Il nuovissimo sito creato per gestire e richiedere il reddito di cittadinanza (redditodicittadinanza.gov.it) potrebbe avere un grave problema, ossia la violazione della privacy degli utenti. A quanto pare, infatti, il sito potrebbe violare le nuove norme per la privacy previste dal recente regolamento europeo chiamato GDPR, come ha fatto notare l'esperto di sicurezza informatica Matteo Flora sul suo blog, in un post nel quale sottolinea alcuni bug nella sicurezza dei dati di chi farà la domanda online per richiedere la misura del Movimento 5 Stelle.
I problemi con la privacy policy
Il primo problema che avrebbe il sito riguarda l'assenza di una propria privacy policy, in palese violazione delle leggi europee sulla privacy, rimandando nell'informativa a quella del ministero del Lavoro. Oltre al fatto che già questo sarebbe illegale, non è detto che la privacy policy del sito del ministero del Lavoro valga anche su altri siti, tra i quali quello del reddito di cittadinanza (cosa che, se fosse fatta, potrebbe rendere valida la struttura della privacy policy utilizzata per il sito del reddito). Dulcis in fundo, sul sito del ministero, oltre all'assenza di una direttiva che estende la policy ministeriale ad altri siti, la sezione dove sono indicati i dati del responsabile per il trattamento delle informazioni inserite nei siti è una pagina con su scritto "in corso di aggiornamento".
Il sito del reddito di cittadinanza regala dati personali a Google (e Microsoft?)
Il secondo problema analizzato da Matteo Flora, tuttavia, sarebbe ancora più grave. A quanto pare, analizzando il codice sorgente del sito del reddito di cittadinanza, i dati degli utenti vengono "regalati" ad un altro ente, e non un utente governativo, ma a Google.
Questo succederebbe perché il sito è stato messo in piedi usando codici di Google, nello specifico quelli che codificano i font di testo, e questo, a quanto dice lo stesso Flora, “innesca una serie di meccanismi che la ‘aprono’ alla lettura di parte dei dati”. In pratica, il governo ha creato un sito con un Cavallo di Troia all'interno (in senso mitologico, non informatico).
Google non ha responsabilità, in quanto nei suoi regolamenti dichiara che l'utilizzo di Google Font è considerato come "Data Controller", in quanto, stando alla nota della stessa azienda (rilasciata da quasi un anno, il 17 aprile 2018): “Google Font opera come un data controller per ogni dato personale che Google processa in connessione con l’uso di Google Font via web". Il tutto è ancora più ironico visto che, a quanto pare, è stata rilasciata una nuova versione del sito che, tuttavia, non risolve i problemi e conterrebbe anche ulteriori codici esterni, ma questa volta di Microsoft.
