GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno I - n.26    24 - 30 gennaio 2000

Il Garante informa:
Privacy e tagliandi. L'Autorità detta le regole e avvia procedimenti……pag.1 
Accesso gratuito ad Internet e tutela dei dati……………………………pag.2
Gli Stati Uniti intendono tutelare la privacy on line	……………………pag.3
La Corte Suprema USA sui dati personali nelle patenti di guida….…..pag.4

TROPPE VIOLAZIONI IN TAGLIANDI, TESSERE  E SCHEDE DI PARTECIPAZIONE A CONCORSI A PREMI. L'AUTORITA' GARANTE DETTA LE REGOLE E AVVIA PROCEDIMENTI
Tagliandi e coupon offerti da negozi e supermercati, benzinai e società di servizi, depliant, lettere e  annunci pubblicitari per partecipare a lotterie, estrazioni di premi e offerte di regali, schede per abbonamenti a riviste e periodici, questionari per ricerche di mercato o collegati a tessere per clienti affezionati, ma anche lettere di adesione ad associazioni e annunci di offerte di lavoro sui giornali non rispettano, nella maggioranza dei casi, la privacy dei cittadini e dei consumatori.  Infatti, diversi di questi moduli, nel richiedere  dati anagrafici o altri tipi di informazioni personali, eludono o contraddicono troppo spesso la legge sulla protezione dei dati personali.
Lo ha affermato l'Autorità Garante per la protezione dei dati personali, che ha deciso di avviare alcuni procedimenti per comminare sanzioni amministrative per violazione della legge n.675 del 1996 e si è anche riservata, nei casi più gravi, di informare l'autorità giudiziaria di eventuali violazioni penali da parte delle aziende e degli organismi che trattano dati senza aver acquisito il necessario consenso degli interessati. Verranno effettuate, inoltre, dall'Ufficio verifiche caso per caso, anche ai fini di eventuali provvedimenti di blocco o divieto del trattamento dei dati.
L'intero settore della promozione era da tempo sotto monitoraggio da parte dell'Autorità, la quale, anche su segnalazione di molti cittadini, ha esaminato un notevole numero di esemplari di contrassegni, tagliandi, cartoline, schede e moduli relativi ad 

iniziative commerciali o promozionali di prodotti o servizi, con i quali si chiede agli interessati di fornire 
alcuni dati anagrafici, recapiti telefonici e telematici, informazioni sull'attività svolta, sul nucleo familiare o su gusti e preferenze. 
E poiché il fenomeno ha assunto dimensioni significative, il Garante ha effettuato un esame complessivo, esprimendo rilievi e fornendo alcuni suggerimenti, in modo da consentire alle aziende di rispettare meglio, nei singoli casi, gli obblighi di trasparenza, lealtà e correttezza che la legge sulla privacy prevede.

Il primo rilievo fondamentale dell'Autorità è quello relativo alla mancanza di informazione nei confronti dei clienti. Ogni organismo che raccoglie dati deve anzitutto informare in modo adeguato gli interessati, così da consentire loro di conoscere con precisione lo scopo  per il quale i dati vengono utilizzati e poter, quindi, acconsentire al loro uso, ove ciò sia necessario, in piena consapevolezza.
Sebbene fin dall'inizio della propria attività l'Autorità abbia fornito a più riprese precise indicazioni a coloro che raccolgono dati a fini pubblici e privati, un numero cospicuo dei modelli in circolazione non risponde ai requisiti previsti dalla legge sulla protezione dei dati. In particolare, per quanto riguarda l'informativa da fornire ai cittadini e l'acquisizione del consenso da parte degli interessati. I modelli, infatti, sono spesso privi di un'adeguata informativa ai clienti, presentano vistosi errori e carenze, non prevedono il consenso degli interessati quando questo è obbligatorio oppure lo richiedono con formule lacunose o senza prevedere una manifestazione di volontà espressa in positivo.
Il Garante ha, pertanto, indicato gli obblighi minimi da rispettare suggerendo, anche soluzioni operative per favorire una maggiore uniformità nell'adozione di schemi e modelli da parte delle aziende.

Informativa ai cittadini
I coupon sono spesso privi di qualsiasi informativa dalla quale l'interessato possa ricavare indicazione sui diritti a tutela della privacy o sono incompleti nel riportare i riferimenti obbligatori per legge. Ciò può essere verificato, in particolare, dall'esame di alcune cartoline con affrancatura a carico del destinatario, inserite in annunci pubblicitari apparsi su quotidiani e periodici, nonché su materiali inviati per corrispondenza o consegnati a domicilio, con i quali è possibile ricevere, (indicando alcuni dati) prodotti, offerte e servizi, o informazioni dettagliate al riguardo. 
L'Autorità ha chiarito che l'azienda ha l'obbligo di:
•	informare in ogni caso gli interessati, in maniera chiara e sintetica 
•	fornire prima l'informativa anziché contattare successivamente l'interessato, dopo aver ricevuto i dati e l'eventuale consenso
•	specificare gli scopi per i quali i dati sono raccolti ed utilizzati e se i dati richiesti sono obbligatori o facoltativi
•	chiarire se  i dati verranno anche ceduti a terzi e, in questo caso, indicare le categorie dei destinatari
•	recare il richiamo all'esercizio dei diritti previsti per gli interessati dall'art.13 della legge sulla privacy (accesso ai dati, rettificazione, cancellazione ecc.), e fornire l'indicazione dei riferimenti nonché dei recapiti telefonici dell'ufficio  o del servizio presso cui esercitare tali diritti.

Consenso da parte degli interessati
Spesso, nei casi in cui è indispensabile, agli interessati non viene richiesto il consenso per la raccolta e l'utilizzazione dei dati, tanto che queste raccolte di dati risultano illecite e possono anche integrare gli estremi di un reato. In altri casi, invece, la formula di consenso non è conforme alla legge n.675, in quanto spesso risulta:
•	non supportata da un'idonea informativa che consenta la manifestazione libera e consapevole del consenso
•	espressa o documentata in forma negativa, come mera possibilità di esprimere un dissenso o di barrare una casella per la rinuncia o l'opposizione ad ulteriori contatti o comunicazioni commerciali
•	superflua per una prestazione che non richiede consenso (come, ad esempio, l'invio di un regalo) o, invece, non prevista per una serie di finalità per le quali è obbligatoria (uso da parte di terzi).

Offerte di lavoro sui giornali
Le indicazioni fornite dall'Autorità per l'ampia casistica di coupon con finalità promozionali valgono anche per le offerte di lavoro riportate su quotidiani e periodici. Anche in questo settore, il Garante ha riscontrato analoghi casi di assenza di idonee informative e richieste di consenso.
Infatti, viene chiesto spesso ai candidati interessati a partecipare ad una selezione di personale, di inviare un curriculum, la cui ricezione comporta una raccolta di dati, come avviene per i coupon.
E' quindi necessario che anche le offerte di lavoro rechino la prevista informativa (che, peraltro, potrebbe essere fornita agevolmente attraverso i bandi o i capitolati che contengono i requisiti richiesti per l'assunzione). La mancanza di tali informative, rende non valide le dichiarazioni di consenso che sono spesso richieste per l'utilizzazione dei curricula. 

Il Garante ha, di conseguenza, richiamato l'attenzione di tutti gli operatori interessati al rispetto dei principi stabiliti facendo presente che il trattamento di dati raccolti in contrasto con tali principi è illecito.
Ha annunciato, inoltre, che avvierà altri accertamenti su ulteriori casi, analoghi alle tipologie in questione, per assicurare il rispetto delle norme sulla privacy. In particolare, saranno oggetto di specifici provvedimenti alcuni casi segnalati all'Autorità, riguardanti questionari di indagine sui consumi o il rilascio di tessere per clienti affezionati, la cosiddetta  "fidelizzazione".

SERVIZI DI ACCESSO GRATUITO AD INTERNET E TUTELA DEI DATI. LE LINEE GUIDA DEL GARANTE
In occasione di un procedimento di indagine avviato nei confronti del servizio "Libero" di Infostrada, il collegio del Garante  ha affrontato in generale il tema della raccolta e dell’utilizzazione di dati personali nell'ambito dei servizi di accesso gratuito ad Internet offerti dagli operatori nel settore delle telecomunicazioni.
L'Autorità ha anzitutto chiarito che, fermo restando il rispetto della volontà dei cittadini e dei consumatori di accettare la cessione di dati identificativi o attinenti a gusti, preferenze ed interessi, per ottenere gratuitamente determinati servizi, gli interessati devono, però, essere  messi in grado di esprimere le proprie scelte in maniera consapevole e libera. Per questo è necessario che anzitutto ricevano tutte le informazioni necessarie per comprendere appieno le finalità e le modalità del trattamento dei dati, compresi quelli che vengano acquisiti successivamente. E l'informativa al cliente va data sempre, anche quando non gli venga chiesto alcun consenso.
Va, inoltre, verificato se alcuni dati richiesti come obbligatori dalle aziende, siano realmente indispensabili all'attivazione del servizio.
Il procedimento su "Libero" di Infostrada è stato avviato dall’Autorità nel luglio dello scorso anno in seguito ad alcune segnalazioni concernenti il lancio del nuovo servizio di accesso gratuito ad Internet, per la cui attivazione occorre rilasciare diverse informazioni di carattere personale relative anche ai propri gusti ed interessi. Nell’ambito di tale servizio è stato, inoltre, previsto un monitoraggio delle connessioni ai siti visitati dagli abbonati, svolto per individuare le loro preferenze (attraverso la determinazione dei loro profili di consumatori, la cosiddetta  "profilazione") e per programmare l’invio di messaggi pubblicitari sulle e-mail degli abbonati.
In proposito, le segnalazioni pervenute all’Autorità hanno prospettato un contrasto con la disciplina sulla privacy, con particolare riguardo alla insufficienza delle informazioni fornite agli interessati, alla possibilità di raccogliere i dati sui siti frequentati (con eventuale conoscenza di informazioni relative, ad es., a salute, vita sessuale, opinioni politiche o sindacali, convinzioni religiose o filosofiche) e di controllare se i messaggi pubblicitari inviati dalla società vengano effettivamente letti dagli abbonati.
Durante l’istruttoria, la società ha eliminato varie anomalie ed incongruenze presenti nei documenti sottoposti al potenziale cliente al momento dell’iscrizione e ha specificato che l'analisi degli accessi ai siti verrà svolta su un catalogo predefinito dalla stessa società  (che non comprende siti nei quali sono trattati argomenti da cui sono ricavabili dati “sensibili"). Non verrà, invece, effettuata alcuna verifica del ricevimento e della visualizzazione dei messaggi pubblicitari da parte dei clienti.
Il Garante, tuttavia, ha ritenuto necessario che alcuni profili relativi alle informazioni e ai documenti, sottoposti al cliente al momento della richiesta del servizio, venissero rivisti e ha fornito, al riguardo, alcune indicazioni da ritenersi valide anche per tutti gli altri operatori che offrono servizi analoghi, in via di rapidissima espansione.
In particolare, l’Autorità ha sottolineato che l’informativa ai clienti deve essere:
•	collocata prima della richiesta di registrazione dei propri dati;
•	riferita a tutti gli aspetti del complessivo trattamento svolto dal fornitore nell’ambito del servizio (anziché ai soli profili relativi a finalità commerciali o di marketing), riepilogando in maniera chiara e sintetica le notizie che sono magari sparse nel contratto;
•	integrata con un richiamo, anche sintetico, ai diritti di accesso attribuiti agli interessati dalla legge 675 (art. 13) e con l'indicazione dell'ufficio presso cui esercitare tali diritti.
Occorre infine precisare meglio tutte le categorie di ulteriori aziende, alle quali verranno eventualmente comunicate le informazioni. Queste ultime, a loro volta, dovranno acquisire il consenso degli interessati.
In relazione ad altri aspetti, connessi ai dati relativi ai siti consultati dagli abbonati, nel confermare la necessità che la società Infostrada assuma tutte le misure idonee ad evitare una raccolta di informazioni sensibili, il Garante si è, nel caso concreto, riservato di verificare il catalogo dei siti predisposto dalla società, non appena disponibile, e le attività ad esso collegate, una volta rese operative. 
Il Garante ha, infine, segnalato alla società Infostrada  la necessità di fornire a ciascun utente già abbonato al servizio il nuovo testo di informativa messo a punto per i futuri clienti, assicurando ai vecchi abbonati la possibilità di esprimere nuovamente il consenso e revocare le precedenti manifestazioni di volontà. 
L'Autorità ha disposto che copia del provvedimento venga trasmesso anche ad altri operatori che offrono servizi analoghi allo scopo di sensibilizzarli ad un maggiore rispetto della normativa sulla protezione dei dati personali.

GLI STATI UNITI INTENDONO TUTELARE LA PRIVACY ON LINE
 (articolo pubblicato su USA Today del 20 gennaio)
Gli USA stanno valutando un numero senza precedenti di provvedimenti di legge per tutelare la privacy online.
Governatori, procuratori generali e alcuni fra i più autorevoli parlamentari premono per l’introduzione di provvedimenti – e talora di emendamenti della Costituzione USA – che consentano di arrestare la diffusione di informazioni di fonte governativa, finanziaria, sanitaria ovvero ricavate da Internet.
L’ultima proposta, in ordine di tempo, è quella presentata la scorsa settimana dal procuratore generale di Washington Christine Gregoire, e prevede norme ad ampio raggio per tutelare i diritti in materia di privacy. La settimana precedente i legislatori di Maryland, Minnesota e Utah hanno proposto un pacchetto di norme assai articolato. La prossima settimana sarà il procuratore generale di New York, Eliot Spitzer, ad unirsi al gruppo.
Secondo Spitzer, “il nostro diritto fondamentale alla privacy è stato quasi del tutto eroso dai rapidi progressi dell’informatica”.
Questo fervore legiferativo fa seguito ad alcuni rapporti dai quali si evince che spesso è proprio la pubblica amministrazione a fungere da procacciatrice di dati personali. La scorsa settimana, la Corte Suprema degli USA ha stabilito che è legittimo vietare agli Stati di vendere dati personali relativi ai possessori di patenti di guida.
Alcune delle proposte formulate:
 privacy finanziaria: almeno una dozzina di Stati stanno cercando di impedire alle banche di condividere le informazioni con soggetti affiliati quali compagnie di assicurazione e di intermediazione mobiliare. Inoltre, intendono imporre l’obbligo di ottenere il consenso dei clienti prima di cedere ad altri le informazioni che li riguardano.
 privacy sanitaria: sono più di 20 gli Stati che intendono affrontare il tema assai delicato della tutela delle informazioni mediche contenute in basi di dati. Dodici Stati hanno norme di legge che prevedono la riservatezza delle cartelle cliniche dei pazienti.
 privacy online: diversi Stati vogliono impedire alle società operanti su Internet di vendere dati personali ottenuti seguendo le tracce elettroniche lasciate dalla clientela. Chi decidesse di farlo, dovrebbe dichiarare le vendite effettuate. Vari Stati sono inoltre impegnati a regolamentare l’invio della cosiddetta posta-spazzatura. Virginia, Washington e California dispongono già di norme specifiche in materia.
Le aziende che vivono della possibilità di accedere a dati personali sono contrarie a questi programmi in materia di privacy.
“In un’economia dell’informazione come quella in cui viviamo, l’informazione è il carburante che fa funzionare tutto il sistema”, ha dichiarato Stephen Altobelli dell’Associazione degli operatori di marketing diretto.

LA CORTE SUPREMA DEGLI STATI UNITI HA STABILITO CHE GLI STATI NON POSSONO VENDERE I DATI PERSONALI CONTENUTI NELLE PATENTI DI GUIDA
(articolo pubblicato sull' International Herald Tribune del 13 gennaio)
Lo scorso mercoledì, la Corte Suprema ha stabilito all’unanimità che è legittimo vietare agli Stati la diffusione dei dati personali forniti dai cittadini per ottenere la patente di guida.
Nell’esaminare una controversia seguita con grande attenzione e che mette in luce i timori per la privacy nell’era elettronica, i giudici della Corte hanno confermato la validità di una legge federale che vieta agli Stati di vendere indirizzi, numeri di telefono ed altre informazioni inserite nelle richieste della patente di guida.
Nel caso in questione, la Carolina del Sud, sostenuta da numerosi altri Stati, aveva eccepito l’incostituzionalità della Legge sulla tutela della privacy dei guidatori, del 1994, in quanto invasiva della sfera di competenza statale. La corte di appello per il IV distretto aveva dato ragione alla Carolina del Sud, giudicando che il Congresso aveva violato i principi del federalismo.
Tuttavia, la Corte Suprema ha stabilito che la legge in oggetto non viola i diritti degli Stati – in ciò non uniformandosi, sorprendentemente, alla giurisprudenza pregressa che aveva sempre visto la Corte contraria a leggi federali che interferissero nell’attività degli Stati.
Nel parere, redatto dal presidente William Rehnquist, si afferma che la legge sulla privacy trova il proprio fondamento nel potere del Congresso di regolamentare le attività commerciali interstatali: “Le informazioni tratte dalle patenti di guida, che gli Stati da vario tempo mettono in vendita, vengono utilizzate da compagnie di assicurazione, aziende, società di marketing diretto e altri soggetti che svolgono attività commerciali interstatali per contattare i guidatori proponendo offerte personalizzate”.
Nell’esaminare il tema più ampio connesso alla sfera di competenza dell’amministrazione statale e federale, Rehnquist ha stabilito che la legge sulla privacy è diversa da due leggi importanti (sul periodo di attesa per la concessione dell’acquisto di armi da fuoco e in materia di regolamentazione ambientale) delle quali la Corte ha recentemente dichiarato l’illegittimità in quanto dettano norme di comportamento applicabili ai funzionari dei singoli Stati.
La Legge sulla tutela della privacy dei guidatori “regolamenta l’attività degli Stati in quanto titolari di basi di dati”, ha rilevato il presidente della Corte nel testo del parere. “Essa non impone agli organi legislativi della Carolina del Sud di approvare leggi o regolamenti, né prevede che i funzionari dello Stato collaborino nell’attuazione di leggi federali applicabili a soggetti privati”.

    
NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Largo del Teatro Valle, 6 - 00186 Roma. Tel: 06/6818637 - Fax: 06/6818663