g-docweb-display Portlet

Newsletter 24 - 30 novembre 2003

Stampa Stampa Stampa

 

N. 193 del 24 - 30 novembre 2003



Centrali rischi private: le "sofferenze" sanate vanno cancellate, non basta oscurarle

• Accesso ai dati personali da parte dei lavoratori

• Etichette intelligenti. La posizione dei Garanti mondiali

 

Centrali rischi private: le "sofferenze" sanate vanno cancellate, non basta oscurarle
Non è sufficiente sospendere temporaneamente la consultazione dei nominativi da parte delle banche 

Commette un illecito la "centrale rischi" privata che conserva nel proprio archivio, consultabile da un ampio numero di istituti e banche che erogano credito al consumo, il nominativo di una persona che ha restituito da più di un anno, senza perdite per la società seppure con qualche ritardo, un prestito. Non è quindi sufficiente sospendere temporaneamente la visibilità dei dati personali: occorre cancellarli.

Il principio, già contenuto nel provvedimento di carattere generale adottato il 31 luglio 2002 sulle  cosiddette "centrali rischi" private  (banche dati istituite  per verificare la solvibilità dei soggetti che si  rivolgono al mercato creditizio),  è stato ribadito dall´Autorità garante che, accogliendo il  ricorso di un consumatore ha ordinato alla "centrale rischi" l´immediata cancellazione del nominativo. 

L´interessato lamentava di essere ancora inserito nella predetta banca dati nonostante fosse trascorso più di un anno da quando aveva integralmente sanato la propria posizione debitoria. A causa del permanere di questa segnalazione di "sofferenza", al consumatore erano stati rifiutati alcuni finanziamenti da diversi istituti di credito. In un primo momento, il consumatore aveva presentato una istanza alla "centrale rischi"  per chiedere la cancellazione dei dati  allegando una quietanza liberatoria datata aprile 2002 rilasciata dalla banca che gli aveva erogato il prestito. Questa documentazione non veniva però ritenuta sufficiente dalla "centrale rischi" che faceva decorrere invece l´estinzione del debito non da aprile, bensì da una data successiva rispetto alla quale, al momento della presentazione della richiesta di cancellazione, non era ancora trascorso un anno. Insoddisfatto, il consumatore presentava ricorso all´Autorità.

Nel corso del procedimento la società resistente ribadiva quanto già comunicato al consumatore, ma in considerazione della quietanza di aprile 2002  disponeva il blocco temporaneo della visibilità del nominativo del ricorrente in attesa delle decisioni dell´Autorità.

Tuttavia questa  misura "temporanea" e interlocutoria non risulta conforme a quanto affermato dal Garante nel provvedimento generale sulle "centrali rischi"  il quale sottolinea "la necessità che i dati relativi agli eventuali inadempimenti sanati senza perdite, debiti residui o pendenze, siano cancellati dalla centrale rischi private entro un anno dalla loro regolarizzazione". Alla società è stato quindi ordinato di cancellare il nominativo del consumatore entro tre giorni dalla ricezione del provvedimento del Garante. 

 

Accesso ai dati personali da parte  dei lavoratori
Garanzie e limiti nell´uso delle norme sulla privacy

Il diritto di accesso regolato dalla normativa sulla privacy consente al lavoratore di accedere a tutti i dati che lo riguardano detenuti dal proprio datore di lavoro, ma non può essere esercitato per conoscere notizie di carattere contrattuale o professionale (quali, ad esempio, gli accordi collettivi nazionali od aziendali), se non strettamente e direttamente riferite all´interessato.

Il principio è stato affermato dall´Autorità (Stefano Rodotà, Giuseppe Santaniello, Gaetano Rasi e Mauro Paissan) chiamata a rispondere  sul ricorso di un dipendente di una società di servizi che reclamava di non aver ricevuto idoneo riscontro a varie istanze, formulate in base alla legge n. 675/1996, con le quali lamentava il fatto di non essere stato adeguatamente informato delle mansioni da svolgere in relazione al proprio profilo professionale da parte del responsabile della struttura di appartenenza, malgrado esistesse un documento "ufficiale" aziendale che lo riguardava.

In particolare, il dipendente nel ricorso al Garante chiedeva di accedere ai dati personali detenuti dal suo datore di lavoro sia nel loro complesso, sia in riferimento alla comunicazione "in forma scritta ed ufficiale" di dati relativi ai compiti e alle mansioni riguardanti il suo profilo professionale di appartenenza. Chiedeva inoltre che gli venissero comunicati "dati, notizie e quant´altro (…)" di propria "pertinenza" in possesso dell´azienda.

La società, invitata dal Garante ad aderire alle richieste, forniva ulteriori informazioni, integrative rispetto a quelle già comunicate all´interessato, in merito all´individuazione delle mansioni cui il dipendente era adibito, inviando anche copia dei documenti aziendali precedentemente elaborati per descrivere le attività relative al profilo professionale di appartenenza del ricorrente.

La società precisava, infine, di non possedere altri dati riferiti all´interessato connessi al suo profilo professionale.

Nel decidere il ricorso, il Garante ha stabilito che non rientra nell´ambito di applicazione della legge 675/1996, la richiesta di conoscere  notizie di carattere contrattuale o professionale che non hanno natura di dati personali in qualche modo riferibili a persone identificate o identificabili come, ad esempio, gli accordi collettivi nazionali od aziendali.

In considerazione del riscontro, seppure tardivo, dato alle richieste dell´interessato da parte della società, a quest´ultima sono state addebitate in misura forfetaria solo parte delle spese del procedimento.


 

Etichette intelligenti. La posizione dei Garanti mondiali
Approvata una risoluzione internazionale dopo la Conferenza di Sidney

Le etichette cosiddette "intelligenti" (basate sulla tecnologia in radiofrequenza, RFID) non devono servire per la raccolta di dati personali, a meno che ciò sia assolutamente necessario. In tal caso, i consumatori devono esserne informati adeguatamente, e i dati non possono essere utilizzati per altri scopi. Inoltre, deve essere possibile disattivare o distruggere le etichette RFID una volta che l´acquirente sia entrato in possesso dell´articolo sul quale esse sono applicate.

Sono queste le indicazioni principali che emergono dalla risoluzione ("Risoluzione sulla RFID – Radio Frequency Identification") approvata dalle autorità di protezione dati di quasi 50 Paesi lo scorso 9 dicembre, successivamente alla Conferenza internazionale tenutasi a Sydney nel mese di settembre (http://www.privacyconference2003.org/...).

La risoluzione è la quinta ad essere adottata dalla Conferenza, dopo le quattro già pubblicate (v. Newsletter 15-21 settembre 2003) concernenti il trasferimento di dati dei passeggeri di voli aerei verso gli USA, la formulazione di informative standard, l´impatto-privacy delle disposizioni contenute in normative internazionali e i rischi associati agli aggiornamenti automatici di software.

Ricordiamo che le etichette RFID contengono un minuscolo dispositivo, simile ad un microchip, in cui è memorizzato un identificativo (ad esempio, un numero di serie) che è possibile riconoscere attraverso un lettore funzionante in radiofrequenza.

Dispositivi del genere sono particolarmente utili per seguire gli spostamenti (e, quindi, le vendite) di singoli oggetti e prodotti, anche ai fini di inventario.

Tuttavia, essi comportano alcuni rischi, in particolare per la facile associabilità a dati personali (come quelli ricavabili dall´acquisto del prodotto effettuato con carta di credito), tanto che si è parlato di una possibile profilazione occulta dei consumatori (v. Newsletter 26 maggio - 1 giugno 2003).

Riportiamo di seguito il testo della Risoluzione, in traduzione italiana. Attraverso l´International Working Group on Data Protection in Telecommunications, del quale fa parte, il Garante seguirà gli sviluppi tecnologici e regolamentari in questo campo. Come ha sottolineato Malcom Crompton, direttore dell´Autorità federale australiana per la protezione dei dati, "Ignorando i principi a tutela della privacy, si rischia di compromettere il futuro di questa tecnologia, con un danno sia per le imprese, sia per i consumatori".

Risoluzione sull´identificazione attraverso radiofrequenze (RFID) - 20 novembre 2003
"Sulla base di una proposta formulata dall´Autorità per la protezione dei dati e l´accesso alle informazioni del Brandeburgo, dal Centro indipendente per la tutela della privacy dello Schleswig-Holstein, dall´Autorità spagnola per la protezione dei dati e dall´Autorità per la protezione dei dati del Cantone Zug, Svizzera, la Conferenza internazionale delibera quanto segue: I dispositivi basati sull´identificazione attraverso radiofrequenze (RFID) trovano impiego crescente per numerosi scopi. Pur esistendo situazioni in cui tale tecnologia può avere effetti positivi e benefici, vi sono anche implicazioni potenziali in termini di privacy. Sinora le etichette RFID vengono utilizzate soprattutto per l´identificazione e la gestione di oggetti (prodotti), per il controllo della catena distributiva, o per tutelare l´autenticità di singoli marchi; tuttavia, esse potrebbero essere messe in relazione con dati personali come quelli ricavabili dalle carte di credito, e potrebbero essere utilizzate persino per raccogliere tali dati, oppure per localizzare o profilare individui in possesso di oggetti che rechino tali etichette. La tecnologia in questione potrebbe consentire di ricostruire le attività di singoli individui e istituire collegamenti fra le informazioni raccolte e banche dati preesistenti.

La Conferenza sottolinea la necessità di tenere conto dei principi di protezione dati qualora si preveda di introdurre etichette RFID connesse a dati personali. Occorre rispettare tutti i principi fondamentali della normativa in materia di protezione dei dati e privacy nella progettazione, nella realizzazione e nell´utilizzazione di dispositivi basati sulla tecnologia RFID.

In particolare:

a) prima di ricorrere a etichette RFID connesse a dati personali, o tali da consentire la profilazione della clientela, ciascun titolare di trattamento dovrebbe valutare approcci alternativi che consentano di raggiungere lo stesso obiettivo senza raccogliere dati personali o profilare la clientela;
b) qualora il titolare del trattamento dimostri che è indispensabile ricorrere a dati personali, questi ultimi devono essere raccolti in modo chiaro e trasparente;
c) i dati personali possono essere utilizzati esclusivamente per lo scopo specifico per cui sono stati inizialmente raccolti, e possono essere conservati soltanto finché risultino necessari al raggiungimento (o al soddisfacimento) di tale scopo, e
d) i singoli interessati dovrebbero avere la possibilità di cancellare i dati e di disattivare o distruggere le etichette RFID una volta che ne siano entrati in possesso.

Si dovrebbe tenere conto dei principi sopra indicati nella progettazione e nell´utilizzazione di prodotti con tecnologie RFID.

La lettura e l´attivazione remote di etichette RFID, senza che la persona in possesso dell´oggetto recante un´etichetta del genere abbia alcuna ragionevole possibilità di intervenire in tale procedimento, sarebbero fonte di ulteriori preoccupazioni in termini di privacy.

La Conferenza e l´International Working Group on Data Protection in Telecommunications intendono seguire con attenzione e in modo approfondito gli sviluppi tecnologici in questo campo, al fine di garantire il rispetto dei principi di protezione dati e privacy nell´ambito della cosiddetta "informatizzazione pervasiva" (ubiquitous computing)".


 

NEWSLETTER
del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n. 654 del 28 novembre 2002).
Direttore responsabile: Baldo Meo.
Direzione e redazione: Garante per la protezione dei dati personali, Piazza di Monte Citorio, n. 121 - 00186 Roma.
Tel: 06.69677.1 - Fax: 06.69677.785
Newsletter è consultabile sul sito Internet www.garanteprivacy.it