Privacy Nutrition Labels vs Privacy Dynamic Targeting: un nuovo paper su informazioni all'interessato ed esercizio dei diritti
Mentre il modello statico ex ante, come quello ideato da Apple con le Privacy Nutrition Labels, resta ancorato a dinamiche tradizionali di somministrazione delle informazioni (sebbene tradotte in forma creativa e innovativa) e rischia di comportare anche effetti collaterali sulla libera iniziativa economica e sulla libertà di espressione degli sviluppatori, l’approccio dinamico ex post che contraddistingue le politiche di altri operatori sembra rappresentare più nitidamente il futuro della privacy. Una nuova proposta arriva dall'Istituto Italiano per la Privacy.
(Nella foto: Luca Bolognini, presidente dell'Istituto Italiano per la Privacy)
La proposta dell'Istituto Privacy, con un paper a cura di Luca Bolognini e Marco Emanuele Carpenelli, è quella di orientare le potenzialità dell’utilizzo di algoritmi, a maggior ragione se sviluppati in forma intelligente, verso scopi diversi rispetto a quelli tipicamente commerciali o statistici, rendendo possibile una profilazione personalizzata degli interessati pro-privacy, una sorta di behavioural targeting inteso a favorire una maggiore omogeneità dell’esperienza di navigazione dei diversi luoghi virtuali frequentati dagli internauti.
Così, per esempio, se il sito x riscontra un’opposizione al trattamento, questa viene riproposta anche nel sito y allo scopo di garantire che l’esperienza risulti effettivamente e organicamente aderente alle preferenze privacy espresse dall’interessato.
Come spiegano gli esperti dell'Istituto Privacy, si potrebbe definire questo genere di iniziative come Privacy Dynamic Targeting: app e website “seguono” o, meglio, “accompagnano” dinamicamente l’interessato, ne studiano il comportamento e ne registrano le scelte (anche) con lo scopo di assicurare uniformemente, in ciascuno degli scenari digitali frequentati, la sua autodeterminazione informativa. L’effetto che ne risulterebbe in tali casi sarebbe quello di una personalizzazione sistematica e coerente dell’esperienza informativa-privacy a favore degli interessati.
Il Privacy Dynamic Targeting, sfruttando gli algoritmi come antidoto agli algoritmi, darebbe luogo a un trattamento di dati personali che ben potrebbe rinvenire il suo fondamento nell’interesse legittimo del titolare e degli stessi terzi interessati ai sensi dell’art. 6, par. 1, lett. f) del GDPR. La prevalenza, nel caso di specie, dell’interesse legittimo rispetto agli altri diritti e alle altre libertà degli interessati risulterebbe molto probabilmente convincente e giustificato, considerando che il trattamento sarebbe direttamente funzionale ad agevolare, in un’ottica di effettività e accountability, l’osservanza dell’art. 12 del GDPR in riferimento all’esercizio dei diritti degli interessati.
Abbandonando l’idea dell’informativa come complesso unitario, statico e sintetizzante delle informazioni relative al trattamento dei dati personali (che possiamo riscontrare nelle Privacy Nutrition Labels, o, per continuare con la metafora, in un menu statico che descriva ingredienti e piatti in astratto), nel modello dinamico ex post le informazioni vengono disaggregate e rilasciate agli interessati in puntuale corrispondenza dei luoghi digitali ove il trattamento effettivamente si verifica (un po’ come accadrebbe, proseguendo nella metafora alimentare, a dei commensali in un ristorante innanzi ad un cameriere che servisse loro il piatto, spiegando le caratteristiche delle pietanze in concreto e dal vivo).
Nelle prospettive future, il modello dinamico ex post potrebbe ulteriormente evolversi e svilupparsi almeno in due direzioni: per un verso, impiegando gli algoritmi non già al servizio di finalità tipicamente commerciali o statistiche ma allo scopo di profilare l’interessato sulla base delle preferenze privacy espresse nei diversi luoghi digitali frequentati e garantire così l’uniformità della sua autodeterminazione informativa – è il Privacy Dynamic Targeting cui si faceva cenno prima; per altro verso, realizzando un’ibridazione delle funzioni informative con quelle di riscontro delle richieste di esercizio dei diritti di cui agli artt. 15-22 del GDPR, rendendo così la privacy, finalmente, viva e interattiva.
