Profilazione, Internet of Things e Garante della Privacy: le nuove frontiere della…

L’evoluzione tecnologica degli ultimi anni ha portato all’emersione di fenomeni che pongono sfide inedite alla protezione dei dati personali.

Due in particolare meritano un’attenzione specifica per la loro pervasività e per le implicazioni profonde che hanno sulla vita delle persone: la profilazione, che attraverso algoritmi sempre più sofisticati pretende di prevedere comportamenti, preferenze e caratteristiche individuali; e l’Internet of Things (IoT), che sta trasformando oggetti quotidiani in dispositivi connessi capaci di raccogliere, trasmettere e elaborare enormi quantità di dati. Di fronte a queste sfide, il ruolo del Garante per la protezione dei dati personali diventa sempre più cruciale e complesso.

La profilazione: quando gli algoritmi ci conoscono meglio di noi stessi

La profilazione consiste nel trattamento automatizzato di dati personali per valutare aspetti della personalità, analizzare o prevedere comportamenti, preferenze, interessi, affidabilità, situazione economica, salute, ubicazione o spostamenti di una persona fisica. In termini più semplici, è quando un sistema informatico raccoglie informazioni su di noi e le usa per costruire un nostro “profilo” che poi viene utilizzato per prendere decisioni o fare previsioni sul nostro conto.

La profilazione non è un fenomeno nuovo – le aziende da sempre cercano di capire i propri clienti per offrire prodotti e servizi più adatti – ma le tecnologie digitali l’hanno portata a livelli di sofisticazione e pervasività senza precedenti. Ogni volta che navighiamo online, ogni volta che usiamo un’app, ogni volta che facciamo un acquisto con carta di credito, generiamo dati che possono essere raccolti, aggregati, analizzati per costruire un profilo sempre più dettagliato di chi siamo, cosa vogliamo, come ci comportiamo.

Le fonti dei dati usati per la profilazione sono molteplici. Ci sono i dati che forniamo esplicitamente compilando form online, registrandoci a servizi, rispondendo a questionari. Ci sono i dati comportamentali raccolti tracciando le nostre attività: quali siti visitiamo, quanto tempo ci restiamo, cosa clicchiamo, cosa mettiamo nel carrello anche se poi non compriamo, quali post sui social media mettiamo “mi piace”, quali video guardiamo e per quanto tempo.

Ci sono poi dati inferiti, cioè dedotti dai primi due tipi attraverso algoritmi: se compri pannolini probabilmente hai un bambino piccolo, se cerchi informazioni su una certa patologia forse ne soffri o qualcuno a te vicino, se visiti siti di agenzie matrimoniali forse sei single. Queste inferenze possono essere accurate ma anche completamente sbagliate – magari stai comprando pannolini per un regalo, cercando informazioni mediche per un lavoro scolastico, visitando siti matrimoniali per curiosità – ma una volta entrate nel tuo profilo vengono trattate come fatti e usate per decisioni che ti riguardano.

Le finalità della profilazione sono varie. La più comune è il marketing personalizzato: mostrarmi pubblicità di prodotti che ho più probabilità di comprare in base al mio profilo. Se risulto interessato a tecnologia, mi bombarderanno di pubblicità di smartphone e computer. Se ho cercato informazioni su viaggi, vedrò ovunque offerte turistiche.

Ma la profilazione serve anche per decisioni automatizzate su questioni importanti: se concedermi un prestito (credit scoring basato su profilo economico e comportamentale), quanto farmi pagare un’assicurazione (profilo di rischio), se assumermi per un lavoro (profilo professionale costruito aggregando dati da varie fonti), quali contenuti mostrarmi sui social media e in quale ordine (profilo di interessi e preferenze).

Ci sono poi usi più controversi: profilazione politica per targettizzare messaggi elettorali solo a chi si pensa possa essere ricettivo; price discrimination dove lo stesso prodotto viene venduto a prezzi diversi a persone diverse in base al profilo di disponibilità a pagare; sorveglianza comportamentale dove i comportamenti vengono monitorati per individuare pattern sospetti.

Il GDPR dedica particolare attenzione alla profilazione, riconoscendone le potenzialità ma anche i rischi. L’articolo 22 stabilisce che l’interessato ha il diritto di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici o incidano significativamente sulla sua persona.

Questo diritto non è assoluto – ci sono eccezioni quando la decisione automatizzata è necessaria per concludere o eseguire un contratto, autorizzata da una norma, basata su consenso esplicito – ma anche quando le eccezioni si applicano, devono essere previste misure appropriate per tutelare i diritti dell’interessato, incluso almeno il diritto di ottenere l’intervento umano, di esprimere la propria opinione, di contestare la decisione.

Il Garante italiano è intervenuto più volte su questioni di profilazione. Ha sanzionato piattaforme social per profilazione illecita a fini pubblicitari senza adeguata base giuridica. Ha vietato sistemi di credit scoring che usavano dati non pertinenti o discriminatori. Ha prescritto trasparenza sugli algoritmi usati per decisioni automatizzate.

Un problema particolare della profilazione riguarda la sua opacità. Spesso non sappiamo di essere profilati. Ancora più spesso non sappiamo sulla base di quali dati, con quali algoritmi, per quali finalità. L’algoritmo che decide se concedermi un prestito è una black box: so che mi è stato negato ma non so perché, quali fattori hanno pesato, se ci sono errori nei dati su cui si è basato.

Il GDPR cerca di contrastare questa opacità attraverso obblighi di trasparenza: chi profila deve informare gli interessati, deve spiegare la logica della profilazione, deve permettere all’interessato di verificare i dati su cui si basa il profilo. Ma nella pratica applicare questi obblighi è complesso, specialmente quando gli algoritmi sono sofisticati e la loro logica non è facilmente spiegabile nemmeno a chi li ha creati.

L’Internet of Things: quando gli oggetti ci spiano

L’Internet of Things (IoT) o Internet delle Cose si riferisce alla connessione a internet di oggetti fisici tradizionalmente “stupidi” che diventano “smart” attraverso sensori, software, connettività di rete. Non più solo computer e smartphone connessi, ma termostati, frigoriferi, orologi, automobili, lampade, telecamere, giocattoli, elettrodomestici, dispositivi indossabili per il fitness, assistenti vocali domestici.

Questi dispositivi raccolgono dati dall’ambiente circostante attraverso sensori (temperatura, movimento, suono, immagini, posizione GPS, battito cardiaco), li trasmettono attraverso internet a server che li elaborano, e spesso possono essere controllati remotamente o prendere decisioni autonome sulla base dei dati raccolti.

Le stime sul numero di dispositivi IoT connessi variano, ma convergono su cifre impressionanti: decine di miliardi di dispositivi già oggi, con previsioni di crescita esponenziale nei prossimi anni. Stiamo letteralmente circondandoci di oggetti che raccolgono dati su di noi e sul nostro ambiente.

Le categorie di dispositivi IoT più diffuse includono:

Smart home devices: termostati intelligenti che imparano le nostre abitudini e regolano automaticamente la temperatura; assistenti vocali come Alexa, Google Home, Siri che ascoltano continuamente per rispondere ai nostri comandi; telecamere di sicurezza connesse; campanelli intelligenti che registrano chi si avvicina alla porta; frigoriferi che monitorano il contenuto e suggeriscono ricette o ordinano automaticamente la spesa; lavatrici e lavastoviglie connesse che possono essere controllate da remoto.

Wearables: smartwatch che monitorano attività fisica, battito cardiaco, qualità del sonno, posizione GPS; fitness tracker che contano passi, calorie, distanze; dispositivi medici indossabili che monitorano parametri vitali di pazienti cronici.

Veicoli connessi: automobili con sistemi di infotainment connessi, sensori che monitorano posizione, velocità, stile di guida, stato del veicolo; sistemi di assistenza alla guida che raccolgono dati dall’ambiente per funzionare.

Dispositivi urbani: semafori intelligenti, parchimetri connessi, sensori ambientali che monitorano qualità dell’aria, cassonetti intelligenti, illuminazione pubblica adattiva.

Dispositivi educativi: tablet per studenti con funzionalità di monitoraggio, lavagne interattive connesse, sistemi di riconoscimento facciale per rilevare presenze.

I dati raccolti da questi dispositivi sono estremamente vari e spesso molto personali. Un termostato intelligente sa quando siamo in casa e quando no, quali temperature preferiamo, le nostre routine quotidiane. Un assistente vocale ascolta conversazioni nella nostra casa, potenzialmente captando informazioni sensibili. Una telecamera di sicurezza riprende continuamente chi entra e esce, potenzialmente anche all’interno della casa. Un fitness tracker conosce i nostri parametri fisici, dove andiamo, quanto e come ci muoviamo. Un’automobile connessa sa tutti i nostri spostamenti, con chi viaggiamo, il nostro stile di guida.

Aggregando dati da più dispositivi si possono ricostruire profili estremamente dettagliati delle nostre vite: quando ci svegliamo (smartwatch che rileva il risveglio), cosa mangiamo a colazione (frigorifero intelligente), che strada facciamo per andare al lavoro (auto connessa), quanto siamo attivi durante il giorno (fitness tracker), cosa guardiamo in TV la sera (smart TV), quanto dormiamo (smartwatch che monitora il sonno).

I rischi per la privacy sono molteplici e seri:

Raccolta massiva e continuativa: a differenza di un questionario che raccogli dati una volta, o di un sito web che li raccoglie quando lo visiti, i dispositivi IoT raccolgono dati continuativamente, 24 ore su 24, generando volumi enormi di informazioni personali.

Dati sensibili: molti dispositivi IoT raccolgono dati particolarmente delicati – dati sanitari da wearable medici, dati sulla vita domestica da smart home, dati sui minori da giocattoli connessi.

Scarsa consapevolezza: spesso le persone non hanno piena consapevolezza di quanti dati raccolgono i dispositivi IoT che usano, di dove vanno questi dati, di come vengono usati. Si compra un termostato intelligente per risparmiare energia, non realizzando pienamente che sta raccogliendo dati dettagliati sulle proprie abitudini domestiche.

Sicurezza carente: molti dispositivi IoT, specialmente quelli consumer economici, hanno livelli di sicurezza informatica inadeguati. Password predefinite deboli, software non aggiornato, comunicazioni non cifrate li rendono vulnerabili ad attacchi che possono compromettere i dati raccolti o addirittura permettere il controllo remoto non autorizzato del dispositivo.

Condivisione con terze parti: i dati raccolti da dispositivi IoT spesso non restano sul dispositivo o nei server del produttore, ma vengono condivisi con terze parti – partner commerciali, inserzionisti pubblicitari, broker di dati – spesso senza che l’utente ne sia pienamente consapevole.

Persistenza: i dati raccolti da dispositivi IoT possono essere conservati indefinitamente, anche quando il dispositivo non è più in uso, creando un archivio permanente di informazioni personali che può essere usato o abusato in futuro.

Il quadro normativo applicabile all’IoT è complesso perché questi dispositivi si collocano all’intersezione di diverse discipline giuridiche: protezione dei dati personali (GDPR), sicurezza dei prodotti, tutela dei consumatori, responsabilità per prodotti difettosi, cybersecurity.

Dal punto di vista del GDPR, chi produce o gestisce dispositivi IoT che raccolgono dati personali è titolare del trattamento e deve rispettare tutti gli obblighi conseguenti: informare adeguatamente gli utenti su quali dati vengono raccolti e perché, ottenere una base giuridica valida per il trattamento, implementare misure di sicurezza appropriate, rispettare i principi di minimizzazione e limitazione della conservazione, garantire i diritti degli interessati.

La privacy by design assume particolare rilevanza per l’IoT: i dispositivi dovrebbero essere progettati fin dall’inizio con la protezione dei dati come requisito fondamentale, non come aggiunta tardiva. Questo significa: raccogliere solo i dati strettamente necessari per le funzionalità del dispositivo, cifrare i dati sia in transito che a riposo, implementare meccanismi di autenticazione forte, prevedere aggiornamenti di sicurezza per tutta la vita del prodotto, permettere all’utente di controllare quali dati vengono raccolti e condivisi.

La privacy by default richiede che le impostazioni predefinite siano quelle più protettive: un dispositivo IoT dovrebbe raccogliere per default il minimo di dati, non condividerli con terze parti salvo scelta esplicita dell’utente, conservarli per il tempo minimo necessario.

Il Garante italiano è intervenuto più volte su questioni IoT. Ha sanzionato produttori di giocattoli connessi per bambini che raccoglievano dati senza adeguate garanzie di sicurezza. Ha prescritto a produttori di smart TV di rendere più trasparente e controllabile la raccolta di dati sulle abitudini di visione. Ha richiamato produttori di dispositivi wearable a rispettare i principi di minimizzazione nella raccolta di dati sanitari.

IoT nelle scuole: opportunità e rischi

L’Internet of Things sta entrando anche negli ambienti educativi, con potenzialità interessanti ma anche rischi che richiedono attenta gestione.

Dispositivi didattici connessi: tablet che gli studenti usano per attività didattiche possono raccogliere dati su come interagiscono con i contenuti, quanto tempo dedicano a ciascuna attività, quali difficoltà incontrano. Questi dati possono essere utili per personalizzare la didattica, ma sollevano questioni: chi può accedere a questi dati? Per quanto tempo vengono conservati? Vengono usati per valutare gli studenti? Vengono condivisi con terze parti?

Sistemi di rilevazione presenze: braccialetti RFID o sistemi di riconoscimento facciale per rilevare automaticamente le presenze degli studenti sono tecnicamente fattibili ma pongono problemi di proporzionalità (serve davvero questa tecnologia invasiva per un obiettivo che si può raggiungere in modi meno invasivi?) e di sicurezza (i dati biometrici sono particolarmente sensibili e richiedono protezioni rafforzate).

Monitoraggio degli spazi: sensori che rilevano temperatura, qualità dell’aria, livello di rumore nelle aule possono aiutare a mantenere condizioni ambientali ottimali per l’apprendimento. Ma se questi sensori includono microfoni o telecamere sempre attivi, i rischi per la privacy aumentano significativamente.

Bus scolastici connessi: sistemi GPS sui bus che permettono ai genitori di sapere dove si trova il mezzo e quando arriverà alla fermata sono apprezzati per la sicurezza, ma comportano il tracciamento continuativo degli spostamenti degli studenti.

Per tutti questi casi le scuole devono fare attente valutazioni di impatto sulla protezione dei dati prima di introdurre tecnologie IoT, verificando: la reale necessità del trattamento, la proporzionalità rispetto agli obiettivi, l’esistenza di alternative meno invasive, le garanzie offerte dai fornitori, le misure di sicurezza implementate, la trasparenza verso famiglie e studenti, la possibilità per gli interessati di esercitare i propri diritti.

Il Garante della Privacy: guardiano nell’era digitale

Di fronte alle sfide poste da profilazione e IoT, il ruolo del Garante per la protezione dei dati personali diventa sempre più cruciale e complesso. Non si tratta più solo di verificare che le organizzazioni rispettino obblighi formali, ma di comprendere tecnologie sofisticate, valutare rischi emergenti, bilanciare innovazione e tutela dei diritti, guidare l’evoluzione verso una società digitale che rispetti la dignità delle persone.

Il Garante italiano è un’autorità amministrativa indipendente istituita dalla legge 675/1996 e poi confermata dal Codice Privacy (D.Lgs. 196/2003) e dal GDPR. È composto da quattro membri eletti dal Parlamento che restano in carica sette anni. L’indipendenza è garantita da varie norme: inamovibilità durante il mandato, incompatibilità con altre cariche, autonomia di bilancio, insindacabilità delle decisioni salvo ricorso giurisdizionale.

I poteri del Garante sono molto ampi e articolati:

Potere normativo: può adottare linee guida, regolamenti, provvedimenti generali che precisano e integrano la normativa sulla protezione dati in settori specifici. Ad esempio ha adottato linee guida su videosorveglianza, cookies, amministratori di sistema, profilazione online.

Potere autorizzativo: per certi trattamenti particolarmente delicati è richiesta autorizzazione preventiva del Garante. Anche se il GDPR ha ridotto i casi di autorizzazione preventiva obbligatoria, il Garante mantiene un ruolo autorizzativo per trattamenti che comportano rischi elevati anche dopo una DPIA.

Potere di controllo e ispezione: può effettuare verifiche e ispezioni presso titolari e responsabili del trattamento, accedere a locali e sistemi informativi, richiedere documentazione, sentire persone.

Potere prescrittivo: può ordinare a titolari e responsabili di conformarsi al GDPR, di adottare misure specifiche, di cessare trattamenti illeciti, di notificare violazioni agli interessati.

Potere sanzionatorio: può infliggere sanzioni amministrative pecuniarie fino agli importi previsti dal GDPR, oltre a sanzioni accessorie come la pubblicazione del provvedimento.

Potere di ricevere e gestire reclami: chiunque ritenga di aver subito una violazione dei propri diritti può presentare reclamo al Garante, che deve esaminarlo e dare riscontro.

Potere consultivo: esprime pareri, talvolta obbligatori, su schemi di legge e regolamento che incidono sulla protezione dati.

Nell’ambito specifico della profilazione, il Garante ha sviluppato una giurisprudenza importante. Ha chiarito che la profilazione a fini di marketing richiede consenso specifico, che deve essere distinto dal consenso al trattamento per altre finalità. Ha stabilito che le informative devono spiegare chiaramente quali dati vengono usati per profilare, con quale logica, per quali scopi. Ha sanzionato piattaforme che profilavano utenti, inclusi minori, senza adeguata base giuridica.

Ha inoltre affrontato la questione delle decisioni automatizzate, prescrivendo che quando algoritmi prendono decisioni che incidono significativamente sulle persone, deve essere garantito un intervento umano significativo, non meramente formale. Non basta che un umano clicchi “approva” su una decisione presa dall’algoritmo senza possibilità effettiva di valutarla criticamente.

Sul fronte IoT, il Garante ha adottato diverse iniziative. Ha pubblicato linee guida su assistenti vocali, chiarendo gli obblighi di chi li produce e gestisce. Ha avviato indagini su smart TV che raccoglievano dati sulle abitudini di visione senza adeguata informativa. Ha sanzionato produttori di dispositivi con carenze di sicurezza che esponevano i dati degli utenti a rischi.

Ha promosso l’adozione di standard di sicurezza per dispositivi IoT, collaborando con altre autorità europee per sviluppare requisiti minimi che questi dispositivi dovrebbero rispettare. Ha sollecitato interventi normativi per imporre obblighi di sicurezza by design ai produttori, riconoscendo che la sola normativa sulla protezione dati non basta se i dispositivi sono intrinsecamente insicuri.

Il Garante svolge anche un importante ruolo educativo e di sensibilizzazione. Pubblica guide per cittadini su come proteggere la propria privacy nell’uso di dispositivi IoT. Organizza campagne informative su rischi della profilazione. Collabora con scuole per educare giovani e insegnanti alla consapevolezza digitale.

Le sfide future: verso dove andiamo

Guardando al futuro, le sfide per la protezione dei dati nell’era della profilazione e dell’IoT sono destinate ad intensificarsi.

La profilazione diventerà sempre più sofisticata con l’evoluzione dell’intelligenza artificiale. Algoritmi di machine learning possono trovare correlazioni nei dati che sfuggono all’analisi umana, possono prevedere comportamenti con precisione crescente, possono anche sviluppare bias discriminatori che riflettono pregiudizi presenti nei dati storici su cui sono stati addestrati.

Il dibattito si sposta quindi su questioni come: trasparenza degli algoritmi (possiamo capire come arrivano alle loro conclusioni?), spiegabilità (possono spiegare le loro decisioni in termini comprensibili?), fairness (evitano discriminazioni ingiuste?), contestabilità (le persone possono efficacemente contestare decisioni algoritmiche?).

L’IoT diventerà ancora più pervasivo. Si parla di “ambient intelligence”, ambienti che ci circondano pieni di sensori e dispositivi interconnessi che monitorano continuamente e si adattano alle nostre esigenze. Case sempre più smart, città sempre più smart, indumenti smart, persino oggetti di uso quotidiano come spazzolini da denti o scope diventeranno connessi.

Questo solleva la questione dell’ubiquitous surveillance, sorveglianza onnipresente: vivremo in ambienti che ci osservano costantemente, che registrano ogni nostra azione, ogni nostra parola. Come mantenere spazi di privacy in un mondo così? Come evitare che questa sorveglianza venga abusata da governi autoritari, da aziende senza scrupoli, da malintenzionati?

C’è poi la questione dei dati biometrici, sempre più usati per autenticazione ma anche per identificazione e sorveglianza. Riconoscimento facciale, scansione dell’iride, impronte digitali, riconoscimento vocale, analisi dell’andatura: tecnologie che permettono di identificare persone a distanza, in tempo reale, senza il loro consenso. Il Garante europeo e diverse autorità nazionali hanno chiesto moratorie sull’uso di riconoscimento facciale in spazi pubblici, riconoscendo i rischi enormi per libertà e democrazia.

Nel contesto educativo, queste tecnologie pongono questioni particolarmente delicate. I minori sono soggetti vulnerabili che meritano protezione rafforzata. L’uso di profilazione su studenti, di dispositivi IoT invasivi nelle scuole, di sistemi di riconoscimento facciale deve essere valutato con estrema cautela, privilegiando sempre l’interesse superiore del minore.

C’è il rischio che tecnologie apparentemente neutre o benefiche vengano usate per sorveglianza e controllo eccessivi: monitorare costantemente attenzione e comportamento degli studenti, valutarli non solo sui risultati ma su metriche comportamentali invasive, creare archivi permanenti di dati che li seguiranno per tutta la vita.

Conclusioni: tecnologia al servizio dell’uomo, non viceversa

Profilazione e Internet of Things non sono intrinsecamente buoni o cattivi. Sono strumenti potenti che possono essere usati per scopi benefici – migliorare servizi, personalizzare esperienze, aumentare efficienza, salvare vite – ma anche per scopi dannosi – manipolare, discriminare, sorvegliare, controllare.

Il compito del diritto alla protezione dei dati, e delle autorità che lo applicano come il Garante, è fare in modo che queste tecnologie vengano sviluppate e usate in modi che rispettino la dignità umana, l’autodeterminazione, i diritti fondamentali.

Questo richiede vigilanza costante, capacità di comprendere tecnologie in rapida evoluzione, coraggio di intervenire anche contro interessi economici potenti, collaborazione internazionale perché i dati e le tecnologie non conoscono confini.

Richiede anche consapevolezza da parte di tutti noi: comprendere i rischi, fare scelte informate, esigere trasparenza, far valere i nostri diritti. E richiede che chi progetta e implementa queste tecnologie lo faccia con senso di responsabilità, mettendo al centro non il profitto o l’efficienza ma il rispetto per le persone.

Nelle scuole, dove si formano le nuove generazioni, la responsabilità è ancora maggiore. Dobbiamo educare giovani cittadini consapevoli, capaci di beneficiare delle opportunità della tecnologia senza diventarne vittime, capaci di proteggere la propria privacy senza rinunciare ai vantaggi del digitale. E dobbiamo essere esempi concreti di uso responsabile della tecnologia, dimostrando che è possibile innovare rispettando i diritti.

La sfida è grande ma non impossibile. Con normative adeguate, autorità vigilanti, tecnologi responsabili e cittadini consapevoli, possiamo costruire una società digitale dove la tecnologia serve l’uomo, non viceversa.

Videocorso DSGA, Dirigenti scolastici e tecnici, Docenti e Sicurezza

🎤🎧 Ascolta il podcast “La voce del preside”

Ascolta “La voce del preside” su Spreaker.

🎤🎧 Audio Lezioni sulla Pedagogia e organizzazione della scuola del prof. Gaudio

Ascolta “Pedagogia e organizzazione della scuola” su Spreaker.