29/09/2024

Negli ultimi giorni, la regolamentazione dell’intelligenza artificiale in Europa e il dibattito a essa legato hanno subito un’evoluzione significativa. E sul campo si sono delineati due approcci distinti da parte delle Big Tech, configurando una sorta di rottura del fronte compatto che finora aveva contraddistinto i colossi del digitale.

Da un lato, l’AI Pact – a cui hanno aderito aziende come Microsoft, Google e Amazon – un accordo volontario promosso dalla Commissione europea per stabilire linee guida temporanee in attesa dell’entrata in vigore dell’AI Act il 2 agosto 2026. Dall’altro, la lettera aperta firmata da Meta e altre multinazionali (tra cui Spotify, EssilorLuxottica, Exor), che esprime preoccupazioni sulla normativa in fase di definizione. Questi sviluppi mettono in luce le tensioni tra l’innovazione e il quadro normativo che l’Unione Europea sta cercando di costruire, con l’obiettivo di bilanciare protezione dei diritti, progresso tecnologico e sviluppo di sistemi di IA umano-centrici.  In particolare, l’AI Pact, è un’iniziativa volta a supportare le aziende a pianificare in anticipo l’attuazione delle misure della legge sull’IA su impegno volontario e a cui le imprese possono aderire facilmente dalla pagina ufficiale.

Un’altra voce entrata nel dibattito europeo sull’IA qualche settimana fa è stata quella del Rapporto sul futuro della competitività di Mario Draghi, il cui pensiero influenza profondamente il panorama politico europeo. L’ex presidente del Consiglio e governatore della Banca centrale europea riconosce l’importanza di adottare normative che proteggano i diritti fondamentali, ma allo stesso tempo sottolinea la necessità di promuovere l’innovazione e di mantenere l’Europa competitiva nel panorama mondiale. Inoltre, mette in guardia sul rischio di una regolamentazione eccessivamente burocratica che potrebbe soffocare la crescita del settore tecnologico europeo, suggerendo che sia necessario un equilibrio tra il controllo normativo e lo sviluppo economico.

L’iniziativa dell’AI Pact, la lettera aperta di Meta (e altre) e la posizione di Draghi sottolineano le sfide geopolitiche e normative che vanno a incidere sulla regolamentazione dell’IA. Un processo che nel Vecchio continente sta raggiungendo un punto critico. L’Unione europea, con la sua attenzione ai diritti dei cittadini, cerca di evitare rischi futuri dovuti alla divulgazione e all’utilizzo di dati sanitari, sulla sicurezza e sui diritti fondamentali; le grandi aziende tecnologiche (tra cui Meta), invece, chiedono una regolamentazione meno frammentata. Draghi, dal canto suo, invita a mantenere un approccio flessibile e strategico per favorire il progresso tecnologico senza compromettere la sovranità digitale europea.

Senz’altro, per gli addetti ai lavori, una delle sfide che si prospettano all’orizzonte, sarà proprio quella di far accettare alle aziende, non solo alle Big Tech, la “burocrazia” che il regolamento europeo sull’IA potrebbe comportare. Il regolamento introduce nuove regole per tutti gli operatori del settore, sia fornitori sia utilizzatori, i quali dovranno adeguarsi a nuovi modelli di conformità e a un quadro normativo in continua evoluzione. Sarà fondamentale adottare politiche di governance e programmi di alfabetizzazione digitale per garantire un utilizzo sicuro e responsabile delle tecnologie IA. Si tratta quindi di bilanciare da un lato principi che non sono trattabili (il regolamento vieta alcuni sistemi di AI) e le necessità del libero mercato (che porta nuove opportunità).

Ad avvalorare la tesi che l’Europa sia decisa a giocare un ruolo da leader nella regolamentazione delle nuove tecnologie è il recente accordo sul commercio digitale tra Unione europea e Singapore. L’obiettivo sarà quello di permettere a entrambe le parti di sviluppare strategie per affrontare in modo comune sfide come la privacy dei dati, la sicurezza informatica e il tema dell’AI.

È per questo che sarà cruciale osservare come si evolverà il dialogo tra i legislatori europei, i leader politici e le aziende tecnologiche, poiché tale dialogo definirà non solo il futuro dell’IA in Europa, ma anche il ruolo del continente nel campo della diplomazia digitale e nella definizione di una nuova geopolitica.

Avv. Francesca Bassa

Con quali modalità le aziende del food & wine possono conciliare la vendita dei loro prodotti con il mondo online?
E’ una domanda che molto spesso ci viene rivolta dai nostri clienti che in questo periodo di emergenza si trovano a dover affrontare una nuova sfida: innovare i propri asset organizzativi e vendere i loro prodotti a distanza.
Una delle soluzioni tecnologiche che traduce meglio il piacere di promuovere la qualità del prodotto online è l’e-commerce, da non confondere con l’alternativa sempre più diffusa dei marketplace, piattaforme la cui gestione è affidata a soggetti terzi e che spesso è molto funzionale per posizionare la vendita nei paesi Extra Ue.
Secondo una ricerca del 2019 promossa dall’Osservatorio eCommerce B2c Netcomm Politecnico di Milano, l’e-commerce del food vale nel nostro paese circa 1,6 miliardi e secondo le ricerche di Google l’enogastronomia “made in italy” è la parola più cercata nel settore a livello globale.
Ci sono diverse modalità di approccio all’e-commerce B2c (“Business to consumer”): il grocery store (l’e-commerce della grande distribuzione e il più diffuso), l’e-commerce del food delivery soprattutto in “voga” nelle grandi città, ma ancor poco sviluppato nei territori locali e, infine, la vendita di prodotti di nicchia (vino e prodotti alimentari tipici, in cui la qualità è l’elemento che li contraddistingue, cd. “food made in italy”). In particolare, è stato quest’ultimo il settore che negli scorsi mesi di lockdown ha dovuto più di tutti “immaginarsi in digitale” e ripensare al proprio settore commerciale per accrescere quote di mercato.
Tuttavia, creare un e-commerce non è semplice: rendere il progetto efficace e redditizio è complesso, richiede tra le altre il rispetto di alcuni requisiti di legge e l’avvio di un percorso di adeguamento normativo. Nella pratica, fin dal momento iniziale della progettazione è fondamentale farsi assistere, non solo dalla web agency, ma anche dai legali esperti in privacy analizzando alcuni specifici aspetti: – la conformità in termini di privacy della web agency e la sua compliance alla normativa GDPR ad esempio stipulando accordi di protezione dati ex art. 28 del GDPR; – la qualità e tipologia delle misure di sicurezza informatiche garantite; – la mappatura dei trattamenti in relazione agli obiettivi di marketing (ad esempio tecniche di “soft spam”); – la valutazione degli aspetti contrattuali – come le condizioni generali di vendita B2c e il suo bilanciamento con la tutela della privacy; – la creazione di un gruppo di lavoro dedicato alla “customer care” che definisca le finalità e le modalità del trattamento dei dati; – l’introduzione di chat virtuali es. chatbot.
Se prima, infatti, il settore del food era orientato soprattutto alla vendita b2B (“business to Business”), oggi diventa rilevante orientarsi verso nuovi canali di distribuzione, individuando il target specifico, trasformando i prospect in clienti, valorizzando in generale il business verso soggetti privati.
L’aspetto privacy diventa imprescindibile e può essere soddisfatto solo attraverso un’attenta analisi del contesto del progetto, la cd.“privacy by design”, ovvero la definizione dell’e-commerce in chiave privacy. Infatti, i dati personali degli utenti sono il cuore dell’attività di vendita, rappresentano il portofolio, creano valore e indicano il grado di soddisfazione e reputazione dell’azienda.
Nel quadro di un’adeguamento privacy e-commerce, si è tenuti a prestare attenzione soprattutto alle tecniche di marketing e di tracciamento degli utenti, alla tipologia dei Cookie utilizzati per inviare comunicazioni mirate (retargeting marketing), alla stipula dei contratti con i fornitori terzi (come Google Analytics, Hotjar, Pixel di Facebook), alle piattaforme di gestione di mailing list o CMS per e-commerce . A proposito di Cookie, il 4 maggio 2020 sono state rilasciate dall’EDPB (European Data Protection Board), le “Le linee guida in materia di consenso” (Guidelines 5/2020) (https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en) che forniscono alcuni aggiornamenti sul tema dell’acquisizione del consenso.
Ma quando bisogna richiedere il consenso dell’utente? E’ necessario richiedere sempre un consenso preventivo  (opt-in) ogni qualvolta si ritenga di procedere per finalità differenti e specifiche (di marketing, di profilazione, nel caso specifico di comunicazione verso terzi): per finalità specifiche il consenso non può essere unico, ma “granulare” e consapevole. Nella pratica il consenso è accompagnato da un’adeguata e trasparente “privacy policy” che può essere “stratificata” a seconda degli scopi di trattamento.
Per quanto riguarda le operazioni sui dati personali, l’azienda è tenuta a calare nel caso concreto due principi: 1) i dati non possono essere trattati per un periodo illimitato, si parla infatti di principio di limitazione della conservazione; 2) i dati possono essere raccolti e trattati solo se per davvero se ne ha bisogno e nei limiti dello scopo  (minimizzazione). Tutto ciò comporta la costruzione di un chiaro progetto di marketing che prima di essere lanciato con l’e-commerce necessita di un controllo da parte del consulente.
Se poi nel progetto è inclusa la realizzazione di una sezione dedicata alla registrazione degli utenti, l’azienda dovrà predisporre un bilanciamento di interessi e valutare la qualità dei dati da raccogliere, quanto tempo conservarli e definire le modalità di cancellazione.
Il lancio di un’e-commerce richiede, quindi, un attento studio dal punto di vista delle attività di marketing rapportate alla privacy, come l’invio di newsletter tramite e-mail o per posta cartacea o tramite messaggi WhatsApp, la gestione della revoca e della “prova” del consenso, l’eventuale comunicazione e cessione dei dati a partner commerciali, etc.
Non solo, quando si fa riferimento alla data protection, nel rispetto del principio dell’accountability occorrerà revisionare la documentazione GDPR (es. accordi di co-titolarità tra i gruppi e i registri), formare i propri collaboratori sulle novità di trattamento e darsi un metodo di corretta gestione della privacy aziendale, ad esempio procedure per il riscontro dell’esercizio dei diritti degli utenti.
E’ cosi che, alla luce delle considerazioni di cui sopra, la vendita online di prodotti alimentari ed enologici – che si sta sviluppando anche grazie all’export internazionale, sta cambiando le organizzazioni delle imprese italiane e in tutto ciò vi rientra anche la protezione dei dati personali, beni economici aziendali se correttamente tutelati, che possono essere utilizzati per disegnare e ad adattarsi alle nuove soluzioni commerciali.

Uno dei modi per farsi conoscere sul web è quello di farlo in modo consapevole. Creare un sito internet, aprire un e-commerce, gestire una pagina aziendale su Facebook richiede conoscenza degli strumenti informatici e sensibilità rispetto la protezione dei dati personali dei clienti e del personale aziendale adibito al loro utilizzo (il settore marketing o hr).

Tutelare, quindi, il proprio patrimonio informativo aziendale significa procedere con la redazione di policy di condotta sia per i propri dipendenti, sia per i propri clienti.
Ma che cos’ è una policy? Una social media policy è una procedura, contenuta anche nel regolamento informatico, che con un linguaggio semplice e chiaro, indica in modo pratico le regole di comportamento da tenere durante la scelta, l’iscrizione, la gestione di un social media, fino all’ eventuale chiusura del profilo.

Perché è importante tutelare la privacy online? Si potrebbe dire che un’azienda che è online senza tener conto della privacy è “out”. Non solo perché è obbligo di legge adeguarsi al GDPR (e quindi nessuna azienda può farne eccezione), ma anche perché chi intende “fare business online” non può tralasciare, in un mondo lavorativo avviato alla trasformazione digitale, la propria reputazione e immagine. Un buon adeguamento GDPR, non è solo produzione di documenti, ma una concreta vetrina di opportunità: 1. migliora la credibilità dell’azienda; 2. incentiva le opportunità di lavoro; 3. anticipa i rischi, non solo legali ma IT; 4. consente di affrontare crisi ed eventuali violazioni dei dati da parte di competitors o terzi.

Come ci si può tutelare rispetto ad una non corretta gestione dei social? In primo luogo, non aver progettato un piano “data protection” equivale ad un autogol. In secondo luogo, le aziende sono tenute a conoscere in modo approfondito i social che intendono utilizzare per propri fini promozionali. E’, quindi, fondamentale prestare attenzione al mercato dei social media, scegliere lo strumento adatto per l’obiettivo dell’azienda. Ai responsabili di funzione è richiesto di aver letto e compreso le privacy policy, accettato i DPA, aver raccolto tutte le informazioni sull’attendibilità del social (recensioni, termini e condizioni di servizio) e saper riconoscere un prodotto con piano business da quello no profit. Ed infine farsi accompagnare in questa scelta dal consulente privacy.

In concreto l’azienda può gestire i social media in funzione della protezione dei dati? Al fine di minimizzare il rischio privacy sul web, risultano di massima importanza adottare le “social media policy”, sia quelle verso i propri dipendenti autorizzati a gestirli per finalità aziendali, sia nei confronti degli utenti e i followers della azienda, con ad esempio la creazione di apposite policy per gli Utenti. E’ consigliabile per l’azienda strutturare una social media policy differente a seconda del social, a seconda del piano di comunicazione o dell’utilizzo dei dati o delle attività di marketing successive.

Oggi più che mai gioca un ruolo rilevante la figura del Data Protection Officer, nominato non solo per verificare l’adeguamento GDPR, ma per stimolare la cultura digitale e a salvaguardare la web reputation dell’azienda. Affidarsi alle nuove figure di consulenti in materia privacy è imprescindibile per accrescere il valore del proprio patrimonio informativo aziendale: la protezione dei dati è infatti vitale per chi investe in attività online. Chi si iscriverebbe ad un’e-commerce che non protegge i dati in modo adeguato? Dice Nicholas Negroponte: “L’informatica non riguarda più i computer. Riguarda la vita”.

Venerdì scorso 5 giugno 2020, la nostra Partner Avv. Francesca Bassa, attiva nel campo della data protection e cybersecurity, ha partecipato all’evento nazionale Food & Wine Tourism Forum organizzato dall’Ente Turismo Langhe Monferrato Roero http://www.foodwinetourismforum.it e patrocinato dalla Regione Piemonte con un webinar sul tema della protezione dei dati personali nel settore del food & wine.
Durante l’evento si è riflettuto su come ripensare al Turismo sfruttando il digitale per trasmettere valore tutelando i dati personali dei clienti. Il dibattito si è concentrato sul concetto di innovazione, non solo tecnologica, ma come incentivo e “visione strategica” per il futuro. L’incontro aveva come obiettivo quello di sensibilizzare gli operatori della filiera turistica, consorzi, guide, ristorazione, mondo hospitality verso una maggiore tutela protezione dati, spiegando i principi base della normativa privacy GDPR nel settore della comunicazione online e nelle attività marketing, e-commerce. In particolare, l’evento è stato un momento di confronto in cui sono stati presentati in modo pratico ed essenziale i punti principali della normativa, l’importanza della propria immagine sul web e l’uso consapevole degli strumenti di social media di maggiore utilizzo.

Giovedì 1 ottobre 2020, la nostra Partner Avv. Francesca Bassa, attiva nel campo della data protection e cybersecurity, é intervenuta come relatore alla Conferenza di apertura della Client Interviewing Competition sul tema della Protezione dei dati personali organizzato dalla facoltà di Giurisprudenza dell’Universita’ di Torino e dall’Associazione Elsa torino.

L’intervento ha riguardato l’applicazione del GDPR nei social media, durante il quale si è accennato tra l’altro alle nuove Linee guida in materia di social media targeting 8/2020 (Guidelines 8/2020 targeting of social media users) rilasciate in consultazione pubblica dall’EDPB e in particolare ai diversi meccanismi di targeting.

Nonostante importanti punti di distanza, in futuro le legislazioni si avvicineranno sempre di più, rendendo più agevole alle imprese intrattenere relazioni efficaci. L’analisi di Francesca Bassa (of counsel, Crclex) con alcune considerazioni dell’avvocato Assaf Harel

In tempi recenti, il tema della protezione dei dati personali ha assunto sempre maggiore rilevanza nel dibattito europeo ed in particolare è stato molto discusso l’argomento del trasferimento e del trattamento dei dati degli utenti all’esterno dei confini dell’Unione, che in un mondo così iper connesso avviene all’ordine del giorno. Il dibattito pubblico è alimentato principalmente dalle numerose vicende giuridiche intercorse tra le autorità garanti e svariate società del settore delle big tech, tra i più recenti ricordiamo il caso Google Analytics. Ancora più recente è poi la notizia della sigla di un nuovo accordo di “principio” tra Commissione Europea e Stati Uniti in relazione al trasferimento di dati personali verso quest’ultimo Paese (Trans-Atlantic Data Privacy Framework): la questione era rimasta in sospeso a seguito della sentenza Schrems II.

Per questa ragione abbiamo chiesto un parere all’avvocato Assaf Harel, specializzato in data protection in Israele, Paese noto per essere tra i più avanzati tecnologicamente e che attualmente si sta muovendo per portare avanti riforme nel settore della protezione del dato. L’ avvocato è a capo del dipartimento Cyber and data protection presso Gornitzky, uno dei principali studi legali israeliani. Fornisce consulenza sulle implicazioni pratiche delle leggi e dei regolamenti israeliani e globali sulla privacy e sulla sicurezza informatica a vari clienti, tra questi figurano istituzioni finanziarie internazionali, società tecnologiche e società di sicurezza informatica. Inoltre, è membro del National Privacy Protection Council israeliano e del Comitato Internet dell’Israel Bar Association. È stato in passato membro dell’International Association of Privacy Professionals’ Research Advisory Board.

Così come avviene in Unione europea per il Gdpr, anche la legislazione israeliana prevede regole per la protezione dei dati personali, queste sono contenute principalmente nella legge Protection of Privacy Law (Ppl), un documento la cui stesura risale al lontano 1981 e che per forza di cose richiede e ha richiesto numerosi emendamenti nel corso degli anni.

È notizia recente che il Parlamento stia lavorando a un nuovo progetto di riforma per rendere il Ppl più allineato alla legislazione dell’Unione: tra le proposte più interessanti spicca una riformulazione di alcune delle principali definizioni contenute nel testo allo scopo di assimilarle a quelle europee. Considerati gli importanti rapporti commerciali che intercorrono tra Israele e l’Unione europea, è rilevante per molte imprese essere compliant con i requisiti di questo atto legislativo.

Si ravvisano parecchie somiglianze tra il Ppl ed il Gdpr, come spiega Harel. “Molti dei requisiti di legge richiesti dal governo di Israele in materia di dati personali si riflettono anche nel Gdpr. Vi sono similitudini rispetto ai principi di trasparenza, limitazione delle finalità e determinati diritti degli interessati (tra questi spiccano i diritti accesso e rettifica)”, spiega. Tuttavia, “visto che il Ppl non è stato modificato in modo significativo negli ultimi 40 anni, il Gdpr è più completo e moderno. Ne consegue che un’azienda che rispetta pienamente il Gdpr si trova nella condizione di soddisfare molte delle disposizioni della legge israeliana sulla privacy”.

Nonostante esistano numerose somiglianze, sono presenti inevitabilmente alcune differenze, tra queste, spiega l’avvocato Harel, ne spiccano alcune per rilevanza: “Il Ppl richiede che alcune banche dati che rispondono a determinati requisiti previsti da legge eseguano un processo di registrazione; le previsioni di legge impongono requisiti di sicurezza dei dati dettagliati a titolari e responsabili del trattamento dei database contenenti dati personali, che sono più specifici e concreti di quelli menzionati nell’articolo 32 del Gpdr; infine, merita di essere ricordato che sussistono differenze tra i requisiti di trasferimento dei dati richiesti dal diritto israeliano ed europeo”.

Approfondendo quest’ultimo aspetto in particolare, le norme per il trasferimento dei dati personali all’estero sono regolate dal Protection of Privacy Regulations (Transfer of Data to Overseas Databases) 5761-2001 (“Transfer Regulations”). L’idea di fondo è strutturata in termini analoghi alla legislazione europea: il corpus normativo elenca una serie di basi giuridiche stabilite nel Regolamento sui trasferimenti.

Secondo Harel, “in Israele le basi giuridiche più comunemente utilizzate per tali trasferimenti sono: (a) il trasferimento in un Paese che è parte della ‘Convention 108’ (all’interno della quale sono compresi, tra gli altri, tutti i Paesi dell’Unione europea); (b) Il trasferimento a un destinatario vincolato da un accordo che richiede allo stesso di conformarsi, mutatis mutandis, ai requisiti di protezione dei dati applicabili in Israele; e (c) il consenso dell’interessato al trasferimento. Inoltre, il database owner (l’equivalente israeliano di un ‘titolare del trattamento’) deve ricevere un impegno scritto dal cessionario che quest’ultimo adotti misure adeguate per garantire la privacy degli interessati e che non trasferirà i dati a nessun altra persona senza previo consenso”.

Harel aggiunge che al momento in Israele non sembra potersi rilevare una significativa applicazione della Transfer Regulation, sono, però, in discussone in Parlamento proposte che prevedono un potenziamento dei poteri della Privacy Protection Authority israeliana, ciò la renderà più efficiente nella sorveglianza e nel controllo e ciò potrebbe portare ad affrontare il tema del trasferimento con più frequenza. “A differenza di quanto avviene nel pubblico, il tema del trasferimento è molto discusso nel settore privato”, dice. “Ciò è dovuto principalmente al fatto che molte aziende israeliane sono soggette ai requisiti del Gdpr, sia in base all’applicazione extraterritoriale del Gdpr sia in base ad accordi di elaborazione dati con società europee. Inoltre, i settori regolamentati (per esempio istituzioni finanziarie e infrastrutture critiche) sono spesso soggetti a requisiti settoriali che limitano il trattamento extraterritoriale dei dati”.

Con l’analisi dell’avvocato possiamo concludere che sebbene permangano ancora alcuni importanti punti di distanza tra l’ordinamento israeliano e quello europeo in tema di protezione del dato, possiamo ragionevolmente aspettarci che in un futuro le legislazioni si avvicineranno sempre di più, rendendo sempre più agevole alle imprese intrattenere relazioni efficaci.