Da pochi giorni Repubblica, La Stampa e altri giornali hanno cambiato le condizioni di accesso gratuito ai loro siti e ora bisogna accettare se farsi profilare con i cookie o sottoscrivere un abbonamento. Cosa già fatta da Fatto Quotidiano e altre testate.

Il Garante della privacy italiano ha avviato un esame della questione. Potete leggere un buon riassunto della vicenda su Il Post, che include anche riferimenti alle scelte analoghe fatte in altri paesi.

Qui sotto trovate un video sull’argomento di Matteo Flora.

Ne parla anche l’avvocato Andrea Michinelli su Cybersecurity360.it.

Questo articolo è disponibile anche in versione podcast audio.

Qualche giorno fa il Parlamento Europeo ha adottato due proposte di legge che dovrebbero tutelare maggiormente le persone online e che impongono nuove regole alle aziende big tech. Queste proposte si chiamano DSA e DMA, Digital Services Act e rispettivamente Digital Markets Act, e dovrebbero entrare in vigore in autunno. Sono leggi europee, ma non riguardano soltanto chi vive e lavora nell’Unione Europea.

Per parlarne ho chiesto una sintesi a Francesco Gabaglio, che è un giornalista che lavora per Cult+, il magazine culturale online della RSI, e si occupa spesso di come la tecnologia influenza la nostra cultura e viceversa. E questo è proprio uno di quei casi. Trascrivo qui quello che dice Francesco:

Ciao Paolo, grazie per questo spazio. In effetti abbiamo parlato di queste due leggi di mercoledì sulla nostra pagina Instagram [linkata qui sotto] perché sono leggi che, per come sono state scritte, avrebbero un impatto veramente enorme su tutta l’industria di Internet e non solo nell’UE. Il loro scopo da una parte è quello di tutelare maggiormente gli utenti online; dall’altra è quello di facilitare la concorrenza, e infatti si applicano soprattutto alle aziende big tech, quindi Meta, Google, Apple, Twitter e TikTok, soprattutto.

Cominciamo dalla prima legge, la più sostanziosa, che è il DSA o Digital Services Act. Come prima cosa il DSA pone un freno alla profilazione; vieta alle grandi piattaforme di usare i dati personali particolarmente sensibili, come lo stato di salute, vieta la pubblicità mirata ai minorenni, e obbliga le piattaforme anche a fornire un sistema di raccomandazione non basato sulla profilazione (quindi, primo tra tutti, per esempio, un feed cronologico).

Poi c’è il capitolo rimozione dei contenuti. Quello che fa il DSA è renderla più veloce, fondamentalmente. Le piattaforme continueranno a non essere responsabili legalmente per i contenuti postati dagli utenti ma dovranno subito eliminare i contenuti illegali, e per farlo dovranno rispondere anche a richieste di rimozione da parte delle autorità giudiziarie e di polizia, e questo è forse il punto più critico, che preoccupa di più attivisti ed esperti. 

Ci sono poi altre misure che favoriscono la trasparenza: le piattaforme dovranno spiegare alle autorità come funzionano i loro algoritmi e quali rischi presentano, e poi questi rischi verranno valutati da un organismo dell’UE, che non esiste ancora (ma ci arriviamo dopo).

Ultima vittoria per gli utenti, poi, i dark pattern saranno vietati. Cioè quei trucchetti che alcune aziende usano per spingerci a fare certe scelte nelle opzioni, nascondendo i pulsanti, rendendo complicatissimi i menu di scelta dei cookies; ci siamo capiti, insomma. 

Passiamo poi al DMA, che è la seconda legge, il Digital Markets Act. Qui lo scopo invece è evitare i monopoli e facilitare la concorrenza. La misura che più ha fatto discutere è quella di obbligare le piattaforme a permettere l’utilizzo di app di terze parti per accedere ai propri servizi, quindi permettere fondamentalmente l’esistenza, per esempio, di un client non ufficiale per WhatsApp. Ed è un punto problematico per quanto riguarda la sicurezza, perché non si capisce bene come potrebbe essere gestita la crittografia end-to-end, per esempio. Staremo a vedere.

Altra misura che citerei è il divieto di tracciare gli utenti fuori dalla propria piattaforma senza esplicito consenso, e qui pensiamo ovviamente a Meta.

Ecco, queste sono alcune delle misure. Le proposte di legge sono lunghe 450 pagine.

Facciamo un bilancio. La prima buona notizia è che queste sono buone leggi per gli utenti: perlomeno ne sono convinti analisti e attivisti per i diritti online come l’Electronic Frontier Foundation. L’altra buona notizia è che anche la Svizzera probabilmente ne beneficerà, perché nessuna grande azienda vuole sviluppare policy e servizi diversi per ogni paese. La cattiva notizia è che il difficile arriva ora: l’UE e gli stati membri dovranno prima di tutto decidere chi e come dovrà implementare e far rispettare le leggi. Il successo di queste leggi, soprattutto all’inizio, dipenderà da come le aziende reagiranno. La speranza è che per evitare le salatissime multe previste (si parla fino al 10% del reddito annuale) si adattino a queste leggi prima ancora che l’UE abbia un meccanismo completamente funzionante.

Cult+ ha creato per il proprio profilo Instagram (@rsicultplus) un post apposito che può essere utile da condividere con chi usa questa piattaforma social e vuole sapere cosa cambierà nei prossimi mesi nella nostra vita digitale:

Speriamo che queste leggi riescano a mettere in pratica i loro sani princìpi in maniera meno complicata e frustrante di quanto è successo con le normative sui cookie, che ci hanno trasformati tutti in formidabili cliccatori compulsivi sul pulsante Accetto di tutti i siti che visitiamo ma non ci hanno insegnato granché sulla difesa del nostro diritto a non essere spiati, schedati e classificati.

Anche il Garante Privacy italiano, dopo quello austriaco e francese, ha dichiarato che usare Google Analytics va contro la normativa europea GDPR perché raccoglie informazioni personali sui visitatori e le manda negli Stati Uniti (o comunque le rende disponibili alle aziende e alle autorità governative statunitensi perché è un’azienda statunitense, sia pure residente in UE), e gli USA non sono considerati un paese sicuro per la protezione dei dati per via della maggiore facilità di accesso per profilazione commerciale o di sorveglianza politica.

Il Garante ha già emesso un primo provvedimento che riguarda una Srl italiana. La questione è raccontata in dettaglio su Punto Informatico, che linka anche i dettagli del provvedimento.

I siti italiani non in regola sono tantissimi: migliaia già soltanto considerando quelli della pubblica amministrazione, che non si capisce perché debbano appoggiarsi a Google quando esiste un sistema di analytics nazionale e conforme alle norme di protezione dei dati personali (webanalytics.italia.it). Ne parla Matteo Flora in questo video, spiegando la tecnica usata da Fabio Pietrosanti per documentare la situazione:

Sempre Flora affronta la questione insieme a Guido Scorza, che è uno dei componenti del Garante italiano, e insieme a due avvocati, Gianluca Gilardi e Andrea Michinelli, che propongono alcune soluzioni (come Matomo o Piwik Pro, discussi nel secondo video da Gilardi intorno a 32 minuti).

Michinelli spiega ulteriori dettagli in questo articolo su Cybersecurity360.it.

Il problema è davvero grosso per moltissime aziende e per la pubblica amministrazione, che si troveranno presto costrette a una radicale ristrutturazione dei propri siti, e anche per i privati che gestiscono un sito ospitato da Google, come per esempio questo blog. 

Sottolineo che non si tratta di una questione solo italiana: sono coinvolti tutti i garanti europei. Sottolineo inoltre che, come notano gli ospiti di Matteo Flora, non è neanche questione di dove stanno i server. Possono anche essere fisicamente nell’UE, ma se sono intestati a un’azienda statunitense sono comunque disponibili ai governi USA.

E questo blog come è messo? Ne ho parlato qui a maggio scorso. Da parte mia, come utente di Blogger (che è di Google), credo di aver fatto tutto il possibile per evitare l’uso di Google Analytics:

• Ho verificato di aver disabilitato Google Analytics in questo blog e in tutti gli altri che gestisco, secondo l’invito e il comunicato del Garante Privacy italiano del 23 giugno 2022 e le sue linee guida del 10 giugno 2021. L’ho fatto andando nelle Impostazioni del blog, scegliendo la voce ID proprietà di Google Analytics, cliccandovi sopra e verificando che la voce era vuota (lo era probabilmente da parecchio tempo).
• Ho inoltre disabilitato in tutti i blog che gestisco Google Marketing Platform, andando nelle Impostazioni del blog, scegliendo la voce Abilita file ads.txt personalizzato e disattivandola.

Se ci sono altre cose che posso fare per ridurre la profilazione fatta da terzi, ditemelo. 

Sarebbe una magagna molto pesante se questo non bastasse e fosse necessario abbandonare completamente la piattaforma Google per questo blog e gli altri che gestisco.

• Come impostare le autorizzazioni su Android, iPhone, Google e Facebook
• Interviste a Michal Kosinski, al sottoscritto e ad Alessandro Trivilini, docente del Dipartimento di tecnologie innovative della SUPSI.
• Big Data: il caso Trump e Cambridge Analytica, rapporti tecnici e programmi di prevenzione
• Notizie correlate alla raccolta di dati da parte dei social network
• I commenti dei telespettatori e le mie risposte.