Dati personali: è la volta buona?
L'elenco potrebbe continuare a lungo. E' necessario mettere a disposizione anche attraverso Internet molti documenti pubblici, prima di tutto i testi delle leggi, gli atti parlamentari e le disposizioni delle pubbliche amministrazioni centrali e locali. Bisogna mettere mano concretamente alla costruzione della rete unitaria della PA, assicurando il dialogo con i cittadini anche per via telematica.
Ma la legge che deve essere approvata con maggiore urgenza è quella sulla protezione dei dati personali. Il 7 giugno scorso il Governo ha presentato alla Camera i testi approvati al Senato nella passata legislatura. Come spiega Giovanni Buttarelli nell'intervista pubblicata in queste pagine, è stata una scelta obbligata per assicurare al disegno di legge un percorso rapido, ma sono necessarie molte modifiche, e soprattutto bisogna far sì che tutte le disposizioni essenziali siano contenute nel testo principale, senza dover attendere mesi e mesi per un decreto legislativo che metta a punto particolari di importanza fondamentale, come gli obblighi per i fornitori di servizi di telecomunicazioni.
La legge per la difesa della privacy, in attuazione del dettato costituzionale e delle disposizioni europee, sarà la prima occasione per valutare l'impegno del Parlamento sui temi della società dell'informazione. Non è possibile tollerare ancora situazioni come quella del CED del Ministero degli Interni, che contiene chissà quali dati, raccolti chissà come, su chissà quanti cittadini. E' di pochi mesi fa la "scoperta" che il sistema potrebbe contenere anche tutti i dati in possesso del gestore unico della telefonia. E quali altre informazioni?
Un'intervista con l'ex prefetto D'Amato, pubblicata da la Repubblica il 19 marzo scorso, parla di "schedature all'acqua di rose" e potrebbe far sorgere un equivoco: che la banca dati del Ministero dell'interno non sia così pericolosa come qualcuno vorrebbe far credere. Questo poteva essere vero vent'anni fa, perché oggi il rischio di un Grande Fratello al Viminale è assolutamente concreto, a causa del progresso delle tecnologie informatiche e telematiche e delle lacune nel meccanismo dei controlli. Ne parliamo nel riquadrato.
Il fatto è che con le attuali tecnologie dell'informazione qualsiasi archivio elettronico può essere alimentato in maniera del tutto automatica da qualsiasi altro archivio: basta un collegamento telematico e un opportuno software per "copiare" i dati in maniera completamente automatica. Non occorre passare fisicamente tabulati o nastri magnetici. L'acquisizione dei dati può avvenire anche in maniera "trasparente", cioè all'insaputa degli addetti ai terminali del sistema. I pirati telematici in qualche caso riescono a farlo addirittura in barba al responsabile del sistema attaccato. Questo significa che, in teoria, la banca dati delle forze di polizia può contenere un'enorme quantità di informazioni non previste dalla legge: non solo gli elenchi delle telefonate, ma anche informazioni finanziarie, sanitarie e di ogni altro genere. Si pensi che ciascuno di noi lascia una traccia "elettronica" ogni volta che usa una carta di credito, compie qualsiasi operazione bancaria, prenota una visita alla USL (nel caso che questa sia informatizzata) e addirittura ogni volta che si ferma in un hotel (l'Italia è l'unico paese civile in cui non viene rispettata la privacy di chi pernotta in albergo).
D'altra parte le stesse tecnologie possono rendere difficilissimo il controllo. L'amministratore del sistema esaminato può infatti rendere "invisibile" l'esistenza stessa di qualsiasi informazione o categoria di informazioni a chi non disponga di un certo livello di autorizzazione all'accesso. Il terminale messo a disposizione della commissione parlamentare di vigilanza potrebbe quindi mostrare solo una parte dei dati contenuti negli archivi. E questo è forse solo l'esempio più significativo tra tanti che possono essere fatti.
La legge che il Parlamento deve varare al più presto non può ignorare i rilievi mossi a quella che si è arenato con la fine della scorsa legislatura, e deve favorire il diritto dei cittadini alla riservatezza più degli interessi di chi sfrutta le informazioni, soprattutto a fini economici. L'approvazione di questa legge non solo ci permetterà di entrare nello "spazio" previsto dall'accordo di Schengen del 1985, con l'abolizione dei controlli alle frontiere, ma sarà un passo importante verso la realizzazione di quella "civiltà dell'informazione" dalla quale sempre più l'Italia rischia di essere tagliata fuori.

[riquadrato]
Il Grande Fratello abita al Viminale?

Il Centro elaborazione dati del Dipartimento della pubblica sicurezza è stato istituito con la legge 121 del 1. aprile 1981, che ha ridisegnato tutto il settore e smilitarizzato la polizia. Sette dei centoquindici articoli dalla legge, dal n. 6 al n. 12, prescrivono i requisiti dei dati e le fonti da cui possono essere acquisiti, descrivono l'organizzazione del centro, elencano i soggetti autorizzati all'accesso e le relative procedure e prevedono i possibili controlli. Questi possono essere compiuti dal Comitato parlamentare per i servizi di sicurezza o dalla magistratura, nel caso che un cittadino venga a conoscenza del fatto che nel centro sono custoditi dati che lo riguardano, inesatti, incompleti o raccolti abusivamente.
Il problema è che per controllare che cosa contiene un sistema informativo è necessario prima di tutto conoscere la sua struttura e poi disporre dell'accesso al massimo livello, oltre che disporre delle necessarie conoscenze tecniche. In caso contrario non si può avere la certezza di vedere tutto, perché l'amministratore del sistema può rendere perfettamente invisibili archivi e procedure.
Il disegno di legge sulla protezione dei dati personali che sta per essere discusso dalla Camera modifica opportunamente le norme della legge 121/81, affidando il controllo al Garante dei dati e attribuendo al cittadino il diritto di rivolgersi direttamente al Dipartimento della pubblica sicurezza per avere conferma dell'esistenza di dati che lo riguardano e, se è necessario, la loro correzione o cancellazione.
E' sufficiente? In astratto potrebbe esserlo, ma sarebbe meglio accogliere la proposta di Rodotà per un'indagine tecnica - che deve essere disposta per legge - da affidare a specialisti di alto livello, che chiariscano una volta per tutte come funziona il sistema e che cosa contiene (vedi l'intervista su MCmicrocomputer del mese scorso).

[intervista]
Buttarelli: pronti in autunno
Giovanni Buttarelli, magistrato addetto all'Ufficio legislativo del Ministero di grazia e giustizia e delegato per l'Italia nella "Autorità comune di controllo Schengen", da anni segue per il Governo il tormentato iter del disegno di legge sulla protezione dei dati individuali. E' considerato il più autorevole esperto italiano della materia: ecco le sue valutazioni su quella che potrebbe essere la stretta finale verso l'approvazione della legge.

* * *

Dottor Buttarelli, ci risiamo con il 1901 bis e ter? Con la normazione in due tempi, prima le regole nella legge e poi le eccezioni in un decreto legislativo, con la conseguente confusione nel periodo intermedio tra i due provvedimenti?

Diciamo meglio, 2296S e 2343S, che sono i numeri dei progetti del Senato decaduti con la fine della passata legislatura. La riproposizione dei due testi già approvati dalla Camera è motivata dalla necessità di evitarne la decadenza. I regolamenti di entrambe le camere prevedono che, se il Governo ripresenta senza modifiche entro sei mesi dallo scioglimento del Parlamento dei testi già approvati da un ramo, questi usufruiscono di una corsia preferenziale. E' il cosiddetto "ripescaggio". Questo atto di impulso è motivato dalla necessità di guadagnare tempo nell'iter parlamentare. Ciò non significa che i testi debbano essere approvato tali e quali, però è un segnale molto significativo. Come è significativo che il Consiglio dei Ministri abbia approvato il disegno di legge già nella sua terza o quarta riunione.

C'è da supporre che questa fretta sia dovuta soprattutto alle pressioni internazionali.

Seguo questa materia in varie sedi internazionali e posso dire che fino a questo momento la nostra immagine è veramente bassa, anche per questo motivo. Adesso c'è una certa fiducia nella nostra volontà di porre rimedio a queste lacune, però all'estero l'inerzia italiana appare veramente incredibile. Si comprende che c'è un dibattito sulla necessità di scegliere tra certi valori, se favorire quelli della privacy o quelli della funzionalità della pubblica amministrazione e delle imprese. Però non si riesce a capire perché il Parlamento non sceglie, privilegiando l'una o l'altra, o bilanciando gli opposti interessi. Questa politica dello struzzo all'estero è incomprensibile. Credo comunque che questa volta ci sia la certezza di avere la legge in tempi assai ravvicinati, molto probabilmente all'inizio dell'autunno.

Ma non è possibile mettere a frutto il lungo dibattito che c'è stato, soprattutto nell'ultimo anno, per mettere a punto un testo completo, applicabile senza troppi rinvii?

Credo che occorra partire da ciò che era avvenuto al Senato, dove si era ripetuto il dibattito verificatosi alla Camera: la Commissione affari costituzionali aveva osservato che alcune deroghe, alcune "concessioni" fatte a chi riteneva che il provvedimento fosse troppo protettivo della privacy, erano state eccessive, e invitava a essere più cauti nel prevedere una minore protezione. Poi erano stati presentati oltre duecento emendamenti, anche se in buona parte ripetitivi, e quindi in realtà meno numerosi di quanto apparisse. C'era una parte di emendamenti "di bandiera", che non avevano nessuna speranza di essere presi in considerazione, perché contrari alla direttiva dell'ottobre '95 o alla convenzione di Strasburgo: messi così per fare colore o per prolungare il dibattito in modo di non arrivare all'approvazione prima dello scioglimento delle Camere. C'è invece un'altra serie di emendamenti che possono e debbono essere presi in considerazione, e vanno proprio nel senso dell'anticipazione nel corpo principale della legge di una parte delle misure che si prevedeva di adottare con un decreto delegato del Governo. Noi eravamo partiti dall'idea che l'urgenza della legge comportasse la necessità di inserire nel progetto la maggior parte possibile della direttiva, circa il settanta per cento, e il trenta per cento lo avevamo riservato al decreto delegato. Questo anche per beneficiare della riflessione che è in atto a Bruxelles sul modo migliore di attuare questo trenta per cento (per esempio riguardo alla determinazione della legge applicabile). Ci sono stati emendamenti per riprendere alcune parti più "restrittive" o più "favorevoli" della direttiva e metterle nel provvedimento principale. Questo lavoro tecnico è già stato approfondito, e quindi non ci sono difficoltà, ferma restando la necessità di verificare la correttezza giuridica di questi emendamenti. Ma avremo molto da fare soprattutto dopo l'emanazione della legge, perché negli altri paesi è già iniziato il dibattito sul modo in cui la direttiva può essere applicata nel mondo delle tecnologie dell'informazione, soprattutto in Internet. Nel prossimo autunno ci sarà una conferenza internazionale dei garanti, che dedicherà molte energie a questo argomento, e c'è un gruppo di funzionari della UE che sta approfondendo questa tematica. Mentre noi ancora siamo agli albori, perché ci occupiamo di cose che avremmo dovuto risolvere venti anni fa. Intanto il contesto internazionale è andato avanti, perché c'è già una proposta assai avanzata di una nuova direttiva comunitaria sulla protezione della privacy nel settore delle telecomunicazioni, condotta in porto durante il nostro semestre di presidenza. Questa direttiva aggiungerà qualcosa alla precedente e quindi offrirà degli scenari diversi. Per esempio, si occupa del diritto di comparire o non comparire negli elenchi telefonici, o della disciplina dell'identificazione del chiamante sulle linee ISDN. Qui c'è da una parte il diritto di chi chiama di sopprimere l'identificativo, e viceversa il diritto di chi è chiamato di non essere molestato da telefonate anonime. Ci sono anche riferimenti a chi, nell'ambito delle reti, è responsabile della sicurezza, un altro aspetto che la direttiva generale non aveva risolto.

La sicurezza è un altro punto fondamentale. Noi a che punto siamo?