Scarica Riassunto Privacy e più Sintesi del corso in PDF di Diritto Amministrativo solo su Docsity!
CAPITOLO 4
TUTELA DEI DATI PERSONALI
Antonio Rusciano 1, INTRODUZIONE
la direttiva 1995/46/CE in sede europea introduce una disciplina quadro, del trattamento dei dati personali, che riceve attuazione nel nostro Paese con la legge 31 dicembre 1996,numero 675, collegata alla legge-delega di pari data numero 676. La normativa, entrata in vigore nel 1997, ha determinato una serie di importanti trasformazioni del costume sociale e delle prassi commerciali , prima ancora che della regolamentazione giuridica. A ciò, si aggiunga che la direttiva 1995/45/CE è stata soltanto il primo tassello del sistema del trattamento dei dati personali, implementato progressivamente dal legislatore, ora settorialmente ora complessivamente ; il riferimento è, fra tutti, alle direttive 1977/66/CE sulla riservatezza nelle telecomuncazioni, e, più di recente la 2002/58/CE , sulla riservatezza nelle comunicazioni elettroniche. In altre parole, il materiale normativo, interno e comunitario, è diventato così esteso che ha ispirato l'introduzion e del decretolegge 30 giungo 2003 numero 196, un testo unico che ha preso il nome di Codice del Trattamento dei Dati Personali
2, IL CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI : I PRINCIPI
GENERALI, LE DEFINIZIONI, E L'AMBITO APPLICATIVO
L'art. 1 del codice introduce una figura già presente nella legge 675 del 1996: il diritto alla protezione dei dati personali. La disposizione stabilisce che <>. Il diritto in questione gode di sola autonomia concettuale oppure è suscettibile anche di autonoma tutela? Cioè ,un soggetto può agire in giudicizio per il mero fatto che i propri dati siano stati trattati in constso con il diritto a vederli portetti, oppure se ed in quanto da una tale violazione derivi la lesione di un diritto strumentalmente collegato, come la riservatezza , o il nome l'immagine e così via?! La ricostruzione proposta è contenuta nell'articolo 2 del codice che, nel sottolineare che la disciplina in esame ha di mira a che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonche' della dignità dell'interessato, dà particolare rilievo alla riservatezza , all'identità personale e al diritto alla protezione dei dati persoanli. Il codice secondo lo stile tipico delle leggi che derivano da una normativa comunitaria , reca all'articolo 4 le definizioni delle nozioni rilevanti ai fini della sua applicazione. In questo articolo vengono definiti i seguenti termini: ✓ a. per trattamento si intende ogni forma di contatto (operazione con o senza l'ausilio di strumenti elettronici , raccolta , selezione, ecc.) dei dati personali ✓ b. i dati personali coincidono con ogni informazione che, direttamente o indirettamente, fanno risalire ad un soggetto, persona fisica o giuridica che sia. ✓ c. la banca dati è invece definita come qualsiasi complesso organizzato di dati persoanli, ripartito in una o piu' unita' dislocate in uno o piu' siti. ✓ d. titolare di banca dati – per il codice, titolare è , non necessariamente il soggetto che tale risulta formalmente , ma chi può prendere le decisioni in ordine alle finalità , alle modalità di trattamento dei dati personali e gli strumenti utilizzati , ivi compreso il profilo della sicurezza. ✓ Diversa ancora è la figura dell'incaricato, definito come la persona fisica che è autorizzata a compiere operazioni di trattamento dal titoalre o dal responsabile :nelle organizzazioni, complesse , di un'azienda o di un ente pubblico. ✓ In ultima analisi, il codice definisce interessato il soggetto i cui dati formano oggetto di trattamento.
I dati possono essere comunicati o diffusi. La comunicazione è la trasmissione da un soggetto specifico ad un altro, mentre la diffusione si risolve in una comunicazione in incertam personam.
3, TIPOLOGIA DI DATI
Inoltre il codice differenzia i “dati identificativi” che sono quelli che permetto l'identificazione dell'interessato dai “dati sensibili” che corrispondono a un a sorta di nocciolo duro della personalità dell'interessato , venendo a coincidere con i dati idonei a rivelare l'origine razziale ed etnica le convinzioni religiose, ecc. E' evidente che la ragione di una diversificazione concettuale, che si riverbera sulla differente tutela: i dati sensibili qualificano la personalità del soggetto nelle sue scelte più intime. Il codice descrive altresì i “Dati giudiziari” definiti come quei dati idonei a rilevare i provvedimenti annotati nel casellario penale o le qualità di imputato o di indagato ; anche in questa ipotesi , è palese la ratio di differenziazione connessa ad un regime peculiare di trattamento. L'art. 17 , precisa che il trattamento di dati diversi da quelli sensibili e giudiziari che presanta rischi specifici per i diritti e le libertà fondamentali, nonché per la diginità dell'interessato , in relazione alla natura dei dati o alle modalità del trattamento è consentito solo con l'adozione di misure ed accorgimenti a garanzia dell'interessato.
4, IL MODELLO DI DISCIPLINA DI TRATTAMENTO DEI DATI
La classificazione della tipologia dei dati introduce alla tematica del modello di base che il legislatore ha scelto per disciplinare il trattamento. Sin dalla dir. 1995/46/CE, l'opzione di fondo degli ordinamenti europei in tema di dati personali è stata la seguente: i personal data, in linea di massima possono circolare ed essere ceduti , il lasciapassare del trattamento tuttavia, ì il consenso dell'interessato che deve rivestire i caratteri di libertà di formazione e di manifestazione e, soprattutto, va preceduto da idonea ed esaustiva informazione c.d. Informed consent. Per talune categorie di dati, di specifico significato, oggettivo o soggettivo – dati sensibili e giudiziari – viene poi imposto un supplemento di protezione dei dati personali , affidato al Garante per la protezione dei dati personali, incaricato di prestare un'apposita autorizzazione, che è occasione di controllo delle condizioni del trattamento. Una simile prospettiva è altresì presente nello stesso Codice. Gli artt 11-22 contengono infatti le regole per tutti i trattamenti senza distinzione di tipo di dati o di ambito di trattamento. Sicchè i dati ai sensi dell'art. 11 , vanno trattati secondo liceità e correttezza , raccolti pèer scopi determinati esplicti e legittimi, devono essere nesatti ed aggiornati, se necessario conservsti in una forma che consente l'identificazione dell'interessato e per un periodo di tempo non superiore a quello necessario agli scopi della loro raccolta. I dati devono essere, ancora, pertinetni e non ecceedenti rispetto alle finalità della raccolta; principio che va coordinato con l'altro di necessità nel trattamento dei dati introdotto dall'art. 3 del Codice che, appunto, stabilisce che i sistemi informativi ed i programmi informatici sono configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificatvi, in modo da escludere il trattamento quando le finalità possono essere realizzate mediante il ricorso a dati anonimi.
5, L'INFORMATIVA E I DIRITTI DELL'INTERESSATO
Fondamentale tassello del modello di trattamento , senza distinzione della tipologia di dati, è l'informativa. Per l'art. 13, l'interessato deve essere preliminarmente informato delle finalità e delle modalità del trattamento; della natura obbligatoria o facoltativa dello stesso e delle conseguenze di
9,PRIVACY E COMUNICAZIONI ELETTRON ICHE. INTERNET E RETI
TELEMATICHE
Internet è un altro aspetto a forte rischio per i dati personali. Per comunicazioni elettroniche si intendo i servizi di comunicazione elettronica, sia di telecomunicazione sia telematici , accessibili al pubblico su reti pubbliche di telecomunicazioni. Tra le regole speciali va ricordato l'articolo 122 del Codice che fa divieto di usare rete di comunicazione elettronica per accedere alle informazioni archiviate nell'apparecchio terminale. Dal canto suo, il fornitore di una rete di accesso a internet deve cancellare i dati relativi al traffico o renderli anonimi quando non sono piu' necessaru per la comunicazione elettronica (art. 123); i dati relativi al traffico, poi, vanno conservati per il tempo strettamente necessario alla fatturazione ed alla contestazione dell'importo del servizio. In ogni caso, nessun trattamento può avvenire senza il consenso dell'interessato. Occorre, inoltre, il consenso informato dell'interessato per l'inclusione dei propri dati negli elenchi telefonici e per il trattamento dei dati che permettono di localizzare l'interessato. Nelle comunicazioni elettroniche e, soprattutto, nella rete telematica , un grande nodo è quello delle comunicazioni indesiderate. Il fenomeno, specie per intwernet, ha assunto profili rilevanti e , per certi versi, inquietanti. Si pensi, tra tutti, alla pratica dello spamming. Com'è noto, con tale termine si suole indicare l'invio di messaggi di posta elettronica non sollecitati dall'utente destinatario e che, per lo pià, hanno un contenuto pubbliciatario di prodotti e o servizi. In relazione a tale fenomeno, si sono individuati tre profili problematici che riguardano: a. le modalità di raccolta degli indirizzi email di potenziali clienti b. l'elevatissimo numero di messaggi inviati all'utente e contenenti pubblicità non desiderata c. (^) e l'onerosità del collegamento alla rete per il cliente.
La normativa europea che ha disciplinato il settore non è stata univoca , atteso che i provvedimenti comunitari nei quali è rinvenibile il riferimento allla tecnica dello spamming , adottano procedure differenti che si possono sintetizzare in due modelli: il modello opt-in , che consiste nell'esprimere , da parte dell'utente , un consenso preventivo a ricevere i messaggi di posta elettronica, e un “modello opt-out” , secondo cui il potenziale cliente fa registrare preventivamente il suo rifiuto alla ricezione dei messaggi di posta elettronica non sollecitati. In tale contesto la dir. 2002/65/CE, , in materia di comuncazioni non richieste, ha operato la scelta di richiedere il preventivo consenso del consumatore quando le comunicazioni siano inoktrate mediante sistemi di chiamata automatizzata, mentre è rimessa agli Stati membri l'opzione sul modello da utilizzare allorchè il sistema di comunicazione sia individuale; nello stesso filone si colloca la dir. 2002/58/CE che disciplina la privacy nelle comunicazioni elettroniche, per la quale è sempre richiesto il consenso preventivo dell'abbonato allorchè al medesimo si inviino messaggi pubblicitari mediante dispositivi automatici di chiamata o di posta elettronica , compresi gli sms. Analogamente il Codice si occupa anche delle regole da adottarsi nella rete internet, e in gneerale, nelle reti telematiche, promuovendo l'adozione di un codice di buona condotta della rete e fissando i parametri fondamentali cui dovrà essere ispirato il codice deontologico della rete stessa. Essi possono sintetizzarsi in due grandi linee guida: I. assicurare una adeguata informazione agli utenti in ordine ai loro dati personali ed al trattamento degli stessi anche mediante informative on-line II. e favorire la trasparenza e la correttezza nei loro confronti nonché il pieno rispetto dei principi di cui all'art. 11 del Codice (finalità, pertinenza, non eccedenza, ecc.) in tale contesto non si puo' non parlare dei c.d. Cookies , considerati strumenti utili per l'analisi dell'efficacia della progettazione dei siti web e della pubblicità, nonché per la verifica dell'identità degli utenti che effettuano transazioni su internet. L'uso di questi strumenti parrebbe consentito chiaramente per scopi leciti, connessi al miglioramento dell'efficienza dei servizi della società dell'informazione ,purchè gli utenti ne siano stati informati e abbiano avuto la possibilità di rifiutare l'installazione del dispositivo.
Va infine evidenziato un ultimo aspetto, relativo ai browser , ossia quei programmi che rendono possibile la navigazione in rete e per mezzo dei quali, spesso, vengono trasmesse ai c.d. Web server più informazioni di quelle strettamente necessarie per stabilire la comunicazione senza che l'utente stesso se ne accorga permettendo , in tal modo, la registrazione dei vari collegamenti attivati dall'utente di internet e di ricavare informazioni su comportamento , identità , connessioni seguite o scelte effettuate durante le visite dei siti web: questi meccanismi, cioè, rendono possibile la “profilazione” dell'utente per la quale l'art. 14 prevede determinate cautele e restrizioni.
10, LA SICUREZZA DEL TRATTAMENTO DEI DATI PERSONALI
Se da un lato il Codice in materia di protezione dei dai personali contiene molteplici novità impattando sull'impianto normativo precedente, dall'altro, è pur vero che nulla muta, con riguardo ai principi generali dettati in tema di sicurezza dalla norma fondamentale di settore, la legge numero 675 del 1996. quest'ultima nel contemperamento delle ragioni di chi aveva interesse- necessità a che i dati circolassero in una logica di mercato e di chi, viceversa aveva diritto al controllo dinamico dei propri dati sul loro utilizzo, circolazione , protezione e cosi' via accoglieva al suo interno un meccanismo di contrappesi all'indiscriminato utilizzo dei dati stessi , ancorandolo ad un duplice precetto: da un lato, la previsione del consenso informato dell'interessato, dall'altro la prescrizione in capo al titolare del trattamento dei dati personali degli obblighi di custodia e di controllo dei dati , azionando specifiche tecniche di protezione volte a pervenire i rischi di distruzione o perdita degli stessi dati. Nel primo caso, le regole generali vincolavano il titolare del trattamento ad un'azione diretta al controllo e alla custodia dei dati personali dell'interessato , oggetto del trattamento , postulando dei criteri ben precisi entro i quali confinare gli obblighi in questione ; dall'altro , prescrivendo quel complesso di misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza, così come disposto dal dettato normativo dell'art. 1 del dpr num. 318 del 1999, il legislatore configurava quel livello minimo di protezione richiesto in relazione ai rischi previsti dall'articolo 15, legge 675/1996. ne scaturiva un sistema strutturato, a “doppio binario”, costituio dall'adozione di un sistema sicurezza adeguato e al passo dei tempi, ma, al contempo, qualificato da specifici obblighi: le misure minime di sicurezza , differenziate in base alla tipologia del trattamento. A tale modello corrispondeva un duplice modello sanzionatorio: per un verso , la violazione degli obblighi dettati dal comma 1 dell'art. 15, era sanzionata a titolo di responsabilità civile; diversamente, alla mancata adozione di misure minime di sicurezza poteva seguire la resposnabilità penale: la prima, richiamandosi al dettato codicistico dell0art. 2050 c.c. ; la seconda presente nell'art. 196 del Codice. L'impostazione descritta conserva la sua attualità , residuando alcune differenze rispetto alla precedente disciplina sia sulle caratteristiche generali delle misure minime di sicurezza che sugli ambiti applicativi delle stesse. Quest'ultime , contenute negli artt. 34-35 del Codice e poi specificate nell'allegato B , spiegano i loro effetti soltanto nei trattamenti effettuati con”strumenti elettronici” e senza “l'ausilio dis trumenti elettronici”. L'adozione di misure minime di sicurezza è così divisa: nel primo caso quest'ultime comprendo misure di tipo organizzativo quali la precisa indicazione degli incaricati e degli addetti al trattamento dei dati, come pure le specifiche modalità di trattamento, la tenuta degli elenchi e la prescrizione di procedure per la conservazione dei dari e delle modalità di accesso. Per di più , nell'ipotesi delle misure minime in relazione agli strumenti elettronici, è prescritta l'attuazione di procedure per la gestione delle credenziali di autenticazione (la conservazione e l'uso delle password). Nel caso invece , del trattamento effettuato senza l'ausilio di strumenti elettronici, basta richiamare le stesse misure minime di tipo organizzativo , cos' come individuate precedentemente, quando il trattamento è previsto con mezzi elettronici.
11, IL RISARCIMENTO DEI DANNI PER ILLECITO TRATTAMENTO DEI DATI.
