Il diritto all’oblio è il diritto alla rimozione di informazioni private su una persona dalle ricerche su Internet e da altre directory in determinate circostanze. Il concetto è stato discusso e messo in pratica in diverse giurisdizioni, tra cui Argentina, Unione Europea (UE) e Filippine. La questione è nata dal desiderio degli individui di “determinare lo sviluppo della propria vita in modo autonomo, senza essere stigmatizzati perennemente o periodicamente come conseguenza di una specifica azione compiuta nel passato“.

C’è stata polemica sulla praticità di stabilire un diritto all’oblio (rispetto all’accesso alle informazioni) come diritto umano internazionale. Ciò è in parte dovuto alla vaghezza delle attuali sentenze che tentano di attuare tale diritto. Inoltre, vi sono preoccupazioni sul suo impatto sul diritto alla libertà di espressione, sulla sua interazione con il diritto alla privacy e sul fatto che la creazione di un diritto all’oblio riduca la qualità di Internet attraverso la censura e la riscrittura della storia. Chi è a favore del diritto all’oblio ne cita la necessità a causa di questioni come il revenge porn o pornositi e ricatti online che compaiono negli elenchi dei motori di ricerca per il nome di una persona, così come le istanze di questi risultati che fanno riferimento a piccoli reati che le persone potrebbero aver commesso in passato. La preoccupazione centrale risiede nell’influenza potenzialmente indebita che tali risultati possono esercitare sulla reputazione online di una persona quasi indefinitamente se non vengono rimossi.

Le basi del diritto all’oblio

Le legislazioni europee sulla protezione dei dati mirano a proteggere le informazioni private potenzialmente dannose sugli individui, ma invece di un “diritto all’oblio” viene implementato un “diritto alla cancellazione dei dati” più limitato. La nozione di “diritto all’oblio” deriva da numerose idee europee preesistenti. C’è una convinzione di vecchia data nel Regno Unito, in particolare ai sensi del Rehabilitation of Offenders Act, che dopo un certo periodo di tempo, molte condanne penali vengono “annullate”, il che significa che le informazioni relative a tale persona non dovrebbero essere prese in considerazione quando si ottiene un’assicurazione o si cerca lavoro. Allo stesso modo, la Francia segue questo diritto. Le opinioni sul diritto all’oblio differiscono notevolmente tra gli Stati Uniti e i paesi dell’UE. Negli Stati Uniti, la trasparenza, il diritto alla libertà di parola secondo il Primo Emendamento e il “diritto alla conoscenza” sono generalmente preferiti rispetto alla rimozione o all’aumento della difficoltà di accedere a informazioni pubblicate in modo veritiero riguardanti individui e società. Sebbene il termine “diritto all’oblio” sia un’idea relativamente nuova, la Corte di giustizia europea ha legalmente consolidato che il “diritto all’oblio” è un diritto umano quando si è pronunciata contro Google nel caso Costeja il 13 maggio 2014.

Nel 1995, l’ Unione Europea ha adottato la Direttiva Europea sulla Protezione dei Dati (Direttiva 95/46/CE) per regolamentare il trattamento dei dati personali. Questo è ora considerato una componente della legge sui diritti umani. La nuova proposta europea di regolamento generale sulla protezione dei dati fornisce protezione ed esenzione per le società elencate come società “media”, come giornali e altre opere giornalistiche. Tuttavia, Google ha volutamente rinunciato a essere classificata come azienda “media”, quindi l’azienda non è protetta. I giudici dell’Unione europea hanno stabilito che, poiché la società internazionale, Google, è un raccoglitore e un elaboratore di dati, dovrebbe essere classificata come “responsabile del trattamento” ai sensi della direttiva sulla protezione dei dati dell’UE. Questi “titolari del trattamento” sono tenuti ai sensi del diritto dell’UE a rimuovere i dati “inadeguati, irrilevanti o non più pertinenti”, rendendo questa direttiva di importanza globale.

Google e l’Unione Europea

All’articolo 12 della direttiva 95/46/CE, l’UE ha fornito una base giuridica alla protezione delle persone su Internet. Nel 2012 la Commissione europea ha divulgato un progetto di regolamento europeo sulla protezione dei dati per sostituire la direttiva, che includeva una protezione specifica nel diritto all’oblio all’articolo 17. [19] Un diritto all’oblio è stato sostituito da un diritto più limitato diritto di cancellazione nell’articolo 17 della versione del GDPR che è stata adottata dal Parlamento europeo nel marzo 2014 e che è diventata legge dell’UE nell’aprile 2016.

Per esercitare il diritto all’oblio e richiedere la rimozione da un motore di ricerca, è necessario compilare un modulo tramite il sito web del motore di ricerca. La procedura di richiesta di rimozione di Google richiede che il richiedente identifichi il proprio paese di residenza, informazioni personali, un elenco degli URL da rimuovere insieme a una breve descrizione e, in alcuni casi, l’allegato di un documento di identità. Il richiedente riceve un’email da Google che conferma la richiesta, ma la richiesta deve essere valutata prima di essere approvata per la rimozione. Se la richiesta viene approvata, le ricerche che utilizzano il nome della persona non comporteranno più la visualizzazione del contenuto nei risultati di ricerca. Il contenuto rimane online e non viene cancellato. Dopo che una richiesta è stata soddisfatta, il loro team di rimozione esamina la richiesta, soppesando “il diritto alla privacy dell’individuo contro il diritto del pubblico di sapere“, decidendo se il sito web è “inadeguato, irrilevante o non più pertinente, o eccessivo rispetto alle finalità per quale sono stati elaborati”. Google ha formato un consiglio consultivo di vari professori, avvocati e funzionari governativi di tutta Europa per fornire linee guida per queste decisioni. Tuttavia, il processo di revisione è ancora un mistero per il grande pubblico. Le linee guida stabilite dai regolatori dell’UE non sono state rilasciate fino a novembre 2014, ma Google ha iniziato ad agire su questo molto prima di allora, il che ha permesso loro di “modellare l’interpretazione ai propri fini”. Nel maggio 2015, ottanta accademici hanno chiesto a Google una maggiore trasparenza in una lettera aperta.

Se Google rifiuta una richiesta di scollegamento del materiale, gli europei possono fare appello alla loro agenzia locale per la protezione dei dati. A maggio 2015, l’Agenzia britannica per la protezione dei dati ha trattato 184 reclami di questo tipo e ha annullato la decisione di Google in circa un quarto di questi. Se Google non si attiene a una decisione dell’Agenzia per la protezione dei dati, può affrontare un’azione legale.

Quando si applica il diritto all’oblio?

All’articolo 17, il GDPR delinea le circostanze specifiche in cui si applica il diritto all’oblio. Una persona ha il diritto alla cancellazione dei propri dati personali se:

• I dati personali non sono più necessari per lo scopo originariamente raccolto o elaborato da un’organizzazione.
• Un’organizzazione fa affidamento sul consenso di un individuo come base legale per il trattamento dei dati e tale individuo revoca il proprio consenso.
• Un’organizzazione fa affidamento su interessi legittimi come giustificazione per il trattamento dei dati di un individuo, l’individuo si oppone a questo trattamento e non esiste un interesse legittimo prevalente per l’organizzazione a continuare con il trattamento.
• Un’organizzazione sta elaborando dati personali per scopi di marketing diretto e l’individuo si oppone a questo trattamento.
• Un’organizzazione ha trattato illegalmente i dati personali di un individuo.
• Un’organizzazione deve cancellare i dati personali al fine di rispettare una norma o un obbligo legale.
• Un’organizzazione ha elaborato i dati personali di un bambino per offrire i propri servizi della società dell’informazione .

Di conseguenza, un operatore di un motore di ricerca deve, in linea di principio, accettare le richieste di cancellazione relative a pagine web in cui compaiono dati personali sensibili, a meno che tali collegamenti non si rivelino strettamente necessari per tutelare la libertà di informazione degli utenti di Internet potenzialmente interessati ad accedere a pagine web contenenti dati sensibili.

Per quanto riguarda i dati giudiziari, l’operatore del motore di ricerca è tenuto ad accogliere una richiesta di deindicizzazione verso pagine web che contengono informazioni non più attuali (ad esempio, informano di una condanna in primo grado di una persona poi assolta in appello), salvo che il ruolo pubblico svolto dalla persona, la gravità del reato e altre circostanze non rendano prevalente l’interesse pubblico alla conoscenza. Se l’operatore del motore di ricerca ritiene prevalente l’interesse pubblico all’informazione – e quindi i link non devono essere rimossi – dovrà comunque “organizzare l’elenco dei risultati in modo tale che l’immagine complessiva che ne risulta per l’internauta rispecchi l’attuale situazione giuridica”. In altre parole, l’algoritmo dovrà ordinare i risultati non in base alla loro popolarità,ma sull’attualità dell’informazione.

Sono questi i passaggi più recenti ma non certo gli ultimi che ripercorreranno una storia destinata a durare a lungo e il cui finale, ad oggi, sembra essere ancora molto lontano.

I servizi di cloud computing sono diventati uno strumento vitale per la maggior parte delle aziende. È una tendenza che ha subito un’accelerazione di recente, con servizi basati su cloud come Zoom, Microsoft 365 e Google Workspace e molti altri che sono diventati gli strumenti di collaborazione e produttività preferiti dai team che lavorano in remoto.

Sebbene il cloud sia diventato rapidamente uno strumento essenziale, consentendo alle aziende e ai dipendenti di continuare a operare da casa, l’adozione del cloud può anche comportare ulteriori rischi per la sicurezza informatica, cosa che ora è sempre più evidente.

In precedenza, la maggior parte delle persone che si connetteva alla rete aziendale lo faceva dal proprio posto di lavoro e quindi accedeva ai propri account, file e server aziendali dall’interno degli uffici, protetto da firewall di livello aziendale e altri strumenti di sicurezza. L’uso esteso delle applicazioni cloud ha fatto sì che improvvisamente non fosse così, con gli utenti in grado di accedere ad applicazioni, documenti e servizi aziendali da qualsiasi luogo. Ciò ha portato alla necessità di nuovi strumenti di sicurezza.

Minacce alla sicurezza del cloud computing

Se è positivo per i lavoratori a distanza, perché consente loro di continuare con una parvenza di normalità, il lavoro da remoto rappresenta anche un’opportunità per i criminali informatici, che hanno rapidamente approfittato del passaggio al lavoro a distanza per tentare di entrare nelle reti di organizzazioni che hanno sicurezza cloud mal configurata.

Le VPN aziendali e le suite di applicazioni basate su cloud sono diventate i bersagli principali per gli attacker. Se non adeguatamente protetti, tutti questi possono fornire ai criminali informatici un semplice mezzo per accedere alle reti aziendali. Tutto ciò che gli aggressori devono fare è ottenere un nome utente e una password, rubandoli tramite un’email di phishing o utilizzando attacchi di forza bruta per violare password semplici.

Poiché l’intruso sta utilizzando le credenziali di accesso legittime di qualcuno che sta già lavorando in remoto , è più difficile rilevare l’accesso non autorizzato, soprattutto considerando come il passaggio al lavoro a distanza ha portato alcune persone a lavorare in orari diversi da quelli che potrebbero essere considerati orari lavorativi principali.

Gli attacchi contro le applicazioni cloud possono essere estremamente dannosi per le vittime poiché i criminali informatici potrebbero rimanere sulla rete per settimane o mesi. A volte rubano grandi quantità di informazioni aziendali sensibili; a volte potrebbero utilizzare i servizi cloud come punto di ingresso iniziale per gettare le basi per un attacco ransomware che può portare loro sia a rubare dati che a distribuire ransomware. Ecco perché è importante che le aziende che utilizzano applicazioni cloud dispongano degli strumenti e delle pratiche corretti per garantire che gli utenti possano utilizzare in sicurezza i servizi cloud, indipendentemente da dove lavorano, e allo stesso tempo essere in grado di utilizzarli in modo efficiente.

Utilizza i controlli di autenticazione a più fattori sugli account utente

Un ovvio passo preventivo è quello di mettere in primo luogo forti controlli di sicurezza sul modo in cui gli utenti accedono ai servizi cloud. Che si tratti di una rete privata virtuale (VPN) , di un servizio di protocollo desktop remoto (RDP) o di una suite di applicazioni per ufficio, il personale dovrebbe aver bisogno di più del nome utente e della password per utilizzare i servizi.

“Una delle cose più importanti del cloud è l’identità re. L’identità diventa quasi il tuo proxy per assolutamente tutto. All’improvviso, l’identità, il suo ruolo e il modo in cui lo assegni hanno tutto il potere”, afferma Christian Arndt, direttore della sicurezza informatica presso PwC.

Che si tratti di software, che richieda all’utente di toccare un avviso sul proprio smartphone, o di hardware, che richieda all’utente di utilizzare una chiave USB sicura sul proprio computer, l’autenticazione a più fattori (MFA) fornisce una linea di difesa efficace contro tentativi di accesso agli account. Secondo Microsoft, l’ autenticazione a più fattori protegge dal 99,9% dei tentativi di accesso fraudolenti.

Non solo impedisce agli utenti non autorizzati di accedere automaticamente agli account, ma la notifica inviata dal servizio, che chiede all’utente se ha tentato di accedere, può fungere da avviso che qualcuno sta cercando di accedere all’account. Questo può essere usato per avvertire l’azienda che potrebbe essere il bersaglio di hacker malintenzionati.

Usare la crittografia 

La capacità di archiviare o trasferire facilmente i dati è uno dei vantaggi principali dell’utilizzo delle applicazioni cloud, ma per le organizzazioni che desiderano garantire la sicurezza dei propri dati, i processi non dovrebbero comportare semplicemente il caricamento dei dati nel cloud e dimenticarsene. C’è un ulteriore passaggio che le aziende possono intraprendere per proteggere i dati caricati sui servizi cloud: la crittografia. 

Proprio come quando sono archiviati su normali PC e server, la crittografia dei dati li rende illeggibili, nascondendoli a utenti non autorizzati o malintenzionati. Alcuni provider cloud forniscono automaticamente questo servizio, impiegando una protezione end-to-end dei dati da e verso il cloud, nonché al suo interno, impedendo che vengano manipolati o rubati.  

Applica le patch di sicurezza il più rapidamente possibile 

Come altre applicazioni, le applicazioni cloud possono ricevere aggiornamenti software man mano che i fornitori sviluppano e applicano correzioni per migliorare il funzionamento dei loro prodotti. Questi aggiornamenti possono contenere anche patch per vulnerabilità di sicurezza, poiché solo perché un’applicazione è ospitata da un provider cloud, non la rende invulnerabile alle vulnerabilità alla sicurezza e agli attacchi informatici.

Le patch di sicurezza critiche per le applicazioni VPN e RDP sono state rilasciate dai fornitori al fine di correggere le vulnerabilità della sicurezza che mettono le organizzazioni a rischio di attacchi informatici. Se questi non vengono applicati abbastanza rapidamente, c’è la possibilità che i criminali informatici abusino di questi servizi come punto di ingresso alla rete che può essere sfruttato per ulteriori attacchi informatici.

Usa gli strumenti per sapere cosa c’è sulla tua rete

Le aziende utilizzano sempre più servizi cloud e tenere traccia di ogni app cloud o server cloud creato è un lavoro duro. Ma ci sono molti, molti casi di dati aziendali lasciati esposti da un cattivo uso della sicurezza del cloud. Un servizio cloud può essere lasciato aperto ed esposto senza che un’organizzazione lo sappia . Le risorse di archiviazione cloud pubbliche esposte possono essere scoperte dagli aggressori e ciò può mettere a rischio l’intera organizzazione.

In queste circostanze, potrebbe essere utile utilizzare strumenti di gestione della postura della sicurezza del cloud (CSPM). Questi possono aiutare le organizzazioni a identificare e risolvere potenziali problemi di sicurezza relativi a configurazione errata e conformità nel cloud, fornendo un mezzo per ridurre la superficie di attacco disponibile per gli hacker da esaminare e aiutando a mantenere l’infrastruttura cloud protetta da potenziali attacchi e violazioni dei dati.

“La gestione della posizione di sicurezza del cloud è una tecnologia che valuta la deriva della configurazione in un ambiente in evoluzione e ti avvisa se le cose non sono in qualche modo sincronizzate con la tua linea di base e ciò potrebbe indicare che c’è qualcosa nel sistema che significa che più può essere sfruttato per scopi di compromesso”, afferma Merritt Maxim, vicepresidente e direttore della ricerca presso Forrester.

CSPM è una procedura automatizzata e l’uso di strumenti di gestione automatizzata può aiutare i team di sicurezza a rimanere aggiornati su avvisi e sviluppi. L’infrastruttura cloud può essere vasta e dover setacciare manualmente i servizi per trovare errori e anomalie sarebbe troppo per un essere umano, specialmente se ci sono dozzine di servizi cloud diversi sulla rete. L’automazione di questi processi può, quindi, aiutare a mantenere sicuro l’ambiente cloud. 

“Non hai abbastanza persone per gestire 100 strumenti diversi nell’ambiente che cambia ogni giorno, quindi direi di provare a consolidare su piattaforme che risolvono un grosso problema e applicare l’automazione”, afferma TJ Gonen, responsabile della sicurezza cloud di Check Point Software, una società di sicurezza informatica. 

Garantire la separazione degli account amministratore e utente

I servizi cloud possono essere complessi e alcuni membri del team IT avranno un accesso altamente privilegiato al servizio per aiutare a gestire il cloud. La compromissione di un account amministratore di alto livello potrebbe fornire a un utente malintenzionato un ampio controllo sulla rete e la possibilità di eseguire qualsiasi azione consentita dai privilegi di amministratore, il che potrebbe essere estremamente dannoso per l’azienda che utilizza i servizi cloud.

È quindi fondamentale che gli account amministratore siano protetti con strumenti come l’autenticazione a più fattori e che i privilegi a livello di amministratore siano forniti solo ai dipendenti che ne hanno bisogno per svolgere il proprio lavoro. Secondo l’NCSC , i dispositivi a livello di amministratore non dovrebbero essere in grado di navigare direttamente sul Web o leggere le e-mail, poiché ciò potrebbe mettere a rischio l’account di essere compromesso.

È anche importante garantire che gli utenti regolari che non necessitano di privilegi amministrativi non li dispongano, perché, in caso di compromissione dell’account, un utente malintenzionato potrebbe sfruttare rapidamente questo accesso per ottenere il controllo dei servizi cloud.

Usa i backup come piano di emergenza

Ma mentre i servizi cloud possono – e hanno – fornito alle organizzazioni di tutto il mondo dei vantaggi, è importante non affidarsi completamente al cloud per la sicurezza. Sebbene strumenti come l’autenticazione a due fattori e gli avvisi automatici possano aiutare a proteggere le reti, nessuna rete è impossibile da violare, e questo è particolarmente vero se non sono state applicate misure di sicurezza aggiuntive. 

Ecco perché una buona strategia di sicurezza cloud dovrebbe prevedere anche l’ archiviazione di backup dei dati e l’archiviazione offline , quindi in caso di un evento che rende i servizi cloud non disponibili, c’è qualcosa con cui l’azienda può lavorare.

Utilizza applicazioni cloud semplici da utilizzare per i tuoi dipendenti

C’è qualcos’altro che le organizzazioni possono fare per garantire la sicurezza del cloud, ovvero fornire ai propri dipendenti gli strumenti corretti in primo luogo. Le suite di applicazioni cloud possono rendere la collaborazione più semplice per tutti, ma devono anche essere accessibili e intuitive da usare, altrimenti le organizzazioni corrono il rischio che i dipendenti non vogliano usarle.

Un’azienda potrebbe configurare la suite cloud aziendale più sicura possibile, ma se è troppo difficile da usare, i dipendenti, frustrati dall’impossibilità di svolgere il proprio lavoro, potrebbero invece ricorrere a strumenti di cloud pubblico .

Questo problema potrebbe comportare l’archiviazione dei dati aziendali in account personali, creando un rischio maggiore di furto, soprattutto se un utente non dispone dell’autenticazione a due fattori o di altri controlli per proteggere il proprio account personale.

Le informazioni rubate da un account personale potrebbero potenzialmente portare a una vasta violazione dei dati o a una più ampia compromissione dell’organizzazione nel suo insieme.

Pertanto, affinché un’azienda possa garantire una strategia di sicurezza cloud sicura, non solo dovrebbe utilizzare strumenti come l’autenticazione a più fattori, la crittografia e i backup offline per proteggere il più possibile i dati, ma deve anche assicurarsi che tutti questi strumenti sono semplici da usare per incoraggiare i dipendenti a usarli correttamente e seguire le migliori pratiche per la sicurezza del cloud.