“Questo sito utilizza i cookie: accetta tutto” - ma dare il nostro consenso è abbastanza?

Nella vita quotidiana, il valore dato alla propria privacy è strettamente personale. In rete invece ha un valore ben preciso e molto redditizio.

L’importanza associata alla privacy varia molto dal periodo storico, la religione e la cultura; fattori chiave per capire, come viene percepita da una certa comunità di persone. Ad esempio, gli olandesi, nonostante siano in maggioranza laici, non hanno l’abitudine di mettere tende o persiane alle finestre, usanza che è un residuo dell’insegnamento calvinista secondo cui chi agisce nel bene non ha nulla da nascondere.

A prescindere dalle nostre origini e credenze personali, potremmo semplicemente ritenere che le informazioni che cerchiamo sul web siano irrilevanti e quindi, il fatto che esse siano in mano di aziende non sia ragione di preoccupazioni. Questa opinione potrebbe essere però legata al fatto che il termine privacy è riduttivo. Esso fa solamente riferimento alla riservatezza dei dati che rilasciamo sul web; ovvero al fatto che l’accesso a questi dati sia consentito solo alle aziende autorizzate. L’utilizzo di questo termine però, porta a dimenticare che vi sono molte altre dinamiche che entrano in gioco nella condivisione dei nostri dati su internet. Ecco perché è più corretto parlare della protezione del trattamento dei dati personali.

Durante la conferenza “The Future of Privacy”, organizzata dalla London School of Economics, vengono fornite tre ragioni per cui la protezione dei nostri dati dovrebbe avere un alto valore personale. Tutte e tre partono dall’assunto che la riservatezza dei dati sia un prerequisito dell'autonomia individuale. Questo concetto, si esprime in due direzioni. In primo luogo, se sappiamo di essere osservati, modifichiamo, più o meno inconsapevolmente, il nostro comportamento a ciò che ci si aspetta da noi, conformandoci e sopprimendo lo sviluppo di una personalità individuale. In secondo luogo, condividendo informazioni siamo più esposti alla manipolazione delle aziende, realizzata sia nel fornirci pubblicità personalizzate, sia nell'influenzare i nostri gusti e le nostre scelte. Purtroppo, nessuno è escluso dai trucchi psicologici utilizzati, le aziende si basano su studi e algoritmi riuscendo ad avere una comprensione oggettiva della nostra psiche. La terza ragione sostenuta durante la conferenza è l'importanza di minimizzare i rischi legati all’aggregazione dei nostri dati. Sebbene la maggioranza delle ricerche che facciamo siano triviali considerate individualmente, a livello aggregato danno forma ad un quadro più ampio e significativo. Ad esempio, soventi localizzazioni all’interno di fast-food, ricerche sulle farmacie più vicine e utilizzo di app di incontri potrebbero fornire, alle assicurazioni sanitarie informazioni a cui altrimenti non avrebbero accesso grazie alle quali, però, proporranno prezzi più alti.

Proprio per questa ragione, l’articolo 5 del GDPR (Regolamento sulla Protezione dei Dati Personali) non prevede solo che i dati personali siano divulgati esclusivamente agli enti autorizzati, ma anche che ciò sia fatto secondo i seguenti principi:

• liceità, correttezza e trasparenza (la liceità e la trasparenza dell’utilizzo dei dati nei confronti dell’utente);
• limitazione della finalità (l’utilizzo dei dati deve essere conforme e limitato a un esplicito scopo);
• minimizzazione dei dati (la quantità e qualità dei dati raccolti deve essere limitata e necessaria allo scopo per cui questi vengono utilizzati);
• esattezza (i dati raccolti devono essere esatti e, se necessario, aggiornati);
• limitazione della conservazione (la durata dell’associazione di persona a un suo dato personale non deve essere superiore allo scopo per cui il dato è stato raccolto);
• integrità e riservatezza (la raccolta dati deve garantire la protezione rispetto a rischi che potrebbero verificarsi in caso di accesso alle informazioni da parte di soggetti non autorizzati);
• responsabilizzazione (la responsabilità dell’osservanza dei principi non è a carico della persona di cui sono stati raccolti i dati, ma piuttosto a carico dell’ente terzo che li gestisce).

Considerando che il trattamento dei nostri dati personali include tutte le considerazioni e principi citati sopra, è ancora argomentabile che il nostro consenso, espresso con un click su una casellina, sia sufficiente a giustificare la gestione delle nostre informazioni da parte di enti terzi?

Il caso di Cambridge Analytica del 2018 potrebbe fornire uno spunto di riflessione a riguardo. Nel 2014, l’applicazione “thisisyourdigitallife” raccolse un'enorme mole di dati grazie all’accesso degli utenti tramite Facebook Login, ovvero la funzione che permette di identificarsi con le proprie credenziali Facebook in un altra applicazione. Tutt'ora questo servizio viene “pagato” dagli utenti che accettando i termini di utilizzo, acconsentono che l’applicazione a cui accedono possa conoscere alcuni dei loro dati su Facebook. Al tempo, questi dati includevano l’email, l’età, il sesso, la foto profilo non solo degli utenti che accedevano, ma anche dei loro amici su Facebook. I dati raccolti da"thisisyourdigitallife" furono ceduti (illegalmente) a Cambridge Analytica, la quale li usò per influenzare le scelte politiche degli americani per le elezioni presidenziali del 2017.

Un caso di questo genere pone quantomeno il dubbio che sia moralmente giustificabile la condivisione dei dati personali a fini di un’accurata profilazione di una persona anche se l’utente in questione ha acconsentito.

Nonostante negli anni si siano fatti enormi passi avanti nella tutela dei dati personali in rete, ed il GDPR rappresenti uno di questi passi, si pensa ancora che una informata e autonoma scelta sulla vendita dei propri dati personali a enti terzi debba essere basata sul consenso. Questa impostazione trascende completamente la realtà. Siamo esseri con grandi abilità cognitive, ma abituati per efficienza ad ottimizzare le nostre risorse. Passare il nostro tempo ad analizzare le condizioni d’uso di ogni sito a cui accediamo per formare un consenso informato non è realistico. Servirebbe un decisivo cambio di prospettiva: i legislatori dovrebbero obbligare i siti internet a mostrare di default le condizioni d’uso che facciano l’interesse degli utenti, non quello delle aziende. Solo in questo modo i valori dell'articolo 5 GDPR garantirebbero realmente la protezione auspicata e finalmente la nostra protezione non dipenderebbe solamente da un legale, ma falso consenso.

Mondo Internazionale APS - Riproduzione Riservata ® 2023

Conferenza “The Future of Privacy”, 06/03/2023, London School of Economics

Le tende? Agli olandesi non piacciono, ecco perché Periodico Daily

Privacy: definizione e aggiornamenti

Grindr, la denuncia: "Trattamento illecito dei dati di geolocalizzazione" - Cyber Security 360

Il caso Cambridge Analytica, spiegato bene - Il Post, Art. 5 GDPR - Principi applicabili al trattamento di dati personali