GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno III - n.66       8 - 14 gennaio 2001    www.garanteprivacy.it

Il Garante informa:

Investigatori privati e tutela in sede giudiziaria……………………………….pag.1
		Aids. Il Garante avvia accertamenti sull'Asp della Regione Lazio………...…pag.1
Il Garante richiama i Ministeri sul dovere di consultazione………………....pag.2
Il compromesso sulla privacy…………………………………………………pag.2

L'INVESTIGATORE PRIVATO CHE RACCOGLIE LECITAMENTE  INFORMAZIONI PER  LA TUTELA DI UN DIRITTO NON VIOLA LA PRIVACY
L'investigatore privato che, in conformità alle leggi e in base ad un preciso mandato, raccoglie informazioni utili per far valere un diritto in sede giudiziaria, non viola le norme sulla privacy.
Lo ha ricordato il Garante nella decisione con la quale ha respinto il ricorso di un dipendente di una società privata. L'interessato era stato licenziato dopo che, attraverso le informazioni raccolte da un investigatore privato per conto della società, era stata verificata l'insussistenza di una patologia addotta per giustificare alcuni periodi di assenza dal lavoro. L'interessato si era rivolto al Garante perché accertasse se il trattamento di dati effettuato dalla società che lo aveva licenziato fosse lecito e corretto.
L'Autorità ha osservato che l'uso di informazioni da parte della società per soddisfare la legittima esigenza di far valere un diritto in  sede giudiziaria è lecito. La legge n.675 prende in considerazione anche questa esigenza e stabilisce che il trattamento dei dati personali non sensibili effettuato per far valere o difendere un diritto in sede giudiziaria è lecito anche senza il consenso dell'interessato, sempre che i dati siano trattati esclusivamente per tali scopi e per il periodo strettamente necessario al loro perseguimento.
L'investigatore incaricato dal legale della società, in base ad un preciso mandato, ha raccolto e trasmesso alla stessa società alcuni dati personali del dipendente (fotografie, annotazioni sugli spostamenti, orari etc.) che sono risultati pertinenti rispetto allo scopo della 

società di dimostrare in giudizio, come poi è avvenuto, l'insussistenza di una specifica patologia addotta dal lavoratore. Alcuni occasionali riferimenti a familiari presenti durante gli spostamenti dell'interessato o altri particolari o comportamenti (es. autovetture guidate), che si potrebbero desumere dalle fotografie riprese a distanza o dalle annotazioni dell'investigatore, non sono stati  ritenuti eccedenti rispetto alla finalità della società di dimostrare che il dipendente fosse in grado di svolgere una normale vita di relazione nonché di riprendere l'attività lavorativa.

AIDS: IL GARANTE AVVIA ACCERTAMENTI SULL'OPERATO DELLA AGENZIA PER LA SANITA' PUBBLICA DELLA REGIONE LAZIO
Il Garante ha avviato accertamenti sull'operato dell'Agenzia per la sanità pubblica della Regione Lazio riguardo alla raccolta e alla utilizzazione di eventuali dati personali relativi a soggetti sieropositivi e malati di AIDS identificati o identificabili anche indirettamente.
L'Autorità ha chiesto all'Agenzia notizie ed informazioni utili per poter valutare la liceità e la correttezza delle modalità adottate per il trattamento di informazioni così delicate.
Il Garante ha chiesto di chiarire, in particolare, come  i dati sono raccolti, collegati con altre informazioni, utilizzati ed eventualmente comunicati a terzi; quali  garanzie sono state adottate riguardo al flusso dei dati, alla loro conservazione e alla loro sicurezza; quali finalità si è inteso perseguire (sorveglianza epidemiologica, ricerche statistiche etc.); se le persone interessate sono state informate in maniera adeguata sulla raccolta ed uso dei loro dati; se, infine, è stato acquisito il loro consenso nei casi in cui era eventualmente necessario.

RICHIAMO DEL GARANTE AI MINISTERI: GLI ATTI EMANATI SENZA CONSULTARCI SONO ANNULLABILI
(comunicato del 9 gennaio)
Il Garante per la protezione dei dati personali ha nuovamente scritto al Presidente del Consiglio dei Ministri per  segnalare il persistere di omissioni da parte dei Ministeri nel consultare l'Autorità al momento di predisporre regolamenti ed atti amministrativi suscettibili di incidere sulle materie disciplinate dalle norme sulla privacy. 
Alcuni degli esempi più recenti di tale inadempienza sono: il decreto del Ministro dell'interno dell'11 dicembre 2000, sulle modalità di rilevazione e comunicazione giornaliera di dati relativi ai clienti degli alberghi, il d.P.R. 10 ottobre 2000 n.333, recante norme per il diritto al lavoro dei disabili, e il d.P.C.M. 31 ottobre 2000 in materia di protocollo informatico.
Nel sottolineare, pertanto, ancora una volta che i provvedimenti mancanti del parere previsto dalla legge 675 del 1996 sono illegittimi e annullabili, l'Autorità ha deciso di segnalarli anche sul proprio sito www.garanteprivacy.it. per portarli a conoscenza dei cittadini. Il parere del Garante, infatti, ha la funzione di far presente alle diverse amministrazioni le esigenze di assicurare, in tutti i casi, il massimo rispetto dei diritti dei cittadini in una materia che riguarda l'uso di informazioni personali, spesso assai delicate.
A dimostrazione di tale mancato adempimento, nell'ottobre 2000 in una lettera alla Presidenza del Consiglio, il Garante aveva già rilevato il mancato rispetto della legge sulla riservatezza dei dati per quanto riguarda la richiesta del parere all'Autorità, sottolineando ancora una volta la circostanza che i regolamenti e gli atti amministrativi adottati senza la consultazione del Garante sono viziati e annullabili per violazione della legge sulla riservatezza dei dati e del diritto comunitario in materia. Qualora dovessero persistere tali violazioni, il Garante si vedrebbe costretto a portarle a conoscenza anche delle competenti autorità comunitarie.
Tra i vari casi da citare: il d.m. 30 maggio 2000 del Ministro del commercio con l'estero in materia di dati sensibili (G.U. 1 luglio 2000, n.152); il d.P.R. 12 luglio 2000, n.257  sulle attività formative fino al diciottesimo anno di età (G.U. 15 settembre 2000, n.216); la direttiva del P.C.M. 28 ottobre 1999 (gestione informatica dei flussi documentali nella pubbliche amministrazioni, G.U. 11 dicembre 1999, n.290); il d.m. del Ministro delle finanze 15 giugno 2000 sulle scommesse (G.U. 12 luglio 2000, n.161); il d.P.R. 8 marzo 1999, n.70 (telelavoro nelle pubbliche amministrazioni, G.U. 25 marzo 1999, n.70); il d.m. del Ministro per le politiche agricole 21 maggio 1999, n.159 (riguardante l'A.I.M.A.); il decreto 19 marzo 1999 del Ministro delle finanze (interscambio di dati relativamente all'I.C.I., G.U. 16 aprile 1999, n.88); il d.m. del Ministro della giustizia 27 marzo 2000, n.264 sulla tenuta dei registri informatizzati presso gli uffici giudiziari (G.U. 26 settembre 2000, n.225); il d.P.R. 30 giugno 2000, n.230 (nuovo regolamento sull'ordinamento penitenziario, G.U. 22 agosto 2000, n.195).

IL COMPROMESSO SULLA PRIVACY
 (The Boston Globe’s, 8 gennaio)
Molti consumatori sacrificano la privacy in nome della comodità. Ma forse dovranno pagarne il prezzo.
Molte imprese promettono di mantenere riservate le informazioni sulla clientela, ma vale la pena di leggere le parti scritte in caratteri piccoli. Nelle dichiarazioni ufficiali della politica seguita in materia di privacy, imprese e enti governativi non sempre fanno riferimento a ordinanze giudiziarie, accordi societari o altri elementi che potrebbero obbligarli a comunicare dati personali. E poiché le nuove tecnologie permettono di registrare particolari sempre più triviali della vita quotidiana, è probabile che aumenti il numero delle controversie dalle quali si capirà fino a che punto, in realtà, i consumatori possano attendersi che i propri dati restino confidenziali.
Prendiamo, ad esempio, una delle potenzialità meno conosciute del sistema Fast Lane installato dalla Massachusetts Turnpike Authority per il pagamento automatico del pedaggio. Attraverso segnali radio, Fast Lane è in grado di individuare quando e in quale punto un’autovettura entri ed esca dall’autostrada o attraversi i caselli per il pedaggio. In un giorno infrasettimanale il sistema registra in media 215.000 transazioni, e l’organismo competente afferma che respingerebbe qualsiasi richiesta da parte di soggetti esterni (anche se appartenenti alle forze dell’ordine) di esaminare la registrazione degli spostamenti di uno specifico cliente.
Inoltre, secondo il portavoce della Turnpike Authority, Bob Bliss, richieste di questo genere sono assai improbabili; è per questo che del tema non si fa menzione nella dichiarazione ufficiale della politica seguita in materia di privacy, dove ci si limita ad affermare che “tutte le informazioni contabili relative alla clientela resteranno riservate”. E se venisse notificata un’ingiunzione dell’autorità giudiziaria? “Sembra che non sia previsto che una cosa del genere possa verificarsi”, ha dichiarato Bliss, il quale ha successivamente specificato che la Turnpike Authority si opporrebbe ad una richiesta di questo tipo. Ma non ci sono garanzie in merito.
A New York, la polizia ha esaminato decine di registrazioni effettuate dal sistema regionale di pagamento del pedaggio, E-Zpass. Visto che il sistema E-Zpass è collegato al Fast Lane, forse è solo questione di tempo perché le indagini si estendano anche alle registrazioni effettuate in Massachusetts. L’avvocato Joel Kozol, di Boston, afferma che contenziosi civili, come una causa di divorzio o una controversia commerciale, potrebbero senz’altro fare perno sulla conoscenza della localizzazione di un determinato veicolo ad una determinata ora. “Posso immaginare con facilità vari casi in cui sarebbe questa l’informazione di cui avremmo bisogno”, ha dichiarato Kozol.
Secondo alcuni studiosi del tema privacy, la mancata indicazione da parte di una società del comportamento cui darebbe luogo la richiesta legale di informazioni può creare false aspettative presso la clientela. Keith Enright, avvocato e responsabile delle tematiche attinenti alla privacy presso la Lucira Technologies Inc. di Boston (una società che produce programmi informatici per la sicurezza), afferma di avere rilevato che altre società stanno già abbassando i toni della retorica nel descrivere le politiche seguite in materia di privacy sui rispettivi siti Web. “Si leggono molto più di rado frasi enfatiche del tipo ‘Non comunicheremo mai i suoi dati personali’, perché si trattava di un approccio frutto di scarsa informazione,” ha detto Enright. “Credo che quest’anno ci saranno sviluppi in molte di queste dichiarazioni di politica, man mano che si diffonde la consapevolezza delle questioni attinenti.”
Prima, ha proseguito Enright, “per molte di queste società la privacy restava del tutto fuori campo quando si trattava di mettere insieme questi [siti Web]. In genere era qualcuno del marketing a scrivere queste dichiarazioni, con l’obiettivo di infondere fiducia nel sito presso chi leggeva. Ma spesso l’autore non aveva alcun rapporto con il gestore della base di dati, che ha di fatto il polso delle informazioni relative alla clientela.”
Uno dei motivi della cautela con cui si muovono le imprese è la mancanza di regole chiare a livello federale. Sono state avanzate centinaia di proposte di legge, ma le più radicali sono bloccate al Congresso mentre si discute proprio sulle circostanze in cui i consumatori devono dare il consenso all’utilizzo dei loro dati. I difensori degli interessi commerciali, come la Direct Marketing Association, sostengono che le imprese possono adottare nuovi standard senza bisogno di introdurre altre norme. Nel frattempo è già salito il tenore dei contenziosi in materia di privacy, soprattutto rispetto alle comunicazioni online. Ad esempio, nel 1999 la Raytheon ha licenziato vari dipendenti dopo aver ottenuto un’ingiunzione del tribunale che imponeva di rivelare l’identità dei dipendenti che avevano parlato in forma anonima dell’attività dell’impresa in un gruppo di discussione gestito da Yahoo. A seguito del clamore suscitato da questo caso, Yahoo ha modificato la politica seguita in materia di privacy riconoscendo che “la società risponde alle intimazioni e alle ordinanze delle autorità giudiziarie e collabora nei procedimenti legali”. Le società che operano nel mondo offline sembra che stiano imparando la stessa lezione mentre si accingono a mettere in atto nuove tecnologie che mirano a rendere più comoda la vita quotidiana. Due settori di particolare delicatezza sono quelli legati alle tessere-sconto dei supermercati e alla prossima introduzione di uno standard che permetterà di localizzare gli utenti di telefoni cellulari.
Le tessere dei supermercati sono già state oggetto di una certa attenzione, visto che il loro utilizzo genera in sostanza un profilo delle abitudini alimentari del singolo consumatore. Per esempio, la catena di supermercati Shaw ha introdotto da poco la cosiddetta “Tessera-premio”: quando il consumatore la presenta alla cassa, ottiene vari sconti su alcuni dei prodotti acquistati. Analogamente ad altre catene di supermercati, la Shaw afferma di utilizzare i dati soprattutto per capire più facilmente dove inviare comunicazioni postali ai clienti, e di non avere incontrato alcuna opposizione. Il portavoce, Bernard Rogan, ha dichiarato che anche la Shaw riconosce che un giorno i dati potrebbero suscitare l’interesse di un soggetto esterno – ad esempio, una compagnia che offra polizze sanitarie. Rogan ha affermato che la Shaw non offrirà né venderà queste informazioni senza il consenso del cliente; tuttavia, ha anche detto che dinanzi ad un’intimazione del tribunale probabilmente cederebbe le informazioni richieste. Lo scorso ottobre la politica dell’azienda in materia di privacy è stata modificata specificando che la Shaw “comunicherà le informazioni se obbligata a farlo sulla base di un’intimazione o un’ingiunzione dell’autorità giudiziaria, ovvero qualora l’azienda e la [società affiliata] Star ritengano, a loro ragionevole discrezione, che tale comunicazione sia necessaria per collaborare ad indagini condotte da forze dell’ordine ovvero in situazioni di urgenza ove sussistano rischi per l’incolumità fisica.”
“Non comunichiamo queste informazioni alla leggera”, ha detto Rogan. “Tuttavia, credo che in passato la gente non si rendesse conto che qualcuno poteva essere interessato a controllarne i comportamenti.”
Un altro settore oggetto di acceso dibattito è quello delle tecnologie di tracciamento telefonico, ora che i fornitori di servizi di telefonia cellulare iniziano a precisare l’offerta alla clientela. L’origine della controversia è da ricercare in un nuovo standard adottato dalla Federal Communications Commission, denominato “911 potenziato”. A partire dal prossimo mese di ottobre, in alcune zone del Paese, reti cellulari digitali registreranno l’esatta localizzazione degli utenti di telefoni cellulari con l’aiuto di satelliti e di altri dispositivi. L’obiettivo è quello di aiutare i servizi di pronto intervento a localizzare con precisione le singole chiamate di assistenza. Ma il sistema offrirà anche numerose opportunità commerciali, almeno in potenza. Ad esempio, mentre l’utente passa vicino ad un ristorante, sul display del cellulare potrebbe comparire un messaggio con cui gli si offre uno sconto se decide di fermarsi.
Poiché a molti questo tipo di servizio potrebbe apparire una violazione della privacy, sono poche le società telefoniche disposte a indicare con precisione gli accordi commerciali eventualmente presi in esame per sfruttare queste potenzialità tecniche. E sono poche anche le società che si sono ufficialmente impegnate a non utilizzare in alcun modo i dati in loro possesso. Per esempio, nella dichiarazione della politica seguita in materia di privacy dalla divisione telefonia cellulare della AT&T si legge che “Nella messa a punto di nuovi prodotti e servizi e nel potenziamento delle offerte già in atto, la divisione telefonia cellulare della AT&T tiene conto delle aspettative e delle indicazioni dei clienti per quanto riguarda un impiego corretto delle informazioni che li riguardano.” In un’intervista della scorsa settimana, Martin Nee, portavoce della società, si è spinto fino a dire che la società intende chiedere il consenso della clientela prima di consentire ai propri partner commerciali di conoscere la localizzazione di un cliente che utilizzi un cellulare. “In futuro, con la possibilità di gestire il marketing in modo localizzato, tutte le attività della AT&T terranno conto in via prioritaria delle indicazioni del singolo cliente rispetto alla sua privacy,” ha dichiarato Nee. “Qualsiasi cosa si deciderà in proposito, credo che il punto di partenza dovrebbe essere un sistema di opt-in” – ossia, permettere al cliente di scegliere preventivamente se consentire la comunicazione della rispettiva posizione.
Probabilmente si tratta della via più sicura, dato che molti consulenti economici ritengono che le società dovrebbero fare in modo di non alienarsi le simpatie dei consumatori. Secondo Alan Westin, fondatore di Privacy & American Business – un centro di studi su privacy e impresa con sede nel New Jersey – oggi sono relativamente pochi i consumatori che sembrano rendersi conto di come le informazioni che li riguardano possano essere utilizzate in modi del tutto inattesi. Westin ha affermato che solo una percentuale ridottissima di coloro che leggono le dichiarazioni della politica seguita in materia di privacy pensa ad eventuali azioni legali. “Ma se si spiega chiaramente all’utente medio che la registrazione potrebbe essere utilizzata in una causa legale, ad esempio in una causa di divorzio, credo che l’utente medio capirebbe” i rischi connessi.

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Piazza di Monte Citorio, n.121 - 00186 Roma. Tel: 06/69677713- Fax: 06/69677755. Newsletter è consultabile sul sito Internet www.garanteprivacy.it