Civile.it
Civile.it
1. Introduzione: l'espansione dei servizi di identificazione on-line
L'utilizzazione crescente dei sistemi di identificazione on-line ha modificato il paesaggio di Internet. Sono sempre di più i siti web che propongono o richiedono ai visitatori di registrarsi, ad esempio perché forniscono informazioni confidenziali, offrono la possibilità di registrare le preferenze dell'utente, forniscono un servizio a pagamento o perché il loro servizio consiste nel consegnare dei prodotti. Tutti questi siti chiedono all'utente di dare alcune forme di identificazione, che spesso comprendono un indirizzo e-mail, e una forma di verifica, spesso una password.
L'utilizzazione della combinazione "nome utente/password" può comportare alcuni problemi per i providers:
- Gli utenti tendono a dimenticare la loro password. C'è un numero crescente di chiamate agli helpdesks o e-mail relative alle password dimenticate. I costi per ricreare la password diventano sempre più onerosi per i siti web.
- Sempre più utenti utilizzano metodi differenti per accedere ad Internet, richiedendo lo stesso servizio dallo stesso providers. I metodi di accesso possono variare dal punto di vista tecnologico, dall'accesso dal pc al Wap, ma molto più spesso l'accesso ad Internet viene effettuato da diversi pc, negli Internet-caffè o dalle biblioteche pubbliche. Quindi gli utenti devono ricordare diverse password.
- Infine, agli utenti non piace scrivere il nome utente e la password, poiché è sentito come un'interruzione della navigazione. Gli utenti tendono a minimizzare gli sforzi, cosa che produce password molto brevi che non sono sicure e molto spesso le stesse per siti diversi.
Qualunque soluzione ai tre problemi evidenziati richiede all'utente di delegare una parte dell'identificazione. Attualmente esistono quattro diverse possibilità disponibili:
- La gestione della password è delegata al browser del pc dell'utente, come fa ad esempio il sistema Mozilla.
- La gestione della password è delegata ad un proxy-server su Internet
- L'identificazione è delegata ad una terza parte che utilizzano specifico protocollo di identificazione. E' quello che fa Microsoft .NET Passport.
- L'identificazione è effettuata da una parte contraente in una "cerchia di fiducia". Viene utilizzato uno speciale protocollo, come ad esempio quello del progetto Liberty Alliance.
Queste possibilità vengono analizzate nei seguenti paragrafi:
1. Un gestore della password sul pc
Avere un gestore della password come parte dell'Internet browser risolve solo una parte del problema. Solleverà l'utente dal dover scrivere la password, minimizzando i rischi di perdita della password. Non risolve tuttavia il problema degli utenti che accedono ai servizi da diversi pc.
Dal punto di vista della protezione dei dati personali, la situazione è piuttosto semplice. L'intero software è gestito dal pc dell'utente ed è quindi sotto il suo diretto controllo. Non ci sono società esterne che controllano i dati. Viene chiesto all'utente se l'informazione deve essere incorporata nella banca dati del sistema di gestione della password. Dal punto di vista della sicurezza è necessario adottare adeguate misure per fare in modo che i dati raccolti siano protetti dagli attacchi.
2. Delegare ad un proxy-server
Invece di utilizzare un gestore delle password come il browser, la stessa funzione può essere delegata ad un server su Internet. Un proxy-server può servire diversi utenti; è quindi necessario registrare le passwords per ciascun utente rispetto ad ogni sito. Un utente, volendo usare le sue passwords, deve accedere al proxy-server. Il vantaggio di questo sistema è che si può accedere alle password da diversi pc o anche attraverso diversi metodi di accesso ad Internet.
Questi server non potremo mai diffondere le informazioni riservate dell'utente ad una terza parte senza il consenso dell'utente stesso. Se lo fanno, perdono la fiducia dei loro clienti e quindi la stessa condizione di esistenza. Normalmente ci sarà un contratto tra il server e il cliente. Il servizio verrà probabilmente pagato attraverso fonti diverse dalla pubblicità, possibilmente in combinazione col servizio offerto da un ISP.
3. Servizi di identificazione on-line con protocolli speciali
Nessuna delle soluzioni descritte fin qui richiede un cambiamento al sito web del service-provider. Un'altra possibilità è quella di fare l'identificazione attraverso uno speciale protocollo. L'architettura di base per questi protocolli è la stessa: ci sono tre parti: un utilizzatore finale, un service-provider ed un fornitore del servizio di identificazione. Prima di accedere al servizio del service-provider, l'utilizzatore finale viene identificato dal fornitore del servizio di identificazione. Quest'ultimo ha la fiducia del service-provider e accetta l'introduzione dell'utente.
L'architettura del .NET Passport utilizza un unico fornitore del servizio di identificazione, Microsoft. Il Passport contiene alcune informazioni per l'identificazione più alcune altre informazioni sul profilo dell'utente. In futuro, questi due tipi di informazioni dovrebbero essere sempre più separate. Un utente che accede al Passport ha un unico identificatore, un PUID. SE l'utente vuole accedere al service-provider chiede al Passport di fornire il PUID in una forma che sia leggibile per il service-provider.
La Liberty Alliance utilizza un modello federato. Un utente può conferire il suo account a due service-providers. Fatto questo, uno dei due accetterà l'introduzione dell'altro; l'altro service-provider fungerà da servizio di identificazione.
Il Gruppo di lavoro è consapevole dell'espansione dei servizi di identificazione on-line ed ha quindi deciso, alcuni mesi fa, di esaminare le implicazioni che questi sistemi hanno dal punto di vista della protezione dei dati personali. Essendo consapevoli dell'importanza di meccanismi sicuri di identificazione per garantire la sicurezza ed in particolare l'integrità di alcune transazioni elettroniche, in particolare quelle che coinvolgono pagamenti on-line, il Gruppo di lavoro intende sottolineare che lo sviluppo di questi servizi deve rispettare i principi di rispetto della protezione dei dati personali fissati nella Direttiva europea sulla protezione dei dati e dalle leggi nazionali adottate per dare esecuzione a tale direttiva comunitaria.
2. Caso di studio 1: Microsoft .NET Passport
. NET Passport è attualmente un'iniziativa di considerevole importanza in questo settore. Di conseguenza, il Gruppo di Lavoro ha realizzato un primo studio di questo sistema nella primavera del 2002. Dopo una prima analisi, il Gruppo di Lavoro ha concluso che, malgrado l'adozione da parte di Microsoft di alcune misure per la tutela dei dati personali, alcuni elementi del sistema .NET Passport continuavano a sollevare delle questioni legali e quindi richiedevano ulteriori analisi.
Nei mesi successivi, il Gruppo di lavoro ha iniziato un dialogo con Microsoft per migliorare la comprensione del funzionamento del sistema, per discutere le diverse questioni in gioco ed in particolare per valutare se i principi europei sulla protezione dei dati personali sono attualmente rispettati e, laddove appropriato, identificare elementi del sistema che necessitano alcune modifiche. A conclusione di questo dialogo Microsoft si è impegnata a realizzare i cambiamenti necessari per migliorare il sistema dal punto di vista della protezione dei dati personali.
L'impegno della Microsoft è documentato da diverse lettere al presidente del Gruppo di lavoro, il Professor Rodotà, e nell'ambito di una tabella di marcia che fissa le scadenze entro cui dovranno compiersi tutti i singoli passi. La diversa durata del periodo di implementazione è giustificata dalla diversa natura delle singole azioni. Alcune delle misure concordate, come ad esempio la revisione del testo della dichiarazione sulla Privacy di .NET Passport e la fornitura di informazioni aggiuntive sulle pagine della registrazione, sono semplici e possono essere realizzate rapidamente. Altre, come ad esempio il nuovo flusso di informazioni descritte di seguito, comportano importanti modifiche del sistema e necessitano quindi di un tempo maggiore per essere realizzate.
Il Gruppo di lavoro ha preso nota della tabella di marcia presentata dalla Microsoft per affrontare le questioni sollevate dal Gruppo. Questa tabella di marcia comprende tre diverse categorie temporali: prima categoria (0-4 mesi), seconda categoria (4-8 mesi), terza categoria (8-18 mesi). Il riferimento temporale verrà indicato tra parentesi dopo ciascuna misura. Alcune delle misure in questione sono già state realizzate ed indicate nel testo come pratiche correnti.
Breve descrizione del sistema Microsoft .NET Passport
NET Passport è un servizio di identificazione su Internet che offre singole sottoscrizioni attraverso diversi siti partecipanti allo scopo di far risparmiare tempo agli utenti ed evitare inserimenti di dati ripetitivi durante la navigazione in Internet.
E' stato creato nel 1999 ed è stato rinominato .NET Passport nell'estate del 2000. Attualmente ci sono più di 250 milioni di account nel mondo (un utente può avere diversi account se ha diversi Hotmail account). Più di 40 milioni di account appartengono a cittadini dell'Unione europea.
Ci sono diversi modi di ottenere un Passport:
- a www.passport.net
- attraverso un sito partecipante
- attraverso un account Hotmail
Circa l'87% degli utenti sottoscrive attraverso un sito partecipante o Hotmail, non direttamente al sito Microsoft. Circa 120 milioni di account appartengono ai sottoscrittori di Hotmail e un altro significativo numero di utenti sottoscrive attraverso Window Messenger. Hotmail è un servizio di e-mail utilizzato in tutto il mondo ed interamente gestito dalla Microsoft Corporation o da altre società controllate dalla Microsoft.
Attualmente vengono raccolti tre gruppi di dati personali:
1. Informazioni di base: nome utente (indirizzo e-mail) e password
2. Credenziali: domanda e risposta segreta, numero di telefono e pin, chiave di sicurezza e tre domande e risposte aggiuntive. Queste sono necessarie nei casi in cui l'utente abbia dimenticato la sua password. Queste informazioni non fanno parte del profilo e non vengono comunicate ad altri siti.
3. Informazioni sul profilo: le informazioni di cui sopra più il nome e il cognome, il genere, la data di nascita, l'occupazione e l'accessibilità. I siti partecipanti possono decidere di raccogliere ed elaborare direttamente dall'utente informazioni aggiuntive. Attualmente 69 siti esterni (non collegati a Microsoft) partecipano al .NET Passport, 22 dei quali sono siti dello spazio economico europeo.
2.2. Questioni legali e risultati del dialogo con la Microsoft
Nel documento del luglio 2002 il Gruppo di lavoro ha identificato una serie di questioni che dovevano ulteriormente essere analizzate. Nei paragrafi seguenti verrà dedicata particolare attenzione a ciascuna di queste problematiche e ai risultati del dialogo con la Microsoft.
E' importante notare che in aggiunta alle specifiche misure che verranno descritte nei paragrafi seguenti, la Microsoft ha deciso di cambiare il flusso di informazioni del .NET Passport. In sintesi, il servizio verrà ridefinito per separare chiaramente la creazione di un .NET Passport account dalla raccolta di informazioni sui dati personali. Questo nuovo flusso di informazioni dovrebbe avere un impatto positivo sull'equità della raccolta e dell'elaborazione dei dati personali. Il Gruppo di lavoro nota ciò con soddisfazione.
Iniziando lo studio del funzionamento del servizio .NET Passport il primo problema affrontato dal Gruppo di lavoro è stata l'assenza di un'informazione chiara e trasparente su questo sistema. Alcune delle informazioni disponibili erano poco chiare, non davano informazioni sulle principali questioni legate alla protezione dei dati (identità del controllore, ragione dell'elaborazione, diritti dei soggetti, destinatario dei dati, cose necessarie per garantire una corretta elaborazione) e a volte contenevano dichiarazioni contraddittorie.
Due questioni preoccupavano particolarmente il Gruppo di lavoro, cioè la mancanza di adeguate informazioni sul trasferimento dei dati personali a un paese terzo e sul legame tra Hotmail e Passport.
Nel frattempo, la Microsoft ha assunto l'impegno di adottare le seguenti misure per rispondere alle questioni di interesse del Gruppo di lavoro:
- Microsoft fornirà, come previsto dalla raccomandazione 2/2001 del Gruppo di lavoro, un programma guida con tutte le informazioni richieste dall'articolo 10 della direttiva in modo accessibile e semplice per l'utente. Verrà mostrato all'utente che si identifica come residente nell'Unione europea, un link a questo programma nella pagina di registrazione laddove l'utente indica il paese di residenza. Gli utenti che cliccano sul link, riceveranno il programma in una finestra laterale. Questo servizio sarà disponibile al più tardi nel mese di aprile 2003.
- Gli utenti verranno informati quando sottoscrivono un sito partecipante del paese in cui quel sito è collocato (8-18 mesi) ed avranno accesso ad un link alla pagina della Commissione europea che elenca i paesi le cui leggi sulla protezione dei dati sono state adeguate agli standards Ue (4-8 mesi).
- La Microsoft informerà gli utenti dell'Ue sulla durata del mantenimento dei dati (attualmente non più di 90 giorni) (0-4 mesi).
- Gli utenti verranno chiaramente informati su come possono aprire un account .NET Passport senza utilizzare il loro reale indirizzo e-mail, una funzione su cui più volte il Gruppo di lavoro aveva insistito. Al tempo stesso gli utenti verranno consigliati sui limiti di account pseudonimi in modo che possano effettuare una decisione consapevole (8-18 mesi).
- La Microsoft ha preso l'impegno di aggiornare in tutte le lingue la Dichiarazione sulla Privacy di .NET Passport (0-4 mesi)
- La Microsoft ha preso l'impegno di adottare una serie di azioni sulle informazioni date agli utenti Hotmail per garantire che quando l'utente sottoscrive Hotmail sta anche simultaneamente sottoscrivendo un account .NET Passport (pratica corrente); quando l'utente sottoscrive per Hotmail viene anche informato che può ottenere un account Passport e che non può chiudere l'uno senza chiudere anche l'altro (0-4 mesi).
Dopo una prima analisi del sistema , il Gruppo di lavoro ha avuto alcuni dubbi sulla validità e sulla qualità del consenso come base per l'elaborazione dei dati come richiesto dalla direttiva. In altre parole, non era convinto che il consenso dato dagli utenti fosse sufficientemente informato, dato liberamente e specifico, in particolare per quegli utenti registratisi attraverso Hotmail, o per la trasmissione dei dati personali ai siti partecipanti.
Com'è già stato spiegato, la Microsoft ha adottato e si è impegnata ad adottare una serie di misure di informazione volte ad assicurare che venga data agli utenti una corretta informazione. Inoltre, relativamente alle possibilità per gli utenti di decidere se offrire o meno informazioni personali a Passport, il nuovo flusso di informazioni permetterà agli utenti di comunicare informazioni personali al sito partecipante senza conservarle nel profilo Passport e di ottenere un account Passport pseudonimo senza raccogliere informazioni personali aggiuntive (8-18 mesi).
Gli utenti Hotmail verranno informati del fatto che quando si registrano per avere un account Hotmail i loro dati personali verranno utilizzati per spedire loro delle pubblicità (0-4 mesi). Ciò verrà fatto rendendo esplicito sulla pagina di registrazione di Hotmail che gli utenti accettano di ricevere pubblicità di Hotmail quando sottoscrivono i termini e le condizioni dei servizi di Hotmail.
Il Gruppo di lavoro ha inoltre discusso con la Microsoft la possibilità per gli utenti Hotmail di escludere le pubblicità. La Microsoft ha spiegato che una volta che gli utenti dispongono di un account Hotmail, possono escludere la pubblicità gratuita, ma ciò produce la chiusura del loro account. Gli utenti non possono disporre di un account gratuito senza ricevere la pubblicità perché è questa a generare il reddito che rende possibile il servizio di Hotmail gratuito.
Il Gruppo di lavoro considera che c'è la questione della conformità di questa pratica con la legislazione europea e continuerà a riflettere sulla questione in futuro. Considera, tuttavia, che questo problema è legato ad una questione specifica, cioè la pratica adottata da diverse società di legare l'offerta di un servizio all'obbligo per l'utente di accettare l'uso dei propri dati personali per scopi di marketing senza possibilità di escluderlo. La questione, distinta da quella specifica dei sistemi di identificazione on-line, che è il tema di questo documento di lavoro, verrà affrontata in futuro in un contesto più ampio.
Relativamente al consenso dato dall'utente ai siti partecipanti, il nuovo flusso di registrazione darà agli utenti un Passport che contiene solo nome utente e password separando la creazione di un account Passport dalla decisione di comunicare i dati personali ai siti partecipanti o di conservarli nel profilo (8-18 mesi). Gli utenti verranno informati del fatto che possono registrarsi per un Passport al sito web di Passport fornendo solo nome utente e password, e che se si registrano attraverso un sito partecipante, altre informazioni possono essere obbligatorie. Verrà inoltre inclusa una nuova funzione per garantire agli utenti di decidere per ciascun sito se intendono comunicare il loro profilo o meno. Il profilo dell'utente verrà riconfigurato per permettere agli utenti di riempire i settori che scelgono, lasciandone altri vuoti (8-18 mesi).
Il Gruppo di lavoro si è poi interessato alla quantità di dati raccolti attraverso Passport, in particolare i dati relativi al profilo ed il fatto che una volta che la persona crea un .Net Passport i dati personali vengono trasmessi ai siti partecipanti, a prescindere dal fatto che ciò sia necessario.
Il nuovo flusso di informazioni che la Microsoft dovrà creare, dovrà separare chiaramente la creazione di un account .NET Passport dalla decisione dell'utente di comunicare di comunicare informazioni personali al sito partecipante ed a .NET Passport. Gli utenti saranno in grado di scegliere se conservare o no l'informazione che scelgono di comunicare nel loro profilo .NET Passport.
Questi cambiamenti, in aggiunta al fatto che l'utente può decidere di non usare in suo reale indirizzo e-mail in alcuni casi, una volta messi in pratica realizzeranno le aspettative del Gruppo di lavoro, sebbene continuerà a monitorare la situazione in particolare considerando il ruolo di Microsoft come controllore di dati personali ed altre importanti informazioni fornite dagli utenti.
Un'altra preoccupazione del Gruppo di lavoro riguarda la mancanza di chiarezza sul livello di protezione garantito dai siti partecipanti.
Nelle discussioni col Gruppo di lavoro, la Microsoft ha chiarito che non controlla le pratiche di protezione dei dati dei siti partecipanti, ma che, attraverso i contratti con questi siti, impone un certo numero di controlli, ad esempio obbligandoli ad avere una politica della privacy importante e accessibile, ad adottare adeguate misure di sicurezza, a rispettare le leggi applicabili, e a non utilizzare i dati oltre quello che è necessario per il servizio effettuato senza il consenso dell'utente.
La Microsoft ha assunto l'impegno di compiere una serie di nuovi passi:
- rivedere la dichiarazione sulla privacy per affermare chiaramente che la Microsoft non controlla le pratiche di protezione dei dati dei siti partecipanti (0-4 mesi);
- incoraggiare l'adozione da parte dei siti partecipanti di servizi come TRUSTe o BBBOnLine (0-4 mesi);
- offrire ai siti partecipanti l'opportunità di informare gli utenti sulle finalità per le quali il sito utilizzerà i dati, sui destinatari e sulla durata della conservazione dei dati (8-18 mesi).
Il Gruppo di lavoro consiglia alla Microsoft di informare i siti partecipanti nel più breve tempo possibile della sua raccomandazione su alcuni requisiti minimi per la raccolta di dati personali on-line nell'Unione europea.
Il Gruppo di lavoro si è poi interessato al problema dell'esercizio dei diritti dei soggetti che sottoscrivono un account .NET Passport. La Microsoft ha ammesso l'esistenza di alcuni problemi e si è raggiunto l'accordo sulla realizzazione di alcune misure per facilitare l'esercizio dei loro diritti da parte degli utenti.
- Offrire una sintesi delle informazioni richieste dall'articolo 10 della direttiva (al più tardi nel mese di Aprile 2003).
- Informare gli utenti nella dichiarazione sulla privacy e nella mail introduttiva che dovrebbero rivolgere richieste di informazioni all'indirizzo: passpriv@microsoft.com (pratica corrente e 0-4 mesi).
- Rispondere alle richieste di informazioni provenienti dagli utenti Passport nella lingua del cliente, ammesso che sia una delle lingue in cui il servizio Passport è disponibile (0-4 mesi).
Dal mese di settembre 2002 per gli utenti è stato facile chiudere il loro account .NET Passport andando su passport.net e cliccando sul link "Servizio per i membri". Gli utenti vengono quindi guidati attraverso i passaggi che portano a chiudere l'account. Per gli account creati su passport.net, il processo è totalmente automatico. Viene presentata all'utente una pagina in cui si descrivono le conseguenze della chiusura di un account e viene fornito un bottone su cui cliccare per chiuderlo. Per gli account creati da Hotmail il processo è simile: l'utente viene diretto sul sito di Hotmail che presenta la pagina di chiusura.
Il Gruppo di lavoro ha anche esaminato i possibili rischi per la sicurezza, specialmente quelli associati alla concentrazione di dati in due grandi databases. Le preoccupazioni sono dovute anche al fatto che la Microsoft costituisce uno dei principali bersagli per gli attacchi degli hackers.
Il Gruppo di lavoro ha preso atto del fatto che la Microsoft ha realizzato un Programma per la sicurezza delle informazioni. Misure ulteriori sono:
- L'inclusione di appropriate misure di salvaguardia amministrative, tecniche e fisiche, compresa una nuova politica di sicurezza basata su ISO 17799.
- Assegnazione di un dipendente o di alcuni dipendenti al coordinamento e alla contabilità del Programma per la sicurezza delle informazioni
Conclusioni
Il Gruppo di lavoro accoglie favorevolmente le importanti azioni che la Microsoft ha già realizzato e si impregna a realizzare nei prossimi mesi per garantire l'adeguamento del sistema .NET Passport alla direttiva europea sulla protezione dei dati personali. Il Gruppo di lavoro seguirà ovviamente da vicino l'evoluzione del sistema nei prossimi mesi per osservare come le misure annunciate dalla Microsoft verranno poi adottate.
Il Gruppo di lavoro prende poi atto delle preoccupazioni, espresse anche dalle ONG, sulla creazioni di un sistema centralizzato per la raccolta dei dati personali. Il Gruppo continuerà a monitorare la situazione, tenendo conto della problematica della sicurezza.
