Commissione parlamentare per l'indirizzo generale e la vigilanza dei servizi radiotelevisivi - Bollettino delle Giunte e delle Commissioni

ALLEGATO

QUESITI PER I QUALI È PERVENUTA RISPOSTA SCRITTA ALLA PRESIDENZA DELLA COMMISSIONE (dal n. 85/556 al n. 86/561).

BERGESIO, CAPITANIO, COIN, IEZZI, FUSCO, PERGREFFI, TIRAMANI. – Al Presidente e all'Amministratore delegato della Rai.
Considerato che da – quanto si apprende da fonti di stampa – nelle scorse settimane l'Amministratore Delegato della Rai ha effettuato delle nomine relative a settori strategici per la governance della Società Concessionaria;
considerato altresì che un giornalista professionista ed esperto come Fabrizio Ferragni è stato rimosso dall'incarico;
alla Società Concessionaria si chiede di conoscere:
un elenco dettagliato delle nomine effettuate;
quali sono i criteri discretivi cui è stata informata la scelta per ogni settore;
quanti e quali candidati per le varie posizioni sono stati valutati;
quali sono i motivi che hanno portato alla rimozione di Fabrizio Ferragni dal suo incarico. (85/556)

RISPOSTA. – In merito all'interrogazione in oggetto si informa di quanto segue.
In data 23 maggio l'amministratore delegato della Rai ha formalizzato le seguenti nomine di corporate: Marcello Giannotti direttore della Comunicazione; Simona Martorelli direttore Relazioni Internazionali; Stefano Luppi direttore Relazioni Istituzionali; Andrea Montanari direttore Ufficio Studi; Pietro Gaffuri direttore Direzione Transformation Office; Elena Capparelli direttore Area Digital; Monica Caccavelli direttore Direzione Acquisti; Felice Ventura direttore Risorse Umane e Organizzazione; Alessandro Zucca direttore Infrastrutture Immobiliari e Sedi Locali. Inoltre a Luciano Flussi viene assegnato l'incarico di Senior Advisor per l'Innovazione dei Processi Aziendali, alle dirette dipendenze dell'Amministratore Delegato. Tali nomine si aggiungono a quelle già precedentemente formalizzate dall'Amministratore Delegato il 1 aprile scorso.
L'Amministratore Delegato, nell'ambito dei poteri attribuitigli dallo Statuto (che recepisce le norme del Testo Unico sui Servizi Media Audiovisivi e Radiofonici) e in coerenza con le disposizioni del Piano per la Trasparenza e la Comunicazione Aziendale, ha ritenuto di procedere nella direzione sopra sintetizzata con l'obiettivo di pervenire alla strutturazione di un assetto coerente con l'implementazione del nuovo piano industriale, in un quadro di valorizzazione delle risorse interne.

BERGAMINI, MULÈ. – Al Presidente e all'Amministratore delegato della Rai.
Premesso che:
Audiweb srl è l'organismo italiano che realizza e distribuisce nel mercato italiano un sistema integrato di servizi per la rilevazione, la misurazione e la diffusione dei dati di fruizione dei media online;
per effettuare tali misurazioni Audiweb si rivolge a soggetti terzi, quali The Nielsen Company, che fornisce il servizio di statistica Nielsen Audience Measurement;
come si evince dal sito web della RAI, alla sezione riservata alla politica di privacy dei prodotti multimediali con registrazione (all'URL https://www.rai.it/account/Privacy-Policy-estesa-dei-domini-RaiPlay-9b80d525-f09d-434f-8b95-5095b13a498c.html), alla lettera D., «Nielsen si avvale di Facebook, Inc. quale «data provider», specificando che l'attività di Facebook è finalizzata ad «arricchire le informazioni censorie rilevate con informazioni relative all'età e al genere degli utenti (trasmessi da Facebook in forma pseudo-anonima e aggregata) che si aggiungono e migliorano l'accuratezza delle misurazioni effettuate e effettuare la deduplicazione delle audience tra dispositivi (cioè evitare che dati doppi o ripetuti inficino la correttezza della misurazione statistica)»;
alla stessa lettera D., inoltre, si riporta che Nielsen condivide con Facebook i dati in forma aggregata e tramite l'utilizzo di tecniche di criptazione, e specifica che si tratta di dati personali degli utenti;
alcuni di questi dati sono raccolti in chiaro da Facebook attraverso il re-direct dal browser dell'utente quali l'indirizzo IP; lo user agent; nonché i metadati inclusi nel re-direct. Altri dati in forma criptata attraverso Nielsen come il content ID; l'advertising ID (informazioni raccolte solo con riferimento ad applicazioni mobili) e il cookie di Nielsen SDK (Software Development Kit);
il luogo del trattamento dei dati, infine, è negli Stati Uniti;
il tema della sicurezza dei big data e in generale delle falle del sistema dei social network è da tempo al centro del dibattito a livello internazionale, vieppiù a seguito di casi come quello dello scandalo di Cambridge Analytica che secondo le ricostruzioni sottrasse i dati di 87 milioni di utenti proprio del colosso fondato da Zuckenberg, al fine di profilare i comportamenti degli utenti e sfruttarli per campagne pubblicitarie ed elettorali –:
chiede di sapere:
se siano a conoscenza di quanto illustrato in premessa;
se non ritengano opportuno approfondire gli aspetti di sicurezza dei dati personali degli utenti;
quali iniziative intendano assumere tempestivamente per garantire concreta sicurezza ai dati degli utenti ed evitare che gli stessi finiscano per essere profilati, per mezzo del servizio pubblico, a fini commerciali o, ancor peggio, politico-elettorali. (86/561)

RISPOSTA. – In merito all'interrogazione in oggetto si informa di quanto segue.
Rai è costantemente impegnata nel promuovere la massima sicurezza del trattamento dei dati personali dei propri utenti, in accordo con la normativa applicabile in materia, nell'ambito di tutta la propria offerta digital; ciò con particolare riferimento alle attività di misurazione statistica realizzate da Joint Industry Committee monitorati da AGCom, come Audiweb o Auditel, che per definizione si propongono di offrire dati imparziali al mercato, riguardanti i comparti media di competenza, senza i quali circolerebbero soltanto dati di consumo direttamente forniti da ciascun operatore, con prevalenza degli OTT come Facebook e Google, che come noto raccolgono circa il 75 per cento delle risorse pubblicitarie del settore, basandosi su dati da essi stessi forniti.
In tale quadro, con riferimento al tema della sicurezza dei dati personali degli utenti nell'ambito di Audiweb, di cui l'Azienda è cliente ma al cui indirizzo strategico concorre attraverso la rappresentanza in Fedoweb, Associazione che rappresenta i principali operatori del web a cui Rai partecipa al pari dei maggiori editori italiani, vanno evidenziati i presupposti dell'evoluzione metodologica di Audiweb 2.0 e del suo ricorso al partner tecnico Nielsen, a sua volta operante per le sue attività di ricerca con un accordo mondiale di collaborazione con Facebook.
Si ritiene opportuno mettere in evidenza, come punto di partenza per spiegare il ricorso a big data nella misurazione del traffico web, come la stessa AGCom avesse ravvisato, nella propria «Indagine conoscitiva sui sistemi di rilevazione degli indici di ascolto sui mezzi di comunicazione di massa», svolta nel 2016, una serie di limiti nella metodologia Audiweb 1.0, tra i quali (cfr. punto 617 del Rapporto conclusivo AGCom; del. 236/17/CONS):
la scarsa tempestività nella produzione dei dati (solo mensili con diffusione dopo 45 gg);
la centralità nel processo di elaborazione dei dati delle informazioni desumibili da un'indagine campionaria, attraverso un panel di individui rispetto a quelle derivanti da una rilevazione censuaria.

Audiweb pertanto, recependo le osservazioni della competente Autorità, così come le istanze provenienti dal mercato, attraverso una lunga procedura di Beauty Contest conclusasi nel 2017, che ha coinvolto le principali Società di ricerca presenti sul mercato italiano, ha ritenuto opportuno passare ad una produzione di dati su base giornaliera, riferiti ad utenti unici e con attribuzione di sesso/età, con una rilevazione censuaria, quindi basata sui consumi effettivi degli utenti, necessaria a cogliere la estrema frammentazione e vastità del web, impossibile da rappresentare solo con panel. Tale sistema innovativo, per essere efficace, richiede per sua natura una maggiore e diretta cooperazione degli editori «clienti», dal momento che la rilevazione censuaria parte proprio dall'installazione – sulle properties degli editori rilevati – di strumenti di misurazione digitale del traffico generato, relativi alle attività di ciascun utente.
Essendo però i dati censuari relativi a browser e/o device, per arrivare a riferirli giornalmente a utenti unici, con la minima specificazione di sesso ed età, in un comparto così vasto e frammentato come il web, gli organismi tecnici di Audiweb nel corso del Beauty Contest si sono resi conto della necessità dell'impiego di big data; tutti gli Istituti partecipanti avevano infatti chiaramente indicato questa necessità e dall'esame dei progetti il più valido è stato ritenuto dagli organismi tecnici di Audiweb quello di Nielsen, che in virtù della propria partnership con Facebook poteva disporre dei big data necessari ad alimentare i propri algoritmi di produzione di audience digital secondo i requisiti di cui sopra. Rai si è preoccupata da subito di comprendere appieno il funzionamento specifico della rilevazione (evidentemente, anche al fine di illustrarlo adeguatamente ai propri utenti, in ottemperanza al dettato normativo), con particolare riferimento ai dati personali effettivamente coinvolti ed al trattamento degli stessi, in ogni parte del processo, con particolare riferimento al ruolo di Facebook.
Come dettagliatamente descritto da Audiweb nel documento detto «Nota informativa», pubblicato sul proprio sito (http://www.audiweb.it/metodologia/note-informative.html) ai sensi della delibera AGCOM n. 85/06/CSP per rendere trasparente al mercato e agli utenti la metodologia di rilevazione, l'intervento di Facebook nella rilevazione Audiweb può essere sinteticamente riassunto come segue:
i. attribuzione dell'informazione sesso/età, nei soli casi in cui sia presente un cookie di login a Facebook o nel caso in cui l'Advertising ID sia tra quelli dei propri utenti. Vale a dire, quando Facebook è in grado di riconoscere che si tratta di un proprio iscritto, usa i propri dati (e non quelli della rilevazione Audiweb) per attribuire sesso ed età ad un utente altrimenti generico;
ii. applicazione dell'algoritmo fornito da Nielsen per la correzione sesso/età (per trattare il caso tipico dei device condivisi, nei quali l'utente che effettua l'accesso a Facebook non è sempre l'unico a utilizzare il device);
iii. aggregazione degli utenti unici, targettizzati per sesso ed età, per ogni contenuto inviato a Facebook in modo criptato, in modo che non possa riconoscere il singolo contenuto. Tali dati vengono poi inviati a Nielsen in modo aggregato, in modo che Nielsen stessa non possa ottenere informazioni sul consumo del singolo utente.

Nell'assetto definito da Nielsen e rappresentato a Rai, Facebook interviene con proprie specifiche procedure di trattamento sui dati ricevuti solo per il punto i), ovvero per compiere, nel caso di navigazioni svolte dai propri utenti, i cui dati personali sono stati già raccolti da Facebook, una prima associazione di profilo sesso/età, soggetta a possibili revisioni da Nielsen già dallo step seguente, che prevede l'impiego di un modello statistico realizzato da Nielsen stessa sulla base di informazioni raccolte sui comportamenti di navigazione e sulla frequenza di utilizzo dei vari device da parte della componente panel.
Nel caso della rilevazione Audiweb, Facebook è quindi un partner tecnico della Società incaricata di svolgere il servizio di rilevazione (sub-processor/sub-responsabile del trattamento), che agisce in un ben determinato punto del processo, al fine di fornire a Nielsen – con esclusivo riferimento alla navigazione degli iscritti al social network – le informazioni sul sesso/età dell'utente che risulta loggato alla piattaforma sul device da cui si origina il traffico.
Facebook svolge questo compito senza essere a conoscenza del contenuto sito/app visitato, sia perché tale informazione le viene fornita in modo codificato sia perché, nel redirect, la url del sito visitato viene sostituita da una url nel dominio Nielsen, come espressamente indicato nel documento di Data Processing Agreement (DPA) sottoscritto tra Nielsen ed i singoli editori e più avanti dettagliato. In altri termini, la funzione di Facebook – nel processo di rilevazione gestito da Audiweb e, per essa, da Nielsen – è pertanto, ed esclusivamente, quella di fonte di informazione necessaria alla trasformazione di dati censuari relativi a browser/device in dati relativi ad utenti, con una attribuzione di sesso/età; per fare ciò, Facebook mette a disposizione big data provenienti dalla propria attività di profilazione, per i quali abbia ottenuto uno specifico consenso da parte dei propri iscritti.
Secondo quanto rappresentato da Nielsen, quest'ultima ha scelto Facebook quale data provider in virtù di un elevato tasso di qualità e di affidabilità dei dati di sesso/età forniti, caratteristiche riscontrate da Nielsen a fronte di controlli incrociati con i dati noti dei propri panel realizzati in diversi Paesi.
Rispetto a un meccanismo di ricerca così complesso, Rai si è distinta in ogni fase del processo, attraverso l'associazione Fedoweb, azionista di Audiweb, così come nel Comitato Tecnico e nello stesso CdA Audiweb, per la propria attenzione e proattività, sia nei riguardi della correttezza e affidabilità della metodologia sia in riferimento al tema del trattamento dei dati personali.
Nello specifico, si sottolinea come sia stata proprio Rai, attraverso i controlli realizzati internamente nei mesi precedenti l'avvio della rilevazione con il nuovo sistema Audiweb 2.0, a condurre una propria autonoma valutazione (assessment) in merito alle caratteristiche del redirect dei dati verso Facebook, richiedendo importanti correttivi a tale trattamento da parte di Nielsen che – sulla base della segnalazione di Rai – ha provveduto a rivedere la URL contenuta nel redirect, sostituendola automaticamente con una diversa URL, facente parte di un dominio nella titolarità di Nielsen e impedendo così la possibile acquisizione di informazioni sui contenuti visualizzati da parte di Facebook (le app mobile non sono interessate dal redirect); la natura in «chiaro» di tale trattamento non era segnalata nella prima versione di Nota Informativa pubblicata sul sito AGCom ed è stata pertanto modificata a seguito degli interventi di Rai.
Questa ed altre evidenze (sul flusso dei dati e interazioni tra Nielsen e Facebook; sulla localizzazione server UE/extra UE; sulle modalità e tempistiche di conservazione dei dati; sulla gestione dell’opt-out utente) sono state prontamente condivise dai rappresentanti di Rai in Fedoweb e presso il CdA Audiweb, presso i quali Rai si è attivata per stimolare anche gli altri editori a sostenere il processo di rafforzamento della protezione dei dati personali degli utenti.
Questa intensa ed efficace azione promossa da Rai ha permesso ad Audiweb:
la redazione di una nuova e più accurata «Nota Informativa», con dettagli sui flussi e le procedure di elaborazione dei dati, ivi inclusi quelli personali (tale documento rappresenta l'appendice tecnica del contratto editori/Audiweb e la sua pubblicazione costituisce un obbligo di trasparenza per la Società di rilevazione verso il mercato e gli utenti);
la definizione di un testo coerente ed esaustivo per l'Informativa agli utenti;
la proposizione, in supporto agli editori partecipanti alla misurazione con SDK sui propri siti, individuati come titolari del trattamento dei dati personali, di uno schema negoziato con Nielsen di Data Processing Agreement ( «DPA»), necessario ai sensi del Gdpr per regolare i rapporti tra gli editori, titolari del trattamento, e Nielsen (partner tecnici come Facebook inclusi), responsabile del trattamento dei dati personali; nel citato DPA, è chiaramente scritto che Nielsen e i suoi partner nell'esecuzione della ricerca (Facebook) operano nel rispetto del sistema regolatorio e di compliance definito dal Gdpr e che ogni trattamento di dati personali è svolto nei limiti – e circoscritto alle finalità – del raggiungimento degli obiettivi della ricerca, cioè quello dell'ottenimento di dati di traffico su property digital.

Nella DPA tra Rai e Nielsen tra l'altro, con riferimento specifico a Facebook, Nielsen dichiara e garantisce che:
Facebook è stata debitamente nominata da Nielsen stessa sub-responsabile del trattamento ed il relativo accordo per il trattamento dei dati personali è conforme al Gdpr. Nel caso di trattamenti effettuati al di fuori della UE, questi saranno oggetto di salvaguardie non meno protettive di quelle previste all'interno della UE, Gdpr incluso;
ai sensi dell'accordo per il trattamento dei dati personali stipulato con Nielsen, è fatto divieto a Facebook di effettuare un incrocio tra i dati personali di cui l'editore è titolare ed il contenuto pubblicitario/ editoriale accessibile dagli utenti dell'editore (interessati dal trattamento);
Facebook è obbligata a conservare i dati personali trattati per un periodo non superiore a 120 (centoventi) giorni e, trascorso tale periodo di conservazione, è obbligata a cancellare i dati personali degli utenti interessati;
l'anzidetto periodo di conservazione è conforme ai principi di proporzionalità e necessità del trattamento stabiliti dal Gdpr e tale periodo di conservazione è necessario al fine di procedere ai controlli sulla qualità dei dati di audience (effettuati su base trimestrale).

Per elevare ulteriormente il grado di protezione dei dati personali dei propri utenti, Rai ha proposto e fatto approvare in sede Fedoweb, la richiesta – poi recepita dal C.d.A. Audiweb – di una segnalazione da parte di Audiweb al Garante Privacy in merito al trattamento complessivo dei dati personali degli utenti nell'ambito della ricerca, sollecitando l'Authority, ove lo ritenga necessario, a svolgere ulteriori verifiche nell'ambito delle sue prerogative, offrendo piena collaborazione e supporto in merito; tale segnalazione, inviata il 4 febbraio 2019, non risulta ad oggi aver ricevuto alcun riscontro da parte del Garante.
Da quanto sopra rappresentato sembra emergere come Rai abbia già posto in essere e continui a promuovere in sede Fedoweb e Audiweb tutte le possibili attività di verifica e controllo rispetto alla tutela dei dati personali degli utenti. Ad oggi, non risulta che le attività di trattamento dei dati personali siano state effettuate da Nielsen e Facebook in violazione dei predetti accordi di DPA; Rai, tuttavia, si sta attivando presso Fedoweb e nell'ambito del CdA Audiweb, affinché il piano di controlli già previsto al fine di garantire la compliance regolatoria e assicurare il massimo livello possibile di protezione dei dati personali dei propri utenti sia realizzato secondo quanto deliberato e, se necessario, rafforzato.
Da ultimo, si rileva come azioni di profilazione a fini commerciali o politico-elettorali dei dati provenienti dagli editori nell'ambito della ricerca Audiweb 2.0 siano espressamente vietate dagli accordi tra Audiweb e Nielsen e tra editori e Nielsen, partner tecnici inclusi, con piena responsabilità a carico di Nielsen; si ritiene opportuno mettere in evidenza, ancora una volta, infatti, che i dati personali rilevati nell'ambito della ricerca, limitati a quelli sopra evidenziati, possono essere utilizzati sia da Nielsen sia dai suoi partner tecnici al solo fine di produrre i dati generali e aggregati di traffico web previsti dal contratto tra Audiweb e Nielsen.