PRIVACYDAILY

N. 133/2023

LE TRE NEWS DI OGGI:

• HRW, I DATI DELLE PERSONE PIU VULNERABILI SONO I MENO PROTETTI
• UK, LO SCANDALO DEL PRESENTATORE DELLA BBC FA TALMENTE CLAMORE SUI SOCIAL DA METTERE IN DISCUSSIONE L’EFFETTIVA PORTATA DELLE NORME IN MATERIA DI PRIVACY
• USA, IL MASSACHUSETTS VUOLE VIETARE LA VENDITA DEI DATI DI LOCALIZZAZIONE DEI CELLULARI

I dibattiti sulla protezione dei dati personali, compresi quelli biometrici, si sono intensificati, in quanto gli enti pubblici e privati utilizzano sempre più spesso le tecnologie biometriche in contesti come la polizia, gli spazi pubblici e le scuole. Tuttavia, c’è un contesto in cui i dati biometrici vengono spesso raccolti e condivisi che viene raramente preso in considerazione nelle conversazioni politiche tradizionali: le missioni umanitarie. In questi contesti specifici, le politiche e le pratiche di protezione dei dati tendono a essere insufficienti e le persone vulnerabili, spesso in fuga da atrocità, guerre o insicurezza alimentare, possono essere esposte a ulteriori danni. Attualmente ci sono pochi controlli per proteggere i diritti dei dati dei rifugiati e delle persone vulnerabili che necessitano di assistenza umanitaria. Inoltre, molte organizzazioni che sono state istituite e finanziate per proteggere queste comunità raccolgono i loro dati senza applicare le garanzie richieste dalla legge internazionale e, in alcuni casi, nazionale. Tra i motivi per cui questo accade c’è il fatto che le crisi umanitarie – guerre, altre forme di conflitto violento, disastri naturali o carestie – spesso si verificano in Paesi che non hanno una normativa significativa sulla protezione dei dati. E, laddove le norme sulla protezione dei dati esistono, potrebbero non essere applicate durante una crisi umanitaria. In secondo luogo, i milioni di sfollati di cui si raccolgono i dati personali possono essere rifugiati o richiedenti asilo, che non si trovano più nel loro Paese d’origine e hanno poca o nessuna influenza sulle azioni del governo ospitante o sulle organizzazioni a cui si affidano per accedere ai servizi fondamentali. In terzo luogo, le organizzazioni internazionali che raccolgono i dati personali delle persone che ricevono assistenza umanitaria – prevalentemente le agenzie delle Nazioni Unite – raramente sono tenute a rispettare le leggi dei Paesi in cui operano. Il personale delle agenzie ONU può lavorare nei Paesi sulla base di privilegi e immunità, il che significa che anche se il Paese avesse un regime di protezione dei dati significativo, il personale ONU non sarebbe chiamato a rispondere in tribunale per la sua violazione. Questo aspetto è rilevante se si considera che, alla fine del 2021, un database umanitario delle Nazioni Unite conservava le informazioni personali di 21,7 milioni di persone, compresi i dati biometrici di 9,8 milioni, mentre un’altra agenzia umanitaria delle Nazioni Unite, alla fine del 2020, controllava un sistema contenente i dati personali di circa 63,8 milioni di persone.Quando la legge nazionale è insufficiente, non è sostenuta o applicata o non si applica, il diritto internazionale dei diritti umani richiede comunque che, in linea con il diritto alla privacy, le autorità statali raccolgano dati personali solo quando ciò è necessario e proporzionato a uno scopo specifico e su basi legali legittime.Inoltre, i principi della protezione dei dati stabiliscono che ogni individuo deve essere informato su quali dati personali vengono raccolti, da chi, perché, per quanto tempo saranno conservati e quali misure sono state adottate per tenerli al sicuro. La raccolta di dati biometrici comporta ulteriori restrizioni, in quanto i dati biometrici devono essere classificati come una categoria speciale di dati sensibili, come stabilito, ad esempio, dal Regolamento generale sulla protezione dei dati (GDPR) dell’UE1.

I due hashtag più popolari relativi alle accuse contro un presentatore della BBC sono stati postati quasi 45.000 volte su Twitter da venerdì scorso. Sky News ha analizzato i dati che mostrano la dimensione della discussione su Twitter e TikTok in merito alle accuse.Il numero di post solleva interrogativi sull’efficacia delle leggi sulla privacy e sulla diffamazione nell’era dei social media, e gli esperti dicono a Sky News che rivela una mancanza di consapevolezza da parte dell’opinione pubblica delle conseguenze della condivisione di false affermazioni su individui online. Venerdì scorso, il quotidiano The Sun ha pubblicato le accuse secondo cui il presentatore senza nome avrebbe pagato migliaia di sterline a un adolescente per ottenere foto sessualmente esplicite.Le affermazioni sono state fatte dalla madre del giovane, che ora ha 20 anni.Nei giorni successivi, due hashtag sono stati usati spesso da persone che discutevano del caso online. Un hashtag è stato postato su Twitter più di 32.700 volte e l’altro 12.000 volte, dal 7 luglio a martedì mattina, secondo i dati raccolti da Sky News da Talkwalker, una piattaforma di social listening.I post provenivano tutti da account appartenenti a persone del Regno Unito.I contenuti che utilizzano gli stessi due hashtag sono stati visualizzati circa sei milioni di volte su TikTok negli ultimi sette giorni, secondo la dashboard di insight della piattaforma stessa. Entrambe le piattaforme di social media sono state al centro di speculazioni e sono stati discussi apertamente diversi nomi. Questo ha spinto alcuni presentatori della BBC a smentire pubblicamente di essere oggetto della denuncia.Nicky Campbell, presentatore di BBC 5 Live, ha condiviso uno screenshot di una denuncia alla Metropolitan Police dopo quello che ha definito un “fine settimana angosciante”, durante il quale è stato accusato ingiustamente dagli utenti dei social media di essere coinvolto nello scandalo. Anche Gary Lineker, Rylan Clark e Jeremy Vine sono intervenuti su Twitter per smentire le false accuse che li riguardavano online.

Cliccando su “Accetto” su tutti i termini e le condizioni di app e siti web, diamo alle aziende un ampio margine di manovra per quanto riguarda i dati, compresa la possibilità di vendere informazioni come la cronologia di localizzazione del dispositivo. Una legge sulla privacy recentemente proposta dai legislatori del Massachusetts, tuttavia, potrebbe portare a un divieto quasi totale di acquisto e vendita delle informazioni sulla posizione dei dispositivi mobili dei consumatori. Se approvata, la legge H.357/S.148 (nota anche come “Location Shield Act”) sarebbe la prima del suo genere negli Stati Uniti e potenzialmente offrirebbe un modello da emulare per altri Stati. La legge si aggiunge alle crescenti preoccupazioni per la privacy dei medici, le molestie online e la sorveglianza da parte delle forze dell’ordine.Promosso da Cindy Stone Creem, rappresentante della Camera del Massachusetts, il Location Shield Act intende proteggere “l’accesso alla salute riproduttiva, le vite LGBTQ, la libertà religiosa e la libertà di movimento vietando la vendita di informazioni sulla localizzazione dei telefoni cellulari”. Sebbene diversi Stati, tra cui la California, la Virginia e il Colorado, abbiano proposto o approvato leggi simili sulla privacy, il Location Shield Act è la prima legge statale statunitense che offre apparentemente una protezione generale contro l’acquisto e la vendita di dati geografici a entità terze. A differenza del Regolamento generale sulla protezione dei dati (GDPR) dell’Unione europea, nessuna legge federale statunitense protegge attualmente le informazioni digitali di tutti gli americani.Come ha spiegato lunedì il Wall Street Journal, i dati di localizzazione vengono spesso raccolti da applicazioni mobili, siti web e altri servizi. Sebbene tali informazioni non includano numeri di telefono o nomi, è possibile ricavarne una quantità sufficiente per determinare l’abitazione, il luogo di lavoro o le abitudini di viaggio di una persona.Ad esempio, per aiutare le persone che viaggiano fuori dallo stato per ottenere servizi di aborto, ora legalmente vaghi in alcuni stati, si potrebbe accedere alle informazioni di geolocalizzazione di un dispositivo mobile. Un’inchiesta precedente del WSJ ha anche rivelato che il Dipartimento per la Sicurezza Nazionale ha acquistato milioni di dati sui movimenti dei telefoni per sorvegliare senza mandato le popolazioni vicine al confine con gli Stati Uniti, al fine di contenere l’immigrazione clandestina. I consumatori potrebbero continuare a utilizzare applicazioni necessarie per la localizzazione, come Uber e DoorDash, ma queste aziende non sarebbero autorizzate a vendere le informazioni a parti interessate. Nel frattempo, tali dati potrebbero ancora essere consultati da alcune fonti esterne, come le forze dell’ordine, ma solo dopo aver ottenuto il consenso dei consumatori. Secondo l’ACLU, quasi il 92% degli elettori del Massachusetts è favorevole a una legge che vieti la vendita dei dati di localizzazione dei dispositivi mobili.I sostenitori, tra cui l’organizzazione no-profit per la tutela della privacy Fight for the Future, sperano che la proposta di legge venga votata durante l’attuale sessione legislativa del Massachusetts, che durerà fino al prossimo anno.”Che ci si rechi in uno studio medico, in un luogo di culto o in qualsiasi altro luogo, i propri movimenti dovrebbero essere privati”, spiega a PopSci Caitlin Seeley George, direttore delle campagne e dell’amministrazione di Fight for the Future. “Questa proposta di legge guarda al quadro generale: i diritti alla privacy devono essere inclusi nella conversazione sui diritti all’aborto, sui diritti dei trans e nella lotta per i diritti di tutti i gruppi mirati”.

English version

• HRW, THE DATA OF THE MOST VULNERABLE ARE THE LEAST PROTECTED
• UK, BBC PRESENTER’S SCANDAL MAKES SO MUCH CLAMOR ON SOCIALS THAT IT QUESTIONS THE ACTUAL SCOPE OF PRIVACY RULES
• USA, MASSACHUSETTS WANT TO BAN THE SALE OF CELL PHONE LOCALISATION DATA

Debates around protecting personal data, including biometrics, have intensified, as public and private entities increasingly deploy biometric technologies in contexts like policing, public spaces and schools.Yet, there is one context in which biometric data is frequently collected and shared that is rarely considered in mainstream policy conversations: humanitarian responses. In these specific settings, data protection policies and practices tend to be insufficient, and vulnerable people, often fleeing atrocities, wars or food insecurity, can be exposed to further harm.There are currently few guardrails to protect the data rights of refugees and vulnerable people in need of humanitarian support. Moreover, many organisations that were established and funded to protect these communities collect their data without applying the safeguards required under international and, in some cases, national law.Among the reasons why this happens is the fact that humanitarian crises – wars, other forms of violent conflict, natural disasters or famine – often take place in countries that have no meaningful data protection regulation. And, where data protection regulations exist, they may not be enforced during a humanitarian crisis.Secondly, the millions of displaced people whose personal data is being collected may be refugees or asylum seekers, who are no longer in their country of origin and have little-to-no leverage over the actions of their host government or the organisations they rely on to access fundamental services.Third, the international organisations that collect the personal data of people receiving humanitarian support – predominantly UN agencies – are rarely bound to abide by the laws of the countries in which they operate.UN agency staff are able to work in countries on the basis of privileges and immunities, meaning that even if the country had a meaningful data protection regime in place, UN personnel would not be held accountable in court for breaching it. This is relevant to note considering that, as of late 2021, one UN humanitarian database stored the personal information of 21.7 million people, including the biometric data of 9.8 million, while another UN humanitarian agency, as of late 2020, was controlling a system holding the personal data of roughly 63.8 million people.When national law falls short, is not upheld or enforced or does not apply, international human rights law still requires that, consistent with the right to privacy, state authorities collect personal data only when it is necessary for and proportionate to a specific aim, and on legitimate legal grounds.Additionally, the principles of data protection outline that every individual should be informed of what personal data is collected, by whom, why, for how long it will be held and what measures have been taken to keep it safe. The collection of biometric data comes with additional restrictions, as biometric data should be classified as a special category of sensitive data, as stipulated, for instance, in the EU’s General Data Protection Regulation (GDPR).1

The two most popular hashtags relating to allegations against a BBC presenter have been posted almost 45,000 times on Twitter since Friday.Sky News has analysed data that shows the scale of discussion on Twitter and TikTok around the claims.The volume of posts raises questions over how effective privacy and defamation laws are in the social media era, with experts telling Sky News it reveals a lack of public understanding of the consequences of sharing false claims about individuals online.On Friday, The Sun newspaper published allegations that the unnamed presenter paid a teenager thousands of pounds for sexually explicit photos.The claims were made by the mother of the young person, who is now aged 20.In the days since, two hashtags have been used frequently by people discussing the case online.One hashtag has been posted on Twitter more than 32,700 times and the other 12,000 times, from 7 July to Tuesday morning, according to data gathered by Sky News from Talkwalker, a social listening platform.The posts all came from accounts belonging to people in the UK.Content using the same two hashtags have been viewed around six million times on TikTok over the past seven days, according to the platform’s own insights dashboard.Both social media platforms have been rife with speculation and a number of names are being openly discussed. This prompted some BBC presenters to issue public denials that they are the subject of the complaint.BBC 5 Live presenter Nicky Campbell shared a screenshot of a report to the Metropolitan Police after what he said was a “distressing weekend”, during which he had been falsely accused by social media users of being involved in the scandal.Gary Lineker, Rylan Clark and Jeremy Vine also took to Twitter to refute the false allegations about them online.

Clicking “I Agree” on all those app and website Terms & Conditions grants companies a lot of data leeway, often including their ability to sell information such as your device location history. A data privacy bill recently proposed by Massachusetts legislators, however, could result in a nearly complete ban on purchasing and selling consumers’ mobile device location information. If passed, H.357/S.148 (also known as the “Location Shield Act”) would be the first-of-its-kind in the US and potentially offer a template for other states to emulate. The law comes alongside increasing concerns over medical privacy, online harassment, and law enforcement surveillance.Sponsored by Massachusetts House Rep. Cindy Stone Creem, the Location Shield Act  is intended to protect “reproductive health access, LGBTQ lives, religious liberty, and freedom of movement by banning the sale of cell phone location information.” In the wake of the Supreme Court’s repeal of Roe v Wade last year, privacy and women’s rights advocates have repeatedly urged instituting legal protections for consumers’ location data.Although multiple states including California, Virginia, and Colorado have proposed or passed similar privacy laws, the Location Shield Act is the first US state law to ostensibly offer wholesale guard against buying and selling geo-data to third-party entities. Unlike the European Union’s General Data Protection Regulations (GDPR), no US federal legislation currently protects all Americans’ digital information.As The Wall Street Journal explained on Monday, location data is often collected by mobile apps, websites, and other services. Although such information does not include phone numbers or names, enough can be gleaned from the data to aid in determining one’s home, place of work, or travel habits.For example, aiding individuals who travel out-of-state to obtain abortion services, now legally nebulous in some states, could be established via accessing a mobile device’s geolocation info. A prior investigation from The WSJ also revealed the Department of Homeland Security has bought millions of phones’ worth of movement data in pursuit of warrantless surveillance of populations near the US border to curb illegal immigration.The Location Shield Act, if passed, would make such tactics illegal in many cases. Consumers could still utilize location-necessary apps such as Uber and DoorDash, but those companies would not be allowed to sell the information to interested parties. Meanwhile, such data could still be accessed by certain outside sources such as law enforcement, but only after obtaining consumer consent. According to the ACLU, almost 92 percent of Massachusetts voters support a law banning the sale of mobile device location data.Supporters, including the privacy nonprofit Fight for the Future, hope the bill will move to a vote within the current Massachusetts legislative session, which runs through next year.“Whether you’re going to a doctor’s office, place of worship, or anywhere else, your movements should be private,” Caitlin Seeley George, Fight for the Future’s Campaigns and Managing Director, tells PopSci. “This bill looks at the big picture—privacy rights have to be included in the conversation about abortion rights, trans rights, and in fighting for the rights of all targeted groups.”