GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno II - n.41    15 - 21 maggio 2000  www.garanteprivacy.it

Il Garante informa:
Il Garante fissa le modalità per ispezioni e controlli.…………………….pag.1
Forum PA. Cinque convegni su privacy e pubblica amministrazione…..pag.1
Clinton propone norme di legge che potenzino la tutela della privacy….pag.4

IL GARANTE FISSA LE MODALITA' PER ISPEZIONI E CONTROLLI
Il Garante ha fissato le modalità e i principi in base ai quali si svolgeranno, fino alla fine del mese di giugno,  i controlli e le verifiche presso i soggetti privati e le pubbliche amministrazioni che effettuano trattamenti di dati personali. 
I criteri dell'attività ispettiva sono contenuti nella delibera n. 2/2000 che ne definisce il programma in base al principio di pubblicità e trasparenza delle scelte operate e ad una serie di priorità che tengono conto, tra l'altro, delle risorse a disposizione dell'Autorità. 
La legge sulla privacy prevede, in particolare, che il Garante possa disporre accessi alle banche dati o altre ispezioni e verifiche presso i titolari del trattamento avvalendosi della collaborazione di altri organi dello Stato quando ciò sia necessario per assicurare la tempestività, la speditezza e la completezza degli interventi. 
Dall'attività di accertamento può scaturire l'applicazione di sanzioni amministrative e, nei casi più gravi, anche il blocco dei dati e la sospensione immediata di una o più operazioni del trattamento con denuncia alla magistratura nel caso in cui emergano fatti di rilevanza penale.
Tenendo conto della necessità di indirizzare i controlli verso i settori di applicazione della legge in relazione ai quali il Garante ha ricevuto il maggior numero di segnalazioni, è stato stabilito che metà degli interventi debba riguardare i reclami presentati dai cittadini o dalle associazioni che li rappresentano per denunciare presunte violazioni del diritto alla riservatezza. Un quarto dell'attività ispettiva, da ripartire equamente tra soggetti privati ed organismi pubblici, riguarda, invece, le verifiche disposte  dal Garante nel caso in cui si sospettino delle irregolarità. 
Questi controlli vengono eseguiti su autorizzazione del presidente del tribunale competente o con il preventivo assenso del titolare o del responsabile del trattamento (che deve essere informato dell'attività ispettiva) e scattano quando l'Autorità non ritiene opportuno procedere alla richiesta di informazioni o all'invio di documenti oppure nel caso in cui quelli già ricevuti siano risultati incompleti o non veritieri. 
Gli accertamenti, ai quali i soggetti interessati sono tenuti a collaborare, non possono essere iniziati prima delle ore sette e dopo le ore venti e possono essere eseguiti anche con preavviso quando non sussista il rischio di una dispersione o di un'alterazione degli elementi di prova. 
Un quarto degli interventi del Garante è, infine, destinato all'esecuzione di accertamenti per verificare lo stato di attuazione della legge da parte di amministrazioni ed enti pubblici o soggetti privati. Questi ultimi controlli sono effettuati, di regola, con preavviso o richiedendo il preventivo assenso scritto ed informato dei titolari o dei responsabili dei trattamenti. I principi e i criteri fissati con la delibera sull'attività ispettiva saranno aggiornati con cadenza periodica.    

IL  GARANTE AL FORUM PA 2000. CINQUE CONVEGNI SU PRIVACY E PUBBLICA AMMINISTRAZIONE   
Quest'anno il Forum della P.A., che si è svolto dall'8 al 12 maggio,  ha dedicato  cinque convegni al rapporto tra privacy e pubblica amministrazione. I cinque convegni, coordinati e presieduti dai componenti  e dal segretario generale dell'Autorità, hanno permesso di approfondire, sotto diversi profili, aspetti e tematiche riguardanti l'applicazione della legge n.675 del 1996. Segue una sintesi degli interventi tenuti dai membri del Garante nell'ambito dei singoli incontri.
Pubblica amministrazione e privacy: un nuovo rapporto con il cittadino
Al convegno dell'8 maggio - cui hanno partecipato il Sottosegretario all'Industria Stefano Passigli, il Presidente dell'Aipa, Guido Rey, il professore Stefano Sepe - il Presidente del Garante, Stefano Rodotà, ha innanzitutto sottolineato come la privacy rappresenti, nella sua accezione più piena ed evoluta, un'opportunità per garantire trasparenza nella gestione dei dati contenuti nelle banche dati pubbliche e private e per reimpostare in termini di rispetto e dignità il rapporto con i cittadini e i consumatori.
Illustrando i dati di un'indagine commissionata dal Garante per verificare la conoscenza, la percezione e l'utilizzo della normativa di tutela dei dati personali, Stefano Rodotà ha rivelato che il 37% dei cittadini, un italiano su tre, nutre dubbi sull'utilizzo che la pubblica amministrazione fa dei dati personali. Tale percentuale sale al Nord (40%) rispetto al Centro (35%) e al Sud (31%). Per quanto riguarda il settore privato, la ricerca ha messo in rilievo che il 47,3% degli italiani teme un uso a fini ignoti dei propri dati forniti alle imprese. "Dall'indagine - ha osservato Rodotà - si capisce che le persone registrano un uso più aggressivo dei propri dati da parte delle aziende private. Ma non è affatto un indicatore soddisfacente che un terzo dell'opinione pubblica non abbia fiducia nell'uso dei dati personali da parte della pubblica amministrazione".
Lo sviluppo dei servizi in rete nella P.A. rappresenta "più un'opportunità che un rischio" per ricostruire un rapporto di fiducia tra cittadino e pubblica amministrazione e tra imprese e consumatori proprio attraverso la protezione dei dati personali. Rodotà ha portato l'esempio della crescita dell'e-commerce negli Stati Uniti dove esistono alcune società, come la BbOnLine e la Trustee, che certificano la sicurezza dei siti in base alle garanzie di privacy offerte. "Se i privati nei mercati evoluti sono in grado di vendere il proprio rispetto della privacy - ha concluso Rodotà - è necessario che anche la pubblica amministrazione utilizzi questa carta per assicurare un elemento di valore aggiunto ai propri servizi".
Privacy e giustizia
"Non tutti i trattamenti di dati personali effettuati da parte degli uffici giudiziari, del CSM e del Ministero della giustizia esulano dall'ambito di applicazione della legge sulla privacy. Occorre pertanto integrare questa legge con ulteriori norme che aiutino a fare chiarezza sui molti nodi ancora da sciogliere". Il Vice-presidente del Garante Giuseppe Santaniello ha richiamato l'attenzione sulle carenze del quadro legislativo riguardante la tutela della riservatezza rispetto all'attività giudiziaria nel convegno del 12 maggio cui hanno partecipato il Sottosegretario alla Giustizia Rocco Maggi, il Direttore generale del Dipartimento dell'Amministrazione penitenziaria Gian Carlo Caselli, il Presidente dell'Unione Camere Penali Giuseppe Frigo e il Consigliere di Stato, Gianpiero Paolo Cirillo.
"In linea generale - ha osservato Santaniello - le esigenze connesse all'interesse della giustizia sono prioritarie rispetto a qualunque altro interesse. Per questo motivo il diritto alla privacy incontra delle specifiche limitazioni sia in ambito processuale, sia in relazione all'attività svolta per la prevenzione, l'accertamento o la repressione dei reati". Ciò, tuttavia, non esclude che possano esistere delle situazioni che espongono i cittadini al rischio di possibili violazioni della loro riservatezza. "Il Garante - ha precisato Santaniello -  ha contribuito al chiarimento di molti punti controversi stabilendo, per esempio, che i principi di pertinenza e non eccedenza nel trattamento dei dati valgono anche nei confronti di un ufficio giudiziario quando negli atti di un'indagine penale compaiono anche i dati anagrafici di persone diverse dall'indagato e soprattutto se queste informazioni riguardano la salute, le opinioni politiche, religiose o sindacali di un individuo". L'Autorità ha inoltre stabilito che la tutela delle riservatezza non incide sulla conoscibilità del calendario dei processi o sulla pubblicità delle udienze o degli atti processuali che sono regolate dal codice e da altre norme processuali, mentre sono sicuramente applicabili alle banche dati utilizzate in ambito giudiziario le norme sull'adozione delle misure minime di sicurezza volte ad evitare il rischio della distruzione o perdita, anche accidentale dei dati, e il pericolo di accessi non autorizzati.  "In una materia in continua evoluzione ed espansione" - ha però avvertito Santaniello - "vi è l'esigenza di produrre norme capaci di corrispondere alle istanze della società e ai valori dell'ordinamento". E alcuni dei problemi da affrontare a livello normativo riguardano anche l'area extrapenale e in particolare l'istruzione delle prove nel processo civile. "Come è stato fatto osservare anche da una parte della dottrina - ha concluso Santaniello - se la produzione di scritture e documenti pubblici nel processo civile non pone alcun problema di violazione della privacy, questioni di lesione della riservatezza possono sorgere quando vengono prodotte in giudizio scritture private o altre prove documentali".
Privacy e dati sanitari
"L'applicazione della legge sulla privacy nel settore sanitario è a metà del guado. Nelle strutture mediche e ospedaliere sono ancora diffuse le situazioni in cui la dignità dei malati viene violata". Lo ha detto il professor Ugo de Siervo, al convegno del 9 maggio cui sono intervenuti il Presidente del Consiglio Superiore di Sanità Mario Condorelli, il presidente della Federazione Nazionale degli Ordini dei Medici Chirurghi ed Odontoiatri Aldo Pagni e Maria Paola Costantini del Tribunale del malato. "L'esperienza di questi anni - ha detto De Siervo - ci ha molto preoccupato. La rigidità iniziale della legge n.675 del 1996, peraltro attenuata dall'emanazione del decreto legislativo n.282 del 1999 che ha integrato e ampliato le disposizioni riguardanti l'uso dei dati sensibili in ambito sanitario, spiega, infatti, solo in parte le resistenze opposte all'applicazione della nuova disciplina sulla riservatezza. "Il rispetto della privacy - ha aggiunto De Siervo  - è innanzitutto un valore che deve entrare nei comportamenti reali delle categorie professionali anche attraverso il superamento di una situazione anomala dal punto di vista normativo. Questa anomalia è rappresentata dal fatto che in attesa del regolamento di attuazione del decreto legislativo n. 282/99 si continuano ad applicare le disposizioni formalmente abrogate della legge n. 675/96". Per quanto riguarda l'adeguamento della disciplina sull'uso dei dati sensibili nelle strutture sanitarie pubbliche De Siervo ha anticipato che è stata istituita presso il Ministero della sanità la commissione incaricata di redigere l'apposito regolamento ministeriale. "Questo provvedimento, su cui dovrà esprimersi anche il Garante con un parere - ha detto De Siervo - permetterà di snellire alcune procedure come quella sull'acquisizione, previa adeguata informativa, del consenso del malato che potrà essere espresso anche in forma orale e documentato per iscritto dall'operatore sanitario con una propria sigla. Altra novità sarà rappresentata dalla possibilità di rendere anonime le ricette per le prescrizioni mediche". Per quanto riguarda il rapporto tra privacy, uso dei dati sensibili e comportamento delle categorie professionali, De Siervo ha, infine, reso noto, che "la Federazione dell'Ordine dei medici ha fatto pervenire al Garante la prima bozza del codice deontologico che dovrà disciplinare la materia". 
Privacy e nuove tecnologie
"La diffusione nella P.A. di carte elettroniche intelligenti come quella d'identità o quella sanitaria, impone l'adozione di regole che consentano di bilanciare il diritto di accesso ai dati personali con quello della riservatezza". Lo ha affermato l'ing. Claudio Manganelli, al convegno del 10 maggio cui hanno preso parte il Capo di gabinetto dell'AIPA. (Autorità per l'informatica nella pubblica amministrazione), Francesco Cocco, il direttore generale della Società di Servizi Interbancari (Ssb), Marco Bellinzoni, e Paolo Bizzarri del Mipa, consorzio per lo sviluppo del management e dell'innovazione tecnologica nella P.A. "Le carte a micro-circuito" - ha osservato Manganelli - "offrono notevoli vantaggi in termini di semplificazione amministrativa e di accesso ai servizi pubblici, ma comportano anche dei rischi e, in primo luogo, la possibilità che ai dati personali in esse contenuti possano accedere non solo soggetti pubblici, ma anche privati non titolati, attraverso un sistema aperto di reti informatiche. L'uso di carte polivalenti o polifunzionali per l'accesso 'on-line' ai servizi pubblici implica, quindi, la definizione di regole che impediscano la diffusione o l'uso illecito delle informazioni contenute nelle diverse sezioni logiche della carta, soprattutto se queste informazioni riguardano dati personali sensibili come quelli sulla salute". "La velocità dei processi di informatizzazione e l'interconnessione tra le diverse basi dati - ha aggiunto Manganelli - rende necessaria la definizione di un sistema di regole uniforme e valido per tutte le amministrazioni. Occorre aprire un confronto tra tutti i soggetti interessati per stabilire i livelli di accesso e quelli di riservatezza. Per quanto riguarda la legge sulla privacy - ha precisato il componente dell'Autorità - l'opportunità di un primo adeguamento è offerta dalla delega conferita al Governo per completare la disciplina sulla riservatezza relativamente ai servizi di comunicazione e informazione forniti dalla P.A. per via telematica". Un ulteriore rischio, secondo Manganelli, è rappresentato dalla tendenza imitativa delle pubbliche amministrazioni a creare grandi banche dati contenenti informazioni già in possesso di altri archivi. 
Privacy ed efficienza della P.A.
"Privacy ed efficienza della P.A. non sono incompatibili ma è necessaria una maggiore attenzione ai principi di trasparenza, finalità e pertinenza dei dati trattati". Il richiamo ad un maggior rispetto della legge sulla privacy è venuto dal Segretario generale dell'Autorità Garante per la protezione dei dati personali, Giovanni Buttarelli, al convegno dell'11 maggio che si è svolto con la partecipazione del Comandante generale della Guardia di Finanza Rolando Mosca Moschini, del Procuratore nazionale antimafia aggiunto Vittorio Borraccetti, del Sottosegretario alle Comunicazioni Vincenzo Vita e del senatore Antonino Caruso della Commissione Giustizia del Senato. "All'euforia informatica che ha caratterizzato il nostro Paese dal '92 al '96 - ha affermato Buttarelli - è seguito un panorama frastagliato di banche dati, senza la dovuta attenzione alla selettività delle informazioni trattate e alla compatibilità tra le finalità perseguite al momento della raccolta dei dati e quelle curate dalle altre amministrazioni destinatarie delle informazioni. Economicità, efficienza e potenziamento dei supporti a fini decisori sono esigenze fuori discussione, tuttavia, le problematiche della riservatezza non possono essere ridotte al solo profilo della sicurezza. In più - ha proseguito il Segretario generale - c'è un fenomeno recente che  porta alla creazione di banche dati di notevoli dimensioni e su scala nazionale, che potrebbero essere poi interconnesse facilmente anche attraverso il codice fiscale, offrendo così la possibilità di ricostruire una completa fisionomia delle persone in termini che neanche gli interessati sarebbero in grado di configurare agevolmente".  "Le nuove tecnologie - ha detto Buttarelli - permettono alle amministrazioni di conseguire notevoli vantaggi in termini di efficienza ed efficacia dei controlli ma pongono anche forti interrogativi sul rischio di creare, in futuro, una società della sorveglianza e della classificazione". "La rete unitaria della P.A. - ha osservato Buttarelli - potrà utilmente svilupparsi se il cittadino nutrirà fiducia sui flussi di informazione e sulla loro sicurezza: è quindi necessario trovare un punto di equilibrio". Il tema dell'interconnessione delle banche dati coinvolge diritti fondamentali e, ha concluso Buttarelli, "non può quindi essere risolto solo con misure amministrative presupponendo scelte politiche e un opportuno ruolo del Parlamento". 

CLINTON PROPONE NORME DI LEGGE CHE POTENZINO LA TUTELA DELLA PRIVACY
(articolo pubblicato su The Wall Street Journal Europe del 2 maggio)
Si prevede l’opposizione del settore finanziario
Il Presidente Bill Clinton ha proposto nuove e severe norme che intendono potenziare le tutele previste per la privacy dei consumatori in campo finanziario, divenute legge lo scorso anno.
In un discorso tenuto in occasione dell’apertura dell’anno accademico alla Eastern Michigan University, Clinton ha annunciato una proposta che darebbe ai consumatori nuovi poteri al fine di impedire la condivisione dei rispettivi dati personali da parte di banche, compagnie di assicurazione, società di intermediazione mobiliare e altre imprese finanziarie che siano reciprocamente affiliate.
“Nell’era dell’informazione non possiamo permettere che nuove opportunità comportino l’erosione di diritti fondamentali frutto della storia passata”, ha detto Clinton. “Non possiamo permettere alle conquiste tecnologiche di conquistare la cittadella della privacy”.
Il Ministro del tesoro, Lawrence Summers, dovrebbe sottoporre al Congresso il pacchetto di proposte di legge entro questa settimana. Anche se difficilmente il Congresso si occuperà di un nuovo disegno di legge in materia di privacy nel corso di quest’anno, in vista delle elezioni presidenziali, si tratta di un tema talmente importante per i consumatori che verosimilmente il disegno sarà riesaminato dal Congresso nel prossimo anno. Tuttavia, la proposta – che trova il fermo sostegno del vicepresidente Al Gore – dovrebbe rappresentare uno dei punti di forza della campagna elettorale. Il candidato presidenziale del partito repubblicano, George W. Bush, non ha specificato se ritenga necessaria una tutela più rigida della privacy finanziaria.
Scelte di campo
La normativa in questione rappresenta il campo di battaglia fra associazioni per la difesa dei consumatori, che vogliono l’applicazione immediata di misure più rigide, e le imprese del settore finanziario che si oppongono a gran parte delle proposte dell’Amministrazione e sono tendenzialmente a favore di un approccio più graduale.
“A novembre il Congresso ha approvato norme sulla tutela della privacy finanziaria a livello federale che non hanno precedenti in termini di ampiezza e portata. Dobbiamo lasciare alle banche il tempo di metterle in atto e di vedere come funzionano, prima di pensare a limitazioni ulteriori”, ha dichiarato Karen Thomas, responsabile del servizio affari legislativi presso l’Independent Community Bankers Association.
Frank Torres, consulente legislativo della Consumers Union, ritiene che siano necessarie salvaguardie ulteriori. "La proposta del Presidente va a colmare le lacune lasciate dalla legge approvata lo scorso anno”, ha dichiarato.Quando Clinton, lo scorso anno, firmò una legge che rinnovava profondamente il funzionamento dei servizi finanziari, si impegnò a ricercare gli strumenti legislativi per rimediare a quelle che riteneva essere le deficienze della nuova normativa in termini di tutela della privacy. Ad esempio, la legge di riforma non disciplinava le modalità di condivisione da parte di imprese finanziarie affiliate di dati sanitari particolarmente sensibili.
La legge in questione elimina i vincoli introdotti dalla legge Glass-Steagall all’epoca della Grande Depressione, e permette a banche, società di intermediazione mobiliare e compagnie di assicurazione di costituire conglomerati finanziari “tutto in uno” che offrano sul mercato un’ampia gamma di prodotti – fondi integrativi, certificati di deposito, azioni, obbligazioni. I sostenitori ritengono che la legge porterà notevoli vantaggi per i consumatori, aumentando la comodità delle transazioni, ampliando la gamma di prodotti finanziari disponibili e riducendo i costi di gestione.
In base alla nuova legge sui servizi finanziari, le imprese che condividono dati personali con terzi indipendenti devono informare la clientela sulla politica seguita in materia di privacy. Inoltre, il cliente deve avere la possibilità di informare l’impresa che non desidera che i propri dati personali siano comunicati a terzi – ad esempio, a società di marketing diretto. L’Amministrazione desidera dare ai consumatori un maggiore controllo sulle modalità di condivisione dei dati personali. In base al disegno di legge, banche e compagnie di assicurazione non potranno comunicare dati sanitari senza il consenso del cliente. Vi è il rischio che un’anamnesi clinica sia utilizzata in modo improprio, ad esempio per respingere una richiesta di prestito.
Un passo ulteriore
La proposta andrebbe anche oltre i limiti attualmente fissati per legge, dando ai consumatori il diritto di vietare alle imprese di comunicare a soggetti affiliati informazioni personali di natura finanziaria.
Si tratta di un punto destinato a suscitare polemiche. Durante l’esame della normativa di riforma dei servizi finanziari da parte del Congresso, lo scorso anno, le imprese del settore si sono battute con forza per ottenere la possibilità di condividere informazioni con i soggetti affiliati – affermando che l’utilizzo di informazioni relative alla clientela per operazioni trasversali fra i vari settori finanziari rappresenta uno dei motivi fondamentali alla base della creazione di conglomerati finanziari. L’Amministrazione ha inoltre proposto una norma che vieterebbe alle imprese finanziarie di vendere a società esterne – ad esempio, nel settore del marketing – dati relativi alle abitudini di consumo della clientela. I clienti avrebbero anche il diritto di esaminare e correggere le informazioni finanziarie che li riguardano in possesso delle singole imprese.

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Largo del Teatro Valle, 6 - 00186 Roma. Tel: 06/6818637 - Fax: 06/6818663. Newsletter è consultabile sul sito Internet www.garanteprivacy.it .