GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NEWSLETTER	
Notiziario settimanale    Anno I - n.25    17 - 23 gennaio 2000

Il Garante informa:
Il fotografo che si tiene i negativi non viola la privacy	……….pag.1
Accesso ai dati e obblighi per il gestore dell'archivio .	………pag.1
Vicenda Montecastrilli	………………………………………..pag.2
Come conservare una vita privata	…………………………...pag.2
Pubblicità  sulla  rete: limitazioni allo “spamming”	……….pag.3

IL FOTOGRAFO CHE SI TIENE I NEGATIVI NON VIOLA LA PRIVACY
Non viola la privacy il fotografo che non restituisce i negativi delle fotografie. Lo ha ribadito il Garante rispondendo ad un cittadino che aveva chiesto se fosse legittimo il comportamento di un fotografo che si era rifiutato di restituire i negativi di alcune fotografie che gli erano state commissionate.
Il Garante ha spiegato che la legge sulla privacy non ha modificato le norme in materia di diritto d'autore, ed in particolare la legge 22 aprile 1941, n.633, che prevede un'apposita disciplina relativa ai diritti del fotografo sulle fotografie effettuate (articoli 87, 88, 89). Il fotografo può, quindi, detenere questi particolari dati personali. La persona interessata ha, comunque, la facoltà di esercitare i diritti di accesso, previsti dalla legge sulla privacy, ai dati che lo riguardano.
Restano ovviamente fermi gli obblighi da parte del fotografo di utilizzare i negativi in conformità alle prescrizioni di legge e di non farne un uso improprio (articolo 96 della legge 633/1941).

LA RICHIESTA DI ACCESSO AI DATI NON COMPORTA PER IL GESTORE DELL'ARCHIVIO L'OBBLIGO DI ELABORARLI E TRASMETTERLI SECONDO CRITERI FISSATI DAL RICHIEDENTE
Una dipendente aveva chiesto alla società per la quale lavorava il rilascio del curriculum personale integrale, con dettagliata specificazione delle mansioni effettivamente espletate. Poiché la società si era 

limitata a rilasciare una dichiarazione contenente un semplice elenco delle sedi di destinazione della dipendente, senza indicare mansioni e funzioni svolte, l'interessata aveva presentato ricorso al Garante.
Nel corso dell'istruttoria avviata dal Garante, la società aveva eccepito l'inammissibilità e l'infondatezza del ricorso in quanto riteneva insussistente il diritto della dipendente di ottenere la copia di documenti nei quali fossero specificate le mansioni di volta in volta assegnate, e ciò in quanto queste informazioni non erano state registrate  e sarebbero comunque eventualmente documentabili attraverso i cedolini dello stipendio. Inoltre, ad avviso della società, la richiesta sarebbe inammissibile essendo riferita non a dati personali, ma a documenti o atti ai quali si può eventualmente avere accesso ai sensi della legge sulla trasparenza amministrativa (legge n.241 del 1990). L'interessata, dal canto suo, riteneva contraddittoria la posizione dell'amministrazione in quanto appariva singolare il fatto che si fosse provveduto ad archiviare i dati relativi alle sedi di destinazione dei dipendenti, senza prendere contemporaneamente nota delle mansioni affidate.
L'Autorità ha ritenuto il ricorso infondato in quanto non si può far riferimento alla legge sulla privacy nei casi in cui si intenda ottenere dichiarazioni o documenti, nel caso in esame un curriculum integrale e completo, che la società dovrebbe redigere appositamente per l'interessata.
Il diritto di accesso previsto dalla legge n.675 del 1996 può essere esercitato non tanto nei riguardi di interi documenti o atti, quanto nei confronti di dati di carattere personale, che possono essere anche contenuti in diversi archivi, banche dati, documenti o supporti detenuti da chi utilizza i dati. 
Con l'esercizio dei diritti previsti dall'art.13 della legge, ha spiegato l'Autorità, l'interessato può quindi chiedere al gestore della banca dati di confermare l'esistenza di dati che lo riguardano e, in caso positivo, di farseli comunicare in forma intelligibile, ma non può invece chiedere la creazione di appositi documenti secondo particolari caratteristiche. La richiesta di accesso ai dati non comporta, infatti, per il gestore della banca dati, una volta accertata l'esistenza dei dati, l'obbligo di elaborarli, organizzarli e trasmetterli secondo criteri fissati dal richiedente.
In base alla legge n.675 del 1996, chi tratta i dati è tenuto solamente ad estrarli dai propri archivi, o dai propri documenti, e a comunicarli all'interessato anche oralmente o, su richiesta di quest'ultimo, a trasporli su un supporto cartaceo o informatico in una forma agevolmente comprensibile.
In ogni caso, ha concluso l'Autorità, anche volendo considerare la richiesta della ricorrente come diretta ad ottenere la comunicazione di particolari dati relativi alle mansioni e ai compiti svolti, deve evidenziarsi che la società, da un lato, ha comunicato all'interessata alcuni dati che la riguardano (sedi di destinazione e  periodi di permanenza) e, dall'altro, ha affermato di non detenere le ulteriori informazioni richieste, ad esempio quelle su particolari funzioni espletate o eventualmente contenute nei curricula dei dipendenti. Pertanto, anche per quanto riguarda questa specifica richiesta, il ricorso appare infondato.

VICENDA MONTECASTRILLI
In riferimento alla vicenda di Montecastrilli, l'Autorità Garante per la protezione dei dati personali fa presente quanto segue:
"Le norme sulla privacy non rendono sempre possibile l'intervento del Garante quando le notizie pubblicate riguardano circostanze e fatti resi noti direttamente dagli interessati. Questo principio, affermato dalla legge n.675 del 1996, e ribadito dall'art.5 del codice di deontologia professionale dei giornalisti, vale per il caso in questione.
La costante attenzione del Garante per i problemi dei minori, tutte le volte che la legge lo consente, è testimoniata da una molteplicità di interventi, dal primo caso segnalato nel luglio 1997 fino a quelli recentissimi di violenze subite da minori, anche se questi provvedimenti non sempre hanno avuto adeguata diffusione da parte dei mezzi di informazione e, quindi, piena conoscenza da parte dell'opinione pubblica. 
D'altro canto, le diffuse reazioni negative originate dalla vicenda in questione, mettono in evidenza una accresciuta sensibilità dell'opinione pubblica, che è uno dei risultati più significativi della legge sulla privacy e che dovrebbe trovare continuo riscontro nella corretta attività di informazione.
Proprio per questa ragione, è auspicabile un maggior rigore deontologico da parte del sistema dell'informazione, anche  al di là del consenso formale espresso dagli interessati".

COME CONSERVARE UNA VITA PRIVATA
(articolo pubblicato su The Times – Interface del 10 gennaio)
La tecnologia informatica, ed Internet in particolare, ci ha permesso di accedere ad una mole di informazioni senza precedenti, e ci ha dato la possibilità di trattare queste informazioni con una rapidità che sarebbe stata impensabile fino a qualche anno fa.
Siamo bombardati da visioni di un futuro cablato che vanno dal rigidamente realistico all’eccentrico puro e semplice; i partigiani dell’apprendimento continuo, della pubblica amministrazione in rete e del commercio elettronico non smettono di sottolineare come un mondo in rete, purché se ne faccia buon uso, offra la possibilità di un cambiamento radicale della nostra vita. Gli esempi che vengono menzionati al riguardo, come vedremo più avanti, sono assai convincenti. Tuttavia, c’è un dato ricorrente in tutti i sondaggi sull’atteggiamento dell’opinione pubblica rispetto a questi sviluppi: i timori per la tutela della privacy e la sicurezza delle informazioni.
Si tratta di timori che assumono le più diverse forme. Il caso, assai pubblicizzato, della rockstar Gary Glitter e del suo archivio di materiale pornografico relativo a minori sembra indicare che è opportuno permettere alle autorità competenti di accedere anche al contenuto del disco rigido di un computer – in determinate circostanze. Ma come si possono evitare abusi del genere tutelando, al contempo, le informazioni lecite, ma private, che abbiamo registrato nella memoria del nostro computer: informazioni su conti correnti bancari in linea, progetti commerciali, o magari i messaggi di posta elettronica di una relazione extraconiugale?
Ancora maggiori sono le preoccupazioni legate alle informazioni presenti nel vasto mare magnum del World Wide Web. Dovunque andiamo alla ricerca di notizie, informazioni, divertimento e, sempre di più, di occasioni di acquisto su Internet, ci vediamo chiedere dati su noi, il nostro lavoro, la nostra casa, il reddito ed i nostri gusti. Che controllo abbiamo sulla registrazione e l’utilizzazione di queste informazioni?
Una serie di casi recenti ha evidenziato, anche in questo ambito, circostanze nelle quali i dati sono stati raccolti senza che gli utenti ne fossero informati o vi avessero acconsentito: il chip identificativo presente nel processore Pentium III della Intel è stato giudicato lesivo della privacy, e lo stesso è avvenuto per la registrazione da parte della Realplayer dei brani musicali scaricati dai propri utenti, e per il demo del gioco Quake III che registrava informazioni sulla configurazione utilizzata dai soggetti che lo avevano scaricato sul proprio computer.
Nel mondo del commercio elettronico, in piena fase espansiva, suscita maggiore preoccupazione la sicurezza del codice di cifratura a 512 bit utilizzato per proteggere i dati contenuti nelle carte di credito ed altri dati di natura finanziaria. L’anno scorso è stata segnalata la violazione di questo codice, anche se i responsabili erano ricercatori  ispirati da motivazioni di ordine commerciale e con l’obiettivo di garantire una maggiore sicurezza – e non già soggetti con cattive intenzioni. Ma il proliferare delle tecniche di cifratura e l’entità del controllo che l’apparato governativo può esercitare sulle chiavi di decifrazione sono oggetto di una controversia lungi dall’essere risolta su entrambe le sponde dell’Atlantico.
I timori per la privacy trovano ormai ampia eco. Il primo marzo del 2000 in Gran Bretagna entrerà in vigore una nuova Legge sulla protezione dei dati, che dà ai cittadini maggiori diritti di accesso alle informazioni che li riguardano. Al Ministero dell’interno una task-force sta valutando l’impatto di questi timori sui rapporti fra pubblica amministrazione e cittadini, ed i vari tentativi compiuti per utilizzare la tecnologia al fine di semplificare le procedure burocratiche. Le grosse società investono una vera fortuna nelle tecniche di cifratura, nei filtri elettronici ed in altri dispositivi di sicurezza, ed i sostenitori del commercio elettronico passano almeno altrettanto tempo a rassicurare gli utenti potenziali sui rischi in materia di sicurezza quanto ne passano a vantarsi degli ottimi affari realizzati.
Ma anche i pionieri della società cablata riconoscono che l’utente informatico medio avrà bisogno di molte più rassicurazioni, o anche di forme molto più incisive di tutela giuridica, prima che noi tutti si possa beneficiare veramente delle potenzialità che essa racchiude.

PUBBLICITA’  SULLA  RETE: LIMITAZIONI ALLO “SPAMMING”
(articolo pubblicato su Les Echos – Le quotidien de l’economie, del 6 gennaio)
L’ampiezza del fenomeno ha spinto le autorità di controllo a regolamentare in modo più preciso la prassi dello “spamming”. Il regime è più o meno severo a seconda del Paese. Una direttiva impone di tutelare gli utenti contro l’invio automatico di messaggi di promozione commerciale.
L’invio di e-mail non sollecitate di natura pubblicitaria, il cosiddetto “spamming”, è una prassi che ha trovato rapida diffusione. In effetti, questa nuova forma di pubblicità offre un notevole vantaggio per le imprese, le quali, con un budget ridotto, possono raggiungere su Internet un mercato di varie migliaia o addirittura vari milioni di persone. 
Tuttavia, i destinatari di questi messaggi denunciano con forza crescente gli abusi e gli inconvenienti che ne derivano: ingorgo delle caselle di posta elettronica, rallentamento dei tempi di connessione, saturazione del sistema informatico…
La giustizia americana ha già avuto modo di apprezzare queste controversie che vedono la contrapposizione di imprese di marketing diretto e utenti. Una prima decisione del 4 novembre 1996, da parte della Corte del distretto orientale della Pennsylvania, ha infatti autorizzato AOL, in quanto fornitore di accesso, a filtrare i messaggi pubblicitari provenienti dalla società Cyberpromotion – la cui attività consiste appunto nel marketing diretto via Internet. 
Nel caso in oggetto, in particolare, il tribunale ha respinto l’argomentazione della Cyberpromotion secondo cui questa attività di filtro rappresentava una violazione della libertà di espressione sancita dalla costituzione americana. AOL ha successivamente ottenuto ragione anche in numerosi altri procedimenti di natura analoga.
Anche in Francia alcuni fornitori di accesso sono stati invitati dagli utenti ad attivare un filtro sull’invio di e-mail pubblicitarie. Il segreto della corrispondenza, la cui violazione è sanzionata dall’art. 226-15 del nuovo Codice penale, può comunque impedire ad un fornitore di accesso di visualizzare il contenuto dei messaggi di posta elettronica presenti nelle caselle dell’utenza al fine di operare questa cernita. 
Tuttavia, come indicato dal Consiglio di Stato nel rapporto su “Internet e reti digitali”, “lo spamming, nella sua intenzionalità di disturbo (…) deve poter essere sanzionabile vuoi attraverso la legge Godfrain (articolo 323-2 del Codice penale, relativo alla compromissione volontaria del funzionamento di un sistema), vuoi, eventualmente, estendendo ad altre forme di comunicazione effettuata con intento di disturbo l’applicabilità dell’articolo 222-16 del Codice penale – che punisce le chiamate telefoniche indesiderate”. 
L’ampiezza del fenomeno ha comunque spinto le autorità di controllo a regolamentare in modo più preciso la prassi dello “spamming”, dato che la direttiva europea del 15 dicembre 1997 impone agli Stati membri, in base all’art. 22, di prevedere nel diritto nazionale una disposizione che tuteli gli utenti dall’invio automatico di messaggi a fini di promozione commerciale. 
Per lo stesso motivo, la proposta di direttiva europea del 18 novembre 1998 relativa agli aspetti giuridici del commercio elettronico, modificata il 1 settembre 1999, prevede la creazione di registri di “opt out” per quanto riguarda le offerte commerciali trasmesse attraverso strumenti di comunicazione diversi dal fax o dai dispositivi automatici di chiamata. Il sistema proposto consiste nel vincolare l’invio di messaggi pubblicitari all’assenza di un’opposizione manifesta da parte del destinatario. Spetta a quest’ultimo esprimere il rifiuto di ricevere posta elettronica non sollecitata, facendosi inserire in registri appositamente creati a tale scopo. 
Alcuni Paesi (Austria, Belgio, Italia) hanno adottato una soluzione che intende offrire una tutela ulteriore, quella basata sul cosiddetto “opt in” – ossia, il divieto di inviare messaggi pubblicitari senza il previo consenso del destinatario. Peraltro, la direttiva europea prevede che “la pubblicità tramite posta elettronica non sollecitata deve essere identificabile come tale in modo chiaro e inequivocabile, a partire dal momento in cui il destinatario la riceve”.
Queste previsioni sono riflesse anche dai codici deontologici, ed in particolare dal Codice internazionale di condotta in materia di pubblicità messo a punto dalla Camera di commercio internazionale (CCI) il 2 aprile 1998, relativo alla pubblicità ed al marketing su Internet. Il Codice stabilisce in modo espresso che “deve essere possibile distinguere chiaramente la pubblicità in quanto tale, indipendentemente dalla forma e dal supporto utilizzati. Qualora il messaggio sia diffuso su media che contengano informazioni o articoli redazionali, esso deve essere presentato in modo da farne risaltare chiaramente la natura pubblicitaria”.
Nello stesso spirito il Geste [Associazione degli editori di servizi in linea] propone che i firmatari del proprio codice di condotta si impegnino ad informare sulle coordinate del mittente e sull’oggetto del messaggio, ed a recare un’indicazione del tipo: “Se non desiderate ricevere altri messaggi da parte nostra, vi preghiamo di rispedirci il presente messaggio.”
 Il Geste propone inoltre di integrare queste misure di natura informativa con uno strumento tecnico evoluto, ad esempio “una classificazione dei messaggi ricevuti per tipologia (pubblicitaria, politica, religiosa…)” nonché con “un sistema di screening installato dal fornitore di accesso o dallo stesso internauta”.
Infine, vogliamo ricordare che questi messaggi di posta elettronica presuppongono comunque l’utilizzo di un archivio di dati personali. 
Al riguardo la CNIL sta per pubblicare sul proprio sito un rapporto esaustivo sulle questioni sollevate dalla posta di natura pubblicitaria. La CNIL ricorda che in questi casi la tutela è rappresentata dall’informazione preventiva dell’interessato, all’atto della raccolta iniziale dei dati, in modo da consentirgli di opporsi al loro trattamento.

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n.258 del 7/6/99). Direttore responsabile: Baldo Meo - Direzione e redazione: Garante per la protezione dei dati personali, Largo del Teatro Valle, 6 - 00186 Roma. Tel: 06/6818637 - Fax: 06/6818663