97 / 100
nel campo dell’Internet degli ogget-
ti” del Gruppo Europeo dei Garanti
per la Protezione dei Dati Personali,
a conferma di quanto appena detto,
che: “Lo sviluppo dell’IoT pone chia-
ramente nuove sfide importanti con-
nesse alla protezione dei dati personali
e alla vita privata. Infatti alcuni sviluppi
dell’IoT, se incontrollati, possono spin-
gersi fino a sviluppare una forma di
sorveglianza delle persone che può
essere considerata illegale ai sensi della
legislazione dell’UE”.
In particolare, nel Parere menzionato,
vengono presi in considerazione tre
specifici ambiti tecnologici riferibili al
piú ampio contesto IoT, vale a dire:
il wearable computing e la sua evo-
luzione negli oggetti ‘quantified self ’
(oggetti che misurano fenomeni in-
dividuali, esempio braccialetti conta
passi, ndr) e la domotica.
Le preoccupazioni riguardano, in par-
ticolare, il fatto che l’aumento della
mole di dati generato dall’IoT in com-
binazione con le tecniche moderne di
analisi e controllo incrociato dei dati,
attuabili mediante applicazioni di ma-
chine learning o artificial intelligence,
possono portare a usi ‘secondari’ di
questi dati, relativi o meno allo scopo
assegnato al trattamento originario
che in alcuni casi possono risultare
del tutto estranei se non addirittura
impropri.
IoT & Data Protection
Per esempio gli oggetti indossabili te-
nuti molto vicino agli interessati ren-
dono disponibili, nell’ambito di quella
che si definisce PAN (Personal Area
Network) della quale ci siamo occu-
pati negli scorsi numeri, una serie di
altri identificativi quali indirizzi MAC di
altri dispositivi, numeri IP, tipologia dei
sistemi operativi impiegati, applicazioni
in uso, che potrebbero essere utili per
generare un device fingerprint (ovvero
‘impronta digitale del dispositivo’) che
può permettere anche l’identificazione
non autorizzata dell’interessato.
In altre parole, la raccolta di vari indi-
rizzi MAC provenienti da vari senso-
ri agevola la creazione di fingerprint
uniche e di identificativi stabili che i
portatori di interessi dell’IoT potranno
attribuire a persone specifiche, trasfor-
mando, di fatto mediante aggregazione
e raffronto, dati anonimi in dati che
anonimi non sono, che potrebbero
essere utilizzati per vari scopi, compre-
sa la location analytics o l’analisi degli
spostamenti di gruppi di persone e di
singoli individui.
Device fingerpriting e GDPR
Il tema del device fingerprinting, e gli
impatti che sistemi sempre più evoluti
di profilazione hanno e potranno ave-
re sul diritto alla protezione dei dati
personali e degli individui a cui questi
si riferiscono, era stato oggetto di un
ulteriore specifico Parere del Gruppo
Europeo dei Garanti per la Protezione
dei Dati Personali già nel 2014.
In tale occasione il Gruppo, con il Pare-
re nr. 9 aveva avuto modo di precisare
che varie informazioni possono essere
combinate per fornire un insieme di
dati che sia sufficientemente univoco
per fungere da fingerprint univoco del
dispositivo, e costituire quindi un’al-
ternativa ‘nascosta’ per monitorare
il comportamento su Internet di un
utente nel tempo.
Conclusioni:Thinking Things
Le osservazioni svolte consentono di
formulare almeno una considerazione
che ritengo importante nell’ottica di
sviluppare negli utenti quel minimo di
consapevolezza necessaria a evitare,
da un lato, l’arbitraria compromissione
di diritti aventi rango costituzionale e,
dall’altro, l’inopinato coinvolgimento in
vicende giudiziarie correlate all’impie-
go illecito delle tecnologie descritte
da parte di terzi.
Mi riferisco, in particolare alla necessità
di un approccio più prudente all’im-
piego di strumenti tecnologici che, in
quanto dotati di logica software, svol-
gono, almeno a livello embrionale, una
vera e propria attività di pensiero che
non sempre corrisponde alla volontà
e al pensiero del loro proprietario.
95
marzo 2017
IL PARERE DEL LEGALE
NEL PROSSIMO NUMERO
Nel prossimo numero, ci occu-
peremo di uno degli adempimen-
ti maggiormente significativi tra
quelli imposti dalle nuove norme
comunitarie in materia di pro-
tezione dei dati personali, vale
a dire la Valutazione di Impatto
Privacy o Privacy Impact Asses-
sment (PIA) di cui all’art. 35 e
successivi del Regolamento di
prossima applicazione.
© luengo_ua - fotolia.com
È importante sviluppare
negli utenti quel minimo di
consapevolezza necessaria a
evitare, da un lato, l’arbitraria
compromissione di diritti aventi
rango costituzionale e, dall’altro,
l’inopinato coinvolgimento in
vicende giudiziarie correlate
all’impiego illecito delle tecnologie
descritte da parte di terzi.