Articoli

Dark Pattern: tutto quello che (non) vedi

Inutile negare che gran parte della nostra vita si svolge ormai su internet: lavoriamo e programmiamo le nostre vacanze, impariamo a cucinare e, addirittura, troviamo l’amore.

Tutto on line.

Il denominatore comune di tutte queste attività?  La comunicazione ad altri dei nostri dati personali, tema sensibilissimo e spesso ancora sottovalutato dai “non addetti ai lavori”: in molti casi ad essere importante – e particolarmente delicata – non è tanto la comunicazione in sé dei propri dati, quanto l’esigenza di assicurare che essa avvenga in maniera consapevole e responsabile.

La questione passa inevitabilmente anche attraverso l’interfaccia grafica che ogni sito web o piattaforma decide di offrire, in quanto strumento capace di indirizzare fortemente l’utente nella definizione delle proprie scelte – e, talvolta, nell’esecuzione di azioni inconsapevoli – in materia di dati personali.

L’attenzione è quindi rivolta ai dark pattern.

Definizione e compatibilità con il GDPR

Per dark pattern, letteralmente – e a buona ragione – “percorso oscuro”, si intendono tutte quelle interfacce grafiche implementate dai siti web allo scopo di spingere l’utente a compiere azioni non desiderate (e potenzialmente dannose), o a seguire delle procedure così complesse da scoraggiarlo a prestare la giusta attenzione al controllo e alla protezione effettiva dei suoi dati personali.

Una “x” poco visibile, un percorso informativo lungo e tortuoso, frasi fuorvianti: ecco che – 9 volte su 10 – finiamo per cliccare su “accetta tutto” pur di proseguire nella nostra navigazione, accedere alle informazioni che ci interessano o vedere lo status o le stories di un amico o una persona di interesse.

Il paradosso, fondato su bias cognitivi ben studiati, è che l’utente si sente perfettamente “padrone” delle proprie scelte, nonostante in realtà sia stato a tutti gli effetti vittima di una manipolazione volta a fargli prendere esattamente quella specifica, “autonoma” decisione.

Ma può essere questo un consenso validamente prestato?

La valutazione sulla compatibilità di tali pratiche col GDPR passa necessariamente attraverso un’attenta analisi dei principi dettati in materia dalla normativa.

L’art. 4, paragrafo 11 GDPR ci fornisce una definizione di consenso dell’interessato come “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento”.

Perché un consenso possa dirsi libero, specifico, informato e inequivocabile è chiaramente necessario che il titolare del trattamento si sia lasciato innanzitutto ispirare dai principi generali sanciti dall’art. 5 GDPR, primo fra tutti il principio di liceità, correttezza e trasparenza.

Solamente mediante una comunicazione chiara e trasparente, infatti, le informazioni relative al trattamento risulteranno accessibili e facilmente comprensibili per l’utente, così da consentirgli di prendere decisioni consapevoli in ordine alla protezione dei suoi dati personali.

Particolarmente rilevante è anche il concetto di privacy by design, consacrato nell’art. 25 GDPR, secondo il quale l’attenzione alla protezione dei dati da parte del Titolare del trattamento deve essere integrata in ogni fase del ciclo di vita della tecnologia, partendo già dalla fase di progettazione del prodotto attraverso la predisposizione di misure tecniche ed organizzative adeguate – quali ad esempio la minimizzazione dei dati – e l’integrazione nel trattamento di tutte le garanzie necessarie al fine di soddisfare i requisiti del GDPR.

Le Linee Guida EDPB

Le recenti Linee Guida emanate dallo European Data Protection Board (“EDPB”) – al momento solo in lingua inglese, e rese disponibili per consultazione pubblica sino al 2 maggio prossimo – ci forniscono una elencazione dettagliata di tutti i diversi tipi di dark pattern, raggruppati in sei macrocategorie:

  1. Overloading: gli utenti vengono sommersi da una grande quantità di informazioni, opzioni e richieste al fine di spingerli a fornire più dati personali di quelli effettivamente necessari;
  2. Skipping: l’interfaccia grafico del sito è strutturato in modo tale che l’utente non presti la giusta attenzione alla protezione dei propri dati personali;
  3. Stirring: viene fatta leva sull’emotività dell’utente per condizionarne le scelte, oppure si ricorre ai cd. visual nudges, strumenti cioè in grado di alterare i comportamenti delle persone senza proibire però la loro scelta di altre opzioni (è questo il caso della “x”: c’è, ma è difficilissima da trovare);
  4. Hindering: viene posto un ostacolo nel processo di informazione o gestione dei dati personali, attraverso azioni e procedure complicate o impossibili da portare a termine;
  5. Fickle: il design dell’interfaccia risulta poco chiaro, diventando così arduo per l’utente navigare tra i differenti strumenti di controllo dei dati;
  6. Left in the dark: l’interfaccia è strutturato in modo tale da nascondere le informazioni utili e gli strumenti di controllo o da lasciare l’utente incerto sulle concrete modalità di esercizio dei propri diritti.

Il caso Google

È proprio degli ultimi giorni la notizia per cui l’Associazione per la protezione dei consumatori (Consumer Advice Center) della Renania Settentrionale-Vestfalia ha annunciato di aver avviato una causa contro Google.

Le motivazioni riguardano l’uso da parte del colosso informatico di cookie banner strutturati in maniera tale da rendere oltremodo gravoso il rifiuto dei cookies da parte degli utenti nel corso della loro navigazione, in aperto contrasto dunque tanto con la normativa tedesca quanto con quella europea, non solo relativa al GDPR ma anche alla c.d. Direttiva ePrivacy di cui è in discussione, allo stato, un aggiornamento tramite lo strumento (come per il GDPR) del “Regolamento”.

Mentre per l’accettazione dei cookies basta un semplice click, insomma, per il rifiuto l’utente si trova costretto a dover deselezionare manualmente tre categorie di cookies, prima che Google gli consenta di procedere alle sue ricerche.

In proposito, anche l’Autorità Garante di Amburgo (Germania) ha recentemente assunto la medesima posizione, sia in riferimento al banner del motore di ricerca che a quello della piattaforma di video streaming YouTube, ponendosi nel solco di altre precedenti decisioni – e sanzioni salatissime – in materia, tra cui vanno ricordate soprattutto quelle erogate dal CNIL (Autorità francese) a inizio anno proprio contro Google oltre che verso Facebook.

Best practices: come disegnare un’interfaccia utente rispettosa della normativa

Di seguito riportiamo alcune delle raccomandazioni contenute nelle Linee Guida EDPB 3/2022 per strutturare le interfacce web (di siti e piattaforme) in maniera conforme a quanto previsto dalla normativa europea.

Per quanto riguarda la privacy policy:

  • aggiungere link ipertestuali diretti che reindirizzino gli utenti alle parti più importanti della privacy policy (la quale dovrebbe essere il più possibile chiara e sintetica);
  • consentire ad esempio mediante menù a tendina una overview della policy, in modo che gli utenti siano in grado di trovare facilmente la sezione di loro interesse;
  • fornire sempre, in caso di uso di termini tecnici o di linguaggio non comune, definizioni comprensibili;
  • in aggiunta alle informazioni obbligatorie, fare degli esempi per rendere i concetti più “tangibili” per gli utenti;
  • indicare espressamente e chiaramente l’Autorità Garante competente, aggiungendo al sito un link alla pagina ufficiale per eventuali lamentele;
  • se la privacy policy viene modificata, rendere accessibile di volta in volta la/le precedente/i versione/i.

Con riferimento invece alle meccaniche di relazione con gli utenti:

  • prevedere un sistema di iscrizione chiaro e semplice;
  • fornire un pannello utente che permetta una selezione immediata delle preferenze in materia privacy;
  • prevedere meccanismi di cancellazione dell’utente diretti e immediati, che comunichino le opzioni disponibili (sospensione, cancellazione, ecc.) e spieghino cosa avverrà dei dati in seguito.

In ultimo, come già anticipato, la parte finale delle Linee Guida EDPB (sez. IV) scende nei dettagli delle pratiche da non seguire, a pena di violare i principi di accountability, trasparenza e data protection by design che possono poi comportare, a carico del Titolare del trattamento (quindi del sito web o della piattaforma) sanzioni economiche (anche pesanti) e il blocco dei dati ottenuti in violazione della normativa applicabile.

____________________________________________________

Photo by Dan Asaki on Unsplash

Nuove linee guida di Confindustria: focus sull’Organismo di Vigilanza

Ecco come sono cambiate le indicazioni di Confindustria, approvate dal Ministero, dal 2014 ad oggi.

In questo articolo riportiamo:

  • i riferimenti delle nuove Linee Guida;
  • le principali novità del documento;
  • un focus sugli aspetti di rilievo per l’Organismo di Vigilanza (“OdV”).

La recente pubblicazione

L’8 giugno 2021 il Ministero delle Attività produttive ha approvato le nuove ed aggiornate “Linee Guida per la costruzione dei modelli di organizzazione, gestione e controllo ai sensi del D. Lgs 8 giugno 2001 n. 231”, redatte e presentate da Confindustria Nazionale, in adeguamento di quelle già esistenti e frequentemente utilizzate come parametro per la predisposizione di idonei Modelli.

La pagina informativa è raggiungibile a questo link, dove è possibile scaricare sia il position paper generale che quello relativo alla c.d. “Parte Speciale” del Modello di Organizzazione, Gestione e Controllo (“MOGC”), ovvero dove sono solitamente inseriti i protocolli e le procedure operative aziendali.

Le novità

Il documento, anche grazie al patrimonio di giurisprudenza e dottrina maturato dal 2014 ad oggi (con frequenti richiami nel testo), si è arricchito di novità puntuali e interessanti, che trovano origine sia in modifiche normative che in aspetti prettamente operativi.

In particolare, sono stati introdotti dei “case studies” per i nuovi reati presupposto, come aggiunti dalla data di redazione delle precedenti Linee Guida (2014) ad oggi, e una trattazione approfondita della materia del whistleblowing, che sarà peraltro oggetto di riforma a breve, vista l’emanazione della Direttiva UE n. 2019/1937 a cui farà seguito – in forza della Legge di Delegazione Europea n. 53/2021 – un Decreto Legislativo di recepimento.

Sono altresì presenti importanti chiarimenti in merito ad aspetti operativi, tra cui:

  • l’adeguamento del Codice Etico,
  • l’approfondimento delle modalità dei flussi informativi da e verso il Collegio Sindacale,
  • le modalità formative/informative del personale, e
  • il rapporto con i sistemi certificativi ISO.

Diverse sono, infine, le indicazioni “aggiornate” che riguardano l’Organismo di Vigilanza o OdV, anche a fronte della ben nota carenza di indicazioni puntuali in materia, da parte del Legislatore.

Ricadute pratiche in tema di Organismo di Vigilanza

Le Linee Guida, prima di tutto, sottolineano e meglio definiscono i requisiti di autonomia e indipendenza, di professionalità e di continuità di azione che devono caratterizzare l’OdV.

A tal fine, viene fatta notare l’opportunità di tenere rigorosamente distinti i compiti di controllore (l’OdV) e controllata (l’organizzazione aziendale), evitando sovrapposizioni rischiose in caso di componenti dell’Organismo che appartengano all’azienda, come c.d. membri interni.

In proposito, il paper sottolinea piuttosto come possibile l’opzione di investire delle funzioni di OdV il Collegio Sindacale, o – in caso di funzioni interne già esistenti – si ricorda la compatibilità (anzi, per certi versi l’opportunità) tra il richiamato ruolo di membro OdV e “Comitato Controllo e Rischi” o Internal Audit.

Le Linee Guida ricordano poi di garantire costantemente, e nel modo più efficace (pur senza duplicazioni) un razionale e costante flusso di informazioni proprio tra il Collegio Sindacale e l’OdV, in quanto entrambi accomunati – almeno in parte – da compiti di controllo e vigilanza.

Infine, giova sottolineare come le nuove indicazioni di Confindustria contengano una importante puntualizzazione sulla (insussistenza di) responsabilità penale dell’OdV, derivante dalla sua natura di organo non titolare di obblighi di controllo, quanto piuttosto di poteri di verifica, e così ben lontana dal rivestire posizione di garanzia azionabile in sede di giudizio.

_____________________________________________

Photo by Unknown for Enfold Theme

Green Pass e gestione dei dati personali

Il 6 settembre scorso è stata pubblicata dal Garante la Nota oggetto di questa news, di cui riportiamo:

  • i riferimenti in tema di gestione del c.d. “Green Pass”,
  • le principali indicazioni fornite dal Garante italiano, e
  • le modalità operative di gestione delle verifiche demandate alle aziende.

Le novità di settembre 2021

Nella giornata di ieri, 6 settembre 2021, il Garante italiano ha pubblicato una Nota Istituzionale, raggiungibile a questo link, in relazione ad “alcuni quesiti” presentati all’Autorità nel corso delle ultime settimane in relazione agli aspetti pratici e operativi di quanto previsto dal D.L. 105 del 2021, che ha introdotto l’obbligatorietà di verifica del c.d. “Green Pass” (o certificazione verde a carattere sanitario).

Appare evidente l’interesse generale di tali quesiti, e soprattutto delle relative risposte dell’Autorità (che, per quanto non aventi forza di legge, restano comunque di assoluta rilevanza interpretativa): per tale ragione, è utile riportarne di seguito una sintesi.

Il contenuto della Nota pubblicata

In primo luogo, il Garante ricorda la legittimità del trattamento di dati personali (anche, eventualmente, di tipo sanitario e quindi “particolari”) qualora si resti nel perimetro fissato dalla normativa di volta in volta vigente: ad esempio, alla data di redazione della Nota, gli artt. 9 e 9-bis del D.L. 52/2021 (convertito con modificazioni dalla legge n. 87/2021) che riportato i casi in cui è prevista l’obbligatorietà di controllo del Green Pass.

Il Garante procede altresì a ricordare – prima di tutto, al Legislatore – che dovrà essere a brevissimo oggetto di ulteriore produzione normativa la regolamentazione dell’uso e verifica delle certificazioni alternative al Green Pass, per i soggetti cui è impedita la vaccinazione e/o che sono comunque esentati dal presentare la certificazione verde nei casi di controllo obbligatorio.

In generale, il Garante conclude ricordando a ogni soggetto qualificabile come “Titolare del trattamento” (e quindi a ogni esercizio e/o attività che ricade nell’onere di verificare il Green Pass) che la normativa si regge – anche in materia di sanzioni – su principi come quello di c.d. “minimizzazione“, e quindi di riduzione ove possibile e al massimo dei dati personali trattati (consultati, salvati o anche solo brevemente visualizzati): il rispetto dello spirito della normativa dovrebbe nella maggior parte dei casi porre al riparo l’esercente (come detto, “Titolare” del trattamento) dalle sanzioni pecuniarie, astrattamente molto salate, previsto dal Reg. UE 2016/679 o “GDPR”.

Le modalità operative di rispetto delle indicazioni del Garante

In primo luogo, vale quindi la pena ricordare che il controllo del Green Pass è previsto solo e soltanto nei casi previsti dalla legge: per questa ragione, sarà necessario confrontare sempre l’evento o la situazione in cui ci si trova con l’elencazione sopra individuata, per poter stabilire se è (o meno) lecito procedere alla verifica.

Inoltre, la verifica dovrà necessariamente essere effettuata tramite l’app ufficiale “VerificaC19”, e non a mezzo di altre applicazioni – pure presenti sugli store iOS e Android – che permettono invece di “salvare” i Green Pass scansionati: tali diverse applicazioni – ferma la loro discutibile liceità – dovranno esclusivamente essere usate qualora un privato ritenga di voler memorizzare il proprio QR Code e/o quello di familiari, per praticità e solo per uso personalissimo.

Infine, sono importantissime le istruzioni fornite ai dipendenti e/o incaricati della verifica: opportuno che esse siano scritte, semplici e possibilmente soggette a dimostrazione della loro chiara sottoposizione all’operatore incaricato.

_____________________________________

Photo by sentidos humanos on Unsplash