giovedì 23 dicembre 2010

RFID: una sfida sul fronte privacy


Tra le tecnologie più innovative degli ultimi tempi che pongono non pochi problemi in tema di privacy rientrano senz’altro le RFID.
Rfid è un acronimo (Radio Frequency ID Devices), in italiano etichette di identificazione a radiofrequenza, con cui si indicano dispositivi microscopici simili a microchip contenenti un identificativo (ad esempio, un numero di serie), che è possibile riconoscere attraverso un lettore compatibile funzionante in radiofrequenza.
Tali tecnologie si fondano sull’utilizzo di micro-processori che, collegati ad un’antenna ed impiegati come etichette di riconoscimento (cd. etichette intelligenti), sono in grado di trasmettere –attraverso onde radio– segnali leggibili da appositi lettori dotati di un’antenna di attivazione/ricezione.
La Rfid rappresenta uno strumento utile in numerosi settori e per diverse finalità: essa può essere impiegata, ad esempio, per il “tracciamento” di singole unità di prodotto nella catena di distribuzione dell’industria; per la prevenzione di furti e di contraffazioni dei prodotti; per garantire una maggiore rapidità nelle operazioni commerciali; per il controllo degli accessi ad aree riservate.
Ma attraverso le cd. “etichette intelligenti” si possono trattare, anche senza che l’interessato ne sia a conoscenza, innumerevoli dati personali che lo riguardano, compresi quelli di natura sensibile; raccogliere dati sulle abitudini del medesimo ai fini di profilazione attraverso l’aggregazione con altre informazioni di carattere personale; verificare prodotti (vestiti, accessori, medicine, ecc.) indossati o trasportati; tracciare i percorsi effettuati.
I possessori di queste etichette non sono sufficientemente consapevoli del rischio che corrono, difatti ogni persona dotata del dispositivo di lettura può accedere ai dati registrati nell’etichetta per seguire le tracce delle persone senza il loro consenso.
In questo settore il problema privacy sta diventando molto delicato perché tale tecnologia presenta enormi potenzialità: in prospettiva, anche in vista dell’ulteriore sviluppo tecnologico, dell’abbattimento dei costi di produzione, della possibilità di integrazione con altre infrastrutture di rete (telefonia, Internet, ecc.), le tecniche di identificazione via radio-frequenza potranno avere un impiego sempre maggiore e nei più diversi settori.
In effetti già oggi in molti paesi le patenti sono dotate di etichette Rfid come le carte di credito, i bancomat, oltre a milioni di badge. Sono allo studio in Cina anche le carte di identità intelligenti con tali etichette. La questione privacy, in tali casi, diventa ancora più inquietante poiché quando la Rfid è associata ad un’identità personale, come nel caso della carta di credito, l’etichetta agisce “per procura” del titolare, cioè senza il suo diretto coinvolgimento.
Lo scenario nemmeno tanto futuro vedrà quindi un pieno utilizzo delle rfid in vari settori come in quello dei viaggi (pass, portachiavi, passaporti elettronici, patenti di guida, bagagli), luoghi di lavoro (chiavi elettroniche, tessere identificative, forniture mediche, braccialetti per i pazienti), scuole e biblioteche (tesserini identificativi, libri), punti di vendita (merci inventariate).
Occorre tenere altresì presente che più gravi pericoli per gli interessati possono derivare dal prevedibile incremento della potenza dei sistemi di Rfid (i quali potrebbero rendere fattibile una “lettura” delle etichette a maggiori distanze) nonché – specie in ragione dell’adozione di standard tecnici comuni – dalla possibilità che terzi non autorizzati “leggano” i contenuti delle etichette o intervengano sugli stessi (mediante, ad esempio, “riscrittura”).
Per questi motivi il Garante ha svolto una prima attività di approfondimento della materia (provvedimento generale del 9 marzo 2005) rivolgendo l’attenzione al possibile impatto che le tecniche di identificazione via radio possono già avere sulle condizioni di esercizio delle libertà delle persone e alle problematiche che la loro introduzione è destinata a sollevare relativamente all’applicazione della normativa sulla tutela dei dati personali.
Del resto l'obiettivo annunciato dalla Commissione europea attraverso una Comunicazione diffusa all'esito di una consultazione pubblica conclusasi nel 2006 è proprio una politica europea per i sistemi Rfid che coniughi l'esigenza di sfruttare le potenzialità di questa tecnologia con l'attenzione alla tutela della privacy ed ai possibili rischi per la salute e l'ambiente.
Tale obiettivo però non è stato seguito da una regolamentazione di carattere comunitario. Difatti Viviane Reding nel 2007 in qualità di Commissario Europeo per i media e la società dell’informazione, annunciò che la Commissione non avrebbe regolamentato la tecnologia Rfid, ma avrebbe permesso ai mercati di autoregolarsi.
Tra le prescrizioni impartite con il provvedimento del 2005 il Garante ha sancito che oltre al principio di necessità va rispettato il principio di liceità (art. 11, comma 1, lett. a), del Codice). Il trattamento mediante questi nuovi sistemi è lecito solo se si fonda su uno dei presupposti che il Codice prevede, rispettivamente, per i soggetti pubblici da un lato (svolgimento di funzioni istituzionali: artt. 18-22) e, dall'altro, per soggetti privati ed enti pubblici economici (ad es., adempimento ad un obbligo di legge, o consenso libero ed espresso: artt. 23-27).
Inoltre, il titolare (art. 4, comma 1, lett. f)) può trattare dati personali esclusivamente per scopi determinati, espliciti e legittimi (art. 11, comma 1, lett. b)). I dati possono essere inoltre utilizzati soltanto in termini compatibili con la finalità per la quale sono stati originariamente raccolti; devono essere conservati per il tempo strettamente necessario a perseguire tale finalità, decorso il quale devono essere cancellati o resi anonimi (art. 11, comma 1, lett. b) e e) del Codice).
Il titolare deve verificare il rispetto del principio di proporzionalità in tutte le diverse fasi del trattamento. I dati trattati e le modalità del loro trattamento, anche con riferimento alla tipologia delle infrastrutture di rete adoperate, non devono risultare sproporzionati rispetto agli scopi da prefissare.
Il titolare del trattamento, nel fornire agli interessati la prescritta informativa precisando anche le modalità del trattamento (art. 13 del Codice), deve indicare la presenza di etichette RFID e specificare che, attraverso gli stessi strumenti è possibile raccogliere dati personali senza che gli interessati si attivino al riguardo.
Il titolare del trattamento deve agevolare l'esercizio, da parte dell'interessato, dei diritti di cui all'art. 7 del Codice, semplificando le modalità e riducendo i tempi per il riscontro al richiedente (art. 10, comma 1 del Codice).