INFORMATICA - POTERI E PRIVACY

Novembre 2016

I poteri dell'informatica moderna e della telematica sono sostanzialmente 3: (a) memorizzare, (b) comunicare, (c) elaborare. Tali poteri corrispondono poi alle classi di privilegi che si possono avere nell'accesso ai dati sia in locale che online e si riflettono ovviamente sul discorso della privacy.

Un soggetto può memorizzare dei dati sia in locale che online, non è ben definibile il concetto di possesso del dato quanto quello di disponibilità. Se il dato è memorizzato in locale su una memoria di massa fisicamente accessibile, il possesso esclusivo della memoria fisica in questione potrebbe classificare il possesso del dato, ma questo è un caso davvero molto limitato di impiego dei dati. Se collego la mia memoria di massa ad un computer non mio il concetto di possesso del dato inizia a sfaldarsi in quanto, al fine di accedere ai miei dati, devo consentire al citato computer di prelevarli (almeno) temporaneamente. Il fatto peggiora ovviamente se consideriamo la memorizzazione online, in quanto la memoria online è un archivio remotizzato che va raggiunto mediante una qualche forma di comunicazione tra nodi per cui andrò a cedere (almeno) temporaneamente i dati a ciascun nodo intermedio della comunicazione stessa.

Ammesso che ne abbia la disponibilità, un soggetto può comunicare dei dati. Come detto prima comunicare digitalmente oggi significa almeno due cose: (1) memorizzare (almeno) temporaneamente su dei nodi intermedi i dati; (2) farli passare tra i nodi. Nella comunicazione è fondamentale vedere che livello di interpretazione dei dati i nodi raggiungono. Se ad esempio i nodi "vedono" solo flussi di "incomprensibili" dati binari (il caso dei flussi cripto) mantengono i dati ma non possono disporne (se non a livello binario). Se i nodi "vedono" livelli più alti (pacchetti, file, ecc.) essi sono compartecipi nella disponibilità del dato.

Una questione molto interessante riguardo la privacy è la definizione del livello informativo cui la si applica. Ad esempio una data di nascita 23/11/1998 non è un contenuto omogeneo rispetto alla persona: l'anno 1998 porta più informazioni sulla persona del mese 11 che infine del giorno 23. Ovviamente la data nel suo complesso porta ancora più informazioni personali dei singoli numeri che la formano. Un pacchetto sulla rete può portare meno informazioni del file che concorre a formare nella memoria del nodo, e così via. La privacy va invocata rispetto al contenuto informativo dei dati ai vari livelli di impiego degli stessi. Non è più sufficiente stabilire delle regole di accesso solo in relazione alle classi di informazioni (si esclude tutto per sicurezza, ad esempio tutti i flussi di comunicazione di un certo tipo). Questo approccio è controproducente, infatti mai come in questi ultimi anni le regole della privacy italiana e straniera sono state rafforzate e mai come in questo stesso periodo si sa tutto di tutti e le violazioni di sistemi informatici sono principalmente causate dalla "fuoriuscita" di dati personali da archivi di vario tipo.

Un soggetto può anche richiedere elaborazione sui suoi dati (è ad esempio il caso di molti servizi cloud). Le informazioni legate alle elaborazioni vanno tutelate anch'esse e si tratta soprattutto di meta-dati (orari, posizioni, comandi, ecc.). Il tutto quindi rientra nel famoso ed annoso problema dei file di LOG. Chi può impiegarli ed entro quali limiti? Queste domande sono state indirizzate con alto grado di dettaglio dalla privacy italiana ma nessuno ha voluto infilarsi nel discorso della granularità dei LOG stessi. In pratica, come deve essere fatto un LOG? Quali categorie di dati dovrebbe memorizzare? Esso dovrebbe essere basato su un data base potente e garantito con rigide politiche di protezione, accesso e versioning, secondo un formato universale che possa da un lato tutelare gli utenti e dall'altro permettere alla magistratura di svolgere le indagini di polizia giudiziaria quando necessario.

marcomattiucci.it

Informatica: