Riassunto esame Informatica giuridica, Prof. Ricciardi Mario, libro consigliato Tecnologia e diritto. Informatica Giuridica, Volume II (2019), Giuffrè, Milano, 2019. , P. Perri, G. Ziccardi

Informatica giuridica

Hacking, produzione dei dati e sorveglianza

Il termine hacker era nato come un termine positivo. Negli anni 60/80 del secolo scorso, nelle Università californiane, l’idea di hacker era una persona con particolari conoscenze tecnologiche che non si fermava all’analisi della tecnologia in superficie, ma approfondiva. Verso il 2000, il termine hacker ha avuto un cambiamento completo di significato e oggi comunemente viene associato a criminale informatico. Si legge infatti sui giornali “attacco hacker alla regione Lazio”, in realtà l’idea di hacking di conoscenza informatica è un’altra cosa.

Il periodo dal 1984, quando ci fu l’arrivo dei primi computer in Italia, al 1990, non c’era diritto che tutto disciplinasse l’informatica. In quel periodo, in un’era pre internet, cellulari e iPhone, l’unico modo per scambiare conoscenze era far parte di gruppi hacker, che avevano lo scopo di aumentare la nostra conoscenza di tecnologie. Poi improvvisamente negli anni 90 arrivò il diritto a disciplinare queste fattispecie.

Il dato digitale e il suo valore giurista

Fin dagli inizi dell’avvento della tecnologia in Italia, si è capito che il dato digitale ha un’importanza fondamentale per il giurista. Primo processo in Italia con una forte componente tecnologica fu il caso di Ayrton Senna. Siamo al Gran Premio di San Marino a Imola e Ayrton Senna, il più grande pilota di automobilismo di tutti i tempi, nessuno sa per quale motivo, alla curva del tamburello va dritto, non sterza. Va dritto e si schianta contro le protezioni con la sua automobile, sopravvive perché la cellula di sopravvivenza dell’auto tiene, ma ha la sfortuna che un braccetto della sospensione, durante l’impatto parte come un proiettile, gli passa attraverso la visiera del casco, poi attraverso l’occhio toccando il cervello. Viene portato di corsa all’ospedale di Bologna ma muore.

Quando succedono queste cose, nel diritto si apre un procedimento che si chiama per omicidio colposo, ovvero un omicidio, ossia muore una persona, ma per colpa di qualcuno, cioè l’imprudenza di un soggetto → non c’è la volontà, non è un omicidio volontario.

Tipi di omicidio

Si possono avere tre tipi di omicidio:

• Colposo → qualcuno che muore per imprudenza, imperizia o negligenza della persona. Ad esempio quando uno investe involontariamente una persona.
• Doloso o volontario → quando c’è la volontà della persona di uccidere quella persona.
• Preterintenzionale → una persona che muore come conseguenza di un’azione violenta di una persona di cui non ne volevamo la morte → ad esempio la rissa.

In questo caso si apre un procedimento per omicidio colposo, si cerca di capire se la morte di Ayrton Senna deriva da imprudenza, imperizia o negligenza di qualcuno.

La pretura di Imola inizia un processo e le teorie del Pubblico Ministero sono due:

• Che ci fosse un problema sull’asfalto del circuito tracciato → il giorno prima era morto un altro ragazzo e la prima ipotesi del PM è che la manutenzione del circuito sia talmente fatta male, che ci sono degli scalini, per cui la macchina perde il controllo. Allora indagano, mettono sotto inchiesta la manutenzione e la gestione del circuito dell’autodromo.
• Il PM crede che si sia spezzato il piantone dello sterzo di Senna, cioè lui non ha sterzato perché si è trovato il volante sulle ginocchia spezzato. Questo perché prima della gara Senna era entrato nell’autovettura e si sentiva un po’ stretto, aveva il volante che gli dava un po’ addosso al petto, allora ha chiesto alla scuderia di segare il piantone dello sterzo e di risaldarlo rubando qualche centimetro che permetteva al volante di abbassarsi. La teoria del PM è che, dopo un certo numero di giri, ad un certo punto, il piantone si è rotto, Senna si è trovato il volante sulle ginocchia ed è andato dritto.

Il PM ha un’arma di indiziaria fenomenale: la camera car di Senna, che anche allora, filmava le mani e il volante e chiede la registrazione. Quando erano tutti nella stanza per vedere la registrazione, quest’ultima era cancellata negli ultimi 15 secondi. Qui interviene l’informatica. Viene coinvolto il centro di Cineca, che possedeva anche laboratori che migliorano le immagini e i video. Il PM dice se chissà se quando hanno cancellato il video, gli ultimi fotogrammi rimasti fanno vedere qualche cosa che l’occhio umano non può vedere, ma che il computer con i suoi rilievi può vedere. Quindi si sperava che l’essere umano avesse sbagliato lasciando una traccia. I dati durante la gara della macchina erano perfetti, la macchina non ha alcun guasto → escludiamo il guasto meccanico.

Le fonti di prova che avevamo: i rilievi telemetrici, la camera car di Schumacher perché allora seguiva Senna, la telecamera della Rai e la camera car di Senna.

Esiste un software che sincronizza le fonti di prova mettendole tutte sulla stessa linea del tempo → ne esce che la camera car di Senna era stata danneggiata volontariamente. Inoltre è presente l'ultimo fotogramma dell’auto di Senna prima della cancellazione del video. Il volante di Senna è rimasto nella stessa posizione per tutta la gara, ma nell’ultimo fotogramma si era spostato di qualche centimetro più basso.

Quindi abbiamo trovato che il piantone dello sterzo ha causato la rottura e la caduta del volante sulle ginocchia di Senna. Qui ha sbagliato chi ha cancellato il nastro, perché ad occhio umano non si vedeva questa cosa, ma il volante aveva cominciato a scendere. → primo ingresso dell’informatica nel campo giurista.

Questo caso insegna che:

• Non è tanto il dato che interessa, ma è spesso la combinazione dei dati tra loro → genera nuove informazioni.
• Se ho dati non omogenei, diventa difficile sincronizzarli.
• Il dato non è solo quello che si vede, ma dal esso si generano altre informazioni.
• Il dato è estremamente fragile → è molto difficile da mantenere il dato informatico, c’è il rischio di rovinarlo.

Omicidio di Marco Biagi da parte delle brigate rosse

Anche in questo caso ci fu un intervento tecnologico importante da fare. Marco Biagi era un professore di economia a Modena, ma che abitava a Bologna. Una sera torna, arriva in stazione a Bologna, prende la bici e va in centro. Un commando delle brigate rosse lo aspetta e lo uccide a colpi di pistola. C’era, per le brigate rosse, il problema di come rivendicare questo attentato, perché Biagi era una persona molto discussa per le sue riforme e quindi, dopo la sua morte, alla Digos e alla polizia arrivavano decine e decine di rivendicazioni di attentato. Fu la prima volta che le nuove brigate rosse usarono dei dati pubblici ed esterni per rivendicare l’attentato: la rete telefonica.

I terroristi avevano con loro un telefono cellulare mai usato, con una sim mai utilizzata, e sul luogo dell’omicidio lo accendono, lo fanno negoziare con la rete (quando il telefono si collega alla rete), lo spengono e lo buttano. Mandano una mail, una comunicazione dicendo: “Chiedere agli operatori telefonici quali cellulari e numeri si sono collegati al momento dell’attentato nella zona del centro di Bologna, in quel modo troverete il nostro numero”. Usarono quindi la rete pubblica per rivendicare in maniera certa un qualcosa, questo fu il primo caso.

Importanza dei metadati

Per chi fa le investigazioni e cerca quindi informazioni su di noi, i contenuti non sono importanti, ma lo sono i dati sui contenuti, che si chiamano metadati.

Giurista e passaggio ai big data

Software che prendono il nostro pc/telefono e restituiscono automaticamente le informazioni contenute, dividendo anche i tipi di comunicazione o di app, geolocalizzazione. Le investigazioni si fanno maggiormente sui social network attualmente, tramite magari foto che vengono pubblicate con informazioni nello sfondo.

Cifratura

Arresto di un esponente delle brigate rosse, ci fu uno scontro a fuoco su un treno regionale. La Lioce aveva un palmare, un computerino cifrato, quando gli investigatori lo trovarono notarono la rete delle nuove brigate rosse, ma non riuscirono ad accedervi perché aveva la crittografia. Ci hanno messo anni per recuperare soltanto una parte. La cifratura dei dati è molto importante → se smarrisco qualcosa nessuno riesce ad entrare, a meno che qualcuno non abbia un’enorme cifra di soldi per pagare chi è in grado di farlo.

Ci fu un attentato terroristico in California, dove trovarono un iPhone che però era cifrato, quindi con un pin di accesso. Gli investigatori non riescono ad entrare e alla fine pagarono quasi 1 milione di dollari per riuscirci. Questa cosa crea problemi agli investigatori, l’unica cosa che possono trovare sono dati nei social e mail, ma nel telefono no. Se uno trova il telefono e tenta di clonare tutti i contenuti, ha copiato tutti i contenuti cifrati ma la procedura è la stessa, l'unica possibilità è che il cellulare sia vecchio, oppure portarlo a società israeliane o americane, ma è molto costoso. Il caso della coppia dell’acido → il cellulare l'han portato in Germania perché c’erano informazioni molto importanti, dall’altra parte, però, il budget è molto alto.

Le ultime versioni di iPhone al momento sono ancora abbastanza invulnerabili, è molto difficile entrarci. Chi trova vulnerabilità le porta al notaio, oppure le vende anche ai privati, vengono chiamati zero days perché sono vulnerabilità non ancora conosciute.

Cosa si può vedere dai social?

Fonte social network analysis:

• Informazioni sullo stato d’animo attraverso i post → in investigativa è molto importante sapere lo stato d’animo. I gruppi degli studenti sui social sono importanti, perché si possono capire gli stati d'animo delle persone. Nel diritto di famiglia, lo stato d’animo è molto importante.
• Registrare se eravamo presenti o assenti in un certo luogo → è fondamentale per gli investigatori. Il tag del luogo su Instagram, alcuni software registrano magari le posizioni delle persone.
• Lo stile di vita e il reddito → in tribunale con le liti sul mantenimento è importante. L’agenzia delle entrate sta sviluppando un algoritmo che va sui social e recupera foto che contengono elementi che riconoscono il nostro reddito, ad esempio le foto magari dove si mangia in ristoranti stellati, o quando si compra una macchina nuova.
• La sfera sociale → con chi esce una persona.
• Rilevare episodi di bullismo, molestie.
• Casi di furto di identità.
• Il background check delle persone, cioè il passato delle persone come viene rilevato dai social, che spesso non corrisponde a come noi siamo nella vita reale. Il governo Draghi ha cambiato tanto personale, quelle persone hanno iniziato a ripulire i profili social, il loro passato sui social.

I reati informatici come bullismo, molestie, stalking, oggi vengono tutti presi dai social.

Privacy

Differenza sensibile tra approccio USA e approccio europeo all’idea della protezione del dato digitale. L'origine del termine privacy è anglosassone, nasce in Inghilterra nel 1990 da un articolo pubblicato sulla Harvard Law Review da Warren e Brandeis (emigrato a Boston, per lui la privacy era non usare dati degli immigrati).

Warren era un avvocato di Boston nel 1990, il più ricco perché veniva da una dinastia importante, con la villa e la moglie più belle di Boston. Aveva una moglie allegra, mentre lui lavorava lei dava feste continuamente. C’era un giornalista del quotidiano che fotografava la villa con la moglie che faceva le feste e la ritraeva con uomini diversi. Warren dice di smetterla con le foto. Brandeis era di origine ebrea e in quel periodo arrivano gli immigrati a Boston, e ogni sventura era colpa di italiani, olandesi o ebrei. Lui, essendo di origine ebrea, dice di essere stanco di questa situazione. Essi hanno una cosa in comune: insegnano entrambi all'Università di Harvard e decidono di scrivere il primo articolo della storia sulla privacy, dandone il primo significato il 15 dicembre del 1890 = the right be let alone → il diritto di essere lasciati soli. Se voi volete, avete il diritto che nessuno entri nella vita privata.

Con Facebook si ha la morte della privacy. In Europa si parla di data protection, perché si esce dalla Seconda Guerra Mondiale con lo Stato che controlla i dati delle persone per il loro sterminio. Si tratta di un'esperienza che abbiamo solo noi. In Europa si sviluppa la protezione dei dati con la Stasi.

GDPR – General Data Protection Regulation

Le origini

Il diritto alla tutela del dato personale si è affermato a seguito dello sviluppo tecnologico, avvenuto in Italia negli anni ’70, che ha comportato l’estensione del tradizionale diritto alla privacy, definito come «right to be let alone» anche al diritto alla tutela e all’esercizio di un controllo sui propri dati e sui trattamenti a cui i dati sono sottoposti. L’affermarsi di questa nuova concezione del diritto alla privacy è stata accompagnata da importanti interventi normativi che hanno condotto all’attuale normativa privacy europea, il General Data Protection Regulation (c.d. GDPR o Reg.).

L’esigenza di garantire la protezione dei dati personali è sempre più avvertita dai cittadini dei Paesi dell’Unione Europea, dato anche il costante sviluppo delle tecnologie e una tradizione giuridica che ha sempre voluto proteggere il cittadino dal trattamento automatizzato e discriminatorio delle sue informazioni da parte dello Stato e delle grandi realtà commerciali. Si vuole consolidare un approccio EUROPEO alla protezione dei dati riconosciuto come diritto fondamentale dall’art. 8 Carta dei diritti fondamentali dell’UE e dall’art. 16 Trattato sul funzionamento dell’UE ove si stabilisce che «ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano».

Il pacchetto è composto da due provvedimenti:

• La Direttiva (UE) 2016/80 in materia di trattamento dei dati personali nei settori della prevenzione, del contrasto e della repressione dei crimini.
• Il regolamento UE 27.4.2016 n. 679 sono state introdotte rilevanti novità in materia di protezione dei dati personali, che è in vigore dal 24 maggio 2016 ed è diventato applicabile in via diretta in tutti i paesi UE a partire dal 25 maggio 2018.

Nel 2016 l’Unione Europea ha deciso di disciplinare il tema della protezione dei dati (comunemente definito anche della «privacy») con modalità uniformi in TUTTI i Paesi dell’Unione Europea. Ha usato lo strumento del REGOLAMENTO (direttamente applicabile). Il GDPR, entrato in vigore il 24 maggio 2016 e direttamente applicato dal 25 maggio 2018, opera in tutti gli Stati Europei ed ha sostituito la Direttiva 95/46/CE che viene definita come «direttiva madre», proprio perché rappresenta la prima normativa privacy europea.

Nel nostro Paese, la Direttiva 95/46/CE è stata recepita con il D.Lgs. 196/2003 (c.d. Codice Privacy), a cui dal 19 settembre 2018 sono state apposte delle modifiche, in qualità di integrazioni o abrogazioni, con il D.Lgs. 10 agosto 2018, n. 101, che ha uniformato la normativa nazionale italiana al GDPR.

La normativa italiana sulla protezione dei dati personali

In Italia, il 19 settembre 2018 è entrato in vigore il d.lgs. n. 101/2018, che ha lo scopo di:

• Abrogare espressamente le disposizioni del d.lgs. n. 196/2003 ritenute incompatibili con il GDPR.
• Integrare e revisionare le disposizioni rimaste in vigore.
• Introdurre nuove disposizioni.

Attuale quadro normativo:

• GDPR
• D.lgs. 196/2003, così come novellato dal D.lgs. 101/2018.

Le finalità del regolamento

Le disposizioni contenute nel reg. UE 679/2016 riguardano la protezione delle persone fisiche (così come per il Codice della privacy, che esclude il trattamento dei dati relativi a persone giuridiche) con riferimento a:

• Creare un sistema armonizzato di norme evitando differenze di approccio → prima si dava meno tutela al cittadino.
• Fornire una normativa in grado di stare al passo con la tecnologia attuale.
• Più trasparenza nei trattamenti di dati personali.
• Garantire certezza del diritto a tutti gli operatori economici.
• Fornire maggiore tutela ai cittadini, anche al di fuori dell’UE.

Implicazioni

• Sanzioni espresse in termini percentuali, capaci di colpire anche i «grandi gruppi»
• Focus sull’interessato (potere di controllo sul dato, esercizio dei diritti)

La struttura del Regolamento

Il Regolamento (UE) 2016/679 presenta una lunga serie di premesse («considerando»), molte delle quali contengono i principi essenziali e le definizioni preliminari in materia di privacy. È strutturato in 11 capi e consta complessivamente di 99 articoli.

Ambito di applicazione materiale

Il reg. UE 679/2016 trova applicazione con riferimento ai seguenti trattamenti: Il Regolamento si applica solo al trattamento dei dati relativi a persone fisiche =«interessato» che si trovi nell’UE, a prescindere dalla nazionalità o dal luogo di residenza.

Il Regolamento NON si applica:

• Ai dati personali relativi a persone giuridiche.
• Ai trattamenti di dati personali effettuati da una persona fisica per attività di carattere esclusivamente personale o domestico.
• Ai dati anonimi.