La tutela dei dati personali degli Italiani titolari dello SPID (Sistema pubblico di Identità Digitale) e le garanzie in termini di informazioni tempestive, preventive e complete sulla Privacy da parte degli Identity Provider qualificati (Poste, Telecom Italia Trust Technologies e Infocert) a chi decide di fare domanda delle credenziali anche online. Un tema molto delicato, quello del trattamento dei dati personali connessi allo SPID, che negli ultimi tempi ha acceso il dibattito di esperti e addetti ai lavori sui social. Secondo alcuni, il trattamento dei dati in relazione al rilascio e della conservazione dei dati SPID andrebbe esplicitato in maniera più forte sui siti web degli Identity Provider. Anche se c’è da dire che ad oggi sono disponibili i livelli 1 e 2 dello SPID, mentre si attende ancora il rilascio del livello 3 che in prospettiva garantirà l’accesso ai servizi più sensibili e quindi più delicati anche in materia di privacy. Ne abbiamo parlato con l’avvocato Alessandro del Ninno, Of Counsel dello Studio Tonucci & Partners, esperto di Diritto dell’ICT e Data Protection.
Key4Biz. C’è un problema di scarsa informazione ai cittadini sul trattamento dei dati SPID da parte degli Identity Provider qualificati?
Alessandro del Ninno. No, ogni allarme sulle modalità con le quali gli identity providers qualificati da AGID informano gli utenti richiedenti il servizio SPID in merito al trattamento dei loro dati personali è ingiustificato.
Key4biz. Quali sono i criteri che gli Identity Provider devono rispettare in materia di Privacy e SPID?
Alessandro del Ninno. La problematica privacy può porsi su due livelli, e dunque la conformità delle architetture, dei servizi e delle politiche del trattamento dei dati personali adottate dagli identity providers può essere valutata in base a:
a) all’adeguato livello di protezione dei dati personali degli utenti per la finalità di resa e gestione del servizio SPID;
b) all’adeguata informazione degli utenti circa le finalità secondarie del trattamento (tipicamente per scopi di marketing) dei medesimi dati che gli utenti forniscono in sede di richiesta della attivazione delle credenziali SPID e all’acquisizione dei dovuti consensi informati – specifici ed opzionali – al trattamento.
Key4biz. Com’è la situazione privacy per la finalità e gestione del servizio SPID?
Alessandro del Ninno. Con riferimento all’adeguato livello di protezione dei dati personali degli utenti per la finalità di resa e gestione del servizio SPID, ritengo che il problema non si ponga.
Difatti, l’emanazione dei regolamenti SPID di cui all’art l’Art. 4 commi 2,3 e 4 del DPCM 24 ottobre 2014 recante “Definizione delle caratteristiche del sistema pubblico per la gestione dell’identità digitale di cittadini e imprese (SPID), nonché dei tempi e delle modalità di adozione del sistema SPID da parte delle pubbliche amministrazioni e delle imprese” – e cioè i regolamenti recanti: le regole tecniche; le modalità attuative per la realizzazione dello SPID; le modalità di accreditamento dei soggetti SPID; le procedure necessarie a consentire ai gestori dell’identità digitale, tramite l’utilizzo di altri sistemi di identificazione informatica conformi ai requisiti dello SPID, il rilascio dell’identità digitale – è avvenuta con il pieno avallo del Garante per la Privacy – per i relativi aspetti – a seguito della concertazione con AGID e del recepimento di tutte le indicazioni contenute nei pareri dell’Autorità (l’ultimo dei quali del Dicembre 2015).
Key4biz. Quali strumenti mettono a disposizione gli Identity Provider per informare i cittadini sul regolamento privacy legato a SPID?
Alessandro del Ninno. Nella procedura di richiesta dello SPID, tutti gli identity providers mettono a preventiva disposizione (come l’AGID obbliga a fare) i Manuali Operativi, i Manuali utente e le Condizioni generali di contratto ove vengono in dettaglio illustrate le architetture e le misure di sicurezza nel trattamento (tra l’altro certificate in base agli ultimi standard internazionali). L’utente deve restituire la documentazione sottoscritta con firma digitale per presa visione e accettazione.
Key4biz. Com’è la situazione sul secondo aspetto del consenso marketing?
Alessandro del Ninno. Con riferimento alle informative e consensi marketing, tutti gli identity providers rendono – in fase di richiesta dello SPID (e dunque – legittimamente – preventivamente alla attivazione del servizio e all’inizio del trattamento, come richiede il Codice della privacy) – una idonea informativa e acquisiscono i separati consensi opzionali (distinguendo – correttamente – il consenso per fare marketing in proprio e il consenso per comunicare a terzi i dati affinché questi facciano marketing). Anche questa documentazione – con le opzioni prescelte – va ritrasmessa all’ID provider sottoscritta con firma digitale.
Key4biz. Può farci un esempio?
Alessandro del Ninno. Ad esempio, Infocert utilizza un doppio livello: per richiedere lo SPID l’utente deve registrarsi al sito web ed esprimere le proprie opzioni privacy (vedi qui) e una volta registrato e richiesto lo SPID deve ritrasmettere la ulteriore e specifica documentazione privacy e contrattuale (vedi gli allegati) sottoscritta con firma digitale.
Analoga procedura utilizzano Poste e Tim tramite Trust Technologies.
Dunque prima della attivazione del servizio e preventivamente all’inizio del trattamenti gli utenti richiedenti lo SPID sono adeguatamente informati e messi nella condizione di esprimere le proprie opzioni sui trattamenti secondari.
Key4biz. La profilazione degli utenti è vietata.
Alessandro del Ninno. E’ ovvio che se si parla di profilazione (che è un trattamento ulteriore e diverso da quello marketing, per il quale da sempre il Garante – e ora anche il nuovo Regolamento Generale UE sulla protezione dei dati – richiede una specifica informativa e l’acquisizione di un separato consenso alla profilazione, aggiuntivo e distinto anche da quello marketing), sulla base delle attuali informative privacy e dei consensi richiesti gli identity providers non possono procedere ad alcun trattamento di profilazione, che sarebbe illecito e perseguibile ai sensi dell’art. 167 del Codice privacy anche penalmente.
Key4biz. In definitiva gli Identity Provider forniscono le informazioni e sta agli utenti informarsi preventivamente.
Alessandro del Ninno. Durante la procedura di richiesta gli Identity Provider sono obbligati a far prendere visione e accettare i Manuali Operativi con l’esplicazione di tutte le misure di protezione e sicurezza. Il manuale Inforcert è un buon esempio sulle informazioni relative a sistemi di fraud detection, sistemi contro l’identity theft, sistemi di monitoraggio, certificazioni ISO su misure di sicurezza e altro ancora.
Manuale operativo SPID Infocert
