PRIVACY DAILY 75/2023

Lo Utah è il primo Stato americano a limitare i trattamenti dei dati degli adolescenti da parte dei social media. Il governatore Spencer Cox sta per firmare due proposte di legge che mirano a proteggere i bambini dalla dipendenza e da altri potenziali danni dei social media. Le piattaforme dovranno ottenere il consenso dei genitori, se un utente di età inferiore ai 18 anni deciderà di aprire un account, e potrebbero incorrere in sanzioni e azioni legali in caso di violazioni. Queste proposte di legge sono tra gli sforzi più importanti che hanno impegnato quest’anno i legislatori statali in tutti gli Stati Uniti per regolamentare la fruizione dei servizi online da parte dei minori. La prima proposta richiede alle piattaforme di social media di verificare l’età degli utenti a partire dal 1° marzo 2024. Agli adolescenti verrebbe impedito, inoltre, di utilizzare i social media durante alcune ore notturne senza che un genitore modifichi le impostazioni dell’account. È inoltre prevista una limitazione della raccolta di informazioni personali dei minori. La seconda misura vieterebbe alle aziende di social media di utilizzare funzioni di design che creano dipendenza per i giovani sotto i 18 anni a partire dal 1° marzo 2024. Le violazioni potrebbero comportare sanzioni di 250.000 dollari per ogni funzione o pratica che crea dipendenza e di 2.500 dollari per ogni minore esposto, a meno che le aziende non verifichino e correggano le loro pratiche entro un determinato periodo di tempo. La misura prevede anche un diritto di azione legale per i danni subiti dal titolare di un account minorenne. Se l’utente ha meno di 16 anni, vi sarebbe una presunzione che il danno si sia verificato, rendendo più facile il successo di una richiesta di risarcimento in tribunale.

Secondo uno studio, alcune delle 12 principali app australiane per la fertilità raccolgono e vendono dati particolari. Lo studio, condotto congiuntamente da Katharine Kemp, researcher in law presso l’Università del New South Wales, e dal gruppo di consumatori Choice, ha valutato le privacy policy delle 12 app per la fertilità più popolari in Australia. Choice ha riscontrato che BabyCenter consentirebbe all’azienda di raccogliere informazioni sui propri utenti attraverso altre aziende e broker di dati, nonché di vendere dati personali ad altre aziende o di fornirli ad aziende che fanno pubblicità all’interno dell’app. Inoltre, permetterebbe alle aziende di tracciare i dati all’interno dell’app, a meno che non si scelga di non farlo, senza peraltro specificare se i dati vengono cancellati dopo un certo periodo di tempo. Choice ha scoperto che le app Glow Fertility, Nurture ed Eve “raccolgono ulteriori informazioni” sugli utenti da altre aziende, descritte solo come fonti di terze parti. Per di più, le app disporrebbero di tecnologie di tracciamento. Stando ai terms of service di Glow, tutti i dati degli utenti potrebbero essere diffusi a un’altra società, qualora l’app o il database venissero venduti. È stato, altresì, riscontrato che le app Ovia Fertility e Pregnancy raccoglierebbero numerosi dati non necessari per l’applicazione, tra cui malattie, situazione finanziaria, abitazione, sicurezza e livello di istruzione. Queste app potrebbero anche condividere la posizione e l’attività all’interno dell’app con gli inserzionisti. Choice ha riferito che l’app What To Expect è in grado di raccogliere informazioni sui suoi utenti da altre aziende, compresi gli intermediari di dati, consente la vendita dei dati degli utenti e permette ad altre aziende di tracciare gli utenti nell’app. Un esponente di Choice ha dichiarato che l’aspetto più preoccupante è la monetizzazione dei dati da parte delle app.

Neanche l’Intelligenza artificiale di ChatGpt è al sicuro da guasti tecnici che potrebbero pregiudicare la privacy. Nelle scorse ore, il software ha smesso di funzionare. A causare il disservizio la decisione dello sviluppatore, OpenAI, di bloccare temporaneamente la piattaforma per un bug, un errore che ha esposto i titoli delle conversazioni degli utenti. Il contenuto delle conversazioni, come ha precisato OpenAI a Bloomberg, non è stato diffuso. Dopo aver intercettato il problema la società, su cui Microsoft ha investito molto nei mesi scorsi, ha bloccato l’accesso alla chatbot per evitare che l’errore di privacy si estendesse ulteriormente. Prima di essere messo offline, sulla pagina principale di ChatGpt, invece di vedere la cronologia dei titoli delle proprie chat con l’AI, si potevano leggere quelli, casuali, di altri navigatori. Per evitare altri problemi, anche dopo la risoluzione, la cronologia degli utenti è rimasta indisponibile, con l’impossibilità di accedere alle domande fatte in precedenza all’intelligenza artificiale. La pagina di stato di ChatGpt ha specificato che OpenAI sta ancora lavorando per ripristinare il tutto.

English version

Utah is the first US state to restrict the processing of teenagers’ data by social media. Governor Spencer Cox is about to sign two bills that aim to protect children from the addiction and other potential harms of social media. Platforms will have to obtain parental consent if a user under the age of 18 decides to open an account, and could face penalties and legal action for violations. These bills are among the most important efforts that have engaged state legislators across the US this year to regulate minors’ use of online services. The first proposal would require social media platforms to verify the age of users as of 1 March 2024. Teenagers would also be prevented from using social media during certain hours at night without a parent changing their account settings. There would also be a restriction on the collection of personal information from minors. The second measure would prohibit social media companies from using addictive design features for young people under the age of 18 from 1 March 2024. Violations could result in penalties of $250,000 for each addictive feature or practice and $2,500 for each exposed minor, unless companies verify and correct their practices within a specified time period. The measure also provides a right of action for damages suffered by a minor account holder. If the user is under 16 years of age, there would be a presumption that the damage has occurred, making it easier to make a successful claim in court.

Some of Australia’s top 12 fertility apps collect and sell special data, according to a study. The study, conducted jointly by Katharine Kemp, a researcher in law at the University of New South Wales, and the consumer group Choice, assessed the privacy policies of the 12 most popular fertility apps in Australia. Choice found that BabyCenter would allow the company to collect information about its users through other companies and data brokers, as well as sell personal data to other companies or provide it to companies that advertise within the app. It would also allow companies to track data within the app unless you choose not to, without specifying whether the data is deleted after a certain period of time. Choice found that the apps Glow Fertility, Nurture and Eve ‘collect additional information’ about users from other companies, described only as third-party sources. What is more, the apps would have tracking technologies. According to Glow’s terms of service, all user data could be disclosed to another company if the app or database were sold. It was also found that the Ovia Fertility and Pregnancy apps would collect a lot of data not needed for the app, including illness, financial situation, housing, security and education level. These apps could also share location and activity within the app with advertisers. Choice reported that the What To Expect app is able to collect information about its users from other companies, including data brokers, allows the sale of user data, and allows other companies to track users in the app. A Choice representative stated that the most worrying aspect is the monetisation of data by apps.

Not even ChatGpt’s artificial intelligence is safe from technical failures that could affect privacy. In recent hours, the software has stopped working. The disruption was caused by the decision of the developer, OpenAI, to temporarily block the platform due to a bug, an error that exposed the titles of users’ conversations. The content of the conversations, as OpenAI clarified to Bloomberg, was not released. After intercepting the problem, the company, in which Microsoft has invested heavily in recent months, blocked access to the chatbot to prevent the privacy error from spreading further. Before being taken offline, on ChatGpt’s main page, instead of seeing the history of one’s chats with the AI, one could read the random ones of other surfers. To avoid other problems, even after the resolution, the users’ history remained unavailable, making it impossible to access the questions previously asked by the artificial intelligence. The ChatGpt status page specified that OpenAI is still working to restore everything.

PRIVACY DAILY 70/2023

Anche ai funzionari governativi del Regno Unito è stato vietato di utilizzare TikTok. Il Cabinet Minister Oliver Dowden, che ha tra le deleghe del suo portafoglio quella alla cybersicurezza, ha dichiarato in Parlamento che il divieto è una mossa “precauzionale” ma che entrerà in vigore immediatamente. TikTok ha negato con forza le accuse di trasmettere i dati degli utenti al governo cinese. Theo Bertram, vicepresidente dell’app per le relazioni con i governi e le politiche pubbliche in Europa, ha dichiarato di ritenere che la decisione fosse basata “più sulla geopolitica che su altro”. “Abbiamo chiesto di essere giudicati non in base alle paure della gente, ma in base ai fatti”, ha aggiunto. Dowden ha dichiarato di non voler sconsigliare al pubblico l’uso di TikTok, ma di dover sempre “considerare le politiche sui dati di ogni piattaforma di social media prima di scaricarla e utilizzarla”. A quanto pare, il Primo Ministro Rishi Sunak ha subito forti pressioni politiche affinché seguisse gli Stati Uniti e l’Unione Europea nel vietare l’utilizzo dell’app di condivisione video dai dispositivi ufficiali del governo. Ma i dipartimenti governativi – e i singoli ministri – avevano abbracciato TikTok come un modo per trasmettere il loro messaggio ai più giovani. E, infatti, Downing Street – che l’ultima volta ha postato su TikTok un video di Larry il gatto che prediceva i risultati del calcio – ha dichiarato che continuerà a usare TikTok per diffondere il messaggio del governo. Ha dichiarato che in alcune circostanze sono previste delle deroghe al divieto.

Informazioni sensibili sono state pubblicate online a seguito della “significativa violazione dei dati” del mercato delle assicurazioni sanitarie di Washington della scorsa settimana. Il data breach ha colpito anche i membri del Congresso, secondo quanto riferito da funzionari del Senato. In un’email inviata agli uffici del Senato, i membri del Comitato per l’Intelligence hanno dichiarato di aver appreso che le informazioni violate sono già online e comprendono tra gli altri nome, indirizzo, numero di previdenza sociale, data di nascita, numero di telefono dell’ufficio. Il 6 marzo, prima che la violazione fosse resa pubblica, un utente su un forum del dark web popolare tra gli hacker criminali ha affermato di avere accesso ai dati di una manciata di utenti del DC Health Link, il marketplace dell’Affordable Care Act che gestisce i piani di assistenza sanitaria per i membri del Congresso e per alcuni dipendenti di Capitol Hill, oltre che per altre persone nell’area di Washington. E ha offerto l’intero database in vendita. NBC News non ha verificato l’autenticità dei dati. Un altro utente ha poi reso pubblici i file sul sito. Il database, visionato da NBC News, include le presunte informazioni di oltre 65.000 persone, tra cui più di 1.000 con informazioni relative al lavoro svolto per la Camera o il Senato. In una comunicazione inviata agli utenti interessati, DC Health Link ha dichiarato di essere venuta a conoscenza della violazione dopo essere stata informata il 6 marzo della pubblicazione dei dati sul forum pubblico, di aver immediatamente avviato un’indagine approfondita in collaborazione con gli investigatori forensi e le forze dell’ordine e di offrire ai clienti interessati tre anni di monitoraggio gratuito dell’identità e del credito. La polizia di Capitol Hill e l’FBI stanno indagando

La Privacy Commission federale del Canada sta indagando sulla gestione dei dati sensibili dei dipendenti da parte della CBC. L’istruttoria è stata avviata dopo che la stampa ha riferito che alcuni dipendenti della CBC e di Radio-Canada si erano sentiti “traditi” nello scoprire che informazioni strettamente riservate, come l’orientamento sessuale, la religione, erano apparsi nel loro profilo personale su un nuovo programma di risorse umane basato sul cloud, chiamato Workday. I dipendenti avevano dichiarato di aver fornito le informazioni durante un “censimento culturale confidenziale” e volontario, credendo che i dati sarebbero stati anonimizzati e aggregati in modo da non poter essere ricondotti a loro. In una dichiarazione, il portavoce del Privacy Commissioner of Canada, Vito Pilieci, ha confermato che l’ufficio sta cercando di ottenere “ulteriori informazioni” dall’emittente pubblica, anche rispetto alla possibilità che i dati siano stati ospitati su server situati all’estero e quindi meno sicuri. In generale, Pilieci ha affermato che la legge sulla privacy impone ai datori di lavoro di comunicare ai dipendenti quali informazioni personali vengono raccolte, le finalità e i tempi di conservazione. Infine, ha dichiarato che la legge sulla privacy obbliga le istituzioni a garantire che le informazioni siano gestite da terzi in modo da essere “protette da ogni possibile rischio legato alla questione dei flussi di dati transfrontalieri”.

English version

UK government officials have also been banned from using TikTok. Cabinet Minister Oliver Dowden, who has cybersecurity as one of his portfolio mandates, said in Parliament that the ban was a ‘precautionary’ move but would come into effect immediately. TikTok has strongly denied allegations of passing on user data to the Chinese government. Theo Bertram, the app’s vice president for government relations and public policy in Europe, said he believed the decision was based “more on geopolitics than anything else”. “We asked to be judged not by people’s fears, but by the facts,” he added. Dowden said he did not want to advise the public against using TikTok, but that they should always ‘consider the data policies of any social media platform before downloading and using it’. Apparently, Prime Minister Rishi Sunak came under intense political pressure to follow the US and EU in banning the use of the video-sharing app from official government devices. But government departments – and individual ministers – had embraced TikTok as a way to get their message across to younger people. And, indeed, Downing Street – which last posted a video of Larry the cat predicting football results on TikTok – said it would continue to use TikTok to spread the government’s message. He stated that there are exceptions to the ban in certain circumstances.

Sensitive information has been posted online following last week’s ‘significant data breach’ of Washington’s health insurance marketplace targeting members of Congress, according to Senate officials. In an email sent to Senate offices, Intelligence Committee members said they learned that the breached information is already online and includes name, address, social security number, date of birth, office phone number, among others. On 6 March, before the breach was made public, a user on a dark web forum popular with criminal hackers claimed to have access to the data of a handful of users of DC Health Link, the Affordable Care Act marketplace that manages health care plans for members of Congress and some Capitol Hill employees, as well as others in the Washington area. And he offered the entire database for sale. NBC News did not verify the authenticity of the data. Another user then made the files public on the site. The database, viewed by NBC News, includes the alleged information of more than 65,000 people, including more than 1,000 with information about their work for the House or Senate. In a notice sent to affected users, DC Health Link said it became aware of the breach after being informed on 6 March that the data was posted on the public forum, immediately launched a thorough investigation in cooperation with forensic investigators and law enforcement, and offered affected customers three years of free identity and credit monitoring. Capitol Hill police and the FBI are investigating

The Federal Privacy Commission of Canada is investigating the CBC’s handling of sensitive employee data. The investigation was initiated after the press reported that some CBC and Radio-Canada employees had felt ‘betrayed’ to discover that strictly confidential information, such as sexual orientation and religion, had appeared in their personal profiles on a new cloud-based human resources programme called Workday. Employees had claimed to have provided the information during a voluntary ‘confidential cultural census’, believing that the data would be anonymised and aggregated so that it could not be traced back to them. In a statement, Privacy Commissioner of Canada spokesman Vito Pilieci confirmed that the office is seeking ‘further information’ from the public broadcaster, including on the possibility that the data was hosted on servers located abroad and therefore less secure. In general, Pilieci stated that the Privacy Act requires employers to tell employees what personal information is being collected, the purposes for which it is being collected, and when it is being stored. Finally, he stated that the Privacy Act obliges institutions to ensure that information is managed by third parties in such a way that it is ‘protected from any possible risk related to the issue of cross-border data flows’.

Registro elettronico: cautele nel trattamento dei dati sulla salute degli alunni

Nuovo appuntamento con la rubrica #iprovvedimentispiegatisemplice su Agenda Digitale. In questo numero parliamo dell’uso improprio degli acronimi BES, DSA e H accanto al nome di alcuni alunni sul registro elettronico di un istituto ha consentito a tutti i genitori di una classe di conoscere dati sensibili sullo stato di salute che dovevano restare a vantaggio esclusivo dei singoli interessati.

PRIVACY DAILY 46/2023

La proposta di acquisizione di iRobot (produttore dell’aspirapolvere Roomba) da parte di Amazon potrebbe detestare forti preoccupazioni per la privacy nella Commissione Europea. Lo scrive il Financial Times, sostenendo che la società americana avrebbe ricevuto già una richiesta di informazioni rispetto a questa nuova operazione da 1,7 miliardi di dollari. E questa mossa della Commissione preluderebbe, secondo le fonti citate dal noto quotidiano economico, all’apertura di un’istruttoria formale. A differenza della Federal Trade Commission statunitense, che sta esaminando l’accordo sotto il profilo dell’accrescimento del potere di mercato di Amazon nel settore dell’elettronica domestica, la Commissione europea nutrirebbe, invece, una serie di perplessità legate alla privacy. In particolare, nel mirino dei funzionari europei ci sarebbe la capacità dell’aspirapolvere intelligente di scattare foto mentre si muove all’interno di una casa. Questi dati, combinati con quelli raccolti da Alexa, potrebbero infatti conferire un fortissimo vantaggio alla multinazionale californiana. Peraltro, la MIT Technology Review aveva pubblicato già in dicembre la notizia di un robot Roomba capace di catturare immagini intime. D’altro canto, sempre secondo quanto ricostruito dal Financial Times, parrebbe che Amazon si stia preparando a contestare gli eventuali rilievi. L’azienda potrebbe, infatti, mettere in evidenza che le limitazioni incorporate nell’elettrodomestico – il quale disporrebbe solo di una mappatura di base dei sensori – renderebbero improbabile eventuali rischi per la privacy. Peraltro, la Big tech potrebbe anche sostenere che l’acquisto di iRobot non varrebbe a conferirle alcun particolare vantaggio di mercato rispetto ai rivali nel settore, dato il numero di prodotti concorrenti disponibili. Sta di fatto che, però, almeno finora, sia Amazon che la Commissione europea hanno rifiutato di commentare la notizia della potenziale indagine.

ChatGPT è stato reso disponibile per l’uso pubblico a novembre, ma diversi datori di lavoro hanno già molti dubbi rispetto ai problemi di compliance connessi al suo impiego. ChatGPT è una piattaforma linguistica di AI che viene addestrata per interagire in conversazioni ed eseguire compiti, mediante l’alimentazione di un algoritmo con enormi serie di dati. Il modello viene poi testato per determinare la sua capacità di fare previsioni a partire da dati inediti. Eppure, la base di conoscenza di questo strumento presenta ancora delle lacune, anche considerando che l’AI è stata addestrata solo su set di dati disponibili fino al 2021 e che attinge a dati online non sempre accurati. Se i dipendenti si affidano a ChatGPT per ottenere informazioni relative al lavoro e non le verificano, possono sorgere problemi. Sta, allora, ai datori di lavoro dover stabilire attente politiche rispetto al suo impiego in contesto lavorativo. In particolare, per quanto riguarda gli aspetti correlati alla privacy, c’è la possibilità che i dipendenti condividano dati e informazioni durante le “conversazioni” con ChatGPT. Sebbene, infatti, l’AI dichiari di non conservare le informazioni fornite nelle conversazioni, essa “impara” da ogni conversazione. Così, anche informazioni riservate potrebbero essere rivelate a ChatGPT. Tuttavia, la nuova versione migliorata, che dovrebbe uscire entro l’anno, potrebbe essere in grado di lenire almeno alcune delle preoccupazioni dei datori di lavoro.

Scandalo nel Regno Unito per alcune dichiarazioni della polizia del Lancashire nel corso delle ricerche di una donna scomparsa. La polizia, che indaga sulla sparizione di una quarantacinquenne ha affermato in un comunicato che la donna aveva in passato “sofferto di alcuni problemi significativi con l’alcol, causati dal suo rapporto difficile con la menopausa [che erano] riemersi negli ultimi mesi”. In molti, tra cui parlamentari, giuristi e attivisti per la privacy, hanno reagito con indignazione al comunicato sui social media. In particolare, Zoë Billingham, presidente di un istituto di salute mentale del Servizio Sanitario Nazionale (NHS) ha dichiarato alla BBC che l’aggiornamento fornito dalla polizia del Lancashire “è abbastanza inquietante da molti punti di vista”, aggiungendo che “la gente si chiede giustamente in che modo lo stato riproduttivo di una donna scomparsa sia collegato al tentativo di ritrovarla e se le stesse informazioni sarebbero state rese di dominio pubblico se si fosse trattato di un uomo”. I rappresentati della polizia hanno, però, specificato che “si è trattato di un passo insolito per noi entrare in questo livello di dettaglio sulla vita privata di qualcuno, ma abbiamo ritenuto importante chiarire cosa intendevamo quando abbiamo parlato di vulnerabilità per evitare ulteriori speculazioni o interpretazioni errate”. Peraltro, sempre stando a quanto affermato dalla polizia, alla famiglia della donna scomparsa sarebbero state fornite spiegazioni sul perché del rilascio di tali delicate informazioni.

English version

The proposed takeover of iRobot (manufacturer of the Roomba hoover) by Amazon could raise serious privacy concerns in the European Commission. The Financial Times writes this, claiming that the American company has already received a request for information regarding this new $1.7 billion transaction. And this move by the Commission would be a prelude to the opening of a formal investigation, according to sources quoted by the well-known business daily. In contrast to the US Federal Trade Commission, which is examining the deal from the point of view of Amazon’s increased market power in the home electronics sector, the European Commission would instead have a number of privacy-related concerns. In particular, in the crosshairs of European officials would be the ability of the smart hoover to take pictures while moving around a house. These data, combined with those collected by Alexa, could in fact give a very strong advantage to the Californian multinational. Moreover, the MIT Technology Review had already published in December the news of a Roomba robot capable of capturing intimate images. On the other hand, again according to the Financial Times’ reconstruction, it would appear that Amazon is preparing to contest the possible findings. The company could, in fact, point out that the limitations built into the appliance – which would only have basic sensor mapping – would make any privacy risks unlikely. Big tech might also argue that the purchase of iRobot would not give it any particular market advantage over rivals in the sector, given the number of competing products available. The fact is, however, that, at least so far, both Amazon and the European Commission have refused to comment on the news of the potential investigation.

ChatGPT was made available for public use in November, but several employers already have many doubts about compliance issues related to its use. ChatGPT is an AI language platform that is trained to interact – even in conversation – and perform tasks by feeding an algorithm with huge data sets. The model is then tested to determine its ability to make predictions from unpublished data. Yet, there are still gaps in the knowledge base of this tool, not least considering that AI has only been trained on datasets available until 2021 and that it draws on online data that is not always accurate. If employees rely on ChatGPT to obtain work-related information and do not verify it, problems can arise. It is then up to employers to establish careful policies with respect to its use in a work context. In particular, with regard to privacy-related aspects, there is the possibility of employees sharing data and information during ‘conversations’ with ChatGPT. Although, in fact, the AI states that it does not retain the information provided in conversations, it ‘learns’ from each conversation. Thus, even confidential information could be revealed to ChatGPT. However, the new improved version, due to be released later this year, may be able to alleviate at least some of the concerns of employers.

Scandal in the UK over statements made by the Lancashire police during the search for a missing woman. The police investigating the disappearance of a 45-year-old woman said in a statement that the woman had previously ‘suffered from some significant problems with alcohol, caused by her difficult relationship with menopause [which had] resurfaced in recent months’. Many, including parliamentarians, lawyers and privacy activists, reacted with indignation to the statement on social media. In particular, Zoë Billingham, president of a National Health Service (NHS) mental health institute, told the BBC that the update provided by Lancashire police ‘is quite disturbing in many respects’, adding that ‘people are rightly wondering how a missing woman’s reproductive status relates to the attempt to find her and whether the same information would have been made public if it had been a man’. Police representatives specified, however, that ‘it was an unusual step for us to go into this level of detail about someone’s private life, but we felt it was important to clarify what we meant when we talked about vulnerability to avoid further speculation or misinterpretation’. Moreover, according to the police, the family of the missing woman was given explanations as to why such sensitive information was released.