PRIVACY DAILY 113/2023

Il ministro giapponese per la trasformazione e la riforma digitale, Taro Kono, si è scusato dopo che un’applicazione governativa ha violato la privacy dei cittadini. L’applicazione si chiama “Certificate Issuing Server” e, come spiegato dal governo municipale della città di Kodaira, consente ai residenti di stampare documenti come i certificati che attestano il pagamento delle tasse. Fujitsu Japan ha sviluppato e gestisce il servizio, che prepara i file PDF in risposta alle richieste degli utenti e li invia alle stampanti dei negozi. Il servizio non è universale: le amministrazioni locali scelgono di utilizzarlo. I negozi ospitano stampanti multifunzione per produrre i documenti. Poiché i minimarket sono assolutamente onnipresenti in tutto il Giappone, il servizio è un modo molto comodo per accedere ai documenti governativi. O lo sarebbe, se l’app non stampasse i documenti sbagliati. In una conferenza stampa tenutasi ieri, il ministro ha riconosciuto che il servizio ha stampato in molte occasioni documenti appartenenti a persone diverse da quelle che lo avevano richiesto – ha parlato di 13 errori in un solo comune. Ha quindi sospeso il servizio e ha chiesto a Fujitsu di correggerlo e di smettere di violare la privacy.  Secondo quanto riferito, Fujitsu si è anche scusata per l’incidente. Il pasticcio è imbarazzante per Fujitsu, ma anche un grosso problema per il ministro, che ricopre il ruolo dal 2022 e ha dimostrato zelo riformista. Il Giappone rimane tristemente dipendente dai processi basati sulla carta e i fax sono ancora molto diffusi. Il ministro e i suoi predecessori hanno promesso di portare il Giappone più avanti nell’era digitale, ma hanno poco da mostrare per i loro sforzi. Durante la conferenza stampa, il ministro ha ammesso che l’incidente ha ridotto la fiducia del pubblico nei servizi digitali. Dato che il suo compito è quello di aumentare la fiducia del pubblico per incoraggiare l’adozione di un maggior numero di servizi digitali, questo errore è molto sgradito. Almeno il ministro ha avuto altre buone notizie da condividere durante la conferenza stampa di martedì: il completamento di una specifica per la condivisione di documenti in cloud a tutti i livelli di governo e il lancio di un hackathon per sviluppare nuove funzioni per i portali governativi.

Il progetto di legge CSAM è stato oggetto di controversie da quando lo scorso anno è stato proposto dalla Commissione europea. Questo conferisce alle autorità giudiziarie il potere di emettere ordini di rilevamento rivolti ai fornitori di servizi di comunicazione che considerano a rischio significativo di essere utilizzati per diffondere contenuti illegali. Dopo aver ricevuto un ordine di rilevamento, servizi come Gmail o WhatsApp sarebbero costretti a implementare strumenti che scansionano automaticamente e-mail o testi privati per individuare i contenuti sospetti. Questo strumento è stato accusato di colpire in modo sproporzionato la privacy delle persone, poiché potenzialmente ogni persona che utilizza il servizio potrebbe essere interessata. A queste preoccupazioni ha fatto eco il Garante europeo della protezione dei dati con uno studio commissionato dal Parlamento europeo. Il servizio giuridico del Consiglio dell’UE, estremamente influente nel processo legislativo dell’Unione, si aggiunge ora alla storia travagliata della proposta, secondo alcuni estratti del suo parere legale visionati da EURACTIV. Nel testo della Commissione, gli ordini di rilevamento possono essere emessi da un organo giudiziario nazionale o da un organo amministrativo indipendente per individuare materiale noto, nuovo materiale e grooming, la pratica dei predatori che cercano di adescare i bambini. Sebbene l’intento dichiarato sia quello di rendere la proposta tecnologicamente neutrale, il parere legale osserva che “il contenuto di tutte le comunicazioni deve essere accessibile e scansionato, e deve essere effettuato utilizzando gli strumenti automatici disponibili”. Tuttavia, il parere osserva che la scansione di tutte le comunicazioni “con l’ausilio di un’operazione automatizzata” interferisce “con il diritto alla protezione dei dati, indipendentemente dal loro successivo utilizzo”. Il parere legale aggiunge che l’applicazione degli ordini non può “superare i 24 mesi per la diffusione di CSAM noti o nuovi e i 12 mesi per l’adescamento di minori”.

Il poliziotto eroe che sabato ha ucciso il tiratore neo-nazista al centro commerciale Allen Premium Outlet, a nord di Dallas (Texas) è un membro del dipartimento di polizia di Allen che non è stato identificato. Si trovava al centro commerciale per una chiamata non correlata alla sparatoria quando ha sentito gli spari di Mauricio Martinez Garcia. Si è lanciato coraggiosamente contro Garcia rappresentando al meglio le forze dell’ordine ed apprezzerebbe che fosse mantenuta la sua privacy per poter elaborare serenamente quanto di doloroso è accaduto come ha sottolineato il suo avvocato Zach Horn. L’audio della disperata chiamata al 911 dell’agente rivela come egli abbia implorato i suoi colleghi di unirsi a lui sulla scena, dicendo via radio: “Ho bisogno di tutti “. A quel punto Garcia, 33 anni, aveva già sparato a 12 persone ed era armato con circa 60 munizioni. L’assassino, che sfoggiava tatuaggi da suprematista bianco e aveva fatto dichiarazioni razziste online, ha ucciso otto persone e ne ha ferite molte altre, tre in modo grave. Circa due minuti dopo aver chiamato i rinforzi, il poliziotto ha detto: “L’ho messo a terra”. Pochi minuti dopo, si sente un’altra voce alla radio che dice: “Abbiamo delle vittime. Ho bisogno di un’ambulanza”. Un altro primo soccorritore sulla scena è stato un ex agente di polizia, Steven Spainhouer, che ha dichiarato alla NBC Dallas-Forth Worth di essersi recato al centro commerciale dopo che suo figlio, che lavora presso la sede di H&M, lo aveva chiamato per dirgli dell’attacco. Spainhouer ha raccontato di aver praticato la rianimazione cardiopolmonare a un uomo in fin di vita e di aver confortato un ragazzo ricoperto dal sangue della madre. In aprile, il folle assassino ha fatto ricerche nei momenti di maggiore affluenza al centro commerciale e a metà aprile ha postato sui social media le foto di un negozio vicino al luogo in cui ha iniziato il suo attacco. L’attività online di Garcia tradiva anche un’attrazione per la supremazia bianca e le sparatorie di massa, che descriveva come uno sport.

English version

Japan’s minister for digital transformation and digital reform, Taro Kono, has apologized after a government app breached citizens’ privacy. The app is called the “Certificate Issuing Server” and, as explained by the municipal government of Kodaira City, allows residents to print documents such as certificates that prove they’ve paid taxes. Fujitsu Japan developed and operates the service, which preps PDF files in response to user requests and then despatches them to printers in convenience stores. The service is not universal: local governments opt in to deploy it. Convenience stores host multifunction printers to produce the documents. As convenience stores are utterly ubiquitous across Japan, the service is a very … erm … convenient way to access government documents. Or it would be, if the app weren’t printing the wrong documents. At a press conference yesterday the minister acknowledged that the service has printed documents belonging to people other than those who requested the service on many occasions – he mentioned 13 errors in one municipality alone. He’s therefore suspended the service and told Fujitsu to fix the service and stop breaching privacy.  Fujitsu has reportedly also apologized for the incident. The foul-up is embarrassing to Fujitsu, but also a big problem for the minister, who has served in the role since 2022 and demonstrated reformist zeal. Japan remains infamously reliant on paper-based processes, and fax machines remain plentiful. The minister and his predecessors have promised to bring Japan further into the digital age, but have little to show for their efforts. At his press conference, the minister conceded the incident has reduced the public’s confidence in digital services. Given his job is to increase public confidence to encourage adoption of more digital services, this foul-up is most unwelcome. At least the minister had other good news to share at his Tuesday press conference: the completion of a spec for cloudy document sharing across all tiers of government, and the launch of a hackathon to develop new functions for government portals.

The draft CSAM law has been controversial since it was proposed by the European Commission last year. It gives judicial authorities the power to issue detection orders aimed at providers of communication services that they consider to be at significant risk of being used to spread illegal content. After receiving a detection order, services such as Gmail or WhatsApp would be forced to implement tools that automatically scan private emails or texts for suspicious content. This tool has been accused of disproportionately affecting people’s privacy, as potentially every person using the service could be affected. These concerns were echoed by the European Data Protection Supervisor in a study commissioned by the European Parliament. The EU Council’s legal service, highly influential in the EU legislative process, is now adding to the troubled history of the proposal, according to excerpts of its legal opinion viewed by EURACTIV. In the Commission’s text, detection orders can be issued by a national judicial body or an independent administrative body to detect known material, new material, and grooming, the practice of predators seeking to lure children. Although the stated intent is to make the proposal technologically neutral, the legal opinion notes that “the content of all communications must be accessible and scanned, and must be done using available automated tools.” However, the opinion notes that scanning all communications “using an automated operation” interferes “with the right to data protection, regardless of their subsequent use.” The legal opinion adds that enforcement of the orders cannot “exceed 24 months for dissemination of known or new CSAMs and 12 months for solicitation of minors.”

The hero cop who killed the neo-Nazi shooter at the Allen Premium Outlet mall in north Dallas on Saturday is a member of the Allen Police Department who has not been identified. He was at the mall on an unrelated call to the shooting when he heard Mauricio Martinez Garcia’s gunshots. He bravely threw himself at Garcia representing law enforcement as best he could and would appreciate his privacy being maintained so he could peacefully process what was painful as his attorney Zach Horn pointed out. Audio of the officer’s desperate 911 call reveals how he pleaded with his colleagues to join him at the scene, saying over the radio, “I need everyone.” By then Garcia, 33, had shot 12 people and was armed with about 60 rounds of ammunition. The shooter, who sported white supremacist tattoos and had made racist statements online, killed eight people and wounded several others, three seriously. About two minutes after calling for backup, the policeman said, “I put him down.” A few minutes later, another voice can be heard on the radio saying, “We have victims. I need an ambulance.” Another first responder on the scene was a former police officer, Steven Spainhouer, who told NBC Dallas-Forth Worth that he went to the mall after his son, who works at H&M headquarters, called him to tell him about the attack. Spainhouer recounted giving CPR to a dying man and comforting a boy covered in his mother’s blood. In April, the crazed killer did searches at busy times at the mall and in mid-April posted photos on social media of a store near where he began his attack. Garcia’s online activity also betrayed a fascination with white supremacy and mass shootings, which he described as a sport.

PRIVACY DAILY 112/2023

In seguito alle rivelazioni del 2021 secondo le quali i governi di tutto il mondo avevano sistematicamente utilizzato il software di spionaggio fornito dalla NSO il Parlamento Europeo ha istituito una commissione per indagare su Pegasus. Il testo del documento prodotto, basato su 15 mesi di indagini, include anche raccomandazioni specifiche per ogni Paese. Il rapporto è stato adottato con 30 voti a favore e 3 contrari; le raccomandazioni hanno ricevuto 30 voti a favore e 5 contrari. Le due saranno votate dall’intero Parlamento nella prossima sessione plenaria. La relazione è “la panoramica più completa mai realizzata sull’uso illegittimo e sul commercio di spyware all’interno e attraverso l’UE”, ha dichiarato all’EURACTIV la relatrice aderente al partito liberale e centrista Renew Europe, aggiungendo che “il documento dipinge un quadro estremamente allarmante”. In una nuova serie di raccomandazioni, la commissione parlamentare Pegasus sullo spyware ha espresso preoccupazione per la “fondamentale inadeguatezza” dell’UE nell’affrontare gli attacchi interni alla democrazia e ha chiesto l’intervento del Consiglio e della Commissione per dare un giro di vite alla vendita e all’uso della tecnologia di sorveglianza. La relazione emendata contiene una modifica fondamentale alla disposizione del progetto di relazione che riguarda la regolamentazione dei software spia. Per poter continuare a utilizzare i software spia, la versione finale della relazione prevede che i Paesi dell’UE debbano soddisfare alcuni criteri entro il 31 dicembre 2023, definiti come una “moratoria di fatto” da Saskia Bricmont, legislatrice dei Verdi. Le condizioni che devono soddisfare includono l’investigazione completa dei presunti abusi, la fornitura di un quadro normativo adeguato in linea con il diritto europeo, l’impegno esplicito a coinvolgere Europol nelle indagini sul suo uso illegittimo e la revoca delle licenze di esportazione che non sono in linea con il regolamento dell’UE sul doppio uso. Secondo la risoluzione, la Commissione europea dovrebbe valutare se queste condizioni sono state soddisfatte e pubblicare le proprie conclusioni in una relazione separata entro il 30 novembre. Il rapporto include anche richieste di azione a diversi livelli su una serie di argomenti, tra cui i diritti delle persone non bersaglio i cui dati vengono raccolti durante la sorveglianza, l’inclusione di marcatori specifici per aiutare a identificare la tecnologia utilizzata e l’istituzione di una task force della Commissione per garantire l’integrità delle elezioni europee del 2024.

Twitter e il suo proprietario Elon Musk stanno affrontando le critiche di alcuni utenti del social network dopo che sulla piattaforma sono state postate immagini delle vittime della sparatoria al centro commerciale Allen Premium Outlets. Tali critiche riguardano non solo le immagini stesse che sono state giudicate cruente ma anche la privacy delle vittime.  La diffusione delle immagini su Twitter mette in evidenza i cambiamenti nella moderazione dei contenuti del servizio di social media sotto la guida del miliardario Elon Musk, che ha acquistato l’azienda lo scorso anno e ha rivisto molte delle sue politiche. In una e-mail a  domande su queste immagini, Twitter ha risposto con un’emoji della cacca, pare con una risposta automatica che arriva a qualsiasi richiesta viene inviata a press@twitter.com. Ella Irwin, vicepresidente per la fiducia e la sicurezza di Twitter, non ha risposto a una richiesta di commento. Musk ha ridotto la moderazione dei contenuti da quando ha acquistato Twitter l’anno scorso, licenziando i dipendenti che si occupavano della disinformazione sulla piattaforma di social media. La maggior parte dei grandi social network ha team dedicati al monitoraggio dei discorsi d’odio e all’applicazione delle regole contro i contenuti dannosi, ma con l’avvento di Musk questi contenuti sono proliferati. Alcuni utenti si sono lamentati delle immagini dell’attacco, in cui un uomo armato ha ucciso otto persone e ne ha ferite molte altre, ma sembra che il miliardario abbia risposto solo lunedì mattina. Nei giorni successivi alla sparatoria del 6 maggio, Musk ha twittato una sua foto sulla copertina di Time Magazine e ha pubblicato un sondaggio in cui chiedeva agli utenti se i loro feed fossero il più “avvincenti possibile”. “Non c’è nulla di virtuoso o etico nel mostrare bambini e adulti morti facilmente identificabili, le cui famiglie potrebbero non sapere ancora che sono morti”, ha scritto su Twitter Emily Bell, docente e direttrice del Tow Center for Digital Journalism della Columbia University. È profondamente immorale: priva le vittime e le loro famiglie della privacy e della dignità della morte”, e ha aggiunto: “Serve solo alla “click farm” di Musk”.

Un caso di omicidio a Calgary è stato rinviato a metà processo dopo che una sentenza della Corte Suprema ha aperto alla tesi della difesa che sostiene  che l’accusato di omicidio ha diritto alla privacy sul DNA dei suoi familiari.  Nel 2020, Leonard Cochrane, 53 anni, è stato accusato dell’omicidio di Barry Buchart e Trevor Deakins, uccisi nel 1994. La teoria dell’accusa è che Cochrane fosse uno dei due uomini mascherati che l’11 luglio 1994 si introdussero nella casa delle vittime per rubare droga o denaro. Il secondo sospetto non è mai stato identificato o accusato. Cochrane è stato arrestato e incriminato 26 anni dopo gli omicidi, quando la polizia è riuscita a confrontare il DNA dell’accusato con il sangue trovato sulla scena del crimine.L’investigatore Ken Carrier ha cercato nei siti web di genealogia come ancestry.com le corrispondenze parziali – membri della famiglia – con il DNA della scena del crimine. Il detective si è poi avvalso di genealogisti per costruire un albero genealogico utilizzando quei membri della famiglia e altre informazioni come i social media, i registri del censimento, i necrologi e gli archivi dei giornali. Alla fine Cochrane è stato identificato come sospetto. La polizia ha poi ottenuto segretamente un campione del DNA di Cochrane, che è risultato compatibile con il sangue lasciato sulla scena del crimine. Prima del processo di Cochrane, iniziato due settimane fa, il giudice Keith Yamauchi del tribunale di King’s Bench ha respinto la richiesta della difesa di opporsi all’inclusione della prova genetica genealogica, sulla base della violazione dei diritti della Carta dei diritti fondamentali dell’imputato. Ma a metà del processo, la Corte Suprema ha emesso una decisione che cambia il modo in cui i giudici possono respingere le richieste come quella di Cochrane. Yamauchi si dovrà pronunciare, dopo una serie di interrogatori,  sulla possibilità che l’accusato abbia una ragionevole aspettativa di privacy nel vedere esaminato e confrontato il suo DNA.

English version

Following revelations in 2021 that governments around the world had systematically used NSO-supplied spying software, a commission was established to investigate Pegasus. The text of the document produced, based on 15 months of investigation, also includes country-specific recommendations. The report was adopted by a vote of 30 in favor and 3 against; the recommendations received 30 votes in favor and 5 against. The two will be voted on by the entire Parliament in the next plenary session. The report is “the most comprehensive overview yet of the illegitimate use and trade of spyware within and across the EU,” the rapporteur, a member of the liberal, centrist Renew Europe party, told EURACTIV, adding that “the document paints an extremely alarming picture.” In a new set of recommendations, the Pegasus Parliamentary Committee on Spyware expressed concern about the EU’s “fundamental inadequacy” in dealing with domestic attacks on democracy and called for Council and Commission action to crack down on the sale and use of surveillance technology. The amended report contains a key change to the provision in the draft report dealing with the regulation of spy software. In order for spy software to continue to be used, the final version of the report requires EU countries to meet certain criteria by Dec. 31, 2023, referred to as a “de facto moratorium” by Green lawmaker Saskia Bricmont. The conditions they must meet include fully investigating alleged abuses, providing an appropriate regulatory framework in line with European law, explicitly committing to involve Europol in investigating its illegitimate use, and revoking export licenses that are not in line with the EU dual-use regulation. According to the resolution, the European Commission should assess whether these conditions have been met and publish its findings in a separate report by Nov. 30. The report also includes calls for action at different levels on a number of topics, including the rights of non-target individuals whose data is collected during surveillance, the inclusion of specific markers to help identify the technology used, and the establishment of a Commission task force to ensure the integrity of the 2024 European elections.

Twitter and its owner Elon Musk are facing criticism from some of the social network’s users after images of the victims of the Allen Premium Outlets mall shooting were posted on the platform . criticism that involves not only the images themselves that were deemed gory but also the privacy of the victims.  The release of the images on Twitter highlights changes in content moderation at the social media service under the leadership of billionaire Elon Musk, who bought the company last year and revised many of its policies. In an email to questions about these images, Twitter responded with a poop emoji, apparently with an automated response that comes to any request is sent to press@twitter.com. Ella Irwin, Twitter’s vice president for trust and security, did not respond to a request for comment. Musk has cut back on content moderation since he bought Twitter last year, firing employees who dealt with misinformation on the social media platform. Most large social networks have teams dedicated to monitoring hate speech and enforcing rules against harmful content, but with the advent of Musk, such content has proliferated. Some users have complained about images of the attack, in which a gunman killed eight people and injured many more, but it appears that the billionaire did not respond until Monday morning. In the days following the May 6 shooting, Musk tweeted a photo of himself on the cover of Time Magazine and posted a survey asking users if their feeds were as “compelling as possible.” “There is nothing virtuous or ethical about showing easily identifiable dead children and adults whose families may not yet know they are dead,” Emily Bell, professor and director of Columbia University’s Tow Center for Digital Journalism, wrote on Twitter. It is deeply unethical: it deprives victims and their families.

A murder case in Calgary has been postponed mid-trial after a Supreme Court ruling opened to the defense’s argument that the accused murderer has a right to privacy over his family members’ DNA.  In 2020, Leonard Cochrane, 53, was charged with the murder of Barry Buchart and Trevor Deakins, who were killed in 1994. The prosecution’s theory is that Cochrane was one of two masked men who broke into the victims’ home on July 11, 1994, to steal drugs or money. The second suspect was never identified or charged. Cochrane was arrested and charged 26 years after the murders, when police were able to match the accused’s DNA to blood found at the crime scene.Detective Ken Carrier searched genealogy websites such as ancestry.com for partial matches-family members-with DNA from the crime scene. The detective then used genealogists to construct a family tree using those family members and other information such as social media, census records, obituaries and newspaper archives. Cochrane was eventually identified as a suspect. Police then secretly obtained a sample of Cochrane’s DNA, which matched blood left at the crime scene. Before Cochrane’s trial, which began two weeks ago, Judge Keith Yamauchi of the King’s Bench court rejected the defense’s request to object to the inclusion of genealogical genetic evidence on the grounds that it violated the defendant’s Charter of Fundamental Rights rights. But midway through the trial, the Supreme Court issued a decision that changes the way judges can reject requests like Cochrane’s. Yamauchi will have to rule, after a series of interrogatories, on whether the defendant has a reasonable expectation of privacy in having his DNA examined and compared.