Data retention, la "Pisanu" dovrà fare i conti con l'Europa

di Gloria Marcoccio* - 23.07.07

Attenzione: il contenuto delle nostre comunicazioni non è, di norma, registrato. Però per legge tutti i dati necessari per identificare varie informazioni legate alla tracciabilità delle nostre comunicazioni sono conservate, eccome, anche per (pochi…) anni. La legge in oggetto è l’ormai noto DLgv 196/03 “Codice in materia di protezione dati personali”, nel quale il tema della conservazione dei dati di traffico telefonico e telematico (in gergo tecnico si parla di data retention), è trattato nel Titolo X “Comunicazioni elettroniche”.
Le originali regole sulla data retention, nate nel DLgv 196/03 come recepimento della direttiva europea 2002/58/CE, sono state modificate nel 2005 dal cosiddetto “decreto Pisanu” (decreto-legge 27 luglio 2005, n. 144, “misure urgenti per il contrasto del terrorismo internazionale”), convertito in legge con le modificazioni riportate nella legge 31 luglio 2005, n. 155.

Come può dedursi da questa breve cronistoria, le regole sulla data retention vivono una vita tormentata. Ovviamente non è un caso: le motivazioni sono realmente importanti (la lotta al terrorismo), i costi per metterle effettivamente in pratica sono notevoli e a carico delle aziende impegnate nel fornire servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazioni. Non ultimo, la chiarezza e completezza a livello normativo non sembrano ancora sufficientemente mature.

Ma la storia della data retention non termina qui. Infatti il 15 marzo 2006 è stata emessa la direttiva 2006/24/CE del Parlamento europeo e del Consiglio “riguardante la conservazione di dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE”.
L’Italia è uno dei pochi paesi che ha scelto di non avvalersi della facoltà di differire fino al 15 marzo 2009 l’applicazione di questa direttiva. Così, insieme ad altri otto paesi dell’Unione europea, i nostri legislatori sono chiamati ad effettuare il recepimento della direttiva entro il 15 settembre 2007. Il Garante, nella sua relazione al Parlamento citata all’inizio, ha dichiarato che, nell’ambito delle attività previste nel 2007, nel prossimo autunno si arriverà alla “adozione definitiva del provvedimento generale sulle regole e i tempi per la conservazione dei dati di traffico”.

La data retention almeno in Italia è dunque ancora in piena fermentazione. L’argomento non è di poco conto, sia per i singoli utenti dei servizi di comunicazioni elettroniche sia per gli enti pubblici e privati coinvolti nell’applicazione.
Qual è allora la situazione attuale in Italia per queste regole, e cosa richiede, di diverso, la direttiva europea del 2006? In questo articolo iniziamo ad approfondire l’argomento, in attesa del provvedimento generale annunciato dal Garante per questo autunno.

Le nostre considerazioni, riportate in questo e nei successivi articoli, non intendono in alcun modo criticare sempre e comunque e per partito preso le norme italiane: ci si rende ben conto che si tratta di temi complessi, dove il bilanciamento tra le esigenze di definire regole ben inserite nel contesto normativo italiano e le necessità di mantenere un forte aggancio a criteri e requisiti validi internazionalmente è operazione complessa, resa ancor più difficile dalle inevitabili mediazioni a livello nazionale. Esistono però diversi aspetti dell’attuale e futura data retention che meritano di essere portati all’attenzione, perché hanno un reale impatto sul nostro uso quotidiano dei mezzi di comunicazione.

La data retention oggi in Italia

Le attuali regole sono rappresentate schematicamente nella seguente tabella.

Da notare che ad oggi il termine "traffico telematico" è utilizzato nelle nostre normative in materia di  protezione dati personali e comunicazioni elettroniche senza una formale definizione, che sarebbe essenziale per poter circoscrivere in modo operativo l’effettivo ambito di applicabilità della legge in oggetto.

La direttiva europea sulla data retention

La direttiva europea 2006/24/CE del 15 marzo 2006 ha come obiettivo l’armonizzazione delle disposizioni dei Paesi appartenenti all’Unione europea in relazione agli obblighi che ricadono sui fornitori di servizi di comunicazione elettronica accessibili al pubblico o di una rete pubblica di comunicazione, e che riguardano la conservazione di determinati dati per poterne garantire la disponibilità “a fini di indagine, accertamento e perseguimento di reati gravi, quali definiti da ciascuno Stato membro nella propria legislazione nazionale”.

La direttiva è rivolta agli Stati membri che hanno l’obbligo di recepirla ciascuno nel proprio sistema nazionale entro il 15 settembre 2007, o al più tardi entro il 15 settembre 2009 per gli Stati che desiderano avvalersi della possibilità di ritardare la data di recepimento. Così hanno scelto: Austria, Belgio, Cipro, Estonia, Finlandia, Germania, Grecia, Lettonia, Lituania, Lussemburgo, Olanda, Polonia, Regno Unito, Repubblica Ceca, Slovenia, Svezia.

All’articolo 5 sono definite le categorie di dati oggetto di conservazione secondo i requisiti della direttiva: all’interno di ogni singola categoria è individuato il dato, con distinzione tra quelli relativi alla telefonia fissa e mobile e quelli relativi all’accesso ad internet, alle e.mail ed alla telefonia via internet.
Per il periodo di conservazione, la direttiva fissa un tempo minimo di 6 mesi ed un tempo massimo di 24 mesi a partire dalla data di inizio della comunicazione, indipendentemente dalla categoria dei dati.
Le prescrizioni riportate agli articoli 7 ed 8 riguardano la sicurezza e protezione dei dati conservati e la necessità di doverli trasmettere alle autorità competenti senza ingiustificato ritardo.

Ce n’è quanto basta per attendersi un recepimento non proprio indolore per gli operatori pubblici di telefonia e di servizi internet e di non facile quadratura di cerchi per i legislatori nostrani, che dovranno introdurre le conseguenti norme nel composito quadro nazionale in materia di protezione dati personali e comunicazioni elettroniche. E nel contempo fare i necessari sforzi per contribuire all’armonizzazione con gli altri paesi della Unione europea, richiesta dalla direttiva.

Compito che si preannuncia davvero non facile e riconosciuto come tale anche dal “Gruppo di lavoro protezione dati Articolo 29”, che il 25 marzo 2006 si è già a tal proposito espresso con il parere 3/2006, con il quale tra l’altro richiede “agli Stati membri di coordinare, nelle rispettive leggi nazionali, l’applicazione della direttiva riguardante la conservazione dei dati, così da garantire un’impostazione armonizzata in tutta l’Unione europea e di mantenere l’alto livello di protezione dei dati prescritto in entrambe le direttive 1995/46/CE e 2002/58/CE.”

(Continua)
 

* Ingegnere, esperto tecnico-legale ICT - glory @ glory.it