Quando fai acquisti online, pubblichi sui social media o semplicemente fai una passeggiata con un telefono in tasca, generi dati personali. Questo è il punto di partenza di un explainer di Vox Ukraine sulla protezione europea dei dati personali, ed è una cornice utile per questa guida. Di seguito il GDPR spiegato per gli utenti comuni: cosa coprono le regole, quali diritti ti conferiscono, come vengono applicate e dove hai bisogno dei tuoi strumenti.
Una nota sulle fonti: l'estratto del pezzo di Vox Ukraine a nostra disposizione è breve, quindi questo post si attiene ai principi ampi e ben consolidati del diritto europeo sulla protezione dei dati ed evita affermazioni specifiche che vadano oltre.
Cosa significa il GDPR per cookie, app e dati di localizzazione
Il Regolamento generale sulla protezione dei dati (GDPR) disciplina il modo in cui le organizzazioni raccolgono e utilizzano i dati personali delle persone in Europa. In pratica, tre aree quotidiane contano di più.
Cookie e tracker. I siti web che collocano tecnologie di tracciamento non essenziali sul tuo dispositivo generalmente necessitano di una base giuridica, e per la maggior parte della pubblicità e delle analisi ciò significa chiedere il tuo consenso. I banner sui cookie che vedi sono un risultato visibile di questo. Le regole sono pensate per rendere la scelta reale, così che rifiutare dovrebbe essere facile quanto accettare.
Tracciamento delle app. Le app che raccolgono identificatori, dati di utilizzo o informazioni di contatto devono spiegare cosa raccolgono e perché. I dati dovrebbero essere limitati a ciò che è necessario per uno scopo dichiarato, non raccolti solo nel caso possano diventare utili in seguito.
Dati di localizzazione del telefono. La posizione può rivelare dove vivi, lavori e pratichi il tuo culto, quindi è trattata con particolare attenzione. Le app dovrebbero avere una ragione chiara per chiederla, e dovresti poter dire no o revocare il permesso in seguito.
Il filo conduttore è che le organizzazioni hanno bisogno di una ragione legale per trattare i tuoi dati, e devono essere trasparenti al riguardo.
I tuoi diritti secondo il diritto europeo sulla protezione dei dati
Il GDPR non è solo una checklist di conformità per le aziende. Conferisce agli individui diritti concreti che possono esercitare:
- Accesso: chiedere a un'organizzazione se detiene i tuoi dati e richiederne una copia.
- Rettifica: far correggere i dati inesatti.
- Cancellazione: in determinate circostanze, chiedere la cancellazione dei tuoi dati.
- Opposizione e limitazione: opporti ad alcuni tipi di trattamento, come il marketing diretto.
- Portabilità: ricevere i tuoi dati in un formato utilizzabile per poterli trasferire altrove.
- Revoca del consenso: cambiare idea dopo aver detto sì.
Questi diritti sono utili solo se li eserciti. La maggior parte delle aziende pubblica un contatto per la privacy o un modulo di richiesta, e una richiesta scritta è un punto di partenza ragionevole.
Anche i quadri giuridici restano una questione politica aperta. La nostra copertura del piano di Reform UK di eliminare il GDPR mostra che la forma del diritto sulla protezione dei dati può cambiare da paese a paese, quindi vale la pena sapere quali regole si applicano dove vivi.
Come le autorità di controllo applicano le regole e dove restano lacune
I diritti sulla carta dipendono dall'applicazione. Le autorità nazionali per la protezione dei dati indagano sui reclami e possono imporre sanzioni. Il nostro explainer su come funziona il sistema sanzionatorio a due livelli del GDPR analizza perché le cifre delle multe da prima pagina spesso rappresentano male come vengono determinate le sanzioni.
I grandi casi mostrano il sistema in azione. L'Autorità olandese per la protezione dei dati ha deciso di multare Uber per 825 milioni di euro, circa 966 milioni di dollari, secondo un documento esaminato da Reuters, come abbiamo riportato nel nostro articolo sulla multa Uber dell'autorità di controllo olandese.
Tuttavia restano lacune. Una critica di lunga data è che l'applicazione non è stata uniforme tra gli Stati membri, motivo per cui abbiamo seguito gli sforzi delle autorità di controllo UE per rendere le multe GDPR più coerenti. Le indagini richiedono anche tempo, e la legge funziona solo una volta che qualcosa è andato storto. Non impedisce tecnicamente che i dati vengano raccolti in primo luogo, e non può vedere tutto ciò che accade dentro un'app o un browser. Accuse come quelle nel nostro pezzo sul Browsergate di LinkedIn illustrano quanto la raccolta nascosta di dati possa essere difficile da individuare per gli utenti comuni.
Cosa significa per te
Il GDPR ti dà una pretesa legale sui tuoi dati, ma funziona a posteriori e dipende dall'azione delle aziende e delle autorità di controllo. Non nasconde il tuo indirizzo IP dai siti che visiti, non crittografa il tuo traffico su Wi-Fi pubblici e non impedisce a un'app autorizzata di leggere i dati di localizzazione che hai già consentito.
È qui che entrano in gioco gli strumenti personali. Una VPN può crittografare la tua connessione e mascherare il tuo indirizzo IP dai siti che visiti, e la messaggistica con crittografia end-to-end protegge il contenuto delle conversazioni. Questi strumenti non sostituiscono i diritti legali. Una VPN inoltre non impedisce a un sito web su cui accedi di sapere chi sei, e non rimuove i dati che un'azienda già detiene. Considera legge e tecnologia come livelli complementari.
Passi pratici per proteggere i tuoi dati oltre la legge
- Rivedi i permessi delle app. Imposta l'accesso alla posizione su "durante l'uso" o "mai" per le app che non ne hanno bisogno, e rimuovi i permessi per le app che apri raramente.
- Rifiuta i cookie non essenziali. Usa le opzioni di rifiuto o gestione sui banner dei cookie e cancella periodicamente i cookie.
- Invia una richiesta sui dati. Scegli un servizio che usi molto e chiedi cosa detiene su di te. Richiedi la cancellazione per gli account che non usi più.
- Usa la crittografia. Mantieni aggiornati i dispositivi, abilita la crittografia del dispositivo, usa password forti e uniche con un gestore di password e attiva l'autenticazione a due fattori.
- Considera una VPN come uno strato. Può ridurre l'esposizione su reti non affidabili, ma è un complemento alle tue tutele legali, non un sostituto.
In conclusione
Il GDPR spiegato per gli utenti comuni si riduce a questo: la legge ti dà diritti su cookie, tracciamento delle app e dati di localizzazione, e le autorità di controllo possono applicarli, ma restano lacune in termini di rapidità e coerenza. Dedica qualche minuto questa settimana a rivedere le tue impostazioni privacy ed esercita uno dei tuoi diritti sui dati. Poi leggi la nostra guida su come funzionano le multe GDPR per vedere come si svolge l'applicazione nella pratica.
