, secondo le quali “in alcuni casi potrebbe […] non essere possibile dar seguito a una richiesta prima della data in cui è prevista la cancellazione dei dati. Ad esempio se, mentre dà seguito a una richiesta nel tempo più breve possibile, il titolare del trattamento estrae dati personali la cui cancellazione era prevista per il giorno seguente, egli potrebbe aver bisogno di altro tempo per decidere se sia opportuno effettuare espunzioni per proteggere le libertà altrui prima di consegnare una copia dei dati personali al richiedente. Se i dati sono stati estratti entro il periodo di conservazione previsto, il titolare del trattamento può continuare a trattare tali dati al fine di adempiere il proprio obbligo di dar seguito alla richiesta. Il trattamento in questi casi può basarsi sull'articolo 6, paragrafo 1, lettera c), in combinato disposto con l'articolo 15 GDPR, e la sua durata deve rispettare i requisiti di cui all'articolo 12, paragrafo 3, GDPR” (cfr. punto 38 delle citate Linee guida). "

PS: questo articolo è stato seguito, a breve distanza, da un provvedimento identico, ma focalizzato sulle registrazioni audio. Questo post va letto assieme a "Videosorveglianza: forse l'impianto è tuo, ma le immagini no!"

Su questo blog ci sono altri [pcc=total] articoli.
Esplora, cerca, curiosa in giro...

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è sì... allora una birra virtuale è d'obbligo!

Un caso curioso, ma decisamente istruttivo: una scuola è stata sanzionata con una multa di 2.000 euro per gestione inadeguata dei documenti cartacei destinati al macero, che sono stati riutilizzati, e per manifesta cialtroneria nel trattamento dei dati personali. Questo però l'ho aggiunto io, non sono parole del Garante.

Ma perché il titolo fa pensare che sia la studentessa ad essere nei guai, quando la sanzione è stata comminata alla scuola? La risposta è semplice: per me e agli occhi di ogni DPO, il vero problema riguarda solo chi ha subito il danno, ovvero chi vede i propri dati maltrattati, abusati e diffusi illecitamente. Il fatto che qualcuno venga sanzionato è irrilevante e non aiuta minimamente chi ha subito l'abuso. I buoi sono scappati dalla stalla, il latte è stato versato, il dentifricio è uscito dal tubetto... non si può rimetterlo dentro. Non c'è rimedio.

Il tema è interessante per due aspetti della gestione dei dati personali che solitamente vengono molto trascurati: la distinzione tra archivio e rifiuto e la corretta gestione della distruzione sicura dei documenti.

In particolare nel mondo fisico, si tende ad accumulare finché lo spazio lo consente. Ci troviamo così archivi immensi, faldoni polverosi e scatole che nessuno apre da lustri. Ogni tanto, capita che qualcuno prenda a cuore la questione e decida di metterci mano.

Può capitare quando lo spazio finisce, quando non si sa più dove mettere la nuova carta, quando crolla la soletta, quando il DPO segnala una criticità nella gestione documentale.

Qualunque sia la causa scatenante, le facce si fanno scure, vengono chiesti preventivi stellari per lo smaltimento e, come se questo non bastasse, arrivano tutti a metterci del loro.

I vari consulenti parlano di impatto  nella rendicontazione energetica, di indicatori di sostenibilità, di impronta di CO2, di KPI ecc.

Da Archivio a Rifiuto: il punto di non ritorno

In effetti, c'è un momento in cui avviene una trasformazione sostanziale: si passa da ARCHIVIO a RIFIUTO.

Capita esattamente quando "il detentore si disfi o abbia l’intenzione o abbia l’obbligo di disfarsi” di un archivio, un faldone, un documento. Questo significa che quando la carta sulla quale sono stampati i dati personali non è più desiderata, necessaria o utile al suo detentore, può essere considerato un rifiuto.

In quel momento tutto cambia.

Per un archivio contente dati personali "l'heure, c'est l'heure; avant l'heure, c'est pas l'heure; après l'heure, c'est plus l'heure".

Per dirla a modo nostro, un archivio deve essere conservato secondo una policy di retention, un tempo predefinito e non casuale: non si può distruggere prima del tempo, non lo si può tenere più del dovuto. L'azienda deve determinare il tempo di conservazione che, spesso, è molto ampio. L'unica certezza è che un archivio non possa essere conservato per un tempo indefinito oppure che il tempo dipenda da fattori estranei al trattamento (come la mancanza di spazio). Oltre a questo, l'archivio non può essere smaltito allegramente buttando tutto in un cassonetto (o usandolo come carta da riciclo per gli studenti). Questo è un potenziale data breach e molte aziende sono state sanzionate proprio per questo, incluse alcune ASL che hanno messo sul marciapiede scatoloni contenenti vecchi documenti clinici di gente comune. Follia. Per documenti cartacei è necessaria una preventiva distruzione del loro contenuto. Prima di tutto, è necessario distruggere i dati presenti sul supporto cartaceo, solo dopo si può pensare alla carta, qualificarla come rifiuto e gestirla. 

Al contrario, per un ammasso di rifiuti cartacei, il tempo di conservazione non è più una scelta del titolare ma dipende da parametri definiti delle leggi ambientali. Deposito temporaneo, conferimento, smaltimento. Se hai un rifiuto, lo puoi accumulare secondo precisi parametri e, in ogni caso, lo devi conferire almeno una volta all'anno o entro tre mesi se vengono superati i limiti volumetrici o quantitativi.

"Ghe pensi mi"

Buffa questa staffetta  in cui il GDPR passa il testimone (la carta) alla normativa ambientale. Raramente ho visto enti gestire i propri archivi in modo coerente con questo schema. Solitamente si semplifica molto, chiamando uno smaltitore che, gagliardo, rassicura tutti con un confortante "ghe pensi mi", porta via tutto e fine della faccenda.

Le cose sono leggermente più complicate e preoccupanti di quello che sembra. Il gagliardo smaltitore è, prima di tutto, un responsabile del trattamento. Va scelto per affidabilità e capacità di svolgere il lavoro commissionato, va sottoscritto un data protection agreement (o nomina a responsabile del trattamento), va istruito su cosa dovrà fare e come. Al termine delle operazioni, condotte secondo la norma UNI EN 15713, tutto dovrà essere documentato e certificato. Lui, anima candida, non sa cosa gli stiamo dando e, per la cronaca, non è affatto un rifiuto, è ancora un archivio pieno zeppo di dati. In pratica, non basta un mondezzaro qualsiasi, serve un professionista. 

Ma perché così tante aziende sbagliano nella gestione della fine del ciclo di vita degli archivi, confondendoli con semplici rifiuti da mandare al macero?

Beh, non serve Aaryan Shukla per risolvere questa equazione a colpo d'occhio:

1. Definire un criterio per identificare i documenti da smaltire in modo sicuro e quelli meno critici ha un costo.
2. Definire un tempo di conservazione e fare pulizia periodica ha un costo.
3. Distruggere in modo sicuro i documenti cartacei ha un costo.
4. Fare qualcosa per rispettare l'ambiente, diminuire i rifiuti, riciclare e riusare, e quindi diminuire il nostro impatto sul futuro del pianeta, ci fa apparire belli, bravi e coccolosi, e ci fa addirittura risparmiare.

A+B+C+D= catastrofe!

Però, tranquilli, abbiamo salvato l'ambiente e tantissimi cuccioli di foca!

Su questo blog ci sono altri [pcc=total] articoli.
Esplora, cerca, curiosa in giro...

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è sì... allora una birra virtuale è d'obbligo!

Articolo scritto a quattro mani da Christian e Claudia 

NOTA PRELIMINARE: prima di leggere questo deep-dive è necessario rivedere il celeberrimo esperimento del Dr Peter Venkman...

Che cosa è WeWard?
Un'app per iOS/Android da scaricare sul proprio telefonino.

Cosa fa WeWard?
Utilizza il vostro movimento per ricompensarvi. Più camminate, più punti accumulate, più ricompense potete sbloccare.

Come guadagno?
Dopo aver accumulato un certo numero di punti, potete essere pagati cash tramite PayPal/Venmo o ricevere dei voucher per acquisti.

Ma che fico! Mi incentiva a muovermi, gratuitamente!
Sì, ti incentiva a muoverti.
No, non è gratuita.

Ma io non pago il servizio plus, la uso basic con le restrizioni!
Ceeeeerto, tutto gratis.
Il mio WannaMarcometro si sta impennando.

Il modello "a ricompensa" è il social engineering più sottile che esiste: ti convincono a pagare volontariamente e ripetutamente con i tuoi dati comportamentali più granulari in cambio di qualche dollaro al mese. Il ROI per WeWard è asimmetrico per design: il dato di geolocalizzazione + step + abitudini di una persona per un anno vale ordini di grandezza più delle ricompense erogate mensilmente agli utenti attivi.

TL;DR per chi ha 30 anni di red team experience, ma anche per chi pensa che "cammino e mi pagano, fico!"

WeWard è fondamentalmente un data broker con un wrapper di fitness app: il modello di reward (aka ricompensa) è il vettore di social engineering con cui ottengono consenso progressivo ai permessi. Il vero prodotto non sei tu: sei il tuo grafo comportamentale spazio-temporale.

Il grafo in questione è composto da layer, come una piramide; alla base c'è la superficie di raccolta dati. Il core dell'app richiede, e ottiene via consenso "necessario al servizio", cose che fanno venire i brividi:

- geolocalizzazione precisa e continua: non a spot, ma continua, anche in background, con approssimazione di un paio di metri. È necessario? Beh sì, se vuoi usare l'app e ambire alle ricompense; infatti la disabilitazione della geolocalizzazione rende tecnicamente impossibile convertire i movimenti in Wards (unità di misura di fregatura), quindi l'utente è incentivato a tenere tutto aperto. Sempre. Mannaggia a voi!
Piccolo Spazio Red Team: da una prospettiva di attaccante, conoscere posizione casa/lavoro/palestra/chiesa/clinica di una persona con cadenza giornaliera è più prezioso di un dossier OSINT fatto a mano.. Strava insegna ;)

- contatti e social graph: il sistema identifica gli "amici" che sono utenti dell'app, con lo scopo dichiarato di invitarli. In pratica: graph extraction del social network fisico dell'utente (aka glieli dai in pasto tu, come le vendite a passaparola del Folletto). La cosa buffa: i tuoi amici, i cui dati stai allegramente vendendo ad una data company, non sono stati informati, non hanno detto "ok fai pure, volentieri" e subiscono la tua scelta senza poter fare nulla per impedirlo. Con amici come te, chi ha bisogno dei nemici?

- permessi pericolosi secondo Apple/Google: l'app richiede accesso alla media library, al Bluetooth, al calendario, alla fotocamera e ai contatti. Nessuno di questi è strettamente necessario per contare passi, no? Il Bluetooth in particolare permette alla app di acquisire una miriade di dati ulteriori e apre attack surface verso wearable e dispositivi IoT in prossimità - che non si dica poi che sono gli spazzolini ad essere i cattivi della storia!

- IPbase tracker: ah, la meraviglia! Il tracker IPbase viene usato per identificare la posizione geografica tramite IP e, combinato con il GPS, costruisce ridondanza nella geolocalizzazione (impossibile evasion). Fun facts: se durante un ape da amici ti colleghi al wifi di casa ed usi il loro indirizzo IP, stai geolocalizzando anche la casa dei tuoi amici.

Se non vi siete spaventati fino a qui, aggiungo un altro layer: l'ecosistema SDK, che è il vero problema.
Perché qui sta la criticità più grave per chi conosce la supply chain del mobile advertising: gli SDK pubblicitari dichiarati includono Ironsource, Applovin, Adcolony, Unity, A4G, Bidmachine, DT Exchange, Google AdMob, InMobi, Liftoff, Meta, Mintegral, Ogury, Verve, Pangle, Line, App Prizes, Ayet Studio, MyChips, Tapjoy, Bitlabs, CPX, PrimeSurvey, TapResearch e Theorem Reach - e ho citato solo i mainstream, ma per la maggior parte di chi legge sarà solo una lista di "robe" mai sentite.

20+ entità separate, ognuna con le proprie privacy policy, ognuna che raccoglie la propria fetta dei tuoi dati. Il claim "we never sell your data" di WeWard è tecnicamente vero, ma ogni SDK è un data controller separato che ha accesso ai tuoi dati nel momento in cui renderizza un'ad o esegue attribution. Questa è l'architettura del mobile ad ecosystem, ed è by design (citerei Z nel primo capitolo di MiB, al ricevimento del messaggio degli Arquiliani, ma non vorrei essere poco educata).

La cosa interessante è che Amplitude e Firebase sono usati come analytics "non soggetti a consenso" in quanto strettamente necessari al servizio, il che significa che questi due SDK girano a prescindere dalle tue preferenze sulla privacy.

Analisi di dettaglio di WeWard, versione 8.14.2 aggiornata ad oggi 11 aprile 2026. Accanto a ciò che giudico più preoccupante c'è una faccina arrabbiata.
Accanto a ciò che giudico normale, necessario per il funzionamento dell'app e non preoccupante, c'è una faccina felice. (...esatto!)

Trovo interessante confrontare i warning presenti sui diversi store apple/google:

"Ma l'app è europea, non possono usare i miei dati senza consenso!"
Lads and Fags, il prossimo layer: ecco il modello finanziario cross-border e il KYC involontario, che rende la trama terrificante dal punto di vista di un security analyst.

WeWard è un'entità francese (WeWard SAS, SIRET 85361417000035, 111 Avenue Victor Hugo 75016 Paris) che paga gli utenti tramite PayPal e Venmo, entrambi soggetti al framework regolatorio USA (BSA, FinCEN, Bank Secrecy Act).

Purtroppo questo crea uno scenario paradossale:
- i tuoi dati personali sono sotto EU GDPR (protezione alta in teoria)
- il tuo payout finanziario passa per piattaforme soggette al diritto americano (la protezione è a seconda di chi si sveglia per primo)
- per ricevere denaro via PayPal/Venmo devi fornire identità finanziaria reale: nome legale, indirizzo, email, potenzialmente SSN/CF

Con il risultato che WeWard finisce per raccogliere due livelli di identità distinti: il profilo comportamentale (GPS, passi, abitudini, ..) e l'identità civile hard (dati finanziari per il payout). La combinazione è il target ideale per un data breach di alto, altissimo valore!

Aggiungerei un dettaglio che complica le cose: Paypal ha appena modificato unilateralmente le proprie politiche e ha deciso di utilizzare i dati in suo possesso per sviluppare un sistema automatizzato di valutazione della solvibilità, noto anche come credit scoring. Non sarà divertente vedere mutui negati a causa della vita troppo sedentaria e al conseguente rischio cardiovascolare, oppure prestiti negati a causa dell'assidua frequentazione di locali alla moda o per il troppo tempo passate a correre peri boschi dell'appennino, anziché chini sulla scrivania in ufficio a fatturare. Se aggiungo il fatto che i dati sono allegramente condivisi e venduti, non è difficile ipotizzare effetti concreti e tangibili sull'assicurazione del motorino e su perché non ti hanno risarcito le spese sanitarie di quelle cure o esami... nonostante la polizza le preveda.

A metà della piramide c'è il trasferimento cross-border, che vedo benissimo come come attack vector strutturale.
WeWard ammette che alcuni provider analytics e notification hanno server in paesi fuori UE, specificamente USA, Madagascar e UK, che non hanno ricevuto una adequacy decision dalla Commissione Europea.

Le Standard Contractual Clauses citate come remediation legale sono, dalla prospettiva di un utente finale in caso di breach in Madagascar, essenzialmente carta straccia sul piano del remedy pratico.

Ora, la maggior parte delle persone che installa questo tipo di app (una delle più famose è stata Sweatcoin) vuole solo una cosa: soldi, voucher, sconti, gift cards, insomma: la ricompensa. E sono disposti a dare i loro dati in pasto a chi può garantire loro questa ricompensa, trasformando i passi fatti in moneta.

A questo punto, compare come un pop-up della  memoria il Dr Venkman che dice "Ti sei offerto volontario, no? Ti paghiamo, non è vero?"

WeWard usa un algoritmo anti-cheat per rilevare comportamenti sospetti, come la simulazione artificiale di passi, la geolocalizzazione, la visualizzazione incoerente di ad, la falsificazione di acquisti in-app o referral. Il problema è che questo algoritmo è una black box opaca.. molto opaca!

Lo dimostra abbondantemente il pattern su Trustpilot: account bannati senza motivo apparente dopo il primo payout, con utenti che hanno ricevuto solo risposte automatiche e hanno perso mesi di dati e reward.

Come dite? Su Trustpilot ci sono solo recensioni al 80% positive?
Già.. Molte recensioni negative sono sparite, ma potete ancora vedere le 1-star più recenti.

A pensarci, questa è la exit strategy perfetta per un reward model: raccogliere dati per mesi, poi rifiutare il payout con un false positive dell'anti-cheat.
E nessun remedy legale praticabile per importi sotto $50.

Non vi sta bene?
Account terminato.

L'ultimo layer ce lo regala NowSecure, che ha rilevato nell'app permessi pericolosi, una discrepanza (in verità più di una) nella dichiarazione della privacy, raccolta di informazioni sensibili e connessioni in uscita verso server esterni non documentati, con il rischio che dati sensibili vengano esposti a terze parti non autorizzate (in caso l'app venisse usata su device BYOD).

Ho io una domanda adesso: dove camminate di più?
Cioè: cosa giustifica la ricompensa nel vostro ecosistema personale? La passeggiata fuori? Certamente. Il tapis in palestra? Il cane ogni giorno alle 22, anche se piove? Ovvio.

Ma dove passate molto del vostro tempo? Esatto, al lavoro. E magari svolgete un lavoro che vi porta a camminare abbastanza. Magari dovete passare da una parte all'altra dell'ufficio, spostarvi per andare da un posto A ad un posto B.

Se avete installato WeWard su un device che accede a VPN corporate, intranet, o email aziendali, per guadagnare $10, state potenzialmente esponendo informazioni di rete al behavioral profile di 20+ ad network. L'azienda è stata avvertita? Non farlo potrebbe riservare brutte sorprese.

Gergo tecnico: classico BYOD risk amplificato da un'app con attack surface enorme.

Per chi volesse andare più a fondo: con un'analisi del traffico con mitmproxy/Frida su un device dedicato, si evidenzierebbero quasi certamente endpoint non documentati nella privacy policy, soprattutto per gli SDK di terze parti, anche perchè sfuggono al controllo di WeWard stessa, Non che questo mitighi la sua posizione, dato che quegli SDK sono li perché WeWard li ha voluti e aggiunti alla App e non pro bono, non sono certo li per caso.

L'attuale policy è volutamente opaca sul "puoi ottenere la lista completa dei nostri processor via email", un pattern classico per evitare scrutiny automatica.

Ho udito: "ma tanto io non ho nulla da nascondere"... vero, infatti non fai nulla per nascondere il fatto che tu sia deficiente. Prego, installa WeWard, installa pure. Auguri.

Passiamo all'analisi dei Termini e Condizioni dell'app.

Contrariamente a quanto richiesto dal GDPR, parte dei contenuti dell'informativa sono annegati nel contratto che regola il servizio e, con poca sorpresa, sono dichiarazioni molto rilevanti:

1. Assenza di riservatezza sui contenuti trasmessi: Nei termini viene specificato che l'utente "riconosce e accetta di non beneficiare di alcuna aspettativa di riservatezza riguardo alla trasmissione del suo contenuto". Questo include esplicitamente informazioni estremamente personali come dati di geolocalizzazione, dati sull'attività fisica, immagini e messaggi.

2. Veridicità dei dati forniti: L'utente si impegna a fornire informazioni esatte, complete e aggiornate al momento della registrazione, ma questo impegno è a senso unico e non trova simmetria nelle promesse dell'App.

3. Divieto di manipolazione dei dati: Viene fatto esplicito divieto di falsificare i dati inviati all'applicazione (ad esempio simulando artificialmente passi, alterando i punti di geolocalizzazione o falsificando dati di attività fisica o di acquisto tramite software terzi).

Inoltre, i Termini & Condizioni  prevedono:

• Trattamento "necessario": si dichiara che l'utilizzo dei servizi comporta la raccolta e il trattamento di dati personali. Si stabilisce che, al momento della registrazione, l'utente riconosce e accetta tale trattamento in conformità alla legge applicabile e alle disposizioni dell'Informativa sulla privacy.
• Geolocalizzazione e Attività fisica: per beneficiare di alcuni servizi e ottenere ricompense (i "Ward"), è obbligatorio acconsentire alla condivisione della geolocalizzazione e al monitoraggio dell'attività fisica tramite i sensori dello smartphone o dispositivi connessi.
• Connessione tramite account terzi: se l'utente crea o collega un account utilizzando servizi di terze parti (come Facebook, Apple o Google), autorizza WeWard ad accedere ai dati del profilo necessari per la registrazione. I termini chiariscono che WeWard declina ogni responsabilità per i dati che vengono trasmessi a causa di impostazioni di riservatezza deboli scelte dall'utente su tali piattaforme esterne.

Il GDPR e le linee guida europee stabiliscono che l'informativa e le richieste di consenso per il trattamento dei dati personali debbano essere chiaramente separate e distinguibili dal resto del contratto o dalle condizioni generali di servizio. Le linee guida del Comitato Europeo per la Protezione dei Dati (EDPB) precisano che le informazioni necessarie per prendere una decisione informata non possono essere nascoste all'interno delle condizioni generali di contratto o di servizio.

WeWard parte maluccio.

Ecco l'analisi della "politica sulla protezione dei dati personali" dell'app.

In estrema sintesi, ci sono TRE BLOCCHI di trattamenti.

Il primo blocco riguarda ciò che è necessario per eseguire il contratto perché, ricordiamolo, la app eroga un servizio e, anche se non te ne sei accorto, hai firmato un contratto per attivarlo.

E qui parte subito l'embolo perché non si può proprio leggere che per eseguire il contratto è necessario il consenso. È una contraddizione in termini perché il consenso è sempre facoltativo e può riguardare solo ciò che non è necessario, sicuramente non per eseguire il contratto. Ad occhi ingenui potrebbe sembrare un errore ma è ben altro: una lucida e consapevole violazione della legge. Non siamo più all'alba dell'a privacy, il GDPR ha 8 anni, è tardino per provare a sostenere di aver frainteso ciò che chiede. 

Quanta ipocrisia c'è nella dicitura "per consentire il corretto utilizzo dell'applicazione"? In una informativa privacy, il consenso è una cosa molto specifica. N on ci viene chiesta una generica autorizzazione affiché la app possa funzionare correttamente, questo dipende dalla capacità del programmatore, non dagli utenti. Si impone un consenso obbligatorio a determinati trattamenti. PORCATA ATOMICA. Chiunque si occupi di privacy da più di un mese, sta urlando di dolore.

Subito dopo arriva la geolocalizzazione. Nei T&C pareva necessaria, qui pare facoltativa. Sarebbe bello se in WeWard faceste pace con il cervello e deste una versione univoca sulla questione. In realtà, da quello che vedo, si tratta di dati necessari solo se si vuole usare una funzione, quella delle card e delle ricompense, che poi è il motore principale e fondamentale dell'app stessa. Si, magari c'è chi la installa al solo fine di vedere un panda tra le icone, ma tutti gli altri, questa funzione la devono usare. Definirla "facoltativa" rasenta la presa per il culo.

Una chicca di questa categoria di trattamenti, necessari per eseguire il contratto è questa:

Provo a tradurlo per come suona alle mie orecchie: "ogni cosa che farai o caricherai, sarà spremuta fino all'ultimo bit. Se carichi una foto, per esempio, acquisiremo ed useremo senza vergogna qualsiasi informazione anche se nascosta o invisibile. Se non sai che il tuo telefono registra una miriade di informazioni in ogni foto, cazzi tuoi, arrangiati."

Dulcis in fundo, arriva la cosa più odiosa. Non è tollerabile che Weward inganni l'utente, ma che lo inganni in modo da indurlo a consegnare dati di altre persone è ripugnante. 

Con questo testo, coccoloso e rassicurante, si cerca di imbellettare ciò che avverrà, facendo credere all'utente che sia tutto bello e trasparente, ma così non è. Viene sottolineato più volte il concetto di controllo e consenso, peccato che WeWard "si dimentichi" di dire all'utente che quei dati non sono suoi e che lui, anche se amico, non ha alcun diritto di esprimere consenso all'uso dei dati di terzi. Ooops! Piccolo particolare omesso.

Arriva ora il secondo blocco di trattamenti, quello basato sul consenso. E qui si ride a crepapelle.

PROFILAZIONE per fini di marketing, basata sui comportamenti e sulla geolocalizzazione. Porca vacca! Vabbè, basta non dare il consenso, vero? Ma arriva spavalda una bugia che farebbe impallidire il Barone di Muenchhausen: "quando disattiva questa funzionalità ... sarà tecnicamente impossibile per noi raccogliere le informazioni relative alla sua attività fisica e alla sua localizzazione, il che impedirà il tracciamento e/o la conversione dei suoi movimenti in Ward." 

Peccato che il dispositivo (qualsiasi) possa raccogliere ed elaborare i dati necessari e passarli all'applicazione per fare ciò che dichiara di voler fare. Ma WeWard non vuole solo dar corso al contratto, vuole di più e non tollera l'intermediazione del sistema operativo perché le farebbe perdere quella massa di informazioni (dati grezzi e metadati) che veramente desidera. Per farci cosa? Beh, questa è una bella domanda che una Autorità Garante dovrebbe proprio rivolgere a WeWard.

Altro? Una fettina di culo? Sono 3 Kg, che faccio, lascio?  Ma anche di più.

Oltre a questa profilazione per uso interno, c'è poi un ulteriore consenso che spalanca alla PROFILAZIONE PER FINI DI MARKETING DI TERZI... cioè alla profilazione che WeWanrd è in grado di estrarre da ogni click, ogni scroll, ogni passo, ogni link aperto, ogni dato del dispositivi o della connessione, ogni luogo, ogni cosa e...  solo se diamo il nostro consenso, se proprio proprio lo vogliamo intensamente, darà tutto in pasto ai peggiori alligatori della plaude putrescente del marketing online.

WeWard ha ammazzato la privacy: i consensi fantasma.

Mi aspetto che, data la premessa, da qualche parte arrivino le richieste di consenso, ma parecchie perché, stando all'informativa, di consensi necessari ne ho già contati parecchi. 

Ecco, a dirla tutta, questo è il punto che più mi perplime. Ho installato la app, l'ho usata, ho avuto una xp utente completa e mai, nemmeno una volta mi è stato chiesto un consenso al trattamento dei dati personali. M A I.  Giuro che, quando ne vedo uno, lo so riconoscere e usando l'app non ce n'è nemmeno l'ombra. L'unica cosa che ho visto è una richiesta a livello di sistema operativo per attivare le notifiche (ovviamente negata) e un'altra richiesta per attivare la geolocalizzazione presentata accedendo ad una funzione che la richiede (le cards), ma è una cosa ben diversa dal chiedere il consenso in app per un trattamento previsto dall'informativa. Proseguendo nell'uso, le varie funzioni sono proposte in modo graduale e progressivo, una ogni tanto, per non dare all'utente l'impressione di essersi venduto anche la nonna. In ogni caso, sono tutte attivazioni che demandano la gestione del consenso alle scarne autorizzazioni richieste dal sistema operativo. No, cara WeWard, non si fa così. Questo significa essere marci dentro. Chiedete pure al vostro DPO e vedrete che vi deluderà, ma non sarà licenziandolo che risolverete il problema: state facendo un disastro, dichiarate nell'informativa che trattate dati sulla base del consenso, ma vi siete dimenticati di chiederlo.  Se pensate che alcune generiche autorizzazioni a livello di sistema possano avere la stessa valenza di un consenso valido, siete veramente ignoranti. Solo un coglione può pensarlo specialmente dopo tutti questi anni, dopo i pareri dell'EDPB e dopo le pronunce della corte di giustizia, anche gli idioti sanno che questa autorizzazione al S.O. non è un consenso valido perché non rispetta i requisiti specifici di granularità, libertà e informazione. E credetemi, vi sto facendo un complimento, perché l'unica alternativa è che siate in palese malafede, che è peggio.

A pensarci bene non sono solo perplesso, sono schifato dalle vostre scelte, preoccupato per la quantità di persone coinvolte, deluso dalla totale assenza di controlli!

Il terzo blocco riguarda i trattamenti effettuati sulla base del legittimo interesse e leggendolo, forse, vi devo delle scuse, probabilmente non siete in malafede... semplicemente non avete capito nulla della normativa in materia di protezione dei dati personali.

Vedo un lungo elenco di trattamenti, molti dei quali non sono affatto riconducibili al legittimo interesse, ma ad obblighi legali o all'esecuzione del contratto con l'utente. Avete sbagliato e, in questa materia, sbagliare significa mettersi in grossi guai e commettere una violazione al GDPR. Se pensate che il legittimo intesse giustifichi questi trattamenti, vorrei proprio mandarvi una richiesta di OPPOSIZIONE AL TRATTAMENTO per bloccare un o o più di questi trattamenti, cosa che chiunque può fare se la base di legittimazione è quella, e vedere la vostra faccia. Ne potrebbe uscire un fantastico meme.

Non penso che vi rendiate conto in che razza di casino vi siete messi con questa sciagurata scelta. Ecco un collage dei trattamenti fuori posto, che non hanno nulla a che fare con il legittimo interesse:

Il resto dei trattamenti che elencate sono misti, per me molti sono da ricondurre al consenso ma si potrebbe discutere. In ogni caso avete comunque calpestato ogni diritto dei vostri utenti perché nelle opzioni non vi è alcun modo ne per manifestare il consenso (opt-in - se richiesto) né per esercitare il diritto di opposizione per gli altri trattamenti (opt-out).

Per un immeritato senso di pietas mi fermo qui con l'analisi puntuale, ma non senza fare una smorfia di disprezzo vedendo l'ultimo blocco di trattamenti, quelli  relativi alle terze parti, con le quali intrecciate rapporti di malaffare. Sì, nemmeno quelli sono a norma. Si tratta di marketing, profilazione, comunicazione dati, arricchimento di dati: tutta roba che richiede uno specifico consenso degli utenti, altro che legittimo interesse!

Anche tutto ciò che segue è raccapricciante:

i trattamenti automatizzati descritti come se fossero una bella cosa e senza nemmeno citare il necessario intervento umano nelle decisioni; i trasferimenti nei paesi terzi; i tempi di conservazione discutibili e incongrui; la condivisione dei dati con una schiera di avidi destinatari; i tracker... ma si può? Questa va raccontata: fottendovene allegramente della vostra stessa dignità, affermate si non usare quei brutti e cattivi cookie traccianti... no, quelli no... voi usate gli SDK, anime candide, senza spiegare che sono infinitamente peggio, come ben spiegato sopra. In questa informativa vengono raccontate le peggiori nefandezze come se fossero regali, concessioni, affermazioni di comportamenti benemeriti e desiderabili. Non è semplicemente una vostra particolare narrazione, è prendere per il culo la gente, la legge e le autorità Garanti.

Ribadisco, se un Garante qualsiasi ci guardasse dentro, cadrebbe dalla sedia.

Asimmetrie che contano... darkpattern in omaggio per tutti!

Nel mondo della data protection, la simmetria conta molto. La semplicità con cui si può attivare un trattamento deve comportare una simmetrica facilità di disattivazione. Dare il consenso con un click implica che lo si debba poter revocare con un click. 

Se questa asimmetria manca, allora c'è un dark pattern ed una grave violazione del GDPR. Non siete d'accordo? importa poco, questa è una certezza acclarata, non c'è nemmeno bisogno di discutere.

Per attivare tutti i trattamenti ho fatto ben poca fatica: click per scaricare e via... verso l'infinito ed oltre, senza alcuna richiesta di consenso che possa rallentare il fantastico funnel, senza intoppi, tutto liscio come l'olio.

Al contrario, per cancellare l'account è necessario trovare la funzione (abbastanza annidata e posta come ultima cosa dopo uno scroll notevole), superare l'aspetto minaccioso della funzione, superare un banner di avvertimento decisamente allarmato, confermare la propria scelta scrivendo con caratteri maiuscoli CANCELLA. Per attivare l'autodistruzione della USCSS Nostromo servono meno passaggi.

Volendo ignorare per un attimo tutta la questione dei consensi fantasma illeciti, quelli che dovreste chiedere e che, forse per farci un favore, date per scontato senza sottoporci alcuna fastidiosa scelta, c'è una grossa asimmetria rispetto alla loro gestione o modifica.

Nell'informativa, WeWard scrive:

"Potrà revocare il suo consenso in qualsiasi momento contattandoci all’indirizzo e-mail indicato alla fine della presente Politica o direttamente dalle impostazioni dell’Applicazione Mobile."

Hem., hem, qui qualcosa deve essere andato storto. Mandare una email? Nulla di meno probabile, occorrerebbe qualificarsi, dare prova della propria identità, spiegare bene quale consenso si intende revocare. Diciamo che non è proprio una procedura semplice ed alla portata di tutti e le tempistiche non sono certo incoraggianti. 

Per fortuna è prevista una impostazione direttamente nell'App. Si, buona quella. 

Intanto è annidata in un labirinto e occorrono 5 TAP per raggiungerla: TAP Applicazione, TAP Area utente, TAP Rotella impostazione, TAP Privacy, TAP Modifica i miei consensi.

Superato questo ostacolo comunicativo (un vero Dark Pattern) si può trovare un'impostazione che, però, non funziona. Clicchi e non fa nulla. Che sorpresa! Un Bug? Nulla di intenzionale? Si, certo, come no, l'importante è crederci. Per fortuna, questo scempio lo vedranno solo i quattro gatti che si interessano della propria esistenza digitale. Speriamo che non venga mai portata all'attenzione di una Autorità Garante qualsiasi, sarebbe proprio una tragedia. Acciderbolina, che disdetta.

Ragazzi, non usavo questa app, non sono il genere di persona che si prostituisce per quattro noccioline, non vi conoscevo. Ora che l'ho fatto, ho una sola cosa da dirvi: farò di tutto per far sapere alla gente ciò che dovreste spiegare voi.

NOTA CONCLUSIVA: Se usi WeWard ... ora puoi "incazzarti a morte!"

Su questo blog ci sono altri [pcc=total] articoli. Esplora, cerca, curiosa in giro...

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è si... allora una birra virtuale è d'obbligo!

P.S. Questo articolo va letto in parallelo a quello che ho scritto con riferimento alle omologhe malefatte di Nvidia.

Passa la Apple-car, che sfiga!

A volte capita di compiere qualche marachella proprio davanti ad un DPO in pausa. Purtroppo i DPO non "fanno" i DPO, i DPO "sono" DPO, quindi anche mentre mangiano il gelato s'incazzano!

Quante probabilità c'erano? Ne basta una.

Dato che ci saranno delle spiegazioni da dare a gente che, come me, si lamenta, penso che Apple debba interpellare al volo un DPO, di quelli che sanno anche dire "no". Purtroppo, ho il sospetto che le indicazioni  del collega avrebbero lo stesso effetto dei roboanti proclami sanzionatori del Garante: un accidenti di niente.

Oltre al DPO, forse servirebbe anche l'Acutil, il Memoril, o altre specialità "senza indicazioni terapeutiche approvate", perché comportarsi esattamente come ha fatto Google, attirando su di sé pesanti sanzioni da parte del Garante Privacy, potrebbe essere una cosa molto stupida... oppure molto intelligente, in effetti dipende dai punti di vista.

“I precedenti di Google Street View” di cui Apple avrebbe potuto beneficiare:

Google Street View: le auto dovranno essere riconoscibili - 15 ottobre 2010

Comunicato stampa relativo al provvedimento del 15 ottobre 2010

Ordinanza di ingiunzione nei confronti di Google Inc. - 18 dicembre 2013

Google paga una multa da 1 milione di euro inflitta dal Garante Privacy per il servizio Street View 

Provvedimento di parziale esonero dall'informativa nei confronti di Google Inc. in relazione al servizio Street View-Special Collects - 4 dicembre 2014

Google Special Collects: sì alle riprese ma assoluto rispetto per la privacy delle persone (comunicato stampa)

Cosa hanno insegnato al mondo questi provvedimenti? Cosa avrebbe dovuto prendere in considerazione Apple prima di sguinzagliare le sue macchinette ficcanaso per le strade d'Europa?

I provvedimenti hanno tracciato i criteri che ritroviamo oggi nel GDPR e che sono applicabili ad un contesto ben specifico: Google Street View e la sua evoluzione per luoghi pedonali Google Special Collects. 

Il principio fondamentale, come sempre, è la ricerca del bilanciamento tra il legittimo interesse di mappare il territorio e il diritto dei cittadini di essere informati preventivamente per potersi sottrarre alla "cattura" della propria immagine.

Cosa dovrebbe fare chi mappa le strade

Per Google Street View (Mappatura tramite autovetture), il Comportamento giudicato illecito o problematico consiste nell'inidoneità e nella tardività dell'informativa: Google ha acquisito immagini in aree pubbliche senza che i cittadini fossero adeguatamente informati del passaggio delle Google Cars, rendendo impossibile l'esercizio del diritto di opposizione, vanificando la possibilità di sottrarsi alla ripresa. Illecito trattamento per una banca dati di enormi dimensioni. Non male. Se un kebabbaro prende alcune migliaia di euro di sanzione per una singola videocamera senza cartello, quanto meriterebbe Google? Brutto argomento di questi tempi.

A prescindere dalle sanzioni, il Garante ha prescritto precise misure correttive che, a suo giudizio, permetterebbero di rendere lecita l'attività:

1. Riconoscibilità: Le vetture devono essere inequivocabilmente identificabili con adesivi/cartelli ben visibili, prima del loro passaggio, non dopo!

2. Preavviso Online: Pubblicazione sul sito Google delle località/quartieri da visitare, con 3 giorni di anticipo.

3. Preavviso Offline: Avvisi preventivi sulle pagine di cronaca di 2 quotidiani locali e su radio locali per ogni regione.

4. Oscuramento: Obbligo di oscurare preventivamente volti e targhe.

5. Rappresentante: Nomina di un rappresentante in Italia.

Per Google Special Collects (Mappatura a piedi in siti archeologici, musei, parchi, spiagge), cambiando il contesto, cambia anche l'applicabilità delle regole standard: gli avvisi radiofonici/stampa sono stati considerati sproporzionati e poco utili per luoghi remoti, al chiuso o ad accesso limitato (dove il rischio per la privacy è diverso rispetto alle strade urbane cittadine).

In questo contesto, le misure correttive che permettono di rendere lecita l'attività sono leggermente differenti:

1. Informativa Semplificata: Esonero dagli annunci su radio e giornali.

2. Preavviso Partner: Oltre ai 3 giorni sul sito Google, avviso sui siti web (e newsletter) dei Partner/Enti ospitanti 7 giorni prima.

3. Cartellonistica: Obbligo di affiggere cartelli di avviso all'ingresso dei luoghi ad accesso controllato.

4. Operatori Riconoscibili: I "trekker" a piedi devono avere adesivi o segni distintivi chiari su abbigliamento e zaino (apparecchiature).

5. Orari: Riprese preferibilmente in orari di chiusura o di minor afflusso.

Siamo bel lungi da un divieto, ma usare il legittimo interesse come base giuridica per la mappatura richiede gente in gamba, capace di effettuare un test di bilanciamento serio e applicare misure di mitigazione (informativa effettiva, possibilità reale di opposizione, minimizzazione, oscuramento ecc.)

Odo in lontananza il brusio dei soliti quattro gatti spelacchiati che, non avendo capito nulla di protezione dei dati personali, dopo aver chiesto conforto all'Oracolo (Chatgpt) si stanno sbracciando perché, secondo loro, in un luogo pubblico si può fare quello che si vuole eccetera eccetera. No, ragazzi, non è affatto così, non si può fare quello che si vuole con la faccia della gente sui marciapiedi, con le targhe delle macchine, con le facciate dei condomini, le vetrine dei negozi, ecc. 

Comunque, tornando ad Apple, a corredo di questo scenario ci sarebbe anche l'enorme scandalo globale, accertato da indagini che hanno coinvolto più Autorità europee, noto come "Wi-Spy". Il Garante Italiano, sempre nell'ambito dell'acquisizione delle immagini Google Street View, ha aperto un altra istruttoria, imponendo di interrompere qualsiasi raccolta e trattamento dei dati relativi alle reti wifi e al loro SSID (i "payload data"), e ha trasmesso gli atti in procura ravvisando un paio di ipotesi di reato (art.617-quater e art.617-quinquies)... cosucce che hanno indotto Google a interrompere immediatamente la raccolta dati e a collaborare fattivamente. 

In questo bel quadretto, Apple che fa? Diciamo che applica una propria interpretazione creativa e sgarzullina di ciò che bisognerebbe fare. Se fossi diplomato alla Sorbona, azzarderei un'espressione forbita e ricercata che si usa da quelle parti: "se ne fottono!"

Come si sta muovendo Apple

Eccoci, dunque, faccia a faccia con la macchinina farabutta: Milano, un bel pomeriggio di fine Marzo 2026, pieno centro, via Monti... arriva la Apple Car senza alcun avviso, senza alcuna indicazione. Solo dopo il passaggio della macchina diventano visibili gli adesivi sul fianco e sul lunotto posteriore. Utilissimi, non c'è che dire, sono una bella pubblicità ambulante, ma  sono decisamente meno utili a chi intenda sfuggire alla cattura. Temo che Apple abbia "frainteso" il Garante. Alla Sorbona direbbero: "lo stanno pijà per culo!"

Non è piacevole scoprire in questo modo che un emissario di Apple stia registrando ogni cosa che accade in prossimità della anonima macchina bianca.

Ma soltanto dopo, frugando sul sito web di Apple, che si tocca con mano il massimo del minimo. Come previsto dal Garante, una pagina con le informazioni c'è, ma è talmente approssimativa da rasentare il ridicolo:

Pagina ufficiale Apple Maps Image Collection per l’Italia

https://maps.apple.com/imagecollection/locations/it/it e https://maps.apple.com/imagecollection 

Forse uno zoom rende meglio l'idea:

"La macchina di Apple passerà tra il 9 marzo ed il 9 settembre". SEI MESI... una finestra temporale gigantesca, palesemente inutile per capire quando la famigerata macchinetta passerà davanti al tavolino del bar dove gusterò il mio gelato quotidiano. Non penso che possa considerarsi un appuntamento e, ai miei occhi, nemmeno una indicazione sensata.

La Lombardia, in effetti, è una zona complicata... magari nelle altre regioni va meglio? Vediamo... macchè!

Ciò che sembrava una approssimazione grossolana cambia sapore e inizia ad assomigliare ad uno scherzo di pessimo gusto: Apple, questo faro di organizzazione, modello di imprenditoria, esempio planetario di efficienza, ha indicato lo stesso range temporale di 6 mesi per tutte le attività di mappatura in Italia.

In altri contesti, Apple si comporta diversamente: sulla pagina generale di Apple Maps Image Collection, per gli USA viene indicata una finestra temporale annuale e l’elenco delle contee coperte, con descrizione per tipo di survey (vehicle, backpack, transit), quindi Apple è perfettamente in grado di pianificare e comunicare con granularità i propri passaggi.

Non farlo, quindi, è una scelta.

Non farlo nonostante un preciso obbligo, cos'è?

Non è incapacità tecnica, è una scelta di design dell’informativa che, a mio giudizio, integra una violazione degli obblighi di trasparenza (artt. 12 e 13 GDPR): una smunta paginetta web, difficile da trovare, dal contenuto meramente formale, privo di valore informativo e, sicuramente, senza alcun valore informativo per le persone che desiderano proteggere la propria immagine evitando di essere riprese dal passaggio delle Apple car. Cosa faccio, resto in casa 6 mesi, ovunque io sia in Italia? Ma per favore!

Il Garante chiede qualcosa di ben diverso, l'agenda dei passaggi, la mappatura preventiva delle strade e dei luoghi coinvolti, con un anticipo minimo di 3 giorni, utile per consentire alle persone di organizzarsi, per spostare la macchina che non desiderano venga ripresa, per evitare di esporsi fisicamente durante il passaggio, per fare i fatti propri al riparo dalle videocamere ad altissima definizione della macchina di Apple.

Quindi, nonostante la piena consapevolezza di ciò che sarebbe necessario fare, Apple ha deciso di effettuare un'attività di mappatura, estremamente invasiva per tutta la popolazione, prescindendo da ogni misura di mitigazione necessaria, ignorando le indicazioni che il Garante ha messo nero su bianco con riferimento alla stessa identica attività effettuata dalla concorrenza. 

Francamente, se fossi il Garante Privacy, mi sentirei offeso e preso per i fondelli. Probabilmente questo non sta accadendo e mi domando perché.

Garante Privacy... "magna tranquillo", che tanto qui va tutto bene!

Perché è un problema di sistema (non solo di privacy)

A scanso di equivoci, quando dico "va tutto bene", intendo questo:

L'utilizzo di telecamere di sorveglianza montate su flotte di veicoli usate per mappare le città rappresenta uno strumento di raccolta dati di una potenza senza precedenti e conduce ben oltre la semplice violazione della privacy individuale (come scattare una foto a qualcuno in un momento imbarazzante). Se analizzati in un'ottica maliziosa e distopica, i dati acquisiti da queste "telecamere mobili" possono essere sfruttati per implementare forme di controllo sociale e sorveglianza di massa estremamente invasive e, al contempo, invisibili agli occhi della gente.

Chiunque abbia accesso ai dati grezzi e non filtrati (prima che i volti o le targhe vengano offuscati), come un governo autoritario, un'azienda senza troppi scrupoli, un criminale informatico,  potrà farci ciò che vuole. Ad esempio:

1. "Scoring" Socio-Economico e Redlining Assicurativo

Le telecamere non registrano solo strade, ma lo stato delle proprietà. Un'analisi algoritmica invisibile potrebbe scansionare ogni singola abitazione per creare un punteggio di affidabilità, di ricchezza o di rischio. Alcuni effetti concreti?

Aumenti invisibili: Le compagnie assicurative potrebbero acquistare questi dati per valutare lo stato dei tetti, la presenza di crepe nei muri o l'incuria del giardino, alzando i premi assicurativi senza dover mai inviare un perito e, forse, senza nemmeno spiegare le ragioni.

Marketing predittivo (e predatorio): Identificare auto vecchie, vernice scrostata o giocattoli rotti in cortile per bombardare i residenti con pubblicità di prestiti ad alto tasso di interesse o servizi di recupero crediti.

2. Wardriving e Mappatura Invisibile delle Reti

Questi veicoli non sono dotati solo di occhi (telecamere), ma spesso di antenne che collezionano dati. Cosa ci facciamo?

Sniffing dei dati: Oltre a mappare il Wi-Fi per la geolocalizzazione, un uso malevolo prevede l'intercettazione dei "pacchetti payload" delle reti non protette. (Nota storica: come già citato, questo è un rischio reale, accaduto "per errore"* in passato proprio durante le mappature commerciali).

Inventario dei dispositivi: Registrando i segnali Bluetooth e gli indirizzi MAC, si può sapere esattamente quanti smartphone, smart TV o dispositivi medici connessi ci sono in una specifica casa.

* definizione di "errore": far credere che l'installazione sulle auto di antenne e software di cattura sia avvenuto a causa di un fraintendimento nell'assegnazione dei task allo stagista.

3. Estrazione di "Pattern of Life" e Grafo Sociale Ombra

Passando più volte nello stesso quartiere in orari o giorni diversi, i dati grezzi possono ricostruire la routine di intere popolazioni. A cosa servirebbe?

Mappatura delle vulnerabilità: Sapere esattamente a che ora le case di un quartiere si svuotano o si riempiono, o quali abitazioni appartengono a persone anziane che vivono sole e non escono mai.

Relazioni segrete: I sistemi di intelligenza artificiale possono incrociare i volti delle persone catturate per strada per scoprire chi frequenta chi, identificando incontri non registrati online (es. dissidenti politici che si incontrano in segreto, o amanti clandestini).

4. Furto Biometrico e Riconoscimento Biometrico

Se l'offuscamento dei volti viene bypassato o rimosso alla fonte, i veicoli diventano tristi mietitori di dati biometrici. Qui ci si diverte:

Analisi dell'andatura (Gait Analysis): Anche se il viso è coperto, i video ad alta risoluzione possono registrare e mappare il modo unico in cui le persone camminano, creando un'impronta biometrica inalterabile associata all'indirizzo di casa.

Riflessi: Le fotocamere ad altissima risoluzione possono catturare i riflessi sulle finestre delle case per mappare la disposizione interna delle stanze o registrare le interazioni che avvengono all'interno.

5. Controllo Sociale e "Giustizia Predittiva"

In un regime autoritario, i dati visivi verrebbero utilizzati per addestrare algoritmi di polizia predittiva. Roba da film? Mica tanto:

Algoritmi del degrado: Il sistema potrebbe analizzare la quantità di spazzatura sui marciapiedi, i graffiti o le persone "sospette" che stazionano agli angoli delle strade per abbassare il "rating sociale" di un intero codice postale, riducendo di conseguenza i servizi pubblici, i trasporti o il valore immobiliare della zona creando un odioso circolo vizioso.

Sono solo esempi di ciò che rientra nel campo del "possibile". Purtroppo, ciò che può essere fatto, in un orizzonte temporale abbastanza lungo, tendenzialmente si verifica. Inoltre, esistono fattori che tendono ad accorciare i tempi, ma questa è un'altra storia.

Ciò che rende questa distopia reale è la sua passività. Le vittime non devono installare app compromesse o cliccare su link malevoli: vengono profilate, catalogate e giudicate semplicemente esistendo nel mondo fisico, prendendo un gelato in Via. Monti, parcheggiando la vettura a bordo strada, accompagnandosi ad amici, tornando dalla palestra in tuta da ginnastica e borsone, ecc.

A prescindere dalle intenzioni, collezionare quei dati genera un rischio, sia per attività di trattamento volontarie, che per l'infinita varietà di incidenti, furti, accessi non autorizzati, vendite sottobanco ed ogni altro comportamento del campionario criminoso che, si sa, va ben oltre la fantasia e l'immaginazione delle brave persone. Ed è proprio per questo che alla "Casalinga di Voghera" sembra impossibile che possa accadere.

Casalinga di Voghera, magna tranquilla pure tu!

Per quanto mi riguarda, domani partirà una bella segnalazione al Garante. Una volta, parlando dell'ipotetico arrivo di un ispezione, ho visto un AD compiere sconci gesti apotropaici. Chissà, magari Apple esorcizzerà la paura recapitando alle persone giuste buoni sconto propiziatori... questo spiegherebbe molte cose.

Garante, magna tranquillo... goditi le bistecchine della macelleria Feroci. 

Prosit.

Serve una mano?

A beneficio del Garante, di Google, di Apple e di chiunque voglia mappare le strade (Street View, Special Collects, Look Around), ecco alcune indicazioni sintetiche di cui tener conto.

1. Contesto e finalità

- Trattamento di dati personali tramite riprese a 360° da veicoli o operatori a piedi, in spazi pubblici o aperti al pubblico.  
- Finalità tipica: realizzare mappe e viste panoramiche a supporto della navigazione e dell’informazione geografica (legittimo interesse del titolare).  
- Rischi: identificazione di persone e beni (volti, targhe, abitazioni, esercizi commerciali), profilazione spaziale, potenziali usi secondari (analisi socio‑economica, sicurezza, marketing aggressivo, sorveglianza).  

2. Base giuridica e principi

- Base giuridica prevalente: legittimo interesse del titolare (art. 6, par. 1, lett. f, GDPR), da supportare con test di bilanciamento documentato.  
- Principi chiave (art. 5 GDPR):  
  - Liceità, correttezza, trasparenza.  
  - Limitazione della finalità.  
  - Minimizzazione dei dati (angolo di ripresa, risoluzione, tempi di conservazione, oscuramento).  
  - Esattezza e aggiornamento.  
  - Limitazione della conservazione.  
  - Integrità, riservatezza e responsabilizzazione.  

3. Informativa e trasparenza – Riprese da veicoli

Misure minime richieste alla luce dei provvedimenti del Garante su Google Street View:

- Riconoscibilità dei veicoli  
  - Auto chiaramente identificabili con loghi e cartelli ben visibili su più lati.  
  - I segni distintivi devono essere percepibili prima che il veicolo arrivi a distanza di ripresa utile, per consentire alle persone di sottrarsi.  

- Preavviso online  
  - Pubblicazione sul sito del titolare, in lingua locale, dell’elenco delle aree interessate.  
  - Anticipo minimo: 3 giorni prima dell’inizio delle riprese.  
  - Per le grandi città: indicare i quartieri/zone, non solo il nome della città.  

- Preavviso offline  
  - Avvisi sulle pagine di cronaca locale di almeno due quotidiani per ogni area/Regione coinvolta.  
  - Annunci tramite almeno un’emittente radiofonica locale per ciascuna Regione interessata.

- Contenuto minimo dell’informativa  
  - Identità e contatti del titolare e del DPO (se nominato).  
  - Finalità del trattamento e base giuridica (mappatura per servizio cartografico, legittimo interesse).  
  - Tipologie di dati trattati (immagini, targhe, facciate, eventuali metadati di localizzazione ecc.).  
  - Eventuali trasferimenti extra UE e misure di garanzia.  
  - Modalità di esercizio dei diritti (accesso, cancellazione/blur aggiuntivo, opposizione).  
  - Tempi di conservazione delle immagini non offuscate e delle immagini pubblicate.  

4. Informativa e trasparenza – Riprese “Special Collects” (a piedi, luoghi specifici)

In linea con il provvedimento del Garante su Google Special Collects:

- Esonero da stampa/radio generalisti  
  - Non richiesti annunci su giornali o radio locali quando le riprese avvengono in luoghi ad accesso limitato o molto specifici (musei, siti archeologici, parchi recintati, interni).  

- Preavviso tramite partner  
  - Pubblicazione sul sito del titolare almeno 3 giorni prima.  
  - Pubblicazione sui siti (e, se presenti, newsletter/avvisi) dei partner/enti ospitanti almeno 7 giorni prima.

- Cartellonistica sul posto  
  - Cartelli informativi all’ingresso e nei punti di accesso principali.  
  - Testo sintetico + link/QR code all’informativa completa online.  

- Riconoscibilità degli operatori  
  - “Trekker” o operatori dotati di abbigliamento, badge e segni distintivi chiari (logo, dicitura sullo zaino/apparecchiatura).

- Scelta degli orari  
  - Preferibilmente orari di chiusura o di minore afflusso, quando ragionevole, per ridurre il numero di persone riprese.

5. Misure tecniche di protezione

- Offuscamento sistematico  
  - Oscuramento automatico di volti, targhe e altri elementi fortemente identificativi prima della pubblicazione delle immagini.
  - Procedure per richieste di ulteriore offuscamento (persone, abitazioni, attività commerciali).  

- Limitazione della conservazione di dati grezzi  
  - Riduzione al minimo del periodo di conservazione dei flussi non offuscati, strettamente necessario per il controllo qualità.  
  - Politiche chiare di cancellazione definitiva e log delle operazioni.  

- Sicurezza  
  - Cifratura dei dati in transito e a riposo.  
  - Controlli di accesso rigorosi per chi può vedere i dati non offuscati.  
  - Audit periodici sugli accessi e sulle operazioni di trattamento.  

6. Reti Wi‑Fi e altri segnali radio

Alla luce del caso “Wi‑Spy” e dei provvedimenti relativi alla raccolta di SSID e payload da parte di Google Street View:

- Divieto di raccolta dei “payload data”  
  - Nessuna acquisizione di contenuti di comunicazioni elettroniche (traffico Wi‑Fi, dati in chiaro, pacchetti).  
  - Eventuale attività pregressa va sospesa, con congelamento dei dati e confronto con le Autorità competenti.

- Mappatura SSID/MAC solo se strettamente necessaria  
  - Raccolta di SSID e MAC address solo per finalità tecnicamente giustificate (es. posizionamento), con DPIA e misure di minimizzazione.
  - Nessun uso per profilazione di persone o famiglie. 

7. DPIA, ruoli e governance

- Valutazione d’impatto (DPIA)  
  - Necessaria in quanto trattamento su larga scala, sistematico, in spazi pubblici, con potenziale impatto elevato sui diritti delle persone (art. 35 GDPR).  
  - Analisi dei rischi specifici (profilazione spaziale, pattern of life, possibili abusi da parte di terzi in caso di data breach).  

- Ruoli privacy  
  - DPO: consultato su design del servizio, DPIA, misure di mitigazione, gestione reclami.  
  - Rappresentante nell’UE (art. 27 GDPR) se il titolare è extra UE e offre il servizio nell’Unione.  
  - Responsabili del trattamento: società che forniscono servizi di raccolta, elaborazione, offuscamento e hosting.  

- Registro dei trattamenti  
  - Descrizione specifica del trattamento di mappatura (categorie di interessati, dati, destinatari, trasferimenti, misure tecniche e organizzative). 

8. Diritti degli interessati

- Diritto di opposizione  
  - Canale semplice (form online, indirizzo email dedicato) per chiedere offuscamento aggiuntivo o rimozione di immagini specifiche.  
- Diritto di accesso e cancellazione  
  - Procedure per identificare rapidamente le immagini che ritraggono una persona, sulla base di coordinate, screenshot o riferimenti forniti dall’interessato.  
- Riscontro tempestivo  
  - Tempi di risposta in linea con il GDPR, con attenzione a casi sensibili (minori, contesti imbarazzanti, situazioni di rischio).  

9. Cose da non fare (lesson learned)

- Veicoli non chiaramente identificabili, con loghi visibili solo dopo il passaggio o in modo marginale.
- Preavvisi generici e inutilizzabili (es. “tra marzo e settembre in tutta la Regione”) che non consentono in concreto di sottrarsi alle riprese.  
- Raccolta di dati Wi‑Fi oltre il minimo necessario, in particolare qualsiasi forma di payload.
- Conservazione indefinita dei dati non offuscati o assenza di policy di cancellazione.  

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è si... allora una birra virtuale è d'obbligo!

La bufera mediatica passerà. I consulenti del Garante Privacy sono al lavoro per minimizzare ogni cosa, per abbassare i toni, per disinnescare le polemiche, per distrarre l'attenzione, per cercare di far passare il tempo e uscire da questa shit-storm che ha travolto l'autorità Garante per la Protezione dei Dati Personali.

Beh, è un pò più di una shit-storm, ormai è un evento estinzione che, meccanicamente, sta portando all'azzeramento del collegio e alla sua defenestrazione, con ignominia. 

Il lavoro è impegnativo e viene affrontato in modo certosino: si vede bene in ogni comunicato, ad ogni "comparsata" mediatica e ogni volta che i membri dell'Autorità postano sui propri canali social. Rispetto ai precedenti post, scomposti, sgrammaticati, "sporchi",  i comunicati attuali spiccano come farebbe una mosca nel latte, come i compiti a casa consegnati perfetti, portati alla maestra da quell'alunno che non sa fare una O con il bicchiere.

Mai come ora viene bilanciata la comunicazione ed anche il silenzio diventa uno strumento importante, ma che a volte sfocia nel ridicolo osservando alcuni blog,  podcast, canali youtube di consulenti "amici" che stanno cercando di supportare i membri del collegio in questo momento di difficoltà.

Non una parola sull'elefante nella stanza. Un silenzio assordante e bizzarro considerando il crollo di un intero ecosistema, istituzioni comprese.

L'ordine di scuderia è:

• SILENZIO, MORDETEVI LA LINGUA
• VOI DITE SOLO QUELLO CHE VI DICO DI DIRE
• VOI FATE SOLO QUELLO CHE VI DICO DI FARE
• E SOPRATTUTTO NON PEGGIORATE ULTERIORMENTE LE COSE 

Nonostante la delicatezza della situazione e il fatto che tutti gli occhi, i riflettori ed i microfoni siano puntati su Piazza Venezia, arriva l'ennesima cazzata! Dato che le braciole, la tinta, la business class non bastavano, è arrivata la demenziale caccia alle streghe, come se il problema fosse aver svelato al mondo le marachelle e non il fatto stesso di averle compiute. Una follia... e di questo si occuperà Report nella attesissima puntata di domani (23 Novembre) che si annuncia come il terzo episodio della serie più incredibile appassionante e sconvolgente dai tempi dei fratelli Lumiere.

Beh, proprio in questo momento, il Garante che fa? L'incredibile!

Forse per mantenere un profilo basso ed evitare ulteriori imbarazzi... si mette a cancellare documenti ufficiali dal sito web dell'Autorità. Così, a cazzo di cane.

È una follia perché da adito al sospetto che l'Autorità consideri il proprio ruolo alla stregua di un hobby, peggio, di un feudo. Un potere da esercitare senza tener conto di alcuna regola, assecondando i capricci e i desideri e tutto questo sembra talmente radicato e normale da non cambiare nemmeno in un momento come questo.

Le operazioni di rimozione dei contenuti dal sito sono opache, non documentate e, per questo, diventano problematiche. Anche un atto legittimo, fatto in questo modo, rischia di diventare l'ennesimo scivolone imbarazzante che dovrà essere giustificato arrampicandosi sui vetri.

Ecco un esempio concreto:

Fino a pochi giorni fa, una semplice ricerca in internet di un certo atto, restituiva questo risultato:

Il link puntava alla pagina del sito del Garante che, diligentemente, mostrava il documento

Da questa settimana, la medesima ricerca genera un risultato ben diverso:

La differenza è dovuta al fatto che il contenuto della pagina, il provvedimento cercato, è stato rimosso dal sito del Garante. Questo il link alla pagina che ora si presenta così:

Un laconico "Il contenuto non è disponibile".
Sarebbe meglio scrivere "il contenuto non è più disponibile"

La domanda è perchè?

Il provvedimento riguarda... o meglio, riguardava una un provvedimento sanzionatorio della Provincia di Trento e Bolzano per un sistema di videosorveglianza integrata con lettura delle targhe, unita all'analisi spinta e spregiudicata dei dati. Tutto molto bello, peccato che questa geniale videosorveglianza di massa sia fatta molto male e in palese contrasto con le regole del GDPR. La sanzione ci sta tutta... anzi, forse è persino mite.

Volendo fare delle ipotesi, si può pensare che il provvedimento possa essere stato impugnato, la Provincia potrebbe aver fatto ricorso. Non è dato sapere.

Ciò che è certo è che la pubblicazione dei provvedimenti del Garante è un atto formale, previsto dalla legge. Per farlo occorre una delibera specifica, solitamente prevista direttamente all'interno del provvedimento. Per togliere un provvedimento dal sito, quindi, occorre innanzitutto una motivazione, una omologa delibera altrettanto formale, bisogna essere molto trasparenti in merito per non correre il rischio di essere confusi con un Trump qualsiasi... Il sito del Garante non è un social, né un blog e nemmeno una vetrina: è uno strumento ufficiale e la pubblicazione dei provvedimenti viene comminata come misura accessoria alla sanzione e rappresenta un importante elemento di trasparenza.

Ecco cosa prevede, tra le altre cose, il provvedimento citato:

Mi chiedo, quindi, a maggior ragione... perchè?

Generalmente, quando un provvedimento viene impugnato, l'Autorità Garante provvede ad applicare una NOTA e, in altri casi, addirittura un paragrafo nella newsletter periodica.

Ecco un fulgido esempio:

"Data breach: il Garante sanziona UniCredit per 2,8 milioni di euro*
Multa di 800mila euro anche alla società incaricata di effettuare i test di sicurezza

*Il provvedimento nei confronti di UniCredit è stato impugnato innanzi al Tribunale di Milano, che ha disposto la sospensione dell’efficacia della sanzione accessoria della pubblicazione del provvedimento sul sito web del Garante con ordinanza n. 1927 del 28 marzo 2024 (RG n. 10477/202). La pubblicazione del provvedimento nei confronti di NTT Data è stata sospesa in correlazione a quanto stabilito con la pronuncia relativa a UniCredit."

Ecco un altro fulgido e scintillante esempio 

"COMUNICATO STAMPA - ChatGPT, il Garante privacy chiude l’istruttoria. OpenAI dovrà realizzare una campagna informativa di sei mesi e pagare una sanzione di 15 milioni di euro.

ChatGPT, il Garante privacy chiude l’istruttoria*
OpenAI dovrà realizzare una campagna informativa di sei mesi e pagare una sanzione di 15 milioni di euro.

*Il Tribunale di Roma, XVIII Sezione civile, ha disposto, con ordinanza del 21/03/2025, la sospensione cautelare del provvedimento, subordinatamente alla prestazione di cauzione, nel procedimento iscritto al n. di R.G. 4785/2025"

Perché il provvedimento sanzionatorio verso la provincia di Bolzano è scomparso?

Mistero.

Volendo pensare bene, si potrebbe trattare di un errore, ma in questo momento non ci crederebbe nemmeno la mamma del Garante, se ne avesse una.

In ogni caso, volendo dare una mano, ripropongo il testo mancante, anche a beneficio di chi, come me, studia la materia e utilizza assiduamente questi documenti, nonostante possano risultare imbarazzanti per i destinatari delle sanzioni.

Il documento integrale è disponibile a questo link

Prosit

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di ringraziarmi.

Puoi farlo in tre modi:
- Condividendo il mio lavoro sui tuoi social. Così facendo aiuterai altre persone,
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. In questo modo aiuterai me.

Se sei un professionista della privacy, fammi sapere come la pensi, il confronto è essenziale per migliorarsi. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di mer#a con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?
Bene... allora mi devi una birra.

Spritz è tornato, ed è incavolato come una bestia... del resto, gli viene naturale.

La notizia del gigantesco data breach deve far tremare i polsi a tutti, animali compresi, perché a bordo di questo treno ci siamo tutti.

Vi lascio alle sue parole che, nonostante l'animo bestiale, sono particolarmente erudite, competenti e lucide.

Dunque, bentornato Spritz, anche se in circostanze decisamente funeste.

Per quanto mi riguarda, non ho nulla da aggiungere oltre ad un pensiero da DPO: troppo spesso i data breach disastrosi sono stati derubricati ad eventi di poco conto, hanno dato luogo a sanzioni ridicole o addirittura a blandi ammonimenti. Casi recenti sono arrivati al paradosso di meritare complimenti dall'Autorità Garante per una eccezionale collaborazione "oltre il dovuto". Verrebbe da pensare che un data breach possa essere persino occasione di plauso. Incredibile e inaccettabile. 

Ritengo necessario mandare un segnale alle istituzioni in modo che siano percepiti e misurati il sentimento comune, la preoccupazione, l'impatto sociale di questo evento. Chiunque sia coinvolto, chi teme di esserlo, tutti colo che provano indignazione per gli effetti di una simile sciagura dovrebbero far sentire la propria voce inviando all'Autorità Garante una segnalazione. È forse l'unico modo rimasto per cercare di limitare l'arbitrio e ricondurre le istituzioni ai doveri, troppo spesso scambiate per poteri. 

Come fare? semplice, basta inviare una email all'indirizzo protocollo@gpdp.it con un testo simile a quello che riporto in calce all'articolo.

Buona lettura

Christian

Il fatto

Il leak di Almaviva e delle Ferrovie dello Stato è molto pericoloso. Per tutti. Non solo per le aziende coinvolte, per il personale che vi lavora e per chiunque sia in qualche modo citato nel database. Ma anche, e soprattutto, per i semplici cittadini. Abbiamo avuto la possibilità di visualizzare alcuni sample dei 2,3 TB di file rubati e c’è davvero un mondo: dalle buste paga ai contratti, passando per i numeri dei conti correnti societari e per le configurazioni web. Chiunque entrasse in possesso di quelle informazioni potrebbe davvero causare molti danni, a ogni livello, senza che le vittime – in particolar modo i cittadini - siano in grado di contrastarli facilmente. Cerchiamo di capire il perché:

Quali sono i rischi: le buste paga

Prendiamo il caso delle buste paga o “statini”. Il documento riporta i dati personali sensibili del dipendente come nome e cognome, data di nascita, incarico, qualifica e stipendio. Di conseguenza, un malintenzionato ha a disposizione tutta una serie di informazioni per effettuare truffe a nome della vittima, senza che questa ne sia a conoscenza o possa in qualche modo impedirle.

Un esempio pratico e tristemente reale

Pensiamo, per esempio, a una richiesta di finanziamento. Ormai in molti casi sono effettuate e gestite online, in particolare per importi contenuti. Avendo il leak a disposizione, basta sostituirsi alla persona a cui è intestato il documento, inviando all’emittente del prestito un documento di identità contraffatto, le ultime 3 buste paga e i dati del conto corrente su cui accreditare l’importo. I controlli non daranno problemi: i dati anagrafici ed identificativi corrispondono e le buste paga risultano regolari. Di conseguenza, è abbastanza probabile che il finanziamento sia approvato. Il tutto senza che la vittima scopra nulla fino a quando non arriverà la comunicazione delle rate insolute. A quel punto sarebbe troppo tardi per recuperare il denaro erogato e i cittadini-vittime dovrebbero iniziare un lungo e costoso percorso per dimostrare di essere innocenti e non coinvolti nella truffa.

I rischi “fisici”

A causa dei leak aumentano anche i rischi “fisici” per le persone presenti nei database. Chiunque avesse accesso alle informazioni contenute, potrebbe improvvisare azioni criminali per trarre profitto dalle vittime (ricatti, estorsioni, minacce, ecc…).

I rischi per le società…e i cittadini

Veniamo alla parte societaria. A parte il cosiddetto danno reputazionale, per le aziende-vittime si configurano rischi molto elevati anche sui fronti del funzionamento e della sicurezza. Sfruttando le informazioni acquisite e con attività di social engineering, infatti, un criminale potrebbe cercare di infiltrarsi al loro interno per:

• rubare soldi e/o informazioni;
• sabotarle

In entrambi i casi sarebbero i cittadini, quelli che utilizzano i servizi offerti dalle aziende coinvolte nel leak o che vi lavorano, le vittime finali e più impotenti.

I treni e il chiodo della discordia

Non dimentichiamo che un assaggio di quanto potrebbe accadere, almeno sul fronte delle Ferrovie dello Stato, lo abbiamo già sperimentato il 2 ottobre 2024 quando un semplice chiodo piantato per errore in un cavo elettrico paralizzò gran parte della circolazione ferroviaria in Italia. Cosa succederebbe, quindi, se fossero sabotate direttamente le infrastrutture?

Almaviva e il Sistema Paese

Almaviva, inoltre, come riporta il suo stesso sito internet, opera al fianco delle principali industrie e istituzioni italiane, dalla Pubblica Amministrazione alla Difesa. Di conseguenza, chi ha a disposizione le informazioni del leak, virtualmente potrebbe ricattare o causare danni a mezzo Paese. Anche qui, le vittime finali sarebbero sempre i cittadini impotenti, che subirebbero disagi più o meno grandi a seconda delle realtà colpite e la cui sicurezza sarebbe fortemente a rischio.

Il data leak è una minaccia concreta per l’Italia

In conclusione, il furto dei 2,3TB di dati ad Almaviva e a Ferrovie dello Stato rappresenta una grave minaccia sia per il Paese come Istituzioni sia per i cittadini. Ed è un pericolo che non va sottovalutato perché potrebbe concretizzarsi in qualunque momento e all’improvviso. Non è un caso che dall’Agenzia per la Cybersicurezza Nazionale (ACN) alle le aziende coinvolte, passando per le forze dell’ordine e le Istituzioni, si siano attivati tutti per mettere in sicurezza i sistemi critici a rischio e garantirne la loro resilienza.

Il comunicato dell’azienda

https://www.almaviva.it/it_IT/news/show-news/4be9f4e7-f150-4cd6-8c40-950db843af40/Nota-su-attacco-cyber

"20-11-2025  - Almaviva informa che nelle settimane scorse i servizi aziendali dedicati al monitoraggio della sicurezza hanno individuato e successivamente isolato un attacco informatico che ha coinvolto i nostri sistemi corporate comportando la sottrazione di alcuni dati.
Almaviva ha immediatamente attivato le procedure di sicurezza e di contrasto attraverso il proprio team specializzato per questa tipologia di incidenti garantendo la salvaguardia e la piena operatività dei servizi critici.
Contestualmente, sono state informate le Autorità preposte – Procura della Repubblica, Polizia Postale, Agenzia Nazionale per la Cybersecurity e Garante della Privacy – e con le stesse, i partner e gli altri soggetti competenti è in corso una stretta collaborazione, al fine di garantire il massimo coordinamento nelle attività di monitoraggio, investigazione e risposta.
Le funzionalità e i servizi dei sistemi coinvolti sono rimasti regolarmente attivi, grazie alle misure e alle procedure di continuità operativa specificamente predisposte per questo tipo di scenario.
La sicurezza e la tutela dei dati dei nostri clienti, partner e collaboratori rappresentano per noi una priorità assoluta e costituiscono un impegno costante nella gestione dei nostri servizi e delle nostre infrastrutture. Proseguiremo nelle attività di verifica tecnica e di cooperazione con le Autorità competenti, e sarà nostra cura informare su ogni sviluppo rilevante, nel pieno rispetto della riservatezza e delle esigenze istruttorie delle indagini in corso."

 Ai cittadini chi ci pensa?

I cittadini in tutti questi scenari sono le vittime finali e quelle più esposte, anche se c’è una bassa percezione generale sulla portata reale di questa minaccia. Di certo tutte le misure messe in campo finora e quelle previste contribuiranno ad attutire possibili colpi. Ma ciò non vuol dire che siamo tutti al sicuro. Perciò, conviene agire prima che sia troppo tardi. Come? Con piccoli e semplici passi. Innanzitutto, anche se sembra banale, migliorando la propria sicurezza online: cambiando le password, aggiornando tutti i propri dispositivi, attivando misure di controllo aggiuntive per l’autenticazione su tutti i servizi/piattaforme che la richiedono. Inoltre, e probabilmente è la cosa più importante, aumentando la vigilanza quando si naviga e si frequenta i social network. Nuove richieste di amicizia e di contatti vanno verificate bene prima che di accettare. Anche i contatti con gli amici vanno tenuti sott’occhio, perché qualcuno potrebbe impersonarli.

Una telefonata allunga la vita

In caso di dubbio, se possibile, è meglio fare una chiamata al proprio contatto per verificare. Questo vale per tutto e tutti. Dalle banche agli enti che chiedono pagamenti via sms/WhatsApp, smartphone o web ai contatti in chat. Uno “squillo” non costa nulla e potrebbe davvero fare risparmiare tanto tempo, soldi e arrabbiature. Oggi più che mai, infatti, come recitava un vecchio spot in tv con Massimo Lopez, “una telefonata allunga la vita”.

Disclaimer

Questo articolo è stato volutamente scritto in maniera generalista e non esaustivo. Il suo obiettivo non è fornire informazioni tecniche sull’accaduto. Questo compito, infatti, spetta esclusivamente alle istituzioni e alle entità coinvolte nelle indagini/remediation. Lo scopo è, invece, cercare di far capire a tutti e soprattutto a chi ha meno domestichezza con il cyberspazio, i pericoli che si nascondono in azioni di questo tipo. Ricordo anche che recuperare e detenere le informazioni presenti nel data leak è un reato, per cui scoraggio chiunque fosse intenzionato – o anche solo curioso – di intraprendere la caccia al repository. È molto più utile – e legale – invece, impegnarsi per migliorare la propria postura e sicurezza online.

SPRITZ 🐾

BOZZA DI SEGNALAZIONE AL GARANTE PRIVACY

protocollo@gpdp.it

Oggetto: segnalazione di Grave Violazione dei Dati Personali (Data Leak) – Riguardante Almaviva e Ferrovie dello Stato (FS)

Alla cortese attenzione del: Garante per la protezione dei dati personali 

Il sottoscritto, XXXXXX, nato a XXXXXXX, il XXXXXX, raggiungibile all'indirizzo email da quale questa segnalazione viene trasmessa, venuto a conoscenza della notizia di una grave violazione dei dati (c.d. "Data breach") che ha coinvolto i sistemi informatici delle società Almaviva e Ferrovie dello Stato (FS), presenta la seguente segnalazione:

Entità e Contenuto: l'attacco informatico ha comportato la sottrazione di circa 2,3 TB di file. Tra i dati rubati, si fa riferimento a informazioni altamente sensibili e riservate, tra cui:
Buste paga ("statini")
Contratti
IBAN e Numeri dei conti correnti 
Dati personali sensibili dei dipendenti (nome, cognome, data di nascita, incarico, qualifica, e stipendio).

Danno Potenziale ai Cittadini: rappresento l'estrema pericolosità del leak per le persone coinvolte, le quali sono le effettive vittime.

Rischi Specifici per le Vittime

La diffusione di questi dati espone le persone a gravi rischi di abusi e frodi, tra cui:

Furto d'Identità e Frodi Finanziarie

Rischi "Fisici" quali ricatti, estorsioni e minacce.

Sabotaggio di Infrastrutture

Alla luce della gravità della violazione e della vastità dei dati personali coinvolti, il sottoscritto chiede che l'Autorità Garante per la protezione dei dati personali voglia:

• Verificare l'adeguatezza delle misure di sicurezza adottate da Almaviva e Ferrovie dello Stato prima dell'incidente.

• Accertare le responsabilità in relazione alla violazione dei dati personali di dipendenti e cittadini.

• Assicurare che tutte le misure necessarie siano intraprese per mitigare i rischi e per informare compiutamente e tempestivamente le vittime sulla portata del danno e sulle azioni correttive da intraprendere.

• Intervenire in modo estremamente rapido e cautelativo al fine di informare ogni possibile interessato e illustrare i rischi e le misure da intraprendere per limitare i rischi.

Luogo e Data

IL SEGNALANTE  NOME COGNOME