L’art. 25 GDPR impone di incorporare le garanzie nel servizio di ascolto e di segnalazione per soggetti vulnerabili “sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”.

In un canale di aiuto questo si traduce in decisioni molto concrete che non appartengono al lessico abituale della sicurezza informatica e che sono volte a determinare quali strumenti di terze parti bisogna eliminare dalla pagina, quali tracce occorre evitare di lasciare sul dispositivo della vittima e quali campi non bisogna chiedere affatto.

Il terzo capitolo di questa esalogia, dedicata alla protezione dei dati personali nei servizi di ascolto e segnalazione per soggetti vulnerabili, esamina il canale web, quello telefonico e i punti di contatto fisici alla luce degli artt. 5, 25 e 32 del Regolamento Generale sulla Protezione dei Dati, dell’art. 122 del Codice Privacy.

Il perimetro normativo della progettazione

L’art. 25, paragrafo 1 GDPR, richiede misure adeguate “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi”.

Il paragrafo 2 aggiunge l’obbligo di garantire, per impostazione predefinita, che siano trattati solo i dati necessari e che essi non siano resi accessibili “a un numero indefinito di persone fisiche” senza l’intervento della persona fisica.

Il considerando 78 esemplifica: ridurre al minimo il trattamento, pseudonimizzare il prima possibile, garantire trasparenza sulle funzioni, consentire il controllo.

Le Linee guida EDPB 4/2019 sull’art. 25 ne precisano l’attuazione.

L’art. 32, paragrafo 1 del General Data Protection Regulation, indica poi le misure tipiche -pseudonimizzazione e cifratura alla lett. a), riservatezza, integrità, disponibilità e resilienza alla lett. b) – richiedendo che siano adeguate al rischio.

Il considerando 83 chiarisce che il livello di sicurezza va commisurato ai rischi “che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale”.

In un servizio di aiuto la divulgazione non autorizzata ha un destinatario tipico e prevedibile: la persona segnalata.

Terze parti sulla pagina di aiuto: un problema regolato dall’art. 122 del Codice Privacy

La pagina che ospita il “pulsante di aiuto” sul sito web degli Enti del Terzo settore è, nella maggior parte dei siti, una pagina come le altre: eredita gli strumenti di misurazione statistica, i pixel delle piattaforme social, i font e le mappe caricati da domini esterni, talvolta un widget di chat commerciale.

Ognuno di questi elementi comporta un accesso a informazioni archiviate nel dispositivo dell’utente o l’archiviazione di informazioni in esso, condotta che l’art. 5, paragrafo 3, della Direttiva 2002/58/CE, recepito dall’art. 122 del Codice Privacy, subordina al consenso informato dell’utente, salvo il caso della stretta necessità tecnica.

Le Linee guida del Garante sull’uso dei cookie del 10 giugno 2021 e le Linee guida EDPB 2/2023 sull’ambito tecnico dell’art. 5, paragrafo 3, delimitano il perimetro.
Il problema, però, non si esaurisce nel consenso, come già evidenziato nel precedente capitolo.

Anche assumendo un consenso validamente raccolto, l’informazione che transita verso il terzo è la visita a una pagina che rivela una condizione riconducibile all’art. 9 GDPR.

Si aggiunge il profilo dei trasferimenti verso Paesi terzi disciplinato dal Capo V (artt. 44-49): il Garante, con il provvedimento del 9 giugno 2022 in materia di strumenti di statistica web, ha ritenuto illecito il trasferimento verso gli Stati Uniti in assenza di garanzie adeguate; la decisione di adeguatezza sull’EU-US Data Privacy Framework del 10 luglio 2023 ha modificato il quadro ma la sua stabilità è oggetto di contenzioso e non elimina la valutazione di necessità.

Come fare

La conclusione operativa è più semplice del ragionamento che la sostiene: la pagina di aiuto non deve caricare alcuna risorsa di terze parti.

Statistiche solo con strumenti ospitati sul dominio dell’Ente e configurati per non conservare identificativi, font e mappe serviti localmente, nessun pixel pubblicitario, nessuna chat commerciale.

È una misura a costo quasi nullo che elimina in radice una categoria di rischio.
Analoga cautela va riservata ai log del server: gli indirizzi IP sono dati personali e la loro conservazione va limitata al minimo tecnicamente necessario, in applicazione dell’art. 5, paragrafo 1, lett. e).

Lo stesso vale per i codici QR stampati sui manifesti affissi nei luoghi di sfruttamento: se il codice punta a un indirizzo tracciante, il manifesto diventa uno strumento di identificazione di chi lo ha letto.

La misura più importante riguarda il dispositivo della vittima

Nessuna norma nomina esplicitamente il dispositivo condiviso eppure è qui che si concentra il rischio descritto dal considerando 75.

L’obbligo di adottare misure adeguate al rischio (artt. 24, 25 e 32) impone quindi di considerarlo.

Le misure rilevanti sono minute e note a chi opera nel settore:

• un comando di uscita rapida, ben visibile, che sostituisca immediatamente la pagina con una neutra e ne impedisca il ritorno tramite il tasto indietro;
• la disattivazione del completamento e del salvataggio automatico dei campi;
• l’assenza di qualsiasi messaggio di conferma via posta elettronica o SMS, salvo richiesta esplicita dell’interessato;
• la possibilità di indicare fasce orarie e modalità sicure per essere ricontattati o di scegliere di non essere ricontattati affatto;
• l’avvertenza, redatta in linguaggio semplice ed in più lingue, su come cancellare la cronologia e su cosa fare se il dispositivo è controllato da altri.

Inoltre, si valutano le tracce che il canale telefonico lascia sul dispositivo della persona.

Una chiamata in uscita verso un numero riconoscibile compare nel registro chiamate e, in molti casi, nella documentazione di traffico intestata al soggetto che paga l’utenza.

Numeri non parlanti, possibilità di richiamata programmata e canali alternativi sono, anche qui, misure di sicurezza in senso tecnico-giuridico.

Il canale telefonico e le registrazioni

La registrazione della voce merita un esame autonomo.

Il contenuto della registrazione è un dato personale e, nel merito, di categoria particolare; la voce di per sé non è dato biometrico ai sensi dell’art. 4, n. 14, a meno che non sia trattata “attraverso trattamenti tecnici specifici” per l’identificazione univoca – condizione che si realizza, per esempio, se si adottano sistemi di riconoscimento del parlante.

Laddove si è valutata la reale necessità di procedere con una registrazione della voce, sapendo che questa potrebbe fungere da deterrente per il segnalante, gli adempimenti necessari sono quattro.

L’informazione preventiva ex art. 13 GDPR va resa prima dell’inizio della registrazione, in forma sintetica, in più lingue e con rinvio all’informativa completa.

La base giuridica va individuata coerentemente con quanto visto nell’articolo precedente.

L’accesso alle registrazioni va limitato alle persone autorizzate ex art. 29 GDPR e art. 2-quaterdecies del Codice Privacy.

Il tempo di conservazione va predeterminato e differenziato: la registrazione grezza non deve sopravvivere alla sintesi che ne viene tratta, salvo necessità documentate.

La trascrizione automatica

Un’avvertenza sui servizi di trascrizione automatica: se il fornitore è esterno, è un responsabile ex art. 28 GDPR e va valutato anche sotto il profilo dei trasferimenti.

Molti servizi di trascrizione basati su modelli linguistici non offrono, nella configurazione standard, garanzie compatibili con dati di questa natura.

Misure analoghe si applicano anche qualora, dopo la prima segnalazione, si attivino ulteriori colloqui telefonici con l’interessato, eventualmente con il coinvolgimento di specialisti – psicologi, legali, assistenti sociali, educatori professionali – che operano in qualità di soggetti autorizzati e vincolati al segreto professionale.

In tali circostanze, la registrazione delle conversazioni potrebbe costituire un deterrente significativo, scoraggiando il segnalante dal proseguire nel percorso di ascolto e accompagnamento.

Ciò rischierebbe di compromettere l’efficacia complessiva dell’iniziativa, che si fonda proprio sulla possibilità di instaurare un dialogo protetto, riservato e orientato alla tutela della persona.

Minimizzazione applicata al modulo

Il principio di minimizzazione (art. 5, paragrafo 1, lett. c) e considerando 39 GDPR) è da tradurre in scelte di interfaccia.

Il modulo iniziale di contatto dovrebbe richiedere un solo dato – la modalità di ricontatto, se l’interessato desidera essere ricontattato – e offrire un campo libero per il racconto.

Ogni campo strutturato aggiuntivo (nazionalità, età, tipo di violenza subita, nome dell’autore) produce un dato di categoria particolare o di cui all’art. 10 prima ancora che un operatore abbia potuto valutarne la necessità.

Vale inoltre una considerazione già presente nell’impostazione originaria del tema: il colloquio, telefonico o di persona in un punto di contatto fisico, consente all’operatore esperto di raccogliere informazioni più pertinenti e più utili di quante ne produca un modulo dettagliato, e con minore accumulo di dati non necessari.

È, in termini giuridici, un’attuazione del principio di minimizzazione non una sua deroga.

Un’ultima notazione: se il servizio adotta strumenti di classificazione automatica delle segnalazioni con effetti sulla presa in carico, occorre verificare l’applicabilità dell’art. 22 GDPR sulle decisioni automatizzate e bisogna comunque prevedere l’intervento umano.

Tale soluzione dovrebbe essere valutata attentamente e solo in presenza di un numero rilevante di segnalazioni.

Un altro punto di attenzione la pagina dei contatti

Nel primo articolo dell’esalogia si chiarisce che il “pulsante di aiuto” non costituisce una variante grafica della pagina “Contatti”.

Ciò è corretto, ma non esclude che un segnalante – soprattutto in presenza di barriere linguistiche o di difficoltà nell’orientarsi sul sito – possa ritenere più semplice, immediato o comprensibile utilizzare la pagina “Contatti” per finalità analoghe a quelle per cui è avvenuta la progettazione del pulsante di aiuto.

Questa eventualità può verificarsi con una frequenza superiore a quella intuitivamente prevedibile.

Ne derivano le seguenti implicazioni operative:

• le stesse misure di protezione dei dati applicate al “pulsante di aiuto” devono essere estese anche ai contenuti provenienti dalla pagina “Contatti”;
• il pulsante di aiuto deve essere chiaramente visibile sin dalla homepage, così da orientare l’utente verso il canale corretto;
• la pagina dei contatti deve includere un link immediatamente riconoscibile al pulsante di aiuto, per ridurre il rischio di utilizzi impropri del canale.

Il punto di contatto fisico

A seguito di una segnalazione, il segnalante potrebbe essere invitato a un colloquio presso un punto di contatto fisico – uno sportello dedicato o un ambiente protetto.

Pur trattandosi di un tema laterale rispetto al nucleo dell’esalogia, è opportuno evidenziare le seguenti considerazioni:

• registrazioni e raccolta di documentazione (ad esempio la stesura di una testimonianza) devono essere gestite secondo le medesime cautele già richiamate per gli altri canali;
• videosorveglianza e videoregistrazione devono essere escluse o limitate ai casi di stretta necessità, come la tutela del personale o dell’utenza da possibili aggressioni;
• la disposizione fisica dei locali deve essere coerente con le esigenze di riservatezza e protezione dell’interessato;
• la presenza di un mediatore culturale può risultare essenziale per garantire un supporto adeguato, soprattutto in situazioni di fragilità comunicativa; anche in questo caso si tratta di un soggetto autorizzato, da valutare se vincolato al segreto professionale;
• le informazioni dovrebbero essere disponibili, per quanto possibile, in più lingue, così da ridurre le barriere di accesso e favorire una comunicazione realmente inclusiva.

Pulsante di aiuto nel Terzo settore: come progettare il canale ai sensi del GDPR

La progettazione del canale è il punto in cui il diritto della protezione dei dati produce i suoi effetti più tangibili.

Tre misure valgono, in questo contesto, più di qualunque procedura:

• nessuna risorsa di terze parti sulla pagina di aiuto;
• nessuna traccia non necessaria sul dispositivo della persona;
• un solo dato richiesto all’ingresso.

Sono tutte riconducibili agli artt. 25 e 32 GDPR e tutte documentabili nella valutazione d’impatto di cui parleremo nell’ultimo articolo della nostra esalogia.

Nel prossimo capitolo passeremo dalle infrastrutture alle parole.

Analizzeremo l’informativa come obbligo giuridico e come patto di fiducia: gli artt. 12, 13 e 14 GDPR, le deroghe del paragrafo 5 dell’art. 14 nei confronti della persona segnalata, il regime dei minori alla luce dell’art. 8 e del considerando 38 GDPR e il punto più delicato – che cosa dire quando la riservatezza dovrà comunque cedere di fronte a un obbligo di legge.