Il 28 e 29 maggio a Firenze in Palazzo Vecchio (Sala della Miniatura) si è svolta l'edizione 2010 di e-privacy, il convegno dedicato ai problemi della privacy nell'era digitale.

Hanno sbagliato tutto? Abbiamo sbagliato tutto?

L'anonimizzazione dei dati personali tramite la rimozione di dati identificativi è una delle pietre fondanti del quadro tecnico e legislativo, sia italiano che comunitario ed internazionale. Dati personali e sensibili anonimizzati vengono abitualmente elaborati, scambiati e commercializzati in maniera legale anche in Italia.

Purtroppo, recenti progressi nelle tecniche di incrocio di dati personali, ben riassunte nella recente paper di Paul Ohm "Broken promises of privacy: responding to the surprising failure of anonymization" hanno non scosso ma abbattuto completamente l'edificio tecnico-normativo della 196/2003 che considera l'anonimizzazione la più sofisticata barriera eretta a difesa dei dati personali e sensibili.

Se ne saranno accorti, o meglio se ne vorranno accorgere, gli addetti ai lavori?

E pur confidando che il Garante per la Protezione dei Dati Personali si sia attivato sul piano tecnico-legislativo, nel mondo reale tecniche sempre più sofisticate di analisi dei dati della Rete rendono non solo possibile, ma anche economico, costruire banche dati globali di dati personali e sensibili, reti di relazioni e profili personali. Si tratta di una raccolta di dati personali e sensibili ottenuta non violando banche dati superprotette, ma semplicemente assemblando e fondendo archivi del tutto leciti, facilmente disponibili ed apparentemente abbastanza innocui.

Aziende molto lontane dall'attenzione anche degli esperti del settore producono e vendono sofisticati prodotti e servizi di ricostruzione del traffico di rete, che permettono di estrarre intelligence e dati personali direttamente dai flussi dati a livello dei provider.

Se a tutto questo aggiungiamo l'enorme mole di dati personali e sensibili che dalle comunità sociali come Facebook e Twitter si sta riversando in basi di dati private, è facile ipotizzare che se il "Database di Tutti" ancora non esiste, certo ne esistono molte versioni parziali sparse in giro per aziende, agenzie e enti pubblici.

Ma nonostante la tendenza a disinteressarsi della propria privacy in cambio di comodi servizi gratuiti imperversi, una minoranza di utenti continua a studiare, programmare e diffondere servizi e software per la protezione dei dati personali.

Una protezione che si dimostra essere essenziale in regimi a bassa democrazia, come hanno mostrato anche sui media le vicende Cinese, Iraniana, Tibetana e Birmana, e che gradualmente diventa necessaria anche per gli utenti occidentali, che si trovano o limitati nell'uso della Rete o spinti ad esercitare i loro diritti in rete in recinti che possono essere e sono completamente monitorati e tracciati. Ma non c'è bisogno di spostarsi da nostro paese per scoprire una nazione in cui la struttura della stessa Rete è stata sovvertita al fine di permettere censure estese alla generalità della popolazione ed a qualsiasi forma di espressione che utilizzi il web.

Il disinteresse e la totale disinformazione della gran parte di coloro che pure operano quotidianamente nella Rete verso queste situazioni legislative e tecnologiche rende il quadro italiano identico a quello dei predetti "paesi a democrazia limitatà.

Altre informazioni

Potete trovare gli atti ed i file multimediali nella descrizione degli interventi.
altre informazioni sono disponibili sul sito storico.
Durante il Convegno si è tenuta la cerimonia di consegna dei Big Brother Award Italia 2010.

Programma del Convegno

Venerdì 28 Maggio

Sabato 29 Maggio

Interventi

Marco A. Calamari - Progetto Winston Smith ⇧

Deanonimizzazione: cos'è e perché nessuno ci aveva pensato prima

Deanonimizzazione. Un esempio pratico. Cosa crolla nella 196/2003. Cosa cambia qualitativamente nella profilazione. Deanonimizzazione e paranoia: prospettive di qui a 5 anni.

Alberto Cammozzo ⇧

Airport Guantanamo

L'applicazione dei body scanner negli aeroporti può essere vista come un fatto isolato, come un'altra tecnologia più o meno efficace applicata alla sicurezza. Tuttavia è possibile dare una diversa lettura alla crescente invasione della privacy da parte della sicurezza aeroportuale, alla quale poche voci si oppongono, e flebilmente. L'aeroporto è un luogo di frontiera ove si sperimenta un potere cui i soggetti si sottopongono se non volentieri, almeno di buon grado, accettando, in nome della sicurezza e in cambio della libertà di volare, compromessi consistenti. Una volta introdotti ed accettati negli aeroporti, è lecito aspettarsi che questi processi di controllo verranno applicati anche fuori. Ma come è possibile che nell'aeroporto avanzino senza inciampo pratiche così lesive della privacy senza che nulla vi si opponga? Queste pagine cercano di rispondere a questa domanda legando tra loro piccoli e grandi stati di eccezione, quali i fatti ben più gravi della prigione di Guantanamo. Per quanto abissalmente distanti, Guantanamo e la sicurezza aeroportuale condividono non solo l'origine, per essere entrambe la risposta agli attentati terroristici del 2001, ma anche alcune tecniche di "governo meccanico degli uomini", o behaviour management, per cui un insieme di comportamenti di sottomissione (quali quelli impliciti nei body scanner) vengono fatti passare ed accolti come naturali, appropriati al contesto, parte dell'ambiente.

Monica Gobbato - Studio Gobbato ⇧

Il Futuro della Privacy

Il Documento dei Garanti europei sul futuro della Privacy. L'introduzione di nuovi strumenti di risoluzione delle controversia. L'obbligo giuridico di "dimostrare" di aver adottato le misure di sicurezza. La notifica della violazione ai sensi della direttiva 136/2009.

Emmanuele Somma - Agorà Digitale ⇧

Rosencrantz, Guildenstern, Bayes e ??????? sono morti, ovvero il falso positivo della lotta al terrorismo

La statistica bayesiana gioca un ruolo molto importante nella selezione della conoscenza nel mare dei dati che vengono prodotti. Sempre più spesso questi dati sono utilizzati per l'analisi off-line o on-line di comportamenti potenzialmente delittuosi. Queste tecniche hanno dei limiti teorici e pratici notevoli e una loro applicazione non attenta rischia di 'costruire a tavolino' una grande quantità di 'falsi positivi', e probabilmente nessun 'vero positivo'. I cittadini devono essere consapevoli che, nella stragrande maggioranza, quelle che sono presentate come evidenze scientifiche sono errori, puri e semplici errori, generati, consapevolmente o meno, dall'applicazione di metodi probabilistici. Il talk presenta con esempi molto semplici le idee che sono alla base della teoria bayesiana e alcuni casi emblematici di (cattiva) applicazione.

Mario Viola de Azevedo Cunha, Danilo Doneda, Norberto Andrade - Dipartimento di Giurisprudenza dell'Istituto Universitario Europeo di Firenze ⇧

Trattamento dei dati personali per ulteriore finalità: sfide alla privacy

Alcuni recenti sviluppi hanno richiamato l'attenzione su alcuni concetti fondamentali della protezioni dei dati e precisamente sulla sua tassonomia. La tendenza a considerare i dati anonimi o statistici come l'esatto contrario del dato personale e, di conseguenza, sottratti a codesta normativa, è presente nella stragrande maggioranza delle leggi riguardanti la protezione di dati. La possibilità di deanonimizzazione dei dati insieme alla grande offerta dei dati personali risultante dal Data Mining hanno non soltanto creato una nuova categoria - "Big Data", ma hanno anche cambiato l'approccio al concetto di dato anonimo o statistico, richiedendo il cambiamento della natura di alcuni degli strumenti e istituti ormai classici nella protezione dei dati. Ne consegue che, nuovi criteri devono guidare la utilizzazione dei dati, siano questi anonimi o meno, per finalità altre da quelle originare. La divisioni binaria entro dati personali e dati anonimi viene meno nella riconsiderazione del concetto dei dati anonimi e dei suoi diversi profili normativi. In questo senso, il contributo si propone di identificare i più frequenti usi ulteriori dei dati personali, focalizzandosi sul settore privato, ed anche i criteri adottati delle autorità europee per la protezione dei dati per valutare se un ulteriore uso sia legittimo. L'articolo svilupperà anche una distinzione fra i dati personali e dati anonimi (compresi quelli per scopo statistico) con l'obiettivo di chiarire quando i dati possono veramente essere considerati anonimi e, di conseguenza, possono evitare l'incidenza della normativa sulla protezione dei dati personali.

Marco Bonetti - CutAway s.r.l. ⇧

Surviving Your Phone: Protecting Mobile Communications With Tor

L'utilizzo di Tor sui device più portabili e strani, quali difficoltà si incontrano, quali pericoli ci possono essere, che vantaggi porta.

Guido Scorza - Istituto per le politiche dell'innovazione ⇧

Diritto all'oblio o oblio del diritto?

Si può ordinare per legge a Internet di dimenticare o, ancor meglio, di non aiutare a ricordare troppo a lungo? Ma soprattutto è giusto ed auspicabile perseguire tale risultato? Sono queste le domande che, negli ultimi mesi, sociologi, storici, uomini di cultura e legislatori si pongono e pongono in maniera insistente, pretendendo, a volte, di disporre già della risposta. Diritto all'oblio dunque o oblio del diritto (alla privacy). L'importante forse non è dare una risposta (ammesso che esista) universalmente valida per tutti gli uomini ed i cittadini ma porre e porsi il problema in modo maturo e consapevole. Parlando della Rete, scrive Hoog, nel suo libro: "Si tratta, prima di tutto, di creare un habeas corpus digitale. Fare su Internet nel XXI secolo lo stesso sforzo che i padri della democrazia moderna hanno fatto nel XVIII. Reindividuare un diritto all'intimità, una distinzione più chiara tra spazi pubblici e privati che Internet pone a rischio. L'oblio è necessario, lontana da me - scrive Hoog - l'idea di organizzare un'amnesia collettiva ma è indispensabile restituire ai cittadini un diritto alla propria storia su Internet. Se bisogna dedicare tutto il proprio tempo a nascondere il proprio passato e a scollegare ciò che i computer continuano a collegare in modo permanente, tutto ciò diventerà infernale. Diritto all'oblio dunque o oblio del diritto (alla privacy). L'importante forse non è dare una risposta - ammesso che esista - universalmente valida per tutti gli uomini ed i cittadini ma porre e porsi il problema in modo maturo e consapevole.

Alessio L.R. Pennasilico aka mayhem, Daniele Martini - Alba S.T. srl ⇧

Anti-Forensic: sono davvero un fuorilegge?

Anti-Forensic sono le tecniche e gli strumenti che dovrebbero utilizzare i criminali per nascondere i dati agli investigatori. Purtroppo tutto quel che viene catalogato come anti-forensic da alcuni viene considerato strumento di tutela della propria riservatezza... Insane elucubrazioni di un paranoico, da condividere con chi in sala vorrà... annuire!

Carolyn Anhalt - TorProject.org ⇧

Credible and Ubiquitous Anonymity

Using Tor daily: obstacles and perceptions of anonymity in social spaces on the internet.

Pierluigi Perri ⇧

Behavioral privacy, ovvero quando i comportamenti rivelano molto di più di quanto si creda

Negli ultimi anni si sta assistendo a un progressivo interessamento, più che verso il dato personale in sè, verso tutte quelle informazioni dalle quali è possibile derivare informazioni personali su singoli individui o gruppi. Applicando tecniche di data mining, infatti, anche i comportamenti possono rivelare molti particolari che, qualora fossero richiesti direttamente all'interessato, questi probabilmente si rifiuterebbe di comunicare. Nel corso della relazione verranno quindi illustrati i vari problemi, soprattutto giuridici, che il ricorso a tali tecniche potrebbero comportare.

Giuseppe Augiero - Gulp - Gruppo Utenti Linux Pisa ⇧

Net or Not - Neutrality

Tutti hanno lo stesso diritto all'accesso della rete Internet. Sono passati vent'anni dalla nascita del Web, il cui creatore Tim Berners-Lee non dovette chiedere il permesso a nessuno ne tantomeno ai padri di Internet (Cerf-Kahn) per far girare la "sua nuova applicazione", applicazione ormai diventata piattaforma universale in cui non si discrimina per particolare tipo di hardware o di software, di lingua o cultura. Eppure oggi esistono discriminazioni nell'accesso e nell'uso di Internet non solo dal punto di vista della qualità del servizio ma anche dal punto di vista dei contenuti. La non neutralità della rete può avere motivazioni politiche o economiche ma in tutti i casi porta a un rallentamento dello sviluppo (non solo tecnologico) di un paese.

Epto - Tramaci.org, progetto Anopticon ⇧

Anopticon l'inversione del Panopticon

Anopticon stato dell'arte. Cos'è Anopticon. Analizzeremo assieme il Grande Fratello Veneziano schedato e denunciato dal progetto Anopticon. Ripercorreremo la costruzione dell'hardware urbano del Grande Fratello veneziano.

Giovanni Federighi - Mixminion.it project ⇧

Mixminon.it: il ritorno

Verrà descritta sommariamente la situazione degli anonimizzatori del traffico email. È giusto decidere di rivitalizzare un progetto di remailer - Mixminion - attualmente dormiente? Motivi, ideali e stato iniziale di una neonata scelta: la sua condivisione vi permetterà di affrontare l'ora di pranzo (e non solo) con più... consapevolezza! .

Monica A. Senor - Studio Legale Catalano Penalisti Associati ⇧

L'habeas data: da frontiera pionieristica del diritto a stazione di tappa

Deanonimizzazione, identificazione biometrica e videosorveglianza mettono in pericolo i principi fondamentali del diritto alla protezione dei dati personali tanto che l'habeas data è ormai da considerare strumento giuridico necessario ma non sufficiente ad offrire una tutela piena ai cittadini i quali, oggi, rischiano la compromissione delle loro libertà fondamentali.

Carlo Blengino - Studio Legale Catalano Penalisti Associati ⇧

L'AGCOM e i poteri di sorveglianza e monitoraggio degli ISP

I poteri dell'AGCOM sugli obblighi di monitoraggio e sorveglianza degli ISP tra protezione dei dati degli utenti e censura. Un difficile equilibrio che dalla legge istitutiva dell'Autorità (L.249/97) sino al D.lvo 44/10 (c.d. Decreto Romani) ha coinvolto progressivamente le reti di comunicazione elettronica ed internet. Quali garanzie di compatibilità con il quadro normativo comunitario?

Andrea Rossetti ⇧

Anonimato di Stato Intervento non avvenuto

Dopo aver brevemente illustrato il contenuto di alcuni documenti normativi europei in cui, almeno lessicalmente, la differenza sembra essere stata recepita, sostengo che il problema oggi non è più tanto la difesa dei dati personali (che almeno giuridicamente è compiuta, anche se spesso non efficace), ma la difesa della privacy dei singoli. Privacy che deve essere difesa da due distinti categorie di possibili violatori: i vicini e l'apparato dello Stato.

Se da una parte la privacy nei confronti del vicino deve essere un impegno di ciascuno, sosterrò la tesi che, invece, la privacy nei confronti dello Stato si può ottenere solo a condizione che si possa essere, quando lo si desidera, assolutamente anonimi durante le attività in rete; sosterrò che questo anonimato debba essere garantito dallo Stato stesso (come è stato fatto, grazie alla legge Tremonti, per coloro che hanno riportato in Italia capitali dall'estero) e delineerò una possibile funzione attiva dell'Autorità Garante di protezione dei dati personali in questa attività di garanzia.

Tommaso Gagliardoni ⇧

Uso e abuso della PGP web of trust: potenzialità e rischi di un modello di fiducia semidecentralizzato

Descrizione del modello di fiducia "Web Of Trust" (WOT), sua implementazione in PGP/GPG, confronto con altri modelli di autenticazione, discussione su punti di forza, debolezze, potenzialità e vaneggi deliranti su attacchi non-standard al modello e possibili evoluzioni. Tra i già purtroppo pochi che usano quotidianamente sistemi di protezione della confidenzialità quali GPG/PGP, sono ancora meno coloro che fanno uso di una delle features più trascurate di questi strumenti: la web-of-trust (WOT). La tendenza generale è infatti sempre più spesso quella di affidarsi a servizi di certificazione centralizzati di terze parti, più semplici da gestire forse, ma anche più vulnerabili. Il problema è persino più generale di così: si sta dimenticando sempre di più la struttura profondamente "peer-to-peer" della Rete, e così facendo ci si espone, e ci si esporrà, a conseguenze sempre meno prevedibili e sempre meno piacevoli. Nemmeno la WOT di PGP/GPG è però esente da rischi e vulnerabilità. Scopo dell'intervento è quello di analizzare dal punto di vista tecnico il problema dell'autenticazione personale online ed esaminare pro e contro dei vari sistemi moderni di autenticazione general purpose, con una particolare enfasi sul modello WOT, strumento decisamente troppo sottovalutato e che può offrire ancora enormi potenzialità.

Matteo G.P. Flora - The Fool s.r.l. ⇧

Behavioral Advertising and Protection

Quando si parla di Behavioral Advertising si tocca una scienza al limite della fantascienza per moltissimi, che vedono l'incedere della nuova metodologia pubblicitaria come una tecnica appannaggio di poche Elite. Ma le tecnologie alla base e le implementazioni pratiche sono tutt'altro che complesse ed alla protata delle maggiori società. Attraverso l'utilizzo del Framework sviluppato da The Fool per la gestione di FoolDNS, il servizio di protezione dalla Profilazione Online, verranno mostrati casi d'uso e tecnologie alla base delle moderne tecniche di Profilazione.

Big Brother Award Italia 2010

Durante il Convegno, nella mattinata di sabato, si è tenuta la cerimonia di consegna dei Big Brother Award Italia 2010. Questo premio internazionale, che si tiene da 13 anni nei principali paesi europei ed extraeuropei, è un premio in negativo (come il noto "Tapiro d'oro") che viene assegnato a quelle persone, associazioni e tecnologie, che peggio hanno fatto alla privacy degli italiani nell'ultimo anno. Il BBA nel 2009 è stato assegnato in 8 diverse nazioni oltre l'Italia; qui trovate la cerimonia di premiazione dello scorso anno.

È rimasto invenduto su Ebay il trofeo quadruplo dei Big Brother Awards, vinto da Facebook; chi lo volesse può scrivere direttamente ad info@winstonsmith.org.