GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno I - n.19    22 - 28 novembre 1999

Il Garante informa:
Il  Garante a Madrid per illustrare la legge italiana	…………….pag.1
Tessera elettorale	…………………………………………………pag.1 
Anagrafe dei conti correnti………………………	………………pag.2
La nuova legge spagnola sulla protezione dei dati.	……………..pag.3
Il  cyberspazio  è  un  luogo  di  "pubblica accoglienza"?……..pag.4

IL  GARANTE A MADRID PER ILLUSTRARE LA LEGGE ITALIANA
Il Vice Presidente dell'Autorità Garante per la protezione dei dati personali, il Prof. Giuseppe Santaniello, ha tenuto il 16 novembre scorso, presso l'Istituto italiano di cultura di Madrid,
una conferenza sulle norme poste a tutela della riservatezza nell'ordinamento italiano.
La relazione del Prof. Santaniello ha illustrato i tratti fondamentali che imprimono alla normativa italiana sulla privacy, soprattutto sotto il profilo del sistema delle garanzie, una propria identità rispetto alle legislazioni degli altri Paesi aderenti alla U.E.
In questo quadro prospettico, Santaniello ha individuato alcuni fra i più importanti punti-cardine della legge italiana: a) la forte rilevanza della disciplina dei soggetti pubblici nel trattamento dei dati personali; b) la notevole ampiezza delle situazioni soggettive tutelate in tutta la loro tipologia (dai diritti soggettivi, a protezione piena, agli interessi legittimi, agli interessi collettivi e a quelli diffusi; c) la completezza del sistema di garanzie insita nella tutela giustiziale dei diritti degli interessati.
La legge-base, la n.675 del 1996, e le sue successive integrazioni, formano una congrua serie di regole 
idonee a realizzare un'efficiente tutela della riservatezza e dell'identità personale. 
Tali norme non costituiscono un corpus chiuso e cristallizzato in se stesso, bensì aperto a innovazioni, a ricostruzioni sistematiche, a revisione di vecchi istituti e a prospettive di nuovi.

"Nessuna legislazione sulla privacy - ha affermato Santaniello - è conclusa in se medesima, poiché essa, in 
ragione della sua incidenza su fondamentali settori della vita civile e delle istituzioni, diventa un fattore essenziale per la vita della democrazia".
Il miglioramento delle condizioni di vita dei popoli e il progresso economico-sociale passano, a parere del Vice presidente dell'Authority,  anche attraverso la garanzia dei diritti fondamentali dei cittadini, tra i quali massimo rilievo hanno quelli riguardanti la privacy.

TESSERA ELETTORALE  E DIRITTI DEI CITTADINI
Il collegio del Garante per la protezione dei dati personali ha inviato al Ministero dell'interno il proprio parere sullo schema di regolamento riguardante la tessera elettorale, sottolineando la necessità di modifiche volte a salvaguardare pienamente la libertà elettorale dei cittadini.
Con tale atto, previsto dalla legge n.120 del 1999, viene istituita una tessera elettorale di tipo cartaceo, destinata a svolgere, per una serie di consultazioni, la stessa funzione del certificato elettorale e a certificare l'avvenuta partecipazione al voto.
L'Autorità è consapevole che il provvedimento è volto a contenere la spesa sostenuta per la stampa e la distribuzione dei certificati elettorali  e a prevenire il rischio di comportamenti non corretti da parte di alcune categorie di elettori che potrebbero cercare di votare in più di una sezione durante una stessa consultazione. 
Tuttavia, esprime la preoccupazione che il modello ipotizzato di tessera cartacea (sebbene previsto per una fase transitoria in attesa dell'utilizzo di supporti informatici) possa portare ad una eccessiva conoscibilità di dati sul comportamento elettorale dei cittadini, con un effetto che non sarebbe conforme alla legge sulla privacy e al rispetto di fondamentali diritti costituzionali.
Il collegio del Garante ritiene, dunque, opportuno che si predispongano nuove modalità per la tessera cartacea che riescano a tutelare meglio la riservatezza, o che si proceda subito alla adozione della tessera elettronica. A prescindere dall'eventuale utilizzazione della carta d'identità elettronica anche a fini elettorali, l'introduzione della tessera elettorale su supporto informatico permetterebbe, infatti, di adottare misure tecniche che consentano l'accesso alla certificazione dell'avvenuta partecipazione al voto solo alle sezioni elettorali (e, eventualmente, all'ufficio elettorale comunale) e in relazione a singole consultazioni, escludendo ogni conoscenza dei passati comportamenti elettorali.
L'Autorità ha ricordato, innanzitutto, che l'avvenuta partecipazione al voto o il mancato esercizio del diritto di voto è oggi desumibile solo da alcuni atti eventualmente accessibili (liste elettorali, elenchi predisposti dall'ufficio elettorale), ma soggetti ad una limitata pubblicità presso alcuni uffici e, cosa più importante, in relazione a singole consultazioni elettorali.
Viceversa, il modello cartaceo di tessera elettorale renderebbe noto, a chiunque esamini il documento, una sequenza di dati relativi a tutte le consultazioni elettorali precedenti. Informazioni che, per effetto di smarrimenti, visione della tessera da parte di altri soggetti o di componenti dei seggi elettorali, richieste improprie di terzi, esporrebbero il cittadino al rischio che la scelta di partecipare o meno alla consultazione elettorale sia agevolmente conoscibile anche fuori della sezione elettorale o dell'ufficio elettorale comunale.
Questo aspetto suscita ampie riserve, soprattutto tenendo conto che alcune consultazioni elettorali, sia generali, sia locali, possono assumere un particolare significato per l'oggetto (si pensi a determinati referendum o votazioni di ballottaggio) o per il contesto in cui cadono (alcune forze politiche possono esprimere specifici orientamenti agli elettori di tipo partecipativo o astensionistico), tanto che il mero dato dell'avvenuta partecipazione alle operazioni di voto può risultare molto indicativo.
L'Autorità ha ricordato,  a tale proposito, che il dovere civico dell'elettore connesso all'espressione del voto è accompagnato dalla previsione costituzionale della segretezza del voto, tutela che non può essere ridotta alla sola conoscenza del contenuto della scheda elettorale, ma anche ad alcuni dati che evidenziano il complessivo orientamento dell'elettore. 
Il fatto che non siano state previste "sanzioni" per la mancata espressione del voto, fa ritenere egualmente necessaria una tutela dei comportamenti degli elettori, in modo tale da evitare che possibili censure di ordine morale o sociale rispetto alle scelte dei singoli.
Per quanto riguarda i dati relativi al titolare della tessera elettorale devono essere meglio individuati quelli pertinenti agli scopi prefissati. Desta perplessità, ad esempio, la previsione del codice fiscale e la non precisa individuazione dei soggetti ai quali è demandata la scelta del suo inserimento nella tessera, nonché dei relativi criteri. 
Come già indicato in occasione del parere espresso sullo schema di regolamento riguardante la carta d'identità elettronica, il Garante ha ribadito l'esigenza che il trattamento dei dati connessi a numeri di identificazione personale, compreso il codice fiscale, sia accompagnato da precise garanzie sulle condizioni del loro utilizzo (garanzie che sono demandate a norme di carattere primario, da emanare allo scopo di completare il recepimento della direttiva comunitaria sulla riservatezza dei dati)
Inoltre, l'Autorità ha segnalato la necessità di introdurre disposizioni su vari aspetti della protezione dei dati personali, in particolare riguardo agli obblighi cui è tenuto il personale che tratta i dati, alle misure di sicurezza da predisporre per la custodia degli stessi, specialmente di quelli sensibili, e all'adozione di opportune cautele, ad esempio il plico chiuso, per garantire la riservatezza dell'elettore al momento della consegna della tessera ad una persona diversa dall'interessato.

ANAGRAFE DEI CONTI CORRENTI. IL PARERE DEL GARANTE
Il collegio del Garante per la protezione dei dati personali, composto dal Prof. Stefano Rodotà, dal prof. Giuseppe Santaniello, dal Prof. Ugo De Siervo, dall'Ing. Claudio Manganelli, ha espresso il proprio parere sullo schema di regolamento che istituisce un archivio dei rapporti  di conto e deposito, previsto dalla legge n.413 del 1991 sul potenziamento degli accertamenti fiscali e la riforma del contenzioso. Si tratta, dunque, di un regolamento la cui adozione deriva da una esplicita scelta del Parlamento.
Con tale regolamento devono essere stabilite "la destinazione e le modalità delle comunicazioni da parte delle aziende ed istituti di credito e dell'amministrazione postale nonché delle società fiduciarie e… di ogni soggetto che intrattenga con loro rapporti di conto o deposito o che comunque possa disporre del medesimo, nonché i criteri per le relative utilizzazioni".
Il collegio del Garante ha osservato, in via preliminare, che la necessità di introdurre uno strumento utile a favorire e semplificare  indagini fiscali ed investigative, deve essere accompagnata, come prevede espressamente la stessa legge 413 (art.20), da una rigorosa disciplina dei vari profili di riservatezza. 
La creazione di una banca dati centralizzata che interessa la generalità dei cittadini, al di là della sua utilità, presuppone, infatti, un'attenta regolamentazione che va oltre l'aspetto della sicurezza e dell'integrità dei dati, dovendo riguardare anche le finalità perseguite, i flussi di dati, l'utilizzazione ulteriore delle informazioni e l'individuazione di compiti e responsabilità.
Sotto questi aspetti, lo schema di regolamento non appare soddisfacente e sono, quindi, necessarie significative modifiche.
In primo luogo, lo schema non disciplina direttamente tutti i profili relativi alla destinazione e alle modalità di comunicazione dei dati, né i criteri per la loro utilizzazione, ma delega la loro definizione a diverse fonti normative con il rischio di non garantire una disciplina omogenea, atta ad assicurare l'elevato livello di riservatezza richiesto.
In secondo luogo, la gestione dei dati dovrà essere impostata in modo da tener nel massimo conto le esigenze di tutela dei diritti degli interessati, contenendo il numero degli incaricati che avranno accesso ai dati, impartendo loro precise istruzioni sul trattamento e richiamando i doveri di riservatezza cui sono tenuti.
In terzo luogo, lo schema sembra prevedere una conservazione a tempo indeterminato anche dei dati relativi a rapporti con le banche ormai chiusi. Tale ipotesi non è conforme né alle norme sulla privacy (che prevedono la conservazione dei dati per un periodo "non superiore a quello necessario agli scopi per i quali essi sono raccolti") né alla stessa legge n. 413, la quale si riferisce a rapporti di conto o di deposito in corso, anziché cessati. Inoltre, poiché tale legge si riferisce ai dati identificativi delle persone che intrattengono rapporti di conto e di deposito, e non a questi ultimi, la denominazione di "anagrafe dei rapporti di conto e di deposito" sembra impropria.
La previsione di accesso ai dati per "l'espletamento di attività di prevenzione" si presta, poi, ad equivoci. Si dovrà chiarire che l'accesso non è genericamente possibile per indefinite attività di prevenzione, ma solo per quelle puntualmente previste dalle norme (ad esempio, in materia tributaria).
Infine, devono essere perfezionate le clausole volte a tutelare il segreto d'ufficio, la riservatezza dei dati e la loro indebita utilizzazione. L'Autorità ha evidenziato che non appare corretto individuare una serie tassativa di finalità che giustificano l'accesso all'anagrafe, ma, poi, prevedere una generica possibilità che i dati siano ulteriormente utilizzati in altri procedimenti sia pure nel rispetto di disposizioni di legge.
Il regolamento deve prevedere espressamente che le richieste di accesso siano accompagnate dall'indicazione delle finalità e del procedimento di riferimento, senza la quale non sarebbe possibile verificare la legittimità della richiesta e, all'occorrenza, del successivo utilizzo dei dati.

LA NUOVA LEGGE SPAGNOLA SULLA PROTEZIONE DEI DATI.
E' attualmente in discussione al Congreso, il Senato spagnolo, il progetto governativo di Legge Organica di protezione dei dati personali che recepisce la direttiva europea 95/46.Il progetto di legge contiene rilevanti novità rispetto alla normativa precedente, la Legge Organica sul Trattamento dei Dati Personali  (LORTAD). 
Rispetto alla LORTAD, l'ambito delle eccezioni al regime di riservatezza è stato ridotto e le materie escluse dall'applicazione della legge riguardano soltanto gli archivi personali o domestici, le banche dati sottoposte al segreto di Stato, gli archivi riguardanti il terrorismo e la criminalità organizzata. Si dovrà, comunque, provvedere a comunicare all'Agenzia di Protezione dei Dati Personali (APD) l'esistenza, le caratteristiche e le finalità di questo tipo di archivi. 
La nuova redazione della legge mantiene la distinzione tra le banche di dati pubbliche e quelle private, e quindi anche tutte le eccezioni preesistenti in favore dell'amministrazione pubblica. Vale a dire: a) la possibilità di comunicare dati ad altre amministrazioni quando lo disponga una norma; b) la possibilità per la polizia di trattare dati sensibili col solo criterio delle "necessità delle indagini in corso"; c) la possibilità di vietare l'accesso, la rettificazione, o la cancellazione dei dati per "le necessità delle indagini in corso" o quando l'accesso rappresenti un ostacolo all'adempimento degli obblighi fiscali e, in ogni caso, quando l'interessato sia oggetto di attività ispettiva.
Viene prevista l'eccezione all'obbligo di rendere l'informativa al momento della raccolta quando questa informazione possa "impedire o ostacolare" le funzioni amministrative di controllo o verifica  nel caso di illeciti amministrativi. 
Vengono considerati dati sensibili i dati personali che rivelano le convinzioni  ideologiche, l'appartenenza sindacale, religiosa o filosofica. Questo tipo di dati possono essere trattati esclusivamente con il consenso espresso e scritto dell'interessato. 
Per i dati riguardanti l'origine razziale, la salute e la vita sessuale non è necessario il consenso scritto. La legge si limita a parlare di "consenso espresso". Queste informazioni possono essere raccolte, utilizzate e comunicate se il trattamento è previsto da una norma basata sull'interesse generale.
E' consentito il trattamento dei dati sensibili "disociados", cioè resi anonimi, a fini medici e sempre che il personale che li tratta sia soggetto all' obbligo della riservatezza. Nei casi nei quali l'interessato sia un incapace dal punto di vista giuridico, o non possa fisicamente dare il suo consenso, i dati sensibili potranno essere, comunque, trattati quando si tratta di tutelare l'incolumità fisica dell'interessato o di un'altra persona.
La nuova legge amplia le regole riguardanti il marketing. Viene prevista l'informativa all'interessato, viene sancito il diritto di accesso ai propri dati e il diritto di opposizione al trattamento.
Viene regolarizzata, per la prima volta, l'utilizzazione del cosiddetto "Censo promocional". Le aziende che operano nel campo del marketing diretto, della pubblicità, della vendita a distanza potranno utilizzare questa lista speciale, detenuta dall'Istituto Nazionale di Statistica, che include esclusivamente nome, cognome, e indirizzo. I cittadini avranno il diritto di far cancellare in qualsiasi momento dalla lista i propri dati.

IL  CYBERSPAZIO  E'  UN  LUOGO  DI  "PUBBLICA ACCOGLIENZA" ?
(articolo di C.S. Kaplan sul New York Times On the Web  www.nytimes.com del  12 novembre)
Al centro della causa per discriminazione (del tutto senza precedenti) intentata la scorsa settimana contro America Online da una grossa organizzazione per la tutela dei non-vedenti c'è un quesito di ordine giuridico di facile formulazione, ma assai difficile da definire: ossia, se il servizio di AOL rappresenti un "luogo di pubblica accoglienza" ai sensi della American with Disabilities Act (ADA) [Legge sugli Americani portatori di handicap] - una legge fondamentale a tutela dei diritti dei portatori di handicap.
Si tratta di un quesito importante per le imprese che lavorano con Internet, perché se la risposta fosse affermativa, allora AOL, e probabilmente altri fornitori di servizi Internet ed altri siti Web, sarebbero soggetti alla rigida normativa della Legge, che si applica ai luoghi di pubblica accoglienza.
Se le cose stessero così, le società online dovrebbero garantire che i servizi offerti siano ragionevolmente accessibili ai non-vedenti e ad altri portatori di handicap, così come avviene per auditorium o ristoranti. I costi inerenti a tale adeguamento non sono chiari, benché secondo alcuni sostenitori dei diritti dei portatori di handicap gli accorgimenti necessari non comportino difficoltà tecniche o costi eccessivi.
Il punto dolente è, ovviamente, che i servizi di AOL non vengono forniti in una struttura fisica quale può essere un negozio. Ma fa veramente differenza? I legali specializzati nella materia tendono a dare risposte diverse, e finora non esiste giurisprudenza specificamente riferita al quesito in oggetto.
Tuttavia, i legali su entrambi i fronti hanno individuato alcuni possibili criteri di valutazione.
C'è un caso del 1994 in cui era stata intentata un'azione legale in base alla ADA contro un'associazione privata che gestiva un programma sanitario. La Corte di Appello del I distretto, a Boston, valutò se la definizione di "strutture di pubblica accoglienza" si limitasse a strutture fisiche vere e proprie; la Corte ritenne che "la definizione non è di portata così ridotta", affermando che una società assicuratrice, la quale fornisca servizi per via telefonica o postale, poteva essere considerata un luogo di pubblica accoglienza ai sensi dell'ADA.
"Sarebbe assurdo giungere alla conclusione che chi entra in un ufficio per acquistare un servizio sia tutelato dalla Legge, mentre chi acquista gli stessi servizi per via telefonica o postale non goda di tale tutela", scrisse il collegio giudicante nel caso in esame (Carparts c. Automotive Wholesaler's Association of New England). "Non è possibile che il Congresso abbia inteso giungere ad un risultato di tale assurdità."
Michael M. Masinter, professore di diritto presso la Nova Southeastern University di Fort Lauderdale, Florida, ed esperto della materia, ha dichiarato che la sentenza Carparts rappresenta il motivo primario per cui la National Federation of the Blind ha citato in giudizio AOL dinanzi al tribunale distrettuale di Boston, il quale è vincolato dalla decisione adottata in merito dalla Corte di Appello del I distretto. A Boston "[AOL] non ha certo il vento in poppa", ha dichiarato Masinter.  
Masinter ha segnalato, però, che di recente altre due Corti di Appello federali hanno espresso riserve sulla sentenza nel caso Carparts, interpretando il termine "pubblica accoglienza" nella ADA come riferito esclusivamente a strutture fisiche vere e proprie.
Daniel F. Goldstein, uno dei legali della Federation, ha riconosciuto che alcune decisioni prese dalla Corte del I distretto facevano di Boston "un buon posto" per intentare la causa, ma ha anche affermato che i suoi clienti avevano scelto il Massachusetts perché i tribunali di quello Stato hanno già una notevole dimestichezza con i temi legati alle nuove tecnologie. Inoltre, alcuni dei clienti non-vedenti che abitano nella regione avevano espresso disappunto per l'inaccessibilità dei servizi di AOL.
L'Americans with Disabilities Act del 1990 prevede, in linea generale, che datori di lavoro, amministrazioni statali e locali e tutti i luoghi di pubblica accoglienza offrano servizi o strumenti ragionevoli atti a garantire che non vi siano discriminazioni dovute alla presenza di handicap. Il Capo III della Legge, relativo ai luoghi di pubblica accoglienza, definisce l'espressione "pubblica accoglienza" tramite una serie di esemplificazioni. Viene fornito infatti un elenco di "soggetti privati" ai quali si applicano le disposizioni della Legge, fra cui hotel, cinema, stadi, lavanderie a gettone, banche, barbieri e agenzie di viaggio. La Legge raggruppa i numerosi esempi citati in 12 categorie generali, quali "luoghi di ospitalità", "luoghi di esibizione e intrattenimento" e "strutture di servizio". Nella causa contro AOL, i legali della National Federation of the Blind e gli altri ricorrenti hanno argomentato che il servizio offerto da AOL rappresenta una forma di "pubblica accoglienza" ai sensi del Capo III della Legge in quanto si tratta di "un luogo di esibizione e intrattenimento, un luogo di pubblica adunanza, una struttura di vendita e noleggio, una struttura di servizio, un luogo di pubblica esibizione, un luogo di educazione ed un luogo di ricreazione."
Secondo la Federation, il servizio di AOL fornisce a milioni di clienti un rapido accesso al Web oltre a posta elettronica, "gruppi di discussione", bacheche elettroniche ecc.Ma si tratta di servizi la cui utilizzazione risulta sostanzialmente impossibile per i non-vedenti, in quanto il software di AOL sarebbe in gran parte incompatibile con "programmi di accesso allo schermo" che traducono il testo sul monitor in un messaggio verbale o in Braille e che vengono utilizzati dai non-vedenti. Il Prof. Masinter, che ha rappresentato in giudizio numerosi portatori di handicap, ha dichiarato in un'intervista di ritenere che AOL non sia un luogo di pubblica accoglienza - nonostante la sentenza Carparts.
"Per gestire un luogo di pubblica  accoglienza, bisogna gestire una sede fisica presso la quale si rechi una certa parte della clientela per svolgere determinate transazioni con il fornitore del servizio o prodotto", ha affermato. "Tutti gli esempi menzionati nella Legge, dalla pensione al negozio del barbiere, possiedono la caratteristica di essere luoghi fisici."
La posta in gioco è molto alta, perché se i giudici daranno ragione alla National Federation of the Blind chiunque offra beni o servizi o idee nel cyberspazio "diventerà un potenziale convenuto" in una causa intentata ai sensi dell'ADA, secondo Masinter.
"Credo che sarebbe un bel pasticcio", ha detto, aggiungendo però che, pur ritenendo che l'ADA non imponga ad AOL di fare in modo che i propri servizi siano pienamente accessibili ai non-vedenti, AOL dovrebbe farlo perché "è la cosa giusta".
Goldstein, il legale della Federation, ha invece difeso l'argomentazione secondo cui AOL è tenuta giuridicamente ad adeguarsi alle prescrizioni dell'ADA.
"E' evidente che il Congresso intendeva ampliare il più possibile il campo di applicazione del Capo III [della Legge], e non c'è alcuna caratteristica di fisicità implicita nell'espressione "pubblica accoglienza", né nel nome né nell'aggettivo," ha dichiarato. "Nella comune accezione di soggetto privato che offre servizi al pubblico, [il servizio di AOL] rappresenta una forma di pubblica accoglienza." Goldstein ha aggiunto che altri concetti giuridici legati alla nozione di "luogo" non sono necessariamente limitati a luoghi fisici. Ad esempio, nella legislazione relativa al I emendamento, il concetto di "sede pubblica" in cui non è possibile da parte del Governo alcuna irragionevole limitazione della libertà di espressione non è limitato ad auditorium o arene di calce e mattoni, ma può comprendere anche altre sedi di natura intangibile - fra cui il cyberspazio.
Un portavoce di AOL ha rifiutato ogni commento sul merito della causa, dichiarando soltanto che la società è impegnata nella messa a punto di software di nuova generazione che faciliterà l'accesso dei non-vedenti ai servizi offerti.
AOL dispone di 20 giorni, dalla data di ricevimento della citazione, per presentare una comparsa di risposta. La citazione è stata notificata mercoledì scorso, ha dichiarato Goldstein.

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Largo del Teatro Valle, 6 - 00186 Roma. Tel: 06/6818637 - Fax: 06/6818663