GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno III - n.71       12 - 18 febbraio 2001    www.garanteprivacy.it

Il Garante informa:
Multe.Non si può omettere il nome del vigile in nome della privacy….…….pag.1
Spamming e privacy. Studio della Commissione Europea…………...……..pag.1 

INFRAZIONI AL CODICE DELLA STRADA. IL VERBALE DEVE INDICARE IL VIGILE VERBALIZZANTE E LA LEGGE SULLA PRIVACY NON LO IMPEDISCE 
Nei verbali che i vigili urbani compilano per applicare le multe per le infrazioni al codice della strada devono essere indicati, per regolamento, i nomi dei verbalizzanti e questa indicazione non può essere omessa facendo un improprio riferimento alla legge sulla privacy.
Il Garante ha ricevuto una segnalazione relativa alla prassi, adottata dal Comando di polizia municipale di una grande città, di non indicare nei verbali di accertamento delle violazioni al codice della strada (nell’esemplare redatto con strumenti automatizzati e comunicato in copia al proprietario del veicolo) le generalità dei vigili urbani che elevavano contravvenzione. Su tale esemplare era riportata, invece, un'avvertenza che giustificava tale omissione come conseguenza dell'applicazione della legge sulla privacy.
Alla richiesta di informazioni da parte del Garante, il Comando di polizia municipale spiegava che la mancata indicazione del nome e del cognome del vigile urbano intanto non riguardava i verbali originali, ma gli esemplari conformi spediti con sistema meccanizzato e che, comunque, l'omissione aveva lo scopo di tutelare l'incolumità e la sfera privata degli operatori nei confronti di minacce e di altre attenzioni incresciose manifestate spesso dai trasgressori. Restava comunque ferma la possibilità di conoscere le generalità del vigile da parte degli automobilisti che avessero necessità di tutelare i propri interessi.

L'Autorità ha affermato che nessuna disposizione della legge sulla privacy preclude alla polizia municipale di indicare nei verbali informatizzati le generalità degli 
agenti e che risulta anzi impropria l'avvertenza secondo cui la predetta omissione conseguirebbe all'applicazione della legge n. 675.
Il principio di pertinenza, in base al quale nei vari atti debbono essere riportati i dati indispensabili, opera anche nell'ambito dell'attività di polizia municipale e  permette una "calibratura" delle informazioni da indicare, in considerazione della particolare natura dei procedimenti di tipo sanzionatorio e delle esigenze di tutela dei diritti degli automobilisti. 
Tuttavia, ha spiegato l'Autorità, tale principio non comporta la disapplicazione delle norme di settore che regolano i procedimenti di sanzione amministrativa (nel caso particolare il codice della strada) e che non sono state abrogate o modificate dalla legge n. 675 del 1996, ivi comprese quelle che prevedono la conformità ai verbali originali degli esemplari automatizzati (il regolamento di attuazione del codice della strada prevede poi, nel verbale di infrazione, uno spazio per identificare l'organo che accerta l'infrazione).
Il Garante ha quindi stabilito che la prassi adottata dal Comando non era conseguenza della legge sulla privacy. L'avvertenza presente nei verbali utilizzati dovrà, pertanto, essere eliminata.

E-MAIL COMMERCIALI INDESIDERATE E PROTEZIONE DEI DATI. I RISULTATI DI UNO STUDIO DELLA COMMISSIONE EUROPEA
Alla luce degli sviluppi più recenti della società dell’informazione e dei rischi associati a tali sviluppi, la Commissione europea (Direzione Generale XV del Mercato Interno) ha deciso di affidare ad una società di consulenza (ARETE) la conduzione di uno studio relativo al fenomeno dei messaggi di posta elettronica contenenti comunicazioni commerciali indesiderate – noti comunemente come “spam”. I risultati dello studio sono stati pubblicati alla fine del mese di gennaio 2001.
Lo studio comprende due parti distinte: una disamina dello stato dell’arte per quanto concerne le tecnologie alla base dello spamming (con particolare riferimento alla situazione esistente negli USA, che rappresentano in un certo senso la “patria” dello spamming), ed un’analisi delle strategie normative adottate in Europa; seguono alcune considerazioni conclusive e di indirizzo al fine di promuovere lo sviluppo del commercio elettronico in Europa tutelando i diritti riconosciuti agli internauti europei.
Un dato di partenza è il volume della spesa pubblicitaria relativa all’uso di tecniche di marketing diretto: negli USA, essa rappresenta ormai il 50% del totale. La popolarità di Internet quale veicolo pubblicitario è legata a tre fattori principali: ridotti costi della campagna pubblicitaria rispetto alle tecniche tradizionali (posta), tassi di rendimento dell’attività di marketing compresi fra il 5 e il 15% (contro lo 0.5-2% delle comunicazioni postali tradizionali), percentuale di risposte molto più elevata rispetto ai banner pubblicitari  (18%, contro lo 0.65%). 
Rispetto a questo quadro generale, va detto però che negli USA il fenomeno spamming è in declino; sono sempre più numerosi, infatti, gli operatori che preferiscono ricorrere ad attività di marketing più corrette anche in termini di protezione dei dati. Fra i fattori responsabili (provvedimenti anti-abusi adottati dai fornitori di servizi Internet, legislazione più restrittiva anche negli USA, interventi da parte delle associazioni di categoria quali la AIM – Association of Industrial Marketing), sta assumendo particolare rilevanza quella che gli autori dello studio definiscono la “contro-cultura dell’e-marketing”, basata sul concetto del “marketing su autorizzazione”. Si tratta in pratica di istituire canali di comunicazione con i consumatori su base volontaria, passando per gradi da un rapporto fondato sull’interesse ad un rapporto basato sulla fiducia. Con il crescere della fiducia, il consumatore viene convinto ad autorizzare una gamma sempre più ampia di attività di marketing: raccolta di dati sulle abitudini di vita, su hobbies e interessi, invio di messaggi pubblicitari relativi a nuovi prodotti e servizi, ecc.. Questo tipo di marketing basato su un approccio di “opt-in” (ossia, sulla possibilità per il cliente di scegliere se aderire o meno) è ormai la parola d’ordine fra gli operatori del settore negli USA.
Naturalmente ciò non significa che lo spamming sia scomparso, come dimostra il numero considerevole di prodotti e servizi finalizzati a facilitare queste attività. Si va dai programmi informatici  (spamware) che raccolgono sistematicamente indirizzi sul Web o provvedono all’invio di grossi quantitativi di messaggi a specifiche mailing lists, fino a società che organizzano vere e proprie campagne di spamming oppure svolgono attività di intermediazione per la vendita di indirizzari. Si pensi, a titolo di esempio, che le varie opzioni di offerta di pacchetti di indirizzi prevedono la possibilità di acquistare fino a 1.000 indirizzi e-mail al costo di 5 dollari, ovvero di 20 dollari se il cliente desidera utilizzare l’indirizzo postale completo, oppure 1.000.000 di indirizzi alla settimana al costo di 39.95 dollari al mese. Si può legittimamente dubitare sia della qualità di questi indirizzari sia della loro validità in termini di rispetto delle prescrizioni a tutela degli interessati.
E’ comunque ormai un dato di fatto che il marketing via e-mail costituica il mercato più promettente, in termini sia finanziari sia di tecnologia. E l’approccio basato sull’opt-in, come si è detto, incontra favore crescente. Tuttavia, si pongono alcuni interrogativi per quanto riguarda la qualità del consenso prestato e la possibilità di fraintendimenti o abusi di tale consenso. In particolare, esiste il rischio che in futuro le società pubblicitarie tendano ad interpretare il requisito del consenso in modo eccessivamente ampio. Ad esempio, cliccando sulla casella OK per inserire una determinata pagina Web nella cartella “Preferiti” (quello che in inglese si chiama “bookmarking”) potrebbe avvenire che il cliente automaticamente dia il consenso a ricevere pubblicità via e-mail sulla base di condizioni di contratto inserite in qualche pagina ben nascosta nel sito. E inoltre, è legittimo bombardare con parecchi messaggi pubblicitari alla settimana chi una volta, in via occasionale, ha acquistato un prodotto online? Eppure questa è la politica seguita, ad esempio, da Amazon, Barnes & Noble ed altri soggetti. Per non parlare poi di alcuni siti ove la casella da barrare per segnalare il consenso a ricevere e-mail commerciali appare già barrata – il che contravviene ai principi di trasparenza e lealtà fissati dalla direttiva 95/46 sulla protezione dei dati personali.
Il requisito del consenso è centrale, ed è stato riaffermato di recente anche nella Proposta  di Direttiva della Commissione europea sul trattamento di dati personali e la tutela della privacy nel settore delle comunicazioni elettroniche (12 luglio 2000). Tanto più che, se veramente gli operatori avranno presto a disposizione sistemi che consentono di inviare 100 milioni di e-mail commerciali al giorno, e supponendo che siano 200 le imprese in grado di dotarsi di questi strumenti, i 300 milioni di utenti Internet potranno ricevere mediamente oltre 60 e-mail pubblicitarie al giorno.  E’ stato stimato che ciò comporterebbe un costo medio di connessione per utente di oltre 30 euro/anno – e su scala mondiale, nell’ipotesi che entro breve la comunità online raggiunga i 400 milioni di persone, i costi complessivi legati allo scaricamento di messaggi pubblicitari con le attuali tecnologie si possono stimare per difetto nell’ordine dei 10 miliardi di euro (e stiamo parlando solo dei costi sostenuti da chi naviga su Internet).
Passando ad un’analisi sul piano normativo, anche in questo ambito i due approcci che si fronteggiano sono rispettivamente basati sull’opt-out e sull’opt-in. Nel primo caso, chi non vuole ricevere e-mail commerciali indesiderate deve avere la possibilità di far registrare questa sua preferenza; fra i sostenitori dell’opt-out vi è chi sostiene che questo diritto dovrebbe essere esercitabile solo nei confronti del soggetto che ha inviato il messaggio indesiderato, mentre altri sono a favore di un sistema basato su elenchi nazionali o internazionali di opt-out (le cosiddette “liste Robinson”) in cui chiunque può farsi inserire, indipendentemente dal ricevimento di e-mail indesiderate. In tal caso le società di marketing diretto dovrebbero consultare periodicamente questi elenchi per rispettare i desiderata dei singoli clienti.
Nel secondo caso, le condizioni per l’invio di messaggi indesiderati sono legate alla correttezza delle modalità di raccolta degli indirizzi di e-mail. L’invio di e-mail commerciali indesiderate dovrebbe essere possibile solo qualora il destinatario abbia precedentemente acconsentito a ricevere tali messaggi.
A livello comunitario, sono almeno quattro gli strumenti applicabili: la direttiva generale sulla protezione dei dati (95/46/CE), la direttiva sulle telecomunicazioni (97/66/CE), la direttiva sulle vendite a distanza (97/7/CE) e la direttiva sul commercio elettronico (2000/31/CE). Il punto è che mentre le prime due (e in parte anche la terza) adottano un approccio sostanzialmente basato sull’opt-in, la direttiva sul commercio elettronico sembra invece favorire un approccio di tipo opt-out – pur facendo salvi i diritti riconosciuti nella direttiva 97/7 e nella 97/66. In essa si dice infatti (art. 7(2) ) che “gli Stati membri adottano i provvedimenti necessari per far sì che i prestatori che inviano per posta elettronica comunicazioni commerciali non sollecitate consultino regolarmente e rispettino i registri negativi in cui possono iscriversi le persone fisiche che non desiderano ricevere tali comunicazioni commerciali”. In sostanza, secondo gli estensori dello studio, si è creata un’ambiguità di fondo che non facilita l’individuazione di condotte chiare e univoche da parte delle imprese che operano in questo settore. Bisogna sottolineare, allora, che la direttiva 97/7 sulle vendite a distanza e la direttiva sul commercio elettronico riguardano unicamente la legittimità dell’invio di comunicazioni commerciali indesiderate, e non la legittimità delle modalità di raccolta degli indirizzi di posta elettronica che servono per inviare tali comunicazioni – essendo questo un punto regolato esclusivamente dalla direttiva 95/46.
Per eliminare queste ambiguità occorre che il dibattito si sposti dalla correttezza dell’invio di messaggi pubblicitari alla correttezza della raccolta di dati. Esplicitando le circostanze in cui è possibile raccogliere legittimamente dati personali (come l’indirizzo di e-mail) l’operatore commerciale ed il destinatario dell’e-mail possono scegliere in modo trasparente la natura e gli sviluppi futuri del rapporto instauratosi. Anche se nessuna delle direttive impone il ricorso ad un sistema di opt-in per i contatti diretti fra imprese e clienti, appare naturale estendere al marketing diretto via e-mail le stesse regole valide per il marketing diretto effettuato attraverso dispositivi automatici di chiamata o fax – poiché in entrambi i casi si tratta di attività di natura invasiva che non possono essere interrotte dai destinatari.
Quali sono dunque le conclusioni dello Studio?
a) Nel complesso, l’approccio basato sull’opt-in appare quello più adatto alle esigenze di Internet: consente la vendita legittima di database, favorisce la personalizzazione dei rapporti fra imprese e clienti online, ed è il sistema preferito dagli stessi internauti (anche in base all’esperienza maturata negli USA). Inoltre, esso garantisce che i dati non siano utilizzati senza il consenso dell’interessato – mentre in un sistema basato sull’opt-out non si capisce come una società di pubblicità online possa accertarsi che un determinato destinatario non si sia già registrato in un elenco di opt-out. Del resto, la scelta di un approccio basato sull’opt-in è anche quella contenuta nella Proposta di direttiva relativa al trattamento di dati personali e alla tutela della privacy nel settore delle comunicazioni elettroniche (del 12 luglio 2000): con l’obiettivo di garantire la neutralità tecnologica dell’infrastruttura normativa in materia di protezione dati a livello comunitario, essa offre l’opportunità di armonizzare la legislazione nazionale (che segue binari in parte divergenti già oggi) e di definire un approccio comune basato sul requisito del consenso preventivo.
b) Occorre maggiore chiarezza sulle procedure di prestazione del consenso online. La definizione di “consenso” nella direttiva-quadro è molto rigida, e comporta la certezza dell’indicazione della volontà del soggetto sulla base di un’informativa corretta e completa. Se questo tipo di requisiti saranno rispettati ai fini della raccolta di dati sul Web, si potranno registrare i dati personali unitamente alle condizioni che l’interessato ha fissato per il loro trattamento. Ciò favorisce automaticamente la correttezza della raccolta di dati e permette di utilizzarli immediatamente a scopi commerciali nella piena certezza del rispetto dei diritti della persona.
c) La trasparenza inerente al meccanismo del consenso preventivo deve quindi essere estesa a tutti gli strumenti utilizzati per questo tipo di comunicazioni. Tutti i soggetti interessati devono comprendere che le prospettive di crescita del commercio elettronico subiranno un grave danno se i possibili acquirenti online dovessero dubitare dell’onestà e della lealtà di chi commercia sul Web.

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Piazza di Monte Citorio, n.121 - 00186 Roma. Tel: 06/69677713- Fax: 06/69677755. Newsletter è consultabile sul sito Internet www.garanteprivacy.it