Scarica Riservatezza e privacy, UniBO, 2018 e più Sintesi del corso in PDF di Diritto Dell'Informazione E Della Comunicazione solo su Docsity!
Cap. 10 – Riservatezza e privacy
1. – La genesi del diritto alla riservatezza
Il diritto alla riservatezza si colloca nell’ambito dei diritti di nuova formazione: nella Costituzione non esistono riferimenti espliciti a questo diritto, nonostante sia possibile trarre alcune indicazioni dalla lettura sistematica di altre disposizioni che alludono al principio di riservatezza: in particolare l’art. 14 (protezione del domicilio), art.15 (segretezza della corrispondenza) e art. 13 (libertà personale). La riservatezza ha la peculiarità di essere uno tra i diritti più difficili da definire. In dottrina si afferma che la privacy è come l’oscenità: i giudici potrebbero non essere in grado di dire cosa è, ma la riconoscono quando la vedono. La riservatezza può essere intesa in senso socio-relazionale: un temporaneo distacco della persona dalla società in generale, attraverso mezzi fisici o psicologici. In questa prospettiva la riservatezza appare da un lato come diritto del singolo al controllo sulle informazioni che lo riguardano, dall’altro come diritto di auto-escludersi dalle altre persone. La disciplina della tutela dei dati personali si è sempre più inestricabilmente intrecciata con il loro trattamento online, pertanto non si possono ignorare le influenze dell’uso di Internet.
Il discorso si fa più complesso se la prospettiva si allarga agli aspetti comunicativi/informativi: la moltitudine di relazioni che si instaurano continuamente tra componenti del consorzio civile, grazie anche alle nuove tecnologie, finisce inevitabilmente per ampliare la prospettiva del diritto alla riservatezza che si distacca così dall’individuo fisico in quanto tale: sempre più spesso accade che in cambio di beni e servizi venga chiesto un corrispettivo di una parte di noi stessi e delle nostre informazioni personali.
1.1. – Riservatezza e privacy: due concetti non
sovrapponibili
È opportuno distinguere tra due diverse declinazioni del concetto di riservatezza che risentono della matrice anglosassone e
continentale: mentre nei paesi anglo-americani si parla di “right to be alone”, l’Europa ha dato più rilievo ai connotati informativi del diritto in oggetto, prestando attenzione alla tutela dei dati personali.
La distinzione ci porta a riflettere sull’intervallo temporale che separa i momenti storici in cui Stati Uniti, a partire dal 1891, e Italia, si sono interessati al tema. Negli USA, grazie ad un saggio di Samuel D. Warren, che aveva intrapreso una vita lussuosa e sfarzosa attirando la curiosità dei giornali, viene scritto, assieme al collega Louis D. Brandeis, il saggio “The Right to Privacy”. L’ultimo termine acquisisce una propria autonomia, disancorandosi dal principio di proprietà e viene inteso come possibilità di decidere se portare o meno alla conoscenza altrui i pensieri ed emozioni personali.
Nel nostro paese occorre attendere oltre un secolo per vedere codificati i principi relativi alla riservatezza con la legge 675/ (“Tutela delle persone e altri soggetti rispetto al trattamento di dati personali”): la legge è conseguenza delle preoccupazioni sollevate dalla circolazione ampia di dati personali della società contemporanea, richiesta da tempo per consentire l’applicazione su suolo italiano dell’accordo di Schengen.
Non mancano contestazioni linguistiche e giuridiche sull’espressione “diritto alla riservatezza”. Chi ritiene il termine “riservatezza” poco comprensivo (limita la portata del diritto solo in caso di violazione dei segreti) ha adottato l’espressione “diritto alla illesa intimità privata”; altri osservano che il concetto di privacy si è dilatato fino a ricomprendere “l’insieme delle regole sulla circolazione delle informazioni personali”, altri ancora hanno parlato di “diritto di essere lasciato solo”, sottolineando gli aspetti sociologici.
1.2. – Il lungo cammino verso la tutela della
riservatezza: i precedenti
Non è esatto dire che fino agli anni ’90 nel nostro paese non si sia parlato di riservatezza: fin dagli anni ’50 il tema è stato affrontato
interesse socialmente apprezzabile. La Corte muove dal caso Soraya Esfandiari, ex imperatrice di Persia: alla principessa era stata concessa dal marito una rendita economica in cambio di una vita illibata, ma un noto settimanale riuscì a pubblicare fotografie riprese con il teleobiettivo. La Corte in questa decisione azzarda una definizione del diritto di riservatezza: la decisione indica una serie di norme su cui ritiene possa fondarsi l’esistenza di un diritto alla riservatezza nel nostro sistema. Il caso è interessante poiché vi si intrecciano la tutela dell’immagine, nello sforzo di contemperare il diritto di cronaca con i diritti della persona. Grazie ad essa, anche i giudici di merito iniziano a sanzionare, concordi, la violazione di tale diritto
2 – Le peculiarità del modello italiano nel quadro
europeo
Il nostro paese è stato uno degli ultimi a dotarsi di una normativa sulla riservatezza.
Gli ultimi decenni del XX secolo hanno conosciuto una profonda trasformazione della società, sia a causa dello sviluppo delle tecnologie di comunicazione sia per l’affermazione si un’economia integrata su una scala internazionale: beni e servizi circolano rapidamente tra gli ordinamenti, per tale motivo è cruciale una protezione dei dati che viaggiano assieme ad essi.
Una prima generazione di norme nazionali risale agli anni ’70; la Comunità Europea si occupa in modo sistematico dell’argomento molto più tardi, con l’adozione della direttiva 95/46, riguardante il trattamento dei dati personali e la loro libera circolazione, in cui si afferma che gli Stati membri sono tenuti a operare affinché il trasferimento di dati personali possa avvenire solo se il paese in questione garantisce un buon grado di tutela.
Una seconda generazione di normative nazionali prevede che la raccolta dei dati sia consentita: in queste leggi, si evidenzia la definizione degli oggetti e del campo di applicazione della disciplina, individuati i responsabili del trattamento e i loro obblighi, regolato il diritto di accesso degli interessati alle
informazioni che li riguardano, stabilito un regime sanzionatorio per punire le infrazioni.
La normativa italiana è modellata sulla direttiva 47, ma i presupposti della legge n.675/1996 vanno rintracciati nell’Accordo di Schengen, che prevede una soppressione graduale dei controlli di frontiera e la promozione della libera circolazione di beni e persone. I motivi del ritardo italiano in questo campo sono vari: l’Italia ha preso coscienza del fenomeno molto tardi, poiché nel settore informatico è mancata un’adeguata politica di coordinamento, vi sono state resistenze nel mondo imprenditoriale contro il controllo amministrativo e dal punto di vista politico le esigenze di controllo democratico facevano scaturire dubbi sull’imposizione del contrario della riservatezza, la pubblicità.
La legge sopra citata è stata adottata all’ultimo momento utile (31/12/1996) sotto la spinta di scadenze europee non prorogabili, ed è stata modificata più volte. Le voci più critiche nei confronti di questa legge hanno visto in essa un modo con cui il legislatore ha inteso mettersi al riparo da critiche, consapevole della grande portata della norma: si passa da uno stato di completa anomia del settore a una tutela praticamente onnicomprensiva.
Ancora oggi, la direttiva UE sulla protezione dei dati personali rappresenta la regolamentazione più severa al mondo, e l’Unione considera la legislazione statunitense così carente da non consentire alcuna esportazione di dati verso questo paese. Per questo motivo è stato ratificato l’accordo relativo al trasferimento dati per scopi commerciali firmato nell’agosto 2002, con il nome icastico di “Safe Harbour” (porto sicuro)
La Carta dei diritti fondamentali dell’Unione europea ha inserito la protezione dei dati di carattere personale tra i diritti oggetti della sua tutela: tale Carta è stata ripresa integralmente dal Trattato che istituisce una Costituzione per l’Europa.
Anche la CEDU fa riferimento alla tutela della riservatezza nell’art. 8: “Ogni persona ha diritto al rispetto della sua vita privata e familiare (…) non può esservi ingerenza della pubblica autorità nell’esercizio di tale diritto se non in quanto tale ingerenza sia
casi in cui il trattamento anonimo del dato non consentirebbe il raggiungimento delle finalità tipiche dell’attività posta in essere. Con i d.lgs. 69 e 70 del 2012, il Governo ha dato attuazione alla direttiva europea 136 del 2009, in materia di trattamento dei dati personali e tutela della vita privata. Le modifiche approvate dal Consiglio dei Ministri al Codice della privacy e delle comunicazioni elettroniche sono finalizzate a rafforzare il mercato interno dei 28 paesi UE attraverso una maggiore tutela dei consumatori, dando attuazione alla strategia comunitaria in materia di comunicazioni elettroniche “Europa 2020”. Nei decreti si legge che nomi, indirizzi e-mail e informazioni bancarie devono essere tenuti al sicuro da un uso indesiderato. Le nuove norme obbligano i fornitori di reti e servizi a informare le autorità e i loro clienti circa le violazioni della sicurezza. Inoltre, le norme in materia di privacy vengono rafforzate in merito all’uso dei cookies e sistemi simili: gli utenti Internet dovranno essere maggiormente informati sull’esistenza di tali cookies, software spia e altre tecniche di tracciamento, consentite solo per finalità legittime.
3.1 – L’oggetto del trattamento
Il Codice prosegue con una serie di disposizioni puntuali sul trattamento dei dati personali. L’art. 4 del d.lgs. 196/ introduce una lunga lista di definizioni: per dato personale si intende qualunque informazione relativa a persona fisica, giuridica, ente o associazione, identificati o identificabili mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale ; per dato identificativo invece si intende un dato personale che permette l’identificazione diretta dell’interessato I dati sensibili nel Codice italiano sono invece dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religione, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati (…) nonché i dati personali idonei a rivelare lo stato di salute o la vita sessuale. Per banca dati si intende qualsiasi complesso organizzato di dati personali.
Queste definizioni appaiono, di primo acchito, così ampie da vincolare al rispetto della legge qualsiasi informazione: vengono qui in aiuto deroghe che limitano il campo di applicazione della legge, consentendo l’esclusione dalla sua portata dei dati contenuti. Evidentemente il rispetto dei vincoli di trattamento rappresenterebbe solo un inutile appesantimento rispetto alla conoscibilità di un dato.
La qualità di dato sensibile è collegata alla idoneità del dato a rivelare determinate caratteristiche legate alle scelte più intime e personali dell’individuo, le quali potrebbero facilmente prestarsi a un trattamento discriminatorio da parte di chi ne venisse a conoscenza. In linea teorica, tuttavia, qualsiasi dato, anche il più neutro, può divenire uno strumento idoneo a rivelare uno di questi “dati sensibili”.
Una prima nozione di “dati sensibili” si ritrova già nell’art. 6 della convenzione n.108/1981 approvata dal Consiglio di Europa, quale primo strumento internazionale. La nozione è stata ripresa dalla direttiva 46 del 1995 e dal Codice privacy.
In virtù della delicatezza dei dati sensibili divengono necessarie previsioni ad hoc che ne garantiscano un trattamento sicuro; la regolazione in proposito appare più restrittiva rispetto a quella per i dati personali “comuni”: il consenso, ad esempio, deve essere necessariamente espresso in forma scritta.
Alcuni settori economici e sociali impongono il frequente trattamento dei dati sensibili e richiedono una disciplina differenziata (ad esempio, nel settore sanitario): per questo si è avvertita l’esigenza di fissare regole differenziate anche per gli enti pubblici in generale, per permettere il regolare svolgimento delle attività burocratiche a servizio dei cittadini. In quest’ottica, il trattamento dei dati sensibili da parte di soggetti pubblici è consentito solo se autorizzato da espressa disposizione di legge.
Anche l’esercizio dell’attività giornalistica implica il trattamento di dati sensibili mediante archivi, dossier, banche dati individuali: il Codice esonera i giornalisti dall’obbligo di autorizzazione previa dal
raccolta dei dati (fini dell’utilizzazione, modalità di trattamento, gli estremi identificativi di chi la opera). In questo modo il legislatore italiano mostra di voler aderire a quel sistema di regolamentazione conosciuto come “opt-in system” (per cui ogni individuo deve autorizzare in via preventiva il trattamento dei dati che lo riguardano), rifuggendo dall’ “opt-out system”, adottato nell’ordinamento statunitense. Si tratta di una vera e propria contrapposizione di modelli regolativi: la manifestazione di volontà del soggetto cui si riferiscono i dati opera come un’autorizzazione che rende conforme all’ordinamento un’azione altrimenti illecita: l’interessato ha la facoltà di scegliere se entrare a far parte della categoria di persone i cui dati personali possono essere utilizzati; il secondo modello, invece, il punto di partenza è rappresentato dalla facoltà di chiunque di utilizzare i dati personali di altri soggetti: è il diritto potestativo dell’interessato di manifestare il proprio dissenso all’uso dei dati che lo riguardano (in questo caso il titolare dei dati personali, che ab initio rientra nella schiera di persone i cui dati possono essere utilizzati, può scegliere di essere posto al di fuori di questa categoria). La soluzione adottata dal nostro ordinamento appare ben più rigorosa e garantista. Tuttavia, considerato che i meccanismi della società in cui viviamo e, in modo crescente, l’economia del sistema dei media si alimentano necessariamente di dati personali, appare ineludibile l’esigenza di individuare alcuni casi di esclusione dall’esclusione dall’obbligo di consenso. Il Codice prevede che i dati sensibili possono essere oggetto di trattamento anche senza consenso, previa autorizzazione del Garante. Inoltre, il Codice stabilisce che si possono adottare autorizzazioni generali per intere categorie di titolari o di trattamenti: è il caso dei liberi professionisti, degli enti associativi o delle fondazioni. In questi casi il titolare del trattamento che rientra in una di queste categorie non deve presentare al Garante una specifica richiesta di autorizzazione. Da segnalare che la responsabilità per danni collegati al trattamento dei dati personali è modellata sul paradigma dell’art. 2050 c.c., che disciplina la responsabilità per l’esercizio di attività
pericolose. Il rinvio a questa disposizione produce una sorte di “inversione dell’onere della prova” per cui il danneggiato è tenuto solamente a provare di aver subito un danno per un trattamento: una prova difficile da fornire. In dottrina, vi è chi sostiene che il rinvio all’art. 2050 c.c. non implicherebbe solo una presunzione di colpa, ma imporrebbe al danneggiante di dimostrare che il fatto è dovuto ad un evento causativo imprevedibile e inevitabile. Colpisce nella soluzione italiana il fatto che la responsabilità sia ricondotta a “chiunque cagiona danno ad altri per effetti del trattamento di dati personali”, laddove la direttiva comunitaria fa riferimento al solo responsabile del trattamento; inoltre il Codice sulla privacy sembra ricomprendere nel ventaglio dei danni risarcibili anche quelli collegati al trattamento “lecito”, mentre la direttiva comunitaria si limita a sanzionare i danni da trattamento illecito di dati personali. Queste differenze determinano un aggravio di responsabilità per tutti coloro che partecipano ad un trattamento di dati personali.
3.4 – I soggetti che intervengono nel trattamento
dei dati
Per quanto riguarda i diversi attori chiamati in causa dalla disciplina, il Codice per la protezione dei dati personali afferma che per “titolare” si intende la persona fisica, giuridica, la PA o qualsiasi altro ente cui competono le decisioni alle finalità, modalità del trattamento di dati e agli strumenti utilizzati; il “responsabile” è invece chi viene preposto dal titolare al trattamento dei dati; l’ ”interessato” è a chi si riferiscono i dati personali e infine gli “incaricati” sono le persone fisiche autorizzati a compiere operazioni di trattamento dal titolare o dal responsabile.
Il Garante per la protezione dei dati personali completa questo quadro di soggetti: nel Codice privacy si afferma che questo organo opera in piena autonomia, con autorità amministrativa indipendente, costituita da quattro componenti scelti tra persone che assicurano indipendenza e tra esperti di riconosciuta competenza delle materie in diritto o dell’informatica. Le funzioni del Garante spaziano dalla vigilanza e controllo (registro generale dei trattamenti, rispetto delle norme, denunce di illeciti), alla
Questa serie di deroghe a favore del giornalismo si giustificano nella misura in cui l’attività di raccolta e diffusione avvenga nel rispetto del principio dell’essenzialità dell’informazione: il Codice deontologico stabilisce che la divulgazione di notizie di rilevante interesse contrasta con il rispetto della sfera privata quando l’informazione sia indispensabile per l’originalità del fatto o della relativa descrizione dei modi in cui è avvenuto.
Il Codice di deontologia si estende a tutti coloro che esercitano, anche occasionalmente, l’attività pubblicistica: di qui si evince il trattamento speciale che dipende dall’oggettivo svolgimento di una funzione essenziale per la collettività. Ciò, a dimostrazione del fatto che il concetto di “attività giornalistica” è ben più ampio di quello di “professione giornalistica”.
4 – L’oblio: un diritto moderno con radici antiche
Nella tutela offerta dal diritto alla riservatezza viene fatto rientrare anche il diritto all’oblio. Si tratta di “nuovo” diritto dell’individuo, creato dall’elaborazione giurisprudenziale come argine all’esercizio del diritto di cronaca e ai danni che da esso possono derivare all’onore e reputazione di persone. Esso nasce per gemmazione dal diritto alla riservatezza, rispetto al quale il fattore tempo rappresenta l’elemento differenziale: lo scorrere del tempo determina la perdita di rilevanza pubblica della notizia e il maturare un interesse del titolare a rientrare nell’anonimato. La dottrina aveva parlato in passato anche di “diritto al segreto del disonore”, introducendo un’ulteriore sfumatura concettuale. Si vuole evitare, in pratica, che vengano diffuse informazioni riferite ad un periodo temporale ormai lontano.
Questa finalità è presente anche all’interno del Codice sulla privacy, che impone di conservare i dati in una forma che permetta di indentificare l’interessato per un periodo di tempo “non superiore” a quello necessario agli scopi per i quali essi sono stati raccolti e riconosce all’interessato il diritto di ottenere l’aggiornamento.
Le lesioni più eclatanti di tale diritto si compiono attraverso Internet, in cui tutto ciò che viene inserito rimane come una
memoria illimitata e senza tempo; un deposito estremamente frammentato che rende difficile il reperimento di tutte le informazioni su un determinato soggetto, poiché esse risultano isolate, poste al medesimo livello, prive di contestualizzazione e collegamento con altre informazioni pubblicate. La medesima notizia potrebbe comparire in una miriade di siti molto difficilmente individuabili nella loro totalità. È evidente come sia estremamente difficile per l’interessato esercitare un effettivo controllo sui dati che lo riguardano. Ciò senza trascurar la difficoltà di stabilire con precisione il soggetto passivo di questo diritto, che varia a seconda che la richiesta di aggiornamento, rettificazione o cancellazione di dati venga indirizzata al motore di ricerca, all’ISP ecc. Dalla sentenza Cass. Civ. del 5 aprile 2012, n.5525 (riguardante l’arresto di un personaggio politico di un piccolo Comune lombardo, poi assolto e rilasciato nel 1993, che lamentava che la notizia appare online e manchi ogni riferimento al successivo epilogo favorevole) la Cassazione afferma che il titolare di un sito fonte ha il compito di aggiornare e contestualizzare la notizia. Si tratta dunque di un’evoluzione che si configura come un diritto alla rettifica di notizie inesatte, incomplete o non aggiornate. La Cassazione ricompone le varie facce del diritto di cronaca, collegando l’interesse pubblico con l’attualità della notizia. Il cerchio si chiude con il riconoscimento del diritto del singolo a ripristinare l’ordine alterato dalla notizia falsa.
Alcuni autori hanno letto in questa pronuncia l’affermazione di un diritto di libertà informatica, prima ancora che un vero e proprio diritto all’oblio: entrambi troverebbero fondamento nella tutela della dignità dell’uomo. Altri autori precisano invece che la pronuncia riafferma il diritto all’identità personale, con riguardo alla fattispecie relativa alle informazioni non aggiornate online.
Ciò che pare rilevante è il binomio diritto all’oblio/diritto di rettifica, chiaramente formalizzato nella sentenza sopra ricordata. Esso trova corrispondenza a livello europeo nella proposta del Parlamento Europeo e del CPD del 25/01/2012. Il considerando 53 dispone che ogni persona deve avere il diritto di rettificare i dati
che le autorità nazionali che si occupano di dati personali non possano obbligare i gestori dei motori di ricerca a cancellare link alle pagine che contengono dati personali. La Corte identifica l’ISP, e in questo caso Google, come il soggetto tenuto ad assicurare che i diritti individuali siano rispettati e ripristinati. Se un cittadino ritiene che alcune informazioni sulla sua vita siano lesiva della privacy, il principale responsabile individuato è il provider. Google di qui ha attivato un proprio sistema per ricevere le richieste di deindicizzazione e definirne la fondatezza e quindi la praticabilità. Per quanto riguarda infine il diritto all’eredità dei dati digitali a seguito della morte del proprietario di tali dati, si pone il problema se gli eredi possano invocare la successione nei dati informatici del de cuius e se essi possano farlo mediante esibizione del certificato di morte del congiunto, o se invece sia richiesto un apposito testamento informatico o mandato post mortem.
5 – I problemi aperti
L’introduzione del Codice per la protezione dei dati personali lascia aperti alcuni problemi. Il primo di essi riguarda il rapporto o l’interferenza tra il diritto alla riservatezza e il diritto alla trasparenza, che muove in direzione radicalmente opposta rispetto al primo. È cruciale stabilire come questi due valori possano trovare un equilibrio all’interno del quadro ordinamentale. In sintesi, può osservarsi che una lettura risultata in un primo tempo prevalente riteneva che la trasparenza incontrasse nella riservatezza uno scoglio insormontabile. A seguito dell’introduzione della legge 675/1996 l’orientamento è in parte mutato: a partire da questo momento si afferma che il bilanciamento tra trasparenza e riservatezza risulta operato direttamente dal legislatore che sembra accordare a queste ultime una chiara prevalenza sulla disciplina della privacy. Una soluzione interpretativa meno tranchant propone di valutare la prevalenza o dell’una o dell’altra, attraverso una formulazione incentrata sulla comparazione tra la riservatezza e la posizione giuridica a tutela della quale l’accesso viene esercitato. Attraverso questo criterio
pragmatico si ottiene un bilanciamento più rispondente alla reale consistenza delle pretese avanzate.
Si consideri inoltre che sull’amministrazione incombe un dovere/ obbligo di mettere a disposizione le informazioni necessarie all’esercizio dei diritti di partecipazione amministrativa. Per questo il Codice dell’amministrazione digitale dispone che i siti delle PA devono contenere alcuni dati considerati pubblici, come i nomi dei dirigenti responsabili dei singoli uffici, il nome del responsabile e l’unità organizzativa responsabile: una sorte di rinuncia ex lege ai diritti di riservatezza per chi svolge lavori amministrativi resa esplicita dalla riforma Brunetta.
La recente legislazione “anticorruzione” in tema di trasparenza amministrativa (d.lgs. 33/2013) dichiara l’intento di rendere effettivo il concetto di accessibilità totale ai dati pubblici mediante il riconoscimento di situazioni soggettive apparentemente “nuove”: diritti di “chiunque” rafforzati da un diritto di “accesso civico” a dati e informazioni.
Un secondo problema lasciato aperto dall’introduzione di una normativa sul trattamento dei dati personali riguarda la mutevolezza del concetto stesso di riservatezza, che non è un diritto “sacro” ma contingente, legato alle esigenze sociali di certi momenti storici. Il pendolo della tutela giuridica, nell’ultimo trentennio, si è spostato dal polo della comunità a quello dell’individuo; in seguito, la recente ondata di terrorismo ha invertito la tendenza.
Ovviamente, un ordinamento democratico non può tollerare che possano venire compromessi i diritti fondamentali riconosciuti a tutti i cittadini: diritto alla privacy e interesse collettivo alla sicurezza non sono dotati del medesimo spessore più che bilanciamento fra diritti in senso tecnico è dunque opportuno parlare di ragionevolezza e proporzionalità delle misure introdotte.
L’asimmetria tra questi due diritti spiega perché la proliferazione di banche dati destinate all’archiviazione di dati genetici, le misure antiterroristiche e la tendenza sempre più massiccia alla raccolta occulta di informazioni abbiano generato forti reazioni nelle Corti
