GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno I - n.20    29 novembre - 5 dicembre 1999

Il Garante informa:
Protezione dei dati e misure minime di sicurezza nelle aziende…………...pag.1
Le associazioni non possono nascondere i propri iscritti………………….pag.2
Le telefonate in entrata e in uscita sono dati personali	…………………...pag.2
Videosorveglianza in Germania.Critiche dalle Autorità per la privacy…	.pag.2
Il tribunale di Monaco assolve  Compuserve…………………………….	pag.3 
Le forze dell'ordine di Internet…………………………………………..pag.3

PROTEZIONE DEI DATI E MISURE MINIME DI SICUREZZA NELLE AZIENDE
Claudio Manganelli, componente del Garante per la protezione dei dati personali e Giovanni Buttarelli, segretario generale dell'Autorità, sono intervenuti al seminario organizzato dalla Confindustria  il 29 novembre sulle misure minime di sicurezza per il trattamento dei dati personali.
Il complesso di accorgimenti e cautele di tipo organizzativo e tecnologico che le imprese, così come la pubblica amministrazione, devono adottare al fine di evitare la dispersione, la perdita o l'uso illecito dei dati contenuti nei loro data base, rappresenta uno degli adempimenti più importanti previsti dalla legge n.675 del 1996,  la cui individuazione è stata affidata al regolamento n.318 del luglio 1999.
Il regolamento stabilisce che tali misure debbano essere adottate entro il 29 marzo 2000 ed è viva, pertanto, l'attenzione del mondo delle imprese ai problemi di adeguamento. L'incontro tecnico ha avuto, quindi, lo scopo di dissipare, attraverso il confronto e il dialogo con il Garante, dubbi interpretativi e difficoltà di applicazione delle norme.
Nella sua relazione, Manganelli ha messo in luce come la legge sulla privacy offra oggi per la prima volta la grande opportunità di definire una metodologia aziendale capace non solo di promuovere una reale cultura della protezione dei dati, ma anche di salvaguardare un patrimonio aziendale, quale quello rappresentato, appunto, dalle informazioni in possesso delle imprese, evitando danni economici e di 

immagine. "La verifica delle misure minime idonee a garantire la sicurezza dei dati deve avvenire - ha affermato Manganelli - innanzitutto sul campo, attraverso il monitoraggio delle modalità organizzative e l'aggiornamento costante a livello tecnologico".
Buttarelli ha, invece, affrontato il nodo dei vari adempimenti e delle sanzioni, dando rassicurazioni sui possibili rischi. "Il fine del regolamento non è - ha dichiarato - quello di stabilire la "politica" complessiva di un'azienda riguardo alla sicurezza, ma solo quello di far scattare le sanzioni penali per chi non adotta neanche le misure minime di sicurezza fissate dalla legge sulla privacy ". Inoltre, il marcato carattere transitorio del regolamento, il quale deve essere aggiornato ogni due anni, testimonia la volontà del legislatore di correggere le eventuali difficoltà applicative e di consentire un rapido adeguamento delle norme alle veloci conquiste tecnologiche.
Nello sviluppo di una cultura della protezione dei dati, ha ricordato Buttarelli, un ruolo fondamentale avrà la formazione del personale.
Nel dibattito che è seguito alle relazioni, è emersa la consapevolezza che le misure per la sicurezza e la protezione dei dati non devono essere viste come un vincolo ma come un'occasione di crescita, che consente una maggiore trasparenza dei flussi di informazioni, la revisione delle attività svolte e delle procedure di gestione e il riordino degli archivi.

LE ASSOCIAZIONI NON POSSONO NASCONDERE I PROPRI ISCRITTI
Un’associazione non può opporsi alla pubblicazione dei nomi dei propri iscritti, a meno che non vi sia stata una espressa delega da parte degli interessati. 
Il principio è stato affermato dal Garante nella decisione di un ricorso presentato dal rappresentante legale di un’associazione. Questi aveva chiesto ad un quotidiano locale di bloccare la annunciata pubblicazione degli elenchi degli iscritti all’associazione.
Nell’esaminare il caso, il Garante ha affermato che non è ipotizzabile, né previsto dalla legge n.675 del 1996, un diritto dell’associazione ad esercitare i diritti che rientrano nella personale disponibilità di ciascun interessato, a meno che essa possa dimostrare l’esistenza di una specifica delega del singolo associato. 
Poiché nella modulistica di adesione dell’associazione non risulta esservi una specifica delega, né è stata fornita al Garante la documentazione comprovante il conferimento di tale delega da parte degli iscritti, il ricorso è stato dichiarato inammissibile.
L’Autorità ha spiegato che il dato dell’adesione a qualsiasi associazione appartiene senz’altro a quest’ultima come riflesso della libera scelta del singolo che conferisce i dati. Tuttavia, la pura e semplice adesione, al di fuori delle ipotesi di delega o procura espressa, non può sottrarre all’interessato la possibilità di far valere diritti tipicamente personali, come quelli previsti dall’art.13 della legge sulla privacy (diritto di accesso, rettifica, aggiornamento dei dati, opposizione al loro trattamento ecc). 
Per di più, trattandosi di diritto di cronaca, l'interessato, per impedire la pubblicazione, dovrebbe dimostrare l'esistenza di un motivo legittimo.

LE TELEFONATE IN ENTRATA E USCITA SONO DATI PERSONALI
La legge sulla privacy permette all’abbonato di accedere ai dati di traffico sia in entrata sia in uscita dalle proprie utenze telefoniche, senza necessità di un’autorizzazione o di altro provvedimento giudiziario.
Lo ha chiarito il Garante, in risposta alla segnalazione di un cittadino che, dovendo tutelare un suo diritto in sede giudiziaria, aveva chiesto invano ad un gestore telefonico, il rilascio della documentazione del traffico telefonico in entrata e in uscita relativamente ad un’utenza a lui intestata. 
L’Autorità, ribadendo quanto stabilito in diversi provvedimenti in materia di telecomunicazioni, ha specificato che rientra  nella nozione di dato personale 
“qualunque informazione relativa all’interessato” (art.1 della legge n.675 del 1996) e, come tale, se richiesta, essa deve essere messa a disposizione.
Il diritto di accesso deve essere esercitato dall’interessato direttamente nei confronti del titolare o 

del responsabile del trattamento, personalmente o tramite un terzo cui sia stata conferita delega o procura per iscritto.
Nel caso in cui il gestore telefonico non dia soddisfazione alla richiesta ci si può rivolgere all’autorità giudiziaria o al Garante.
Il Garante ha precisato che non è legittimo, invece, l’accesso diretto a dati relativi a utenze intestate a terzi, i quali restano conoscibili esclusivamente tramite provvedimento giudiziario

LE AUTORITA' TEDESCHE PER LA PROTEZIONE DEI DATI PERSONALI CRITICANO IL NUMERO ECCESSIVO DI IMPIANTI DI VIDEOSORVEGLIANZA
(Articolo pubblicato sulla Frankfurter Allgemeine Zeitung del 20 novembre)
Il numero crescente di videocamere utilizzate per la sorveglianza di luoghi pubblici costituisce un pericolo per i diritti fondamentali e quindi, nel lungo periodo, per la democrazia: questa è l'opinione delle autorità garanti della protezione dei dati personali in Germania. Chi è costretto a sentirsi continuamente sotto osservazione non può sviluppare una vera coscienza civile, ha affermato Bäumler - l'incaricato per la protezione dei dati dello Schleswig-Holstein - lo scorso venerdì a Wiesbaden. Per quanto possa essere giustificata la videosorveglianza di parchi, piazze o centri commerciali in rapporto alle specifiche circostanze, le centinaia di migliaia di videocamere costituiscono nel loro complesso una struttura in grado di incidere sul libero sviluppo della società civile e sull'ordinamento democratico. Bäumler ha chiesto regole precise per l'utilizzazione della videosorveglianza, la cui tecnologia ormai sfugge all'ambito di applicazione della legislazione in materia di protezione dati. Associata all'utilizzo di computer che permettono il riconoscimento del volto e sono quindi in grado di seguire in modo mirato determinate persone, essa consente "l'industrializzazione della sorveglianza". E' per tale motivo che le videocamere impiegate per questi scopi devono essere chiaramente visibili, e che occorre indicare chi le abbia installate - ha affermato Bäumler. Inoltre deve essere fornita al cittadino una possibilità di ricorso, e questa funzione potrebbe essere attribuita alle Autorità per la protezione dei dati personali. Bäumler ha riconosciuto che molti cittadini si sentono più sicuri nei luoghi sottoposti a sorveglianza, ed è perciò che le autorità di protezione devono sottolineare con più forza i pericoli per i diritti fondamentali. "Accanto ad ogni videocamera deve esserci una targa con la frase 'Registrazione in corso' ", ha dichiarato l'incaricato dell'Assia per la protezione dei dati, von Zezschwitz. C'è bisogno di una legge sulla protezione dei dati che si applichi anche alla registrazione di questi dati, e non soltanto alla loro diffusione, e che riconosca con più forza l'importanza dei diritti fondamentali.

IL TRIBUNALE DI MONACO ASSOLVE  COMPUSERVE
(Articolo pubblicato sulla Frankfurter Allgemeine Zeitung  del 18 novembre)
Nel processo senza precedenti per la diffusione su Internet di materiale pornografico riguardante minori, il Tribunale di Monaco ha assolto Felix Somm, l'ex-dirigente per la Germania della Compuserve (il servizio on-line americano). Sia l'ufficio del pubblico ministero sia la difesa, avevano già chiesto l' assoluzione di Somm.  Somm era stato condannato in prima istanza a due anni di reclusione ed al pagamento di un'ammenda di 100.000 marchi per la diffusione di contenuti pornografici, benché anche in quell'occasione il pubblico ministero e la difesa ne avessero chiesto l' assoluzione. 
L'avvocato dell'accusa, Franz von Hunoltstein, ha dichiarato durante il processo che per l'ex-manager il blocco dei materiali pornografici offerti su Internet  non sarebbe stato né ragionevole né possibile. 
Il processo costituisce un precedente importante per il futuro delle imprese on-line in Germania, poiché per la prima volta è stata emessa una sentenza sulla responsabilità dei fornitori di servizi Internet rispetto ai contenuti inseriti da terzi nella Rete.

LE FORZE DELL'ORDINE DI INTERNET
(Articolo pubblicato sul Financial Times del 19 novembre)
A chi spetta fare il poliziotto che dirige il traffico su Internet e, soprattutto, c'è veramente bisogno di questi tutori dell'ordine? Internet mette in discussione i concetti tradizionali di giurisdizione basati su fattori geografici, e domande di questo tipo sono ormai il rovello di giudici, legislatori e forze dell'ordine di tutto il mondo. Ma è difficile trovare risposte coerenti.
Il dilemma trova la propria sintesi nella valutazione del ruolo dei fornitori di servizi su Internet (ISP), che connettono gli utenti al Web. Si tratta di capire se gli ISP debbano essere considerati responsabili, ai sensi di legge, per il materiale presente sui siti Web ai quali essi forniscono l'accesso, ovvero debbano essere considerati alla stregua di semplici vettori che non rispondono in alcun modo dei contenuti.
Divisioni profonde su questo punto stanno vanificando gli sforzi dell'UE di mettere a punto una direttiva sul commercio elettronico. Anche i giudici sono impegnati a fare chiarezza in materia. La scorsa settimana, un tribunale tedesco ha cassato la condanna di un ex-dirigente della Compuserve che non aveva impedito l'accesso a siti Web contenenti materiale pornografico su minori, con la motivazione che non avrebbe avuto i mezzi per farlo. Tuttavia, nel Regno Unito, una decisione preliminare relativa ad una causa contro Demon (un altro ISP) sembra indicare che quest'ultimo possa essere ritenuto responsabile per non aver eliminato la connessione con un sito Web dopo essere stato informato che conteneva materiale diffamatorio.

L'argomentazione a favore della responsabilità degli ISP è che, in caso contrario, Internet di fatto non sarebbe soggetto alle norme nazionali che invece si applicano ad altri media. L'argomentazione a sfavore è che gli ISP non possono avere conoscenza, né tantomeno la responsabilità, dei contenuti di ogni singola pagina Web che i propri clienti decidono di visitare. Prenderli di mira per il semplice fatto che i soggetti dai quali i materiali provengono sono al di fuori della portata del diritto nazionale costituisce una forma ben curiosa di giustizia.
Si può affermare che è diverso il caso dell'ISP che rifiuti di togliere dal Web determinati materiali dopo aver saputo che hanno natura illecita. Ma cedere a richieste del genere senza prove conclusive a sostegno potrebbe costituire un pericoloso precedente. Come minimo, potrebbe esporre gli ISP all'attenzione molesta di qualche burlone o di qualche cliente irritato. Nella peggiore delle ipotesi, cedere su questo terreno potrebbe aumentare la vulnerabilità degli ISP rispetto a forme più subdole di pressione di parte governativa.
E' da vedere se le autorità nazionali possano mai regolamentare tutto quello che c'è su Internet. Ma minacciare gli ISP che non collaborano potrebbe dare luogo ad un'auto-censura assai malsana. Basta questa motivazione per opporsi alla voglia di far passare norme onnicomprensive che permettano di gestire tutto ciò che viene considerato strano o eccessivo sul Web.
Ad ogni modo, esistono approcci alternativi. La tecnologia permette ai genitori di impedire ai figli l'accesso a determinate pagine Web, e i gestori più seri di siti Web sono fortemente motivati ad ottenere la fiducia degli utenti più accorti attraverso un'autodisciplina efficace.
Ovviamente ci saranno sempre problemi che sfuggono a questo tipo di soluzioni. Internet ha modificato i rapporti tradizionali fra ordine pubblico e diritto alla libertà di espressione; tuttavia, in linea di principio, se si deve fare una scelta è a quest'ultimo che bisogna dare la precedenza.

	                 

    
NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Largo del Teatro Valle, 6 - 00186 Roma. Tel: 06/6818637 - Fax: 06/6818663