La legge 675/96 vieta Internet?
di Manlio Cammarata(*) - 18.02.97

Sommario
1. Premessa
2. I dati personali presenti nel sistema
4. La diffusione dei dati sulla Rete
5. L'anonimato protetto

1. Premessa
La disciplina del trattamento dei dati personali in ambito Internet è in parte contenuta nelle disposizioni della legge 675/96, in parte sarà definita da un futuro decreto legislativo, previsto dall'art. 1, comma 1, lettera B) n. 7 della legge delega 676/96.
Le conseguenze di questa legislazione "a rate" potrebbero essere devastanti: è già scattato il conto alla rovescia per gli adempimenti previsti dalla legge generale, ma quid juris per le situazioni che la legge stessa non prevede? Se si applicassero pedissequamente le norme vigenti, tanto varrebbe chiudere Internet, cioè vietare l'attività dei provider italiani. In realtà si profila un lungo periodo di incertezza, caratterizzato dalla necessità di "stirare" le norme in vigore.

2. I dati personali presenti nel sistema

I dati personali trattati nell'ambito di Internet possono essere divisi in due categorie: dati relativi ai soggetti abbonati a un fornitore, compresi in determinati archivi, e dati immessi dagli interessati o da soggetti diversi nell'attività di diffusione delle informazioni che costituisce la ragione prima dell'esistenza della Rete.
Partiamo dalle banche dati normalmente presenti nel sistema di un ISP (Internet Service Provider) o di un IAP (Internet Access Provider).

a) La prima, è più ovvia, è l'elenco degli abbonati, che comprende di solito i dati anagrafici e l'username (cioè l'identificativo pubblico assegnato all'utente, che può anche essere uno pseudonimo o un nome di fantasia, il cosiddetto nickname). Questo elenco in molti casi è accessibile al pubblico e costituisce quindi una sorta di rubrica telefonica, mentre in alcuni casi è riservato.

b) Collegato all'elenco degli abbonati è il delicatissimo archivio delle password, cioè delle chiavi private che, in combinazione con l'username, consentono l'accesso al sistema o a parti di esso. L'archivio delle password dovrebbe essere sempre crittografato con algoritmi one way e superprotetto contro le intrusioni (sugli aspetti della sicurezza e sui risvolti penali si veda la relazione di Gianni Buonomo Banche dati, privacy e sicurezza: gli obblighi del gestore).

c) Terzo, importantissimo archivio, è quello dei log, cioè delle registrazioni automatiche dei principali dati dei collegamenti, generati automaticamente dal sistema. È compito del responsabile del sistema stesso decidere quali informazioni debbano essere raccolte e in che modo vadano archiviate e protette. L'utilizzo più comune dei log è per gli addebiti dei collegamenti, quando sono praticate tariffe a tempo o è previsto un tempo massimo giornaliero o mensile; si possono generare log molto dettagliati o ridotti all'essenziale, ma l'importante è che possano essere utilizzati in caso di contestazioni degli abbonati e anche per ricostruire collegamenti sospetti nel caso di tentativi di accesso illecito al sistema o della commissione di altri reati telematici. Dal punto di vista della protezione dei dati personali l'archivio dei log è delicato quanto quello delle password, perché può contenere informazioni molto riservate: i tempi di collegamento di ciascun utente, a quali ore si collega, quali siti visita più di frequente, quali prodotti acquista e via discorrendo. Un log molto dettagliato premette di costruire un profilo dell'abbonato che può essere utilissimo per le promozioni commerciali, e anche per diffamazioni, ricatti, estorsioni e altre poco nobili attività.

Con questi tre punti si esaurisce la rassegna degli archivi "strutturali" di un sistema telematico, archivi che vanno considerati sotto una serie di aspetti funzionali: la raccolta delle informazioni, la loro conservazione, l'elaborazione, la comunicazione a terzi, la diffusione e il cosiddetto "trasferimento all'estero".

a) La raccolta delle informazioni può avvenire in forma esplicita, come nella compilazione delle schede anagrafiche, o in background, come nella registrazione dei log. Un caso a parte è costituito dall'archivio delle password, il cui aggiornamento è spesso nelle mani degli utenti, ma la cui gestione e protezione spetta al gestore del sistema.

b) La conservazione delle informazioni è rilevante soprattutto per la protezione della riservatezza: se l'archivio degli abbonati può essere pubblico, almeno per certi dati, quelli delle password e dei log devono essere difesi dalle intrusioni non autorizzate con tutti i mezzi messi a disposizione dalla tecnologia: collocazione in zone protette del sistema, crittografia, password di accesso e via discorrendo, senza dimenticare la protezione fisica dei locali e del sistema (badge di accesso, serrature affidabili ecc.).

c) L'elaborazione dei dati. Essi sono normalmente elaborati per scopi amministrativi, per la fatturazione dei consumi, per scopi statistici e commerciali, per scopi tecnici o quando si devono analizzare le prestazioni dei sistemi. Un caso a parte è l'elaborazione delle password, sotto l'aspetto della cifratura e del confronto automatico che autorizza l'accesso: la raccolta, la conservazione e l'elaborazione del dato costituiscono momenti inscindibili di un processo unico, con particolari implicazioni dal punto di vista della sicurezza.

d) La comunicazione e la diffusione. La prima consiste nella trasmissione delle informazioni a determinati soggetti, la seconda si risolve di fatto nella messa in rete delle informazioni. E qui incominciano i veri problemi per gli operatori telematici, perché nel momento stesso in cui un dato viene messo in rete, esso viene esportato, e rientra quindi nelle rigide disposizioni dell'art. 28.

3. La diffusione dei dati sulla Rete
Dobbiamo considerare due aspetti.
Il primo è che l'informazione in rete comprende per sua natura una quantità enorme di dati personali, che vengono diffusi materialmente dagli Internet provider, ma che sono immessi da una moltitudine di soggetti per finalità connesse all'informazione stessa, anzi, sono spesso sono connaturati alle informazioni. Pensiamo a un classico sito universitario, con l'elenco delle facoltà, delle materie di insegnamento e dei docenti: ai sensi delle norme sulla protezione dei dati personali si tratta di vere e proprie "banche dati", dalle quali si ricavano le informazioni sull'attività di alcune persone. Si apprende, per esempio, che il professor Tal dei Tali insegna la tale materia in tale facoltà, e questa è un'informazione personale protetta dalla legge. Per fare un esempio più immediato, personalissimo, "sfogliando" MC-link chiunque può sapere che Manlio Cammarata è un giornalista, che collabora alle riviste MCmicrocomputer e MC-link, si occupa di diritto delle tecnologie dell'informazione, è coordinatore del Forum multimediale "La società dell'informazione". Notizie banali, certo, ma si tratta di informazioni la cui raccolta, conservazione, elaborazione, diffusione e trasferimento all'estero sono regolate dalla legge. Aggiungiamo che una semplice elaborazione delle informazioni reperibili nel Forum, che sono a disposizione di chiunque in qualsiasi parte del mondo, può portare alla costruzione di un elenco di rapporti interpersonali tra i partecipanti alla discussione, che sono magistrati, avvocati, docenti universitari, funzionari pubblici. I dati di questo elenco potrebbero essere correlati ad altri dati, fino alla costituzione, all'insaputa degli interessati, di veri e propri dossier.

Il secondo aspetto è ancora più problematico: Internet è, per sua natura, un sistema globale, privo di confini fisici e politici, che si sovrappone al sistema politico disegnato dal diritto internazionale. Non è facile inquadrare questo concetto dal punto di vista giuridico, perché quando un'informazione viene immessa in Internet non si verifica un passaggio da uno stato a un'altro stato, come quando un individuo o un bene attraversano una frontiera, ma si realizza il passaggio di beni immateriali da un territorio fisico e giuridicamente delimitato a uno spazio illimitato e ancora non definito da norme di diritto positivo. È qualcosa che assomiglia alla situazione in cui si trova un natante che supera il limite delle acque territoriali di uno stato e si trova in uno spazio "di nessuno". Ma, mentre ci sono accordi tra gli stati che regolano il passaggio e l'attività nelle acque internazionali, nessuna legge regola il ciberspazio. È necessario che ci si renda conto che la definizione di "ciberspazio" non è soltanto una suggestiva invenzione letteraria, ma corrisponde a una realtà precisa, della quale è urgente definire gli aspetti giuridici.

Ora consideriamo il fatto che l'art. 28 della legge sui dati personali afferma che Il trasferimento anche temporaneo fuori del territorio nazionale, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento deve essere previamente notificato al Garante, qualora sia diretto verso un Paese non appartenente all'Unione europea (comma 1) e che Il trasferimento è vietato qualora l'ordinamento dello Stato di destinazione o di transito dei dati non assicuri un livello di tutela delle persone adeguato (comma 3). Prima di tutto si dovrebbe notare l'incongruenza del concetto di "dato" con quello di "trasferimento temporaneo", perché il dato viene trasferito solo se viene comunicato a terzi o diffuso, e questo "trasferimento" è irreversibile. Come faccio a comunicare "temporaneamente" a qualcuno il mio nome o la mia professione? Voce dal sen fuggita, più richiamar non vale... Ma se mi reco all'estero per qualche giorno con in tasca la mia agenda e non comunico a nessuno i dati che contiene, e poi torno in Italia, si può parlare di "trasferimento temporaneo di dati"? È contro il più elementare buonsenso! Il fatto è che anche in questo caso si confonde l'informazione con il supporto che la contiene, e si cerca di applicare a un elemento immateriale una norma riferibile solo a qualcosa di fisico.
Forse l'aggettivo "temporaneo" può riferirsi solo alla semplice copia di un archivio su un sistema posto in un territorio estero, non accessibile a terzi, ma in questo caso i dati non escono dalla sfera "interna" del titolare, di fatto non sono "esportati". Il punto è questo: ci può essere un trasferimento di dati all'estero senza comunicazione o diffusione?

È necessario capire se per "trasferimento all'estero" si intende il semplice invio di bit a un sistema informativo posto fisicamente fuori del territorio nazionale, o se il trasferimento si verifica quando qualcuno (comunicazione) o una generalità di soggetti (diffusione) ne prende conoscenza, o ha la possibilità di prenderne conoscenza. Se consideriamo che la diffusione dei dati consiste anche nella messa a disposizione o consultazione (art. 1, comma 2, lettera h), formula che si adatta perfettamente alla pubblicazione su Internet, concludiamo che la semplice presenza dei dati su un server collegato alla Rete determina, ipso facto, il trasferimento all'estero dei dati stessi.
E qui sorge il vero problema: se la pubblicazione di informazioni personali su Internet configura senza dubbio la strana fattispecie del "trasferimento di dati all'estero", e siccome non ci sono confini nella diffusione delle informazioni su Internet (e il gestore del sistema non può determinare verso quali stati le informazioni vengono trasferite, e per i quali possono transitare), si ricade inevitabilmente nella previsione del terzo comma, cioè il trasferimento o il transito in stati che non assicurano un livello di tutela delle persone adeguato. Il che è vietato. Ed ecco la paradossale conclusione: se consideriamo che il trasferimento dei dati all'estero è insito nella natura stessa di Internet, dobbiamo concludere che "Internet è vietata"!

In conclusione si può dire che, allo stato attuale della legislazione, non ci sono problemi per quanto riguarda i dati archiviati all'interno del sistema telematico, mentre ce ne sono molti e di difficile soluzione per le informazioni personali che fanno parte dei contenuti. Per i primi si dovranno seguire le disposizioni della legge 675, in particolare dell'art. 7, e inserire nei contratti di abbonamento alcune clausole che soddisfino le previsioni degli artt. 10 e 11. Per gli altri si dovrà attendere il decreto o i decreti legislativi ex art. 1, comma 1, lettere f) e n) della 676.
Nel frattempo la situazione può presentare qualche rischio, perché il rimando esplicito a una legge futura dovrebbe escludere l'applicabilità della legge in vigore al trasferimento dei dati all'estero via Internet, ma i diritti dell'interessato sono rigidamente stabiliti dalla 675. E quindi qualcuno potrebbe richiederne la cancellazione o la modifica. Riflettiamo però sul fatto che le pagine del World Wide Web sono continuamente esplorate e copiate da altri soggetti, che si trovano in ogni parte del mondo, e soprattutto dai "motori di ricerca". Sicché nessuno potrebbe fornire all'interessato un'informazione attendibile su quali suoi dati siano custoditi, e dove, e per quali fini e per quanto tempo...

4. L'anominato protetto
Un'ultima annotazione per concludere: l'esame del testo della legge porta anche alla soluzione del problema dell'anonimato, che alcuni vorrebbero libero e totale, e altri vorrebbero escludere del tutto. A norma dell'art. 13 l'interessato può opporsi alla diffusione del suo nome o di altre informazioni, ma l'art. 12 stabilisce che il consenso non è richiesto a) quando il trattamento riguarda dati raccolti e detenuti in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria; b) è necessario per l'esecuzione di obblighi derivanti da un contratto del quale è parte l'interessato o per l'acquisizione di informative precontrattuali attivate su richiesta di quest'ultimo, ovvero per l'adempimento di un obbligo legale. Dunque il legislatore accoglie implicitamente la formula del cosiddetto "anonimato protetto", per il quale il titolare della banca dati deve essere a conoscenza della vera identità dell'interessato, ma gli può essere impedito di divulgarla.

(*) Giornalista