GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno I - n.1    14-20 giugno 1999

Il Garante informa:
Dati su Internet nel rispetto della privacy	……………..pag.1
Consiglieri comunali e cedolini dei dirigenti	………….pag.1
Cedolini dello stipendio in questura.	……………….…pag.2
La divulgazione dei dati dei  dipendenti  pubblici…....pag.2
Imprese e ricerche economiche	………………pag.2
Alla ricerca di tracce sulla rete………………………pag.3 

LA DIFFUSIONE DI UN ELENCO DI DATI SU INTERNET DEVE RISPETTARE LA LEGGE SULLA PRIVACY 
La legge sulla privacy regola la diffusione dei dati personali in maniera uniforme, a prescindere dal mezzo utilizzato. Essa infatti prevede una analoga disciplina sia per la diffusione di un elenco di dati personali attraverso una pubblicazione, sia per la messa a disposizione dell'elenco su Internet mediante una pagina web consultabile da chiunque si colleghi in rete. Le norme sulla tutela dei dati personali si applicano, infatti, a tutte le operazioni di trattamento effettuate, con o senza ausilio di mezzi elettronici.
Questo il principio stabilito dal Garante in risposta ad un quesito posto dalla Federazione nazionale delle imprese di spedizione che aveva chiesto all'Autorità se la diffusione via Internet dell'annuario dei propri associati, prima divulgato attraverso la pubblicazione di un apposito volume, fosse contraria alla legge n.675 del 1996.
Il Garante ha sottolineato che, ai fini dell'applicazione della legge sulla privacy, non è rilevante la modalità attraverso cui le informazioni vengono diffuse (pubblicazione cartacea o informatica), ma il rispetto degli specifici requisiti che rendono possibile tale diffusione. In particolare, per diffondere i dati personali, anche per via telematica, occorre acquisire il preventivo consenso degli interessati oppure verificare che ricorra uno dei presupposti che permetta di farne a meno: ad esempio, quando si tratta di adempiere ad un obbligo di legge o di regolamento, oppure i dati provengono da pubblici registri, elenchi o atti conoscibili da chiunque o riguardano lo svolgimento di attività economiche.
Nel caso in questione, l'Autorità ha stabilito che la pubblicazione su Internet dell'elenco degli spedizionieri associati non pone particolari problemi perché le informazioni contenute nell'annuario riguardano dati relativi allo svolgimento di attività economiche che possono quindi essere divulgati a terzi senza il consenso delle imprese interessate (art.20 della legge n.675). 
Il Garante, tuttavia, ha evidenziato che la Federazione può comunque acquisire in ogni momento del rapporto associativo (adesioni, rinnovi, altre occasioni di incontro) il consenso "informato" delle imprese associate in ordine alla prevista diffusione dei loro dati anche mediante strumenti informatici. Restano fermi gli altri obblighi previsti dalla legge sulla necessità di non mettere in circolazione dati inesatti o non  aggiornati. 

I CONSIGLIERI POSSONO CONOSCERE LE RETRIBUZIONI DEI DIRIGENTI MA NON I LORO CEDOLINI
E' stato chiesto all'Autorità un parere in merito ai rapporti tra il diritto di accesso dei consiglieri di enti locali ad atti e documenti in possesso dell'amministrazione comunale e provinciale e la legge sulla protezione dei dati personali. In particolare, si è chiesto di conoscere se un consigliere comunale, per l'espletamento dei compiti connessi con il suo mandato, possa prendere visione dei cedolini degli stipendi di alcuni dirigenti dell'amministrazione comunale.
Nei provvedimenti finora emanati dal Garante è stato segnalato come il regime di pubblicità della situazione patrimoniale relativa ai titolari di alcune cariche elettive o direttive, è applicabile anche ai componenti degli organi elettivi locali e ai titolari di cariche direttive degli enti, degli istituti e delle società concessionarie di pubblici servizi. Tale applicabilità è  stata estesa dalla legge n. 127 del 1997, "Bassanini bis", anche al personale di livello dirigenziale delle amministrazioni pubbliche.
Queste norme, tuttavia, non obbligano a pubblicare i dati patrimoniali relativi a tali soggetti né comportano il diritto di conoscere il contenuto dei loro cedolini dello stipendio, nei quali, com'è noto, possono essere contenute informazioni di vario genere (multe disciplinari, pignoramenti per alimenti o tasse, cessioni di stipendio) alcune delle quali aventi natura "sensibile" (sussidi di cura, indennità di missione handicappati, iscrizione al sindacato ecc.).
A questo proposito, va ricordato che il Garante, con un precedente parere reso al Comune di Roma, ha sottolineato la necessità di adottare le opportune misure volte a tutelare la riservatezza dei dipendenti per fare in modo che i dati contenuti nel cedolino non siano immediatamente accessibili ad altre persone, rimanendo conoscibili dai soli incaricati del trattamento che li devono necessariamente utilizzare per la gestione del rapporto di lavoro.
Nel caso in esame, dunque, il diritto del consigliere comunale di valutare con piena cognizione di causa la correttezza e l'efficacia dell'operato dell'Amministrazione, e di accedere, a tale scopo, ai documenti e a qualsiasi notizia o informazione utili ai fini dell'esercizio delle funzioni consiliari, può essere soddisfatto attraverso altre modalità quali, ad esempio:
•	la pubblicità della situazione patrimoniale dei dirigenti; 
•	l'esame dei contratti collettivi, destinati per loro natura ad un regime di diffusa conoscibilità;
•	l'accesso alle deliberazioni e alle determinazioni, riguardanti indennità e altri emolumenti corrisposti, adottate dall'Amministrazione a favore dei dipendenti.

CEDOLINI DELLO STIPENDIO IN QUESTURA. 
Sempre in tema di cedolini dello stipendio, il Garante ha scritto al Dipartimento della pubblica sicurezza del Ministero dell'Interno chiedendo di conoscere quali misure si intenda mettere in atto per adeguare alle norme sulla protezione dei dati personali le procedure attualmente in uso presso alcune Questure riguardo al trattamento dei dati contenuti nei cedolini dello stipendio dei dipendenti.
Al Garante è, infatti, pervenuto un reclamo con il quale viene lamentato il fatto che alcuni dati personali utilizzati per la corresponsione delle retribuzioni al personale di alcune Questure (stipendio, assegni familiari, detrazioni Irpef, contributi per il Sistema sanitario nazionale, ecc.) verrebbero trattati senza le opportune cautele e sarebbero ampiamente conoscibili attraverso la consultazione di tabulati o fascicoli.

LA DIVULGAZIONE DEI DATI PERSONALI  DEI  DIPENDENTI  PUBBLICI
Gli Istituti di ricerca e sperimentazione agraria possono comunicare al Ministero delle politiche agricole le informazioni riguardanti i dati economici del personale dipendente senza il consenso degli interessati, quando questi dati siano necessari allo stesso Ministero per recuperare, mediante ritenute sugli stipendi, le somme percepite dai dipendenti a titolo di trattamento accessorio.
Lo ha stabilito il Garante in un parere fornito al Ministero delle politiche agricole che aveva chiesto se una tale comunicazione fosse legittima e conforme ai principi della privacy.
L'Autorità ha ricordato che la legge n.675 del 1996 stabilisce che i soggetti pubblici possono comunicare e diffondere dati personali a privati ed amministrazioni pubbliche senza bisogno di raccogliere il consenso degli interessati, ma in base ad una espressa norma di legge o di regolamento. 
In caso di flussi di dati tra soggetti pubblici, quali sono gli Istituti di ricerca e il Ministero delle politiche agricole, se la comunicazione è necessaria per svolgere le funzioni istituzionali delle amministrazioni interessate, tale operazione è ammessa anche in mancanza di una puntuale disposizione normativa.
Nel caso sottoposto al Garante, la comunicazione dei dati, pur non essendo espressamente prevista da norme di legge o di regolamento, risponde sia alle funzioni istituzionali degli Istituti di ricerca e sperimentazione agraria sia a quelle del Ministero che ha tra i suoi compiti anche quello di vigilanza sugli istituti. 

IMPRESE E RICERCHE ECONOMICHE
L' Istat ha comunicato al Garante l'intenzione di aderire alla richiesta avanzata dall'Istituto di studi ed analisi economica (Isae) di poter accedere all'indirizzario dell'archivio statistico delle imprese attive realizzato dall'Istat. La richiesta dell'istituto di studi ed analisi economica è motivata dall'esigenza di poter disporre, esclusivamente per fini statistici, di dati certi per la formazione di liste di imprese interessate alle rilevazioni di natura economica prodotte dall'Isae.
Il Garante ha innanzitutto ricordato che la legge n.675 del 1996 ha fatto salve, laddove compatibili,  le disposizioni del decreto legislativo n.322/1989 sulla disciplina del Sistema statistico nazionale e che è in corso di definizione la disciplina della protezione dei dati personali nel settore della ricerca scientifica e statistica, in attuazione delle Raccomandazioni del Consiglio d'Europa R. (93) e R. (97)18.
Data la natura pubblica dei soggetti interessati, la norma della legge n.675 da considerare è quella che consente lo scambio di dati tra soggetti pubblici in presenza di una norma di legge o di regolamento che lo preveda.
Tale norma è presente nel D.P.R. n.374/1998, con il quale si istituisce l'Isae, che consente espressamente all'Isae di accedere, per lo svolgimento delle proprie attività, al sistema informativo pubblico, contenente dati di natura finanziaria e contabile, e ai dati del Sistan e di altre amministrazioni, le quali sono tenute a fornire gli ulteriori elementi e le informazioni in loro possesso richieste.
In questo quadro normativo rientra il caso del flusso dei dati fra l'Istat e l'Isae che non richiede, pertanto, la necessità di alcuna comunicazione al Garante.

ALLA RICERCA DI TRACCE SULLA RETE
(articolo pubblicato sulla Süddeutsche Zeitung dell' 8 giugno) 
Le autorità giudiziarie e di polizia degli Stati del G8 concordano interventi congiunti per le indagini in materia penale.
Nelle ultime due settimane è scoppiata una vera e propria guerra informatica negli Stati Uniti. Pirati informatici sono riusciti a disturbare le pagine Web di vari server governativi, tanto da costringere a isolarne alcuni dalla Rete, mentre agenti dell’FBI hanno perquisito le abitazioni di quasi due dozzine di fanatici dell’informatica. Nel corso di una di queste operazioni la polizia federale ha sequestrato quasi 400 oggetti: oltre a computer e manuali di informatica, anche 300 Audio-CD. Il procuratore capo federale, Eric Holder, ha minacciato pene draconiane per i responsabili del sabotaggio.
Resta però da vedere se l’FBI riuscirà a bloccare tutti i malintenzionati dell’informatica. Ad esempio, il sito Web del Senato è stato preso di mira da un gruppo denominato MOD (Masters of Download – Maestri del download), i cui appartenenti non sono cittadini USA. Le tracce informatiche conducono in Gran Bretagna; è da qui probabilmente che, già un anno fa, il leader di questo gruppo di pirati informatici è riuscito a inserirsi nella memoria di vari computer dell’apparato militare statunitense, rubando una serie di carte topografiche e impadronendosi di software. Finora non è stato catturato.
In ambito internazionale, i reati informatici divengono sempre più frequenti. Essi non comprendono soltanto gli atti tradizionali di pirateria informatica: i computer vengono utilizzati anche a fini di truffa ed estorsione, nonché per lo scambio di materiale pornografico concernente minori. Ad esempio, uno studente indonesiano, residente nei dintorni di Bonn, è riuscito a inserirsi nella rete di un fornitore di servizi Internet a Miami, caricando sul proprio computer 11.000 numeri di carte di credito. Lo studente ha offerto al provider la restituzione di questi numeri in cambio del pagamento di 30.000 dollari. Il provider si è rivolto alla polizia, che ha allertato i servizi segreti USA. Nel giro di otto giorni, grazie alla collaborazione degli istituti bancari, tutti i numeri di carta di credito in oggetto sono stati bloccati, e si è riusciti a identificare il mittente del messaggio ricattatorio. Lo studente è stato quindi arrestato con la collaborazione dell’Ufficio federale penale (BKA) : si tratta insomma di un caso classico di cooperazione internazionale.
Questo tipo di interventi saranno considerevolmente potenziati. La Russia e le principali nazioni industrializzate dell’Occidente intendono organizzare la lotta alla criminalità informatica attraverso l’istituzione di un gruppo di lavoro ad hoc. Presieduto da Scott Charney, investigatore capo in materia di Internet del Ministero della giustizia statunitense, il Gruppo di lavoro del G8 “criminalità informatica” ha creato un gruppo di contatto attivo 24 h su 24. La collaborazione è reciproca e non conosce confini: se, per esempio, le tracce di un caso segnalato in Germania conducono verso l’America, Charney è pronto personalmente, in qualunque momento, ad acquisire mezzi di prova individuati negli USA.
Nella lotta contro i circuiti della pedofilia esistono forme analoghe di collaborazione già da alcuni anni. Il BKA collabora fin dal 1995 con le autorità doganali americane, che negli USA coordinano la lotta alla pornografia infantile. L’Ufficio centrale pornografia infantile (GA 37-22)” del BKA raccoglie e diffonde in rete tutte le informazioni pertinenti – sotto qualsiasi formato: file di immagini, CD-ROM, video, stampati. A seconda dei casi, vengono istituite le cosiddette Task Forces, composte da appartenenti alle varie autorità interessate. La collaborazione con il BKA avviene attraverso un ufficiale di collegamento operante a Francoforte. Fino al 1995 la maggioranza dei casi in cui il responsabile si trovava in un Paese estero venivano archiviati, poiché in considerazione del loro numero non veniva ritenuta praticabile l’ipotesi di istituire un procedimento penale attraverso una rogatoria internazionale – il che impediva qualsiasi effetto deterrente nei confronti di criminali potenziali.
Lotta alla pornografia infantile
La nuova interfaccia fra gli organi di contrasto alla criminalità degli USA e tedeschi si è dimostrata pienamente efficace. Navigando su Internet, i ciberpoliziotti di Monaco hanno investigato su vari siti che distribuivano materiale pornografico concernente minori. I destinatari di questo materiale risultavano però risiedere negli USA. In due casi l’Ufficio dogana degli USA ha condotto perquisizioni presso l’abitazione di questi soggetti. In un caso sono stati sequestrati un PC, numerosi dischetti e marijuana. In un altro caso, un “cittadino vigile” ha segnalato ai poliziotti via e-mail la pagina di accoglienza di un sito Web contenente disegni che mostravano minori in pose “erotiche”. Dopo che il caso era stato segnalato dal BKA tedesco ai colleghi USA, l’ufficio dogana statunitense e l’FBI hanno proseguito le indagini per oltre un anno; tali indagini hanno portato infine all’arresto di due cittadini statunitensi nella Louisiana.
Sinora sul tavolo di Scott Charney non giungono più di una-due richieste e segnalazioni internazionali al mese. Ma gli investigatori sono convinti che questi casi in futuro diverranno sempre più frequenti. Il nuovo Gruppo di lavoro del G8 si è quindi incaricato di elaborare anche un programma internazionale di formazione per l’acquisizione delle prove, finalizzato a insegnare ai poliziotti come comportarsi con le apparecchiature di tipo informatico nel corso di sequestri e perquisizioni. Tutto ciò permetterà l’ammissibilità reciproca di eventuali elementi di prova. Il software utilizzato per la formazione viene già testato: attraverso una simulazione tridimensionale, i poliziotti imparano a perquisire una stanza, individuare oggetti come, ad esempio, agende elettroniche, e acquisire dati con valore probatorio.
Tuttavia, la definizione di prassi comuni non è di per sé sufficiente, ed è per tale motivo che si sta cercando di ravvicinare la legislazione in vigore nei Paesi del G8. L’obiettivo è la possibilità di scambiarsi regolarmente elementi di prova nel rispetto delle disposizioni di legge. Durante l’ultima riunione del Gruppo di lavoro, tenutasi a Parigi, è stata elaborata una nuova proposta per l’acquisizione di dati digitali a fini di prova. Essa si basa sui principi del “congelamento e successiva memorizzazione”. Allo scopo di garantire l’accesso ai dati di traffico di individui sospetti, i provider di Internet devono, su richiesta degli investigatori, registrare e congelare senza alcun indugio le comunicazioni di tali sospetti. Le autorità competenti potranno successivamente sequestrare ed analizzare i dati sulla base di un mandato emesso dall’autorità giudiziaria ovvero dall’autorità competente nei singoli Paesi.
La proposta costituisce un’alternativa interessante rispetto al programma di controllo per Internet elaborato a livello europeo e noto ormai come “Enfopol 98” – un programma che in Germania dovrebbe essere recepito a breve attraverso una proposta di Regolamento di sorveglianza delle telecomunicazioni (TKÜV) che prevede, fra l’altro, la creazione di un’interfaccia di sorveglianza presso ciascun provider Internet.
Il Regolamento incontra lo sfavore unanime del settore imprenditoriale. La realizzazione di un sistema di sorveglianza semplice ed efficace costa ai provider fra 15.000 e 30.000 marchi, e la manutenzione corrente di tale sistema aggiunge altri 100.000 marchi ai costi annuali di gestione. Anche secondo Scott Charney un onere del genere è pressoché insostenibile da parte di queste imprese, generalmente di piccole dimensioni, e porterebbe come conseguenza indesiderata ad un mutamento delle strutture di mercato. Con la tecnica del “congelamento e successiva memorizzazione” è invece possibile agire in modo mirato sui singoli sospetti. Inoltre essa permette di evitare i problemi connessi alla protezione dei dati che potrebbero derivare dal coinvolgimento nelle indagini di soggetti del tutto estranei. Infine, i costi dovrebbero mantenersi su livelli accettabili, diversamente da quanto avverrebbe con la creazione di un’interfaccia di sorveglianza.
Al momento si sta valutando se la proposta sia conciliabile con i principi del diritto tedesco. A parte l’opinione espressa a titolo personale da un portavoce del Ministero dell’interno, il quale giudica la proposta “un’ottima idea”, finora nessun Ministero tedesco ha preso posizione sull’argomento.

    
NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Largo del Teatro Valle, 6 - 00186 Roma. Tel: 06/6818637 - Fax: 06/6818663