Riassunto esame Informatica Giuridica, prof. Sartor, libro consigliato Il diritto dell'era digitale, Pascuzzi

Come le tecnologie digitali cambiano le regole giuridiche

Capitolo 1

Dal diritto alla riservatezza alla computer privacy

Per quanto attiene alla tutela della riservatezza, l'avvento dell'era digitale comporta cambiamenti sul piano delle regole giuridiche: il contenuto del diritto alla riservatezza si trasforma e si amplia: dal diritto ad essere lasciati soli al diritto al controllo sulle informazioni che riguardano l'individuo, fino a giungere all'enunciazione del diritto alla protezione dei dati personali. Dopo l'esplosione di Internet si diversificano le ragioni per tutelare la privacy: il problema non è più solo evitare discriminazioni, quanto tranquillizzare i potenziali clienti del commercio elettronico.

Diritto ad essere lasciati soli

Evoluzione storica del diritto alla riservatezza:

• Fine 800 Stati Uniti: pubblicazione sulla rivista Harvard Law Review di “The Right to privacy”, - nasce il “Right to privacy” inteso come “Right to be let alone”.
• Inizio 900 Europa: dottrina tedesca elabora la categoria dei Diritti della Personalità.

Affermazione della privacy nella giurisprudenza italiana:

• Caso Caruso: metà anni ’50 la Cassazione riteneva non sussistere nel nostro ordinamento un diritto alla riservatezza (Cass., 22 dicembre 1956, n. 4487).
• Caso Petacci: metà anni ’60 la Suprema Corte comincia a cambiare idea (Cass., 20 aprile 1963, n. 990).
• Caso Esfandiari: nel 1975, dopo aver negato per molto tempo l'ammissibilità di una protezione autonoma del rispetto della vita privata, il Supremo Collegio, conformandosi ad una copiosa giurisprudenza di merito, perviene all'affermazione che l'ordinamento giuridico riconosce e tutela l'interesse di ciascuno a che non siano resi noti fatti o avvenimenti di carattere riservato senza il proprio consenso (Cass., 27 maggio 1975, n. 2129). La sentenza affermava costituire lesione della privacy la divulgazione di immagini o avvenimenti non direttamente rilevanti per l'opinione pubblica, anche quando tale divulgazione venga effettuata con mezzi leciti e per fini non esclusivamente speculativi.

La dottrina ancorava nella Costituzione il fondamento normativo del diritto alla riservatezza, in particolare nell'art. 2 e nel riconoscimento dei diritti inviolabili della persona. Il contenuto del diritto alla riservatezza, che ha trovato riconoscimento nel nostro ordinamento nella seconda metà degli anni ’70, corrisponde al diritto ad essere lasciati soli.

Diritto al controllo sulle informazioni che riguardano l'individuo

La diffusione delle tecnologie informatiche ha comportato una trasformazione e un ampliamento del contenuto del diritto alla riservatezza: non più diritto a essere lasciati soli, ma diritto al controllo sui propri dati (in primis, al fine di scongiurare il pericolo di discriminazioni). Le normative sul trattamento computerizzato dei dati personali perseguono tutte un obiettivo finale: assicurare all'interessato il controllo sul flusso delle informazioni che lo riguardano. Scrive Stefano Rodotà: la privacy può essere definita come il diritto di mantenere il controllo sulle proprie informazioni.

D.lgs. 196/2003 Codice in materia di protezione dei dati personali.

• Dato personale: qualunque informazione relativa a persona fisica, persona giuridica, ente o associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale (art.4, comma 1, lett.b.codice della privacy).
• La scelta di tutelare, oltre che le persone fisiche, anche le informazioni relative alle persone giuridiche, rappresenta una delle principali differenze tra la normativa italiana e la direttiva 95/46/CE.

Art. 4. d.lgs. 196/2003 Codice in materia di protezione dei dati personali:

• "Titolare", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza.
• "Responsabile", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali.
• "Incaricati", le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile.
• "Interessato", la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali.

Direttive comunitarie in materia di privacy

• Direttiva 95/46/C: tutela delle persone fisiche con riguardo al trattamento dei dati personali, e nonché alla libera circolazione di tali dati.
• Direttiva 2002/58/C: trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche.

Modalità del trattamento e requisiti dei dati (codice della privacy art. 11): i dati personali oggetto di trattamento devono essere:

• Trattati in modo lecito e secondo correttezza.
• Raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi.
• Esatti e aggiornati.
• Pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati.
• Conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati.

Diritto di accesso ai dati personali ed altri diritti (codice della privacy art. 7)

Riconoscimento in capo ai titolari dei dati di determinati diritti:

• Diritto di conoscenza (l'interessato ha diritto di ottenere la conferma dell'esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile, comma 1).
• Diritto di accesso ai dati (l'interessato ha diritto di ottenere l'indicazione: dell'origine dei dati personali; delle finalità e modalità del trattamento; della logica applicata in caso di trattamento effettuato con l'ausilio di strumenti elettronici; degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell'articolo 5, comma 2; dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati, comma 2).
• Diritto di modifica e aggiornamento di dati incompleti o obsoleti (l'interessato ha diritto di ottenere: l'aggiornamento, la rettificazione ovvero, quando vi ha interesse, l'integrazione dei dati, comma 3).
• Diritto all'oblio (cancellazione dei dati non più necessari in relazione al fine per i quali erano stati raccolti) (l'interessato ha diritto di ottenere: la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati, comma 3).
• Diritto di opporsi al trattamento (l'interessato ha diritto di opporsi, in tutto o in parte: per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta; al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciali, comma 4).

Informativa (codice della privacy art. 13)

L'interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa:

• Le finalità e le modalità del trattamento cui sono destinati i dati.
• La natura obbligatoria o facoltativa del conferimento dei dati.
• Le conseguenze di un eventuale rifiuto di rispondere.
• I soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi.
• I diritti di cui all'articolo 7.
• Gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e del responsabile.

Consenso (codice della privacy art. 13)

Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell'interessato. Il consenso può riguardare l'intero trattamento ovvero una o più operazioni dello stesso. Il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto, e se sono state rese all'interessato le informazioni di cui all'articolo 13. Il consenso è manifestato in forma scritta quando il trattamento riguarda dati sensibili.

Dati sensibili

Dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale (art 4, comma 1, lett. d, codice della privacy).

Principi applicabili al trattamento di dati sensibili (art. 20 codice della privacy)

Il trattamento dei dati sensibili da parte di soggetti pubblici è consentito solo se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite.

Principi applicabili al trattamento di dati sensibili e giudiziari (art. 23 codice della privacy)

I soggetti pubblici conformano il trattamento dei dati sensibili e giudiziari secondo modalità volte a prevenire violazioni dei diritti, delle libertà fondamentali e della dignità dell'interessato. I soggetti pubblici possono trattare solo i dati sensibili e giudiziari indispensabili per svolgere attività istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa.

Garanzie per i dati sensibili (art. 26 codice della privacy)

I dati sensibili possono essere oggetto di trattamento solo con il consenso scritto dell'interessato e previa autorizzazione del Garante, nell'osservanza dei presupposti e dei limiti stabiliti dal codice della privacy, nonché dalla legge e dai regolamenti.

Il diritto alla protezione dei dati personali

Diritto alla protezione dei dati personali (art. 1 codice della privacy d.lgs. 196/2003): chiunque ha diritto alla protezione dei dati personali che lo riguardano. Le notizie concernenti lo svolgimento delle prestazioni di chiunque sia addetto ad una funzione pubblica e la relativa valutazione non sono oggetto di protezione della riservatezza personale.

Art. II-68 del Trattato di Roma 29 ottobre 2004: ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano. » (comma 2 “tali dati devono essere trattati secondo il profilo di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni individuo ha diritto di accedere ai dati raccolti che lo riguardano e di ottenerne la rettifica”).

Il diritto alla protezione dei dati e l’importanza della sicurezza: i dati personali devono essere trattati in un contesto di misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza:

• Considerando n. 46 della direttiva 95/46/C: la tutela dei diritti e delle libertà delle persone interessate relativamente al trattamento di dati personali richiede l'adozione di adeguate misure tecniche ed organizzative sia al momento della progettazione che a quello dell'esecuzione del trattamento, in particolare per garantirne la sicurezza ed impedire in tal modo qualsiasi trattamento non autorizzato; spetta agli Stati membri accertarsi che il responsabile del trattamento osservi tali misure; queste devono assicurare un adeguato livello di sicurezza, tenuto conto delle conoscenze tecniche e dei costi dell'esecuzione rispetto ai rischi che i trattamenti presentano e alla natura dei dati da proteggere.
• Art. 31 e ss. del codice della Privacy: impone veri e propri obblighi di sicurezza in capo al titolare del trattamento prevedono che i dati personali debbano essere custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

La violazione dell'obbligo di adottare le misure minime di sicurezza (complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell'articolo 31; delineate nell'art. 33 del codice della privacy) è sanzionata penalmente (cfr. art. 169, d.lgs. 196/2003). Sul piano civilistico, il trattamento dei dati personali è considerato esercizio di attività pericolosa, a norma dell'art. 15 del codice, chiunque cagioni danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'art. 2050 del codice civile.

La riservatezza nell'era di internet

Conseguenze della diffusione capillare dei computer interconnessi:

• Possibilità di controllo e monitoraggio di tutta l'attività compiuta in rete.
• Possibilità utilizzazione maliziosa e dannosa dei dati personali.
• Dipendenza dai sistemi informatici e telematici delle società avanzate.
• Vulnerabilità dei sistemi.

Profilazione degli utenti: processo mediante il quale vengono rilevate e analizzate le abitudini e le scelte di consumo degli utenti, possono essere rilevate le attitudini commerciali del cliente manifestate attraverso le navigazioni.

Il paradosso: chi offre servizi on-line è fortemente interessato alla profilazione della clientela, ma nel contempo è anche interessato a garantire un alto standard di tutela dei dati trattati, in modo da ottenere la fiducia del cliente/utente al fine di incrementare i propri affari.

Esempi di tecnologie utilizzate per la profilazione degli utenti:

• Log file: è un file di testo in cui viene registrata e documentata 1'attività di applicazioni software installate su un computer. Un file log è automaticamente generato presso il fornitore di accesso ad Internet (provider) e documenta tutta l'attività che il singolo navigatore ha svolto sulla rete durante il collegamento. Grazie ai logs il gestore di un sito può conoscere quanti sono i visitatori, quando arrivano, da dove vengono, cosa fanno, quanto si fermano e quali pagine consultano. Spesso nei logs sono registrate informazioni assai dettagliate che consentono di ricostruire un profilo preciso del navigatore.
• Cookies: sono file Ascii, di piccole dimensioni, che contengono informazioni di base relative ad un utente in relazione ad un server (es. login). Ogni volta che l'utente accede ad un determinato sito Internet, quest'ultimo può inviare un cookie al fine di ottenere alcuni dati. I cookies, consentono al server di scrivere in modo permanente alcune informazioni sulla macchina client, in modo che possano essere disponibili in successive sessioni di collegamento (i cookies sono presi in considerazione nella direttiva 2002/58/CE, essi possono essere utilizzati solo se all'utente viene fornita un'adeguata informativa e la possibilità di escluderne l'istallazione sul proprio terminale). I cookies vengono utilizzati per controllare con che frequenza il navigatore accede al sito, per personalizzare il sito, per evitare una nuova autenticazione, per definire il profilo dell'utente in ragione delle pagine maggiormente visitate.

Il problema non è più tanto quello di evitare discriminazioni, quanto quello di proteggere adeguatamente i dati personali, in modo da tranquillizzare i potenziali utenti del commercio elettronico e di altri servizi on-line.

I dati personali assumono una rilevanza economica: i dati degli utenti sono utilizzati per offrire un servizio mirato. Spesso scompare il canone da pagare per fruire un servizio, ma il “prezzo” rimane: l'utente “paga” fornendo informazioni circa i propri gusti e le proprie abitudini (prassi adottata dai principali Internet providers di offrire gratuitamente agli utenti l'accesso alla rete c.d. free-web).

Gli utenti «pagano» in due modi: fornendo utili informazioni circa i propri gusti ed abitudini e generando traffico telefonico.

Le regole della rete

Le regole tradizionali (di provenienza statuale e destinate ad operare in ambiti spaziali definiti) si mostrano inidonee a governare il carattere aterritoriale della rete e ad assicurare l'enforcement dei precetti normativi. Si affermano approcci alternativi per disciplinare il trattamento dei dati personali:

• Codici deontologici e di condotta.
• Le c.d. Privacy Enhancing Technologies tecnologie che proteggono l'anonimato.
• La certificazione di qualità.
• La negoziazione diretta tra le parti ovvero la contrattualizzazione della tutela.

Codici di condotta Art. 27 della direttiva 95/46/C :