Sono quasi dieci anni che tengo la stessa lezione al Politecnico di Milano: in un master dedicato alla privacy, parlo dei nuovi rischi che i DPO dovranno affrontare negli anni a venire. Se nei corsi tradizionali è possibile mantenere le stesse slide anno dopo anno, per questo modulo ho dovuto intervenire profondamente a ogni edizione, arrivando negli ultimi tempi a riprogettarle integralmente. Oggi, mentre mi preparo per la nuova lezione, sento quasi che quelle slide siano diventate superflue: la tecnologia ci è sfuggita di mano e il GDPR non ha mantenuto le sue promesse.
Ma procediamo con ordine.
Indice degli argomenti
GDPR e protezione dei dati: il limite della compliance cartacea
Le organizzazioni pubbliche e private hanno speso enormi risorse economiche e di tempo nella costruzione di scudi legali di carta, informative chilometriche e registri statici dei trattamenti. Questa postura puramente difensiva ha mascherato la persistente vulnerabilità dei sistemi tecnologici sottostanti. Il regolamento ha avuto l’innegabile merito storico di portare la sicurezza informatica nei consigli di amministrazione, ma ha fallito nel garantire una tutela reale di fronte alle minacce asimmetriche del nostro tempo.
La debolezza fondamentale nell’applicazione del GDPR risiede nella presunzione che il rischio tecnologico e sociale sia una variabile semplice, calcolabile con formule matematiche standard. Le classiche matrici di rischio usate nelle valutazioni di impatto (DPIA), basate sul moltiplicare la “probabilità di un evento” per la “gravità del suo impatto”, assumono che le minacce operino in un sistema chiuso, prevedibile e statico.
Nella realtà, il rischio non segue una distribuzione lineare. Gli eventi a impatto catastrofico ed estrema rarità — i cosiddetti “Cigni Neri” — sfuggono a qualsiasi calcolo basato su medie storiche o valutazioni soggettive dei dipartimenti legali, eppure sono più frequenti di quello che si creda, ed una volta che si materializzano dovrebbero essere tenuti in considerazione.
Trattare la sicurezza dei dati con una negoziazione cartacea tra uffici legali, consulenti e responsabili aziendali ha ridotto la tutela delle persone a un compromesso al ribasso. Di fronte a minacce informatiche avanzate, attacchi geopolitici o sistemi di profilazione di massa, la rigidità della burocrazia disarma le organizzazioni invece di proteggerle.
Cookie, ChatGPT e burocrazia: quando la regolazione ignora la tecnica
Spesso le autorità adottano misure basate su una visione burocratica che ignora la realtà tecnica: dalla regolamentazione ossessiva dei cookie, che ha appesantito la navigazione senza migliorare la sicurezza, alla gestione restrittiva delle email aziendali, fino alla temporanea sospensione di ChatGPT. Quest’ultima è stata giustificata con contestazioni legate alla privacy, ma si è risolta con l’adozione di meri palliativi formali — come moduli di opt-out difficilmente verificabili e filtri per l’età — lasciando del tutto impregiudicato il vero problema sistemico dell’epoca: lo sfruttamento non autorizzato del diritto d’autore. Queste misure, spesso percepite come interventi formali o di principio, evidenziano il profondo divario tra i tempi della regolamentazione giuridica e la reale comprensione delle dinamiche tecnologiche, traducendosi in un approccio che fatica a cogliere la vera natura e le reali priorità dei sistemi digitali.
Inoltre, a fronte di montagne di questionari, scartoffie burocratiche e sanzioni onerose, lo Stato non offre alcun supporto concreto né sul piano della privacy né su quello della cybersicurezza. Eppure, le direttrici per un intervento pubblico realmente utile sono chiare: basterebbe iniziare implementando misure di enforcement sui nomi di dominio e firewall nazionali per proteggere il branding delle imprese da attacchi di phishing e siti clone; strutturare una risposta rapida della forze dell’ordine a sostegno delle piccole realtà, spesso impossibilitate a gestire emergenze informatiche; ed esercitare una reale pressione negoziale sulle Big Tech per contrastare abusi individuali — dallo shaming ai commenti virali denigratori — fino a sanzionare, o bannare, le piattaforme che ignorano sistematicamente queste norme. In sostanza, si tratta della trasposizione nei sistemi informatici di quello che già facciamo nel mondo fisico.
Ripercorriamo insieme l’ultimo decennio per comprendere come, nonostante i segnali d’allarme, siamo rimasti impreparati di fronte ai ‘Cigni Neri’ che hanno scosso le fondamenta del diritto alla privacy.
Dalla geolocalizzazione ai ransomware: i primi segnali ignorati
All’inizio le mie lezioni iniziavano sempre dalla tragica vicenda di Sara Di Pietrantonio, uccisa barbaramente nel 2016 dal fidanzato che la geolocalizzava attraverso l’app ‘Dov’è’ di Apple. Sono passati dieci anni da quell’omicidio, eppure l’applicazione continua a non notificare l’accesso alla posizione da parte di terzi, anche se autorizzati come familiari. Il consenso iniziale è ancora considerato sufficiente.
Nello stesso anno, mentre enti e imprese compilavano faldoni di carta per applicare il nuovo regolamento europeo, l’epidemia del ransomware Locky paralizzò l’infrastruttura informatica del servizio sanitario nazionale britannico (NHS). L’evento dimostrò che il rischio primario per le persone non era la perdita di riservatezza dei dati, ma l’impossibilità di accedere alle cure a causa del blocco fisico dei sistemi.
Nel 2018, eravamo ancora nel pieno dell’entusiasmo per lo smartphone e iniziavamo appena a intravedere i primi rischi sistemici. Nelle vecchie slide, citavo spesso il caso di Strava, l’applicazione utilizzata dagli sportivi nata per condividere gli allenamenti e finita, invece, per mappare inconsapevolmente basi militari segrete e persino agevolare il furto di biciclette . Poco tempo dopo, il caso Polar Flow ha rivelato il baratro della sorveglianza individuale. Mentre il mondo si concentrava sulle ‘macchie di calore’ di Strava, un’indagine di Bellingcat ha dimostrato come la stessa superficialità tecnologica permettesse di tracciare i movimenti puntuali di singoli individui — soldati, membri dei servizi segreti e politici — dai loro uffici fino all’uscio di casa. Non si trattava più di una mappa generica, ma di una lista di bersagli reali, servita su un piatto d’argento da un’app progettata per contare i passi e monitorare il battito cardiaco.
L’anno successivo, mentre firmavamo contratti di nomina e accordi di trasferimento transatlantico dei dati, illudendoci che una clausola scritta potesse bloccare i dati entro i confini nazionali – quando in realtà i pacchetti internet viaggiano su server globali -, l’attacco NotPetya (partito da un virus militare russo camuffato) si propagò attraverso i sistemi di tutto il mondo, bloccando i porti del colosso marittimo Maersk e causando oltre 300 milioni di dollari di perdite. I dati personali e aziendali diventarono per la prima volta un danno collaterale di un conflitto geopolitico reale.
Cambridge Analytica e cookie law: la profilazione oltre il consenso
Nel marzo del 2018, scoppia lo scandalo Cambridge Analytica, svelando come 87 milioni di profili psicologici fossero stati saccheggiati attraverso semplici test della personalità. Questo evento rese evidente l’urgenza e l’attualità del GDPR, che sarebbe entrato in vigore qualche mese dopo. Tuttavia, la vera svolta non è stata la sanzione o il pentimento, ma la reazione del mercato: dopo aver osservato l’efficacia di tali tattiche, le Big Tech hanno compreso il valore inestimabile dell profilazione profonda . Invece di limitarsi a chiudere le falle, le piattaforme hanno continuato a evolversi nelle pratiche per monetizzare l’attenzione degli utenti, affinando i propri algoritmi, progettati non solo per scopi commerciali, ma per aumentare il coinvolgimento e creare una vera e propria dipendenza cognitiva . Inoltre, Facebook ha irrigidito le pratiche di identificazione reale degli utenti — richiedendo spesso nome, cognome e documenti d’identità — per contrastare profili falsi e bot. Paradossalmente, la tutela della privacy ha finito per perfezionare l’esatta attribuzione degli utenti ai loro profili e oscurare la reale tutela dei minori, lasciando la questione ancora irrisolta. Un intervento regolatorio incisivo potrebbe vietare l’uso di algoritmi di profilazione nei feed per imporre il ritorno a una presentazione puramente cronologica dei contenuti. Una simile misura mitigherebbe in modo drastico la strumentalizzazione della rabbia e dell’indignazione, leve oggi sfruttate per massimizzare l’engagement degli utenti. Un passo in questa direzione è rintracciabile nel Digital Services Act (DSA) dell’Unione Europea, il quale impone alle piattaforme digitali più grandi l’obbligo di fornire ai cittadini europei un sistema di visualizzazione dei contenuti alternativo, non basato sulla profilazione e sul tracciamento comportamentale.
Il GDPR si aggiunge a quello che resta il vero capolavoro di miopia normativa: la cosiddetta ‘cookie law’. Un obbligo che ancora oggi non riusciamo ad archiviare, frutto di un approccio che, ignorando i fondamenti tecnici del web, ha scambiato un problema di architettura per un problema di consenso. Il risultato? Un dispendio colossale di budget aziendali, dissipati in banner di consenso molesti che hanno degradato l’esperienza di navigazione senza minimamente scalfire i sofisticati apparati di tracciamento dei grandi intermediari pubblicitari.
Mentre le aziende si affannavano a chiedere ‘permesso’ per un cookie, la realtà delle minacce correva su binari paralleli. L’attacco Magecart ai danni di British Airways ne è la dimostrazione: gli aggressori non hanno dovuto forzare i server protetti, ma hanno semplicemente compromesso uno script di terze parti — un comune servizio di analisi dati — integrato nel portale della compagnia. Questo ha permesso di intercettare le credenziali e i dati di pagamento di 380.000 utenti direttamente dal browser, proprio mentre questi ultimi, probabilmente, erano ancora impegnati a cliccare ‘Accetta’ su un banner di consenso privacy del tutto irrilevante ai fini della sicurezza.
COVID, smart working e supply chain: la sicurezza fuori controllo
Poi è arrivato il COVID a riscrivere le regole per il lavoro da casa, pretendendo di controllare con fogli di carta autocertificati la sicurezza dei router domestici e delle connessioni private non protette dei dipendenti. Abbiamo visto il boom delle piattaforme di videoconferenza come Zoom, trasformatesi in pochi giorni da strumenti per meeting aziendali a porte aperte su segreti industriali e conversazioni private. I numerosi casi di ‘Zoom bombing’ — con estranei che si intrufolavano in meeting non protetti — hanno evidenziato la vulnerabilità intrinseca di sistemi adottati in fretta, senza alcuna valutazione di sicurezza, dimostrando come la necessità operativa abbia quasi sempre prevalso su qualsiasi tutela privacy.
Si potrebbe obiettare che in fondo non sia mai morto nessuno per omesso controllo sui sistemi informatici usati dagli utenti. Eppure, nello stesso anno, il servizio sanitario inglese perse il tracciamento di quasi 16.000 casi positivi al COVID-19. I dati venivano importati in un vecchio formato di file Excel, che avendo un limite massimo di circa 65.000 righe, cancellava tutto ciò che superasse il limite fisico del foglio di calcolo senza che nessuno se ne accorgesse. Tim Harford, sul Financial Times , riporta uno studio che calcolava sulla base del tasso di mortalità dell’epoca quante morti erano state causate da quella svista.
Nel 2020, un altro mito dei canali di comunicazione sicuri viene scardinato, evidenziando il corto circuito tra rigidità normativa e sicurezza reale. Da un lato, l’ossessione burocratica per la riservatezza delle comunicazioni elettroniche ha spinto molte organizzazioni a limitare drasticamente i controlli automatici sui messaggi e sul traffico di rete, nel timore di violare la privacy dei lavoratori, creando così un’autostrada per le minacce informatiche e i malware tradizionali. Dall’altro, l’ecosistema globale ha scoperto quanto le difese perimetrali standard fossero vulnerabili di fronte a minacce ben più sofisticate. Il caso emblematico dell’anno fu l’attacco alla supply chain di SolarWinds: attori statali sono riusciti a bypassare ogni controllo infiltrandosi nei sistemi di sviluppo di un software di monitoraggio legittimo, infettando così i sistemi governativi degli Stati Uniti e di centinaia di multinazionali attraverso un aggiornamento apparentemente sicuro. Un evento che ha dimostrato come le policy tradizionali fossero focalizzate sui bersagli sbagliati, lasciando scoperte le vere infrastrutture critiche. L’evento ha evidenziato come, mentre le organizzazioni concentravano le proprie risorse sulla conformità burocratica formale, il vero rischio si fosse spostato su attacchi alla catena di fornitura software, capaci di aggirare le difese tradizionali. In un contesto dove la fiducia nel software è il pilastro della sicurezza, l’eccessiva attenzione alla forma ha lasciato scoperte le difese immunitarie fondamentali, rendendo i canali di comunicazione più fidati — quelli utilizzati per gli aggiornamenti di sistema — il punto di ingresso ideale per gli aggressori.
DPIA e dati sanitari: quando il rischio diventa ricatto
Il DPO potrebbe dire allora che basterebbe eliminare i nomi da un database per renderlo ‘anonimo’. La storia dell’informatica è costellata di fallimenti che smentiscono questa ingenuità. Il caso più iconico resta il dataset di Netflix : nel 2007, l’azienda rilasciò un database ‘anonimizzato’ di 100 milioni di valutazioni per un concorso pubblico. I ricercatori dimostrarono in breve tempo che bastava incrociare quei voti con i dati pubblici del sito IMDb per ri-identificare gli utenti, rivelando abitudini, orientamenti politici e dettagli intimi della vita privata basati semplicemente sulle scelte di intrattenimento.
Dal 2022 il settore sanitario è entrato stabilmente nel mirino dei gruppi della criminalità informatica organizzata. Ma è nel maggio del 2023, con l’attacco all’ASL 2 di Savona, che si è consumato il definitivo salto di qualità dei criminali informatici. Il gruppo cybercriminale RansomHouse, dopo aver sottratto oltre un terabyte di dati contenenti cartelle cliniche e referti oncologici, non si è limitato a chiedere il riscatto alla struttura ospedaliera. Sperimentando la spietata strategia della tripla estorsione, i criminali hanno estratto i contatti dai database e ricattato direttamente i singoli pazienti via SMS e via email, minacciando di pubblicare online le loro diagnosi tumorali. In quel momento, il furto di dati si è trasformato in una vera e propria tortura psicologica per i cittadini più vulnerabili
È proprio questa vulnerabilità intrinseca a rendere le attuali Valutazioni di impatto (DPIA) tragicamente inadeguate: spesso redatte come compiti scolastici, queste analisi trattano il furto di dati come un mero ‘danno d’immagine’, ignorando che, in un contesto dove il dato non è mai veramente anonimo, l’hacker ha in mano le chiavi per ricattare direttamente le persone. Quanti tra coloro che compilano le DPIA hanno mai considerato questo scenario? Eppure è la quintessenza del rischio moderno, ma non compare praticamente in nessuna valutazione.
Intelligenza artificiale generativa e deepfake: la nuova frontiera del danno
Nel 2024 entriamo ufficialmente nell’era dell’intelligenza artificiale generativa e naturalmente pretendiamo di governarla attraverso registri di conformità e autocertificazioni. Mentre imponiamo parametri di compliance scientificamente irrealistici alle aziende serie, ignoriamo la realtà: quando un modello diventa ‘rogue’ e viene eseguito in locale, senza vincoli, viene utilizzato con disinvoltura per ogni genere di illecito.
Uno dei primi e più eclatanti è avvenuto a Hong Kong, quando un dipendente del settore finanziario ha effettuato transazioni per 25 milioni di dollari, convinto di agire su ordine del suo CFO. Tutti i partecipanti alla chiamata erano cloni digitali (deepfake) generati in tempo reale. Nessun registro di conformità, nessuna autocertificazione del fornitore ha potuto prevenire una truffa che ha eluso qualsiasi barriera burocratica, colpendo direttamente la sfera della percezione umana dell’operatore.
Alla fine, il mostro finale è la guerra: la possibilità che un algoritmo di precisione tracci il bersaglio umano per scopi bellici. Lo abbiamo osservato a Gaza, dove sistemi di intelligenza artificiale — noti pubblicamente con nomi in codice come Lavender o Daddy-at-home — hanno sollevato enormi criticità etiche riguardo alla loro accuratezza e all’assenza di un controllo umano efficace nel ciclo decisionale.
Il paradosso è cristallino: dati di geolocalizzazione e comunicazioni personali, raccolti originariamente come asset commerciali a basso rischio per la profilazione pubblicitaria, hanno subito una brutale ‘transizione funzionale’, trasformandosi in coordinate fisiche per attacchi armati. È il fallimento definitivo della nostra ingenuità: per oltre un decennio abbiamo edificato infrastrutture di comunicazione globale su strumenti gratuiti, senza comprendere che, in scenari di crisi, il dato personale cessa di essere una mera informazione statistica per diventare una mappa di targeting militare.
Se siete tra coloro che confidano nel fatto che la guerra sia lontana o che l’IA sia solo una minaccia per il mercato del lavoro, vi state illudendo. La ‘roulette della gogna’ AI è già attiva e potrebbe colpire chiunque. L’abbiamo visto con il Papa in piumino o con le immagini virali — e totalmente false — della nostra Presidente del Consiglio: la realtà è ormai malleabile. Oggi, quelle stesse capacità generative sono pubbliche: modelli non governati, accessibili su piattaforme aperte, permettono a chiunque di manipolare le fattezze di amici, nemici o vicini di casa.
Risulta legittimo interrogarsi sulle ragioni della differente strategia d’intervento dell’Autorità Garante nei confronti delle diverse piattaforme di intelligenza artificiale. Si osserva, infatti, come nel caso di OpenAI i rischi legati alle ‘allucinazioni’ e alla trasparenza abbiano condotto a un provvedimento di limitazione provvisoria dell’intera piattaforma. Al contrario, l’implementazione del generatore di immagini di Grok su X — che ha sollevato profonde preoccupazioni per la potenziale diffusione incontrollata di immagini personali e non consensuali — non ha subito nell’immediato restrizioni analoghe, nonostante la governance del social network tendesse a deresponsabilizzarsi, imputando ogni potenziale violazione esclusivamente all’utente finale.
Ad ogni modo pretendere di arginare questo tsunami con impegni contrattuali o procedure di valutazioni interne è un esercizio di miopia volontaria. Il rilascio di strumenti di generazione di immagini integrati nei social, con filtri di sicurezza volutamente ridotti, ha già dimostrato il fallimento di ogni controllo preventivo: la creazione su scala industriale di materiale intimo non consensuale — con milioni di immagini diffuse in pochi giorni — conferma che, di fronte alla disponibilità pubblica di queste tecnologie, qualsiasi forma di prevenzione burocratica è del tutto impotente.
Protezione dei dati e guerra: l’adaptive adversary come scenario reale
L’ultima brutta notizia che riporto in questa sfilza di catastrofi, prima di un po’ di ottimismo, riguarda il furto dei dati della popolazione di Gaza ai danni di un’agenzia dell’ONU. Nella scienza informatica e nella crittografia esiste il concetto di ‘adaptive adversary’, un avversario che vince per definizione (anche detto nei registri dei rischi “assume breach”). Immaginare di vivere facendo finta che questo fenomeno non esista porta inevitabilmente a conseguenze drammatiche, nonostante gli sforzi per proteggerci. Una violazione informatica ha colpito l’applicazione di registrazione del Programma Alimentare Mondiale (WFP) delle Nazioni Unite, esponendo i dati personali, i contatti mobili e la geolocalizzazione di circa 600.000 famiglie palestinesi a Gaza. Nonostante la segnalazione di una vulnerabilità critica da parte di un analista indipendente, pervenuta pochi giorni prima, la fretta di distribuire l’applicazione sul campo — dando priorità alla delivery operativa — ha prevalso sui test di sicurezza. In un contesto di guerra, l’esposizione di questo archivio si è trasformata immediatamente in una mappa di intelligence ad altissimo rischio per la vita delle persone.
Avevo promesso di chiudere con le cattive notizie. Questa, in realtà, non è ancora accaduta, ma è un avvertimento necessario: aggiornate le vostre DPIA ogni volta che installate un router Wi-Fi. Non aspettate di leggere di sofisticati furti bancari per rendervi conto che redigere informative basate solo su telecamere tradizionali o badge d’accesso è ormai anacronistico. Oggi si è diffusa la tecnologia del telerilevamento biometrico passivo: tramite l’intelligenza artificiale applicata ai segnali Wi-Fi, è possibile mappare i movimenti in 3D dei dipendenti attraverso i muri, senza bisogno di telecamere. Parallelamente, il campionamento del DNA ambientale (eDNA) rilasciato nell’aria o negli scarichi permette di identificare chi è passato in una stanza e persino le sue predisposizioni patologiche. Il dato biologico si disperde nell’ambiente, rendendo obsolete le vecchie informative cartacee sulla videosorveglianza.
Dal registro olandese alla Shadow Automation: il rischio delle banche dati
Non era mia intenzione stilare un catalogo di disastri, ma era necessario per supportare la mia tesi. Abbiamo delegato ai titolari del trattamento l’autodeterminazione delle misure minime necessarie a proteggere i dati, sovraccaricandoci di burocrazia, senza mai riflettere sul rischio intrinseco legato all’esistenza stessa di tali banche dati. Abbiamo dato per scontato che il fine giustifichi i mezzi e che qualunque dato potesse essere raccolto e trasferito, purché avallato dal consenso dell’utente medio, colpevole di ignorare le dinamiche della psicostoria e della crittografia quantistica. Eppure, la storia ci offre lezioni fondamentali al riguardo. Prima della guerra, il funzionario olandese Jacobus Lentz progettò un registro della popolazione considerato un capolavoro di efficienza burocratica ed amministrativa, basato su schede perforate centralizzate. Il sistema non nasceva per scopi discriminatori, ma per ottimizzare le tasse e l’erogazione dei servizi di welfare dello Stato.
Con l’arrivo dell’esercito nazista nel 1940, la neutralità politica di quel database svanì all’istante. L’infrastruttura ingegneristica impeccabile, che includeva la confessione religiosa e l’indirizzo preciso di ogni cittadino, divenne lo strumento ideale per la deportazione scientifica della popolazione. Nei Paesi Bassi morì il 73% della popolazione ebraica, la percentuale più alta registrata in tutta l’Europa occidentale, a fronte del 25% registrato in Francia, dove i registri erano decentralizzati, incompleti e burocraticamente inefficienti.
Non intendo fare analogie, ma le domande più frequenti nelle polizze assicurative sulla salute oltreoceano vertono spesso sulla razza e sull’orientamento sessuale . Forse ci sono aspetti che i medici non ci rivelano, oppure non abbiamo imparato la lezione.
Mentre i dipartimenti legali spendono mesi per scrivere regolamenti sull’uso di software approvati, la realtà del lavoro quotidiano segue logiche di sopravvivenza operative del tutto diverse.
La forza lavoro reale – inclusi i medici nei reparti di emergenza, i diplomatici e i funzionari governativi – migra sistematicamente verso applicazioni di messaggistica gratuite ed efficienti come WhatsApp o Telegram per garantire la continuità dei servizi. Questo sposta quotidianamente grandi quantità di dati critici al di fuori di qualsiasi controllo delle aziende.
Questo paradosso, noto come Shadow Automation, dimostra l’inefficacia dei divieti cartacei: le persone scelgono sempre la facilità d’uso e la velocità di esecuzione rispetto a una conformità rigida e incomprensibile. Il divieto teorico ha fallito; la tutela deve seguire il flusso del dato reale, non la finzione delle policy interne.
Il nuovo DPO tra diritto, ingegneria e antropologia
Eppure non è il momento di arretrare, ma di evolvere. La figura del DPO dovrebbe vivere una trasformazione entusiasmante, diventando il cuore pulsante di una nuova strategia di difesa. Immaginiamo un professionista che sappia orchestrare insieme il rigore del diritto, la creatività dell’ingegneria e la sensibilità dell’antropologia.
Questo nuovo DPO non si limiterebbe più a gestire scadenze burocratiche. Sarà un esploratore del rischio, capace di intuire perché le persone scelgono scorciatoie tecnologiche, trasformando quel bisogno di efficienza in soluzioni più sicure. Sarebbe un visionario in grado di leggere tra le righe dell’accumulo di dati, intuendo i pericoli invisibili che si nascondono dietro l’incrocio di database apparentemente innocui. E, soprattutto, sarebbe il custode attento degli equilibri geopolitici, consapevole che la vera sicurezza non si ferma alle password, ma risiede nella solidità dell’intera architettura che ci sostiene.
È tempo di smettere di essere semplici compilatori di moduli per tornare a essere ciò che conta davvero: i guardiani dell’architettura che protegge la nostra identità e il nostro futuro digitale.
Per uscire dal fallimento della compliance cartacea, la tutela delle informazioni deve smettere di essere una trattativa contrattuale o una spunta di consenso; deve diventare una proprietà intrinseca dell’architettura informatica, dove la sicurezza è integrata nel dato stesso. Dobbiamo anche imparare a dire di no: non ogni dataset deve essere creato, e spesso i dati dovrebbero rimanere dove sono, nelle mani dei loro legittimi proprietari, gli utenti. Solo ammettendo i limiti della burocrazia, evitando l’accumulo indiscriminato di dati e imponendo standard ingegneristici non negoziabili potremo proteggere le persone reali di fronte alle sfide tecnologiche del futuro.
Partecipa alla community