Grazie, molto interessante. In pratica se ho capito l'applicabilità della GDPR segue il dato personale, non il luogo della elaborazione o la sede legale di chi li detiene. Questo è interessante e pertinente alla mia domanda, ma solo per il trattamento dei dati personali. Io però stavo pensando più al trasferimento della elaborazione non del dato. Vi faccio un esempio più concreto, realmente accaduto, di cui però non ho il link sottomano. Qualche tempo fa un portale molto diffuso in Cina, distribuì ai browser dei propri visitatori un javascript che effettuava richieste http ad us sito statunitense, github.com molto utilizzato dagli sviluppatori di tutto il mondo. Attraverso poche righe di Javascript eseguite su milioni di computer fu possibile interrompere il servizio di Github, causando problemi non solo all'azienda statunitense ma ha un enorme numero di sviluppatori in tutto il pianeta. Questo tipo di attacco è chiamato in gergo distribued denial of service, ma di solito viene effettuato da attaccanti consenzienti, mentre questa volta tutti i visitatori del sito badu parteciparono all'attacco fornendo banda e ip senza esserne consapevoli. Il caso ebbe una certa eco mediatica perché Github chiese il supporto di esperti di sicurezza governativi (la NSA se non ricordo male) e dall'altra si supponeva ci fosse il governo cinese con l'obbiettivo di censurare alcuni oppositori che utilizzavano il servizio. Non credo si fosse trattato del primo attacco di questo tipo, ma fu sicuramente uno dei più evidenti. Ora questo tipo di attacchi è tuttora possibile, una CDN compromessa potrebbe fare molto peggio, ma il mio dubbio è per la responsabilità del codice eseguito dai browser dei visitatori. Se di quel cidice non risponde chi esegue il javascript sul proprio browser, allora ne dovrebbe rispondere chi lo controlla (in questo caso badu). Però, se il codice viene eseguito da un browser in Italia, non dovrebbe rispondere alle leggi italiane? O solo a quelle cinesi (che probabilmente in questo caso non potrebbero obbiezioni? Giacomo Il 27/Gen/2018 10:29, "Guido Noto La Diega" <noto.la.diega@gmail.com> ha scritto: Interessante. Come punto generale, il diritto regole le persone, non le tecnologie. Per il resto l'applicazione extraterritoriale del diritto è spesso problematica, ma tieni a mente che ai sensi dell'art. 3(2) GDPR "This Regulation applies to the processing of personal data of data subjects who are in the Union by a controller or processor not established in the Union, where the processing activities are related to: (a) the offering of goods or services, irrespective of whether a payment of the data subject is required, to such data subjects in the Union; or (b) the monitoring of their behaviour as far as their behaviour takes place within the Union." On 26 Jan 2018 23:43, "David Orban" <david@davidorban.com> wrote:

Il codice di un programma non è una persona giuridica. Lo è chi possiede il codice. Naturalmente questo non rende le cose più semplici, anzi, in casi di codice open source distribuito.

Questo aspetto lo si sta esplorando intensamente con l'arbitraggio giurisdizionale delle ICO, vendite di token crittografici, che girano sulla blockchain.

Volendo evitare di essere classificati come security lencui vendite e intermediazioni sono soggette ad una regolamentazione finanziaria limitante, Svizzera, Singapore, Gibilterra, Malta e molte altre giurisdizioni stanno facendo a gara per attrarre progetti.

In nessun caso si tiene conto del luogo in cui si trovano i computer degli utilizzatori, ma della sede legale dell'organizzazione, spesso una fondazione senza scopo di lucro, che conia i token.

L'abitudine USA di vedere il mondo intero come loro colonia (Kim Dotcom con la Nuova Zelanda è un esempio calzante) ha comunque già prodotto interventi pesanti, dove i progetti si sono fermati. Anche in Cina...

On Fri, Jan 26, 2018, 12:36 PM Giacomo Tesio <giacomo@tesio.it> wrote:

...

Salve,

approfitto della lista per una domanda giuridica nata durante l'analisi di un sistema operativo distribuito (un fork di Plan 9 from Bell Labs, per chi è del mestiere).

Nel protocollo di rete che sto cercando di realizzare, un eseguibile disponibile su un server remoto può essere eseguito localmente o direttamente sul server, in entrambi i casi accedendo alle risorse locali e a quelle remote (naturalmente rispettando i permessi definiti da tutti gli stakeholder).

Dopo aver riletto https://www.gnu.org/philosophy /who-does-that-server-really-serve.it.html mi sono chiesto che implicazioni legali avrebbe questa computazione distribuita.

La mia prima domanda è stata: a che legislazione risponde questo immaginario programma? A quella del server o a quella del client?

La risposta che mi sono dato (lo so... non doveri farlo... IANAL... etc...) è stata "dipende da dove viene eseguito!". Cosciente che questa risposta è sicuramente sbagliata ho pensato di scrivervi. :-)

Ma subito ho realizzato che, sebbene in modo enormemente più complicato che nel sistema che ho in mente, questa cosa avviene già quotidianamente in milioni di computer!

Il modello client-server che ormai tutti conoscono e comprendono si applica solamente ad una parte del web di oggi.

Tale modello infatti descrive bene la distribuzione e il consumo di documenti statici, di dati, come un pdf, un file Excel, un articolo di giornale, un brano mp3 o un video avi. Questi file vengono collocati su un server, scaricati da un client e successivamente utilizzati attraverso un programma locale che li rappresenta sullo schermo di un pc o nelle cuffie di un cellulare.

La separazione delle responsabilità è chiara: - il server risponde alla propria giurisdizione per i documenti che rende disponibili - il client risponde alla propria giurisdizione per l'utilizzo che fa di quei documenti

Ma quando utilizziamo una applicazione web, come GMail, Google Maps, uno spreadsheet Zoho o anche Office365, stiamo utilizzando una applicazione distribuita, eseguita in parte sul server e in parte sul client (attraverso una notevole quantità di JavaScript eseguita nel nostro browser).

Contrariamente a quanto avveniva fino ai primi anni 2000, non siamo più di fronte ad una rete fatta di server complessi e client semplici. Nei fatti, siamo di fronte ad una grande rete (quasi) peer to peer, con una vera (ed estremamente inefficiente) computazione distribuita.

I nostri PC eseguono, di fatto, programmi sotto il controllo *diretto *di terze parti.

E questa modalità operativa è sempre più evidente con l'avvento tecnologie come WebAssembly, ma era già possibile dall'introduzione di CONNECT nell'HTTP 1.1 ed ha iniziato a prendere piede con introduzione di WebSocket e WebNotification in HTML5.

Dunque chi risponde di questi programmi? Sotto quale giurisdizione? A quali leggi devono obbedire?

Faccio un esempio concreto: supponiamo per assurdo che StackOverflow (un sito statunitense il cui business model si basa sul fornire profili dettagliati degli sviluppatori ai recruiter) violi il GDPR sul mio pc, utilizzando informazioni personali che io gli fornisco inavvertitamente senza avermi chiarito esattamente la logica dei processi decisionali automatizzati che ne derivano.

A quali leggi risponde quel software, dal momento che gira effettivamente sul mio pc, ma completamente sotto il controllo di un'ente straniero?

Il mio sospetto è che la computazione distribuita a cui siamo di fronte metta in discussione il concetto di territorio di una Nazione, contrariamente a quanto facesse la rete internet fino ai primi anni 2000, in cui *i confini venivano attraversati dai dati ma NON dalle elaborazioni*.

Dunque la mia domanda è: a quale giurisdizione deve rispondere un programma eseguito in Italia (o comunque in Europa) per conto di un ente straniero?

Spero di aver posto la domanda in modo comprensibile. Scusatemi per la lunghezza, ma vi prego di rispondermi pazientemente anche se si trattasse di dubbi banali, anche solo con qualche riferimento per poter approfondire autonomamente.

Grazie mille!

Giacomo

_______________________________________________ nexa mailing list nexa@server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

_______________________________________________ nexa mailing list nexa@server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa