GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno II - n.46    19-26 giugno 2000 www.garanteprivacy.it

Il Garante informa:
Entro il 1° ottobre la nuova disciplina sull'uso dei dati genetici…pag.1
Privacy e attestati di  formazione professionale	…………………..pag.1
Codici deontologici: iniziano le audizioni del Garante	…………..pag.2
		UK: progetto di legge per intercettare le e-mail……….…………pag.2 

ENTRO IL 1° OTTOBRE LA NUOVA DISCIPLINA SULL'USO DEI DATI GENETICI
Entro il 1° ottobre del 2000 il trattamento dei dati genetici sarà regolato da un'apposita disciplina. Il Garante ha, infatti, avviato le procedure per l'adozione dell'autorizzazione che, secondo quanto previsto dal decreto legislativo n. 135/99, dovrà stabilire entro questa data le modalità di raccolta, utilizzo e conservazione di questa delicatissima categoria di informazioni.
Il provvedimento avrà valore di carattere generale e sarà approvato dall'Autorità dopo aver sentito il Ministero della Sanità che a tal fine dovrà acquisire uno specifico parere del Consiglio superiore di sanità. L'autorizzazione sarà applicabile a qualunque soggetto pubblico o privato che intenda trattare dati genetici e consentirà di definire alcune questioni ancora aperte dal punto di vista normativo.
Saranno, tra l'altro, disciplinate le finalità e le modalità di raccolta, di utilizzo e di eventuale comunicazione di questi dati; previste misure che consentano all'interessato di esprimere in modo pienamente consapevole il consenso all'uso dei dati, nel caso in cui ciò sia necessario, e norme volte a prevenire possibili abusi o discriminazioni nei suoi confronti o a danno di terzi (ad esempio i familiari).
Altri importanti aspetti che saranno considerati ai fini della predisposizione del provvedimento riguardano l'esigenza di rispettare la volontà di chi non voglia essere eventualmente informato dell'esito di accertamenti genetici che lo riguardano e l'individuazione delle precauzioni da adottare sotto il profilo della sicurezza nel trattamento delle informazioni ed il rispetto del segreto professionale.

Sino al varo delle nuove disposizioni il trattamento dei dati genetici continuerà ad essere regolato dai limiti e dalle prescrizioni contenute nell'autorizzazione n. 
2/1999 relativa all'utilizzo dei dati idonei a rivelare lo stato di  salute e la vita sessuale delle persone.  In base a tali norme il trattamento dei dati genetici è, infatti, consentito solo per le finalità di prevenzione, diagnosi o cura del malato nonché per permettere all'interessato di prendere una decisone libera e consapevole sull'uso dei propri dati o per fornire elementi di prova in sede giudiziaria.

FORMAZIONE PROFESSIONALE: L'EX DIPENDENTE HA DIRITTO DI OTTENERE L'ATTESTATO DEI CORSI FREQUENTATI
Anche gli attestati di qualificazione professionale conseguiti durante il rapporto di lavoro possono costituire dati personali che il dipendente ha diritto di richiedere, in base alla legge sulla privacy, al suo ex datore di  lavoro. Lo ha stabilito il Garante in un provvedimento con cui ha ordinato ad una società di mettere a disposizione di un ex dipendente che si era rivolto all'Autorità lamentando la violazione del diritto di acceso previsto dall'art. 13 della legge n. 675/96, tutte le informazioni personali custodite negli archivi dell'azienda ivi incluse quelle inerenti ai giudizi e alle note di qualifica professionale.
La decisione ha fatto seguito ad un precedente provvedimento con il quale il Garante aveva invitato l'azienda in questione ad aderire all'istanza dell'interessato. Secondo l'autore del ricorso, tuttavia, i dati successivamente forniti dalla società dovevano considerarsi incompleti in quanto mancanti della documentazione relativa ai corsi di formazione frequentati, alla polizza infortuni e, soprattutto, alle valutazioni espresse nei suoi confronti dall'azienda.
L'Autorità è nuovamente intervenuta sulla questione e ha ordinato alla società di dare piena attuazione al provvedimento già emanato in materia, fornendo al lavoratore tutti i dati personali relativi alla sua carriera lavorativa. 
A tale proposito il Garante ha, infatti, chiarito che il diritto di accesso non riguarda solo i dati identificativi dell'interessato, ma tutte le informazioni contenute nel suo fascicolo personale e quindi anche le informazioni inerenti ai giudizi e alle note di qualifica professionale.
Va ricordato che la mancata osservanza dei provvedimenti dell'Autorità è sanzionata penalmente dalla legge sulla privacy e che il Garante ha il potere di intervenire, avvalendosi anche della collaborazione di altri organi dello Stato, per assicurarne l'esecuzione.

CODICI DEONTOLOGICI: INIZIANO LE AUDIZIONI DEL GARANTE
Nelle prossime settimane il Garante avvierà un ciclo di consultazioni con i soggetti pubblici e privati interessati all'adozione dei codici deontologici che disciplineranno il trattamento dei dati personali effettuato per scopi storici, statistici e di ricerca scientifica, per lo svolgimento di investigazioni e l'esercizio del diritto di difesa e per talune finalità in ambito bancario e finanziario. Obiettivo delle riunioni è di avviare un confronto con le associazioni di categoria, gli organismi e gli istituti di ricerca maggiormente rappresentativi che hanno chiesto di partecipare all'elaborazione dei codici di condotta dandone comunicazione all'Autorità entro il 31 marzo scorso, così come previsto da un apposito provvedimento del Garante.
Martedì 27 giugno saranno ascoltate le amministrazioni e gli enti interessati al varo del codice relativo all'uso di dati personali per scopi storici da parte di archivi ed utenti, mentre lunedì 3 luglio sarà la volta delle associazioni professionali ed accademiche che collaboreranno alla stesura delle regole relative al trattamento dei dati personali per finalità statistiche e di ricerca scientifica. Martedì 4 luglio interverranno esponenti del mondo bancario e finanziario in relazione all'iniziativa dell'Autorità di promuovere l'adozione di un codice volto a disciplinare diversi profili applicativi emersi in materia di tutela della riservatezza rispetto a questo settore. Lunedì 10 luglio si terranno le audizioni degli organismi rappresentativi dell'avvocatura e delle società di investigazione privata interessate all'adozione del codice che dovrà disciplinare, come espressamente previsto dalla legge sulla privacy, il trattamento dei dati per lo svolgimento di indagini difensive o per l'esercizio del diritto di difesa in sede giudiziaria. 
L'emanazione di codici deontologici e di buona condotta da parte del Garante è uno dei compiti previsti dalla legge sulla privacy per dare maggiore efficacia ai principi che presiedono alla tutela delle persone rispetto al trattamento dei dati che le riguardano. L'unico sino ad ora adottato è quello relativo all'attività giornalistica, entrato in vigore nell'agosto del 1998. L'iter di approvazione dei codici prevede che l'Autorità verifichi e certifichi attraverso un proprio provvedimento la rispondenza con le leggi e i regolamenti vigenti degli schemi elaborati anche attraverso le osservazioni formulate dalle associazioni di categoria. E' altresì compito del Garante assicurare la diffusione e il rispetto di tali codici deontologici.

UNA NUOVA LEGGE POTREBBE FAR PERDERE ALLE IMPRESE  DEL REGNO UNITO  69 MLD DI DOLLARI
(articolo pubblicato sul Financial Times del 13 giugno)
Studiosi e fornitori di servizi Internet contrari al progetto di legge governativo che consentirebbe l’intercettazione di messaggi privati.
Il progetto di legge governativo che dovrebbe consentire l’intercettazione di messaggi e-mail privati è stato oggetto di critiche ancora più serrate dopo la pubblicazione di un rapporto in cui un gruppo di esperti segnalava che potrebbe costare al Regno Unito 46 miliardi di sterline (pari a 69 miliardi di dollari) facendo sfumare numerose opportunità commerciali; una società ha affermato che potrebbe decidere di trasferirsi in altri Paesi per evitare l’applicazione della normativa in oggetto.
Le critiche provengono dalla London School of Economics e da Claranet, uno dei maggiori fornitori di servizi Internet, con oltre 500.000 utenti, e segnalano un aumento di tono nella campagna contro il progetto di legge, attualmente all’esame della Camera dei Lord inglese.
Tutto questo fa sembrare ancora più probabile che i Pari cercheranno di respingere il progetto – che va sotto il nome di Regolamentazione dei poteri di indagine – a meno che il Governo decida di fare importanti concessioni.
In un lungo rapporto della London School of Economics, si afferma che il progetto probabilmente comporterà una “perdita di fiducia nel commercio elettronico, costi inaccettabili per le imprese e l’economia del Regno Unito, e vincoli onerosi per i diritti delle persone”.
Gli autori del rapporto giudicano che fra il 20 ed il 30% dei trattamenti legati ad Internet ed al commercio elettronico potrebbero essere trasferiti in altri Paesi. In base alle stime elaborate dallo stesso Governo in materia di commercio elettronico, il rapporto (redatto per le Camere di commercio britanniche) valuta questa perdita intorno ai 46 miliardi di sterline entro cinque anni dall’attuazione della normativa. Simon Davies, che ha curato il rapporto, ha dichiarato che “La diffusione delle disposizioni legate alla regolamentazione dei poteri di indagine ha già indotto imprese di affari, multinazionali ed investitori a preferire Paesi ove vigono regimi giuridici diversi. Sappiamo di una società operante su Internet che ha sospeso tutti gli investimenti previsti a Londra proprio a causa del progetto di legge.”
Secondo il rapporto, i nuovi poteri in base ai quali le imprese sarebbero costrette a consegnare le “chiavi” informatiche utilizzate per la cifratura di documenti elettronici privati non potranno che compromettere la sicurezza elettronica delle imprese del RU, e conseguentemente dei rispettivi partner commerciali in altri Paesi. Viene inoltre criticata l’istituzione di un reato cosiddetto “di informazione”, per cui le imprese alle quali fosse richiesto di rivelare le chiavi di cui sopra non potrebbero avvertire i propri partner commerciali per non rischiare la reclusione fino a 5 anni.
Nel rapporto si cita il caso di un’impresa del RU facente parte di un consorzio internazionale che non potrebbe garantire ai propri partner che i documenti inviati nel RU non siano stati letti da terzi.
Gli autori affermano anche che studi precedenti avrebbero sottostimato i costi legati alla realizzazione di sistemi di intercettazione per grandi reti, in particolare a seguito dell’incremento del traffico su Internet. Il Ministero dell’interno valuta tali costi intorno ai 20 milioni di sterline all’anno; gli esperti della London School of Economics ritengono che in questa valutazione non si tenga conto dei costi legati al personale e alle tecnologie necessarie una volta a regime.
Nel frattempo, Steve Rawlinson, amministratore di sistema della Claranet, ha dichiarato che la società stava valutando la possibilità di trasferire in Francia o Germania l’attività di web hosting per poter garantire ai clienti la sicurezza dei rispettivi dati.
Rawlinson ha detto che “E’ abbastanza facile trasferire servizi di web hosting; si tratta soltanto di installare all’estero nuovi server. La società conserverebbe all’estero le chiavi dei clienti. E’ una possibilità che stiamo valutando seriamente, e se lo facciamo noi si può stare sicuri che lo faranno anche i veri criminali, il che vanificherà tutti gli obiettivi del progetto di legge.”
Il governo ribadisce che le disposizioni sono “equilibrate e proporzionate”, ed ha accolto con scetticismo i dati forniti dalla London School of Economics. Ha dichiarato di avere ascoltato numerosi esperti in materia, e che il Regno Unito trarrà beneficio dall’essere il primo Paese ad introdurre norme di legge sulla sicurezza in Internet.
L’opposizione prevista da parte della Camera dei Lord sarà l’ultimo capitolo della storia tormentata di questo progetto di legge. Inizialmente avrebbe dovuto far parte della normativa sul commercio elettronico elaborata dal Ministero per il commercio e l’industria, ma fu accolto da una fitta serie di proteste da parte di imprese e associazioni per le libertà civili.
Intercettazione dei messaggi di e-mail : le disposizioni contenute nel progetto di legge britannico
- Il governo avrà il potere di chiedere alle imprese che gestiscono dati in formato elettronico e servizi di e-mail di garantire una possibilità “ragionevole” di intercettare i dati in questione.
Obiezione:  Ciò comporta costi aggiuntivi per le imprese del RU.
- Funzionari incaricati potranno chiedere l’intercettazione di dati senza bisogno dell’autorizzazione del tribunale.
Obiezione: Ciò aumenta i poteri di sorveglianza da parte del governo estendendoli ad un insieme non meglio definito di funzionari governativi.
- Potrebbe essere chiesto ad imprese o singoli che inviano dati criptati di fornire le “chiavi” informatiche utilizzate per la cifratura, oppure di fornire i dati in chiaro.
Obiezione: Ciò isola il RU rispetto a quanto avviene negli USA ed in Irlanda, compromette la possibilità legittima per le imprese di ricorrere alla cifratura e potrebbe esporre le imprese stesse a contenziosi per responsabilità civile.
- A chi venisse notificata una richiesta di chiavi di cifratura potrebbe essere imposto anche l’obbligo del silenzio, a pena della reclusione fino a cinque anni in caso di mancato rispetto.
Obiezione: Ciò danneggerebbe il rapporto fiduciario che è considerato fondamentale per il commercio elettronico. Il rispetto della normativa potrebbe violare i principi del segreto di impresa.
- L’autorità giudiziaria può imporre sanzioni a chi dichiari di avere perduto o dimenticato le chiavi di cifratura.
Obiezione: Ciò comporta un’inversione dell’onere della prova a carico dell’accusato, e compromette l’adozione di prassi corrette basate sulla modifica periodica di chiavi e password.
- Verrà istituito un centro governativo, con un investimento di 25 milioni di sterline, per monitorare i messaggi e-mail intercettati.
Obiezione: Attualmente, l’unico Paese dove è stato istituito un ente analogo è la Russia. Il ricorso crescente a forme di cifratura sempre più forti renderà impossibile decifrare la maggioranza dei messaggi criptati.

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Largo del Teatro Valle, 6 - 00186 Roma. Tel: 06/6818637 - Fax: 06/6818663. Newsletter è consultabile sul sito Internet www.garanteprivacy.it