GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno II - n.65       11 - 17 dicembre 2000    www.garanteprivacy.it

Il Garante informa:
Cartellini identificativi dei lavoratori a contatto con il pubblico……….…..…pag.1
E-commerce. No all'uso dei dati sensibili per profilare i clienti……………...pag.2
No  alla rilevazione delle impronte digitali per entrare in banca…..………...pag.2
Usa. La rivincita dei consumatori.…………………………………..………..pag.3

CARTELLINI IDENTIFICATIVI: TROPPE INFORMAZIONI VIOLANO LA PRIVACY DEI LAVORATORI 
Chiedere a lavoratori, specie se a contatto con il pubblico, di esporre un cartellino che li renda identificabili per finalità di trasparenza e di verifica del corretto funzionamento di aziende ed uffici pubblici, non contrasta con la legge sulla protezione dei dati personali. Non è però giustificato e proporzionato a tale obiettivo esigere che i lavoratori esibiscano nel contatto con il pubblico le proprie complete generalità ed altri dati (coma la data di nascita). E' sufficiente indicare nella parte visibile al pubblico un nome, un codice o un numero che permetta ugualmente di risalire all'interessato in caso di reclamo, senza però esporre il lavoratore interessato a pressioni improprie o successivi contatti per ragioni estranee all'attività lavorativa.
Queste sono le indicazioni fornite dal Garante per la protezione dei dati personali, alle quali tutti i datori di lavoro pubblici e privati dovranno attenersi per rispettare le norme e i principi posti a tutela delle persone dalla legge sulla privacy. La decisione interessa lavoratori pubblici e privati a contatto con il pubblico, come il personale di compagnie aree, aziende sanitarie, pubbliche amministrazioni, aziende di trasporto, servizi di ristorazione.  
A sollecitare l'intervento del Garante sono state numerose richieste pervenute, non solo da parte da pubbliche amministrazioni e società private, ma anche da larga parte dello stesso personale dipendente che lamentava l'eccessiva presenza di dati nel badge. 

Pur condividendo l'esigenza di migliorare il rapporto fra operatori ed utenti o clienti, attraverso una 
maggiore responsabilizzazione del personale e una più adeguata tutela del pubblico, molti dipendenti avevano posto in luce come una eccessiva ed ingiustificata diffusione di alcuni dati identificativi o anagrafici li esponesse ad essere contattati anche per motivi estranei al lavoro.
Il Garante ha ricordato che la legge sulla protezione dei dati, dando attuazione alla direttiva comunitaria, stabilisce  che il trattamento dei dati personali si svolga "nel rispetto dei diritti, delle libertà fondamentali, nonché della dignità delle persone fisiche". I dati trattati devono perciò essere pertinenti e non eccedenti rispetto alla finalità perseguita e la loro diffusione, sia per il settore pubblico che per quello privato, deve rispettare precise condizioni.
Nel caso esaminato dall'Autorità, la diffusione di dati personali dei dipendenti da parte del datore di lavoro privato può avvenire, al di là del consenso espresso e volontario degli interessati, solo per adempiere "ad un obbligo previsto da una legge, da un regolamento o dalla normativa comunitaria", mentre per i soggetti pubblici la diffusione è consentita se prevista "da norme di legge o di regolamento".
Nell'ambito del rapporto di lavoro privato l'obbligo di portare il cartellino deriva spesso anche da accordi sindacali o da regolamenti aziendali: il cartellino ha, dunque, diverse finalità relative sia alla vita interna dell'azienda (controlli sulle entrate e sulle uscite, riconoscimento da parte dei colleghi o dirigenti, accessi ad aree riservate) sia ai rapporti con gli utenti o i clienti. In quest'ultimo caso, ha sottolineato il Garante, non risulta di alcuna utilità che appaiano sul cartellino dati personali identificativi diversi dall'immagine fotografica, dalla ruolo professionale svolto ed eventualmente da un nome, un numero o una sigla.
Stesso discorso vale per le amministrazioni pubbliche: in assenza di precise disposizioni di legge o di regolamento che prescrivano puntualmente il contenuto dei cartellini identificativi, non è giustificabile che le amministrazioni pubbliche impongano la diffusione di elementi identificativi personali non pertinenti ed inutilmente eccedenti rispetto alle finalità di responsabilizzare maggiormente il personale e di fornire agli utenti una conoscenza sufficiente degli operatori con cui entrano in rapporto.

E-COMMERCE. NO DEL GARANTE ALL'USO DEI DATI SENSIBILI PER CREARE PROFILI DEI CLIENTI
Il Garante non ha autorizzato una società che opera nel settore dell'e-commerce  a raccogliere ed utilizzare per alcune finalità di marketing i dati sensibili, in particolare sullo stato di salute e la vita sessuale dei suoi clienti. La schedatura di informazioni così delicate per usi di profilazione e proposte commerciali in base ai prodotti acquistati violerebbe la privacy delle persone, nonostante il consenso acquisito.
La società, che esercita attività di vendita promozionale di libri, prodotti di cosmesi, prodotti para-farmaceutici, telefonia, software e accessori hardware, aveva chiesto all'Autorità, in base alla legge sulla protezione dei dati, l'autorizzazione a trattare i dati sensibili dei clienti idonei a rivelare lo stato di salute, la vita sessuale, le convinzioni religiose, politiche o di altro genere, per tutta una serie di utilizzazioni quali, ad esempio, analisi di marketing statistica sui dati di vendita per ciascun prodotto e cliente; creazione di profili dei clienti soprattutto in base ai prodotti acquistati; proposte commerciali e di vendita sulla base delle tipologie di acquisto effettuate da ciascun cliente; comunicazione dei dati ad altre società del gruppo.
Nel motivare la sua decisione, l'Autorità ha ricordato che, secondo la direttiva europea, il trattamento dei dati sanitari è consentito entro determinati limiti e che già oggi, in base ad una autorizzazione generale emanata dall'Autorità,  il trattamento effettuato per ricerche di mercato o per altre ricerche campionarie non può riguardare dati personali sensibili nelle operazioni successive alla raccolta dei dati.
 L'Autorità ha precisato che la richiesta della società relativamente alle finalità diverse da quella della semplice gestione degli ordini risulterebbe in contrasto con i principi di proporzionalità, pertinenza  e non eccedenza rispetto allo scopo complessivo di prestazione di un servizio e determinerebbe uno squilibrio a danno degli interessati che non può essere colmato con il consenso degli stessi interessati. Il Garante ha anche precisato che le statistiche possono essere effettuate solo con dati anonimi.
La decisione è in linea con quanto stabilito in tre diverse autorizzazioni generali emanate dal Garante, la n.2/2000  relativa al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale, la n.3/2000 relativa al trattamento dei dati sensibili da parte di associazioni e  fondazioni, la n.5 relativa la trattamento dei dati sensibili da parte di diverse categorie di titolari, le quali consentono il trattamento dei dati sensibili solo nel rispetto di precise garanzie per i cittadini.
In base a questo quadro di disposizioni, il Garante ha perciò autorizzato la società a trattare solo i dati sensibili diversi da quelli relativi allo stato di salute e la vita sessuale ed esclusivamente per la gestione degli ordini e non per le ulteriori finalità di marketing richieste. 

NO  ALLA RILEVAZIONE DELLE IMPRONTE DIGITALI PER ENTRARE IN BANCA 
(comunicato del 13 dicembre)
L'utilizzo di sistemi per una indiscriminata rilevazione delle impronte digitali all'ingresso delle banche è sproporzionato rispetto a generiche esigenze di sicurezza che si intendano perseguire, già sufficientemente assicurate da altri sistemi di controllo meno lesivi della dignità della persona.
Lo ha stabilito l'Autorità Garante per la protezione dei dati personali che ha vietato ad un istituto bancario di raccogliere ed utilizzare i dati acquisiti con il rilevatore di impronte digitali.
L'intervento del Garante si è reso necessario dopo che alcuni cittadini avevano segnalato che in una filiale di una banca erano stati installati due diversi sistemi per controllare gli ingressi e la permanenza dei clienti nei locali dell'istituto sia attraverso la ripresa di immagini, sia mediante il rilevamento delle impronte digitali.
L'Autorità, dopo aver avviato i primi accertamenti ed aver svolto nel luglio scorso un sopralluogo presso la filiale, ha richiesto ulteriori elementi all'istituto bancario riguardo alle modalità con cui venivano raccolti ed utilizzati i dati (immagini e impronte), al periodo della loro conservazione, se essi venivano comunicati a terzi ed autorità pubbliche, dopo quanto tempo venivano cancellati. 
Dai riscontri ottenuti, è emerso che nella filiale risultavano installati due sistemi di rilevazione dei dati, consistenti l'uno in un insieme di apparecchiature video e, l'altro, in un dispositivo di lettura delle impronte digitali all'ingresso della banca. Per entrambi i sistemi non veniva fornita, neanche con indicazioni sintetiche, una adeguata informativa ai clienti sulla presenza di tali sistemi di rilevazione, sull'uso delle informazioni raccolte, sui diritti che i clienti possono esercitare sui proprio dati. Né veniva posta in evidenza l'associazione tra l'immagine e l'impronta rilevate che veniva effettuata in contemporanea nei confronti di ciascun soggetto che entrava nella banca.
Nel motivare il provvedimento con il quale ha imposto alla banca il divieto di utilizzare strumenti di rilevazione delle impronte digitali, l'Autorità ha sottolineato che la raccolta indifferenziata di dati significativi, quali le impronte digitali associate alle immagini, imposta a tutti coloro che entrano in banca, clienti o meno, non può ritenersi di per sé legittimata da una generica esigenza di sicurezza, non accompagnata da elementi che evidenzino una concreta situazione di rischio. In questo modo viene ad essere violato il  principio della proporzionalità tra almeno uno dei mezzi impiegati (il sistema di rilevazione delle impronte associate alle immagini) e le finalità perseguite.
Questa raccolta di informazioni si traduce infatti, ha spiegato il Garante, in un sacrificio sproporzionato della sfera della libertà di tutte le persone che possono legittimamente lamentare anche una considerazione non adeguata e un rilevante pregiudizio della propria dignità personale.
L'Autorità ha, inoltre, invitato l'istituto a rivedere l'informativa ai clienti riguardante i sistemi video, suggerendo anche una sua sintetica formulazione per quanto riguarda gli scopi per i quali i sistemi vengono impiegati, il periodo entro il quale le immagini vengono cancellate, i diritti di accesso ai propri dati da parte dei cittadini. 

LA RIVINCITA  DEI CONSUMATORI
(The Economist Technology Quarterly del 1 dicembre)
Nuovi servizi a tutela della privacy permetteranno molto presto ai consumatori di fare acquisti online in forma anonima, costringendo le imprese che operano sul web a cambiare comportamento
Negli ultimi due mesi una società di Dallas, la Digital Convergence, ha regalato oltre 1 milione di lettori di codici a barre a proprietari di computer di tutta l’America. Se la società terrà fede al programma elaborato, entro un anno da oggi avrà distribuito circa 40 milioni di lettori. Ciascuno di essi costa circa 10 dollari: come si spiega, allora, questa improvvisa generosità? Il fatto è che la società prevede di essere ripagata, e con gli interessi, grazie alla vendita di informazioni sulle abitudini di consumo degli utenti. Quando, ad esempio, si scandisce il codice a barre su una confezione di cornflakes si inviano al sito web del costruttore le specifiche del programma di navigazione Internet dell’utente. Ogni lettore di codici, dal nome di CueCat, è dotato di un codice univoco di identificazione e del software che ne permette il funzionamento. Al momento di installare tale software, l’utente deve fornire alcuni dati personali come nome, indirizzo di posta elettronica, età, sesso e codice di avviamento postale. Queste informazioni possono essere correlate a quelle raccolte da CueCat sui prodotti scanditi dall’utente. La società spera che queste informazioni di marketing avranno un valore complessivamente superiore ai 400 milioni di dollari che prevede di spendere per disseminare il mercato di CueCats.
Tuttavia, la società non ha fatto i conti con l’astuzia di chi utilizza i programmi Linux. Noti per essere ottimi programmatori e per disprezzare i prodotti Microsoft Windows, alcuni pirati informatici che utilizzano Linux hanno deciso di far funzionare CueCat su computer che utilizzano il sistema operativo gratuito Linux anziché l’onnipresente Windows. Dato che amano gli scherzi, hanno scritto il software in modo da bypassare i computer della Digital Convergence e, per sovrappiù, ne hanno realizzato anche una versione Windows-compatibile. Pochi giorni dopo l’inizio della distribuzione dei CueCats ha fatto la propria comparsa su Internet un programma gratuito di scansione che è stato immediatamente scaricato da moltissimi utenti. La Digital Convergence non ha affatto gradito questa iniziativa. Per la società, ogni CueCat piratato voleva dire altri 10 dollari buttati al vento.
Esperti di dati
Molte imprese nel settore del commercio elettronico hanno fatto affidamento sulla disponibilità di commercianti, produttori e pubblicitari a pagare grosse somme di denaro pur di mettere le mani su dati di marketing raccolti da servizi online che, in cambio di qualche offerta gratuita, convincono gli utenti a comunicare i propri dati personali. Tuttavia, come mostra il caso dei CueCats piratati, è probabile che le società operanti in questo settore si trovino presto o tardi a fare i conti con i propri clienti. La vita diventa davvero sempre più dura per le società online che cercano di sbarcare il lunario sfruttando i dati di marketing da esse raccolti. I consumatori sono sempre più preoccupati delle invasioni della privacy, e oggi dispongono in misura crescente della tecnologia che permette loro di autotutelarsi.
Due casi molto discussi hanno richiamato di recente l’attenzione di politici e associazioni di consumatori sulla privacy online. Dopo che si erano levate molte voci contrarie, la DoubleClick (un’agenzia di pubblicità online con sede a New York) ha rinunciato a fondere i dati delle visite operate dagli utenti sui vari siti Web con il database di cui era in possesso contenente nomi e indirizzi di tali utenti. D’altro canto, la Toysmart è stata additata al pubblico obbrobrio per aver violato uno degli impegni assunti in materia di privacy cercando di vendere il database della propria clientela ad un’altra società di vendite online nel tentativo di far fronte ai creditori.
Ben presto i consumatori non dovranno più fare affidamento solo sull’onestà dei commercianti online per limitare la raccolta di dati operata dalle agenzie di pubblicità rispetto alle loro abitudini di navigazione. C’è infatti una nuova generazione di fornitori di servizi per la privacy, i cosiddetti “intermediari dell’informazione”, o “infomediari”, che stanno imparando a ricavare profitti dalla tutela della privacy creando un cortocircuito sulla linea che le imprese di vendite online utilizzano per accumulare nascostamente informazioni su chi fa visita ai rispettivi siti web.
Uno di questi infomediari, Lumeria di Berkeley in California, intende fare in modo che i propri utenti sfuggano in modo selettivo alle attenzioni del marketing – ricavandone un tornaconto. Con un programma gratuito elaborato dalla società, il profilo del singolo utente viene crittografato e memorizzato su un computer. Ogni volta che l’utente desidera accedere ad Internet. può servirsi come proxy del server di Lumeria in modo da impedire che i propri dati personali siano trasmessi direttamente a imprese pubblicitarie. Il server di prossimità (proxy) funge da interfaccia fra l’utente ed ogni pagina web, e lascia comparire sul monitor dell’utente solo quegli annunci pubblicitari che corrispondono al profilo degli interessi dell’utente stesso. Dati anonimi e aggregati vengono quindi rivenduti alle agenzie di marketing, e l’utente riceve in cambio una royalty.
Gli ultimi sopravvissuti
Per chi è preda di paranoie ancora maggiori, la iPrivacy di New York ha messo a punto un programma che permette la protezione totale delle attività degli utenti, al punto che neppure la iPrivacy può accedere alle informazioni. L’utente deve innanzitutto scaricare il programma da una società che conosce e di cui si fida (ad esempio, la società che gestisce la sua carta credito o la banca). Il programma permette all’utente di navigare nella privacy più assoluta. Se desidera acquistare qualcosa, il programma genera per lui una nuova identità con tanto di nome e indirizzo e-mail fittizi, indirizzo postale in codice e un numero di carta di credito monouso. Questa nuova identità viene trasmessa dal rivenditore online alla società che gestisce la carta di credito, la quale provvede a collegare le informazioni con l’identità reale dell’utente e dà il via libera alla transazione. Nel frattempo all’ufficio postale viene inviata un’etichetta recante l’indirizzo in chiaro, anche se si tratta pur sempre di un indirizzo in codice, e si provvede all’invio della merce. L’unico soggetto a sapere quello che sta effettivamente avvenendo è la società che gestisce la carta di credito originale dell’utente, e che era già in possesso di queste informazioni. Due vantaggi ulteriori consistono nel fatto che per le società di marketing online è impossibile elaborare un profilo dell’utente, visto che l’identità fittizia viene utilizzata una sola volta, né quest’ultima può essere “rubata” da criminali informatici.
Ruvan Cohen, direttore di iPrivacy, ha già stipulato un contratto con lo United States Postal Service per la decifrazione degli indirizzi. La società opera anche con alcune imprese di servizi finanziari che desiderano ottenere la licenza del programma per i propri clienti. Il motivo principale di tale interesse è la Legge Gramm-Leach-Bliley dello scorso novembre 1999, in base alla quale le istituzioni finanziarie devono comunicare chi ha accesso alle informazioni private da esse raccolte sulla clientela. La prima comunicazione in merito deve essere inviata entro il luglio 2001. Non sorprende che molte istituzioni finanziarie, preoccupate della reazione della clientela, siano alla ricerca di strumenti che ne consolidino la reputazione in termini di riservatezza. American Express ha già lanciato un sistema gratuito di pagamento con carte di credito monouso, e intende fornire ai clienti un servizio privato di navigazione nel Web entro la fine del 2000. Altre società che gestiscono carte di credito prevedono di testare il programma di iPrivacy all’inizio del 2001 in modo da essere pronte per la scadenza di luglio. Se il numero di utenti che utilizzeranno questi filtri online sarà sufficientemente elevato, i benefici per il commercio elettronico potrebbero superare i costi. La Forrester Research, una società di consulenza tecnologica di Cambridge nel Massachusetts, calcola che nello scorso anno i timori per la privacy abbiano impedito di portare a termine acquisti online per un valore complessivo superiore ai 12 miliardi di dollari.
Un problema, però, è che una reazione pro-privacy di questo tipo da parte dei consumatori potrebbe complicare più che mai la vita delle imprese che effettuano vendite online. Amazon.com, il maggiore rivenditore online del mondo, sfrutta in misura consistente il database di marketing per “personalizzare” le interazioni con i 20 milioni di clienti. I clienti più fedeli sono pronti a giurare sull’incredibile abilità di Amazon di raccomandare acquisti veramente utili. Tuttavia, se aumenterà il numero degli utenti sotto mentite spoglie Amazon non sarà più in grado di inviare, ad esempio, offerte speciali di giocattoli a clienti che abbiano appena acquistato libri per bambini. E questa forma di marketing incrociato è uno dei pilastri del modello commerciale elaborato da Amazon.
Molte società online hanno giocato sul fatto che i profitti sarebbero stati tanto maggiori quanto minore fosse la privacy dei consumatori. Ma può darsi che presto questo rapporto si alteri a loro svantaggio. Il rischio è che i consumatori ne abbiano un vantaggio eccessivo: potrebbe allora avvenire, per ironia, che i consumatori online finiscano per essere trattati come quelli off-line, dando così l’addio alle offerte gratuite e a tutto il resto.

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Piazza di Monte Citorio, n.121 - 00186 Roma. Tel: 06/69677713- Fax: 06/69677755. Newsletter è consultabile sul sito Internet www.garanteprivacy.it