Civile.it
Civile.it
Da tempo si parla di indirizzo ip e dati personali.
Di recente in una lista di esperti si e' parlato del tema.
Uno dei piu' attenti ha notato che in Francia vi e' contrasto tra la giurisprudenza e l'autorità in materia.
I giuristi sono sono dilungati sulle conseguenze della normativa.
I piu' tecnici si sono soffermati su "cosa e' ip".
TECNICAMENTE
L'ip nasce per identificare una macchina che si collega ad una rete. Quando ci si collega a internet l'ip lo da' l'internet provider.
Questo puo' essere dinamico, e cambiare ad ogni collegamento (e non solo), o fisso.
Puo' anche essere fisso ma cambiare ugualmente.
Sempre tecnicamente una macchina connessa con un ip puo' essere usata
- dal titolare
- all'insaputa del titolare
- con tecniche elusive adottate dal titolare
Cioe', mi collego e navigo, senza fare nulla di speciale.
Oppure mi trovo uno spyware, un troiano o altri "virus" nel senso ampio del termine, e un utente su internet usando a mia insaputa da remoto il mio pc fa cosa che non si devono (e' un reato).
Oppure io mi collego ad un servizio che mi consente di navigare in forma anonima, utilizzando l'ip del servizio.
Ci sono anche altre possibilità: l'ip puo' essere quello che la rete offre: fastweb fino a qualche tempo fa usciva con lo stesso ip per conto di tutti i suoi clienti.
Per non parlare dei domini sul web che spesso condividono lo stesso ip con altri domini.
L'IDENTIFICAZIONE
L'identificazione del titolare di indirizzo ip e' tutto fuorche' agevole. Lo sa fare la polizia postale. Su internet invece l'unico servizio che puo' interessare in materia e' quello che indica la zona di collegamento: io risulto in lombardia, ben lontano da Milano. Insomma, funziona con una approssimazione di qualche centinaio di chilometri.
La legge antiterrorismo pero' impone l'identificazione di chi comunica. Vorrei dire che anche il gestore di un sito, che voglia difendersi dall'attività degli utenti, deve tracciare (informando) l'ip, in modo da poter dimostrare: non l'ho fatto io, ma qualcuno con questo ip a questa ora.
L'identificazione resta un lavoro da polizia postale, anche se c'e' da prendere atto che vi e' una società svizzera che usando un certo software memorizza l'indirizzo ip degli utenti, e sulla base di questo richiede agli operatori di comunicazione l'identificazione perche' utenti p2p di file piratati.
Come funzioni questo software non e' dato sapere. L'aver preteso gli ip per agire e' preoccupante almeno quanto l'aver raccolto dati per indagare qualcuno, senza sapere come sono state raccolte le prove.
Le cartelle di scambio create nell'installazione di software p2p possono essere usate per scambiare musica, ma c'e' stato un esercizio arbitrario delle proprie ragioni, un accesso illecito, installazione di software all'insaputa dell'utente, oppure e' un comportamento lecito ?
Le indagini difensive degli avvocati dovrebbero aiutare a capire i limiti delle indagini. Ma credo che sul punto umiltà imponga di attendere la pronuncia di un giudice.
SONO DATI PERSONALI ?
La targa di una macchina lo e': la identifica e con essa il proprietario tramite i pubblici registri.
Il codice di serie di un pc, di un macchina fotografica, no.
L'indirizzo ip PUO' non dire nulla o dire qualcosa. Ognuno provi a cercare il proprio indirizzo ip su internet: troverà migliaia di documenti che non gli corrispondono.
E' per lo meno un dato anonimo. Ritengo persino che in molti casi non sia nemmeno un dato con caratteristiche di staticità e continuità del tempo tali da rendere identificabile qualcuno. Per gli operatori di comunicazione e' diverso, ma per chiunque altro non saprei proprio come identificare qualcuno con un ip.
Il trattamento di questi numeri, dati si', personali non sempre, ovviamente e' opportuno che sia dichiarato, ma non per il motivo che si crede.
In effetti quando un utente fa qualcosa sul web puo' essere tracciato. Se lascia propri dati potrebbero essere usati in tanti modi. Per questo e' opportuno in ogni "momento di interazione" dove si lasciano dati personali avvertire ex art 13 dei diritti di cui all'art. 7, rinviando alla privacy policy.
Cioe' quello che sostengo e' che per chi opera con trasparenza su internet e' sufficiente informare di quali dati sono registrati e per che finalità. Potrebbe anche non esserci un trattamento: ogni volta che vi scrivono una email provate a guardare gli header, ma per questi dati non c'e' trattamento apposito.
Ugualmente qualcuno lascia uno scritto sul web: io gestore devo potermi tutelare dagli illeciti. Quindi nei forum, nei commenti, e in ogni spazio pubblico la registrazione dell'ip SENZA TRATTAMENTO del relativo dato, non puo' essere visto come qualcosa di negativo, ma come unico strumento che ha una persone per dire a chi indaga: non sono stato io, non so chi e' stato, ma tu poi scoprirlo.
In nome della libertà non si puo' dare spazio ai pedofili senza che vengano individuati da chi puo' farlo.
ALL'ESTERO
Ci sono affermazioni in un senso e nell'altro, sia nel tempo, che nello spazio, sia per istituzione.
Vi e' quindi una certezza: se l'ip e' da solo, non identifica nessuno.
Se l'ip viene associato ad altre informazioni, puo' aiutare ad identificare qualcuno e profilarlo, ma questo compito richiede un software che memorizzi tali informazioni associandole tra di loro ed elaborandole congiuntamente: ecco: il trattamento cosi' fatto porta a profilazione, ed e' tutt'altro dal mero uso di indirizzo ip.
IP SPOOFING
Una tecnica da conoscere, che qui citiamo solamente per ora, e' l'ip address spoofing, che dimostra come e quanto facilmente un ip possa essere falsificato.
"IP spoofing Da Wikipedia, l'enciclopedia libera. Vai a: Navigazione, cerca In una rete di computer, con il termine di IP spoofing si indica una tecnica tramite la quale si crea un pacchetto IP nel quale viene falsificato l'indirizzo IP del mittente." (IP spoofing - Wikipedia)
CONCLUSIONI
La questione e' dibattuta, e la mia posizione puo' essere considerata una delle varie in materia. Forse, tra tutte, la mia e' piu' legata al dato tecnico, distinguendo tra momento di raccolta e momento di elaborazione. Nell'analisi, in concreto, dei due momenti, si puo' arrivare a definire quale trattamento (lecito o illecito) vi e' di dati personali, se i dati trattati sono elaborati perche' diventino personali.
Perche' altrimenti vedo solo la Polizia Postale in grado di sapere a chi corrisponde un ip. Grazie ad accordi con polizie all'estero. E questo la dice lunga su quanto un ip, da solo, posso identificare qualcuno, e quindi essere dato personale.
Sembra che il Garante, stimolato dall'episodio Peppermint, stia per fare qualcosa in materia. Lo leggeremo con attenzione.
Ma ci sono fattispecie dove la raccolta dell'indirizzo ip e' lecita e altre palesemente abusive. Nel grigio i furbi ahime' la fanno da padroni, ma come diciamo spesso, coi computer ci sono tali e tante tracce, che pensare di farla franca e' sciocco in partenza.
Invito gli amici esperti di privacy a scrivermi per dirmi cosa ne pensano: sara' interessante discuterne.
Dalla newsletter del Garante della Privacy sul caso francese Newsletter 255 del 9 - 15 maggio 2005:
La lotta alla pirateria informatica in Francia
Il Garante francese autorizza per la prima volta le aziende produttrici di videogiochi a raccogliere gli indirizzi IP degli utenti Internet
La CNIL, ossia l'autorità francese per la protezione dei dati (Commission Nationale de l'Informatique et des Libertés), ha autorizzato per la prima volta un trattamento automatizzato per l'individuazione di reati contro la proprietà intellettuale (www.cnli.fr - "Actualité"). Le aziende che producono programmi per videogiochi ed altro software analogo potranno avvertire chi scarica tali programmi senza licenza e/o li mette a disposizione altrui che sta commettendo un reato, ed in alcuni casi specifici potranno raccoglierne l'indirizzo IP (il numero assegnato al nostro computer ogni volta che ci connettiamo ad Internet e che lo identifica in modo univoco), per istruire un procedimento giudiziario.
L'autorizzazione emanata dalla CNIL è la prima nel suo genere. La legge francese di protezione dati, emendata nel 2004, prevede la possibilità di trattare dati personali relativi a reati, condanne e misure limitative della libertà personale per tutelare la proprietà intellettuale ed il copyright, previa autorizzazione della CNIL.
La possibilità di raccogliere automaticamente gli indirizzi IP è stato proposto dalla SELL, ossia l'associazione francese degli editori di programmi per giochi e intrattenimento, e riguarda soltanto i programmi inclusi nei cataloghi degli editori che sono membri della SELL.
La CNIL ha giudicato che la configurazione del trattamento proposto fosse tale da assicurare il bilanciamento fra rispetto della privacy e diritto d'autore. In particolare riguardo a due questioni.
La prima è relativa all'invio di messaggi di avvertimento, che viene previsto solo per gli utenti che scaricano o mettono a disposizione programmi di videogiochi,. I messaggi avranno il solo scopo di segnalare che si sta commettendo un atto illecito per cui sono previste determinate sanzioni. Nessuna informazione relativa agli utenti sarà conservata dalla SELL. In particolare, l'indirizzo IP dei navigatori Internet, ai quali i messaggi sono inviati, non potrà essere conservato o utilizzato per redigere un verbale per il reato – ad eccezione dei casi sotto indicati.
La seconda questione è relativa proprio alla possibilità di raccogliere gli indirizzi IP di alcuni utenti per redigere un verbale per il reato. Tale possibilità sarà ammessa esclusivamente in alcuni casi limitati, caratterizzati dalla gravità del reato contestato. I verbali redatti dalla SELL saranno utilizzati per istruire un procedimento giudiziario, e soltanto in tale ambito sarà possibile associarvi altri dati identificativi (risalendo al nominativo dell'utente/abbonato che ha operato lo scaricamento).
A proposito della tutela del copyright e della lotta alla pirateria informatica, le Autorità per la protezione dei dati partecipanti alla Conferenza mondiale di Wroclaw (Polonia), nel 2004, avevano adottato una dichiarazione "sugli aggiornamenti automatici del software" (v. Newsletter 20 - 26 settembre 2004). Con questo documento le aziende produttrici di software sono state invitate a procedere all'aggiornamento on line del loro software soltanto con il consenso informato dell'utente, secondo modalità trasparenti. I Garanti hanno ricordato il principio per cui si dovrebbe chiedere agli utenti di comunicare dati personali esclusivamente quando questo risulti effettivamente necessario per effettuare l'aggiornamento on line.
L'uso degli Ip address da parte di Yahoo:
"# Yahoo! riceve indirizzi IP da tutti i suoi utenti, dal momento che questi vengono forniti in automatico dai browser stessi ogni volta che un utente visita una pagina Web. # Il tuo indirizzo IP viene inoltre memorizzato, nel corso della registrazione su Yahoo!, nei nostri database di utenti registrati. # Gli indirizzi IP possono essere utilizzati da Yahoo! per svariati scopi, fra cui:" (Yahoo! Privacy)
LINK sull'ip address e privacy
"Privacy Policy Implications As of March 1998 the vast majority of privacy policies, both in the public and private sectors, fail to properly explain IP address collection as the collection of personally identifiable information. Sites such as FTC.GOV and CONSUMER.GOV have incorrect information concerning this issue. These policies indicate that only a domain name is captured. Some commercial web sites (such as VISA.COM) have copied this incorrect information and made it part of their own policy. Other industry privacy policy templates, such as those offered by the Direct Marketing Association and the Information Industry Association, overlook IP address collection. A site's policy must also be coordinated with the policies of third parties that capture IP addresses from their site visitors (such as banner ad networks). Sometimes the banner ad network's policy is more import since it has the potential to track users across several sites rather than activity at a single site." (The IP Address: Your Internet Identity)
"Check IP Address | What is my IP | Test my IP | Check IP Proxy Test | Detect IP Every time you surf the web you leave traces of your Internet activity that can reveal your real-life identity. Any web resource you access can gather and record usage information about you such as your IP address, location, time of day, browser type, browser language, software configuration, operating system you are using, web pages last visited and other information that you might want to keep confidential." (IP check IP address. Whats my ip address. Test my IP test. Hide IP address. Free Hide IP address software. Hide my ip location. Change ip address changing ip software. How block my ip address. Hiding ip address. Check IP Proxy test. What is My IP Address Location. Free Check IP location. IP check. IP address check. Free Check my ip country. Detect my IP whois Lookup. Geo IP country Location. Check my ip checking)
"The revelation of IP addresses, non-personally-identifiable profiling, and so on might become acceptable trade-offs for the convenience that such users would otherwise lose in using the workarounds needed to suppress such details rigorously. On the other hand, some people desire much stronger privacy. In that case, they may use Internet anonymity to ensure privacy" (Internet privacy - Wikipedia, the free encyclopedia)
"Non utilizzano Ip Address (indirizzi di Protocollo internet) per la raccolta di informazioni, ma li memorizzano nei dati di navigazione." (LA POLITICA PRIVACY DEL SITO)
"Rispetto all’IP Address: sono raccolti per effettuare controlli sulla provenienza delle informazioni che gli utenti comunicano attraverso la compilazione dei form messi a disposizione sul sito. Sono archiviati in base dati unitamente alle informazioni trasmesse. " (Privacy)
Link sull'IP spoofing:
"Another consequence, specific to TCP, is sequence number prediction, which can lead to session hijacking or host impersonating. " (IP Spoofing: An Introduction)
"IP spoofing Da Wikipedia, l'enciclopedia libera. Vai a: Navigazione, cerca In una rete di computer, con il termine di IP spoofing si indica una tecnica tramite la quale si crea un pacchetto IP nel quale viene falsificato l'indirizzo IP del mittente." (IP spoofing - Wikipedia)
