GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno IV – n.141                    16  - 22 settembre  2002    www.garanteprivacy.it

Il Garante informa:	

Maggiore privacy per i telefonini in riparazione……………………pag.1
E-government, nuove tecnologie  e privacy…………………………pag.1
Usa: proposta di legge per valutare l'impatto privacy……….……..pag.3

MAGGIORE PRIVACY PER I TELEFONINI IN RIPARAZIONE
Maggiore privacy per i telefonini in riparazione. I  centri di  assistenza  che ricevono in consegna gli apparecchi devono attenersi scrupolosamente alle disposizioni in materia di riservatezza per evitare o ridurre al minimo la possibile circolazione dei numeri telefonici memorizzati. Per prevenire l’eventuale diffusione di questi dati, i centri di assistenza possono suggerire ai clienti di cancellarli prima di consegnare il cellulare da riparare. 
Questa l’indicazione del Garante che è intervenuto sui problemi derivanti dalla prassi di consegnare, in sostituzione temporanea di apparecchi in riparazione, telefonini appartenuti o utilizzati da altri clienti e dell’eventuale utilizzo, da parte di estranei, dei numeri telefonici su di essi memorizzati. L’occasione è stata fornita dalla segnalazione di un professionista che lamentava la possibile violazione della legge sulla privacy da parte del responsabile del centro di riparazione al quale aveva affidato il suo telefonino per un intervento tecnico e che se lo era visto sostituire, peraltro in via definitiva perché il suo era andato smarrito, con uno della stessa marca e dello stesso modello sul quale erano presenti numeri telefonici precedentemente memorizzati. Nella segnalazione  l’interessato chiedeva al Garante di accertare eventuali responsabilità del centro di assistenza che non era stato in grado di garantire la riservatezza dei dati contenuti nel suo cellulare e aveva, nel contempo, diffuso numeri di telefono e nominativi contenuti nell’apparecchio consegnato in sostituzione. 
Per evitare l’indebita conoscenza o l’abusivo utilizzo dei numeri di telefono memorizzati nei telefonini, il Garante ha richiamato l’attenzione sull’esigenza di adottare opportuni accorgimenti per ridurre al minimo la possibile circolazione di tali dati. Ha inviato, pertanto, gli esercenti dei servizi di assistenza e 

riparazione che ricevono in consegna apparecchi, a suggerire ai clienti di cancellare i dati in memoria e, ove ciò non venga effettuato dal cliente, ad applicare la normativa sulla privacy, la quale prevede di fornire ai clienti un’adeguata informativa sull’uso dei dati personali,quali sono i numeri di telefono, di raccogliere il loro consenso per il trattamento di questi dati e di predisporre idonee misure di sicurezza.
L’Autorità ha ricordato, inoltre, l’obbligo  di non utilizzare i dati memorizzati durante la fase di riparazione, se non  è necessario per uno specifico intervento tecnico e  solo nella misura strettamente necessaria,  e di  non cedere, neanche temporaneamente, a terzi  o altri clienti cellulari contenenti numeri telefonici in  memoria, se non nel caso in cui i possessori degli apparecchi abbiano prima manifestato uno specifico consenso.

E-GOVERNMENT, NUOVE TECNOLOGIE  E PRIVACY. IL  GARANTE AL COM-P.A. 2002
Anche quest’anno l’Autorità ha partecipato  al Com-P.A. intervenendo  in diversi convegni organizzati nell’ambito della manifestazione e dedicati allo sviluppo delle nuove tecnologie per migliorare il servizio al cittadino.
Prendendo parte al dibattito su “E-government: la nuova frontiera della P.A.”, Gaetano Rasi  ha affermato che  “la proliferazione delle smart card private, in particolare di quelle sanitarie, rende complicata la riduzione della questione ad un quadro omogeneo che possa tener conto anche dei profili della riservatezza e di dignità dell’individuo coinvolto”.
L’eliminazione della carte sanitaria elettronica e l’inserimento dei dati  sulla salute all’interno della carte d’identità elettronica – ha sottolineato il componente dell’Autorità - è venuto incontro ai timori rappresentati dal Garante in merito alla proliferazione di più documenti elettronici. Se da una parte, dunque, vi è stato un arresto nella proliferazione delle carte “pubbliche” contenenti dati sulla salute, non si può dire che lo stesso sia avvenuto sul fronte “privato”, dove prosegue la produzione di carte contenenti dati su determinate patologie. Giungono al nostro Ufficio – ha ricordato Rasi – notizie che alcune aziende sanitarie, al fine di rendere più agevole il rapporto dell’utenza con la struttura, avrebbero avviato forme di comunicazione via Internet di determinati accertamenti clinici. “Per quanto le motivazioni sottostanti all’instaurazione di simili procedure sono senz’altro comprensibili e in 
alcuni casi assolutamente encomiabili – ha detto Rasi - non possiamo nasconderci i rischi connessi a tali sistemi di comunicazione. Vi sono elementi che dovrebbero indurre alla massima cautela”.
Indiscussa per lo sviluppo dell’e-government, secondo il componente, l’utilità e la necessità di una maggiore intercomunicabilità fra le banche dati delle varie amministrazioni. Tuttavia occorre procedere di pari passo con la valutazione delle implicazioni sui diritti fondamentali della persona, accompagnando lo sviluppo da un coinvolgimento dell’opinione pubblica e da una cosciente valutazione dei diversi interessi in gioco.
Dopo aver sottolineato che i problemi legati alla tutela delle sfera privata del cittadino nell’ambito dell’e-government - ma, più in generale, nel campo dell’uso delle nuove tecnologie - richiedono un approccio integrato e flessibile, Rasi ha annunciato che, proprio in vista di questo obiettivo, il Garante collaborerà con il Dipartimento del Ministro per l’innovazione e le tecnologie alla redazione del bando per i progetti di e-government.
Mauro Paissan, prendendo parte al convegno su “Innovazione tecnologia e innovazione culturale nei new media:verso la e-society”, ha affrontato il tema delle potenzialità e dei rischi dell’innovazione tecnologica nella P.A.
 “Il rispetto dei diritti fondamentali ed in particolare della riservatezza delle persone – ha detto il componente dell’Autorità -  non solo non è incompatibile con lo sviluppo delle nuove tecnologie,ma costituisce una condizione necessaria perché tale sviluppo si realizzi”. 
Paissan ha sottolineato come con il mutamento delle tecnologie si intensificano, assieme alle potenzialità che esse offrono, anche i rischi per la privacy individuale, sia riguardo ad utilizzi di dati personali da parte di soggetti privati, sia da parte di soggetti pubblici. Mentre le tradizionali banche dati  registravano nomi, dati anagrafici, informazioni compiute, più insidiosa, invece, è  “l’invasione derivante dalle moderne tecnologie digitali, dove mille tracce elettroniche ci seguono e la cui elaborazione conduce all’informazione finale”. Come esempi, Paissan ha portato i file di connessione generati dalla navigazione in Internet, che possono rilevare profili commerciali ed i interessi personali, talvolta anche di natura sensibile, o i cosiddetti “location data”, che consentono l’individuazione geografica dei singoli individui, oppure, infine,la possibilità, attraverso i motori di ricerca,di cristallizzare dei profili ideologici delle persone rintracciando opinioni espresse in rete molto all’indietro nel tempo.
Gli utenti e i consumatori, quando si rivolgono ad operatori pubblici e privati che si avvalgono delle nuove tecnologie, non chiedono, secondo Paissan, solo il servizio specifico che viene loro offerto (informazioni, acquisto di beni o altri servizi, ecc.), ma anche una particolare protezione delle informazioni che li riguardano. Se questo è sempre più vero per il settore privato “sarebbe alquanto strano” ha osservato Paissan  “ che lo sia di meno nell’ambito del settore pubblico”. Nella progettazione dell’ “amministrazione elettronica si devono quindi prevedere le conseguenze sulla privacy dei cittadini”. “L’innovazione tecnologica richiede - ha concluso Paissan - anche un’innovazione culturale rispetto ai nuovi media. E’ necessaria una nuova cultura ad ogni livello da parte degli stessi operatori pubblici, al fine di prevenire che le nuove tecnologie costruiscano gabbie tecnologiche intorno ai cittadini”.
Il Segretario generale del Garante per la protezione dei dati personali, dott. Giovanni Buttarelli, è intervenuto sul tema della : “Carta di identità elettronica e firma digitale: dalla sperimentazione ai servizi”. Il segretario generale dell’Autorità ha ricordato l’attenzione con la quale l’Ufficio del Garante segue, fin dalla sua istituzione nel 1997, il dibattito apertosi in tutto il mondo sull’opportunità di sostituire i documenti di identità cartacei con carte di identità elettroniche che possano contenere, accanto alle informazioni riguardanti l’identità appunto della persona anche altro tipo di informazioni quali, ad esempio: i dati biometrici, quelli sanitari, quelli relativi alla  fede religiosa professata”.
“Si tratta di dati, questi ultimi –ha precisato il segretario generale – che in realtà aprono una serie di questioni riguardanti da un lato la loro effettiva utilità nell’essere inseriti nella carta di identità elettronica e la loro successiva utilità da parte di terzi, siano essi enti pubblici o strutture private e, dall’altro, gli aspetti tecnici su come effettivamente raccoglierli ed inserirli”.
“In Giappone – ha ricordato Buttarelli – è stato dimostrato che le impronte digitali, il cui inserimento sulla carta trova oggi larghi consensi non solo nel nostro Paese, ma anche in altri paesi dell’Unione europea e negli Stati Uniti, sono riproducibili. Un aspetto questo che deve far riflettere sulle garanzie per una loro effettiva tutela. Cosa potrebbe accadere se qualcuno per fini illeciti le riproducesse e le utilizzasse, ad esempio, al fine di effettuare o rilasciare pratiche di una certa rilevanza quali ad esempio quelle sanitarie?”.
“L’Autorità garante – ha proseguito Buttarelli – ha perciò il compito istituzionale di richiamare l’attenzione nelle sedi istituzionali nazionali e negli organismi internazionali competenti sulla questione, in modo tale che la carta di identità elettronica possa garantire adeguate certezze riguardo alla protezione dei dati personali”.

USA : PROPOSTA DI LEGGE PER VALUTARE L’IMPATTO PRIVACY DI OGNI NUOVA NORMATIVA 
La Commissione giustizia della Camera dei deputati USA ha approvato recentemente una proposta di legge (H.R. 4561 “Federal Agency Protection of Privacy Act”), in base alla quale tutte le agenzie e tutti gli organismi federali dovranno effettuare un’analisi dell’impatto che ogni nuovo regolamento o decreto da essi emanato può provocare sulla privacy dei cittadini.
La proposta di legge è degna di nota soprattutto perché si colloca in una fase storica in cui, dopo gli avvenimenti dell’11 settembre 2001, la tutela della privacy incontra numerose difficoltà applicative. Il testo approvato dalla Commissione, verosimilmente destinato ad essere esaminato dal Congresso USA il prossimo mese, prevede l’obbligo per tutti gli organismi federali di rendere pubblici, in due tempi distinti, i risultati di un’analisi dell’impatto sulla privacy delle persone dovuto a norme e regolamenti dei quali sia prevista l’adozione. 
Nell’analisi iniziale, da rendere pubblica al momento in cui l’agenzia o l’organismo pubblico notificano la prossima adozione della norma o del regolamento in questione, devono essere specificati i dati personali eventualmente oggetto di trattamento in base alla norma o al regolamento dei quali si prevede l’adozione; in quale misura la norma o il regolamento consentiranno agli interessati di accedere ai loro dati personali ed eventualmente di correggerli; se sia prevista la possibilità di utilizzare i dati raccolti per scopi diversi da quelli iniziali e, in particolare, se esistano possibili alternative alla norma o al regolamento in oggetto tali da consentire il raggiungimento degli obiettivi di legge minimizzando l’impatto sulla privacy delle persone. Al momento della promulgazione del testo finale, l’analisi definitiva prenderà in considerazione tutti i punti prima richiamati ed elencherà le modifiche apportate al progetto anche alla luce delle osservazioni ricevute dopo la pubblicazione dell’analisi iniziale. Soprattutto, l’agenzia e/o l’ente federale dovrà indicare quali passi abbia intrapreso per minimizzare l’impatto sulla privacy, e per quale motivo siano stati scartati approcci alternativi rispetto a quello prescelto.
La proposta di legge prevede, inoltre, l’obbligo di informare adeguatamente il pubblico dell’intenzione di emanare norme o regolamenti che incidano significativamente sulla privacy delle persone, anche attraverso audizioni pubbliche o conferenze aperte al pubblico, e di riesaminare periodicamente il contenuto di tali norme o regolamenti allo scopo di stabilire se sia possibile modificarli o abolirli in modo da minimizzare gli effetti sulla privacy. I soggetti che ritengono di avere subìto un vulnus a causa della norma o del regolamento in questione, possono rivolgersi all’autorità giudiziaria per far valere i propri diritti.

Come si vede, i principi affermati nella proposta sono molto vicini a quelli che la direttiva europea in materia
di protezione dei dati definisce “principi relativi alla qualità dei dati”: pertinenza, non eccedenza, finalità, trasparenza. E’ interessante osservare che nel testo della proposta di legge è contenuta anche una definizione di “dato personale” che comprende espressamente “fotografie, numero di previdenza sociale [l’equivalente, in senso lato, del nostro codice fiscale, ndr.] (…) e le informazioni sullo stato di salute o le condizioni finanziarie della persona”. Seguiremo con la Newsletter i prossimi sviluppi in materia.

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo. Ha collaborato Antonio Caselli. Direzione e redazione: Garante per la protezione dei dati personali, Piazza di Monte Citorio, n.121 - 00186 Roma. Tel: 06/69677713 - Fax: 06/69677755. Newsletter è consultabile sul sito Internet www.garanteprivacy.it