GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno I - n.32     6 - 12 marzo 2000

Il Garante informa:
E' lecito comunicare dati sullo stato d'insolvenza delle imprese.……..pag.1
Matrimoni e diritto di cronaca ………………………………….……..pag.1
Misure di sicurezza : non occorrono nuove notifiche……………….. pag.2
Il corpo diventa password……..………………………………………pag.2 

E' LECITO COMUNICARE DATI SULLO STATO D'INSOLVENZA DELLE IMPRESE
La comunicazione di dati sulla solvibilità e sullo stato d'insolvenza di un'impresa è conforme alla legge sulla privacy e può avvenire anche senza il consenso dell'azienda interessata.
Lo ha stabilito il Garante in un provvedimento con cui ha respinto il ricorso presentato da una società commerciale che intendeva opporsi alla diffusione, da parte di un'impresa creditrice, di informazioni sulla propria situazione patrimoniale. La contestazione riguardava il riferimento ad un presunto stato di insolvenza contenuto in una lettera inviata, per il tramite di un legale, dall'impresa creditrice ad un'altra società situata all'estero allo scopo di diffidarla dal pagare un debito a sua volta contratto con la società ricorrente.
Riaffermando principi contenuti in precedenti provvedimenti, l'Autorità ha rigettato il ricorso dichiarando infondata la richiesta di far cessare il trattamento di dati acquisti e comunicati senza il consenso previsto dalla legge sulla privacy. Le informazioni relative alla solvibilità o allo stato di insolvenza di un'impresa, al pari di quelle riguardanti i crediti e i debiti, rientrano infatti tra i dati attinenti allo svolgimento di attività economiche, che possono essere utilizzati e divulgati anche senza il consenso delle società. 
L'Autorità ha, inoltre, respinto le considerazioni sulla mancata notificazione del trasferimento dei dati all'estero da parte dell'avvocato della società creditrice, poiché il trattamento di informazioni riguardanti le persone giuridiche non è soggetto a notifica e comunque il libero professionista (l'avvocato, in questo 

caso) non è tenuto a notificare i trattamenti di dati svolti nell'ambito delle proprie attività professionali. 
Il Garante ha respinto anche la richiesta, avanzata dalla società ricorrente, di poter ottenere una rettifica delle informazioni patrimoniali in possesso della controparte sul suo stato d'insolvenza, nonché sulla sussistenza e sull'ammontare del credito. L'Autorità ha rilevato infatti la genericità della richiesta per la mancanza sia di indicazioni circostanziate sulle correzioni da apportare, sia di documenti atti a comprovare i dati esatti sulla situazione patrimoniale dell'impresa. 
Ha ricordato, infine, che ulteriori istanze relative agli eventuali danni subiti a causa della divulgazione delle informazioni potranno comunque essere fatte valere innanzi al giudice ordinario.

MATRIMONI  E  DIRITTO DI CRONACA
I media possono pubblicare notizie riguardanti gli annunci di matrimonio anche senza il consenso degli interessati, ma i nominativi dei futuri sposi devono essere tratti dalle pubblicazioni affisse nell'albo pretorio. E' invece illegittima la prassi di dare diretta comunicazione o diffusione continuativa di queste informazioni agli organi di stampa da parte degli uffici di stato civile. 
E' quanto viene ribadito  da un provvedimento con cui il Garante ha respinto il ricorso presentato da due giovani che si erano rivolti all'Autorità per denunciare la presunta violazione della disciplina sulla tutela della riservatezza da parte di un quotidiano locale che aveva riportato, contro la loro volontà, la notizia del matrimonio traendola dalle pubblicazioni affisse in comune. 
Il Garante ha, infatti, ricordato che la diffusione dei dati contenuti negli annunci matrimoniali affissi all'albo pretorio è lecita e conforme alle disposizioni in materia di privacy poiché risponde a un obbligo di legge volto a rendere nota la volontà dei nubendi  e a consentire eventuali opposizioni da parte degli interessati. Le pubblicazioni contengono informazioni che possono essere visionate da chiunque e che sono suscettibili di essere trattate a fini giornalistici anche senza il consenso degli interessati purché ciò avvenga nel rispetto dei limiti del diritto di cronaca posti a tutela della riservatezza e dei principi fissati dal codice deontologico. 
E', invece, da considerarsi illegittima la prassi seguita dagli uffici comunali di fornire direttamente a terzi dati o elenchi dello stato civile con modalità diverse da quelle espressamente previste dalle leggi o dai regolamenti.  La normativa in materia di registri dello stato civile e di atti anagrafici non consentiva, infatti, già prima dell'entrata in vigore della legge sulla privacy la possibilità di 
trasmettere  le liste delle pubblicazioni matrimoniali agli organi di informazione. 
Per quanto riguarda tali pubblicazioni valgono, pertanto, gli stessi principi già stabiliti dal Garante in precedenti provvedimenti relativi al divieto di comunicare ai media i nominativi dei nati e dei deceduti.

L'ADOZIONE DELLE MISURE DI SICUREZZA NON COMPORTA L'OBBLIGO DI UNA NUOVA NOTIFICA 
L'adozione delle misure minime di sicurezza, che a partire dal prossimo 29 marzo soggetti pubblici e privati dovranno predisporre per adeguarsi alle norme introdotte dal regolamento n. 318/1999 per prevenire trattamenti illeciti o dispersioni dei dati personali, non comporta l'obbligo di ripresentare la notifica a suo tempo inviata al Garante per segnalare l'esistenza di un trattamento. 
Con un provvedimento approvato il 29 febbraio 2000 e ora in corso di pubblicazione in Gazzetta Ufficiale, l'Autorità ha chiarito alcuni aspetti applicativi della nuova normativa in materia di sicurezza rispetto agli altri adempimenti previsti dalla legge sulla privacy. 
La legge n. 675 del 1996, infatti, prevede che le notificazioni sull'esistenza di trattamenti di dati personali, da comunicare al Garante prima del loro inizio e per una sola volta a prescindere dal numero di archivi e di operazioni da svolgere, debbano però essere aggiornate in caso di variazione di uno degli elementi essenziali della notifica. Tra questi elementi figura anche una descrizione delle misure organizzative, fisiche e logiche, adottate per la sicurezza dei dati da fornire attraverso una serie di indicazioni. 
Per evitare che l'applicazione delle nuove norme sulla sicurezza comporti la necessaria rettifica delle precedenti comunicazioni, e allo scopo quindi di semplificare l'attuazione della legge, il Garante ha dunque stabilito che i soggetti che hanno notificato i trattamenti dei dati personali prima del 29 marzo 2000 non dovranno presentare una nuova dichiarazione, qualora abbiano adottato, nel rispetto dei nuovi obblighi, le misure di sicurezza previste dal regolamento n. 318/99. Una specifica avvertenza verrà, infatti, inserita in tal senso nel riquadro relativo alla descrizione delle misure di sicurezza del modello di notificazione già approvato dal Garante. 
Per chi debba comunque effettuare nuove notificazioni si potrà in ogni caso continuare ad utilizzare la modulistica già in circolazione (disponibile presso uffici postali e altri soggetti convenzionati, come Internet provider, associazioni di categoria, editori), in attesa che entro la fine dell'anno l'Autorità aggiorni il modello di notifica alla luce delle novità introdotte e dell'esperienza acquisita. 
Va ricordato che l'obbligo di notifica non riguarda numerose attività svolte nell'ambito di categorie espressamente esonerate dalla legge n. 675/96 e, tra queste, gli artigiani, i piccoli imprenditori, i liberi professionisti, le associazioni e le fondazioni senza scopo di lucro, la comune gestione degli adempimenti fiscali, contabili e retributivi e i condomini.

IL CORPO DIVENTA PASSWORD
 (articolo tratto da Handelsblatt del 29 febbraio)
Oggi non è raro vedere portafogli che quasi scoppiano tanto sono stracolmi di carte di credito, biglietti da visita e blocchetti per assegni. Guai a chi si dimentica il PIN o la password corrispondente: non potrà pagare quello che ha comprato, né ritirare il contante di cui ha bisogno dal distributore automatico.
Un aiuto potrebbe giungere dalla biometria – che utilizza a fini identificativi le caratteristiche fisiche e personali. Si tratta di elementi che (a differenza di password, carte intelligenti e codici segreti) non possiamo né dimenticare né, tantomeno, perdere. I procedimenti biometrici riconoscono i singoli soggetti sulla base di caratteristiche quali le impronte digitali, la voce, il volto, gli occhi (iride o retina) e la firma. In futuro si potranno addirittura controllare gli accessi sulla base del patrimonio genetico.
In linea di principio le varie procedure funzionano tutte allo stesso modo. I parametri biometrici vengono rilevati da sensori che confrontano alcune specifiche caratteristiche con un campione di riferimento preregistrato – e in genere memorizzato in una banca dati. Quello che si ottiene è un enunciato probabilistico, dato che le rilevazioni biometriche sono imprecise per loro stessa natura. L’amministratore di sistema può però determinare il livello di sicurezza aumentando o riducendo i limiti di tolleranza riferiti alla comparazione dei dati.
I sistemi sinora disponibili erano molto costosi, e pertanto trovavano impiego solo in ambiti ove era richiesta la massima sicurezza – ad esempio, centri di calcolo, carceri. I costi nel frattempo sono però scesi, ed è quindi divenuto redditizio anche l’impiego su larga scala. Le applicazioni possibili riguardano distributori automatici di contante, casse, PC, attività di commercio elettronico e antifurto per auto. Il sistema basato sul riconoscimento delle impronte digitali trova già impiego diffuso nello Stato indiano del Gujarat: le autorità locali hanno infatti distribuito 200.000 patenti di guida su carte con microchip, prodotte dalla ditta tedesca Orga Kartensysteme s.r.l.; ne arriveranno vari altri milioni. Nel chip è memorizzata l’impronta digitale; l’obiettivo è di stroncare il traffico di patenti falsificate su carta.
Ciascun procedimento ha punti forti e punti deboli. Ad esempio, la scansione delle impronte digitali è ritenuta particolarmente sicura, dato che persino gemelli monovulari presentano impronte digitali diverse. Inoltre, mentre per la scansione del viso o degli occhi occorre guardare a lungo nella telecamera, per rilevare un’impronta digitale sono sufficienti poche frazioni di secondo. Il sistema viene però rifiutato da molti perché deriva, in ultima analisi, dai metodi investigativi seguiti dalla polizia criminale. Per contro, i sistemi basati sul riconoscimento della firma sono i più esposti al rischio di errori, in quanto la firma di una stessa persona può variare in misura considerevole a seconda delle circostanze.
I critici vedono nelle tecniche biometriche l’avvento del Grande Fratello alla Orwell. Ma persino i tutori della privacy si pronunciano a favore della bio-sorveglianza, chiedendo che i dati particolarmente sensibili siano protetti attraverso le nuove tecnologie – visto che le password possono essere individuate con estrema facilità.
Al Cebit di Hannover le ditte presentano fino al 1° marzo tutte le ultime novità. La Infineon Technologies presenta, ad esempio, il “Fingertip”: 65.000 elettrodi misurano la distanza esatta fra chip di rilevamento e superficie dell’epidermide. Sulla base di tali dati si ricava un’immagine in bianco e nero di cui si memorizzano le caratteristiche specifiche. Le applicazioni possibili vanno dal mouse e dalla tastiera del computer fino alle chiavi di casa o di una camera d’albergo e alla chiave di accensione dell’automobile. Oltre a proteggere da possibili furti, l’obiettivo è di realizzare alcuni interventi come la selezione automatica di programmi radio o la regolazione del sedile e dello specchietto retrovisore nell’auto.Il costo di “Fingertip” è di 20 dollari a partire da un ordinativo di 100.000 pezzi. 
Con il nome di On-Card Matching, Giesecke & Devrient presentano invece un loro prodotto basato sul riconoscimento delle impronte digitali. Come segnalato da Oliver Zeller, manager della produzione per i sistemi aperti che utilizzano carte intelligenti, non esiste un prodotto “finito”. La società di Monaco collabora con Veridicom, nata da una costola di Lucent Technologies. Mentre Veridicom ha prodotto il sensore ed il software, Giesecke produce la carta, programma il sistema operativo nel chip e lo inserisce nella carta. Il vantaggio del sistema consiste, secondo Zeller, nel fatto che le informazioni personali non sono memorizzate in una banca dati, ma sulla carta stessa: i pirati informatici non possono quindi avervi accesso. Gli ambiti di applicazione vanno dalle assicurazioni agli ospedali, alle banche, ai telefonini e al commercio elettronico.
La società berlinese DCS AG offre il BioID Soho, basato sulla combinazione di rilevazioni biometriche del volto, della voce e dei movimenti labiali. Attualmente questo sistema di controllo dell’accesso ai PC è disponibile a partire da un costo di 6.000 marchi per i sistemi ad architettura client-server; in futuro dovrebbe essere disponibile per gli utenti finali a meno di 250 marchi. Il ZN s.r.l (Centro per la neuroinformatica), sorto per iniziativa dell’Università della Ruhr di Bochum, ha potenziato il sistema di riconoscimento del volto già messo a punto (Face System) dotandolo di una telecamera ad infrarossi. Quest’ultima controlla, sulla base dei valori termici rilevati, che non si tenti di ottenere l’accesso in modo truffaldino presentando all’occhio della telecamera una foto. Il sistema costa circa 20.000 marchi. Oltre all’utilizzazione in installazioni di massima sicurezza e per fini di polizia, il Centro mira ad un settore dalle potenzialità sinora inesplorate: i servizi di ricerca di un partner tramite foto.

    
NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Largo del Teatro Valle, 6 - 00186 Roma. Tel: 06/6818637 - Fax: 06/6818663