Collegamenti telematici in materia di immigrazione
Parere favorevole sullo schema di decreto contente le regole tecniche. Via libera anche all´elenco degli istituti  archeologici

Il Garante ha espresso parere favorevole sullo schema di decreto del Ministero dell´Interno contenente le regole tecniche per i collegamenti telematici fra i sistemi informativi e gli archivi automatizzati delle amministrazioni pubbliche titolari del trattamento dati in materia di immigrazione. Considerati, però, i soggetti coinvolti e la natura delle informazioni scambiate che, essendo relative a procedimenti in materia di immigrazione, possono contenere anche dati sensibili o biometrici, il Garante ha richiesto l´adozione di misure che garantiscano un elevato livello di sicurezza e di riservatezza delle informazioni trasmesse.

Lo schema contiene disposizioni relative alle modalità dei collegamenti, all´accesso ai dati e allo scambio delle informazioni. Su questo aspetto, il Garante ha richiesto che l´accesso informatico debba essere consentito ai soli soggetti legittimati e in riferimento ai dati strettamente necessari per le finalità perseguite in materia di immigrazione.

Lo schema prevede che i collegamenti fra i sistemi informativi  avvengano attraverso il Sistema Pubblico di Connettività (Spc) che è basato su una rete di trasporto sicura, dotata di protocolli crittografici in grado di evitare l´intercettazione di flussi di comunicazione da parte di terzi estranei. Finché non saranno pienamente disponibili i servizi del Spc, per realizzare lo scambio di informazioni potrà essere utilizzata la Posta Elettronica Certificata (Pec).

Perché la Pec possa assicurare la riservatezza dei messaggi il Garante ha ritenuto che lo schema di decreto debba contenere una disposizione in base alla quale  le pubbliche amministrazioni interessate definiscano, tramite convenzioni, le condizioni e le modalità di protezione dei messaggi scambiati.

Via libera anche allo schema di regolamento del Ministero per i beni e le attività culturali che individua i criteri per la tenuta dell´elenco degli istituti, dei dipartimenti archeologici universitari e degli altri soggetti qualificati per la verifica dell´"impatto archeologico" di opere pubbliche.

Lo schema prevede che l´elenco, istituito presso il Ministero, sia tenuto, anche con modalità informatiche, dal Dipartimento per i beni culturali e paesaggistici.

La domanda di iscrizione  e i dati da inserire nell´elenco a fini informativi, quali curricula  professionali ed informazioni sulla struttura che chiede l´iscrizione e sulla sua attività, saranno raccolti mediante appositi modelli, i cui schemi dovranno essere preventivamente trasmessi al Garante.

I curricula e le ulteriori informazioni saranno accessibili on line mediante collegamento ipertestuale con il nominativo del soggetto iscritto.

Privacy e scambio di dati
Il presidente del Garante al seminario Epof

"Dobbiamo trovare il modo di conciliare le esigenze della massima fluidità del commercio e degli scambi con una tutela rigorosa del diritto alla privacy dei cittadini europei. E dobbiamo saper cogliere una opportunità importante che le binding corporate rules, le cosiddette norme vincolanti d´impresa, possono offrire, ossia quella di incentivare la diffusione della cultura della privacy all´interno delle multinazionali e delle grandi corporation". Lo ha affermato Francesco Pizzetti, presidente del Garante privacy italiano intervenendo alla riunione, svoltasi nelle scorse settimane  a Bruxelles, dell´European Privacy Officers Forum (Epof),  un´associazione che riunisce i Privacy Officers, ossia gli "incaricati della protezione dei dati" operanti all´interno di circa 35 società multinazionali con sede in Europa.

Le norme vincolanti d´impresa sono regole che le società possono adottare autonomamente anche per disciplinare i trasferimenti  di dati personali  verso Paesi terzi "non adeguati". Presentano però alcune problematiche relative alla loro vincolatività ed efficacia sia nei rapporti tra le imprese del gruppo sia nei confronti dei terzi. "Sono convinto che il problema di queste norme debba essere risolto - ha sottolineato il presidente del Garante italiano - senza mettere in alcun modo in pericolo il diritto fondamentale alla protezione dei dati. E questo per le Autorità per la privacy europee deve essere sentito come un dovere serio e urgente".

Pizzetti è poi intervenuto sulla figura del Data protection Officer (o Privacy Officer), figura presente in altri Paesi europei ma non espressamente dal nostro Codice:  "Vedo con molto favore - ha affermato Pizzetti -  l´istituzione della figura del Data Protection Officer specialmente per le aziende e le corporation medie e grandi. La diffusione di questa figura non potrebbe che aiutare l´azione del Garante e la diffusione stessa della privacy nell´ambito delle strutture di impresa".

Con una riflessione su minori,  privacy e  nuove tecnologie (sms, mms, videochiamate, accessi Internet) Pizzetti ha affrontato, infine, alcuni delicati aspetti di questo problema che si sta già dibattendo a livello dei Garanti europei. Una delle conseguenze infatti delle nuove tecnologie è quella di coinvolgere anche i minori in attività che richiedono una loro esplicita manifestazione di consenso. "Si tratta di una tematica assolutamente rilevante - ha concluso Pizzetti - alla quale nei prossimi anni si dovrà prestare molta attenzione".

Rfid e privacy dei consumatori negli Usa

Le implicazioni della tecnologia Rfid (radio frequency identification) suscitano attenzione anche negli Stati Uniti rispetto alla tutela delle informazioni personali, in particolare dei consumatori. Il Center for Democracy and Technology (Cdt) ha elaborato recentemente una sorta di "decalogo" di buone prassi (http://www.cdt.org) per assicurare un utilizzo della tecnologia Rfid che sia rispettoso del diritto alla protezione della vita privata.

Il Cdt è un organismo no-profit che da molti anni segue, negli Usa, tematiche connesse alla tutela dei diritti civili. Il documento del Cdt si è concentrato soltanto sugli impieghi commerciali della tecnologia Rfid, e non ha preso in considerazione altre possibili applicazioni (in particolare, nel campo dei rapporti di lavoro o per finalità specifiche di identificazione).

Tre sono i principi dai quali parte l´analisi del Cdt: a) neutralità della tecnologia, nel senso che la tecnologia Rfid non è ritenuta in sé più "pericolosa" di altre per la privacy, mentre il rischio sta nell´utilizzare questa tecnologia secondo meccanismi non rispettosi della privacy degli individui (tracciamento del consumatore, incroci non autorizzati fra banche dati contenenti informazioni personali, utilizzazioni non segnalate, ecc.); b) privacy e sicurezza devono diventare componenti progettuali di ogni dispositivo Rfid; c) trasparenza verso il consumatore, il quale deve sapere se, quando e come siano utilizzati dispositivi Rfid.

Sulla base di questi principi, e utilizzando la falsariga delle Linee-guida Ocse, il Cdt ha indicato alcune regole di comportamento che dovrebbero consentire di conciliare le potenzialità ed i benefici della tecnologia Rfid con la tutela dei dati personali dei consumatori. Si tratta in breve dei principi seguenti:

1) Informativa: il consumatore deve ricevere un´informativa chiara, sintetica e ben visibile qualora si preveda la raccolta di dati personali attraverso dispositivi a radiofrequenza, o qualora sia previsto che le informazioni (anche di localizzazione) raccolte attraverso Rfid siano interconnesse o associate con dati personali contenuti in altri database o archivi. L´informativa deve contenere gli elementi fondamentali (in particolare, presenza di un tag Rfid, finalità della raccolta, utilizzazioni possibili, meccanismi per la disattivazione eventuale del dispositivo Rfid) e deve precedere il completamento dell´acquisto. Deve essere possibile anche l´identificazione dei lettori Rfid eventualmente posizionati in un esercizio commerciale.

2) Consenso: il Cdt distingue fra la situazione in cui i dati personali eventualmente raccolti siano necessari esclusivamente a consentire il funzionamento del prodotto recante un tag Rfid (ad esempio, un dispositivo elettronico) o la prestazione del servizio, oppure il completamento della transazione commerciale e la situazione in cui l´uso dei dati personali è finalizzato ad altri scopi (es. marketing). Ad ogni modo, il consumatore deve avere la possibilità di disattivare (o eliminare, o distruggere) il dispositivo Rfid senza che ciò comporti un danno per il prodotto o il bene acquistato.

3) Trasferimenti a terzi di dati personali: devono essere possibili solo se l´azienda o il soggetto terzo destinatari garantiscono contrattualmente un livello di tutela pari o superiore a quello offerto dalla società/azienda che ha raccolto i dati.

4) Accesso: devono essere disponibili strumenti per consentire al consumatore un accesso "ragionevole" ai propri dati personali raccolti tramite Rfid.

5) Misure di sicurezza: devono essere adeguate ad evitare accessi o tracciamenti non autorizzati, nonché trasmissioni indebite dei dati raccolti. Utile, a tale scopo, ridurre al minimo il volume di informazioni eventualmente memorizzate nei tag Rfid (principio di necessità).

Occorre ricordare che il Gruppo che riunisce le Autorità europee per la protezione dei dati si è occupato più volte di questo tema già nel corso del 2005 (v. Newsletter 31 gennaio-6 febbraio 2005) ed ha elaborato alcune linee-guida dalle quali il decalogo della Cdt non si discosta molto.