Tracciabilità del web e gestione del rischio
La valutazione sistematica dei rischi che un’azienda può assumersi in modo controllato è denominata «gestione del rischio». In questo contesto, non vanno trascurati i rischi relativi alla protezione dei dati legati al tracciamento.
Una gestione del rischio funzionante è uno strumento di controllo per raggiungere gli obiettivi aziendali. Per le aziende più grandi è obbligatoria, per le altre ha senso: identificare, analizzare, trattare e monitorare i rischi. Non si tratta solo di rischi finanziari, strategici o di sicurezza delle informazioni. Anche la protezione dei dati, ossia la protezione della personalità da un trattamento dei dati non conforme, comporta dei rischi.
Rischi per la privacy nel tracciamento
Se i "cookie" vengono collocati su un dispositivo finale durante il tracciamento del web, l'utente è generalmente considerato una persona identificabile tramite l'indirizzo IP e, di conseguenza, si applica la legge svizzera sulla protezione dei dati. Il gestore di un sito web svizzero è rapidamente soggetto anche alla legge sulla protezione dei dati dell'UE se traccia il suo traffico nell'Unione Europea o se propone selettivamente offerte in questo settore. I requisiti della legge sulla protezione dei dati sono molteplici: obblighi di informazione, diritti degli interessati, inventario dei dati, sicurezza dei dati o la questione del consenso ai cookie (UE sì, CH no) e molto altro ancora. La legge sulla protezione dei dati richiede analisi regolari dei rischi, e la valutazione di questi ultimi non è facile nemmeno per gli specialisti.
Uno spettro è rappresentato dai trasferimenti di dati big-tech all'estero e dal potenziale accesso da parte delle autorità. Sebbene la probabilità sia considerata bassa, ciò comporterebbe un rischio a grappolo: Richieste di informazioni, notifica all'IFPDT, cause legali, perdita di reputazione, minaccia molto elevata di multe (UE) e di nuove multe personali in Svizzera. Anche le clausole standard di protezione dei dati non offrono una protezione sacrosanta, come dimostra la multa record dell'Irlanda. Un altro rischio è la garanzia di anonimizzazione degli indirizzi IP nelle dichiarazioni di protezione dei dati, perché questa è relativa, in quanto avviene solo dopo la trasmissione al centro dati.
Come vengono gestiti i rischi legati alla protezione dei dati?
Il trattamento apparentemente più economico e semplice è l'accettazione di un rischio, che deve essere formalmente documentato con motivazioni (mancanza di risorse). Il rischio viene classicamente trasferito tramite assicurazione. Le assicurazioni Cyber e D&O, tuttavia, rifiutano di coprire i rischi personali.
La strada giusta è quella della riduzione. In questo modo, si rispetta l'approccio basato sul rischio della legge sulla protezione dei dati, secondo cui le misure di protezione vengono adottate in funzione della probabilità di violazione e dei possibili effetti. L'attenzione si concentra sull'uso di una soluzione di tracciamento europea. Oltre a una maggiore consapevolezza della privacy e a centri dati in loco, tali soluzioni sono dotate di caratteristiche di prim'ordine. La vicinanza e la sovranità dei dati sono particolarmente apprezzate dalle aziende di settori sensibili e regolamentati. Inoltre, è possibile evitarli affidandosi a tecnologie di tracciamento che non richiedono l'uso di cookie e che forniscono comunque dati di marketing utili. Le aziende che affrontano sistematicamente i rischi di tracciamento spesso scelgono un mix: tracciamento tramite cookie laddove il consenso è disponibile o non è necessario e tracciamento senza cookie laddove non è necessario.
Autore: Thomas Michel, responsabile della sicurezza delle informazioni presso Capture Media.
Ulteriori informazioni sono disponibili qui.
