Regolamento UE 2016/679 (privacy)

31/05/2018 19:46:42

Si, lo so (e ora lo sapete anche voi), ho bucato di parecchio la promessa di farlo prima dell'entrata in vigore, ma ho pensato bene di farlo comunque, perché meglio tardi che mai.
E quindi ecco a voi una nuova bozza della miniguida sui dati personali, riveduta e corretta con le osservazioni ricevute e con l'indicazione ulteriore, un po' sintetizzata, del tema del consenso per i giocatori compresi tra i 16 e i 18 anni di età, con crediti e meriti solo all'account di IGI; nonché della tematica della anonimizzazione, della quale ha parlato sia Ghennadi che Dyrr, ai quali vanno di nuovo crediti e meriti

Come la prima, anche questa versione è oggetto di verifica, quindi se qualcuno ha osservazioni, ci vada pure giù ;-)


[INIZIO]

GDPR e GDR - Nuovo Regolamento privacy e noi

Il 25 maggio 2018 è enrìtrato in vigore il Regolamento UE 2016 679 http://194.242.234.211/documents/10160/0/Regolamento+UE+2016+679.+Con+riferimenti+ai+considerando ↗ che in linguaggio anglofono chiamano General Data Protection Regulation, o in breve GDPR, e che noi potremmo tramquillamente chiamare Regolamento Privacy.
Il nuovo regolamento prevede una serie di novità anche molto importanti in materia di trattamento di dati personali ed aggiorna le direttive europee in materia e, quindi, anche il Decreto Legislativo 196 del 2003, quello che di solito si chiama Codice della Privacy.
Per il mondo del GDR e la creazione di siti amatoriali, le novità sono ridotte, ma significative. Per questo è opportuno conoscerle bene.

Un passo indietro: com'è sempre stato
A ragionare in termini di consenso al trattamento dei dati personali ed informativa privacy siamo (o meglio, dovremmo essere) già abbastanza abituati.
Se pure non tutti ne conoscevano i dettagli, le leggi in materia di privacy sono percepite da tutti come abitudine, sia nella spunta della casellina "acconsento al trattamento dati" ogni volta che ci si registra in un nuovo sito, sia come generale consapevolezza che qualcosa sulla privacy va scritta nel mio GDR, almeno per prendere la spunta verde nel defunto progetto legalità.
Quindi dovremmo sapere tutti che la legge prevedeva e prevede ancora il consenso dell'utente al trattamento dei suoi dati personali e che il trattamento è anche, in qualche modo, "quello che facciamo nei GDR quando un utente si iscrive e chiede nome e password".
Qui si aprirebbe un bel tema su cosa sia un dato personale, ma fortunatamente il Regolamento Privacy ci ha pensato lui e quindi si può passare subito alle novità.

LE NOVITA' DEL REGOLAMENTO PRIVACY

1 - Cos'è un dato personale
Il Regolamento Privacy si è preso la briga di definire con attenzione cosa sia un dato personale

«dato personale»: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identifi­cativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale

Si tratta, quindi, di una serie di indicazioni sulla persona, che possano in qualche modo descriverla. Come regola generalissima, se un'informazione può descrivere una persona e differenziarla da un'altra, quell'informazione è un dato personale. Una definizione piuttosto ampia, vero?
Però, prima che qualcuno lo chieda, specifico che questo riguarda solo le informazioni che vengono "raccolte" dal sistema, nel nostro caso dal gdr. Se per esempio esiste una bacheca interna e qualcuno posta "Salve, sono Mario. Io e mio fratello Luigi facciamo gli idraulici e ci piace picchiare scimmie giganti e cavalcare dinosauri" non c'è bisogno di alcun consenso perché è una divulgazione spontanea. Potrebbe darsi che, in caso di richiesta, siate obbligati alla cancellazione, ma a questo ci arriviamo tra un po'.

Invece volevo attirare la vostra attenzione su un punto particolare:
"«dato personale»: /.../ un identifi­cativo online". Il nickname, quindi, è diventato dato personale. Perché il dato sia personale e quindi identificativo, dovrebbe descrivere la persona al di fuori dell'ambiente specifico: quando creo il mio personaggio e lo chiamo Mario, quella è una credenziale d'accesso e non un dato personale. Ad esempio, la raccolta del nome di un PG che ha giocato su un dato GDR come fa GDR - Online potrebbe essere un dato personale e quindi lo sarebbe anche l'eventuale raccolta del dato "il tuo nick su GDR - Online" fatto da un eventuale GDR. Diverso è invece il nickname usato per quello specifico gdr, perché in quel caso non ha valenza di identificazione "esterna" al gioco stesso, ma solo "interna".


1.1 - Cosa non è un dato personale
La definizione sembra abbastanza chiara, ma a scanso di equivoci lo specifico: le azioni postate, i post in bacheca, il nome del PG, la scheda del personaggio e le vicende che l'hanno interessato non sono strettamente dati personali.
Sono, invece, opere letterarie derivate, probabilmente non originali o solo in parte originali e che, in ogni caso, non rientrano nella definizione di dato personale.
Nello spirito del Regolamento Privacy, e soprattutto per chiarire da subito cosa accade nel GDR, consiglio di dire chiaro e tondo che la cancellazione del personaggio e dei relativi dati di gioco non è prevista.


2 - Il consenso
Già sappiamo che per trattare dati personali, cioè per raccogliere i dati minimi per consentire la creazione di un account su un GDR, serve il consenso del titolare del trattamento, cioè il giocatore.
La più importante novità del Regolamento Privacy è che l'informativa sui dati personali sulla base della quale si da il consenso deve essere facilmente comprensibile ed usare un linguaggio semplice e chiaro: niente legalese, quindi, ma una semplice spiegazione in italiano comune di quali dati si usano, perché li si raccoglie, quanto li si conserva, come si possono modificare e cancellare e se ci sono dei dati che chi gestisce il servizio si conserva e per quali finalità (consigliatissimo, vediamo dopo quali e perché).
Se poi il consenso è inserito in una dichiarazione più ampia, va esposto in modo distinto dal resto.

C'è una seconda altra cosa importantissima che va fatta, e cioè rendere il consenso al trattamento dei dati come facilmente identificabile. Inoltre, se mettete una spunta classica tipo "Consento al trattamento dei dati" dovreste fare il modo che la spunta sia di default non spuntata.

L'ultima cosa, molto importante per un gestore, è che chi tratta i dati personali deve essere in grado di provare di aver ricevuto il consenso. Perciò il buon programmatore dovrebbe industriarsi a creare uno spazio nel quale confluiscono tutte le dichiarazioni di consenso ed il buon gestore farebbe bene a fare un backup periodico quantomeno di questa parte del suo database.

Questo vuol dire, tra le altre cose, che copiare e incollare pezzi della normativa di riferimento ora non è più sufficiente ed il gestore si deve industriare a scrivere un testo sintetico con l'indicazione dei dati che conserva.


3 - Il diritto all'oblio
Il nome è un po' fuorviante, lo ammetto, ma è così che il Regolamento definisce non solo la "cancellazione totale", ma anche quella parziale e la semplice modifica di dati.
In ogni caso, è adesso consentito a chiunque di chiedere quali dati personali ha comunicato, la correzione o la cancellazione degli stessi o di revocare in ogni momento il consenso al trattamento dei dati personali.
Questo vuol dire, in parole semplici, che il giocatore ha diritto a modificare i suoi dati ed a cancellarsi quando vuole.

La cancellazione in partocolare sembra essere un punto critico per noi giocatori di ruolo, perché è una richiesta che si verifica molto spesso (di solito a seguito di abbandoni clamorosi o sanzioni disciplinari).
Il Regolamento prevede che venga fatto senza ingiustificati ritardi il che vuol dire non immediatamente, ma con ragionevole puntualità rispetto all'attività svolta. Questo vuol dire che va fatto presto, ma senza scapicollarsi.

E' importante sapere che il gestore non è obbligato a cancellare tutto e sempre, ma può opporre il rifiuto alla cancellazione in alcuni casi.
Innanzi tutto, il diritto alla cancellazione sussiste solo in alcuni casi, ovvero se il trattamento non è più necessario, ovvero (segiutemi, è importante), se "l'interessato revoca il consenso su cui si basa il trattamento /.../ e se non sussiste altro fondamento giuridico per il trattamento" (art. 17). Sembrerebbe, quindi, che il gestore sia sempre costretto a cancellare tutto in caso di revoca, il che aprirebbe la strada, ad esempio, alla obbligatoria cancellazione del dati del rosicone bannato che, quindi, poi potrebbe reiscriversi.
C'è però quella parte in neretto, cioè l'esistenza di un altro fondamento giuridico, che per il gestore previdente potrebbe tranquillamente essere "il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali" (art. 6, comma 1, lett g) ).
In altri termini, conservare alcuni dei dati personali dei propri utenti anche dopo la cancellazione è possibile, se e finché tutela il legittimo interesse del gestore e degli altri utenti ad essere lasciati in pace dai disturbatori: una cosa molto facile da argomentare.
Una volta stabilito questo, se il gestore previdente si vuole premunire da queste eventualità, farebbe bene ad indicare nell'informativa privacy quali sono i dati che si conserva per sempre e comunque e che lo fa per un legittimo interesse: se chiedete a me, può tenersi le mail dei bannati per verificare che non tornino, non tutte le mail di tutti i giocatori cancellatisi se non indica almeno un altro legittimo interesse a farlo.


3.1 - Il diritto all'oblio - Conseguenza della richiesta
Mi sembra evidente che la richiesta di cancellazione dei dati personali relativi alla creazione dell'account di gioco comporta la cancellazione dell'account di gioco: da un lato, la richiesta di cancellazione di dati essenziali alla creazione ed al mantenimento dell'account lo rende ingestibile e d'altro canto se i dati non erano essenziali alla creazione ed al mantenimento dell'account che li hai chiesti a fare?
Se la cosa rischia di far cancellare i dati di gioco (messaggi in bacheca e messaggi privati, ad esempio) potrebbe essere sufficiente cancellare tutti i dati necessari all'accesso e lasciare attivo il nickname Quartz Goodman (nickname interno che, come abbiamo visto, non è un dato personale).


4 - I dati del titolare del trattamento
Come in precedenza, è necessario indicare i dati del titolare del trattamento dei dati personali e, se c'è (in un gdr è difficile) il responsabile del trattamento.
Poiché il Regolamento Privacy sembra dare dignità autonoma allo pseudonimo e poiché per diverse autorità pubbliche si è detto che l'importante è fornire i sistemi per contattarlo (molte PA, per risparmiare, scrivono "il funzionario facente funzione"), è possibile che si possa indicare la voce "Titolare del Trattamento: Quartz".
Questa impostazione sembra confermata dalla scelta di Facebook e Twitter di indicare come dati del gestore la filiale incaricata (Facebook, ovviamente, si è superata, aggiungendo "all'attenzione del data protection officer", che proprio non ci vuole dire come si chiama).
Maneggiate questa informazione con estrema prudenza, perché non è detto che sia così.
In ogni caso, dovendo scegliere, è sempre meglio optare per la trasparenza e mettere nome e cognome. In fondo, lo si fa da quindici anni .


5 - Il data breach
Questo nome altisonante serve per descrivere il furto di dati.
Quello che dovete sapere è che tutti i gestori sono obbligati ad adottare tutte le misure tecnicamente idonee e commisurate al tipo di rischio per evitare il furto di dati.
Questo è un problema soprattutto rispetto alle vecchie versioni di GDRCD che chi ne capisce più di me dice non siano sempre troppo sicure.
Come consiglio, se avete chiesto a qualcuno per sistemarvi le cose, chiedetegli anche di dichiararvi che il sistema che vi ha fatto è sicuro.
C'è poi un secondo aspetto di importanza notevole: se avviene un furto di dati, questo va comunicato al Garante della Privacy ed all'interessato di regola entro le 72 ore. A tutt'oggi il Garante sembra non essersi organizzato per ricevere le segnalazioni e siccome il Regolamento invita a tenere conto del tipo di attività, per ora probabilmente non è necessario comunicare al Garante.
Al titolare del dato, però, si, quindi se venite a sapere di qualche problema del genere, temo dovrete mandare una mail all'interessato per avvisarlo


6 - Quanti di questi problemi ci possiamo evitare?
Chi ne capisce di programmazione ci dice che i dati personali raccolti da un gdr possono essere resi anonimi. Detto in soldoni: una funzione rende quel dato simile a: gf47|=#111?-
Dopo di che, solo la funzione può "recuperare" il dato, per tutti gli altri apparirà come il geroglifico di prima. Senza stare a raccontarvi una cosa complicata e che non ho capito, chi ne capisce dice che questo sistema risolve moltissimi problemi di sicurezza e, forse, sterilizza anche il furto di dati: come scopri come si chiama o dove abita Gigi il Barbaro se la sua mail è indicata come una serie incomprensibile di caratteri?
Come tutto quello che dicono i grandi saggi dell'informatica, annuiamo facendo finta di aver capito e facciamo a fidarci.

7 - E per i giocatori minorenni?
Benvenuti nel peggior ginepraio di questo tema.
A rigore, il minore degli anni 16 non esprime mai un valido consenso al trattamento dei dati personali.
Invece per il maggiore degli anni 16 e minore degli anni 18 la possibilità di prestare il consenso è consentita agli esercenti la potestà genitoriale (che vuol dire, nella maggioranza dei casi, i genitori). Poiché il Garante ha preso posizione ed ha esplicitamente parlato al plurale, è molto probabile intendesse dire che devono prestare il consenso entrambi i genitori, in forma scritta.
Inoltre, il gestore deve conservare il consenso prestato per i cinque anni successivi al raggiungimento della maggiore età.
Una bella rottura di scatole, lo so.
La soluzione scelta dai social è il cialtronesco vietare l'accesso ai minori degli anni 18, così da trasferire almeno in parte la responsabilità sull'utente che dichiara di essere maggiorenne e non lo è. Non è una cosa particolarmente soddisfacente, però pensate in qualche modo ad "attrezzarvi".

8 - Ma siamo sicuri che ci vogliono tutte queste rotture per far giocare la gente ad un gdr via internet?
Se siete arrivati fino a qui, so come vi sentite. Demoralizzati.
Se vi posso dare una buona notizia è che il Regolamento Privacy, a differenza del precedente Testo Unico, non prevede una soglia di legge da rispettare, ma sposta l'attenzione al tipo di attività ed al tipo di rischio.
Quindi nessuno vi chiede di fare venti pagine di informativa come Facebook, ma di riflettere un secondo sui dati che gestite, su come li gestite e su come fare per gestirli in modo sicuro.
Siccome sta scritto dappertutto che si tratta di una normativa flessibile ed adattabile alla singola attività, è possibile che gli standard che vi sono stati qui proposti siano un po' più alti di quelli effettivamente necessari per l'attività proposta.
Non vuol dire "fate finta che non abbiamo scritto niente", ma prendetelo come un piccolo incoraggiamento se non raggiungete proprio il 100% del risultato

9 - Piccolo disclaimer
I consigli dati finora sono frutto di lettura attenta di una normativa che, però, ha tanti aspetti lasciati volutamente vaghi e tanti altri che sono stati demandati al Garante italiano ed a quello europeo.
Si tratta, in ogni caso, di un'analisi amatoriale: se avete qualsiasi dubbio, consultate un esperto del settore.
L'analisi è stata fatta pensando alla realizzazione di un GDR senza scopo di lucro, fatto esclusivamente per passione da parte del classico gestore che sorridendo ci rimette i soldi.
Molte delle osservazioni fatte potrebbero non valere per GDR a scopo di lucro o che hanno una qualsiasi forma di contribuzione obbligatoria o, ancora, che hanno gadgets in vendita. Vi abbiamo avvisati, quindi non dirottate la Finanza a casa nostra!


[FINE]

01/06/2018 14:28:04

Approffito per chiedere una cosa.
Ma se l'indirizzo email della persona che si registra, viene criptata in modo unidirezionale (md5 per esempio). A sto punto tutto viene bypassato.
Non ho piu' dati sensibili di fatto salvati sul database.

Corretto?

01/06/2018 15:11:51

La domanda qui sopra è interessante, visto che le password è buona pratica criptarle

01/06/2018 15:12:05

mrpanda ha scritto: Approffito per chiedere una cosa.
Ma se l'indirizzo email della persona che si registra, viene criptata in modo unidirezionale (md5 per esempio). A sto punto tutto viene bypassato.
Non ho piu' dati sensibili di fatto salvati sul database.

Corretto?

I dati sensibili sono un'altra cosa (razza, opinioni politiche, salute ecc). Scusa se preciso, ma non è solo per te che lo dici ;-)

Se cripti tutti i dati che prendi dagli utenti acquisisci dati personali e però non ne disponi. Basta che dici questa cosa qui ed aggiungi se e come si possono modificare e sei più o meno a posto

01/06/2018 16:01:35

quartz ha scritto:
I dati sensibili sono un'altra cosa (razza, opinioni politiche, salute ecc). Scusa se preciso, ma non è solo per te che lo dici ;-)

Giusto, hai ragione.

quartz ha scritto:
Se cripti tutti i dati che prendi dagli utenti acquisisci dati personali e però non ne disponi. Basta che dici questa cosa qui ed aggiungi se e come si possono modificare e sei più o meno a posto

Quindi in pratica se mantengo la email criptata, di fatto è come se non salvassi dati personali.

Il processo di iscrizione quindi lo potrei cambiare in questo modo:
1. Chiedo Email/Username/Password
2. Invio email per l'attivazione dell'account (salvando l'hash della email), dove sarà presente un token di conferma.
3. L'utente conferma l'account e gliel'attivo (quindi entra, crea pg, ecc...)

Recupero Password:
1. Richiedo Email/Username.
2. Verifo che esista l'MD5(EMAIL) e che coincida con l'username inserita. (anche qui in modo anomino... la tua richeista è stata presa in carico, se i dati coincidono ti arriverà una mail... bla bla bla)
3. Invio mail di richiesta cambio pW con una pw AUTOGENERATA
4. l'utente clicca e cambia la pw dell'account.
5. Poi va all'interno e ne mette una "mnemonica".

Le email che invio per iscrizione e recupero pw le farei del tutto anonime (senza indicazione della username per capirci) per evitare ulteriori "storie".

L'unico log presente con l'email e il maillog ovviamente.
Ma che si ripulisce a tempo minimo (una settimana mi pare).

01/06/2018 19:28:39

Esattamente.
Dopo di che, l'informativa sulla privacy che prima era un malloppone indigeribile è ora diventata un copia e incolla di quello che hai scritto sopra, volendo anche più sintetico.

Almeno da questo punto di vista, il GDPR è meno ostile

01/06/2018 22:48:26 e modificato da ghennadi72 il 01/06/2018 22:52:18

quartz ha scritto:
7 - E per i giocatori minorenni?
Benvenuti nel peggior ginepraio di questo tema.
A rigore, il minore degli anni 16 non esprime mai un valido consenso al trattamento dei dati personali.

Invece per il maggiore degli anni 16 e minore degli anni 18 la possibilità di prestare il consenso è consentita agli esercenti la potestà genitoriale [....]

E' al di sotto dei 13/14 anni (il limite può variare da stato a stato, per l'Italia per ora é 14) che il consenso non può essere prestato a prescindere.

Chi è nella fascia superiore a quel limite ma sotto i 16 anni ha comunque bisogno che il consenso sia dato dai genitori/tutore legale a prescindere dalla natura del servizio offerto e dalle finalità del trattamento.

Sopra i 16 il consenso prestato dai genitori/tutore è indispensabile solo se tra le finalità del trattamento dei dati ci sono la profilazione commerciale (o la trasmissione dei dati a terzi per finalità analoghe) o se il consenso è funzionale all'erogazione di servizi commerciali.

In caso contrario dopo i 16 anni il minore può comunque prestare il proprio consenso autonomamente.

Molti social e gestori di app hanno tagliato la testa al toro per il semplice motivo che le loro app e i social "gratuiti" fanno massiccia raccolta di dati a fini di profilazione commerciale, erogazione di campagne pubblicitarie mirate e tarate sull'analisi delle attività di navigazione del soggetto od offrono servizi "freemium" (giochini di facciabuco, tanto per capirci), quindi nel loro caso il consenso espresso dai genitori/tutore sarebbe comunque indispensabile per i minori di 18 anni.

E' meglio che lo correggi questo punto perchè è uno candidati migliori a mandare in pappa i gestori. E di fronte alla tiritera prospettata più di qualche gestore potrebbe decidere di fare come i sopra citati social e interdire del tutto l'accesso ai minori, anche se non ha alcuna necessità di farlo.

Per esempio tutte le land che non fanno uso commerciale, di profilazione commerciale dei dati e che non offrono pacchetti freemium o gadget a pagamento possono evitarsela tutta la tiritera e limitarsi a decidere che fare coi minori di 16 anni, invece che coi minori di 18.

01/06/2018 23:18:37 e modificato da ghennadi72 il 01/06/2018 23:52:36

mrpanda ha scritto:
Le email che invio per iscrizione e recupero pw le farei del tutto anonime (senza indicazione della username per capirci) per evitare ulteriori "storie".

Per la conferma dell'iscrizione l'email puoi comunque mandarla con una procedura "al volo" senza salvarla in chiaro, ma per il recupero della passaword non puoi inviargli alcuna mail, se l'hai davvero crittata (o meglio hashata) perchè il presupposto è proprio che una volta hashata non puoi più recuperarla, quindi non puoi più mandare alcuna mail.

Al limite potresti gestire la fase di recupero/reset password chiedendo all'utente di specificare nome account e indirizzo email usato per registrarsi, più eventuale domanda di sicurezza. A quel punto viene fatto nuovamente il check al volo crittando la mail inserita dall'utente nel modulo di reset e se tutti i controli sono OK la mail fornita in chiaro dall'utente viene nuovamente utilizzata senza essere salvata, per inviare "al volo" una mail con richiesta di conferma del reset.

Considera che questa soluzione ha uno svantaggio operativo e due punti deboli che comunque rendono estremamente dubbia la questione del "non tratto la tua mail quindi non devo richiederti alcun consenso".

Limiti operativi:
Ti privi della possibilità di contattare l'utente. Se è una tua decisione consapevole, amen. Ma è bene che i gestori riflettano a fondo sulla questione, sui pro ed i contro del rendere irreperibile e non contattabile l'utente al di fuori del servizio web che utilizza, e non facciano questa scelta alla leggera solo per evitarsi la rogna di pubblicare un'informativa e richiedere il consenso al trattamento dei dati.

Altro limite operativo è che se per "anonimizzare" il più possibile i moduli di reset password eviti di utilizzare il nome account, ti privi della comodissima funzionalità "recupero username", che saggiamente molti servizi web mettono a disposizione degli utenti smemorati. Anche qui, se hai valutato i pro e i contro ed hai optato per strabattertene dell'utente che si è scordato che username ha utilizzato, buon per te. Ma anche qui non la consiglierei come facile soluzione per togliersi dalle scatole i grattacapi del regolamento europeo.

Per finire minori sono i dati che chiedi, per motivi di sicurezza/conferma, al momento del reset, maggiori sono le vulnerabilità a cui ti esponi (es burloni che conoscendo la tua mail si divertono a farti inviare ogni giorno richieste di conferma reset password).
Vero che il "peggior scenario ipotizzabile" é solo quello di una seccatura per l'utente, ma potendo circoscrivere i rischi è sempre meglio farlo, visti i soggettoni molesti che circolano in quest'ambiente (e genericamente in rete).


Risvolti di dubbia "legalità"
1) L'utente può, immediatamente dopo la registrazione, mandare un messaggio a un altro utente nel quale dice "Ciao sono Giorgino Pappardelli" ed ecco che tu hai nel tuo db un bel dato personale per la cui conservazione non hai chiesto di esprimere alcun consenso, e non lo hai informato che LUI/LEI stesso/a é parte attiva nel processo di diffusione e sicurezza dei dati personali che lo riguardano. Il fatto che un dato personale venga in tuo possesso indipendentemente dalla tua volontà di trattare e conservare quel dato personale non alleggerisce i tuoi obblighi di condotta come titolare del trattamento dei dati.
Perchè anche il "cosa faccio dei dati personali non richiesti ma accidentalmente forniti dall'utente e finiti in mio possesso" é materia del regolamento, materia su cui devi informare l'utente, e di conseguenza oggetto di una decisione che l'utente deve prendere: dare il suo consenso o meno.
Sfortunatamente il regolamento é chiarissimo nell'escludere il "consenso implicito". Ossia non puoi dire: il consenso è implicito perchè i dati li ha trasmessi lui senza che glielo chiedessi: tu offri comunque un servizio che li può memorizzare in chiaro e che consente ad altri utenti di entrarne in possesso. Come minimo devi informare l'utente di questa possibilità e delle sue responsabilità, ma soprattutto dichiarare la tua condotta nella gestione del dato personale di cui sei entrato involontariamente in possesso. Di conseguenza l'utente deve poter decidere se approva o meno la linea di condotta che adotterai nel caso in cui dovessi entrare accidentalmente in possesso di suoi dati personali = devi chiedergli il consenso.

2) Mail generate "al volo" senza essere salvate nel DB. Vero TU non salvi la sua mail. Ma a meno di non essere in regime di housing, di VPS e di garantire in prima persona che provvedi personalmente a cancellare i log del mailer appena inviata la mail, se come la maggior parte dei comuni gestori mortali affitti un hosting appoggiandoti a servizi come aruba, register, vhost, altervista eccetera, LORO conservano i log delle mail inviate tramite i loro server (per validissime ragioni) di conseguenza tu tecnicamente trasmetti il dato personale a un terzo sogggetto (il provider che ti ospita), che non è detto tenga traccia delle mail inviate solo per una settimana (é una impostazione stabilita dal sysadmin).
Operazione per la quale il consenso esplicito è comunque richiesto, che il dato venga trattenuto per una settimana, un'ora o cinque anni.


Quindi no, a mio parere non è così semplice liberarsi dell'obbligo di ottenere il consenso semplicemente crittando la mail.

02/06/2018 00:57:45 e modificato da ghennadi72 il 02/06/2018 12:50:46

quartz ha scritto: ...

Altri suggerimenti di modifica:

(diritto all'oblio)
[...]
Il Regolamento prevede che venga fatto senza ingiustificati ritardi il che vuol dire non immediatamente, ma con ragionevole puntualità rispetto all'attività svolta. Questo vuol dire che va fatto presto, ma senza scapicollarsi.

Il regolamento prescive termini precisi. Entro un mese il richiedente deve ricevere risposta dal titolare del trattamento dei dati, che la risposta sia affermativa, negativa o interlocutoria. In caso di risposta negativa il titolare deve comunque motivare entro un mese.
Sono i tempi di effettivo adempimento (non solo per il diritto all'oblio ma in generale per l'esercizio dei diritti dell'interessato) che possono essere più larghi se commisurati alla difficoltà operativa della richiesta, ma il termine massimo entro il quale il titolare [u]deve comunque rispondere al richiedente c'è[/u], ed è di 30 giorni (con la vecchia normativa Dlgs 196/2003 erano 15 giorni).

Va anche detto che è altamente improbabile che la richiesta di cancellazione di un singolo dato personale (es. un indirizzo email) possa giustificare tempi di adempimento superiori al limite previsto di 30 giorni.

Diverso se ad esempio il richiedente dicesse: "nel corso delle mie comunicazioni ho trasmesso anche altri dati, nonchè opinioni personali in materia di politica, sessualità e religione: voglio sapere se quei dati ce li hai ancora e nel caso voglio che siano cancellati".
Lì può esserci benissimo il legittimo ritardo dovuto al fatto che teoricamente il titolare del trattamento dei dati é tenuto ad andarsi a spulciare tutte le missive, e i post su forum e bacheche interne in cerca dei dati richiesti, fornirne un elenco e poi provvedere a cancellarli.

3.1 - Il diritto all'oblio - Conseguenza della richiesta
Mi sembra evidente che la richiesta di cancellazione dei dati personali relativi alla creazione dell'account di gioco comporta la cancellazione dell'account di gioco:

Perchè?
Account e dato personale richiesto per la sua attivazione sono due cose distinte.

4 - I dati del titolare del trattamento
(...)
Poiché il Regolamento Privacy sembra dare dignità autonoma allo pseudonimo e poiché per diverse autorità pubbliche si è detto che l'importante è fornire i sistemi per contattarlo (molte PA, per risparmiare, scrivono "il funzionario facente funzione"), è possibile che si possa indicare la voce "Titolare del Trattamento: Quartz".

Continuo ad essere fermamente contrario a questa interpretazione "estensiva", e soprattutto contrario al fatto che questo suggerimento venga dato nell'ambito di quello che dovrebbe essere uno strumento utile ai gestori per evitare grattacapi in sede giudiziaria.

Anche se il prezzo da pagare è qualche applauso in meno per aver "semplificato le cose" a chi sarebbe disposto ad attaccarsi a qualunque sirena pur di evitare la noia di "mettere la faccia", ossia nome e cognome, sul gdr, forum o servizio web che gestisce.

Per i motivi addotti più sopra, incluso il fatto che il regolamento prescrive che il titolare faccia ogni possibile sforzo di trasparenza nell'informare l'utente sull'identità di chi prende in carico i suoi dati personali (e mi sembra che abbiamo già appurato che il nickname "locale" non è un dato personale identificativo), specie laddove non ci sia la giustificazione di essere un ente pubblico (dotato di personalità giuridica) i cui funzionari sono altrettanto pubblici o una società di capitali (ugualmente dotata di personalità giuridica).
A seguire, per l'obbligo di agevolare l'esercizio dei diritti dell'interessato, incluso il diritto di sporgere reclamo all'autorità garante, la quale richiede esplicitamente che venga indicata l'identità del titolare, per essere inoltrata: costringere l'interessato a tirare a indovinare, a rivolgersi a un provider o a una pubblica autorità o a dover chiedere chi sia "quartz" per scoprire a chi ha messo in mano i suoi dati personali se vuole sporgere un reclamo al garante, è molto lontano dalla mia idea di "agevolare l'interessato nell'esercizio dei suoi diritti".
Per non parlare di una qualsiasi concezione decente di cosa siano la "trasparenza" e l'accessibilità imposte dal regolamento e sui cui il regolamento spende non pochi consideranda.

Per la cronaca, a proposito delle policy di Facebook.

Il Titolare del trattamento dei dati (DPO) indicato da facebook è una società di capitale, pertanto dotata di personalità giuridica. Possiamo presumere che data la vastità dello strumento e la quantità di persone coinvolte nella gestione operativa del colosso dei social, il caro Zuckerberg abbia incaricato i propri legali di appurare se l'indircazione di una intera società di capitale dotata di personalità giuridica fosse valida ai fini del regolamento ue e se essa possa, avendo personalità giuridica, sostituire (e rispondere legalmente) in tutto e per tutto una persona fisica.
Peraltro FB ha pubblicato dall'inizio di quest'anno diversi annunci di ricerca di personale finalizzate espressamente all'assunzione di DPO, cosa che potrebbe benissimo indicare come "transitoria" l'indicazione di una società di capitali come DPO.

Facebook Ireland Ltd.
4 Grand Canal Square
Grand Canal Harbour
Dublin 2 Ireland

Che decisamente non é un nickname.

Io eviterei di suggerire allegramente ai gestori di parificare un nickname con le estermità anagrafiche di una persona fisica, con la ragione sociale di una società di capitali o con la denominazione di un ente pubblico o una PA, che sono tutti soggetti dotati di personalità giuridica, a differenza di un nickname.

Per quanto remoto, c'è il rischio di mettere nei guai la gente insistendo con consigli come questi, solo per illudere qualche aspirante gestore di gdr o di forum di potersi risparmiare la seccatura di esporre il proprio nome e cognome e rendersi identificabile.

La verità é che questo regolamento è in gran parte una scocciatura, per gli adempimenti che richiede (del tutto sproporzionati rispetto alla natura dei dati che trattiamo e alla amatorialità dei servizi che offriamo), e su questo siamo tutti d'accordo.

Ma la discutibile gratificazione derivante dall'aver fatto sospirare di sollievo qualcuno facendogliela facile facile, lasciandogli interndere che la materia sia "dubbia" quando dubbia non è, e spingendolo ad agire con faciloneria, spingendolo a esporsi a rischi (per quanto remoti) di conseguenze penali, dubito possa essere annoverata nel concetto di "servizio utile" offerto ai gestori.
O di un più generale concetto di responsabilità.

Cioè tanto varrebbe dire apertamente ai gestori: "sbattetevene, tanto per quanto possano abbaiare certi giocatori, nessuno (?) andrà mai a pagare 150€ solo di diritti di cancelleria per depositare un ricorso al Garante perchè non gli avete rimosso la mail dal database del gioco o non avete cancellato i riferimenti a suoi dati personali su un forum dove sono stati pubblicati senza autorizzazione".

Ugualmente irresponsabile, ma forse più onesto. E almeno non avrebbe le pretese vestigia di tool di orientamento legale e molto meglio che spacciare per sicura e GDPR compliant una prassi che contrasta in modo radicale con gli stessi principi basilari del GDPR (vedi i consideranda citati più addietro), con i suoi dettami esplciti e con le procedure pratiche di esercizio dei diritti degli interessati davanti al Garante per la privacy.

Ti avevo già sollevato delle perplessità su questo punto, e le ho ribadite e approfondite ulteriormente anche in seguito (un paio di pagine fa), pertanto se intendi mantenere questo "vademecum" con questa formula ti prego di rimuovere sia me che Ilgrandeinverno dai credits.

07/07/2018 15:17:33 e modificato da nimerya90 il 07/07/2018 16:16:40

ghennadi72 ha scritto:

Sopra i 16 il consenso prestato dai genitori/tutore è indispensabile solo se tra le finalità del trattamento dei dati ci sono la profilazione commerciale (o la trasmissione dei dati a terzi per finalità analoghe) o se il consenso è funzionale all'erogazione di servizi commerciali.

In caso contrario dopo i 16 anni il minore può comunque prestare il proprio consenso autonomamente.

Ma quindi in un ipotetico documento sulla privacy, questa cosa va specificata oppure non è necessario e su può bypassare la questione se non si erogano servizi commerciali/non si fa profanazione commerciale?

E aggiungo.

ghennadi72 ha scritto:

4 - I dati del titolare del trattamento

In merito al titolare del trattamento dei dati personali: questi deve essere individuato in chi? La persona a cui è intestato il dominio? Il proprietario del codice? Come funziona nel caso di più gestori? Uno dei due/tre/quattro si prende in carico questo impegno?