La privacy dei dati è ancora il Far West

Consumer Reports, in collaborazione con la Wesleyan University, ha condotto uno studio su come le aziende rispondono alle richieste di opt-out inviate tramite meccanismi universali. Questi strumenti permettono ai consumatori di limitare il tracciamento aggressivo e la raccolta di dati per attività di retargeting. Secondo la ricerca, le aziende sembrano ignorare queste richieste. Sebbene ci siano alcune limitazioni metodologiche, i risultati evidenziano ampie lacune nella tutela della privacy e un evidente divario tra ciò che le aziende dichiarano pubblicamente e ciò che fanno realmente.

Lo studio ha analizzato 40 rivenditori online e ha scoperto che circa il 30% non rispettava le richieste di opt-out, come previsto da alcune leggi statali statunitensi, e continuava a mostrare pubblicità personalizzate nonostante il rifiuto esplicito degli utenti. L’implicazione più ampia è che i dati personali dei consumatori continuano a essere condivisi e/o venduti senza il loro consenso o la loro conoscenza, anche dopo che hanno scelto di non partecipare.

Risultati simili sono emersi da uno studio recente dell’Ufficio islandese per le comunicazioni elettroniche, che ha rivelato che la maggior parte dei banner per il consenso ai cookie aveva una funzione puramente estetica.

E questi sono solo due esempi di un problema molto più ampio e complesso.

Al centro della maggior parte delle normative sulla protezione dei dati vi è il principio del consenso informato, ovvero garantire che i consumatori comprendano chiaramente a cosa stanno acconsentendo quando condividono i propri dati. Purtroppo, le aziende spesso non fanno abbastanza per spiegare cosa siano i cookie o quali siano le reali implicazioni dell’accettazione. A cosa stanno effettivamente acconsentendo gli utenti quando cliccano su “accetta”? Anche se l’interesse per la privacy sta crescendo, resta uno strato di indifferenza da parte dei consumatori, probabilmente legato alla mancanza di comprensione delle vere conseguenze del trattamento dei dati. Questo disallineamento emerge chiaramente solo in occasioni come il caso della recente bancarotta dell’azienda di test genetici 23andMe. A quel punto, è legittimo che gli utenti si chiedano: cosa succede ai miei dati sensibili se l’azienda viene sciolta? E quale protezione è prevista per me e per i miei dati?

Nella maggior parte dei casi, i dati personali raccolti e archiviati da 23andMe saranno soggetti alle stesse leggi sulla protezione dei dati, come il GDPR. Negli Stati Uniti, tuttavia, la situazione è più complessa: non esiste un’unica legge federale sulla privacy dei dati, ma un mosaico di normative statali. Inoltre, la legge HIPAA (Health Insurance Portability and Accountability Act), non si applica a 23andMe, in quanto l’azienda non è classificata come un fornitore di servizi sanitari.

Il consiglio rivolto ai consumatori è quindi di eliminare i propri account 23andMe, revocare il consenso e richiedere la cancellazione dei dati personali, compresi quelli anonimizzati.

La situazione di 23andMe, insieme ai casi in cui le aziende ignorano le preferenze degli utenti e le normative in vigore, delinea un quadro in cui la gestione della privacy somiglia ancora a un Far West, dove i singoli individui rischiano conseguenze gravi per via di sistemi inadeguati.

Innanzitutto, giuristi ed esperti concordano sul fatto che gli Stati Uniti hanno bisogno di un approccio armonizzato alla protezione dei dati e alla privacy dei consumatori. Altre regioni del mondo hanno già adottato strutture regolatorie che, pur con difficoltà iniziali, si sono dimostrate efficaci. E oltre a creare normative, queste devono essere effettivamente applicabili. Una legge senza mezzi di applicazione non ha alcun valore.

In secondo luogo, le aziende possono già oggi adottare buone pratiche nella gestione dei dati, della privacy e del consenso, anche in assenza di un obbligo normativo specifico nella propria giurisdizione. Chi opera in mercati con requisiti chiari in materia di protezione dei dati può allinearsi a tali standard per garantire la conformità su scala globale e prepararsi all’eventuale arrivo di regolamenti locali più stringenti.