GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

 NEWSLETTER	
   Notiziario interno  	
						17-23 maggio 1999
											  N.10

Il Garante informa:
Audizione parlamentare del Presidente del Garante	………………pag.1
Tutela della riservatezza  e ricerca statistica…………………..	..pag.1
Privacy e persone giuridiche	……………………………………….pag.2
Autorizzazione del Garante sull'uso dei dati giudiziari…………   pag.3
Intercettazioni. Preoccupazione dei Garanti europei……………..pag.3
Il Garante tedesco: maggiore tutela dei dati nel settore privato   .. pag.5

AUDIZIONE PARLAMENTARE DEL PRESIDENTE DEL GARANTE
Nell'ambito dell'indagine conoscitiva sulle problematiche inerenti alla disciplina costituzionale dei rapporti economici di cui agli articoli 41,42 e 43 della Costituzione, mercoledì 12 maggio si è tenuta l'audizione del Presidente del Garante, Stefano Rodotà, davanti alla Commissione Affari Costituzionali della Camera dei Deputati.

TUTELA DELLA RISERVATEZZA E RICERCA STATISTICA
Rispondendo con una lettera ad un articolo di Mario Pirani pubblicato su Repubblica del 10 maggio, il Presidente del Garante, Stefano Rodotà, ha colto l'occasione per fare il punto sui rapporti tra privacy e ricerca statistica. Questo il testo della lettera:
"Mario Pirani segnala al Garante l'opportunità di intervenire perché la ricerca statistica non abbia ingiustificabili limitazioni con l'argomento della tutela della privacy. Mi limito ad osservare:
a)	la disciplina dei dati sensibili in materia di ricerca non è di competenza del Garante, ma è affidata ad un decreto legislativo del Governo, sul quale esprimono un parere le competenti commissioni di Camera e Senato;
b)	il Garante ha dato una sua collaborazione e favorito il confronto tra i diversi interessati, cioè proprio quel che Pirani invoca nelle ultime righe del suo articolo. Si è trattato di non meno di venti riunioni. E' ovvio che, poi, le decisioni finali vengono prese dal Consiglio dei ministri;
c)	non può, dunque, essere il Garante a scegliere tra le contrapposte ragioni degli istituti pubblici e di quelli privati di ricerca statistica, anche se proprio il Garante ha indicato l'opportunità di prevedere codici di deontologia tanto per i soggetti pubblici che per quelli privati;
d)	le bozze di normativa in materia di ricerca prevedono una prima disciplina anche per chi si occupa di statistica e non fa parte del Sistema statistico nazionale attraverso uno strumento flessibile come il codice deontologico che cerca di coniugare precise garanzie con le prerogative specifiche di questa attività. Il Governo ha certamente tutte le opportunità per valorizzare ed incrementare questo tipo di norme senza incontrare ostacoli nella privacy;
e)	il riconoscimento del rilevante interesse pubblico della statistica è stato già inserito in un importante decreto legislativo approvato lo scorso 7 maggio dal Consiglio dei ministri.
Pirani, infine, coglie l'occasione per ribadire il fastidio per i molti moduli ricevuti. Vorrei che, insieme a lui, tutti i lettori sapessero che il problema ha preoccupato il Garante che, pur non avendo nessun obbligo di intervenire, ha, ad esempio, interpellato 800 banche e ha quindi messo a punto e proposto un modello di informativa e consenso per i clienti delle banche estremamente semplificato, contenuto in una pagina. Comunque, quei farraginosi moduli, diffusi nei settori più diversi, hanno già permesso a milioni (sì milioni, non migliaia) di cittadini di rifiutare  in moltissimi casi l'invio di pubblicità o di materiali comunque non graditi."

LA PRIVACY ANCHE PER LE PERSONE GIURIDICHE NON SIGNIFICA LIMITATA CONOSCIBILITA' DELLE INFORMAZIONI MA REGOLE NELLA GESTIONE DEI DATI
La legge sulla privacy vale anche per le persone giuridiche. L'applicabilità della legge alle imprese non significa però che le informazioni siano soggette ad un regime di limitata conoscibilità, ma che devono essere gestite nel rispetto delle norme sulla protezione dei dati.
L'importante principio, contenuto nella legge n.675 del 1996, è stato ribadito dal Garante in un  parere fornito su uno schema di regolamento che istituisce l'anagrafe delle aziende agricole e la carta dell'agricoltore, allo scopo di assicurare maggiore trasparenza nel settore.
Il regolamento, predisposto dal Ministero per le politiche agricole, era stato sottoposto all'esame del Consiglio di Stato, che ha sospeso il proprio parere definitivo in attesa di ricevere le osservazioni dell'Autorità Garante, in considerazione del fatto che il regolamento incide in vari punti sulla disciplina della riservatezza. 
Il Garante ha osservato innanzitutto che la gestione delle informazioni relative a persone fisiche e giuridiche, incluse le imprese operanti in materia agroalimentare, forestale e della pesca, comporta l'utilizzazione di dati personali e rientra quindi nell'ambito di applicazione della legge n. 675/1996.
Tale legge considera infatti come dato personale qualunque informazione relativa a persone fisiche, persone giuridiche, enti ed associazioni, identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione (es. codice fiscale) o a qualsiasi altro numero di identificazione personale. La legge n. 675 non ostacola la raccolta e la circolazione delle informazioni, anche di quelle relative allo svolgimento di attività economiche delle persone giuridiche, ma presuppone che vengano individuati chiaramente, specie in presenza di consistenti flussi informativi, i tipi di dati che possono essere trattati e il loro ambito di conoscibilità nella sfera pubblica e privata, e che venga rispettato il principio di pertinenza e non eccedenza riguardo alle funzioni istituzionali perseguite dai soggetti pubblici interessati.
Applicando questi criteri al caso in esame, l'Autorità ha affermato l'esigenza che si chiarisca con maggiore precisione, anzitutto, il regime di pubblicità delle informazioni.
Ferme restando le condivisibili finalità di interesse pubblico connesse all'istituzione dell'anagrafe delle aziende agricole, il Garante ritiene necessario, per un corretto bilanciamento di tali finalità con i diritti fondamentali degli interessati, siano essi persone fisiche o persone giuridiche, che l'utilizzazione dei dati che si intende raccogliere avvenga sulla base di un più preciso quadro di riferimento, anche per ciò che riguarda l'attivazione dei flussi di dati tra amministrazioni ed altri enti pubblici, e la possibilità di accedere e di interconnettere informazioni contenute in altri archivi, pubblici e privati (sistema informativo dell'Amministrazione delle finanze, sistema informativo delle Camere di Commercio; sistemi informativi di utenti esterni interconnessi ecc.).
Occorre quindi individuare alcune regole precise e delineare meglio l'ambito di competenza in relazione ai compiti istituzionali di ciascuno degli enti che gestiscono questi archivi e definire un nucleo essenziale di misure che i soggetti coinvolti devono osservare al fine di garantire la sicurezza dei dati e il rispetto dei princìpi di correttezza e di pertinenza delle informazioni trattate.
Con specifico riguardo alla disciplina dell'accesso all'anagrafe, il Garante ritiene opportuno che venga precisato meglio, nell'ambito del previsto regime di pubblicità dell'anagrafe, se i soggetti legittimati a consultarla potranno accedere o meno ad alcune, a tutte o a parte delle informazioni raccolte, individuando anche eventuali informazioni coperte da segreto aziendale e industriale.
Qualora si opti per un indifferenziato regime di pubblicità, da evidenziare meglio nel testo, sarebbe comunque opportuno individuare le finalità per le quali i dati così acquisiti potranno essere utilizzati.
L'Autorità ribadisce, inoltre, che risultano comunque autonomamente e direttamente applicabili le norme di legge e di regolamento sull'accesso ai documenti amministrativi da parte di chiunque vi abbia un interesse personale e concreto in relazione alla tutela di situazioni giuridicamente rilevanti e sull'accesso ai dati da parte dell'azienda interessata.
Va altresì rilevato che l'anagrafe delle aziende agricole, tra le informazioni riguardanti ciascuna azienda, prevede l'indicazione dell'eventuale ente associativo delegato dall'azienda. Questa informazione, che la legge n. 675/1996 considera "sensibile" quando sia idonea a rivelare le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere politico o sindacale, richiede, per essere trattata da parte di soggetti pubblici, specifiche misure a garanzia degli interessati rispondenti al criterio generale previsto dall'art. 22, comma 3, della legge n. 675/1996 (norma di rango primario indicativa delle finalità perseguite, dei dati trattati e delle operazioni perseguibili).
Per quanto riguarda la gestione del nuovo archivio da istituire, è essenziale che sia chiarito qual è l'Amministrazione o l'ente "titolare" dell'archivio e del connesso trattamento di dati (soggetto che opera le scelte di fondo sulla gestione e si assume le principali responsabilità in proposito) e che dovrà impartire istruzioni di carattere generale all'eventuale, ulteriore, soggetto esterno che gestirà materialmente l'archivio (soggetto che, se designato, assume il ruolo di "responsabile" del trattamento).

PRIVATI ED ENTI PUBBLICI ECONOMICI POSSONO CONTINUARE A TRATTARE DATI GIUDIZIARI MA NEL RISPETTO DELLA PRIVACY
Il Garante per la protezione dei dati personali ha emanato l'autorizzazione generale (pubblicata sulla Gazzetta Ufficiale del 14 maggio 1999, n.111) che permette a diverse categorie di soggetti privati, tra i quali datori di lavoro privati, associazioni e partiti, liberi professionisti, banche e assicurazioni, di utilizzare i dati giudiziari nel rispetto di precise prescrizioni. L'articolo 24, comma 1 della legge n.675 del 1996 prevede, infatti, che il trattamento dei dati personali idonei a rivelare alcuni provvedimenti giudiziari iscritti nel casellario giudiziale è ammesso soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e le precise operazioni da effettuare. Tale trattamento era consentito, in via transitoria, sia ai soggetti pubblici che privati fino all'8 maggio 1999 anche in assenza di specifiche disposizione di legge.
Tenuto conto che diversi trattamenti di questa categoria di dati da parte dei soggetti pubblici sono stati disciplinati dal recente decreto legislativo approvato il 7 maggio scorso, si è posta la necessità di emanare un'autorizzazione per evitare che diversi soggetti privati ed enti pubblici economici dovessero interrompere alcuni trattamenti di dati giudiziari giustificati da un rilevante interesse pubblico in ragione della loro natura e degli scopi per i quali sono necessari.
Con questo provvedimento, inoltre, tali soggetti vengono sollevati dall'obbligo di presentare singolarmente un'apposita richiesta di autorizzazione, semplificandosi così una procedura altrimenti complessa.
L'autorizzazione, stabilendo alcuni principi cardine,  mira a facilitare la gestione  di questi dati da parte di un'ampia categoria di titolari del trattamento nel rispetto dei diritti e delle libertà fondamentali delle persone. Le imprese e le aziende che utilizzano lavoratori dipendenti ed autonomi (ivi compresi i lavoratori in rapporto di tirocinio, di formazione o utilizzati per prestazioni temporanee) potranno raccogliere ed utilizzare le informazioni di carattere giudiziario necessarie per adempiere ad obblighi o a compiti previsti dalla legge o da contratti collettivi, anche aziendali; le associazioni (di volontariato, di recupero, di istruzione, di assistenza socio-sanitaria, i partiti, i sindacati…) per perseguire gli scopi istituzionali; i liberi professionisti per eseguire specifiche prestazioni professionali richieste per scopi determinati e legittimi; le imprese bancarie ed assicurative per accertare requisiti di onorabilità e per altre ipotesi rigorosamente specificate.
L'Autorizzazione viene rilasciata, inoltre, a quanti hanno necessità di far valere o difendere un diritto in sede giudiziaria, alle persone fisiche e giuridiche, istituti, enti od organismi che esercitano un'attività di investigazione privata autorizzata, a quanti hanno necessità di adempiere ad obblighi previsti da disposizioni di legge in materia di comunicazioni e certificazioni antimafia.
 Il provvedimento, articolato in  sei sezioni, individua le finalità e le modalità del trattamento dei dati, i criteri per la loro conservazione e diffusione. I soggetti autorizzati dovranno raccogliere ed utilizzare esclusivamente i dati necessari agli scopi perseguiti e che non possano essere adempiute, caso per caso, mediante il trattamento di dati in forma anonima. Inoltre, dovranno verificare periodicamente l'esattezza e l'aggiornamento dei dati, nonché la loro pertinenza, completezza, non eccedenza. I dati potranno essere comunicati e, ove previsto dalla legge diffusi, a soggetti pubblici o privati, nei limiti strettamente necessari per le finalità perseguite e, comunque, nel rispetto del segreto professionale.

L'autorizzazione riguarda, inoltre, l'attività di documentazione giuridica, studio e ricerca in campo giuridico, in particolare per quanto riguarda la diffusione di dati relativi a sentenze. In attesa della adozione di norme volte a favorire l'informatica giuridica attraverso il previsto decreto legislativo, con l'attuale autorizzazione il Garante ha ritenuto opportuno prendere in considerazione fin da ora, anche per quest'altra categoria, le finalità dei trattamenti, le categorie di interessati e di destinatari della comunicazione e diffusione di dati giudiziari e il periodo della loro conservazione, in modo tale da garantire, anche in questa fase transitoria, il rispetto di alcuni principi volti a ridurre al minimo i rischi di danno o di pericolo per i diritti e le libertà fondamentali delle persone, la loro dignità, specialmente per quanto riguarda la riservatezza e l'identità personale.
L'autorizzazione ha efficacia a decorrere dall'8 maggio 1999 fino al 30 settembre 1999 ed opererà automaticamente anche in riferimento alle richieste eventualmente già presentate.
Qualora alla data dell'8 maggio il trattamento dei dati non sia già conforme all e prescrizioni della autorizzazione, il Garante ha previsto la possibilità per i titolari dei trattamenti di adeguarsi ad esse entro la data del 30 giugno 1999.
Il Garante precisa, infine, che non prenderà in considerazione le richieste di autorizzazione volte ad ottenere prescrizioni difformi da quelle contenute nell'autorizzazione generale.

INTERCETTAZIONI. PREOCCUPATI PER LE MISURE PREVISTE DAL CONSIGLIO DELL'UNIONE I GARANTI EUROPEI ADOTTANO UN PROGETTO DI RACCOMANDAZIONE
Il Comitato dei Garanti europei, istituito dalla Direttiva europea 95/46 sulla tutela della riservatezza dei dati con il compito di proporre alla Commissione Europea misure a favore della tutela dei diritti e delle libertà delle persone nei diversi settori, ha adottato  il 27 aprile scorso a Bruxelles un Progetto di Raccomandazione sul rispetto della privacy nell'ambito delle intercettazioni di telecomunicazioni, anche in riferimento ai problemi sollevati dal sistema "Echelon".
Scopo della raccomandazione è quello di indicare in quale modo i principi della tutela dei diritti e delle libertà fondamentali delle persone fisiche, e in particolare della loro vita privata e della segretezza delle comunicazioni, debbano applicarsi alle disposizioni concernenti l'intercettazione di telecomunicazioni adottate a livello europeo.
La raccomandazione adottata dai Garanti europei riguarda le intercettazioni in senso lato, comprese l'intercettazione del contenuto di telecomunicazioni e di dati connessi a telecomunicazioni, così come ogni provvedimento di natura preparatoria (come il monitoraggio e l'estrazione di dati sul traffico) che sia previsto per stabilire se un'intercettazione sia opportuna o meno.
Il Comitato, in particolare, la propria preoccupazione per il possibile ambito di applicazione delle misure previste nella Risoluzione del Consiglio dell'UE del 17 gennaio 1995, sull'intercettazione legittima di telecomunicazioni, la quale elenca le condizioni tecniche per le intercettazioni senza entrare nel merito delle condizioni alle quali tali intercettazioni siano consentite e prevede che i gestori di rete o i fornitori di servizi mettano a disposizione delle autorità giudiziarie e di polizia i dati oggetto di intercettazione.
I dati riguardano chiamate telefoniche, sia da cellulare sia da apparecchi tradizionali, posta elettronica, fax e messaggi telex, ed i flussi di dati via Internet, relativamente ai contenuti e ai dati connessi alle telecomunicazioni (questi ultimi si riferiscono in particolare ai dati sul traffico, ma anche ad ogni segnale emesso dalla persona sottoposta a sorveglianza).
I dati riguardano la persona sottoposta a sorveglianza e le persone che chiamano o ricevono una chiamata da tale persona.
Viene previsto, inoltre, che le autorità giudiziarie e di polizia possano accedere ai dati relativi alla localizzazione geografica di un abbonato a servizi di telefonia cellulare.
La risoluzione del 18 gennaio 1995 è attualmente in via di revisione, soprattutto allo scopo di adeguarla alle nuove tecnologie della comunicazione. Nel progetto di revisione si fa, infatti, riferimento in modo specifico all'esecuzione di provvedimenti di intercettazione riferiti alle telecomunicazioni via satellite.
Per quanto la risoluzione del Consiglio miri a dirimere questioni di natura tecnica relative alle modalità di intercettazione di comunicazioni, senza incidere sulle disposizioni nazionali che regolamentano le intercettazioni telefoniche in chiave giuridica, secondo i Garanti europei alcune misure previste nella risoluzione ampliano l'ambito di intercettazione di telecomunicazioni e sono in conflitto con le norme nazionali maggiormente restrittive in vigore in alcuni Paesi dell'Unione europea (in particolare: la comunicazione dei dati relativi alle chiamate, comprese quelle effettuate dai telefoni cellulari degli utenti, senza tenere conto dei servizi anonimi e pre-pagati attualmente disponibili; la localizzazione geografica di abbonati a servizi di telefonia cellulare).
Benché la risoluzione del Consiglio corrisponda all'obiettivo di "tutelare gli interessi nazionali, la sicurezza nazionale e le indagini su gravi reati", il Gruppo di lavoro richiama l'attenzione sui rischi di abusi per quanto riguarda gli obiettivi dell'intercettazione, rischi che sarebbero accresciuti dall'estensione ad un numero crescente di Paesi - alcuni dei quali non appartenenti all'UE - delle tecniche di intercettazione e decifrazione delle telecomunicazioni.
D'altro canto, una più recente Risoluzione del Parlamento europeo del 16 settembre 1998, relativa alle comunicazioni transatlantiche, sottolinea come "l'importanza crescente della rete di Internet, e più in generale delle telecomunicazioni su scala mondiale, e in particolare del sistema Echelon, nonché i rischi di un loro abuso, richiedano l'adozione di misure finalizzate a tutelare i dati di natura economica ed efficaci tecniche di cifratura."
Queste considerazioni mettono in luce i rischi associati alle intercettazioni di telecomunicazioni che travalichino gli ambiti strettamente connessi alla sicurezza nazionale e sollevano il quesito della legittimità di tali intercettazioni, particolarmente alla luce degli obblighi derivanti dalla legislazione comunitaria sulla tutela dei diritti e delle libertà fondamentali delle persone fisiche, ed in particolare della loro riservatezza.
Inoltre, ad avviso dei Garanti, l'entrata in vigore del Trattato di Amsterdam comporterà una modifica del fondamento giuridico, a livello europeo, per quanto concerne i provvedimenti connessi all'intercettazione di telecomunicazioni. Al posto della competenza attualmente attribuita al Consiglio per l'elaborazione del testo della risoluzione subentrerà per iniziative di questo tipo la competenza della Commissione Europea.

Sui problemi che le intercettazioni comportano per la privacy delle persone, il Comitato sottolinea che ogni intercettazione di telecomunicazioni, definita come l'acquisizione da parte di terzi del contenuto e/o dei dati riferiti a telecomunicazioni private fra due o più soggetti, in particolare dei dati sul traffico riferiti all'utilizzazione dei servizi di telecomunicazione, costituisce una interferenza nel diritto dei singoli alla riservatezza ed alla segretezza della corrispondenza. 
Ne deriva che le intercettazioni non sono ammissibili se non nel rispetto di tre criteri fondamentali, conformemente all'Articolo 8(2) della Convenzione europea per la tutela dei diritti dell'uomo e delle libertà fondamentali del 4 novembre 1950, e all'interpretazione di tale disposizione data dalla Corte europea dei diritti dell'uomo: un fondamento giuridico, l'esigenza del provvedimento in una società democratica, e la conformità ad uno degli scopi legittimi indicati nella Convenzione.
Il Comitato ribadisce che il fondamento giuridico per qualsiasi intercettazione deve indicare con precisione i limiti e gli strumenti di applicazione del provvedimento attraverso norme chiare e particolareggiate, che risultano particolarmente necessarie alla luce del continuo miglioramento delle tecnologie disponibili. Il testo legislativo deve essere accessibile al pubblico in modo che i cittadini possano essere informati delle conseguenze dei comportamenti assunti.
In questo contesto, deve essere vietata ogni forma di sorveglianza generalizzata o a fini esplorativi su larga scala.
Vi sono anche obblighi per i gestori di telecomunicazioni e per i fornitori di servizi riguardo alla sicurezza e riservatezza dei dati. Questi obblighi comportano, da un lato, che i gestori di telecomunicazioni ed i fornitori di servizi possono trattare dati relativi al traffico ed alla fatturazione solo a determinate condizioni: in base al principio per cui i dati sul traffico relativi ad abbonati e utenti devono essere cancellati o resi anonimi non appena conclusa la comunicazione, ne deriva che le finalità del trattamento, il periodo dell'eventuale conservazione dei dati e l'accesso a tali dati sono soggetti a rigide limitazioni.
D'altro canto, i gestori di telecomunicazioni e i fornitori di servizi di telecomunicazione devono adottare le misure necessarie per impedire, ovvero rendere tecnicamente difficile in rapporto alle attuali conoscenze tecnologiche, l'intercettazione di telecomunicazioni da parte di soggetti non autorizzati.
Il Gruppo di lavoro sottolinea, a tale proposito, che l'utilizzazione di strumenti efficaci per l'intercettazione di comunicazioni, proprio attraverso il ricorso alle tecnologie più avanzate, non deve comportare una riduzione del livello di riservatezza delle comunicazioni e della tutela della riservatezza delle persone fisiche.
Questi obblighi assumono particolare rilevanza qualora telecomunicazioni fra soggetti che si trovano sul territorio di Stati membri si spostino o possano spostarsi al di fuori del territorio europeo, in particolare qualora si ricorra all'uso di satelliti o di Internet. 
Alla luce di queste indicazioni, il Gruppo ritiene quindi di assoluta importanza che nelle legislazioni nazionali vengano definite tutta una serie di garanzie. In questo senso devono essere specificati in modo rigido:

•	le autorità cui spetta  consentire l'intercettazione legittima di telecomunicazioni, 
•	i servizi cui spetta effettuare tali  intercettazioni ed il rispettivo fondamento giuridico, 
•	le finalità per cui possono essere effettuate tali intercettazioni, 
•	il divieto di qualsiasi forma di sorveglianza delle telecomunicazioni su larga scala, generalizzata o a scopo esplorativo, 
•	il rispetto del principio di specificità, che costituisce un corollario del divieto di qualsiasi forma di sorveglianza generalizzata o a fini esplorativi, ivi compreso, per quanto riguarda più precisamente i dati sul traffico, il principio per cui le pubbliche autorità possono accedere a tali dati esclusivamente caso per caso, e non in modo generalizzato e a titolo preventivo, 
•	le misure di sicurezza riferite al trattamento ed alla registrazione dei dati, ed il periodo di conservazione dei dati stessi,
•	relativamente alle persone indirettamente o casualmente coinvolte nell'ascolto, garanzie specifiche per il trattamento dei dati personali; in particolare, i criteri giustificativi della conservazione dei dati, e le condizioni alle quali tali dati possono essere comunicati a terzi,
•	i meccanismi di monitoraggio dei servizi sopra menzionati da parte di un'autorità di controllo indipendente,
•	la pubblicità - ad esempio attraverso bollettini statistici periodici - delle politiche effettivamente attuate in materia di intercettazione di telecomunicazioni,
•	le condizioni specifiche alle quali i dati possono essere trasmessi a terzi in base ad accordi bilaterali o multilaterali.

REGOLAMENTARE LA TUTELA DEI DATI NELLE ATTIVITA' ECONOMICHE
 (articolo pubblicato sulla Neue Zürcher Zeitung del 5 maggio)
Nella Relazione presentata al Parlamento tedesco, l’Incaricato federale per la protezione dei dati (Bundesbeauftragter für den Datenschutz, BBD, il Garante tedesco, n.d.r.) ha indicato l’urgenza di agire per potenziare la tutela dei dati nel settore privato. L’Incaricato riferisce una serie di singoli casi che dimostrano come le imprese raccolgano più dati personali di quanto strettamente necessario per le rispettive attività.
L’incaricato federale per la protezione dei dati, Joachim Jacob, ha colto l’occasione della presentazione del Rapporto di attività per gli anni 1997 e 1998, lo scorso martedì a Bonn, per invitare Parlamento e Governo a mettere mano al necessario aggiornamento della normativa in materia di protezione dei dati senza ulteriori ritardi. Jacob ha sottolineato che l’introduzione delle modifiche alla normativa sulla protezione dei dati non deve limitarsi al recepimento, atteso da tempo, della Direttiva CE sulla protezione dei dati; in particolare, essa non deve arrestarsi dinanzi all’elaborazione di norme, egualmente attese da tempo, riferite alle nuove tecnologie quali le attività di interconnessione, le carte intelligenti e la videosorveglianza. Soprattutto occorre elaborare strumenti che garantiscano un’efficace autotutela dei cittadini – ad esempio, tecniche di cifratura per i dati sensibili. Nella Relazione l’Incaricato giunge alla conclusione che le tecnologie moderne hanno senz’altro facilitato e arricchito le attività quotidiane nella vita privata e professionale; tuttavia, mai come oggi è stato altrettanto facile utilizzare dati personali. A differenza di quanto avveniva anche solo un decennio or sono, nessuno teme più l’onnipotenza dello Stato, mentre suscita profonda inquietudine il pensiero di ciò che le imprese private fanno o possono fare con i nostri dati personali.
Stiamo andando verso il “cliente di vetro”?
L’Incaricato federale cita i risultati di un’inchiesta dalla quale risulta che ogni cittadino tedesco con più di 18 anni è registrato 52 volte in banche dati di varie imprese. Il dato non tiene conto del settore pubblico e di quello non commerciale. E’ vero che, secondo tale inchiesta, il 90% di tutti i dati rimane quiescente nelle memorie degli elaboratori senza essere in alcun modo utilizzato; tuttavia, come lamenta l’Incaricato federale, sono in via di elaborazione strumenti di analisi che permetteranno di ricavare da questi dati profili individuali. Il potenziale della clientela potrà quindi essere sfruttato in modo ottimale, secondo quello che viene definito “data mining”. Le nuove metodiche non sarebbero però adatte solo al marketing, in quanto (come teme l’Incaricato federale) spianano la strada anche all’avvento del “cliente di vetro”.
Sono moltissimi gli esempi di situazioni in cui si utilizzano e si raccolgono dati all’insaputa dei consumatori. La Relazione cita le indagini sulle famiglie condotte da imprese private, che sarebbero assai più avide di informazioni rispetto alle istituzioni pubbliche – essendo queste ultime soggette a rigide disposizioni in materia di tutela dei dati. Il problema è che nel settore privato mancano norme che prescrivano le modalità di strutturazione di sondaggi di questo tipo e gli ambiti di utilizzazione dei dati raccolti.
Le tecniche di videosorveglianza trovano impiego in misura nettamente crescente, per motivi comprensibili (ad es., per l’aumento della criminalità): è il caso di banche, grandi magazzini, privati, ecc. . Che cittadini del tutto innocenti finiscano nell’obiettivo delle videocamere è ancora accettabile per l’Incaricato federale. Ma cosa succede dell’enorme massa di riprese filmate che in tal modo vengono realizzate e successivamente archiviate? Ufficialmente non vi sono prove di un utilizzo improprio; ma la possibilità di una simile evenienza solleva vari interrogativi. Nessuno oggi dubita del fatto che il futuro appartenga ad Internet: l’offerta spazia dall’accesso ai dati bancari attraverso i sistemi di online banking fino al commercio elettronico. Tuttavia, la navigazione virtuale fra i vari siti, sottolinea l’Incaricato federale, lascia una traccia di dati che può essere registrata e utilizzata per stabilire, ad esempio, quali prodotti interessino in modo particolare un determinato cliente. E’ giusto che questo sguardo lanciato nella vita privata dei singoli sfugga alla tutela dei dati?
Telefoni cellulari come fonte di dati
In numerosi Paesi, e non solo in Germania, servizi di sicurezza privati hanno assunto compiti che in precedenza spettavano alla Polizia e che, nell’opinione di molti cittadini, dovrebbero tuttora rientrare nelle competenze di organi pubblici. Questi servizi di sicurezza da tempo non si limitano più alla sorveglianza di edifici e impianti, svolgendo piuttosto funzioni di guardia del corpo o di “sceriffi”: attraverso le indagini e le osservazioni da essi compiute, vengono a conoscenza di numerosi dati personali. Anche in questo settore si manifesta dunque un problema di protezione dei dati.
Interrogativi analoghi si pongono in rapporto ai nuovi mezzi di telecomunicazione. A tale riguardo, l’Incaricato federale ha chiesto un potenziamento dei principi di protezione dei dati anche in questo settore. L’utilizzazione di un telefono cellulare si associa alla registrazione di tutta una serie di dati che in maggioranza non risultano necessari. Ad esempio, le imprese di telefonia cellulare sono perfettamente in grado di indicare con considerevole precisione la localizzazione dell’utente al momento della telefonata. Attraverso le agende tascabili è possibile stabilire dove una persona si trovasse ad un determinato momento. L’Incaricato federale rileva però l’inutilità pratica di questa funzione, poiché solitamente la tariffa è unica per l’intero Paese, senza distinzione fra connessioni prossime o remote. Solo negli ultimi mesi alcuni provider hanno iniziato a trarre le conseguenze dalle possibilità che offre la tecnologia, proponendo quindi tariffe diverse a seconda della distanza.
Problemi simili riguardano, a giudizio dell’Incaricato federale, anche il settore pubblico. Solo con grande difficoltà l’Incaricato federale è riuscito a far desistere dall’approvazione di un provvedimento che avrebbe consentito l’interconnessione e lo scambio illimitati fra le banche dati di previdenza sociale, assicurazioni integrative e casse mutua – senza che fosse immediatamente percepibile il vantaggio di una disposizione del genere. A loro volta, i dati provenienti dagli archivi della previdenza sociale avrebbero  potuto essere scambiati con quelli dell’amministrazione finanziaria. L’Incaricato federale rileva però che l’interconnessione fra banche dati di questa natura costituisce di fatto una forma di controllo a tappeto: “In base al Grundgesetz  [la legge fondamentale dello Stato tedesco, assimilabile alla nostra Costituzione], lo Stato non può vedere in ogni cittadino un criminale potenziale. Lo Stato deve semmai partire dal presupposto che i cittadini rispettino il diritto e le leggi.”

                 (a cura dell’Ufficio Stampa)    
             tel.06/6818637 - fax 06/6818663