Tecnologie osserva-persone alla prova della privacy
Foto, video, celle telefoniche, radiofrequenze e impulsi luminosi: una ricerca evidenzia i rischi per i dati collegati ai sistemi di misurazione dell’audience e della posizione
Fotografie scattate alla folla per trarre informazioni sul numero, il genere e l’età di persone che, ad esempio, si fermano di fronte a un cartellone pubblicitario. Dati sulla localizzazione dei telefonini raccolti usando le celle telefoniche. Sistemi a impulsi luminosi che scansionano gli spazi circostanti per monitorare il livello di occupazione. Sono alcune delle tecnologie utilizzate per misurare l’audience, vale a dire il numero di persone in una determinata area. Impiegate soprattutto (ma non solo) con finalità di marketing, si stanno diffondendo sempre più. Ma occorre fare attenzione al nodo della privacy: per le società che producono e distribuiscono questi sistemi e per quelle che li usano è essenziale rispettare le regole per il trattamento dei dati personali per non rischiare le sanzioni introdotte dal regolamento Ue Gdpr (2016/679, attuato in Italia dal decreto legislativo 101/2018).
A mettere a fuoco i rischi per la riservatezza dei dati collegati ai sistemi di misurazione dell’audience è lo studio «Physical audience measuring technologies and privacy concerns», coordinato dal Centro nazionale IoT e privacy (osservatorio sulle tematiche legate all’internet of things e alla normativa sulla privacy) e promosso dallo studio legale CrcLex, specializzato in materia di tecnologia, e dall’Istituto italiano privacy.
Il tema dei sistemi di monitoraggio delle persone è stato portato alla ribalta dall’emergenza Covid. Ma lo studio, in realtà, non si occupa delle app di contact tracing, come Immuni. «Il progetto è nato un anno fa, ben prima dello scoppio della pandemia», spiega Giulio Messori, avvocato dello studio CrcLex, che ha coordinato i lavori insieme con Alex Buzzetti di Blimp, società che sviluppa tecnologie per la rilevazione del traffico pedonale e veicolare nelle aree urbane. «In primo luogo abbiamo cercato - prosegue Messori - di ricostruire lo stato dell’arte tecnologico e normativo, esaminando il funzionamento dei sistemi più usati e analizzando i provvedimenti delle Autorità garanti per la privacy. Il nostro obiettivo è offrire delle indicazioni alle società del settore, perché possano operare nel rispetto delle norme sulla privacy ed evitare problemi».
Nel dettaglio, la ricerca prende in esame cinque tecnologie:
1. sistemi di acquisizione di immagini o video, che, usando una fotocamera o una telecamera, acquisiscono una fotografia o una sequenza video dell’area in cui si desiderano contare le persone, processano le immagini per estrarre le informazioni di interesse e le eliminano subito;
sistemi di radiofrequenza, che rilevano i dispositivi wireless (come smartphone, tablet e notebook) in una determinata area;
sistemi di acquisizione dati tramite cella telefonica, che tracciano la posizione dei telefoni;
sistemi Sdk, Beacon e bidstream, che rilevano la posizione degli utenti tramite app per smartphone o banner pubblicitari sul web;
sistemi di occupancy detection, che utilizzano tecniche di telerilevamento a impulsi luminosi.
Per ciascuna tecnologia è stato esaminata la conformità alle norme sulla privacy e, in particolare, la possibilità per gli interessati di esercitare i diritti previsti dal regolamento Gdpr, come il diritto di accesso, di rettifica o il diritto all’o.blio. Emerge un quadro composito, con alcuni casi in cui non è possibile - spesso per motivi tecnici - esercitare i diritti legati alla tutela della privacy: perché, ad esempio, i dati non esistono più o non sono modificabili.
« Se le tecnologie sono ben progettate - osserva Messori - i dati vengono acquisiti solo per pochi attimi, il tempo necessario per estrarre le informazioni numeriche, e poi vengono cancellati. Ma occorre comunque rispettare le norme sulla privacy. Dato che si tratta di tecnologie innovative, secondo noi è fondamentale per le società condurre una valutazione di impatto della protezione dei dati per analizzare necessità, proporzionalità e rischi » .
Ci sono casi in cui gli interessati per motivi tecnici non possono esercitare i diritti previsti dal Gdpr