Questo non è e non può essere un parere legale: le regole differiscono da un Paese all’altro e in base al ruolo in cui agisci. Quanto esposto qui indica dove si arresta questa associazione, e il ragionamento vale la pena di essere tenuto presente qualunque sia la giurisdizione in cui operi.
Mai trattati, in nessun caso:
- Qualsiasi cosa dietro un accesso con credenziali che non ti sono state fornite. Compreso un account creato da qualcun altro, e compreso uno ottenuto chiedendo la password a un collega.
- Messaggi privati e gruppi chiusi. Un gruppo soggetto a un controllo sull’iscrizione è chiuso, per quanto facile sarebbe entrarvi.
- Dati trapelati e provenienti da violazioni. Circolano liberamente e vengono spesso offerti come un set di dati legittimo. Usarli rende inutilizzabile ogni risultato e, in gran parte d’Europa, rende illecito il trattamento stesso.
- Qualsiasi cosa raggiunta aggirando un controllo. CAPTCHA, limiti di frequenza, paywall e restrizioni di accesso indicano tutti che non sei invitato.
E due aspetti che traggono in inganno anche le persone prudenti:
Visibile pubblicamente non equivale a liberamente trattabile. Nell’UE e nel Regno Unito, i dati personali pubblicati riguardano comunque un interessato titolare di diritti. Essere in grado di vedere qualcosa e avere il permesso di raccoglierla, conservarla e combinarla sono questioni diverse.
La combinazione è di per sé un atto. Tre fatti pubblici innocui assemblati per ricostruire gli spostamenti quotidiani di una persona diventano una cosa nuova, ed è l’assemblaggio a creare il rischio — non una qualsiasi delle singole parti.
Il test che permette di individuare la maggior parte dei casi: potresti mettere per iscritto esattamente come hai ottenuto questo dato, consegnarlo alla persona interessata e difenderne l’operato? Se no, non farlo.