Quale sicurezza per chi acquista o vende sul Web?

Gianluca Pomante
Avvocato esperto in tema di Privacy e IT

Internet e i social network hanno ampliato in modo smisurato le occasioni di incontro tra domanda e offerta di beni e servizi, consentendo a produttori e consumatori di portare a termine transazioni commerciali senza tener conto della distanza, fatta eccezione per i costi di spedizione di eventuali beni materiali.
Alcune aziende, come Amazon, hanno fatto del commercio elettronico il loro core business e possono vantarsi di non avere mai avuto negozi fisici sul territorio.
Altre, come Apple, nate con una rete commerciale fisica, hanno lentamente integrato la vendita con il Web e utilizzato i social network come strumento di fidelizzazione della clientela e stimolo all’acquisto.
Attraverso la registrazione nell’area clienti - sempre più semplificata utilizzando procedure SSO (Single Sign On) grazie alle credenziali di accesso a Facebook o Twitter, ovvero, per le aziende che richiedono un’identificazione fisica di tipo KYC (Know Your Customer) - la base degli utenti che accedono sempre più spesso all’offerta online sta crescendo in modo esponenziale, al punto che è ormai normale, in qualsiasi città, notare corrieri che consegnano pacchi confezionati da Amazon o da IBS.
L’acquisto di beni materiali o immateriali comporta la necessità di affidare al negozio online i propri dati anagrafici e quelli che deriveranno dall’analisi degli acquisti effettuati, che potranno essere utilizzati non solo al fine di adeguare le scorte e le procedure al consumo generale ma, anche, per studiare il profilo psicologico e commerciale dei singoli consumatori, per poter adeguare l’offerta ai loro gusti e per poter orientare i loro acquisti verso i prodotti che l’azienda vuole sostenere sul mercato.
Nel primo caso, si pone un problema di semplice sicurezza dei dati, finalizzata a impedire che soggetti estranei al sistema informativo dell’azienda possano accedervi, ma anche che soggetti normalmente autorizzati possano utilizzarli per finalità diverse da quelle dichiarate e accettate dal cliente.
Si pone, quindi, un problema di sicurezza interna e un altro di sicurezza esterna, mentre l’adeguamento delle scorte ai consumi della totalità degli acquirenti non crea problemi di profilazione, poiché i dati possono essere trattati in forma anonima.

Proteggere la privacy,
evitare le frodi
Quando, invece, l’azienda effettua la profilazione del cliente, per adeguare l’offerta commerciale ai suoi gusti e indirizzarlo verso determinati prodotti, ovvero quando l’azienda, nel realizzare il profilo psicologico del consumatore, intende cedere tali dati a terzi interessati ad acquistarli, sorge il problema dell’acquisizione del consenso al trattamento di tali dati che, essendo facoltativo e potendo essere revocato in qualsiasi momento, necessita anche di un sistema di memorizzazione e storicizzazione delle scelte del cliente.
L'insieme dei dati così acquisiti pone al titolare del trattamento una serie di problemi di sicurezza direttamente connessi all’attività di commercio elettronico.
La sicurezza delle transazioni, infatti, deve essere coordinata con la sicurezza dei database ed entrambe devono garantire fluidità di utilizzo per non appesantire l’utilizzo del sistema di vendita online.
Occorre, inoltre, ricordare che il trattamento dei dati personali è soggetto all’inversione dell’onere probatorio ai sensi dell'art. 2051 CC ed è, quindi, necessario poter dimostrare, per non essere costretti a risarcire il danno, di aver adempiuto correttamente a un’obbligazione di tipo professionale e che l’evento lesivo si è verificato per fattori esterni imprevedibili.
Se poi si considera che, sempre più spesso, a tale sistema di vendita è affiancato un sistema di fidelizzazione che prevede, ad esempio, la gestione di una carta multifunzione intestata al cliente, che può essere utilizzata sia come carta di credito che come fidelity card per l’accumulo di punti omaggio, ulteriori database devono essere collegati a quello principale, che contiene le anagrafiche e i consensi rilasciati dall'interessato.
Occorre, inoltre, prevedere procedure di prevenzione di eventuali disguidi e smarrimenti, che consentano al cliente di tracciare l’evasione dell’ordine, la spedizione e la consegna alla persona effettivamente destinataria del pacco, evitando ogni possibile frode mediante sostituzione di persona.
Ma non basta.
Quando l’acquisto di beni e servizi riguarda un bene immateriale, le misure di sicurezza del sistema devono prevedere anche la tutela del diritto d’autore, evitando la duplicazione dell’opera dell’ingegno tramite DRM (Digital Right Management) e la facoltà dell’acquirente di scaricare nuovamente il prodotto in caso di interruzione del download o di danneggiamento delle sue memorie elettroniche, backup incluso.
Ciò comporta la necessità di storicizzare anche gli acquisti effettuati e di mantenerli collegati all’anagrafica principale.
Al tempo stesso, l’utilizzo di servizi in streaming deve prevedere l'ascolto o la visione ma non il download del contenuto, con ulteriori misure di sicurezza che appesantiscono il sistema e complicano la vita al venditore e al consumatore.

Modalità di pagamento
Una delle problematiche più sentite nel mondo del commercio elettronico è, indubbiamente, la sicurezza nelle modalità di pagamento.
A oggi, le più diffuse sono il bonifico bancario anticipato (poco gradito all’utente), il contrassegno (poco gradito al venditore anche per il costo elevato) e il pagamento con la carta di credito o con sistemi che svolgono il ruolo di intermediari, come PayPal, che permettono di non affidare i dati degli strumenti di pagamento al venditore.
Inizialmente il trasferimento delle informazioni e dei dati personali tra venditore e cliente avveniva in chiaro, cioè senza alcun sistema di protezione rispetto a eventuali tentativi di intercettazione da parte di soggetti terzi, che avrebbero potuto inserirsi nella trasmissione dei dati tra acquirente e venditore, entrarne in possesso e, successivamente, utilizzarli per perpetrare truffe ai danni di entrambi.
Oggi, questa pratica di trasferimento delle informazioni è stata abbandonata in favore di sistemi più sicuri, che garantiscono una maggiore riservatezza e permettono di tenere sotto controllo la sicurezza delle transazioni e quella degli strumenti di pagamento utilizzati.
Alla base di ogni sistema di protezione c’è, attualmente, la crittografia, ossia la scienza che protegge le informazioni rendendole illeggibili a chi non possiede la chiave per decodificarle e renderle nuovamente disponibili.
Il sistema SSL (Secure Socket Layer), abbinato al normale protocollo di comunicazione HTTP (Hyper Text Transfer Protocol), consente di garantire la sicurezza della comunicazione (HTTPS) attraverso l’invio delle informazioni sotto forma di pacchetti cifrati.
Nell’utilizzo tipico di un browser da parte dell’utente finale, l’autenticazione è unilaterale, poiché è il server del venditore che si accredita presso il computer del cliente, attraverso un certificato garantito da un soggetto terzo (solitamente una società privata che attesta l'affidabilità del venditore).
Con tale tipo di procedura il cliente è sicuro dell’identità del fornitore ma non avviene il contrario, per cui il venditore deve garantirsi attraverso uno strumento di pagamento certo, in cui sia stato un altro soggetto affidabile ad identificare il cliente.
È il caso dell'utilizzo della carta di credito o del bonifico bancario, in cui è l’Istituto di emissione delle carte di credito o la banca presso cui è acceso il conto corrente a garantire per il cliente.
Il browser, nell’accedere al server del fornitore, controlla che il certificato scaricato dal sito sia valido sul server della Certificate Authority, utilizzando una cifratura a chiave pubblica.
Dopo questa autenticazione il browser indica che la connessione è sicura mostrando solitamente l’icona di un lucchetto.

Protocolli di cifratura
Il protocollo SSL permette anche un’autenticazione bilaterale, tipicamente utilizzata in applicazioni aziendali, grazie alla quale entrambe le parti si autenticano in modo sicuro, scambiandosi i relativi certificati.
Questa autenticazione reciproca (definita mutual authentication) richiede che anche il cliente possieda un proprio certificato digitale, cosa molto improbabile in un normale scenario B2C.
A oggi il sistema SSL è sicuramente il più utilizzato, in quanto supportato dalla maggior parte dei browser disponibili sul mercato e particolarmente vantaggioso perché non necessita di alcun software o credenziali specifiche.
Le pagine protette da questo protocollo sono facilmente riconoscibili, in quanto la scritta "https" precede l'indirizzo del sito protetto e le sue pagine vengono contrassegnate da un lucchetto visualizzato dal browser.
Accanto al protocollo SSL si sta diffondendo il sistema SET (Secure Electronic Transaction), nato dalla collaborazione tra Visa e Mastercard allo scopo di rendere più sicure le transazioni online.
Tale sistema solitamente non sostituisce il protocollo SSL ma si sovrappone a esso, generando un secondo livello di autenticazione, basato sulle credenziali e certificati di cui è in possesso l'utente.
Per utilizzare questo sistema è, però, necessario che il venditore disponga sul suo server dei software di collegamento con il sistema centrale dei circuiti internazionali di pagamento Visa e Mastercard e che il compratore sia in possesso del PIN (Personal Identification Number) della carta di credito.
In questo modo anche il venditore può verificare l'identità dell'acquirente, giacché difficilmente il truffatore potrebbe essere in possesso del PIN della carta, salvo che l’interessato non abbia avuto la brillante idea di annotarlo sulla carta stessa.

Password dispositive e firma elettronica
Per garantire maggiore sicurezza a ogni transazione risulta importante anche la procedura di registrazione dell’utente da parte del venditore, che non ha solo la finalità di fidelizzare il cliente e studiarne il comportamento ma anche quella di inserire un ulteriore livello di autenticazione a monte della transazione, per rendere ancora più difficoltosa l’attività di sottrazione delle credenziali da parte di eventuali malintenzionati.
È questa la ragione per cui, sempre più spesso, nel commercio elettronico viene preferita e incentivata la transazione previa registrazione dell’utente a quella diretta con lo strumento di pagamento.
Si tratta di un sistema di sicurezza mutuato dal mondo dell'home-banking, che oggi ha anche differenziato l’accesso all'area riservata dalle password dispositive, introducendo, per il primo sistema - di autenticazione - una password da modificare obbligatoriamente ogni tre mesi e, per il secondo sistema - di autorizzazione delle transazioni - una seconda password dispositiva da abbinare a una password usa e getta, che viene sostituita ogni volta che si accede oppure entro un limite temporale ridottissimo (di solito, 30 secondi o un minuto).
Sebbene la disciplina riguardante il commercio elettronico sia volta soprattutto alla tutela del consumatore, non bisogna dimenticare l’equivalente diritto del venditore a operare sul mercato in maniera serena.
Una delle principali problematiche che interessa colui che decide di offrire un bene o un servizio online è sicuramente quella di evitare il ripudio della transazione da parte dell’acquirente.
In questa direzione opera l’utilizzo della firma elettronica, che impedisce al consumatore di disconoscere un contratto firmato con un sistema di identificazione e sottoscrizione digitale.

• Avvocato Pomante