GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno I - n.5    12-18 luglio 1999

Il Garante informa:
Privacy e posta elettronica…………………………………… .pag.1
Accordo di Schengen. Audizione parlamentare del Garante…pag.1
Omicidio Basile. Precisazione del Garante	…………………   pag.2
Meno dati vuol dire buoni dati	………………………………..pag.2
Riflettori puntati sulla privacy……………………………..…pag.3

PRIVACY E POSTA ELETTRONICA
I messaggi che circolano, via Internet, nelle liste di posta elettronica e nelle newsgroup ad accesso limitato devono essere considerati come corrispondenza privata e in quanto tali non possono essere violati.
Lo ha stabilito il Garante affrontando il più ampio caso di una mailing list costituita su iniziativa di alcuni dipendenti di un'amministrazione con strumenti messi a disposizione dalla stessa amministrazione.
Il principio riguarda non solo le singole "e-mail", ma anche le più articolate mailing list, ovvero i servizi di posta elettronica con un indirizzario automatico che consente la contemporanea trasmissione a più persone di una comunicazione o messaggio su determinati argomenti di interesse comune (in genere, il messaggio, inviato al computer che "amministra" la lista, viene poi spedito automaticamente alla casella di posta elettronica di tutti gli aderenti). 
Nella sua decisione, il Garante, nel ribadire i principi contenuti  nell'art.15 della Costituzione, che afferma l'inviolabilità della libertà e della segretezza della corrispondenza e di ogni altra forma di comunicazione, ha ricordato che la legge n.547 del 1993 sui reati informatici e, da ultimo, il D.P.R. n.513 del 1997 sul documento elettronico, hanno confermato che la posta elettronica deve essere tutelata alla stregua della corrispondenza epistolare o telefonica. 
Per le caratteristiche assunte da tali circuiti privati di posta elettronica, i messaggi che in essi circolano vanno considerati quindi alla stregua della corrispondenza privata e non possono essere abusivamente intercettati. Ciò, sia che si tratti di vere e proprie "mailing list", sia che si tratti di  newsgroup ad accesso condizionato dalla disponibilità di una password fornita ad una pluralità di soggetti determinati, e a prescindere dal fatto che la rete operi attraverso le strutture pubbliche che un'amministrazione ha consentito di utilizzare.
Nel caso di specie, il Garante ha peraltro precisato che, analogamente a quanto avviene per la normale corrispondenza, non può essere considerata contrastante con la normativa sui dati personali l'eventuale successiva presa di conoscenza della e-mail da parte di soggetti estranei al circuito di posta elettronica, quando il messaggio non sia stato indebitamente acquisito da questi ultimi ma ad essi comunicato da parte di uno dei destinatari del messaggio stesso.

ACCORDO DI SCHENGEN. AUDIZIONE PARLAMENTARE DEL PRESIDENTE DEL GARANTE
Nell'ambito dell'indagine conoscitiva sull'integrazione dell'acquis di Schengen nella Unione Europea avviata dal Comitato parlamentare di controllo sull'attuazione ed il funzionamento della convenzione di applicazione dell'accordo di Schengen, giovedì 8 luglio si è svolta l'audizione del Presidente dell'Autorità Garante per la protezione dei dati personali, Stefano Rodotà. L'acquis è il termine utilizzato per indicare tutte le norme, i regolamenti, le decisioni dell'Autorità di Controllo Comune (ACC) riguardanti l'attuazione della Convenzione di applicazione dell'accordo di Schengen.
Il Presidente Rodotà ha messo in guardia dai rischi di depotenziamento dell'Autorità di Controllo Comune (ACC) che vigila sul corretto uso della banca dati del Sistema d'Informazione di Schengen. (SIS). IL SIS è un  archivio elettronico che centralizza tutte le informazioni riguardanti le persone ricercate o poste sotto sorveglianza, quelle sui veicoli rubati, sul traffico d'armi, sui documenti falsi e sul sequestro di banconote false. Il sistema si compone di sezioni nazionali e di un supporto tecnico, che ne assicura l'uniformità, situato a Strasburgo. Il controllo dell'archivio della sezione italiana del Sistema d'Informazione di Schengen, allo scopo di verificare che l'elaborazione e l'utilizzazione dei dati inseriti rispetti i diritti delle persone interessate, viene svolto in Italia dal Garante per la protezione dei dati personali.
In questa veste il Garante è chiamato a far parte dell'Autorità Comune di Controllo, l'organismo indipendente che raggruppa i rappresentanti dei Garanti della privacy dei Paesi che fanno parte dell'Accordo di Schengen ed ha il compito di fare in modo che questi Paesi rispettino la riservatezza dei dati. 
"Sta accadendo - ha affermato Rodotà - che l'ACC viene indebolita: non ha un bilancio autonomo, non ha un proprio segretariato, non ha piena autonomia per quanto riguarda le riunioni: tutte questo rischia di pregiudicare l'efficacia dei controlli perché l'autonomia e l'indipendenza di un organo si può eliminare non solo con la cancellandone le prerogative ma anche condizionandone l'attività attraverso una limitazione delle risorse".
"Se si fanno passi indietro sulle garanzie dei cittadini e la trasparenza delle procedure - ha continuato Rodotà - si rischia di pregiudicare anche l'efficienza di queste banche dati. Per esempio, solo eliminando le informazioni sbagliate su richiesta degli interessati, si garantisce l'efficienza del sistema". Per questo, il presidente del Garante ha sottolineato al Comitato parlamentare "il ruolo che i parlamenti nazionali possono svolgere per cercare di evitare che si prendano decisioni a livello europeo che pregiudichino l'efficienza di questa Autorità, turbando l'equilibrio tra esigenze di sicurezza e garanzie di libertà". Rodotà ha anche ricordato che la stessa ACC ha rivolto raccomandazioni ai Governi, "ma tranne il ministero dell'Interno francese non ha risposto nessuno. Questo vuol dire che l'Autorità  è considerata poco più di un festone, non un elemento effettivo del sistema europeo di controllo".  E tutto questo mentre in Europa si stanno moltiplicando le raccolte di dati in funzione di prevenzione e di sicurezza come Europol e il sistema doganale europeo, e si annuncia quella di Eurodac, molto delicata, perché riguarda le impronte digitali di chi chiede. La moltiplicazione delle banche dati viene formalmente  accompagnata dalla previsione di garanzie, che tuttavia è - indispensabile - rendere in ogni caso effettive".

OMICIDIO BASILE. PRECISAZIONE DEL GARANTE
In relazione all'omicidio del dirigente dell'assessorato all'Agricoltura e Foreste di Palermo, Filippo Basile, alcuni quotidiani nazionali, parlando dell'inchiesta effettuata dalla Commissione Antimafia della Assemblea regionale sui procedimenti a carico dei funzionari regionali, hanno citato il caso di quei dirigenti che, a differenza del Basile, hanno tardato o addirittura si sono rifiutati di fornire l'elenco dei funzionari sotto processo o comunque coinvolti in indagini giudiziarie,  richiamandosi alla legge sulla privacy. 
Gli stessi quotidiani nazionali hanno però omesso di riportare la tempestiva precisazione che in merito alla questione il Garante per la protezione dei dati personali  aveva fatto già il 18 marzo scorso con un provvedimento il cui contenuto è stato diffuso agli organi di informazione attraverso un comunicato stampa e con dichiarazioni dello stesso presidente dell'Autorità a due giornali siciliani.
Rispondendo infatti ad un quesito posto dalla Regione Sicilia, il Garante ha affermato che la legge sulla privacy era stata invocata in maniera del tutto erronea. Le norme in essa contenute non pongono alcun ostacolo alla comunicazione dei dati riguardanti i procedimenti giudiziari a carico dei dirigenti regionali e funzionari equiparati, alla Commissione Antimafia regionale.
L'art.27 della legge n.675 del 1996 consente lo scambio di dati tra soggetti pubblici in presenza di una norma di legge o di regolamento che lo preveda. 
Nel caso di specie, questa norma è contenuta nella legge regionale 14 gennaio 1991, n.4, la quale, all’art.6, demanda alla predetta Commissione precisi compiti e crea nei confronti degli organi dell’Amministrazione regionale e degli enti locali siciliani, o sottoposti alla vigilanza della Regione, l’obbligo di collaborare con la Commissione e di ottemperare alle sue richieste; pone, inoltre, l’obbligo per gli amministratori pubblici e per i predetti enti di “ottemperare alle richieste della Commissione e di fornire alla medesima ogni necessaria collaborazione ai fini dell’espletamento dei compiti a questa attribuiti”.

MENO DATI VUOL DIRE BUONI DATI
(articolo pubblicato su Der Spiegel del 5 luglio)
La legge tedesca sulla protezione dei dati tutela i dati più che le persone. Una direttiva EU attende di essere recepita. Non resta che arrangiarsi da soli
Helmut Bäumler, incaricato per la protezione dei dati del Land Schleswig-Holstein, potrebbe veramente ritenersi soddisfatto. In migliaia, la scorsa settimana, hanno seguito il suo consiglio comunicando alla ditta Tele-Info di Garbsen di essere contrari a che la propria abitazione fosse inserita nella banca dati immobiliare dell'impresa.
E' deprimente, tuttavia, secondo quanto afferma Bäumler, "che la Legge tedesca non offra alcun appiglio diretto per impedire la digitalizzazione di intere città". La direttiva EU sulla protezione dei dati darebbe ai tedeschi un maggiore potere sui propri dati, ma la sua trasposizione avrebbe dovuto avvenire entro ottobre dello scorso anno.
Al primo posto nella lista nera di Bäumler ci sono le tessere-fedeltà tipo la Ikea-Card. "Queste tessere non dovrebbero mai essere utilizzate". Si tratta di puri e semplici strumenti di marketing che servono alle imprese per ricavare profili dettagliati delle abitudini di consumo dei singoli titolari.
Per quanto riguarda i contratti con le società che gestiscono carte di credito, i responsabili della protezione dati si chiedono se i dati vengano sottoposti a trattamento all'estero oppure in Germania. E' vero che le imprese garantiscono che il trattamento avviene all'estero solo per motivi di economicità, "ma non è chiaro se questo sia veramente l'unico motivo" - secondo quanto afferma il responsabile berlinese per la protezione dati, Hansjürgen Garstka.
Contro la pubblicità-spazzatura ci si può fare inserire nella "lista Robinson" a Ditzingen. Questa lista viene gestita dall'Associazione tedesca per il marketing diretto, che si impegna a non inviare alcun tipo di annunci pubblicitari ai soggetti inseriti nell'elenco. Tuttavia, la lista non è vincolante giuridicamente, per cui chi vuole essere veramente sicuro deve scrivere ad ogni singola ditta che abbia nei propri archivi il suo indirizzo.
In Germania, i soggetti pubblici devono fornire informazioni sui dati in loro possesso alla persona che ne faccia richiesta. L'informazione può essere rifiutata per motivi di sicurezza pubblica ovvero se sussistono rischi per l'attività del soggetto pubblico in questione. Ogni decisione in merito spetta al soggetto pubblico stesso. Gli uffici dell'anagrafe comunicano ai partiti i dati degli iscritti ai fini della campagna elettorale; scrivendo all'ufficio è possibile vietare questo tipo di comunicazioni.
Su Internet, il server di rete invia al PC i cookies, piccoli file contenenti informazioni, non appena viene richiamata una pagina Internet. I browser di impiego corrente offrono la possibilità di vietare l'invio di cookies, ovvero comunicano che sta per essere inviato un cookie al PC dell'utente.
I messaggi di posta elettronica contenenti dati personali dovrebbero essere sempre cifrati. Uno dei programmi più diffusi per la cifratura della posta elettronica si chiama "Pretty Good Privacy", e può essere scaricato gratuitamente da Internet (www.pgpi.com). Anche il motore di ricerca tedesco web.de (www.web.de) permette di cifrare messaggi di posta elettronica.
Un modo per garantirsi l'anonimato su Internet consiste nell'utilizzo di reindirizzatori anonimi (www.replay.com). Il messaggio e-mail non viene inviato direttamente al destinatario, bensì al reindirizzatore (remailer) che cancella l'indirizzo del mittente e provvede ad inoltrare il messaggio a destinazione.
Un'altra possibilità è offerta dai grossi motori di ricerca Internet tipo Yahoo. Yahoo permette di ottenere indirizzi e-mail che terminano con yahoo.com; in tal modo, nazione e provider dello scrivente non sono più inviduabili.
I programmi di anonimizzazione (www.anonymizer.com) consentono di navigare su Internet in forma anonima, nascondendo il punto di partenza della navigazione. Ciò rende molto difficile per chi gestisce le pagine Web risalire all'identità dei singoli utenti.
Contro la spam, ossia la posta-spazzatura via Internet, sono disponibili programmi di filtro (www.spammerslammer.com) oppure si possono utilizzare due indirizzi e-mail: uno servirà per navigare sulla Rete, e l'altro per la corrispondenza.

RIFLETTORI  PUNTATI  SULLA  PRIVACY
(articolo pubblicato sul Financial Times del 6 luglio)
Un nuovo sito Web permetterà a chiunque sia in possesso di una carta di credito di comprare in un attimo informazioni praticamente su qualunque cittadino USA.
Col crescere negli USA delle preoccupazioni per la tutela della privacy, sono sorte varie imprese su Internet che puntano a fare profitti dando alle persone maggiori possibilità di verificare quali informazioni nei loro riguardi vengano passate alle imprese.
Ma c'è una società che sta cercando di ricavare profitti dall'attività esattamente opposta, ossia dalla vendita via Internet di informazioni personali che altri cercano di contribuire a mantenere riservate. La US Search.com di Beverly Hills gestisce un sito Web sul quale chiunque sia in possesso di una carta di credito può comprare in un attimo informazioni praticamente su qualunque cittadino USA.
I servizi offerti sul sito Web della società, www.ussearch.com, vanno dalla Instant Search, che per 10 dollari fornisce immediatamente nome, indirizzo, numero di telefono, data di nascita ed informazioni sul decesso, fino all'Individual Profile Report, del costo di 140 dollari, che comprende informazioni su alias, precedenti indirizzi, autovetture e abitazioni di proprietà, eventuali dichiarazioni fallimentari, fedina penale e rapporti con persone giuridiche/imprese.
Gran parte delle ricerche vengono effettuate immediatamente. La società inoltra le informazioni inserite dal visitatore del sito a vari database, che ricevono un pagamento per ogni transazione compiuta, e quindi aggrega i risultati in un modello di facile leggibilità e impiego.
Ricerche più complesse richiedono l'intervento di un operatore, e la società mette a disposizione dei clienti anche un numero verde.
La sola gamma delle informazioni disponibili basta a suscitare la preoccupazione degli Europei, abituati in genere ad una maggiore severità nella tutela dei dati.
Tuttavia, bisogna ammettere che US Search.com svolge un servizio utile nella misura in cui rende più democratico l'accesso a queste informazioni. La maggioranza dei dati presenti nel sito probabilmente era già disponibile da qualche parte cinque anni fa: la differenza sta nel fatto che, in passato, solo le imprese o chi disponeva di molti soldi e di un buon investigatore privato, o di un database adatto, era in grado di metterci le mani. Oggi, grazie a questa società, è facile per la gente comune scoprire quali informazioni sul proprio conto siano di dominio pubblico.
Anche le piccole imprese ne possono beneficiare. Le verifiche sulla solvibilità risultano facilitate, ed è più facile anche verificare l'effettiva identità di una persona. Nei prossimi mesi sarà offerto un nuovo servizio di screening dei dipendenti, che prevede il tipo di controlli sui candidati all'assunzione che in passato solo le grosse imprese trovavano vantaggioso far svolgere in rapporto ai costi.
Tuttavia, per chi si interessa di Internet la US search.com solleva un interessante quesito di diversa natura: si può guadagnare con questo tipo di attività?
La scorsa settimana la società è stata quotata in borsa, nell'indice Nasdaq. Alla chiusura di venerdì il valore di mercato era di poco superiore a 200 milioni di dollari. Tuttavia, in base alla documentazione in possesso della SEC [la commissione di controllo delle attività di borsa], ci sono pesanti dubbi sulle capacità dell'impresa di realizzare profitti.
Con 4.600.000 visitatori dichiarati del sito, e 230.000 richieste telefoniche nel primo trimestre del 1999, il volume di vendite realizzate dalla società nello stesso trimestre (3.2 milioni di dollari) appare di tutto rispetto. Tuttavia, si tratta di vendite frutto di una campagna pubblicitaria martellante, che è costata 2.5 milioni di dollari nel primo trimestre e 7 milioni di dollari durante lo scorso anno.
La società ha avuto inoltre fluttuazioni significative delle vendite in rapporto alla maggiore o minore capacità di trovare finanziamenti per queste campagne pubblicitarie. Nel 1997 i ricavi del servizio telefonico hanno subito un calo nettissimo quando la società ha dovuto tagliare le spese per la pubblicità, e anche durante il quarto trimestre del 1998 un taglio di queste spese da 2.4 a 2 milioni di dollari ha comportato un calo delle vendite nell'ordine del 15%.
Il motivo per cui questi dati sono importanti non risiede nel fatto che il marketing rappresenta una quota così elevata delle spese - benché le cose stiano effettivamente così: lo scorso anno, ogni 10 dollari di spese ne sono stati utilizzati 4 per il marketing su Internet. Semmai, i dubbi maggiori riguardano il fatto che per riuscire nel lungo periodo la società deve crearsi uno zoccolo stabile di clienti che ricorrano più volte ai servizi offerti - ossia, non deve trattarsi di clienti occasionali che si collegano al sito per cercare un parente di cui da tempo non hanno più notizie, o per verificare i dati sulla propria solvibilità, e poi non utilizzano mai più il sito.
E' questa la differenza fra imprese che hanno le potenzialità per realizzare profitti elevati, ma devono sostenere spese considerevoli per costruire la propria immagine commerciale, ed imprese che non riescono a ricavare dai visitatori del sito Web sufficienti profitti - tali da compensare i costi necessari, in primo luogo, per attirare la clientela.
La US Search.com è in grado di fare profitti? In un certo senso, il mercato ha già dato un primo segnale al riguardo. Molte società operanti in settori ad alto margine di profitto, dove fungono unicamente da intermediari di dati senza gestire alcun prodotto fisico, presentano un rapporto elevato costi/ricavi.
Con una valutazione intorno a 20 volte l'ultimo trimestre, la US Search.com si colloca su livelli relativamente bassi. E' probabile che ciò rifletta l'incertezza degli investitori sulla possibilità (per non parlare dei tempi) di realizzazione di un profitto.

    
NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Largo del Teatro Valle, 6 - 00186 Roma. Tel: 06/6818637 - Fax: 06/6818663