November 2018 - nexa - server-nexa.polito.it

R: R: GDPR - Blockchain

by Aldo Pedico

Ciao Giacomo, i tuoi esempi sono estremamente corretti ma vorrei farti un'altra domanda, prima però vorrei porre il seguente prerequisito. Prerequisito tecnico e logico: tutte le informazioni che permettono la tua identificazione sia direttamente sia indirettamente, all'interno di una transazione (nell'esempio: l'acquisto del pane) che definisce il trattamento, sono mascherate attraverso una tecnica affidabile. Domanda: secondo te, anche in questo caso è necessario sostituire la transazione nella catena? Aldo -----Messaggio originale----- Da: Giacomo Tesio [mailto:giacomo@tesio.it] Inviato: mercoledì 21 novembre 2018 12:22 A: Aldo Pedico <a.pedico(a)teleion.it> Cc: Marco <marco.crepaldi(a)ymail.com>; Luca Cappelletti <luca.cappelletti(a)gmail.com>; Nexa <nexa(a)server-nexa.polito.it> Oggetto: Re: [nexa] R: GDPR - Blockchain Ciao Aldo, purtroppo nella magioranza dei casi d'uso, sebbene corretta, l'affermazione del CNIL non è rilevante. Facciamo due esempi per chiarire: 1. supponiamo che l'azienda X carichi su una blockchain un dato che mi riguarda, in forma CRITTATA: come dice il CNIL la distruzione della chiave privata è SUFFICIENTE a garantire il diritto di cancellazione. 2. supponiamo che io effettui una transazione sulla blockchain con un certo indirizzo: non c'è chiave privata che, una volta cancellata, possa evitare che tutte le transazioni riconducibili al proprietario di quell'indirizzo siano ricondotte a me se anche solo UNA delle transazioni viene ricondotta a me. Dunque se io compro il pane attraverso una transazione riconducibile a quell'indirizzo, chi me lo consegna può ricostruire tutte le mie transazioni precedenti e future attraverso di esso. La rimozione di QUESTI dati personale (che costituiscono la maggioranza delle transazioni) è possibile, ma SOLO sostituendo la transazione nella catena con una che garantisca alle controparti lo stesso bilancio ma non sia riconducibile all'interessato e ricostruendo la catena da lì. Possibile, ma estremamente costoso ed error prone. Giacomo Il giorno mer 21 nov 2018 alle ore 10:54 Aldo Pedico <a.pedico(a)teleion.it<mailto:a.pedico@teleion.it>> ha scritto: > > Ciao. > > Nel documento “The UE Blockchain Observatory and Forum - Blockchain e GDPR”, capitolo “Blockchain e diritti e obblighi del GDPR”, nel punto “2. Minimizzazione dei dati e diritto di cancellazione e rettifica” c’è la seguente precisazione in merito alla cancellazione dei dati personali nella rete blockchain. > > “In questo contesto, CNIL riconosce che alcune tecniche di crittografia, associate alla distruzione delle chiavi, possono essere considerate come una cancellazione anche se non è una cancellazione nel senso più stretto”. > > Quindi si può dedurre che la cancellazione “logica”, attraverso la crittografia, nel momento in cui non permette la stretta correlazione “interessato-informazioni” è, salvo precisazioni del Garante o di un tribunale, al lato pratico una asportazione. > > Aldo

Nov. 21, 2018

Re: [nexa] R: GDPR - Blockchain

by Guido Noto La Diega

Giacomo, puoi dirmi di piu' su come si cancellano i dati/transazioni su blockchain e dove posso trovare ulteriori informazioni? On Wed, 21 Nov 2018 at 06:46, Giacomo <giacomo(a)tesio.it> wrote: > Il November 20, 2018 10:34:06 PM UTC, Marco <marco.crepaldi(a)ymail.com> ha > scritto: > >Cari tutti, > > > >sul tema mi permetto di segnalare i seguenti articoli > > Grazie Marco, li leggerò con attenzione. > > >IMHO un blockchain di tipo permissioned risolve la questione > >compliance. > > Più o meno. > Per cancellare un dato personale dalla blockchain devi riportarla allo > stato precedente la sua introduzione e rieseguire tutte le altre > transazioni in ordine. > > TECNICAMENTE è possibile, ma significa interrompere tutta la rete per un > tempo paragonabile a quello trascorso dalla introduzione del dato rimosso. > > Inoltre in una rete permissioned il vantaggio di usare una blockchain > viene meno: ti stai comunque fidando di qualcuno, dunque esistono sistemi > molto più efficienti. > > > Giacomo > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- Guido Guido Noto La Diega, PhD FHEA Senior Lecturer / European Research Partnerships Coordinator @ Northumbria Law School Director @italiot | Fellow @nexacenter | Co-convenor @NINSOrig | Co-founder @DPA2018 Northumbria Law School City Campus East, Newcastle upon Tyne NE1 8ST noto.la.diega(a)gmail.com +44(0)191 349 5562 You can access my papers on Academia.edu <http://northumbria.academia.edu/GuidoNotoLaDiega> and on the Social Science Research Network (SSRN <https://papers.ssrn.com/sol3/cf_dev/AbsByAuth.cfm?per_id=1794950>) This e-mail and any attachment hereto are strictly confidential and are exclusively intended for the person above identified. Without intended recipient’s entitlement, use, copy and dissemination of this e-mail is prohibited. If you have received it in error, please advice us immediately by telephone and return the documents received to the above address, deleting the files. Thank you. Unless necessary, please do not print this e-mail.

Nov. 21, 2018

Declaration on Ethics and Data Protection in Artificial Intelligence

by J.C. DE MARTIN

https://edps.europa.eu/data-protection/our-work/publications/international-… e anche, per vostra comodità, in allegato. juan carlos DECLARATION ON ETHICS AND DATA PROTECTION IN ARTIFICAL INTELLIGENCE 40th International Conference of Data Protection and Privacy Commissioners Tuesday 23rd October 2018, Brussels AUTHORS: * Commission Nationale de l’Informatique et des Libertés (CNIL), France * European Data Protection Supervisor (EDPS), European Union * Garante per la protezione dei dati personali, Italy

Nov. 21, 2018

Re: [nexa] R: GDPR - Blockchain

by Giacomo Tesio

Ciao Aldo, purtroppo nella magioranza dei casi d'uso, sebbene corretta, l'affermazione del CNIL non è rilevante. Facciamo due esempi per chiarire: 1. supponiamo che l'azienda X carichi su una blockchain un dato che mi riguarda, in forma CRITTATA: come dice il CNIL la distruzione della chiave privata è SUFFICIENTE a garantire il diritto di cancellazione. 2. supponiamo che io effettui una transazione sulla blockchain con un certo indirizzo: non c'è chiave privata che, una volta cancellata, possa evitare che tutte le transazioni riconducibili al proprietario di quell'indirizzo siano ricondotte a me se anche solo UNA delle transazioni viene ricondotta a me. Dunque se io compro il pane attraverso una transazione riconducibile a quell'indirizzo, chi me lo consegna può ricostruire tutte le mie transazioni precedenti e future attraverso di esso. La rimozione di QUESTI dati personale (che costituiscono la maggioranza delle transazioni) è possibile, ma SOLO sostituendo la transazione nella catena con una che garantisca alle controparti lo stesso bilancio ma non sia riconducibile all'interessato e ricostruendo la catena da lì. Possibile, ma estremamente costoso ed error prone. Giacomo Il giorno mer 21 nov 2018 alle ore 10:54 Aldo Pedico <a.pedico(a)teleion.it> ha scritto: > > Ciao. > > Nel documento “The UE Blockchain Observatory and Forum - Blockchain e GDPR”, capitolo “Blockchain e diritti e obblighi del GDPR”, nel punto “2. Minimizzazione dei dati e diritto di cancellazione e rettifica” c’è la seguente precisazione in merito alla cancellazione dei dati personali nella rete blockchain. > > “In questo contesto, CNIL riconosce che alcune tecniche di crittografia, associate alla distruzione delle chiavi, possono essere considerate come una cancellazione anche se non è una cancellazione nel senso più stretto”. > > Quindi si può dedurre che la cancellazione “logica”, attraverso la crittografia, nel momento in cui non permette la stretta correlazione “interessato-informazioni” è, salvo precisazioni del Garante o di un tribunale, al lato pratico una asportazione. > > Aldo

Nov. 21, 2018

Re: [nexa] R: R: GDPR - Blockchain

by Marco Ciurcina

In data mercoledì 21 novembre 2018 09:54:22 CET, Aldo Pedico ha scritto: > Quindi si può dedurre che la cancellazione “logica”, attraverso la > crittografia, nel momento in cui non permette la stretta correlazione > “interessato-informazioni” è, salvo precisazioni del Garante o di un > tribunale, al lato pratico una asportazione. Mah! Ti consiglio di fare la PIA, fare la consultazione preventiva al Garante ed aspettare la risposta. m.c.

Nov. 21, 2018

R: R: GDPR - Blockchain

by Aldo Pedico

Ciao. Nel documento “The UE Blockchain Observatory and Forum - Blockchain e GDPR”, capitolo “Blockchain e diritti e obblighi del GDPR”, nel punto “2. Minimizzazione dei dati e diritto di cancellazione e rettifica” c’è la seguente precisazione in merito alla cancellazione dei dati personali nella rete blockchain. “In questo contesto, CNIL riconosce che alcune tecniche di crittografia, associate alla distruzione delle chiavi, possono essere considerate come una cancellazione anche se non è una cancellazione nel senso più stretto”. Quindi si può dedurre che la cancellazione “logica”, attraverso la crittografia, nel momento in cui non permette la stretta correlazione “interessato-informazioni” è, salvo precisazioni del Garante o di un tribunale, al lato pratico una asportazione. Aldo -----Messaggio originale----- Da: nexa [mailto:nexa-bounces@server-nexa.polito.it] Per conto di Giacomo Inviato: mercoledì 21 novembre 2018 07:47 A: Marco <marco.crepaldi(a)ymail.com>; 'Luca Cappelletti' <luca.cappelletti(a)gmail.com> Cc: 'Nexa' <nexa(a)server-nexa.polito.it> Oggetto: Re: [nexa] R: GDPR - Blockchain Il November 20, 2018 10:34:06 PM UTC, Marco <marco.crepaldi(a)ymail.com<mailto:marco.crepaldi@ymail.com>> ha scritto: >Cari tutti, > >sul tema mi permetto di segnalare i seguenti articoli Grazie Marco, li leggerò con attenzione. >IMHO un blockchain di tipo permissioned risolve la questione >compliance. Più o meno. Per cancellare un dato personale dalla blockchain devi riportarla allo stato precedente la sua introduzione e rieseguire tutte le altre transazioni in ordine. TECNICAMENTE è possibile, ma significa interrompere tutta la rete per un tempo paragonabile a quello trascorso dalla introduzione del dato rimosso. Inoltre in una rete permissioned il vantaggio di usare una blockchain viene meno: ti stai comunque fidando di qualcuno, dunque esistono sistemi molto più efficienti. Giacomo _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it<mailto:nexa@server-nexa.polito.it> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Nov. 21, 2018

Re: [nexa] R: GDPR - Blockchain

by Giacomo

Il November 20, 2018 10:34:06 PM UTC, Marco <marco.crepaldi(a)ymail.com> ha scritto: >Cari tutti, > >sul tema mi permetto di segnalare i seguenti articoli Grazie Marco, li leggerò con attenzione. >IMHO un blockchain di tipo permissioned risolve la questione >compliance. Più o meno. Per cancellare un dato personale dalla blockchain devi riportarla allo stato precedente la sua introduzione e rieseguire tutte le altre transazioni in ordine. TECNICAMENTE è possibile, ma significa interrompere tutta la rete per un tempo paragonabile a quello trascorso dalla introduzione del dato rimosso. Inoltre in una rete permissioned il vantaggio di usare una blockchain viene meno: ti stai comunque fidando di qualcuno, dunque esistono sistemi molto più efficienti. Giacomo

Nov. 21, 2018

R: GDPR - Blockchain

by Marco

Cari tutti, sul tema mi permetto di segnalare i seguenti articoli A. Biryukov and I. Pustogarov, "Bitcoin over Tor isn't a Good Idea," 2015 IEEE Symposium on Security and Privacy, San Jose, CA, 2015, pp. 122-134. doi: 10.1109/SP.2015.15 DuPont, Jules, and Anna Cinzia Squicciarini. "Toward de-anonymizing bitcoin by mapping users location." Proceedings of the 5th ACM Conference on Data and Application Security and Privacy. ACM, 2015. IMHO un blockchain di tipo permissioned risolve la questione compliance. Marco Crepaldi, ph.d. candidate in law, science and technology -----Messaggio originale----- Da: nexa <nexa-bounces(a)server-nexa.polito.it> Per conto di Giacomo Tesio Inviato: martedì 20 novembre 2018 01:34 A: Luca Cappelletti <luca.cappelletti(a)gmail.com> Cc: Nexa <nexa(a)server-nexa.polito.it> Oggetto: Re: [nexa] GDPR - Blockchain Ciao Luca, obbiezione interessante. Vero, puoi "minare" bitcoin anonimamente, ma puoi spenderli senza svelare la tua identità alla controparte? Dipende dal servizio / prodotto che acquisti. Se è un servizio consumabile via Tor, probabilmente puoi. Ma, correggimi se sbaglio, nel momento in cui sveli la proprietà di quell'indirizzo ad UNA controparte, gli sveli contemporaneamente TUTTE le transazioni che hai effettuato con quel indirizzo. Dunque quei dati sensibili sono IDENTIFICABILI anche se non sono (ancora) identificati. L'indirizzo del portafoglio sulla blockchain non è diverso da un IP salvato nei log di un server web. Da solo non è sufficiente per associare i dati di navigazione ad una persona, ma permette all'ISP che conosce l'associazione IP-persona di acquisire informazioni personali su quest'ultima a fronte della pubblicazione di quei log. Nel caso di una blockchain, i dati sono già pubblici e le transazioni associate ad un indirizzo verificabili. Manca solo il collegamento fra indirizzo e persona, che si può ottenere in vari modi. Il giorno lun 19 nov 2018 alle ore 22:14 Luca Cappelletti <luca.cappelletti(a)gmail.com> ha scritto: > > E' possibile quindi pubblicare dati sensibili su una blockchain > mondiale usando l'anonimato completo MA con la certezza che, se anche solo UNA transazione rivelasse l'identità del possessore di un indirizzo, tutte le transazioni associabili, precedenti e successive, potrebbero venire istantaneamente associate a quella stessa persona. Insomma... come dicevo, bitcoin NON GARANTISCE l'anonimato perché NON GARANTISCE la forward secrecy. Ma la cosa divertente è che di ciascuno di quei dati sensibili, salvati su migliaia di computer controllati da sconosciuti in giro per il mondo, ogni cittadino europeo ha il diritto a richiedere la cancellazione. Cancellazione TECNICAMENTE POSSIBILE, ma estremamente costosa (e potenzialmente vulnerabile a fork e double spending). Se una sentenza dovesse stabilire un risarcimento per il cittadino a fronte di una violazione del diritto all'oblio di un cittadino, sarà una gara a chi cita in giudizio più pool/miner. Ci sarà da divertirsi! :-D > E' un campo minato...non nel senso di miner Minato e direi anche fortemente radioattivo! ;-) Giacomo _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Nov. 20, 2018

Re: [nexa] The HQ2 Scam: How Amazon Used a Bidding War to Scrape Cities’ Data - In These Times

by Luigi Scorca

Una follia. E concordo con le conclusioni "There was no reason for elected officials to fall for this game. But they have been lured by the promise of jobs—in many cases a false promise <http://inthesetimes.com/working/entry/20881/Amazon-workers-jobs-economic-po…>, as studies show that corporate welfare subsidies are usually not worth it—into handing a goldmine over to Amazon." Il giorno mar 20 nov 2018, 23:24 J.C. DE MARTIN <demartin(a)polito.it> ha scritto: > > > http://inthesetimes.com/article/21571/the-hq2-scam-how-amazon-used-a-biddin… > > > (Sent from my wireless device; please excuse brevity and typos (if any)) > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Nov. 20, 2018

The HQ2 Scam: How Amazon Used a Bidding War to Scrape Cities’ Data - In These Times

by J.C. DE MARTIN

http://inthesetimes.com/article/21571/the-hq2-scam-how-amazon-used-a-biddin… (Sent from my wireless device; please excuse brevity and typos (if any))

Nov. 20, 2018