Test Noi Consumatori - Periodico settimanale di informazione e studi su consumi, servizi, ambiente. Anno XXIV - numero 15 del 13 marzo 2012.

Transcript

1 Test Noi Consumatori - Periodico settimanale di informazione e studi su consumi, servizi, ambiente. Anno XXIV - numero 15 del 13 marzo Direttore: Pietro Giordano - Direttore responsabile: Francesco Guzzardi - Amministrazione: Adiconsum, Via Francesco Gentile n. 135, Roma - Reg. Trib. Roma n. 350 del 09/06/88 - Iscriz. ROC n

2 A. SOMMARIO A1. Premessa A2. L Autorità Garante per la protezione dei dati personali A3. Legislazione A5. Dati Personali A7. Le procedure per la raccolta dei dati A9. Diritti A10. Rischi A11. Rete e sicurezza informatica A13. Sanità A14. Telemarketing, Banche A15. Recupero crediti, Diritto di cronaca ADICONSUM Associazione Difesa Consumatori e Ambiente promossa dalla CISL Cofinanziato dalla Commissione Europea

3 Premessa Ogni persona ha il diritto di impedire che le informazioni che lo riguardano siano disponibili per altri soggetti, senza una specifica previsione di legge o del suo consenso. Questa è la privacy. La nozione di privacy è stata per anni riferita alla sfera privata delle persone; nel tempo il concetto si è esteso fino al diritto del cittadino di controllare i propri dati personali. Questa evoluzione è avvenuta anche alla luce dello sviluppo delle tecnologie che hanno portato a una riduzione del livello di privacy individuale, ad esempio attraverso la tracciabilità dei telefoni cellulari o le possibilità offerte da Internet e dai social network. In quest ambito, assume un interessante valore la recente interpretazione di una definizione nuova di privacy, la sovranità su di sé ; non solo il diritto a non avere intrusioni nella sfera privata, ma la tutela dell autodeterminazione della singola persona. Partendo dalla rilevanza che la tutela dei dati personali assume ogni giorno di più e dalla necessità di evitare che i cittadini possano, anche incolpevolmente, essere sottoposti a un utilizzo improprio dei propri dati personali, questa Guida affronta gli aspetti più rilevanti della legislazione e alcune situazioni di specifici settori. A1

4 L Autorità Garante per la protezione dei dati personali Il Garante per la protezione dei dati personali ( è un autorità indipendente istituita dalla legge n. 675 del 31 dicembre 1996, che assicura la tutela dei diritti e delle libertà fondamentali ed il rispetto della dignità nel trattamento dei dati personali. Il Garante per la protezione dei dati personali è un organo collegiale composto di quattro commissari. L attività, gestita dal Direttore Generale, è svolta da Dipartimenti e servizi, suddivisi per ambiti di competenza. Le funzioni assegnate al Garante: controllare che i trattamenti siano effettuati secondo le norme di legge, ricevere ed esaminare i reclami e le segnalazioni e intervenire sui ricorsi presentati, vietare anche d ufficio i trattamenti illeciti o non corretti ed eventualmente disporne il blocco, promuovere la sottoscrizione di codici di deontologia e buona condotta di determinati settori, denunciare i fatti configurabili come reati perseguibili d ufficio conosciuti nell esercizio delle sue funzioni, tenere il registro dei trattamenti. Nel rapporto con le Istituzioni: segnalare al Governo e al Parlamento l opportunità di provvedimenti normativi, rilasciare pareri nei casi previsti dalla legge, predisporre una relazione annuale sull attività svolta da presentare al Governo e al Parlamento cooperare con le altre Autorità Indipendenti (in tale ambito è frequente il rapporto sia con l Autorità Antitrust sia con quella delle Comunicazioni), può essere consultato da Governo o Ministri. Il Garante svolge inoltre una fondamentale opera di divulgazione della disciplina rilevante in materia di trattamento dei dati personali e delle relative finalità e in materia di misure di sicurezza dei dati. A2

5 Legislazione Una prima definizione universale di privacy si ritrova nella Convenzione europea dei Diritti dell Uomo: non può esservi ingerenza di una autorità pubblica nell esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria per la sicurezza nazionale, per la pubblica sicurezza, per il benessere economico del paese, per la difesa dell ordine e per la prevenzione dei reati, per la protezione della salute o della morale, o per la protezione dei diritti e delle libertà altrui. Una definizione più adeguata si trova nella Carta dei diritti fondamentali dell Unione europea: Ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni individuo ha il diritto di accedere ai dati raccolti che lo riguardano e di ottenerne la rettifica. Il rispetto di tali regole è soggetto al controllo di un autorità indipendente. Principi che hanno trovato applicazione nella Direttiva europea 95/46/ CE, del 24 ottobre Per quanto attiene alla legislazione italiana, si accennano solamente i fondamenti costituzionali dove i richiami alla privacy sono ravvisabili negli art. 2, 14, 15 e 21, rispettivamente riguardanti la riservatezza quale diritto inviolabile dell uomo, il domicilio, la libertà e segretezza della corrispondenza, e la libertà di manifestazione del pensiero. Per anni la privacy, o meglio la protezione dei dati personali, non ha avuto una specifica legislazione e si è fatto ricorso alla giurisprudenza. In particolare, la Corte di Cassazione, dopo una sentenza (4487/56) che A3

6 negava il diritto alla riservatezza, con la sentenza nel 2199/75 ha sancito che nella tutela di quelle situazioni e vicende strettamente personali e familiari, le quali, anche se verificatesi fuori dal domicilio domestico, non hanno per i terzi un interesse socialmente apprezzabile 1. La prima legge nazionale sulla privacy è del 1996, sostituita oggi dal Decreto legislativo 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali, che ha abrogato la Legge sulla privacy 675/96. Oltre il Decreto legislativo 196/03 l Autorità ha emanato vari codici deontologici relativi a settori specifici. Codici che hanno valore cogente essendo allegati al Decreto. Codice di deontologia e di buona condotta per i trattamenti di dati personali effettuati per svolgere investigazioni difensive. Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti. Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e scientifici. Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell ambito del Sistema statistico nazionale. Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi storici. Codice di deontologia relativo al trattamento dei dati personali nell esercizio dell attività giornalistica. Infine, sono in via di discussione il codice deontologico per l utilizzo di Internet e quello per le informazioni commerciali. A4 1 A titolo indicativo, un limite della tutela della privacy è dato dal ruolo pubblico del soggetto di cui si entra nella privacy. In questo caso il diritto alla riservatezza e il diritto di informazione si riscontra nella popolarità della persona sotto osservazione, fermo restando il rispetto del diritto alla riservatezza su situazioni che non rientrano nella sfera pubblica.

7 Dati Personali La parola chiave nella gestione della privacy è dati personali. Questa identifica le informazioni concernenti la persona fisica, la persona giuridica, l ente o l associazione, identificati o identificabili. Sono dati personali quelli anagrafici, come nome e cognome, indirizzo o numero di telefono o cellulare, quelli economici, come il codice fiscale o il conto corrente, quelli identificativi, che permette l identificazione diretta dell interessato, quello sensibile, quello giudiziario. Secondo la legge, non potrebbe essere altrimenti, il trattamento dei dati personali deve avvenire in maniera lecita, correttamente, nel rispetto dei diritti e delle libertà fondamentali, della dignità della persona. Particolare attenzione deve essere posta alla riservatezza, all identità personale e al diritto alla protezione dei dati. Una tutela massima è destinata ai dati sensibili. Sono considerati dati sensibili quelli relativi all origine razziale ed etnica, le convinzioni religiose, filosofiche, o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni o organizzazioni di tipo religioso, filosofico, politico o sindacale, lo stato di salute e la vita sessuale. A5

8 Il Codice riserva una particolare attenzione ai dati giudiziari, ovvero i dati personali in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative derivanti dal compimento di reati e carichi pendenti, della qualità di indagato o di imputato in procedimento giudiziario. Il Garante può, con propri provvedimenti, stabilire, per casi non espressamente riportati nella normativa, le appropriate modalità di trattamento dei dati nel caso accerti la possibilità di rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell interessato. A6

9 Le procedure per la raccolta dei dati Nel trattamento dei dati personali si riscontrano tre soggetti: il titolare del trattamento, il responsabile del trattamento, l incaricato del trattamento. Il titolare del trattamento è il soggetto (persona fisica o giuridica, amministrazione o ente) che raccoglie, registra e utilizza i dati. Il cittadino/ consumatore ha il diritto di conoscere il nome e le coordinate del titolare del trattamento e ad esso può rivolgersi, per esercitare i propri diritti. Il responsabile del trattamento è il soggetto cui il titolare può delegare la raccolta dei dati. L incaricato del trattamento è il soggetto che il titolare e il responsabile autorizzano al trattamento dei dati stessi. Titolare, responsabile e incaricato del trattamento dei dati devono rispettare la riservatezza dei dati raccolti e gestiti e non possono trasmetterli ad altre persone senza l espresso consenso del soggetto cui i dati si riferiscono. Infine, devono utilizzare, se necessario, sistemi di sicurezza. Per effettuare la raccolta di dati personali il soggetto sopra indicato (persona fisica o giuridica, amministrazione o ente), prima della raccolta stessa, deve informare il consumatore sui motivi e sugli scopi del trattamento dei dati personali, la possibilità o l obbligo di fornire i dati, A7

10 sul nome e indirizzo del titolare o del responsabile del trattamento, su coloro che possono accedere ai dati e quindi venirne a conoscenza, sui diritti del consumatore e come possono esercitati. Il consumatore può fornire i propri dati in vari modi: Volontariamente, ad esempio attraverso un modulo o un questionario. Involontariamente, ad esempio per l accesso casuale o doloso ai dati da parte di un terzo soggetto. Direttamente, ad esempio fornendo personalmente le proprie informazioni al titolare o al responsabile del trattamento. Indirettamente, ad esempio se il titolare o il responsabile del trattamento viene a conoscenza, lecitamente, dei dati personali del consumatore (apertura di un nuovo rapporto bancario, sulla base di dati personali già in possesso della banca). Per trattare i dati, privati ed enti pubblici economici devono prima ricevere il consenso espresso dell interessato. Inoltre, le informazioni sul soggetto titolare dei dati possono essere trasmesse a terzi solo dal titolare o dal responsabile del trattamento e per le sole finalità per le quali i dati sono stati raccolti e con il vostro consenso preventivamente fornito dall interessato. Se la raccolta dei dati è stata involontaria o indiretta, il soggetto a cui si riferiscono i dati ha il diritto di conoscere i dati oggetto del trattamento e come sono stati raccolti. A8

11 Diritti Il Decreto Legislativo 196/03 prevede alcuni diritti a tutela del soggetto sottoposto alla raccolta dei dati: Diritto di accesso garantito al soggetto che è venuto a conoscenza della raccolta dei dati di sua pertinenza. Questi deve poter conoscere l esistenza o meno dei propri dati e in tal senso, ricevere comunicazione chiara e comprensibile. La richiesta deve essere inviata al titolare o al responsabile del trattamento, corredata da propri documenti identificativi (carta d identità e codice fiscale); è opportuno che la domanda sia inviata per conoscenza anche al Garante per la protezione dei dati personali (Piazza Montecitorio Roma). In caso di mancata risposta è possibile denunciare il fatto al Garante. Diritto di informazione relativamente all origine dei dati (come e quando sono stati raccolti), alle finalità e alle modalità del trattamento (il perché della raccolta e come sono utilizzati), gli estremi identificativi del titolare, del responsabile e dei soggetti incaricati e dei soggetti ai quali possono essere comunicati i dati o che comunque potrebbero venirne a conoscenza. Diritto di aggiornamento, modifica, integrazione, fino alla cancellazione nel caso i dati si rilevassero non corretti, non aggiornati o raccolti e trattati illecitamente. Diritto d opposizione, al trattamento dei dati, oltre che al trattamento finalizzato all invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale. A9

12 Rischi La violazione della privacy può comportare rischi per i singoli cittadini: Perdita del controllo dei propri dati personali: le informazioni del singolo cittadino possono essere modificate e rese pubbliche in maniera diversa dal dato originale con lo scopo di danneggiare la reputazione. Perdita della proprietà dei contenuti immessi in rete: le informazioni personali in rete possono essere utilizzate dal gestore del servizio senza limiti di tempo. Identificazione e localizzazione da parte di altri utenti: si è più facilmente rintracciabili attraverso i luoghi frequentati, il numero telefonico, le foto, ecc. Contatti e contenuti inadeguati e indesiderati: attraverso la violazione della propria privacy si possono ricevere messaggi offensivi e minacciosi, immagini e richieste imbarazzanti, provocatorie e indesiderate, materiale pedo-pornografico da persone conosciute o sconosciute. Furto di identità: assunzione fraudolenta di personalità da parte di un terzo soggetto per un utilizzo criminale. Ripercussioni sull immagine sociale e/o professionale. Pubblicità indesiderata: la divulgazione di dati personali consente alle imprese di acquisire informazioni importanti dal punto di vista del marketing su gusti e/o orientamenti e di bombardare con pubblicità personalizzata e diretta. A10

13 Il diritto alla privacy si esterna, sostanzialmente, in tutti i settori della vita quotidiana, di seguito ne esaminano alcuni in cui il diritto alla privacy assume particolare importanza. Rete e sicurezza informatica La Rete, se da un lato offre un ventaglio potenzialmente enorme d informazioni e servizi, dall altro può introdursi ambiguamente nella vita privata delle singole persone. Pur non essendo creata per scambiare o gestire dati sensibili, ormai sulla rete viaggiano i conti correnti, le carte di credito, i curriculum vitae e gli account di posta elettronica, solo per citarne alcune. Questo rende possibile consumare reati o quanto meno acquisire informazioni riservate. La prima legge sulla tutela dei dati personali (L. 675/96) non è entrata specificatamente nell ambito informatico, pur affrontando in maniera precisa il trattamento e la protezione dei dati personali. Il decreto legislativo 196/04 è la prima norma in Italia che stabilisce i modi in cui devono essere trattati i dati confidenziali nell ambito dei servizi di comunicazione elettronica accessibili al pubblico e l obbligo, da parte dei fornitori, di rendere l utente più consapevole su come le loro informazioni riservate saranno trattate e utilizzate. Attraverso la legge 547 del 1993, è stato modificato l art. 640 ter del codice penale: chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a se o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 516 a euro [ ]. A11

14 La legislazione ha, quindi, tenuto conto delle trasformazioni introdotte da Internet, prevedendo, tra l altro, specifici reati: rivelazione del contenuto di corrispondenza telematica, intercettazione di comunicazioni informatiche o telematiche, installazioni abusive di apparecchiature per le intercettazioni informatiche, falsificazione, alterazione e sottrazione di comunicazioni informatiche, rilevazione del contenuto di documenti informatici segreti, accesso non autorizzato a un sito, spionaggio informatico. Situazioni in cui, oltre le difese della legge, devono essere poste in essere le maggiori forme di autotutela individuale: password, da non comunicare a nessun altro, non troppo semplici, possibilmente alternando numeri e lettere, firewall e antivirus sempre aggiornati, uno antispyware che possa ripulire il sistema del computer, e non aprire le mail provenienti da sconosciuti o sospetti. I più preparati possono utilizzare la crittografia, così che solo il reale destinatario potrà leggere la corrispondenza elettronica. A12

15 Sanità In questo settore, sostanzialmente, si tratta sempre di dati sensibili, che interessano la protezione dei dati personali. Per rispettare gli impegni che ne conseguono, chi opera nel comparto sanitario deve redigere il Documento programmatico per la sicurezza. Il titolare deve attribuire gli incarichi formali per definire le responsabilità e fissare gli assetti operativi per gli incaricati del trattamento dei dati. Devono essere comunicate pubblicamente le modalità organizzative per il trattamento dei dati sensibili, l informativa agli interessati e il regolamento sul trattamento dei dati sensibili e giudiziari. In particolare, l informativa sul trattamento deve comprendere: finalità e modalità del trattamento cui sono destinati i dati, natura obbligatoria o facoltativa del conferimento dei dati, conseguenze di un eventuale rifiuto di rispondere, individuazione dei soggetti o categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, ambito di diffusione dei dati medesimi, estremi identificativi del titolare e, eventualmente, del responsabile se designato. Possono essere omesse le informazioni di cui il soggetto è già a conoscenza e predisposte le procedure agevolate per i controlli e le ispezioni effettuate a tutela dello Stato oppure a fini di prevenzione, accertamento o repressione di reati. Il Garante può, come ha fatto, prevedere delle forme semplificate di informativa. Nell ambito delle nuove tecnologie un aspetto particolare della privacy riguarda l utilizzo dei telefoni cellulari. In particolare, la registrazione di foto e video è possibile solo ad uso personale. Negli altri casi deve essere chiesta l autorizzazione. A13

16 Telemarketing Sempre per le nuove forme di contatto e di accesso ai dati personali un settore particolare è quello del telemarketing, ovvero l utilizzo del telefono per la vendita e la promozione di beni e servizi. Il Garante per la protezione dei dati personali, il 15 giugno 2011, ha emanato un provvedimento relativo alla titolarità del trattamento di dati personali in capo ai soggetti che si avvalgono di agenti per attività promozionali (G.U. n. 153/11). Il Garante, alla luce della normativa privacy (D.Lgs 196/03), ha definito un quadro unitario di misure e di accorgimenti necessari ed opportuni nonché orientamenti agli operatori e a tutti i soggetti interessati attivi nel settore in materia di trattamento di dati personali dei soggetti che utilizzano agenti per attività promozionali. Tale forma di contatto è possibile solo se è stato fornito il consenso a essere chiamati via telefono. Più volte il garante è intervenuto in senso restrittivo anche con provvedimenti sanzionatori. Ad esempio regole più ferree sono state poste in essere per concorsi a premi e raccolta punti. Banche Uno dei settori in cui la tutela della privacy raggiunge la massima rilevanza è quello bancario e finanziario. Oltre a specifiche normative per sotto-comparti (ad esempio i sistemi di informazione creditizia) molti provvedimenti sono stati emessi dal Garante. Con delibera del 12 maggio 2011 il Garante, anche sulla base di segnalazioni, reclami e quesiti pervenuti dalla clientela in materia di trattamento di dati personali effettuato dalle banche, e con specifico riguardo ai temi di circolazione delle informazioni riferite al cliente all interno dei gruppi bancari e della tracciabilità delle operazioni bancarie effettuate, il Garante ha fornito prescrizioni sul trattamento di dati personali della clientela, per garantire il rispetto dei principi in materia di protezione dei dati personali da parte di dipendenti di gruppo bancari e Poste Italiane S.p.A., per la parte concernente i servizi bancari e finanziari. A14

17 In tema di banche sono stati numerosi gli interventi del garante. Si possono ricordare quelli sull utilizzo di impronte digitali e sistemi biometrici che devono essere affiancati a sistemi tradizionali e quelli sui sistemi di informazione creditizia e di accesso alla centrale rischi della Banca d Italia, identificazione e riconoscimenti della clientela Recupero crediti L attività di recupero crediti può essere svolta direttamente dal creditore oppure, nel suo interesse, da terzi. In quest ultima ipotesi, l attività di recupero crediti è preceduta dalla messa a disposizione di dati personali relativi al debitore: dati anagrafici, informazioni utili per contattarlo (ad esempio, i recapiti telefonici), dati relativi alla somma dovuta (titolo ed entità della stessa causale se indicata, termini apposti all obbligazione pecuniaria, ecc.). Per questi motivi il Garante ha stabilito che il creditore deve comunque adoperarsi affinché i principi richiamati dal provvedimento dell Autorità Garante siano rispettati. Nell attività materiale di recupero crediti, anche se affidata a terzi, gli interessati, ove i comportamenti tenuti in sede di recupero crediti integrino un illecito civile (per quanto attiene al profilo del risarcimento del danno eventualmente subito) o penale (in quanto suscettibili di integrare fattispecie di reato quali le molestie o le minacce), possono ricorrere all autorità giudiziaria ordinaria per i profili di rispettiva competenza. Chiunque effettui un trattamento di dati personali nell ambito dell attività di recupero crediti deve osservare il principio di liceità nel trattamento e la clausola generale di correttezza nel trattamento del Codice, in base alle quale sono preclusi (sia in fase di raccolta delle informazioni sul debitore e sia nel tentativo di prendere contatto con il medesimo, anche attraverso terzi), comportamenti suscettibili di incidere sulla sua dignità. Inoltre nello svolgimento dell attività devono essere rispettato i principi di pertinenza, finalità e qualità dei dati. Diritto di cronaca Il rapporto tra diritto di cronaca e privacy è regolato dalla Carta dei doveri dei giornalisti italiani, che affronta i diritti della persona, il dovere di rettifica, la presunzione di innocenza, il divieto di discriminazione per razza, religione, sesso ecc.. A15

18 Con la carta di Treviso, protocollo firmato con l intento di disciplinare il rapporto tra informazione e infanzia, è stato introdotto il Comitato nazionale per la correttezza e la lealtà dell informazione, a tutela dei cittadini che ritengano di essere stati offesi da un articolo di giornale. Con l originale legge sul trattamento dei dati personali (675/96) è poi garantito che il trattamento dei dati personali deve rispettare i diritti, le libertà fondamentali e la dignità delle persone fisiche. Soprattutto è vietato il trattamento di dati particolari nell esercizio della professione giornalistica, e di trattare senza consenso dati idonei a rivelare lo stato di salute e la vita sessuale dei cittadini e prevede la costituzione di un codice deontologico relativo al trattamento dei dati personali. A16

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36