Pensare la tecnologia nel rispetto della privacy...fin dalle fasi di produzione

Pubblicità


Per tecnologie RFID (Radio Frequency Identification), il rispetto dei principi di protezione dati sanciti dalle direttive comunitarie e dalle leggi nazionali deve essere considerato fin dalla fase di produzione di questi sistemi, utilizzando accorgimenti tecnologici già oggi disponibili.

L’invito è stato rivolto dal Gruppo dei garanti della privacy europei in un documento del 19 gennaio, sul quale è stata aperta una consultazione pubblica per sollecitare commenti ed osservazioni da tutte le parti interessate, utilizzatori compresi.

L’utilizzo delle tecnologie RFID (Radio Frequency Identification) ha vantaggi dal punto di vista economico, anche in considerazione dei costi relativamente contenuti, ma pone rilevanti questioni sulla tutela della riservatezza.
Attraverso questi sistemi è possibile raccogliere, anche all’insaputa dell’utente, differenti categorie di dati, tutti riconducibili a una stessa persona, dai capi di abbiagliamento utilizzati alle medicine acquistate. Dati che possono consentire di tracciare un “profilo” preciso dell’utente e delle sue abitudini.

Il documento approvato dal Gruppo di lavoro si rivolge in particolare “ai produttori ed agli organismi che si occupano di standardizzazione, i quali sono responsabili della creazione di una tecnologia rispettosa della privacy.”

“ Se i principi fondamentali in materia di privacy sono presi in considerazione sin dalla fase iniziale di produzione dei dispositivi RFID, - affermano i Garanti - sarà più semplice anche per gli utilizzatori rispettare gli obblighi in materia di protezione dei dati personali.”

I sistemi RFID sono costituiti essenzialmente da questi componenti: un “tag”, circuito elettronico che contiene memorizzate alcune informazioni ed è unito ad un’antenna in grado di comunicare queste informazioni attraverso onde radio; un lettore (dotato a sua volta di un’antenna di trasmissione/ricezione); un decodificatore che traduce i dati in entrata in dati digitali potenzialmente trattabili da un computer.

I Garanti hanno, quindi, fornito alcune indicazioni sugli strumenti che, a vari livelli, permettono di incorporare i principi di protezione dati all’interno di dispositivi come quelli basati sulle tecnologie RFID.
Tali indicazioni sono state illustrate nella newsletter del Garante italiano della privacy.
Ad esempio è ricordata la possibilità di utilizzare pittogrammi per segnalare in modo semplice e inequivocabile la presenza di dispositivi RFID su qualunque oggetto. L’interessato ha inoltre il diritto di essere informato dell’attivazione di tali dispositivi, il che può avvenire, ad esempio, attraverso segnalazioni luminose o di altra natura (mutamento del colore del tag, ecc.).
Riguardo al diritto di accesso, rettifica, cancellazione etc. da parte dell’interessato, i Garanti suggeriscono di utilizzare linguaggi standard come l’XML per descrivere le informazioni memorizzate nei tag RFID (ciò faciliterà l’accesso e la rettifica). Per quanto riguarda la cancellazione, esistono dispositivi cosiddetti di kill che consentono la disattivazione permanente o temporanea dei tag RFID; tuttavia, si sottolinea che non in tutti casi deve esistere questa possibilità (es. i chip RFID inseriti nei passaporti).
Riguardo al consenso dell’interessato come presupposto del trattamento dei suoi dati personali, i Garanti hanno osservato che in alcune applicazioni nelle quali l’interessato deve avere la possibilità di ritirare il proprio consenso al trattamento, è possibile utilizzare dispositivi che disattivino facilmente il tag RFID (tag disabler).

Non trascurabile è inoltre l’aspetto della sicurezza dei dati trattati. Su questo punto il Gruppo ha ricordato la necessità di tutelare adeguatamente i dati personali eventualmente contenuti nei tag RFID attraverso misure proporzionali alla natura del trattamento effettuato (cifratura e autenticazione del lettore RFID, impiego di protocolli standard di autenticazione secondo norme ISO, impiego di metodi di autenticazione crittografica etc.).