g-docweb-display Portlet

V - La privacy e le sfide del futuro

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

V - La privacy e le sfide del futuro - Relazione 2003 - 28 aprile 2004

Reti di comunicazione

32. Telefonia e reti di comunicazione

321. Profili generali
Lo sviluppo di moderne tecnologie e di nuovi servizi di comunicazione elettronica ha reso necessario un ulteriore adeguamento della normativa sulla protezione dei dati personali in ambito italiano ed internazionale. Sul punto il Codice ha compiuto una ricognizione innovativa delle preesistenti norme sul trattamento dei dati nel settore delle telecomunicazioni (d.lg. n. 171/1998, come modificato dal d.lg. n. 467/2001), completando nello stesso tempo il recepimento della direttiva n. 2002/58/CE, relativa alla tutela della vita privata nel settore delle comunicazioni elettroniche.

La disciplina introdotta in materia dal Codice, riproponendo un criterio già presente nella normativa comunitaria, adotta un approccio "tecnologicamente neutro", ossia valido ed applicabile a tutte le forme di comunicazione elettronica a prescindere dal mezzo tecnico utilizzato.

 

322. Dati relativi al traffico telefonico
Si è già sintetizzata in altra parte della presente Relazione (cfr. parag. 1.11.) la recente vicenda che ha portato a modificare l´art. 132 del Codice e ad individuare garanzie rafforzate in riferimento al più lungo periodo di conservazione dei dati del traffico telefonico. In questa sede giova solo ricordare che il Garante, in conformità a quanto previsto dall´art. 132, comma 5, come modificato dalla legge n. 45/2004, definirà al più presto le misure e gli accorgimenti al cui rispetto è subordinato il trattamento dei dati relativi al traffico telefonico per le finalità di accertamento e repressione dei reati.

 

323. Fatturazione dettagliata ed altre questioni
Anche nel corso del 2003 l´Autorità si è occupata delle questioni connesse al mascheramento delle ultime tre cifre dei numeri telefonici nelle fatture inviate agli abbonati, che rappresenta una delle misure indicate dal Codice per tutelare la riservatezza degli abbonati chiamati, nonché degli utenti diversi dall´abbonato i quali effettuino chiamate dai terminali cui corrisponde l´abbonamento.

Nonostante i numerosi provvedimenti adottati in passato dal Garante, persistono alcuni nodi problematici testimoniati anche dai perduranti reclami e segnalazioni che pervengono all´Autorità.

Delle problematiche legate all´accesso alle informazioni incluse nella fatturazione, ai limiti all´esercizio del diritto di accesso alle chiamate "in entrata" e alle cd. chiamate di disturbo, si è già parlato (cfr. supraparag. 7.5.). In questa sede occorre, invece, sottolineare che durante il 2003 il Garante ha svolto approfondimenti in materia, destinati a confluire in un imminente provvedimento sulla fatturazione dettagliata, che riguarderà, fra l´altro, gli addebiti sulla linea telefonica dovuti a chiamate verso numeri a tariffazione speciale e a chiamate in entrata che comportano un costo per il ricevente.

In tale occasione saranno nuovamente esaminate le problematiche relative alla possibilità che le chiamate effettuate da qualsiasi terminale vengano pagate con modalità alternative alla fatturazione, e alla necessità di garantire in taluni casi la persona fisica del chiamante, ad esempio attraverso l´uso di carte prepagate (cfr. art. 5, comma 1, d.lg. n. 171/1998; ora, art. 124, comma 2, del Codice).

 
Modalità di pagamento alternative alla fatturazione

In proposito, secondo quanto confermato dal Codice, va ribadita l´importanza -per la tutela della sfera privata dei chiamanti, diversi dall´abbonato- dell´effettiva e diffusa disponibilità sul mercato di tali modalità alternative, il cui preventivo accertamento da parte del Garante, oltre che per eventuali provvedimenti sfavorevoli nei confronti dei titolari del trattamento inadempienti, costituirà presupposto indispensabile per autorizzare i fornitori ad indicare nella fatturazione i numeri completi relativi alle comunicazioni (art. 124, comma 5, del Codice).

In via preliminare, l´Autorità ha comunque già predisposto una prima nota di carattere generale volta a definire le modalità alternative alla fatturazione, anche anonime, che i fornitori di servizi di telefonia devono rendere disponibili da ogni terminale.

 

324. Banca dati unica dei numeri di telefonia fissa e mobile e nuovi elenchi telefonici
Con la deliberazione dell´Autorità per le garanzie nelle comunicazioni n. 36/02/Cons del 6 febbraio 2002 è stata prevista la costituzione della banca dati dove confluiranno alcuni dati personali di tutti gli abbonati e titolari di carte prepagate e in base alla quale potranno essere realizzati nuovi elenchi telefonici in formato cartaceo ed elettronico. In proposito va segnalato che è in fase avanzata l´analisi di quei profili che, nell´ambito della realizzazione di tale banca dati, riguardano più propriamente l´osservanza della normativa sulla protezione dei dati personali.

In particolare, i principali fornitori di servizi di telefonia fissa e mobile stanno predisponendo, in collaborazione con il Garante, versioni perfezionate dei modelli di informativa e consenso ispirate al rispetto della normativa sulla tutela dei dati personali, da sottoporre (tramite diverse modalità, a seconda che si tratti o meno di clienti con i quali già sussiste un rapporto) all´attenzione degli interessati, al fine dell´inserimento dei loro dati nella banca dati in discorso e, quindi, nei nuovi elenchi telefonici.

La problematica ha richiesto particolari approfondimenti, venendo in considerazione un "serbatoio" di informazioni dal quale innumerevoli soggetti potranno attingere per utilizzare dati relativi ai recapiti ed al numero di utenza degli interessati. La chiarezza, sinteticità e univocità dell´informativa è quindi essenziale per far comprendere a tutti gli abbonati le conseguenze che si determinano nel breve e medio periodo allorché si acconsenta all´utilizzo da parte di terzi dell´indirizzo o del numero di telefono anche mobile per inviare messaggi, missive, fax, Sms o Mms, altre chiamate vocali, ecc.

Con specifico riguardo agli elenchi, il Garante ha infatti segnalato come la relativa disciplina normativa sia stata recentemente oggetto di significative modifiche che ne hanno mutato in radice la natura e le finalità. Non a caso, quindi, il Codice ha attribuito a questa Autorità il compito di individuare, con proprio provvedimento, le modalità di inserimento e di successivo utilizzo dei dati personali relativi agli abbonati (ed ai titolari di carte prepagate) negli elenchi cartacei o elettronici disponibili al pubblico (art. 129).

Il Garante è pertanto in procinto di adottare tale provvedimento al fine di individuare, in particolare, idonee modalità di manifestazione del consenso degli interessati con riguardo sia alla semplice inclusione dei loro dati negli elenchi, sia all´utilizzo ulteriore dei medesimi dati per finalità riconducibili ad operazioni commerciali, di marketing, sondaggi, o simili.

 

325. Altre attività di cooperazione con l´Autorità per le garanzie nelle comunicazioni
In linea con gli obiettivi individuati nel corso della riunione congiunta fra il Garante e l´Autorità per le garanzie nelle comunicazioni del 20 febbraio 2003, si è intensificata l´attività di cooperazione fra le stesse.

Oltre ad incontri su temi di interesse comune, come il nuovo elenco telefonico unico per tutti gli operatori di telefonia fissa e mobile, nonché i servizi non richiesti, il Garante ha partecipato alla consultazione pubblica relativa all´introduzione in Italia del protocollo Enum (e-number), ponendo l´attenzione sulle problematiche concernenti la tutela della riservatezza degli interessati.

Il protocollo Enum consente infatti di associare indirizzi Internet e numeri telefonici, al fine di realizzare un numero identificativo universale in grado di instradare il traffico verso i diversi recapiti dell´interessato, rendendo quest´ultimo facilmente rintracciabile.

 
Protocollo Enum

L´Autorità, nel formulare le considerazioni preliminari sui possibili aspetti critici della materia, ha in particolare evidenziato agli operatori aderenti all´iniziativa alcuni profili relativi alla sicurezza e protezione dei dati personali. I primi risultati della consultazione, discussi anche all´interno di un workshop al quale hanno partecipato pure alcuni rappresentanti di questa Autorità, sono stati pubblicati nella Gazzetta Ufficiale del 24 aprile 2003, n. 95, e sono disponibili sul sito Internet dell´Autorità per le garanzie nelle comunicazioni (www.agcom.it).

Sempre nel corso del 2003 si sono svolti incontri fra alcuni rappresentanti delle due Autorità di garanzia, al fine di verificare diversi punti problematici relativi alla tematica della carrier preselection (Cps), ossia del sistema mediante il quale l´abbonato può instradare il proprio traffico telefonico verso un operatore preselezionato. Ciò, con particolare riferimento agli eventuali limiti ed alle modalità dei trattamenti dei dati connessi alle procedure per la disattivazione della Cps. Sull´argomento, l´Autorità ha già predisposto uno schema di provvedimento volto a chiarirne gli aspetti più controversi, ad esempio la necessità o meno per l´operatore di accesso di richiedere il consenso degli interessati.

 
Carrier preselection

 

326. Servizi non richiesti e consenso dell´interessato
Anche durante il periodo considerato il Garante ha prestato attenzione alle delicate questioni concernenti l´attivazione di contratti e servizi di telefonia mobile e fissa senza il preventivo consenso degli interessati, in riferimento a casi nei quali si verificano seri danni per gli interessati stessi. Sono stati effettuati anche taluni impegnativi interventi di carattere ispettivo. Uno degli interventi più significativi forma oggetto di trattazione dettagliata nel paragrafo di questa Relazioneconcernente le attività ispettive del capitolo relativo all´attività del Garante (cfr. infraparag. 51.3.).

Sulla base delle informazioni acquisite, è già allo studio l´emanazione di un provvedimento di carattere generale volto ad offrire ulteriori indicazioni e chiarimenti in materia.

 

327. Comunicazioni indesiderate ed utenze telefoniche mobili
Il fenomeno delle comunicazioni di carattere pubblicitario o informativo realizzate su utenze telefoniche mobili ha subito di recente un´enorme espansione, vista la particolare efficacia con cui l´invio di Sms (Short message service) permette di comunicare in tempo reale con un numero elevato di interessati, ovunque essi si trovino, con modalità che possono, tra l´altro, risultare particolarmente invasive (si pensi alle ipotesi di ricezione del messaggio in orari notturni).

L´uso pur legittimo degli Sms presuppone dunque apposite cautele, specificamente evidenziate da questa Autorità in alcuni provvedimenti.

Sms istituzionali

Il Garante ha individuato i principi che i fornitori di servizi di telecomunicazioni e le amministrazioni pubbliche sono tenuti a rispettare per l´invio degli Sms cd. istituzionali e cioè di quei messaggi utilizzati da amministrazioni centrali o locali per campagne informative e di sensibilizzazione (ad esempio, in relazione a giornate dedicate a particolari tematiche) o per diffondere notizie ritenute di pubblica utilità (ad esempio, in tema di viabilità, avvenimenti culturali, termini di pagamento di tasse o imposte o validità di documenti).

 
Sms istituzionali

In un provvedimento del 12 marzo 2003, l´Autorità ha innanzitutto distinto l´ipotesi dell´invio effettuato da gestori di servizi telefonici su incarico delle pubbliche amministrazioni (con utilizzazione dei dati dei propri abbonati senza trasmetterli all´amministrazione che dispone l´invio) da quella dell´inoltro effettuato direttamente dal soggetto pubblico (che ha raccolto in proprio i dati degli abbonati).

Con riguardo al primo caso, è stato osservato che l´utilizzazione dei numeri di telefonia mobile da parte dei gestori per conto della pubblica amministrazione non può prescindere dal consenso espresso degli abbonati, prestato in forma specifica e documentato per iscritto, sia per semplici comunicazioni informative (blocco del traffico, pagamento tributi, ecc.), sia per ulteriori fini di pubblica utilità legati ad eventi culturali, ricorrenze o altro.

Si è inoltre specificato che gli operatori telefonici possono inviare Sms istituzionali, prescindendo dal consenso, solo in caso di disastri e calamità naturali o altre reali emergenze di ordine pubblico, e che l´invio dei messaggi in deroga alla disciplina sulla protezione dei dati può essere legalmente disposto solo da un soggetto pubblico che adotti, se consentito dalla legge, un provvedimento d´urgenza per ragioni di ordine pubblico, igiene e sanità pubblica.

L´amministrazione pubblica deve a tal fine valutare preventivamente se la norma di legge che prevede l´adozione di provvedimenti urgenti conferisca effettivamente anche il potere di derogare alla disciplina in materia di trattamento dei dati personali e che, in presenza di accertati presupposti di necessità ed urgenza, la situazione di pericolo per la popolazione non possa essere affrontata con strumenti ordinari.

Gli operatori telefonici devono, in ogni caso, informare preventivamente ed adeguatamente gli utenti della possibilità di ricevere eventuali Sms istituzionali, nonché della possibilità di manifestare il consenso a ricevere solo alcune categorie di informazioni e non altre. L´interessato deve avere inoltre la possibilità di esercitare i propri diritti agevolmente e gratuitamente, anche in caso di precedente manifestazione del consenso. Gli operatori devono rispettare in ogni caso l´art. 9 della legge n. 675/1996 (ora, art. 11 del Codice). Di regola devono perciò essere seguite forme di comunicazione che non implichino l´identificazione nominativa degli abbonati. Inoltre l´operatore deve utilizzare i dati nei limiti e per il tempo necessario a trasmettere il messaggio.

Con riguardo, invece, all´invio di Sms istituzionali direttamente da parte dei soggetti pubblici ad utenti che abbiano liberamente lasciato i propri recapiti soltanto per essere informati sull´esito di una pratica o per ricevere sistematicamente alcuni tipi di messaggi (anche tramite reti civiche), il Garante ha chiarito che l´acquisizione del consenso è esclusa per l´invio di tali comunicazioni strettamente istituzionali.

È stato comunque richiamato l´obbligo dei soggetti pubblici di informare l´utente sulle modalità e sugli scopi dell´utilizzo dei dati che lo riguardano, nonché il principio secondo cui l´uso dei dati per l´invio degli Sms deve essere limitato alle finalità per le quali i dati sono stati rilasciati dagli utenti all´amministrazione.

Sms pubblicitari

Con un provvedimento del 10 giugno 2003 il Garante ha sottolineato l´illiceità dell´invio di Sms pubblicitari senza il preventivo consenso libero ed informato degli abbonati, nonché dell´espediente adottato da alcuni fornitori di servizi telefonici, di subordinare la stipula del contratto o l´attivazione della carta prepagata alla prestazione del consenso a ricevere messaggi pubblicitari. Si è pure evidenziato come sia illecito inserire tra gli obblighi contrattuali una dichiarazione standard di "impegno" all´invio degli Sms commerciali.

 
Sms pubblicitari

Anche i ben distinti messaggi con i quali le società telefoniche pubblicizzano servizi o opportunità che presuppongono un onere aggiuntivo per la clientela -come ha avuto modo di indicare l´Autorità con decisione del 9 aprile 2003- danno luogo ad un trattamento di dati a scopo promozionale ammesso solo con il consenso informato dell´interessato.

L´Autorità ha, inoltre, precisato che il principio del consenso libero ed informato trova applicazione anche nei confronti dei soggetti che trasmettono Sms pubblicitari senza estrarre i numeri delle utenze telefoniche da un´apposita banca dati, bensì sulla base di una composizione casuale o automatizzata di numeri, che prescinda da una verifica della loro esistenza o attivazione.

È stato chiarito, ancora, che la necessità di raccogliere una chiara e specifica manifestazione di volontà dei destinatari sussiste anche nel caso in cui gli Sms pubblicitari siano inviati da soggetti diversi dai fornitori di servizi di telefonia mobile, quali i fornitori di servizi telematici (ad esempio, gestori di siti web che offrano la possibilità di disporre gratuitamente di una casella di posta elettronica).

L´inosservanza dei principi fin qui sintetizzati è stata accertata in diversi ricorsi esaminati dal Garante nel corso dell´anno e concernenti l´invio anche notturno di Sms promozionali indesiderati. In questi casi l´Autorità ha avviato procedimenti autonomi rispetto a quelli instaurati con i ricorsi, al fine di verificare i presupposti per applicare sanzioni amministrative, per adottare altri provvedimenti e per l´eventuale denuncia all´autorità giudiziaria penale, in relazione ai reati che si possono configurare anche a seguito della mancata acquisizione del consenso informato degli interessati (Provv13 e 19 novembre 2003).

Il Codice, nel dettare una disciplina specifica in materia di comunicazioni commerciali non sollecitate, ha peraltro equiparato, quanto alla normativa applicabile, strumenti quali posta elettronica, Sms, Mms e fax (art. 130). Ne discende l´inapplicabilità, ai trattamenti effettuati con tali mezzi, delle fattispecie equipollenti al consenso dell´interessato di cui all´art. 24 del Codice e, quindi, anche l´inoperatività della disposizione riguardante, all´interno di tale articolo, i trattamenti di dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque.

 

328. Messaggi multimediali (cd. Mms) e videochiamate
Completata, con l´adozione del provvedimento del 12 marzo 2003 (in Relazione 2002, p. 115) l´analisi delle problematiche legate ai messaggi multimediali (Mms), il Garante ha esaminato la questione dei trattamenti di dati personali effettuati in occasione delle cd. videochiamate, ossia delle chiamate (realizzate attualmente tramite la rete Umts) nel corso delle quali possono essere trasmesse, oltre a suoni, immagini dei soggetti coinvolti nella conversazione.

La caratteristica peculiare di tali trattamenti consiste nel fatto che, a differenza di quanto accade per l´invio dei Multimedia messaging service (Mms), vengono raccolte immagini contestualmente all´effettuazione della chiamata, le quali riguardano peraltro contemporaneamente il chiamante, il chiamato e persone eventualmente a loro vicine.

In proposito sono in corso di predisposizione chiarimenti ed indicazioni volte ad evitare che in occasione di questo tipo di chiamate si possano violare i diritti dei soggetti a vario titolo coinvolti.

 

329. Localizzazione
Con l´adozione del d.lg. n. 196/2003 è stata introdotta nel nostro ordinamento una disciplina specifica sul tema della localizzazione, che prevede apposite cautele per il trattamento dei dati relativi all´ubicazione diversi dai dati di traffico (art. 126). Ciò, sia per la specifica informativa che il titolare deve rendere preventivamente all´attivazione del servizio, sia in termini di revocabilità del consenso o momentaneo "congelamento" del servizio. La norma dispone infatti che l´interessato possa interrompere gratuitamente e mediante una funzione semplice, anche temporaneamente, il servizio a valore aggiunto.

Proprio in ragione della particolare delicatezza che caratterizza questo tipo di dati, l´Autorità adotterà entro breve termine, sulla base dei risultati di uno studio già ultimato in proposito, un provvedimento per chiarire alcuni termini della questione. Appare comunque utile ricordare che la Commissione europea ha affrontato alcuni aspetti della materia nella Raccomandazione del 25 luglio 2003 (2003/558/CE) sul trattamento delle informazioni relative alla localizzazione del chiamante sulle reti di comunicazione elettronica a fini della fornitura di servizi di chiamata di emergenza con capacità di localizzazione.

 

33. Trattamento di dati personali in Internet

331. Profili generali
Il progressivo sviluppo delle comunicazioni elettroniche ha determinato la crescita esponenziale di nuovi servizi e tecnologie. Se ciò ha comportato, da un lato, indiscutibili vantaggi in termini di semplificazione e rapidità nel reperimento e nello scambio di informazioni fra utenti della rete Internet, dall´altro, ha provocato un enorme incremento del numero e delle tipologie di dati personali trasmessi e scambiati, nonché dei pericoli connessi al loro illecito utilizzo da parte di terzi non autorizzati.

Si è così maggiormente diffusa l´esigenza di assicurare una forte tutela dei diritti e delle libertà delle persone, con particolare riferimento all´identità personale e alla vita privata degli individui che utilizzano le reti telematiche.

Nel corso del 2003 il Garante ha proseguito l´opera di costante monitoraggio dell´evoluzione tecnica del settore, promuovendo incontri e consultazioni con i diversi operatori, nonché con gli altri organi istituzionali interessati dalle tematiche trattate.

Si deve tenere presente, inoltre, che in ragione delle peculiarità del settore e dell´estrema rapidità con cui la tecnologia va evolvendosi, sono opportunamente destinati a svolgere un ruolo determinante, sul piano della disciplina dei trattamenti e delle garanzie per gli interessati, i codici deontologici e di buona condotta previsti da ultimo dal d.lg. 30 giugno 2003, n. 196.

Le diverse questioni emerse nella materia in esame confermano peraltro la necessità di una cooperazione internazionale, anche in ragione del recepimento in Italia del principio di stabilimento, che può limitare il potere di intervento dell´Autorità rispetto ai trattamenti di dati personali effettuati da soggetti situati all´estero (sul punto, cfr. il Provv. sullo spamming adottato dal Garante in data 29 maggio 2003, v. subito infra).

L´Autorità ha partecipato attivamente ai lavori svoltisi al riguardo nelle apposite sedi quali Ocse, Commissione europea e Gruppo dei garanti europei istituito ai sensi dell´art. 29 della direttiva n. 95/46/CE.

In particolare, quest´ultimo ha esaminato le problematiche connesse a Internet ed alle reti di comunicazione nel parere n. 2/2003 del 13 giugno 2003. Sono stati affrontati i problemi posti, in termini di protezione dei dati, dai cosiddetti "database Whois", consultabili in rete, che contengono informazioni utili per contattare i responsabili dei domini o di siti Internet. In tale occasione, i Garanti hanno segnalato che non dovrebbero essere resi indiscriminatamente pubblici ed accessibili a chiunque i dati contenuti in tali elenchi, come pure l´esigenza di distinguere fra dati assolutamente necessari e dati "opzionali". Inoltre, l´utilizzazione di tali registri o elenchi per finalità di marketing, realmente massiccia, non è ammissibile alla luce della direttiva europea sulla protezione dei dati personali in quanto non è conforme agli scopi per i quali i registri stessi sono stati istituiti.

 
Database Whois

Degli orientamenti emersi a livello europeo il Garante italiano terrà conto anche nell´esame delle diverse segnalazioni e richieste di chiarimenti pervenute in ordine all´attuale regime di conoscibilità dei dati relativi ai soggetti che registrano siti web (cd. registrant). L´Autorità ha infatti in programma l´emanazione di un provvedimento generale che fornisca alcuni chiarimenti ed indicazioni agli operatori del settore. Specifici approfondimenti sono stati svolti in tal senso in occasione del summit mondiale organizzato da Icann a Roma nello scorso mese di marzo, durante il quale il segretario generale dell´Autorità è stato invitato ad illustrare le prospettive esistenti in materia in Italia alla luce del Codice.

 

332. Messaggi di posta elettronica non desiderati e nomi a dominio
L´Autorità ha adottato, in data 29 maggio 2003, un provvedimento generale relativo alla pratica dell´inoltro di messaggi di posta elettronica non sollecitati aventi carattere pubblicitario o commerciale (fenomeno comunemente noto come spamming), al fine di precisare il quadro normativo di riferimento ed offrire indicazioni utili agli operatori del settore.

Il Garante ha in primo luogo precisato che il consenso deve essere manifestato liberamente, in modo esplicito e, soprattutto, in forma chiara e differenziata rispetto alle diverse finalità ed alle categorie di servizi e prodotti offerti, prima dell´inoltro del messaggio commerciale. Tale disciplina non può essere peraltro elusa inviando una prima e-mail che, pur chiedendo il consenso, presenti un contenuto comunque promozionale o pubblicitario, oppure riconoscendo in concreto al destinatario un mero diritto di opposizione a ricevere in futuro altri messaggi pubblicitari (sistema cd. opt-out). Simili precisazioni sono coerenti con la disciplina generale in materia di comunicazioni commerciali non sollecitate dettata dal Codice, che, all´art. 130, ha recepito e rafforzato il principio della necessità del consenso preventivo ed informato (sistema cd. opt-in).

 
Il consenso del destinatario

Tuttavia, come anticipato nel provvedimento ora citato e, poi, confermato dallo stesso Codice (art. 130, comma 4), è stato introdotto nell´ordinamento un parziale temperamento al principio del consenso preventivo. In particolare, le aziende potranno, previa idonea informativa, inviare comunicazioni pubblicitarie o commerciali ai propri clienti con i quali già sussistono rapporti contrattuali, qualora questi ultimi abbiano in precedenza fornito, pur sempre previa idonea informativa, le proprie coordinate di posta elettronica nel contesto della vendita di un prodotto o di un servizio. Ciò, purché si tratti di prodotti o servizi analoghi a quelli per i quali era già stato instaurato un rapporto e purché sia offerta esplicitamente e senza ambiguità, all´inizio del rapporto e in occasione di ogni singolo invio, la possibilità di rifiutare tale pratica commerciale (prime indicazioni utili al riguardo sono rinvenibili nel recente parere del Gruppo art. 29 di cui si tratta in questo stesso paragrafo).

Inoltre è stato chiarito che, nel caso in cui una società acquisisca da altre aziende banche dati contenenti indirizzi di posta elettronica, deve accertarsi che ciascun interessato abbia effettivamente acconsentito validamente alla comunicazione dell´indirizzo anche per fini di promozione pubblicitaria. In ogni caso, la società deve inviare agli interessati un messaggio di informativa, al fine di facilitare a questi ultimi l´esercizio dei diritti di cui all´art. 7 del Codice.

È stato pure ribadito il principio, più volte affermato dall´Autorità, secondo il quale la semplice conoscibilità di fatto di un indirizzo di posta elettronica (ad esempio, in quanto rinvenibile tramite newsgroup, forum o chat) non legittima l´invio di messaggi in assenza del preventivo consenso informato dell´interessato.

Nell´esaminare un ricorso, il Garante ha anche avuto occasione di chiarire che non richiede il preventivo consenso informato dell´interessato l´utilizzo di un indirizzo di posta elettronica rinvenibile in un newsgroup, qualora questo sia stato indicato dal medesimo interessato nell´ambito del gruppo di discussione per una specifica finalità e il dato venga utilizzato conformemente alla finalità indicata. In questa ipotesi, è stato ritenuto lecito l´inoltro di una e-mail inviata in risposta alla richiesta di informazioni formulata dal ricorrente in un newsgroup, poiché l´e-mail si riferiva appunto a questioni del tutto pertinenti e correlate con il tema oggetto di discussione (Provv21 marzo 2003).

Deve però rilevarsi che, in ragione del principio di stabilimento recepito dal Codice, qualora i messaggi provengano da Paesi terzi, il Codice stesso potrebbe risultare inapplicabile. Tuttavia, a parte la possibilità che si applichi comunque la legge penale italiana in virtù di altre circostanze relative ad esempio a reati connessi (es. truffa), vi è non di rado l´ulteriore eventualità di potersi rivolgere alle competenti autorità del Paese nel quale lo spamming è considerato illecito in base alla relativa disciplina nazionale.

L´attività di spamming, specie se sistematica ed effettuata a fini di profitto o per arrecare ad altri un danno, quando provoca un nocumento costituisce reato e può essere denunciata all´autorità giudiziaria penale (cfr. art. 167 del Codice). È sanzionato penalmente anche l´invio di messaggi indesiderati a scopo promozionale o pubblicitario omettendo l´indicazione del mittente del messaggio e dell´indirizzo fisico presso il quale i destinatari possono rivolgersi per chiedere che i dati personali non vengano più usati.

Il Garante ha intensificato le attività di controllo e verifica presso fornitori di servizi di comunicazione elettronica, individuati grazie anche alle numerosissime segnalazioni pervenute pure nel 2003. In alcuni casi ciò ha portato a sospendere le attività illecite per effetto di provvedimenti di blocco delle banche dati o di divieto di ulteriori trattamenti. Altre volte ne è poi conseguita l´adozione di sanzioni, anche a seguito delle risultanze emerse dalla trattazione dei numerosi ricorsi decisi in materia.

Il tema dello spamming è stato oggetto di particolare attenzione altresì a livello internazionale. 

 
Lo spamming nel contesto internazionale

A tale questione l´Ocse ha dedicato numerosi documenti e gruppi di lavoro, trattandosi di un argomento rispetto al quale c´è una particolare sensibilità nei Paesi membri. Dopo la creazione di un apposito gruppo di discussione, cui hanno partecipato ventitre delegazioni, si è organizzato un seminario internazionale ospitato dalla Commissione europea, per tracciare un bilancio delle iniziative intraprese ed elaborare una strategia di contrasto comune. Al Garante, rappresentato dal segretario generale, è stato chiesto di svolgere una relazione sui meccanismi di enforcement volti ad assicurare l´effettivo rispetto della legge.

È stata ribadita da molti, in questa circostanza, l´esigenza di affrontare il tema a livello sovranazionale e con un approccio che tenga conto della tutela dei consumatori, della sicurezza informatica e della protezione dei dati personali. Anche l´elenco delle soluzioni proposte mette in luce la necessità di combinare insieme misure tecniche, legislative, disposizioni di autoregolamentazione e campagne di sensibilizzazione rivolte ad utenti ed imprese. Un forte impegno su scala internazionale in questo settore è fondamentale per preservare la fiducia dei consumatori e delle imprese nello sviluppo di Internet. Lo spamming può essere collegato ad altre attività illegali, ciò che comporta il rischio di un arresto nello sviluppo sia dell´e-commerce sia dell´e-government. Per tali ragioni l´Ocse ha proposto una riflessione comune tra i rappresentanti dei governi, delle imprese e del mondo accademico. In proposito è stata effettuata una raccolta di materiali e documenti frutto dei lavori.

A livello comunitario, il Gruppo dei garanti europei ha di recente ritenuto doveroso adottare un parere (Parere n. 5/2004 WP 90 del 27 febbraio 2004), al fine di fornire un´interpretazione uniforme dell´art. 13 della direttiva n. 2002/58/CE in tema di comunicazioni commerciali non richieste, evitando divergenze nel suo recepimento e nella sua concreta applicazione da parte dei diversi Stati membri. Secondo il Gruppo, il concetto di e-mail deve essere interpretato nel senso di ritenere che si configura una comunicazione elettronica ogni qualvolta non sia richiesta la simultanea partecipazione del mittente e del destinatario. Il requisito del previo consenso ("opt-in"), poi, può essere derogato solo nel caso in cui i dati siano stati già forniti nell´ambito di un rapporto commerciale preesistente ed il marketing si riferisca a prodotti o servizi che, eventualmente riguardati anche dal punto di vista obiettivo del destinatario della comunicazione, siano "simili" a quelli oggetto del rapporto, nei termini suggeriti dal parere.

 

333. Il codice deontologico
Sulla base dell´art. 133 del d.lg. n. 196/2003, il Garante, nell´ambito di una più generale collaborazione con i diversi operatori del settore, intende portare a conclusione in tempi rapidi (nonostante la complessità dell´argomento) le attività necessarie per la sottoscrizione del codice di deontologia e buona condotta sui trattamenti dei dati personali effettuati da fornitori di servizi di comunicazione e informazione offerti per via telematica. Ciò consentirà di fornire ulteriori criteri per assicurare una più adeguata informazione e consapevolezza agli utenti delle reti di comunicazione elettronica, nonché di favorire una maggiore trasparenza e correttezza nei confronti dei medesimi utenti ed il pieno rispetto dei principi di cui all´art. 11 del Codice.

Nel codice deontologico saranno disciplinati, tra l´altro, i presupposti ed i limiti entro i quali è lecito l´utilizzo della rete di comunicazione elettronica per accedere ad informazioni archiviate nell´apparecchio dell´utente. In tale sede potranno pertanto essere individuate le regole per l´utilizzo lecito dei cd. cookies, ai quali fa riferimento anche la Raccomandazione n. 2/2001 del Gruppo dei garanti europei, relativa ai requisiti minimi per la raccolta di dati on line nell´Unione europea.

La rilevanza del codice deontologico è accresciuta dal fatto che il rispetto delle disposizioni in esso contenute costituirà condizione di liceità e correttezza del trattamento dei dati personali (art. 12, comma 3, d.lg. n. 196/2003).

 

Il trasferimento di dati personali all´estero

34. I trasferimenti all´estero di dati
Con il Codice è stata aggiornata la disciplina del trasferimento dei dati personali all´estero (Parte I, Capo VII), completando il recepimento della direttiva comunitaria n. 95/46/CE. È stato ribadito il principio generale in base al quale i flussi di dati verso un Paese situato al di fuori dell´Unione europea sono consentiti solo se tale Paese assicura un adeguato livello di tutela delle persone (v., al riguardo, le autorizzazioni rilasciate negli anni scorsi dal Garante in relazione al livello di adeguatezza del sistema di tutela dei dati personali previsto in Svizzera ed Ungheria, nonché ai principi del Safe Harbor circa il trasferimento dei dati verso gli Stati Uniti), ovvero se sussiste uno dei presupposti di liceità indicati dalla normativa nazionale (consenso dell´interessato, adempimento di obblighi contrattuali, ecc.).

Anche nel corso del 2003 e nei primi mesi del 2004, significativa è stata l´attività svolta dal Garante per dare attuazione ad alcune decisioni comunitarie relative al settore in esame.

Si segnalano, al riguardo:

  • la deliberazione n. 6 del 30 aprile 2003, con cui l´Autorità italiana ha dato attuazione alla decisione della Commissione europea del 20 dicembre 2001, con la quale si è ritenuto adeguato il livello di protezione dei dati personali in Canada (v. Relazione 2002, p. 128);
  • la deliberazione n. 2 del 15 aprile 2004, con cui il Garante ha attuato la decisione comunitaria del 21 novembre 2003 n. 2003/821/CE, recante il riconoscimento del Bailato di Guernsey tra i Paesi che garantiscono nel proprio ordinamento un adeguato livello di protezione dei dati personali.

A tale ultimo riguardo va specificato che il Gruppo dei garanti europei istituito ai sensi dell´art. 29 della direttiva n. 95/46/CE, nel proseguire la propria attività di valutazione dell´adeguatezza del livello di protezione garantito da Stati non appartenenti all´Ue, si era pronunciato favorevolmente sul Bailato di Guernsey con il parere n. 5/2003 del 13 giugno 2003. Di conseguenza, la Commissione europea ha adottato la citata decisione n. 2003/821/CE con la quale ha stabilito che il livello di protezione dei dati nel territorio di Guernsey è "adeguato" ai fini del trasferimento di dati personali dall´Ue verso soggetti ivi residenti.

Sempre nella materia in esame, è in procinto di essere resa operativa in Italia anche la decisione della Commissione europea n. 2003/490/CE del 30 giugno 2003, riguardante l´adeguatezza del livello di tutela dei dati personali esistente in Argentina, su cui si era già espresso in senso favorevole, con il parere n. 4 del 3 ottobre 2002, il Gruppo dei garanti europei.

Infine, una decisione di contenuto analogo è in procinto di essere adottata dalla Commissione europea anche per l´Isola di Man, alla luce del parere favorevole del Gruppo (Parere n. 6/2003 del 21 novembre 2003).

Come anticipato nella Relazione per il 2002 (v. ivi, p. 127), il 2003 è stato inoltre caratterizzato da un intenso monitoraggio da parte dell´Autorità sulle attività di trasferimento di dati all´estero effettuate da alcuni operatori italiani, con particolare riguardo al tipo di garanzie adottate per tutelare i diritti degli interessati. Ciò allo scopo di verificare lo stato di attuazione delle disposizioni comunitarie e nazionali sui flussi di dati all´estero, prima di avviare specifici accertamenti relativi a singole società.

Dall´indagine svolta è emerso che:

  • circa l´84% delle società interpellate effettua trasferimenti di dati all´estero; le aree geografiche di maggiore interesse sono rappresentate dagli Usa, dall´Europa dell´Est, dall´America centro-meridionale, dall´Africa, dalla Svizzera e dall´Asia;
  • nel 40% circa dei casi analizzati, i dati personali oggetto di trasferimento all´estero riguardano principalmente dipendenti e, in misura minore, ma comunque non trascurabile, anche altre società o imprese (in qualità di clienti, concorrenti, fornitori, ecc.);
  • i flussi di dati sono stati o sono effettuati, di regola, previa acquisizione del consenso specifico degli interessati o sulla base degli altri presupposti di legge (ad es., per l´esecuzione di obblighi contrattuali);
  • soltanto in un numero ristretto dei casi esaminati (il 5% circa), relativi a flussi stabili e più complessi di dati, le società interpellate hanno utilizzato le clausole contrattuali standard indicate dalla Commissione europea;
  • in alcune limitate ipotesi, caratterizzate dal fatto che la gestione delle risorse umane viene effettuata negli Usa, gli importatori dei dati (società capogruppo o comunque collegate o controllate) hanno aderito all´accordo sui principi del Safe Harbor, dichiarandosi in genere disponibili a cooperare con le autorità per la protezione dei dati dei Paesi europei.
 
Indagine del Garante sulle attività di trasferimenti dei dati 

L´indagine dimostra che nuovi strumenti, come le clausole contrattuali, cominciano ad essere utilizzati nell´ambito delle prassi economiche e commerciali con aziende di altri Paesi e che tali strumenti possono essere ancora migliorati, in particolare con riguardo alla disciplina di fenomeni più complessi e frequenti a livello internazionale, quali quelli relativi a gruppi societari, a rapporti multilaterali tra imprese, o al conferimento a terzi, all´estero, di attività o servizi precedentemente svolti in proprio (cd. outsourcing).

In argomento, il Gruppo di lavoro istituito ai sensi dell´art. 29 della direttiva n. 95/46/CE ha evidenziato l´opportunità di introdurre eventuali correttivi, prevedendo ulteriori garanzie e regole di comportamento in aggiunta alle clausole contrattuali tipo già predisposte (v. il paragrafo seguente).

 

35. Le clausole contrattuali tipo
Diverse imprese e gruppi societari, operanti a livello internazionale, si sono rivolti al Garante per ottenere informazioni e chiarimenti sulla corretta applicazione della normativa in materia di trasferimento all´estero dei dati personali.

In particolare, l´Autorità ha esaminato un caso relativo alla realizzazione a livello internazionale di un sistema informativo centralizzato di gestione delle risorse umane di diverse società situate in vari Stati dell´Ue, tra cui l´Italia, affidato in outsourcing ad una società con sede negli Usa (ipotesi frequente in questi ambiti).

Al fine di rendere lecito il trasferimento all´estero dei dati dei dipendenti nell´ambito di questa operazione, è stato sottoscritto, anche per conto delle società appartenenti ai gruppi societari coinvolti nella gestione di tali dati, un contratto cd. globale basato sulle clausole contrattuali-tipo relative ai flussi transfrontalieri di dati tra autonomi titolari del trattamento (cfr. decisione della Commissione europea del 15 giugno 2001, n. 2001/497/CE, attuata in Italia attraverso l´autorizzazione generale del Garante n. 35 del 10 ottobre 2001).

 
Contratto CD. globale

Le clausole contrattuali-tipo consentono alle imprese di trasferire dati personali nel rispetto dei principi della direttiva anche quando il Paese di destinazione non abbia una legislazione adeguata, prevedendo idonee garanzie attraverso strumenti negoziali.

Sulla base delle osservazioni formulate dal Garante e dalle altre Autorità di controllo europee interpellate, è stato predisposto poi uno schema di contratto integrativo del precedente, basato sulle clausole contrattuali-tipo indicate nell´autorizzazione generale n. 3 del 10 aprile 2002 e relative al trasferimento dei dati a responsabili del trattamento residenti in Paesi terzi.

L´Autorità si è, inoltre, espressa favorevolmente circa il mantenimento, nel contratto integrativo, della previsione di una responsabilità disgiunta e solidale dell´esportatore e dell´importatore dei dati per i danni subiti dagli interessati a causa della violazione delle regole contrattuali. Le imprese od enti che si avvalgono dei contratti standard possono infatti inserire ulteriori clausole pertinenti, purché non risultino limitative o incompatibili con le clausole-tipo approvate dalla Commissione europea. Si è ritenuto pertanto opportuno conservare nello schema di contratto la clausola sulla responsabilità appena descritta, in quanto espressiva di una maggiore garanzia per il risarcimento dei danni eventualmente causati agli interessati: questi ultimi potrebbero così attivare direttamente un´azione legale nei confronti di entrambe le parti contrattuali.

L´Autorità ha sottolineato, infine, la necessità che lo schema di contratto stipulato tra le società interessate anche in nome e per conto delle rispettive società controllate e collegate venga sottoscritto da ciascuna di queste società o, comunque, dalla maggior parte di quelle per le quali la capogruppo non abbia uno specifico mandato o procura a rappresentarle.

L´Autorità è anche giunta alla conclusione di considerare applicabile allo schema di contratto in esame l´autorizzazione generale n. 3 del 10 aprile 2002: non è, quindi, necessario il rilascio di una specifica autorizzazione del Garante per trasferire all´estero i dati in questione.

Sempre in tema di trasferimento dei dati verso Paesi non appartenenti all´Ue (cd. Paesi terzi), il Gruppo dei garanti europei ha approfondito e sviluppato il lavoro sulle clausole contrattuali-tipo.

Il Gruppo ha avviato una riflessione su quest´ultimo punto con riferimento al livello di tutela che può essere garantito dall´adozione di norme che possono apportare un vincolo nell´impresa (cd. binding corporate rules), una sorta di codici di condotta elaborati nell´ambito di un gruppo di imprese e impegnativi per tutti i soggetti che ne fanno parte. Con un documento di lavoro (WP del 3 giugno 2003) sono state formulate alcune indicazioni preliminari sulle condizioni in base alle quali questi speciali codici di condotta possono offrire garanzie sufficienti ai fini del trasferimento di dati verso Paesi terzi che non dispongano di un livello adeguato di protezione dei dati, con particolare riferimento ai trasferimenti fra società appartenenti ad uno stesso gruppo multinazionale.

 
Binding corporate rules

Un modello alternativo di clausole contrattuali-tipo rispetto a quelle approvate con la decisione della Commissione n. 497/2001/CE ha formato oggetto di un successivo parere (Parere 8/2003 del 17 dicembre 2003). Il Gruppo ha espresso una valutazione positiva su un progetto di clausole contrattuali presentato dalla Camera di commercio internazionale e da altre organizzazioni commerciali, suggerendo alcune modifiche al fine rendere il livello di tutela equiparabile a quello delle clausole approvate dalla Commissione.

 

La sicurezza pubblica e privata

36. Il trasferimento dei dati Pnr (Passenger name record) dei passeggeri
Anche nel corso del 2003 il trasferimento dei dati personali dei passeggeri alle autorità doganali di Paesi non appartenenti all´Ue ha rappresentato uno dei punti chiave dell´attività del Gruppo costituito ai sensi dell´art. 29 della direttiva n. 95/46/CE. Tali tematiche, già affrontate nel 2002 in relazione agli Stati Uniti (Parere 6/2002 WP 66 del 24 ottobre 2002), hanno assunto speciale rilevanza nell´ultimo anno anche per le istanze presentate in proposito da Canada ed Australia, alimentando il dibattito europeo ed internazionale sul giusto equilibrio fra misure di controllo delle frontiere e di lotta al terrorismo e tutela del diritto fondamentale alla protezione dei dati personali.

Il confronto con gli Stati Uniti si è aperto quando, in seguito agli eventi dell´11 settembre 2001, sono stati adottati leggi e regolamenti che impongono alle compagnie aeree di trasferire alle autorità doganali degli Usa i dati personali dei passeggeri e dell´equipaggio in volo da o verso il territorio statunitense. In particolare, le autorità americane hanno chiesto l´accesso elettronico ai dati contenuti nei sistemi di prenotazione e distribuzione delle compagnie aeree (cd. dati Pnr-Passenger name record), prevedendo in caso contrario controlli minuziosi e lunghi dei passeggeri e dei membri dell´equipaggio all´arrivo, nonché pesanti sanzioni pecuniarie, e disponendo persino la perdita dei diritti di atterraggio. Secondo il sistema proposto, un numero ingente di dati riguardante la totalità dei passeggeri dei voli transatlantici dovrebbe essere raccolto elettronicamente nei database delle compagnie aeree e dei sistemi di prenotazione, e poi analizzato e conservato per lunghi periodi dalle autorità statunitensi. Le autorità doganali potrebbero poi comunicarli ad altre autorità degli Usa o di altri Paesi al fine di valutare la pericolosità dei passeggeri, negando eventualmente l´imbarco ai soggetti ritenuti pericolosi (cd. sistema "Capps II"). Tutto ciò avverrebbe, però, in assenza di un quadro normativo negli Stati Uniti che garantisca ai passeggeri europei una tutela dei dati personali equivalente a quella assicurata dalla direttiva n. 95/46/CE.

 
Il trasferimento dei dati Pnr da e verso gli Stati Uniti

Il Gruppo si è pronunciato nuovamente sul tema sia nel giugno 2003 (Parere 4/2003 WP 78 del 13 giugno 2003), sia nel gennaio 2004 (Parere 2/2004 WP 87 del 29 gennaio 2004), seguendo con attenzione gli sviluppi dei negoziati fra la Commissione europea e le autorità statunitensi e cercando di fornire elementi utili alla configurazione di meccanismi di trasferimento compatibili con il diritto alla protezione dei dati personali. Le carenze di tutela, evidenziate già nel parere del giugno 2003, e le conseguenti perplessità sulla possibilità di considerare adeguata la protezione prevista per i dati personali dei passeggeri europei, sono state confermate nel parere del gennaio 2004, adottato al termine dei negoziati fra Commissione e Stati Uniti.

 
La posizione del Gruppo dei garanti europei

In tale occasione il Gruppo ha tenuto conto sia dell´ultima versione degli impegni statunitensi ("Dichiarazione d´intenti dell´Ufficio doganale e di protezione dei confini (Cbp) del Dipartimento per la sicurezza interna" del 12 gennaio 2004), sia della comunicazione della Commissione europea ("Trasferimento dei dati contenuti nel Passenger name record: un approccio globale dell´Ue" COM(2003) 826 final del 16 dicembre 2003). In quest´ultimo documento, la Commissione manifesta l´intenzione di associare alla decisione sull´adeguatezza un accordo internazionale bilaterale che autorizzerebbe le compagnie aeree a considerare la richiesta degli Stati Uniti un obbligo di legge, imponendo nel contempo agli Usa di garantire ai cittadini europei l´esercizio dei propri diritti.

Nel sottolineare come anche nella lotta contro il terrorismo occorra tutelare le libertà individuali e i diritti fondamentali, compresi il rispetto della vita privata e la protezione dei dati, il Gruppo ha ribadito che il sistema deve rispettare almeno i principi fondamentali stabiliti dalla direttiva europea, ossia:

  • principio di finalità. I dati del Pnr devono essere utilizzati soltanto per contrastare il terrorismo ed altri specifici reati connessi al terrorismo; inoltre, devono essere specificati chiaramente i soggetti ai quali i dati possono essere comunicati e non deve essere ammessa l´utilizzazione dei dati in rapporto ad altri sistemi, come ad esempio il Capps II;
  • principio di proporzionalità. Devono essere trasferiti solo i dati necessari per le finalità indicate, evitando la raccolta di informazioni eccessive o non pertinenti;
  • conservazione per un periodo di tempo limitato;
  • divieto di trattare dati sensibili;
  • esercizio dei diritti degli interessati. I passeggeri devono ricevere informazioni chiare e accurate su chi tratterà i loro dati e sugli scopi del trattamento, nonché sulle modalità per l´esercizio dei diritti riconosciuti dalla direttiva n. 95/46/CE e dalle leggi nazionali (accesso, rettifica, ecc.). Restano perplessità sui poteri del Chief Privacy Officer creato presso il Department of Homeland Security, anche alla luce dei problemi sul grado di vincolatività giuridica degli "impegni" assunti dall´Amministrazione degli Stati Uniti.

L´inadeguatezza dell´attuale configurazione del sistema di trasferimento dei cd. dati Pnr verso gli Usa è stata sostenuta dal Parlamento europeo che ha approvato una serie di risoluzioni in cui, nell´invitare la Commissione europea a definire un quadro giuridico chiaro per il trasferimento dei dati dei passeggeri verso gli Stati Uniti, ha rilevato varie lacune nelle garanzie offerte dal sistema statunitense e nella soluzione proposta dalla Commissione. Il Parlamento europeo ritiene pertanto che, per tutelare il diritto alla protezione dei dati personali sancito dall´art. 8 della Carta dei diritti fondamentali dell´Ue, sia necessario un accordo internazionale, possibilmente a carattere multilaterale, in cui chiarire il ruolo svolto dalle compagnie aeree e le garanzie offerte ai passeggeri.

 
La posizione del Parlamento europeo

Da ultimo il Parlamento europeo, con un´apposita risoluzione, ha censurato la soluzione proposta della Commissione europea, invitando quest´ultima a ritirare il progetto di decisione sul trasferimento dei dati personali dei passeggeri aerei negli Stati Uniti e riservandosi il diritto di adire la Corte di giustizia per verificare la legalità dell´accordo raggiunto. Ciò in quanto gli impegni (cd. undertakings) assunti dall´Amministrazione statunitense sono stati giudicati una base giuridica inadeguata per la decisione della Commissione europea (Comunicato stampa 31 marzo 2004).

L´opportunità di un negoziato multilaterale, già evidenziata dal Gruppo nei propri pareri, si desume anche dalle richieste di trasferimento dei dati dei passeggeri recentemente formulate dalle autorità doganali canadesi ed australiane, oltre che da quanto sta emergendo in relazione a Paesi quali il Sudafrica e la Corea del Sud. Il Gruppo, in proposito, ha constatato che l´obiettivo di prevenire il terrorismo può essere efficacemente perseguito anche attraverso sistemi più rispettosi del diritto alla protezione dei dati personali dei passeggeri.

Così, un approccio certamente più equilibrato caratterizza il sistema australiano, rispetto al quale il Gruppo ha espresso un parere sostanzialmente favorevole, pur se condizionato ad alcune modifiche e miglioramenti (Parere 1/2004 WP 85 del 16 gennaio 2004). Tale sistema prevede, infatti, la trasmissione di un numero più limitato di dati personali. Inoltre, le finalità della raccolta sono circoscritte alla prevenzione del terrorismo e dei reati connessi, non è prevista la conservazione sistematica dei dati raccolti ed i diritti dei passeggeri sono garantiti da un quadro normativo ed istituzionale più conforme alle esigenze di tutela della vita privata.

Per quanto riguarda il Canada, il Gruppo ha adottato un ulteriore parere (Parere 3/2004 WP 88 del 11 febbraio 2004) in cui si evidenziano le questioni da risolvere e le modifiche da apportare al sistema canadese prima che possa essere approvata una pronuncia di adeguatezza da parte della Commissione europea.

La questione dell´utilizzazione dei dati dei passeggeri ad opera delle autorità di frontiera continua ad occupare un ruolo di primo piano non solo nell´agenda del Gruppo e delle istituzioni comunitarie, ma anche di altri organismi internazionali, quali l´Ocse e l´Icao, che più di recente hanno inteso contribuire allo sviluppo di un approccio globale a tale tematica (cfr. infraparag. 412.).

 

37. Videosorveglianza

Il Gruppo dei garanti europei, nel parere n. 4/2004 (WP 89 dell´11 febbraio 2004), ha fornito specifiche indicazioni in materia di videosorveglianza e protezione dei dati personali, con l´obiettivo di fissare regole e garanzie comuni sull´installazione di telecamere, anche in vista di eventuali interventi legislativi in materia. Il parere, adottato su particolare impulso della delegazione italiana, contiene un "decalogo" sulle cautele ed i principi da osservare in materia di videosorveglianza, che si applicano anche ai trattamenti che non sono soggetti espressamente alle disposizioni della direttiva europea (ad esempio, trattamenti effettuati per scopi di sicurezza pubblica o per il perseguimento di reati, oppure effettuati da una persona fisica per scopi esclusivamente privati o familiari). I Garanti hanno tenuto conto in proposito anche di alcuni commenti pervenuti attraverso la consultazione pubblica conclusasi il 31 maggio 2003.

 
Il parere del Gruppo dei garanti europei

 

371. La videosorveglianza in ambito pubblico
L´incremento delle risorse finanziarie a disposizione degli enti locali derivanti da fonti comunitarie, dal Piano operativo nazionale sulla sicurezza e dalle leggi regionali tese a finanziare gli investimenti per promuovere legalità e sicurezza sociale ha probabilmente contribuito a determinare un incremento nell´utilizzo di sistemi di rilevazione di immagini in ambito pubblico.

Ancora numerosi sono stati i reclami e le segnalazioni pervenuti al Garante in merito a possibili violazioni delle norme sulla protezione dei dati personali derivanti dall´installazione di sistemi di videocontrollo ad opera, in particolare, di amministrazioni locali, attivati per finalità di sicurezza urbana, tutela del patrimonio, monitoraggio del traffico, asserite competenze in tema di prevenzione e repressione dei reati, disciplina dei rifiuti urbani. Numerosi sono stati pure i reclami e le segnalazioni nei confronti di impianti installati dagli esercenti attività commerciali o artigianali per ridurre il "rischio criminalità".

Parallelamente, sono stati posti al Garante moltissimi quesiti sul tema da parte di soggetti pubblici titolari del trattamento (enti locali, aziende sanitarie locali, istituti scolastici e prefetture).

Il Garante ha ricordato in primo luogo che l´installazione di sistemi di videosorveglianza non è subordinata ad una formale autorizzazione preliminare. Non è quindi stabilito alcun termine decorso il quale i progetti sottoposti all´Autorità dai titolari possano ritenersi conformi alla normativa sulla protezione dei dati personali o comunque autorizzati dal Garante, poiché al riguardo non è previsto il formarsi del cd. silenzio-assenso. Ciò, tenuto oltretutto conto che i progetti trasmessi all´Autorità spesso non descrivono tutte le caratteristiche che permetterebbero di verificare l´applicazione del principio di proporzionalità nei singoli aspetti del trattamento.

Già in passato, con il provvedimento generale del 29 novembre 2000 (cd. decalogo sulla videosorveglianza), l´Autorità aveva fornito alcune prime indicazioni per garantire un equo contemperamento tra le esigenze di sicurezza ed il rispetto della normativa sulla protezione dei dati personali nella rilevazione di immagini e suoni.

Le prescrizioni, gli accertamenti e le garanzie indicate in tale documento dovevano essere necessariamente aggiornate, in ragione dell´evoluzione delle tecnologie disponibili, dei nuovi strumenti giuridici elaborati in sede comunitaria ed internazionale e del nuovo Codice.

Il Garante ha perciò portato a compimento un nuovo procedimento, adottando nell´aprile 2004 un ulteriore provvedimento generale per individuare principi e cautele più specifici da rispettare in materia di videosorveglianza a pena di illiceità del trattamento, in vista del relativo codice deontologico.

L´art. 134 del d.lg. n. 196/2003 impegna infatti l´Autorità a definire a breve i lavori preparatori di un apposito codice deontologico per disciplinare il trattamento dei dati personali effettuato con strumenti automatizzati di rilevazione di immagini.

Nel merito delle questioni analizzate dall´Autorità nel 2003, va tra l´altro evidenziato il quesito formulato da un´agenzia investigativa sulla possibilità di installare telecamere in luoghi pubblici in connessione con il mandato ricevuto da un comune e finalizzato alla raccolta di prove di eventuali atti di vandalismo, danneggiamenti o altri atti criminosi, affinché si potessero perseguire penalmente e civilmente i relativi autori. In proposito, l´Autorità ha rilevato la mancanza del presupposto della proporzionalità nell´uso dello strumento rispetto alla finalità perseguita. Si è pure notato che l´ente pubblico committente (un comune) era privo di funzioni istituzionali in materia di prevenzione ed accertamento dei reati. L´adozione di un sistema di videosorveglianza avrebbe potuto giustificarsi solo in presenza di una comprovata inidoneità di altri sistemi o cautele (impianti di allarme, specifica vigilanza, ecc.) e con un ruolo ben diverso del titolare del trattamento, ovvero con l´attivazione delle forze di polizia.

Il Garante è intervenuto a richiesta affinché la realizzazione di un "sistema integrato di sicurezza territoriale" presso il quartiere Eur di Roma avvenga in piena conformità a quanto previsto dalla normativa sulla protezione dei dati personali e, in particolare, in stretto ossequio al principio di proporzionalità tra mezzi impiegati e scopi perseguiti (che si specifica nei principi di pertinenza e non eccedenza) e nel rispetto delle competenze degli organi coinvolti. Sotto questo aspetto, saranno perciò oggetto di ulteriore e preventivo esame le modalità di registrazione delle immagini, il tempo della loro conservazione, nonché la predisposizione di un´adeguata informativa alla cittadinanza.

 

372. La videosorveglianza nel settore privato
Anche nel settore privato l´utilizzo di impianti di videosorveglianza ha dato luogo, nel 2003, a frequenti interventi del Garante, a conferma della progressiva diffusione del fenomeno e della crescente attenzione e sensibilità dei cittadini al riguardo.

Nei numerosi casi analizzati, in attesa della definizione del codice di deontologia previsto dall´art. 134 del d.lg. n. 196/2003, sono stati ribaditi i principi già affermati nel provvedimento generale del 29 novembre 2000.

Diverse sono state le istanze riguardanti l´installazione di impianti per finalità di sicurezza in ambito condominiale e in spazi antistanti le porte d´ingresso ad abitazioni private. Al riguardo, fermo restando il divieto sanzionato penalmente di interferire illecitamente nella vita privata altrui, si è nuovamente constatata l´inapplicabilità della vigente normativa sulla protezione dei dati personali ai trattamenti di dati effettuati per fini esclusivamente personali (art. 5, comma 3, d.lg. n. 196/2003): tuttavia, si è rilevato che questa esclusione per le apparecchiature di videosorveglianza installate al solo fine della sicurezza individuale non riguarda quelle attivate da condomini o più gruppi familiari e presuppone, comunque, che le immagini registrate non siano oggetto di successiva comunicazione sistematica o diffusione (Provv22 dicembre 2003).

 
Videosorveglianza per fini di sicurezza individuale

Nei casi in cui la legge non sia applicabile perché ad esempio il sistema è attivato da un solo condomino che non registra i dati, ciò non comporta che i terzi siano privati di garanzie in sede civile e penale. A parte la possibilità di ottenere tutela sulla base dell´art. 615-bis c.p., i terzi devono essere comunque salvaguardati nei loro diritti (riservatezza, tranquillità individuale) attraverso la delimitazione dell´angolo visuale, in modo da non riprendere l´uscio altrui o da attivare indebite forme di controllo su aree comuni.

Varie segnalazioni e reclami hanno poi riguardato il trattamento di dati effettuato tramite sistemi di videosorveglianza più complessi, installati ad opera, ad esempio, di studi professionali, esercizi commerciali, società ed enti no-profit, per i quali si è reso necessario eseguire accertamenti in loco in collaborazione con la Guardia di finanza (per il protocollo d´intesa siglato dalle due istituzioni il 26 ottobre 2002, v.Relazione 2002).

In un caso, poi, di installazione da parte di una farmacia, a seguito di alcuni episodi criminosi, di apparecchiature di videosorveglianza a protezione dei dipendenti e delle cose custodite nei relativi locali, si è reso necessario richiamare il titolare ad una più scrupolosa osservanza dei principi del cd. decalogo.

In altre ipotesi sono state invece contestate sia l´omessa notificazione al Garante del trattamento effettuato mediante impianti di videosorveglianza installati dai titolari per motivi di protezione del patrimonio e delle persone, sia la mancata adozione di un´idonea informativa agli interessati circa la presenza di tali impianti. In questi casi è stato infatti accertato che la qualità delle immagini consentiva l´identificazione delle persone che entravano nel campo di visuale delle telecamere e che i relativi titolari avevano completamente disatteso gli obblighi vigenti in materia, soprattutto per quanto concerne l´omessa informativa, comprovata dall´assenza di avvisi o cartelli recanti le indicazioni prescritte dalla normativa.

Altri procedimenti, scaturiti da reclami proposti da organismi sindacali aziendali (Rsa o Rsu) di diverse società avverso l´installazione di sistemi di videosorveglianza potenzialmente configurabili come strumenti di controllo a distanza dell´attività dei lavoratori, sono sfociati anch´essi nel richiamo al rispetto delle prescrizioni di cui all´art. 4 della legge n. 300/1970 (la cui vigenza è fatta salva dal d.lg. n. 196/2003).

Di particolare interesse è risultato inoltre un progetto sperimentale di Trenitalia S.p.A. per installare sistemi di videosorveglianza su taluni vagoni di treni che transitano su specifiche tratte ferroviarie oggetto di ripetuti atti vandalici e di episodi di microcriminalità a danno dei passeggeri. Al riguardo la società ha dichiarato di aver già adottato taluni primi accorgimenti per la protezione dei dati, come ad esempio l´effettuazione delle riprese con modalità volte ad escludere sia un avvicinamento dell´immagine sia (per quanto riguarda le carrozze-cuccette) la ripresa degli scompartimenti dei passeggeri, nonché la memorizzazione delle immagini riprese in forma criptata e la predisposizione di un´informativa agli interessati.

 
Videosorveglianza sui treni

Dopo un approfondito esame, l´Autorità ha richiamato l´attenzione di Trenitalia S.p.A. sui seguenti punti: necessità di individuare con precisione e nell´ambito di una ristretta cerchia di persone i responsabili e gli incaricati del trattamento; riduzione al minimo, ove tecnicamente possibile, dei tempi di conservazione giornaliera delle immagini prima della loro cancellazione; adozione di idonee misure di sicurezza dei sistemi e dei dati raccolti. Il Garante ha inoltre chiesto di conoscere, entro il mese di giugno 2004, l´esito della prima sperimentazione del progetto e lo stato di attuazione delle misure di protezione dei dati.

 

38. Rilevazioni biometriche
I dati biometrici recano informazioni particolarmente delicate ed il loro uso, se, da un lato può svolgere un ruolo utile nella previsione di misure di sicurezza per l´accesso a dati, apparecchiature e sistemi, riducendo il ricorso ad altri dati personali più direttamente identificativi quali nome, indirizzo o domicilio, dall´altro, può comportare gravissimi rischi legati all´uso indebito o indiscriminato di informazioni desunte da connotati particolari quali le impronte digitali lasciate dalla persona interessata.

La diffusione crescente dei sistemi biometrici ha spinto il Gruppo dei garanti europei ad adottare uno specifico documento di lavoro sul tema (WP 80 del 1° agosto 2003).   
La posizione dei garanti europei

Secondo il Gruppo, l´impiego di tecniche biometriche è ammissibile solo se realmente proporzionato agli scopi che si vogliono raggiungere e se non comporta di regola la creazione di archivi centralizzati e l´utilizzazione di informazioni desunte da "tracce fisiche" (come le impronte digitali) che una persona può lasciare anche senza rendersene conto. I garanti si sono riservati di tornare sul tema in futuro per far sì che le imprese, le pubbliche amministrazioni e i soggetti interessati all´impiego di sistemi biometrici sviluppino dispositivi realmente rispettosi della privacy; in particolare, il Gruppo ha richiamato l´attenzione sull´opportunità di redigere anche appositi codici deontologici che fissino i criteri da seguire nello sviluppo e nell´utilizzo di sistemi biometrici.

Anche il Working Party on Information Security and Privacy (Wpisp) dell´Ocse ha rivolto particolare attenzione al tema delle tecnologie biometriche, in considerazione del notevole interesse che tali tecnologie stanno assumendo in svariati ambiti, quali il settore bancario, l´istruzione, i servizi pubblici, la sicurezza dei viaggi ed il controllo dell´immigrazione. Il gruppo, coadiuvato da consulenti esperti in materia di privacy, ha pertanto elaborato un documento che, dopo un´introduzione generale in cui vengono esaminate le differenti tecnologie biometriche, analizza le diverse possibili configurazioni e funzionalità dei sistemi biometrici, evidenziandone le implicazioni in materia di protezione dei dati e sicurezza dell´informazione.

 
Il Wpisp

 

381. Dati biometrici: gli interventi del Garante
In considerazione dei rischi connessi all´utilizzo di sistemi biometrici, l´Autorità ha potenziato la propria attività di verifica e di vigilanza in tale settore. Attenzione particolare è stata dedicata ad esempio alla possibilità di installare questi sistemi a fini di controllo degli accessi ai luoghi di lavoro o a servizi di mensa universitaria.

Tramite tali verifiche, il Garante intende accertare se l´uso di un sistema così invasivo, come quello di rilevazione delle impronte digitali, sia effettivamente e obiettivamente proporzionato rispetto alle finalità che si vogliono perseguire.

Le pubbliche amministrazioni nei cui confronti sono stati avviati accertamenti, sono state chiamate a documentare le ragioni dell´inidoneità di altri sistemi o procedure da cui deriverebbero minori pericoli o rischi per i diritti e le libertà fondamentali degli interessati, nonché le finalità perseguite con l´impiego di tali sistemi di rilevazione.

Inoltre, è stato chiesto di indicare le modalità di concreta rilevazione e/o registrazione dei dati biometrici ed il successivo confronto delle impronte digitali eventualmente registrate con quelle rilevate dai lettori ottici. Ancora, i destinatari degli accertamenti sono stati invitati a specificare i tempi di conservazione, le misure di sicurezza adottate e le modalità di consultazione dei dati da parte dei soggetti autorizzati.

Tra gli accertamenti effettuati va in particolare evidenziato quello nei confronti di un ente regionale per il diritto allo studio universitario che, secondo notizie di stampa, intendeva bandire una gara di appalto per installare lettori di impronte digitali in ristoranti e pizzerie convenzionati, al fine di controllare che l´accesso al servizio di ristorazione avvenisse esclusivamente da parte degli aventi diritto (ad esempio, studenti vincitori di borse di studio o in particolari condizioni di reddito). A seguito dell´intervento del Garante, l´ente ha comunicato la rinuncia a realizzare il progetto in quanto non conforme al principio di proporzionalità tra i mezzi impiegati e le finalità di controllo della spesa perseguite.

Con riferimento all´utilizzo di dati biometrici da parte di operatori privati, merita di essere poi ricordato l´esame di un progetto pilota, curato da un gruppo di organizzazioni e società operanti a livello internazionale (cd. S-Travel Consortium).

 
Il progetto S-Travel

Attraverso tale progetto si intendeva avviare, presso gli aeroporti di Atene e di Milano Malpensa, la sperimentazione dell´uso di tecniche di autenticazione biometrica (impronte digitali e/o immagine dell´iride) nel settore del trasporto aereo, con particolare riguardo alle operazioni di check-in e di imbarco. Il progetto, seguito in Italia da Alitalia-Linee Aeree Italiane S.p.A., avrebbe coinvolto, in una prima fase, i dipendenti Alitalia e avrebbe dovuto essere esteso in una seconda fase ai passeggeri abituali della medesima compagnia che vi avessero aderito spontaneamente.

Dopo un primo contatto con tale compagnia, il Garante ha richiamato l´attenzione sulle cautele imposte dalla normativa comunitaria e nazionale in materia, ed in particolare sull´opportunità di un formale interpello al Garante stesso (ai sensi dell´art. 24-bis, legge n. 675/1996; v. ora, art. 17, d.lg. n. 196/2003) per permettergli di effettuare gli approfondimenti del caso e di prescrivere le necessarie garanzie, anche in vista dell´ipotizzata estensione della sperimentazione ai passeggeri abituali.

Il progetto poneva, infatti, delicati problemi in merito al rispetto dei principi di necessità e proporzionalità del trattamento, nonché di pertinenza e non eccedenza dei dati. L´utilizzo di tecniche di sperimentazione biometriche di riconoscimento rispondeva solo in parte al perseguimento dell´obiettivo di rafforzamento della sicurezza nei controlli aeroportuali, mirando anche alla semplificazione degli attuali adempimenti ed all´accelerazione del flusso dei passeggeri negli aeroporti.

La raccolta di dati biometrici relativi sia alle impronte digitali, sia all´immagine dell´iride di entrambi gli occhi è risultata eccedente e sproporzionata rispetto alle finalità del trattamento anche all´Autorità greca per la protezione dei dati personali, la quale, nel novembre 2003, è intervenuta bloccando lo sviluppo del progetto.

Dopo un ulteriore incontro con l´Ufficio del Garante nel quale sono stati illustrati questi punti problematici, il Consorzio e Alitalia non hanno fornito ulteriori notizie circa l´intenzione di avviare in Italia la sperimentazione.

Nel corso dell´anno sono inoltre pervenute all´Ufficio numerose richieste da parte di cittadini relative all´installazione, effettuata da alcune banche, di sistemi di rilevazione biometrica per l´accesso alle filiali. In proposito è stato ribadito l´orientamento già espresso dall´Autorità in precedenza: si è così confermato, anzitutto, che l´accesso con tali modalità deve avvenire solo ed esclusivamente sulla base di un consenso realmente libero ed informato e prevedendo modalità di ingresso alternative agevoli e non lesive della dignità della persona, anche in caso di indisponibilità al rilascio dei propri dati biometrici. Si è poi ricordato che, per il principio di proporzionalità tra gli strumenti impiegati e le finalità perseguite, resta non consentito l´utilizzo indiscriminato di sistemi di rilevazione biometrica all´ingresso di banche a fronte di una generica esigenza di sicurezza.

 
Rilevazioni biometriche in banca

Sono pervenute, altresì, talune segnalazioni circa l´impiego, da parte di alcune società, di tecniche di autenticazione biometrica (impronta palmare o facciale) per la rilevazione delle presenze del personale dipendente. Si tratta di ipotesi sulle quali il Garante sta concludendo accertamenti specifici, in considerazione del fatto che il trattamento di dati biometrici in tale ambito non risulta allo stato lecito in base ai principi di necessità e proporzionalità.

È necessario, ancora, ricordare la partecipazione del Garante al cd. Gruppo passaporto elettronico costituito presso il Ministero degli affari esteri al fine di affrontare i problemi connessi all´inserimento di dati biometrici nei passaporti. L´Autorità ha fatto presente costantemente l´esigenza di individuare un´adeguata base giuridica che consentisse l´inserimento dei dati biometrici nei passaporti, sottolineando, altresì, la necessità di rispettare comunque i principi di finalità, di pertinenza e di non eccedenza nel trattamento dei dati.

Per quanto riguarda, infine, l´attività consultiva svolta dall´Autorità su richiesta del Ministero dell´interno in merito al nuovo modello elettronico per i permessi di soggiorno, specifiche indicazioni sono state formulate relativamente alla necessità di un´adeguata base giuridica per l´utilizzo di dati biometrici, alle tecniche di registrazione dei dati (verificazione o autenticazione), nonché alla conservazione separata dei dati biometrici rispetto a quelli raccolti ai sensi del testo unico delle leggi di pubblica sicurezza per persone pericolose o sospette (cfr. sul punto anche infraparag. 45.2.).

 

39. Attività di polizia

Anche nel 2003 sono pervenute a questa Autorità alcune segnalazioni, a volte presentate direttamente al Garante, ovvero a seguito di istanze di accesso rivolte al Dipartimento della pubblica sicurezza, con le quali gli interessati lamentano la registrazione, nel C.e.d. (Centro elaborazione dati) di tale Dipartimento, di dati inesatti, incompleti o non aggiornati, per lo più in riferimento a provvedimenti giudiziari o amministrativi adottati e non registrati (art. 10 legge n. 121/1981, modificato dall´art. 42 legge n. 675/1996 e, da ultimo, dall´art. 175, comma 3, d. lg. n. 196/2003).

L´Autorità aveva già sottolineato in passato (Provv17 gennaio 2002) che anche i trattamenti effettuati da organi o uffici di polizia concernenti dati memorizzati nel predetto C.e.d., ovvero trattati per finalità di prevenzione, accertamento o repressione dei reati, devono essere comunque effettuati nel rispetto dei principi di liceità, pertinenza e non eccedenza previsti dall´art. 9 della legge n. 675/1996 (ora, art. 11 d.lg. n. 196/2003). Si era poi richiamata l´attenzione degli uffici sulla necessità di verificare con cadenza periodica la rispondenza a tali principi dei dati trattati, apportando senza ritardo le modifiche richieste o necessarie e cancellando i dati detenuti, specie in ragione degli esiti processuali eventualmente documentati dagli interessati.

 
Il C.e.d. del Dipartimento della pubblica sicurezza

In linea con le indicazioni del Garante, questi profili hanno trovato ulteriore rafforzamento nel Codice.

Il d.lg. n. 196/2003 ha infatti previsto che il C.e.d. del Dipartimento della pubblica sicurezza debba assicurare in maniera più incisiva l´aggiornamento periodico, la pertinenza e la non eccedenza dei dati trattati anche attraverso interrogazioni del casellario giudiziale e di quello dei carichi pendenti del Ministero della giustizia o di altre banche di dati di forze di polizia, al fine di garantire la costante rispondenza delle informazioni registrate nel C.e.d. a quelle conservate in altri archivi (art. 54, comma 3, d.lg. n. 196/2003).

Analogamente, la verifica periodica del rispetto dei principi dettati dall´art. 11 del Codice è prevista come specifico obbligo per i singoli organi, uffici e comandi di polizia, i quali potranno avvalersi anche delle risultanze del C.e.d. (aggiornate come appena precisato) procedendo pure, in caso di trattamenti di dati effettuati con mezzi diversi da quelli elettronici, ad annotare o integrare i documenti cartacei che li contengono (art. 54, comma 4, d.lg. n. 196/2003).

L´importanza di queste garanzie è testimoniata anche dalla disposizione del Codice che demanda ad un regolamento governativo lo sviluppo di taluni principi applicabili ai trattamenti effettuati per finalità di polizia. In un regolamento previsto dovranno essere infatti contemplati, fra l´altro, appositi e più specifici termini di conservazione dei dati, nonché determinate modalità per il loro aggiornamento periodico, per la comunicazione degli aggiornamenti ad altri soggetti cui le informazioni sono state, eventualmente, comunicate in precedenza, e per la verifica della pertinenza dei dati rispetto alla specifica finalità perseguita (art. 57 d.lg. n. 196/2003).

Il Codice ha inoltre chiarito che la disciplina vigente in materia di accesso ai dati conservati nel C.e.d. (art. 10, commi 3, 4 e 5, legge n. 121/1981) si applica anche ai dati trattati da organi o uffici di polizia con l´ausilio di strumenti elettronici, nonché a quelli -già espressamente considerati in passato- destinati a confluire nel C.e.d. (art. 56 d.lg. n. 196/2003).

Particolare attenzione dovrà essere prestata ai trattamenti di dati che presentano maggiori rischi di danno all´interessato (trattamenti riferiti a dati genetici, biometrici o effettuati mediante tecniche basate su dati relativi all´ubicazione) per i quali l´Autorità intende individuare, anche su comunicazione degli organi interessati, particolari misure ed accorgimenti a garanzia dell´interessato (artt. 55 e 17 d.lg. n. 196/2003). L´Autorità ha già segnalato la necessità di determinare tali misure, anche in conformità alle indicazioni che potranno pervenire dalle stesse amministrazioni interessate, in relazione alla raccolta dei rilievi dattiloscopici effettuata in occasione del rilascio o del rinnovo del permesso di soggiorno agli stranieri ed all´eventuale inserimento dei dati biometrici nel documento di soggiorno elettronico.

L´Autorità è, poi, intervenuta nuovamente sulla diffusione da parte di organi di polizia di immagini e, specialmente, di foto segnaletiche di persone coinvolte in attività di polizia, in relazione ad una recente vicenda giudiziaria, che ha coinvolto anche alcuni personaggi del mondo dello spettacolo.

In merito a tale caso, già ricordato in un´altra parte della Relazione(cfr. parag. 15.2.), il Garante ha rilevato che la diffusione di immagini di persone coinvolte in indagini o altri accertamenti è consentita agli organi di polizia solo per finalità di giustizia o di polizia e comunque nel rispetto della dignità della persona arrestata o altrimenti detenuta.

 

40. Problemi applicativi e possibili sviluppi del sistema di informazione Schengen

Il Sistema di informazione Schengen (su cui, v. pure infraparag. 49.) è assoggettato ad un´attività di verifica e controllo del suo funzionamento da parte dell´Autorità comune di controllo (Acc), alla quale compete vigilare sull´applicazione della Convenzione di Schengen. Nel biennio 2002-2003 tale Autorità è stata presieduta dal segretario generale del Garante, che aveva già ricoperto la carica di vice presidente nel precedente biennio.

Nel dicembre 2003 l´Autorità comune ha approvato il sesto Rapporto, in cui sono evidenziate le attività intraprese per una nuova campagna di informazione nei confronti dei cittadini, per l´apertura di un sito web della stessa Autorità comune (http://www.schengen-jsa.dataprotection.org) e per l´attuazione di una newsletter.

 
Il sesto Rapporto dell´Acc

Il Rapporto è dedicato, in particolare, al potenziamento degli strumenti di indagine attraverso le modifiche proposte al sistema informativo attuale. Si tratta del cd. Sis II, che prevede un significativo ampliamento delle categorie di informazioni registrabili nel sistema, il possibile inserimento di dati biometrici e la modifica di alcuni meccanismi di accesso e utilizzazione dei dati.

Il Rapporto sottolinea i vari sforzi compiuti dall´Autorità di controllo per far sì che tali modifiche siano pienamente conformi alla Convenzione di applicazione dell´Accordo di Schengen. In particolare, nel rispondere alle sollecitazioni di alcuni Stati membri rispetto agli sviluppi del Sis, si è evidenziato che le modifiche proposte (il Sis II dovrebbe essere attuato entro il 2006) comporterebbero un sostanziale mutamento della natura del sistema informativo. Dando a strutture come Europol o Eurojust la possibilità di accedere direttamente ai dati in esso contenuti, il Sis verrebbe utilizzato per scopi investigativi leciti senza, però, una revisione complessiva delle sue finalità: invece, la Convenzione del 1990 aveva previsto un´utilizzazione "più statica" del Sis, sostanzialmente per vietare l´ingresso nella cd. Area Schengen a soggetti segnalati come indesiderabili dalle competenti autorità nazionali e quale strumento utile per alcune misure cd. compensative.

Alle proposte di modifica del Sis l´Autorità comune ha dedicato nel biennio 2002-2003 diversi pareri, nei quali si è sottolineata la necessità di chiarire le nuove modalità di accesso di altri organismi (Europol, Eurojust) e si è ribadita l´inopportunità di inserire dati biometrici nel sistema (ad esempio, rilievi dattiloscopici) qualora tali dati non siano effettivamente indispensabili ai fini della specifica segnalazione. In merito alla proposta di inserire nel Sis le informazioni contenute nel cosiddetto "mandato di arresto europeo", l´Autorità comune, in un altro parere, ha sollecitato chiarimenti da parte del competente Comitato presso il Consiglio Ue, sottolineando che l´utilizzo del Sistema informativo Schengen quale veicolo di trasmissione delle informazioni contenute nel mandato di arresto europeo comporterebbe, ancora una volta, una modifica sostanziale della natura del Sis e dei suoi meccanismi di funzionamento, che va previamente discussa ed impostata organicamente sul piano normativo. Tra le diverse altre questioni riassunte nel Rapporto vi è quella dell´integrazione con altre banche dati.

Anche il Parlamento europeo ha sollecitato un riesame della questione, attraverso alcune audizioni pubbliche e seminari tenuti a Bruxelles, cui è stato chiamato a partecipare il segretario generale del Garante, in qualità di presidente dell´Autorità comune di controllo.

Sotto altro profilo, è stato avviato dall´Autorità comune uno studio per verificare le discrepanze eventualmente esistenti fra i vari Paesi nell´interpretazione ed applicazione dell´art. 96 della Convenzione Schengen, relativo alle segnalazioni ai fini della non ammissione sul territorio comune. In base ai criteri previsti da tale norma, nessuna segnalazione relativa ad una persona può essere inserita nel Sis se non in base ad una richiesta delle competenti autorità nazionali successiva all´adozione di un formale provvedimento (in genere di espulsione) delle autorità amministrative o giudiziarie concernente la medesima persona. Si è quindi avviata una verifica comune in tutti i Paesi, che dovrà portare entro breve termine anche in Italia a controlli almeno a campione sulle migliaia di interessati segnalati dal nostro Paese e sulle procedure di immissione di tali informazioni.

 
L´art. 96 della Convenzione Schengen

In merito, infine, ai tempi di conservazione delle segnalazioni inserite nel Sis, l´Autorità comune ha ritenuto, in un parere, che il termine di tre anni previsto dall´art. 112 della Convenzione Schengen per il riesame delle singole segnalazioni si applichi a tutti i dati personali contenuti nel Sis, indipendentemente dalle specifiche finalità (reperimento di una persona, divieto di ingresso nei confronti di tale persona).

 

41. Gli interventi dell´Ocse in materia di sicurezza

411. Attuazione delle linee-guida sulla sicurezza
Ad un anno dall´approvazione delle linee-guida sulla sicurezza, l´Ocse ha organizzato un seminario internazionale cui ha partecipato anche questa Autorità, per mettere a confronto le esperienze applicative nei singoli Paesi.

Le relazioni hanno evidenziato una notevole difformità nelle misure attuative a livello nazionale ed hanno fatto emergere la mancanza di chiarezza sui soggetti che dovrebbero promuovere l´attuazione dei principi contenuti nelle linee-guida. Tutti i partecipanti hanno affermato la necessità di incrementare lo scambio di best practice e di sviluppare metodologie capaci di valutare l´impatto delle misure di sicurezza informatica. Altre esigenze assai sentite sono quelle di sviluppare ulteriormente la condivisione delle informazioni (Warning, Advice and Reporting WARP) e di incoraggiare le industrie a conformare sempre di più i loro hardware e software alla sicurezza ed alla privacy, individuando soluzioni che evitino di far affidamento solo sui consumatori finali.

Particolare attenzione è stata rivolta anche alla necessità di promuovere politiche di istruzione e formazione per i Paesi non membri dell´Ocse, anche in ragione dell´interdipendenza crescente fra Paesi sviluppati e Paesi in via di sviluppo, che obbliga a pensare la sicurezza in termini "globali". è stata inoltre sottolineata la necessità di passare dal concetto di sicurezza a quelli di responsabilità e affidabilità.

La discussione si è conclusa con la decisione di creare un Global Culture of Security Web Site (www.oecd.org/sti/cultureofsecurity), che possa costituire uno strumento di scambio di esperienze reciproche fra i Paesi membri e, allo stesso tempo, una fonte di informazione per i Paesi non membri.

 

412. Sicurezza dei viaggi internazionali (Travel Security)
Alla luce dei numerosi dibattiti non solo europei, l´Ocse ha deciso di rivolgere particolare attenzione a tale argomento, ritenendolo un importante terreno di confronto tra le rinnovate esigenze di sicurezza ed i principi di protezione dei dati personali.

Nel settembre del 2003, l´Ocse e l´Icao (Organizzazione internazionale dell´aviazione civile) hanno organizzato a Londra un incontro, cui ha partecipato anche questa Autorità, volto ad esaminare i tipi di controlli e di sistemi che potrebbero migliorare la sicurezza dei viaggi internazionali, garantendo al contempo un elevato grado di tutela dei dati personali.

L´esame dei metodi sottoposti alla discussione, tra i quali figurano l´inserimento di dati biometrici nei passaporti e la previsione di sistemi di trasmissione dei dati dei passeggeri, ha confermato che questa materia costituirà un elemento cruciale del dibattito anche futuro su sicurezza e privacy.

Per tali ragioni il Working Party on Information Security and Privacy (Wpisp) dell´Ocse, avendo competenze in materia di sicurezza, privacy e biometria -i tre elementi centrali della travel security- ha recentemente dato vita ad un gruppo di esperti che, unitamente a rappresentanti dell´Icao, si occuperà del tema. Il gruppo, basandosi sulle raccomandazioni dell´Icao e sulle linee guida dell´Ocse, avrà come compito principale l´elaborazione di indicazioni agli Stati membri sugli aspetti di sicurezza dell´informazione e di tutela della privacy nella raccolta e scambio dei dati relativi ai passeggeri che intraprendono viaggi internazionali. Di tale gruppo farà parte anche un rappresentante del Garante.

 

Le informazioni genetiche

42. I compiti e gli interventi del Garante
Con riferimento ai dati genetici, il Codice ha confermato il principio stabilito dalla disciplina previgente secondo cui il trattamento di queste informazioni, da chiunque effettuato, dovrà essere oggetto di un´apposita autorizzazione del Garante (art. 90).

Tale autorizzazione sarà rilasciata nel 2004 sentito il Ministro della salute, che acquisisce, a tal fine, il parere del Consiglio superiore di sanità. Nelle more di questa nuova ed apposita autorizzazione, che avrà carattere generale, i trattamenti di dati genetici possono essere allo stato iniziati o proseguiti osservando le prescrizioni contenute nell´autorizzazione n. 2/2002, come ad es. il divieto di comunicare le informazioni genetiche a terzi.

Sempre in tema di dati genetici, il Garante è intervenuto a seguito di una segnalazione proveniente dall´estero rispetto ad una vicenda che aveva avuto eco anche sulla stampa straniera. Il caso riguarda un´articolata ricerca genetica su popolazioni isolate in Alto Adige. L´Autorità, avvalendosi dell´esperienza acquisita a seguito di analoghi accertamenti svolti in merito a ricerche attivate in altre regioni, ha curato ispezioni in loco, ottenendo informazioni e documenti relativamente alle modalità di raccolta dei dati bio-genetici e all´osservanza delle garanzie a tutela della riservatezza degli interessati in materia di informativa e consenso.

Dal procedimento svolto con la collaborazione dei professionisti preposti alla ricerca è già scaturita, pur in presenza del rispetto di parte dei principi di legge, una denuncia di reato per violazione di norme in materia di misure di sicurezza e un connesso provvedimento di prescrizione di misure idonee ai sensi dell´art. 169 del Codice.

È poi attualmente allo studio dell´Autorità il trattamento di dati personali connesso alla realizzazione di test genetici. L´esame avviato dal Garante concerne i test finalizzati alla prevenzione, diagnosi o terapia di malattie genetiche, quelli di paternità e/o maternità utilizzati per scopi probatori in sede civile o penale, nonché quelli di tipo "informativo" o "confidenziale", basati cioè su una mera comparazione dei profili genetici ottenuti da due o più tracce biologiche anonime, al fine di fornire indicazioni sulla loro compatibilità genetica.

Per quanto riguarda la materia della procreazione assistita, si è parlato in altra parte della Relazionedell´audizione del presidente del Garante nell´ambito dei lavori preparatori della legge n. 40/2004 (cfr.parag. 2.). Va aggiunto che l´Autorità è stata investita da numerosi interpelli e segnalazioni a proposito delle modalità inizialmente ipotizzate per attuare l´art. 17 di tale legge, nella parte in cui prevede che le strutture e i centri in cui si praticano tecniche di procreazione medicalmente assistita trasmettano al Ministero della salute "un elenco contenente l´indicazione numerica degli embrioni prodotti … nonché, nel rispetto delle vigenti disposizioni sulla tutela della riservatezza dei dati personali, l´indicazione nominativa di coloro che hanno fatto ricorso alle tecniche medesime a seguito delle quali sono stati formati gli embrioni".

 
Procreazione assistita

Di seguito alla prima circolare del Ministro della salute del 10 marzo 2004, l´Ufficio del Garante ha curato alcuni approfondimenti in collaborazione con il Ministero.

All´esito di tali approfondimenti, con nota ministeriale del successivo 25 marzo, si è ottenuta conferma che non si sarebbe più sollecitata una comunicazione nominativa di tutti gli interessati che avevano fatto ricorso alla procreazione assistita presso i centri, ma che, al contrario, si sarebbe proceduto alla sola richiesta di inviare al Ministero una serie di codici numerici indicanti il centro, la regione di riferimento e un numero sequenziale per ogni embrione congelato, in collegamento con i dati identificativi (che rimarranno in possesso dei soli centri). La vicenda ha trovato così un giusto punto di bilanciamento di cui il Governo ha anche dato atto nella successiva risposta ad alcuni atti di sindacato ispettivo in Parlamento.

 

43. Il documento di lavoro del Gruppo art. 29
Sul trattamento dei dati genetici deve essere ricordato, inoltre, il documento di lavoro adottato il 17 marzo 2004 dal Gruppo dei garanti europei costituito ai sensi dell´art. 29 della direttiva n. 95/46/CE.

L´inarrestabile progresso tecnologico nel settore della genetica ha indotto il Gruppo ad occuparsene, viste le sue ripercussioni nel campo della riservatezza. In particolare si è cercato di individuare i settori in cui il trattamento dei dati genetici determina maggiori preoccupazioni, considerando comunque la protezione dei dati genetici un presupposto indispensabile del principio di uguaglianza e del diritto alla salute.

Dopo aver fornito le definizioni di dato genetico ed elaborato il concetto di "gruppo biologico", in linea con quanto stabilito in materia dal Consiglio d´Europa e dall´Unesco, vengono descritti il campo di applicazione della direttiva n. 95/46/CE, nonché le caratteristiche che rendono unici questi dati e le finalità più rilevanti per le quali vengono trattati negli ordinamenti dei quindici Paesi membri (tra le quali l´assistenza sanitaria e la terapia medica, l´occupazione, le assicurazioni, la ricerca medica e scientifica e l´identificazione). In tutti questi casi è necessario raggiungere un approccio uniforme e un punto di vista condiviso, al fine di stabilire adeguate garanzie.

Qualsiasi trattamento di dati genetici non connesso alla salvaguardia della salute dell´interessato e alla ricerca scientifica può avvenire solo se previsto da una norma di legge conforme alla direttiva e, in particolare, al principio di finalità e proporzionalità. Ne discende il divieto di screening genetici generalizzati.

Nei settori dell´occupazione e delle assicurazioni il trattamento dovrebbe essere consentito solo in casi eccezionali e comunque previsti da norme di legge.

In relazione ai campioni di materiali genetici, viene ribadita la necessità di garantire pienamente i diritti degli interessati durante il trattamento, così come l´opportunità di distruggere o rendere anonimi i campioni non appena ottenute le informazioni necessarie, anche in considerazione del loro eventuale impiego per fini di clonazione. Tutti i dati genetici devono inoltre essere trattati solo da professionisti qualificati, sulla base di specifiche autorizzazioni e regole.

Il documento si chiude invitando le autorità nazionali a svolgere un ruolo attivo nei rispettivi Paesi, con la previsione di forme di prior checking (in particolare per le cd. bio-banche) e ponendo l´accento sulla necessità di applicare i principi di proporzionalità e finalità.

 

La Conferenza di Sydney

44. La Conferenza e le Risoluzioni
Il Garante ha partecipato a numerose conferenze internazionali (su cui infraparag. 52.3.): in questa sede va ricordata in particolare la partecipazione alla 25a Conferenza internazionale delle autorità per la protezione dei dati personali, svoltasi a Sydney dal 10 al 12 settembre 2003.

La conferenza australiana ha rappresentato, infatti, un momento significativo nella discussione su una serie di temi emersi recentemente con piena evidenza: i prossimi passi nella regolamentazione della protezione dei dati personali, gli effetti che le normative sulla privacy producono a livello globale su imprese e consumatori, gli organismi, le tecnologie e gli incentivi per sostenere e sviluppare la difesa del diritto alla riservatezza, le implicazioni della protezione dei dati personali in campo giuridico, i rapporti tra tutela dell´ordine pubblico e rispetto delle persone, il ruolo svolto dalla privacy nella società contemporanea.

Alla Conferenza, che ha visto riuniti rappresentanti delle autorità per la protezione dei dati personali, esperti, imprese e rappresentanti governativi di oltre quaranta Paesi, l´autorità italiana ha partecipato con una delegazione guidata dal presidente prof. Stefano Rodotà, dal componente del collegio, on. Mauro Paissan e dal segretario generale, Giovanni Buttarelli. Il prof. Rodotà ha presieduto la sessione inaugurale dedicata alle nuove prospettive di regolamentazione della privacy. La Conferenza è stata preceduta da seminari di formazione e conferenze su diversi argomenti: tra queste va segnalata quella svoltasi l´8 settembre 2003 a Melbourne, dedicata a corpo fisico, corpo elettronico e dati personali, aperta dallo stesso prof. Rodotà.

La Conferenza si è conclusa con l´approvazione di cinque risoluzioni che richiamano l´attenzione su aspetti attuali e significativi della vita privata dei cittadini.

 

441. Trasferimento dei dati dei passeggeri
Una risoluzione riguarda il trasferimento di dati personali riguardanti i passeggeri da parte delle compagnie aeree alle autorità statunitensi. In essa viene affermato che nella lotta contro il terrorismo e la criminalità organizzata gli Stati devono osservare i principi fondamentali in materia di protezione dei dati, e che le informazioni sui viaggiatori diretti negli Usa possono essere acquisite e trasferite solo all´interno di un contesto che tenga conto delle esigenze di protezione dei dati ed in base ad un accordo internazionale. Questo accordo dovrebbe contenere norme adeguate in relazione ad alcuni profili: limitazione delle finalità, non eccedenza dei dati raccolti, tempi di conservazione, informativa, diritto di accesso, previsione di un´autorità di controllo indipendente.

 

442. Informativa
Al tema dell´informativa e, in particolare, all´esigenza di migliorarne insieme la chiarezza e l´efficacia dei contenuti è stata dedicata un´altra risoluzione, in cui è stato affermato che l´informativa deve essere il più possibile chiara e concisa. Le autorità garanti si sono impegnate ad elaborare un modello standard che soggetti pubblici e privati potranno utilizzare per fornire informazioni essenziali sul trattamento con un linguaggio semplice, inequivocabile e diretto. Nel modello deve essere specificato il soggetto che tratta i dati e le finalità per le quali li tratta. Inoltre, deve essere spiegato come contattare tale soggetto e quali sono i diritti riconosciuti agli interessati e deve indicarsi l´autorità di controllo alla quale rivolgersi. Nell´informativa sintetica saranno poi forniti gli elementi per reperire ulteriori informazioni, secondo le esigenze del singolo interessato. Questa informativa deve essere fornita prima di richiedere qualsiasi dato personale e, per quanto riguarda il settore telematico, possibilmente in maniera automatizzata (su questo punto la Conferenza si è richiamata espressamente al lavoro svolto in materia dal Gruppo di cui all´art. 29 della direttiva europea n. 95/46/CE).

Le autorità hanno anche ribadito la propria disponibilità a collaborare con tutti i soggetti impegnati a migliorare la comunicazione fra imprese, pubblica amministrazione e cittadini, in un´ottica di trasparenza e di rispetto per la vita privata.

 

443. Organizzazioni internazionali
Una terza risoluzione si è occupata degli organismi internazionali e sovranazionali. Le autorità hanno invitato questi ultimi ad impegnarsi nell´osservare le regole compatibili con i principi fissati a livello internazionale nella materia della tutela della privacy (direttive Ue, raccomandazioni del Consiglio d´Europa, linee-guida Ocse), tra le quali la creazione di autorità di controllo interne, effettivamente indipendenti sul piano operativo. è poi necessaria, a giudizio delle autorità garanti, una valutazione preliminare dell´impatto in materia di riservatezza di qualsiasi norma o regolamento elaborato da un organismo internazionale e che abbia riflessi sulla legislazione dei singoli stati.

 

444. Aggiornamenti automatici di software
Gli aggiornamenti automatici di software hanno formato oggetto di un´altra risoluzione adottata a Sydney. In particolare è stato rilevato che le case produttrici di software ricorrono sempre più a meccanismi non trasparenti per trasferire aggiornamenti di software nei computer dei singoli utenti. Per evitare i rischi derivanti dalla possibilità di leggere e raccogliere dati personali memorizzati nel computer dei singoli utenti senza che questi ne abbiano consapevolezza, e per non esporre gli utenti stessi al rischio di commettere involontariamente un illecito, la Conferenza ha invitato le società:

  • aggiornare il software on line solo su richiesta dell´utente, secondo procedure trasparenti;
  • non richiedere dati personali se non assolutamente necessari per effettuare l´aggiornamento, anche in tal caso solo con il consenso informato dell´utente.

La risoluzione ha inoltre sottolineato l´opportunità di offrire forme alternative di distribuzione del software (ad esempio, attraverso specifici Cd-Rom).

 

445. Radio frequency identification

L´ultima risoluzione, adottata non contestualmente allo svolgimento della Conferenza, si è occupata del tema dell´identificazione attraverso radiofrequenze (Rfid).

I dispositivi basati su tale sistema, che vengono utilizzati sempre più spesso, comportano significative implicazioni anche in materia di tutela della privacy. La tecnologia impiegata, infatti, potrebbe ricostruire le attività di singoli individui e istituire collegamenti fra le informazioni raccolte e banche dati preesistenti.

Per tali motivi le autorità garanti hanno invitato i titolari di trattamenti ad utilizzare, laddove possibile, approcci alternativi rispetto alla raccolta di dati personali o alla profilazione della clientela. Quando tale tecnologia risulta indispensabile, per scopi legittimi, la raccolta deve essere comunque chiara e trasparente, i dati devono essere utilizzati esclusivamente per lo scopo specifico per cui sono stati raccolti e conservati solo fino al raggiungimento di tale scopo, e gli interessati dovrebbero avere la possibilità di cancellare i dati e di disattivare o distruggere le etichette Rfid. Viene inoltre sottolineata l´importanza di tener conto dei principi enunciati in materia di dati personali anche nella fase di progettazione e nell´utilizzazione di prodotti cui siano applicabili tecnologie basate su Rfid.

Scheda

Doc-Web
1051596
Data
28/04/04

Tipologie

Relazione annuale

Documenti citati