Un anno di privacy: la relazione annuale del Garante

Dovremmo esserci abituati alle modifiche ed ai cambiamenti continui che caratterizzano la vita quotidiana di questo inizio di millennio. Eppure resta comunque impressionante constatare quanto sia flessibile ed in continua evoluzione la normativa sul trattamento dei dati personali. E' passato poco più di un decennio da quando la normativa entrò in vigore per la prima volta nel nostro paese, ma sembra davvero passato un tempo infinito da quella data, non poi così lontana.

Non passa giorno che la questione “privacy” non sia evocata per definire i rapporti tra cittadini e politici, tra imprese e consumatori, tra diritto di cronaca e diritto alla riservatezza. Vale quindi la pena fare un quadro di sintesi e ricordare , in occasione della publbicazione della Relazione Annuale dell'attività del Garante dei dati personali per l'anno 2008, quali sono stati i principali interventi del Garante per la protezione dei dati personali in questi ultimi mesi.

Le cifre

Prima di tutto esaminiamo le cifre dell'attività del Garante: da questo emerge un significativo aumento delle richieste di intervento che i cittadini hanno formulato.

I provvedimenti collegiali adottati dal Garante nell'ultimo anno di attività sono stati 524.

Si è registrato un rilevante incremento nelle risposte a segnalazioni e reclami, passate dalle 3.078 del 2007 alle 5.252 del 2008 (in particolare, riguardo a telefonia, sanità, credito al consumo, Internet, giornalismo, videosorveglianza, pubblicità indesiderata).

I ricorsi presentati al Garante sono stati 321 (in maggioranza relativi a banche e finanziarie, datori di lavoro pubblici e privati, amministrazioni pubbliche), mantenendosi stabili rispetto al 2007.

Si è data risposta a 1.058 quesiti posti da soggetti pubblici e privati (in maggioranza riguardanti sanità, trasparenza amministrativa, videosorveglianza, fascicoli personali dei dipendenti).

Il Collegio ha reso 21 pareri al Governo e al Parlamento (in materia di banche dati e di informatizzazione della Pubblica Amministrazione, attività di polizia, giustizia, banche e imprese).

Le ispezioni effettuate sono state 500 registrando una progressione costante. I controlli hanno riguardato numerosi settori, con particolare riguardo ai sistemi di videosorveglianza, agli istituti di credito, all'amministrazione finanziaria, agli operatori telefonici, alle cliniche private.

Le violazioni amministrative contestate sono aumentate del 30% raggiungendo le 338 del 2008. Una parte consistente ha riguardato le attività promozionali indesiderate o attivazione di servizi non richiesti tramite call center.

I proventi riscossi a titolo di pagamento delle sanzioni sono passati da 814.625 euro del 2007 a 1 milione e 62mila euro. Oltre 335mila euro sono stati pagati per estinguere il reato in materia di misure di sicurezza.

L'attività di relazione con il pubblico ha fatto registrare quest'anno circa 40.000 contatti all'Urp, quasi 20.000 e-mail trattate nell'anno.

Sono state approvate importanti Linee guida: in particolare, riguardo all'attività dei periti e dei consulenti dei magistrati, all'attività degli amministratori di sistema, alle sperimentazioni cliniche dei farmaci, al fascicolo sanitario elettronico.

Il Garante ha adottato anche alcuni provvedimenti generali per specifici settori: in particolare, la messa in sicurezza dei dati di traffico telefonico e telematico conservati a fini di giustizia; la "rottamazione" sicura di pc e cellulari; la semplificazione per imprese e P.a. delle procedure per l'adozione delle misure di sicurezza; la semplificazione degli adempimenti in caso di fusioni e scissioni societarie.

Gli interventi più rilevanti in materia di dati personali

Gli interventi più rilevanti del Garante in questi ultimi anni hanno riguardato molteplici e delicati ambiti:

• telecomunicazioni (conservazione dei dati di traffico telefonico e telematico, misure di sicurezza per le intercettazioni, bollette telefoniche con ultime tre cifre in chiaro);

• giornalismo e informazione (cronache giudiziarie, tutela dei minori e delle vittime di violenza, notizie sui minori adottati, dati sullo stato di salute e sulla vita sessuale, archivi giornalistici on line);

• marketing (telefonate indesiderate e call center, attivazione di servizi non richiesti, "profilazione" a fini commerciali di utenti e clienti, "carte di fedeltà" della grande distribuzione);

• pubblica amministrazione (misure di sicurezza per l'Anagrafe tributaria, accertamenti fiscali, trasparenza degli emolumenti pubblici, interconnessione e sicurezza delle banche dati, redditi on line);

• sanità (sperimentazioni dei farmaci, fascicolo sanitario elettronico, "scontrino fiscale parlante", dati sulla salute on line, uso dei dati genetici, riservatezza nelle strutture sanitarie, uso delle reti telematiche);

• lavoro (sistemi di rilevazione biometrica, navigazione in Internet e controllo dei lavoratori, sistemi di videosorveglianza, dati on line , cedolini dello stipendio);

• giustizia e polizia (misure di sicurezza per gli uffici giudiziari, banche dati Dna, Ced del Dipartimento di P.s., periti e consulenti dei giudici, censimento nomadi);

• nuove tecnologie (geolocalizzazione, Google street view e servizi satellitari, software spia applicabili ai cellulari);

• Internet (Facebook e social network, motori di ricerca, illegittima conservazione dei dati sulla navigazione in Internet, condivisione files musicali,);

• scuola e università (pubblicità scrutini e voti scolastici, preiscrizioni universitarie);

• vita sociale (sistemi di videosorveglianza nei condomini, telecamere negli spogliatoi, propaganda elettorale);

• sistema impresa (semplificazione adempimenti, trasferimento di dati all'estero, azionisti e accesso al libro soci);

• sistema bancario, finanziario e assicurativo (semplificazione adempimenti per sistemi di informazione commerciale, accesso e utilizzo ai dati dei clienti delle banche, misure di protezione, sistema antifrodi).

In particolare la privacy e le attività di marketing

Con riferimento alle attività di marketing gli interventi di questi ultimi anni del Garante sono stati particolarmente significativi.

Con provvedimento adottato il 19 giugno 2008 , recante misure di semplificazione in relazione alle attività amministrative e contabili (più ampiamente illustrato infra, al n. 10.8), in applicazione dell'istituto del bilanciamento degli interessi (art. 24, comma 1, lett. g), è stata individuata, in tema di marketing, un'ipotesi nella quale non va richiesto il consenso dell'interessato.

Il titolare del trattamento che abbia già venduto un prodotto o prestato un servizio, nel quadro dello svolgimento di ordinarie finalità amministrative e contabili, potrà utilizzare i recapiti di posta cartacea forniti dall'interessato medesimo, per inviare ulteriore materiale pubblicitario, promuovere una vendita diretta, compiere ricerche di mercato o per comunicazioni commerciali.

Tale soluzione considera le difficoltà rappresentate da alcuni operatori economici nel conservare un proprio diretto "canale comunicativo" con i soggetti con i quali abbiano già instaurato un rapporto contrattuale; tiene al tempo stesso conto del diritto dell'interessato a non essere disturbato mediante comunicazioni promozionali, in base a garanzie analoghe a quelle previste dalla legge per l'uso della posta elettronica (art. 130, comma 4; v. anche, con riguardo alle comunicazioni postali, l'art. 58, comma 2, d.lg. n. 206/2005).

La Vendita a domicilio e trattamento di dati per attività di marketing

Per quanto riguarda la vendita a Sono stati effettuati accertamenti presso la sede legale di una società che effettua vendite a domicilio, per verificare l'osservanza della disciplina di protezione dei dati sia nella fornitura di beni e servizi attraverso vendite a distanza previste dalla legge, sia in eventuali operazioni di trattamento volte a verificare l'affidabilità e solvibilità economica della clientela. È risultato che la società in questione – che commercializza oggetti per la casa – raccoglieva le informazioni personali riferite all'utenza e rende l'informativa alla clientela sia con contatti telefonici, sia mediante compilazione di modelli resi disponibili on-line, nonché in occasione degli incontri dimostrativi e dell'eventuale stipula del contratto. In quest'ultima circostanza, viene altresì acquisito il consenso al trattamento dei dati personali per le diverse finalità perseguite dalla società. È inoltre risultato che i dati riferiti alla clientela (che ha effettuato acquisti) venivano conservati a tempo indeterminato (attesa la garanzia a vita, contrattualmente prevista, gravante sui beni commercializzati) e venivano utilizzati dalla società anche per finalità di telemarketing. Non erano poi prefissati, invece, i tempi di conservazione dei dati relativi ai clienti che non hanno provveduto ad effettuare acquisti (dati comunque utilizzati dalla società per contatti volti a comprendere le ragioni del mancato acquisto). Il Garante ha vietato alla società l'ulteriore trattamento dei dati relativi alla clientela utilizzati per finalità di telemarketing, dato che la modulistica impiegata dalla società prevedeva il rilascio di un unico consenso, manifestato nell'ambito di un più ampio contesto (comprensivo tanto delle attività di marketing che di quelle relative alla gestione del rapporto precontrattuale ed, eventualmente, contrattuale), volto ad autorizzare una pluralità di trattamenti invero ben distinti. Infatti il consenso informato deve essere manifestato specificamente in riferimento ad un trattamento chiaramente individuato: art. 23, comma 1, del Codice), ragion per cui il trattamento per finalità di marketing è risultato essere stato svolto dalla società in violazione di legge.

Il Garante ha prescritto alla società l'adozione di alcune misure volte a conformare i trattamenti dei dati riferiti alla clientela alla disciplina di protezione dei dati. Al riguardo, non è infatti risultata idonea l'informativa resa on-line – nella sua duplice versione presente sul sito – in quanto carente di alcuni elementi previsti dall'art. 13 del Codice e, quindi, tale da non rappresentare, in modo agevole e trasparente, le varie fasi del trattamento posto in essere dalla società. In proposito, il Garante già in passato aveva dettagliatamente evidenziato l'esigenza di rendere in modo chiaro e trasparente l'informativa agli interessati (Provv. 13 gennaio 2000) anche prescrivendo che l'informativa inserita all'interno di moduli sia adeguatamente evidenziata e collocata in modo autonomo e unitario in un apposito riquadro che la renda agevolmente individuabile (Provv. 24 febbraio 2005 ).

Inoltre è risultata carente anche l'informativa resa in occasione del contatto telefonico mediante call center (contenente l'indicazione di una sola delle finalità del trattamento e priva della menzione dei diritti degli interessati). Il Garante ha dunque prescritto alla società di integrare le informative (sia quella fornita on-line sia quella resa tramite call center), con gli elementi mancanti. Ha inoltre prescritto alla società di adottare misure necessarie all'individuazione di tempi massimi certi per la conservazione dei dati personali riferiti alla clientela (salva l'osservanza di espresse disposizioni di legge), nonché la cancellazione o anonimizzazione dei dati la cui conservazione non risulti giustificata (art. 11, comma 1, lett. e), del Codice) (Provv. 19 maggio 2008).

Il Consenso dell'interessato

Un altro caso interessante è stato proposto a seguito di un reclamo presentato nei confronti di una concessionaria automobilistica. In quel caso è stata lamentata l'indebita utilizzazione di dati personali per finalità di marketing, in assenza di adeguata informativa e di consenso dell'interessato per tale finalità (al quale la modulistica predisposta riconosceva la sola facoltà di negare il consenso all'uso dei dati). Su tali basi, pertanto, il reclamante ha ricevuto da parte della concessionaria, una volta acquistato il veicolo, alcuni messaggi pubblicitari sia presso il proprio domicilio, con comunicazioni postali, sia mediante Sms, sul proprio telefono cellulare.

Gli elementi acquisiti hanno confermato che l'informativa resa al reclamante era carente di taluni elementi prescritti dall'art. 13 del Codice e che non era stato acquisito il consenso espresso dell'interessato ai sensi dell'art. 23, comma 1, del Codice per le finalità di marketing. Il Garante ha quindi disposto che i dati del reclamante non potevano più essere utilizzati per il perseguimento di detta finalità (art. 11, comma 2, del Codice), dando prescrizioni volte a rendere l'informativa conforme all'art. 13 del Codice (Provv. 31 gennaio 2008).

In definitiva da questo rapido esame emerge un quadro di interventi molto ampio che conferma il fatto che questa legge si modella costantemente seguendo l'evoluzione della società anche derogando rispetto agli originari principi cui la legge si è ispirata all'epoca della sua formulazione.

In questo senso mi sembra di poter dire che la continua evoluzione della legge italiana sulla tutela dei dati personali sia la dimostrazione che è proprio vero quello che spesso si osserva a proposito del nostro sistema di produzione delle norme giuridiche: i testi normativi nascono perfetti nel chiuso degli uffici legislativi, creati da tecnici competenti e sensibili. Poi arrivano nelle mani del legislatore che, per adeguarli alle sue non sempre lineari esigenze, ne stravolge la coerenza interna e l'ordine logico e razionale. E inevitabilmente sorgono i problemi interpretativi ed applicativi.

Come viene percepita la privacy on line? Ecco il rapporto 2009

Una ricerca approfondita analizza l’atteggiamento degli utenti durante le interazioni che comportano la registrazione di dati personali. L’indagine, svolta su un campione rappresentativo degli italiani che utilizzano la rete, è stata commissionata da MagNews nell’ambito di una più ampia ricerca intorno ai fattori che determinano la qualità della relazione

Qual è il livello di attenzione dei navigatori italiani alla loro privacy? Quando e perché decidono di completare un form on line o lo abbandonano rinunciando magari a un’offerta pur di non comunicare i propri dati di contatto?

Queste sono le domande principali a cui risponde il sondaggio commissionato da MagNews, uno dei leader storici dell’E-mail Marketing italiano, e realizzato da Human Highway su un campione di circa 1.000 individui rappresentativi dei circa 23 milioni di navigatori abituali italiani sopra i 15 anni, che si connettono almeno 1 volta a settimana.

Conoscenza della Privacy:

Per quanto riguarda la conoscenza della legge sulla Privacy, gli utenti italiani appaiono abbastanza informati sui principi fondamentali (circa due su tre sanno di poter chiedere da dove provengono i propri dati di contatto e che possono richiederne la cancellazione), anche se un 20% circa del campione ammette la propria totale ignoranza in materia. L’informativa Privacy obbligatoria è sistematicamente ignorata da poco più del 20% degli utenti, mentre, all’altro opposto, c’è un 10% circa di navigatori nostrani (che equivale a circa 2,5 milioni di individui) che non solo dichiarano di leggerla sempre o quasi, ma ne conservano anche una copia. Le parti della dichiarazione che vengono prese maggiormente in considerazione (e che comportano i maggiori tassi di abbandono) sono soprattutto la possibilità di trasferire dati a terzi e l’estensione a questi dell’autorizzazione all’invio di comunicazioni commerciali.

Compilazione dei form:

I dati raccolti sul web tramite moduli-form non sono generalmente percepiti in maniera negativa, almeno fino a quando non si richiedono informazioni più specifiche legate alla sfera economica e reddituale (con tassi di abbandono che arrivano fino al 57%), alla composizione del nucleo familiare ed alla tipologia di abitazione, oppure non si fanno domande sul tempo libero, sul titolo di studi e non viene chiesto di indicare il sesso (in questi casi i tassi di abbandono sono intorno al 10%). Se queste richieste non sono adeguatamente motivate e contestualizzate è molto probabile infatti che l’utente interrompa la compilazione o fornisca dati inesatti.

Atteggiamento verso lo spamming:

Interessante l’atteggiamento degli italiani nei confronti dello spamming. Malgrado il fenomeno sia ormai dilagante (solo il 3% dichiara di non esserne in qualche modo coinvolto), gli utenti di Internet non sono affatto rassegnati. Solo il 15% non reagisce a quella che ritiene essere una violazione della propria privacy, mentre 8 persone su 10 hanno protestato almeno una volta con chi spediva loro messaggi non richiesti o hanno cambiato indirizzo e-mail (quasi 3 su 4 intervistati), oppure ancora hanno aggiunto il mittente tra quelli filtrati dai sistemi antispam (quasi la metà dei casi). Addirittura 1 utente su 3 dice di essersi rivolto al Garante per la Privacy almeno una volta (è probabile però che questa risposta sia indotta dalla crescente intolleranza verso lo spam e dalla confusione di ruoli tra Autorità Garante e responsabile del trattamento).

Privacy e Minori:

Il problema è molto sentito, soprattutto dagli intervistati con figli. In questi casi, se il fine è tutelare i dati personali dei minorenni, ogni mezzo, anche coercitivo, è ritenuto giustificato.

L’indagine completa Privacy e Permission Marketing online – Rapporto Italia 2009 è interamente scaricabile, in maniera gratuita, collegandosi al sito MagNews all’indirizzo: www.mag-news.it/privacy2009.

Quali caratteristiche deve presentare un link per essere lecito?

di Marco Maglio  - Avvocato in Milano – Professore di Diritto Privato del Marketing e dei Consumatori

Quando un link nasconde insidie giuridicamente rilevanti? Questa è una domanda rilevante per chiunque crei un sito internet per promovere la propria attività, per offrire prodotti e servizi o semplicemente per comunicare con gli altri. 

Prima di tutto occorre tenere presente che il link, cioè il collegamento ipertestuale che permette di navigare da una pagina all’altra dello stesso o di altri siti, è lo strumento principale utilizzato per muoversi nella rete. In un certo senso il link è il simbolo stesso della Rete ed è l’artificio tecnico che ne ha determinato il successo. In particolare l’efficacia della comunicazione pubblicitaria in Internet si basa proprio sul questo meccanismo. I Banner proprio attraverso il meccanismo del collegamento ipertestuale danno al navigatore la possibilità di far comparire sullo schermo del suo computer le comunicazioni commerciali di suo interesse. Non è quindi un caso se negli ultimi tempi anche i link sono stati oggetto di attenzione da parte dell’Autorità Garante per la Concorrenza ed il Mercato che ha imposto regole precise per l’uso di questo strumento. I messaggi analizzati dall’Authority erano composti da un link dal quale si accedeva ad una pagina web contenente un modulo di registrazione e le condizioni generali di un contratto per la fornitura di servizi di accesso alla Rete. Tuttavia mentre i link facevano riferimento alla gratuità del servizio proposto, le condizioni di contratto prevedevano, a carico del cliente, una serie di oneri "passivi" non economici, quali l'obbligo di ricezione di e-mail pubblicitarie e la profilazione commerciale.

Il giudizio dell’Autorità Antitrust.

L'Autorità è pervenuta alla conclusione per cui, in considerazione del mezzo di diffusione e dei messaggi in esame, sia i link ipertestuali che le pagine ad essi collegati configuravano un unico messaggio pubblicitario.

Una volta ritenuto che link e pagina web ad esso collegata costituiscono un messaggio pubblicitario, l'Autorità ha ritenuto ingannevoli tali messaggi dal momento che gli operatori subordinavano la prestazione di un servizio, qualificato come gratuito, all’accettazione da parte del cliente di oneri passivi non economici come l'obbligo di ricezione di e-mail pubblicitarie e il consenso alla profilazione commerciale. 

I criteri da tenere sempre presenti

L'Autorità ha quindi ritenuto che queste comunicazioni non rispettavano il generale principio di trasparenza, completezza e immediatezza dell'informazione accessibile al consumatore. I messaggi condannati erano infatti mancanti di elementi in grado di far comprendere subito ai consumatori l'esistenza di una vera e propria prestazione passiva. La circostanza che le specifiche ed onerose condizioni di fruibilità dell'offerta non fossero rivelate chiaramente nei messaggi (che invece si diffondevano sugli aspetti più accattivanti delle offerte) risultavano dunque idonee ad indurre i consumatori in errore, pregiudicandone indebitamente il comportamento economico. 

La morale è una sola: il consumatore ha sempre diritto di sapere

L'importanza di queste pronunce va al di là dei singoli casi concreti; le condanne esaminate: ponendosi nel solco di altri analoghi provvedimenti dell'Autorità stabiliscono un principio generale in base al quale, anche su Internet, l'operatore pubblicitario deve informare fin dal primo contatto quali siano e in cosa consistano gli oneri previsti in capo al consumatore. Si tratta di un principio importante che tiene conto del fatto che Internet consente un rapporto diretto e, per così dire, immediato tra consumatore e venditore. Per evitare che acquisti d’impulso e atti istintivi determinino scelte non consapevoli, chi usa la Rete per fare comunicazione commerciale deve prestare massima attenzione ai meccanismi utilizzati per attirare l’attenzione del consumatore.

Teniamolo presente sempre: è un criterio semplice, che viene ripreso anche da altre normative specifiche. In fondo si tratta solo di rispettare una regola di buon senso. Le scelte dei consumatori devono essere sempre consapevoli e occorre fare in modo di mettere a disposizione di chi deve decidere tutti gli elementi che permettono di scegliere se acquistare o meno un prodotto o servizio

A proposito di behavioral advertising

In un post di qualche mese fa ho lanciato un sasso nello stagno e i cerchi concentrici che ha generato la provocazione sono stati - come prevedevo - numerosi. Come ricorderà chi ha letto l'articolo, ho segnalato che negli Stati Uniti ormai si sta affermando la tendenza a controllare il comportamento dei consumatori che, per strada, vedono un manifesto pubblicitario. Una telecamera nascosta scruta le espressioni dei passanti, osserva se e da cosa è attirata l'attenzione: in pratica, spia la reazione del consumatore di fronte al messaggio non indirizzato.

Mi sembra un dato rilevante da tenere presente nell'odierno dibattito sulla relazione tra tutela dei dati personali e attività di marketing.

Per capire la tendenza in atto aggiungo ora una seconda provocazione: riguarda internet e l'uso che viene fatto dei nostri dati personali. Lo spunto è tratta da un bell'articolo recente di Luca Annunziata e pubblicato da Punto Informatico, a commento di uno studio recente commissionato dal New York Times.

In pratica, ogni comportamento sul web è tracciato: basta navigare per finire schedati, classificati e indicizzati, per trasformarsi da individui a semplici numeri, per diventare merce e non essere più comuni cittadini della rete. Lo rivela uno studio, commissionato dal New York Times, che solleva il velo su numeri per certi versi inaspettati.

L'azienda più interessata ai comportamenti dei suoi utilizzatori è Yahoo!: il portale esegue ogni mese su ciascuno dei propri utenti almeno 2.520 operazioni, per capirne gusti, abitudini, preferenze e via dicendo. E lo fa ogni volta che transitano sui suoi server o visualizzano la sua pubblicità.

Il secondo posto è occupato da MySpace con 1.229 operazioni ogni 30 giorni. Terzo classificato nella graduatoria degli osservatori del web è Time Warner AOL, grazie a 610 episodi per utente legati all'associazione di informazioni provenienti da sito e pubblicità. Google è quarta con informazioni carpite 578 volte ogni ciclo lunare, tallonato da Facebook (525), mentre più staccate risultano Microsoft (355), Ebay (201) e Amazon (87).

Ultimo classificato, secondo lo studio del NY Times, è Wikipedia, che raccoglie informazioni personali appena 16 volte al mese sui suoi navigatori.

Poco curiosi sembrano anche editori tradizionali come lo stesso New York Times (che osserva i suoi lettori "solo" 45 volte al mese), NBC Universal (38) e Condé Nast Publications (34). Come osserva Luca Annunziata nel suo articolo - "a "penalizzare" questi ultimi è soprattutto la mancanza di un network pubblicitario come quello di Yahoo! e Google, vera miniera d'oro di informazioni: queste ultime non arrivano solo dalle ricerche effettuate o dai video visualizzati, ma anche (e in maniera tangibile) dalle informazioni raccolte grazie alla presenza dei banner sparsi in tutta la rete".

Ovviamente di fronte a questa tendenza i giudizi possono essere vari. Ma è indubbio che la realtà con la quale fare i conti è questa: l'obiettivo ormai chiaro per le società che intendono comunicare con i consumatori è raccogliere i dati necessari a costituire le banche dati su cui strutturare campagne di behavioral advertising, pubblicità basata sul comportamento dei consumatori, che quindi vanno tracciati, monitorati e spiati nelle loro condotte.

Ed è proprio questo il punto: se la pubblicità diventa sempre più modellata sul comportamento individuale, dobbiamo chiederci se le norme poste a tutela della libertà di scelta individuale sono adeguate ed efficienti rispetto ai diritti individuali che devono essere tutelati.

Tutto bene? Direi di no, anzi mi viene spontanea la domanda: come la mettiamo con la privacy individuale? Ha senso continuare a parlare di privacy se il numero di tracciamenti inconsapevoli dei nostri comportamenti individuali aumenta continuamente, come dimostra il caso del manifesto pubblicitario di New York e la ricerca del New York Times sulla tracciabilità in internet?

Aggiungo quindi questa nuova provocazione che penso solleciterà le vostre osservazioni, e in un prossimo post affronterò queste domande, alla luce delle leggi vigenti e delle prospettive di sviluppo futuro.

La privacy on line: quali regole

di Marco Maglio - Avvocato - Professore di diritto privato dei consumi e del marketing

Internet enciclopedia contemporanea
Quali regole vanno seguite per raccogliere informazioni in Internet? La domanda è frequente perché ormai la Rete è diventata il luogo nel quale è più facile ed economico raccogliere notizie e dati. È un po' un'Enciclopedia contemporanea dove si può trovare di tutto su ogni argomento. In particolare per chi svolge attività commerciale e di comunicazione, Internet è un potente strumento per conoscere ciò che serve per svolgere attività di marketing e di vendita. In rete è possibile raccogliere dati preziosi che dicono moltissimo sugli interessi dei navigatori. Non è un caso se da qualche tempo soprattutto le grandi multinazionali hanno creato organizzazioni che gestiscono siti esclusivamente con l'intento di raccogliere informazioni sugli hobbies, le abitudini, le preferenze delle persone. In cambio offrono gadget, partecipazioni a concorsi oppure semplicemente servizi: il caso tipico e quello delle newsletter settoriali. L'obiettivo è quello di creare profili di potenziali clienti ai quali rivolgere offerte e proposte commerciali.
Il problema della tutela dei dati in rete
Così aumenta l'esigenza di tutelare i diritti dei navigatori e di fornire informazioni concrete agli operatori del web (service provider, web master, gestori dei siti) per capire come ci si debba comportare. Non è facile dare una risposta univoca perché in Internet è assai difficile stabilire il limite territoriale di applicazione di una legge: può succedere che la raccolta dei dati venga effettuata da siti posti in paesi che offrono minori protezioni rispetto allo stato di appartenenza del navigatore. E allora quale legge si applica? E soprattutto come si può tutelare il cittadino?
Verso le regole globali: la Raccomandazione di Atene
Da qualche anno ormai esiste un provvedimento che fa luce finalmente sulla materia: è la cosiddetta Raccomandazione di Atene, formulata nel 2002 dal Comitato dei Garanti Europei per la protezione dei dati personali.
Di cosa si tratta? È una serie di indicazioni che fissano un "nucleo minimo" per la tutela di chi utilizza internet. Il principio fondamentale che va rispettato è questo: è necessario che il navigatore sappia che qualcuno sta raccogliendo informazioni sul suo conto; vengono distinti un primo gruppo di notizie che ciascun sito deve fornire a tutti i visitatori, in modo snello e visibile, e un nucleo più articolato di informazioni che il sito può fornire in altre pagine web evidenziando l'intera privacy policy del sito stesso.
Le indicazioni riguardano, in particolare, le modalità, i tempi e la natura delle informazioni che i titolari devono fornire agli utenti quando questi si collegano a pagine web, indipendentemente dagli scopi del collegamento.
Il futuro della privacy on line: il "Bollino di qualità"
La Raccomandazione si applica a tutti i dati raccolti da siti che siano stabiliti in uno degli Stati dell'UE, oppure che non siano stabiliti nell'UE ma utilizzino apparecchiature situate sul territorio di uno Stato dell'UE. L'obiettivo finale è quello di creare una piattaforma di valori condivisi su base internazionale per l'emanazione di norme uniformi nei singoli ordinamenti nazionali. Ma, come sempre, in Internet non è sufficiente fissare le norme: occorre un approccio integrato che accanto alle regole nazionali ed internazionali dia spazio all'autodisciplina ed all'autotutela. Così uno degli obiettivi dichiarati della Raccomandazione di Atene è quello di arrivare all'emanazione di un sistema di certificazione ed un "bollino di qualità" che certifichi la rispondenza delle procedure di raccolta dei dati alle regole base fissate dall'Unione Europea.
Si tratterà ora di stabilire quali Enti o Associazioni avranno la forza di raccogliere questa sfida e favoriranno la diffusione delle garanzie minime per gli utenti di Internet.
La privacy, nodo per lo sviluppo del commercio elettronico e di internet
È in gioco la credibilità stessa della Rete, spesso accusata ingiustamente di essere artefice di tutti i mali della società moderna. Per non perdere la fiducia dei navigatori, i siti seri e rigorosi devono potersi distinguere da quelli disinvolti e ingannevoli. Questa è un'esigenza fondamentale per garantire un futuro alla Rete. Internet è uno straordinario strumento di comunicazione utilizzato da tutti. Non è un fatto nuovo nella storia dell'Umanità: è già successo con le grandi vie di comunicazione nel medioevo, dove i viandanti potevano essere aggrediti dai briganti ad ogni angolo della strada. Internet, a quanto pare, ha molti angoli.

Data l'importanza del tema, chi desidera conoscere in dettaglio le regole della Raccomandazione di Atene trova un ulteriore approfondimento, seguendo le domande e le risposte di questo test sui generis.

Il TEST

Quattro regole per un test rapido

Una domanda a bruciapelo per chi raccoglie dati personali in rete: rispettate le garanzie minime per gli utenti in Internet?
Facciamo un rapido test, senza crocette e senza punteggi, per scoprire se i siti con i quali avete a che fare, come gestori o come concorrenti, rispettano le regole fissate dalla Raccomandazione di Atene emanata dal Comitato dei Garanti Europei il 17 maggio 2002 per disciplinare la raccolta dei dati personali.
Succede frequentemente che in Internet vengano raccolti dati personali per l'invio di newsletter, per acquisti on line, per iscrizione a forum, per accedere a servizi in rete o per mille atre iniziative di marketing.
Per verificare se i dati sono raccolti legittimamente e se gli utenti possono compilare i formulari on line a cuor leggero, ecco in dettaglio le regole minime che a giudizio dei Garanti Europei devono essere rispettate. Leggete le norme e domandatevi se tutto è a posto con la vostra azienda. Il test è semplice.
1. Regola numero uno: su cosa informare il navigatore
Occorre fornire preventivamente a chiunque si colleghi ad un sito web che preveda la raccolta di dati personali, le seguenti notizie: identità e indirizzo (elettronico o meno) di chi raccoglie i dati, finalità della raccolta, obbligatorietà delle informazioni richieste all'utente (vi possono essere dati necessari per fornire un servizio richiesto da un utente, mentre altri sono opzionali), modalità per esercitare i diritti di accesso, rettifica, cancellazione, opposizione al trattamento, destinatari eventuali delle informazioni raccolte (e in tal caso l'utente deve avere la possibilità di opporsi alla trasmissione dei suoi dati ad altri soggetti, per scopi diversi da quelli per cui gli vengono richiesti dal sito - ad esempio cliccando su una casella specifica), eventuale utilizzo di procedure automatiche per la raccolta dei dati (è il caso, ad esempio, dei cookies), misure di sicurezza adottate per garantire l'integrità e la riservatezza dei dati richiesti.
2. Regola numero due: come informare il navigatore
È necessario fornire le informazioni sopra elencate direttamente sul monitor del singolo utente, prima che avvenga la raccolta dei suoi dati; per farlo si può ricorrere alle varie possibilità messe a disposizione dalla tecnologia attuale: finestre "a scomparsa", caselle da cliccare, messaggi "pop-up". È opportuno inoltre che sulla pagina di accoglienza del sito vi sia un'indicazione chiara e comprensibile dell'esistenza di un'informativa sulla privacy (ad esempio "Questo sito raccoglie e tratta dati personali che la riguardano. Per ulteriori informazioni, clicchi qui").
3. Regola numero tre: raccogliere solo i dati necessari
Bisogna tenere presente che i titolari del sito hanno anche altri obblighi, oltre al dovere di informare adeguatamente gli interessati. In particolare, è indispensabile che la raccolta di dati personali sia necessaria per le finalità specificate: pertanto, se l'obiettivo che il titolare si prefigge (fornire un servizio, un'informazione, ecc.) può essere raggiunto senza elaborare dati personali, questi non devono essere raccolti. Nella stessa ottica, si sottolinea l'opportunità di favorire ed accettare l'impiego di pseudonimi quando questi ultimi permettano comunque di svolgere determinate transazioni. Inoltre, non devono essere raccolti più dati di quelli necessari per lo scopo dichiarato (è il principio cosiddetto di "pertinenza"), e i dati raccolti devono essere conservati solo per un periodo giustificato dalle finalità del trattamento.
4. Regola numero quattro: non usare indirizzi ricavati dalle aree pubbliche dei siti
non è consentito utilizzare indirizzi di posta elettronica ricavati da "aree pubbliche" di Internet (ad esempio, gruppi di discussione) per attività di marketing, nel caso in cui i diretti interessati non ne siano stati informati; se invece gli interessati sono stati informati della possibilità che i dati forniti in una sede determinata vengano utilizzati per scopi di marketing diretto, e hanno avuto la possibilità di dare il proprio consenso a questa forma di utilizzazione (magari cliccando online su una casella apposita), in tal caso l'uso di indirizzi di e-mail per fini di marketing è da ritenersi lecito.

Come è andato il test?
Le regole sono finite. Non sono complicate ma chiedono di essere rispettate. Se avete fatto questo test e la situazione che avete in mente non corrisponde a tutte queste indicazioni fareste bene a correre ai ripari con urgenza. Sono in arrivo norme specifiche per garantire il rispetto delle Garanzie minime sia a livello comunitario che in ambito nazionale. Muoversi in anticipo può essere la mossa vincente in un mercato fortemente concorrenziale. Vi terremo informati in tempo reale.

E se la privacy riguarda anche i manifesti per strada?

Nei giorni scorsi ho letto un interessante articolo di Ennio Caretto, che racconta quanto sta succedendo a New York in questi giorni. In pratica, e semplificando molto una vicenda complessa, vi dico che alcune telecamere sono state poste dietro i cartelloni per studiare le caratteristiche di chi mostra interesse per i prodotti reclamizzati. In pratica la pubblicità spia chi la guarda. I passanti sono ritratti e classificati e viene registrato anche il tempo della sosta davanti al cartellone e l'espressione del viso di chi guarda.

Ecco il testo dell'articolo di Ennio Caretto, tratto dal Corriere della sera del 1° giugno 2008.

Penso sia utile per aprire un dibattito e preparare ad una riflessione cui vorrei dedicare qualcuno dei prossimi post.

Attenti a quel cartellone pubblicitario elettronico, è una spia. Questo il messaggio trasmesso ieri dal New York Times ai suoi lettori a proposito delle nuove reclame stradali di Manhattan. I nuovi cartelloni elettronici, ammonisce il giornale, vi fotografano. Peggio, vi analizzano per determinare la vostra età, il vostro sesso, il vostro vestito e, possibilmente, il vostro portafoglio, oltre che i vostri gusti. E mandano il tutto a una banca dati che dal vostro aspetto e atteggiamento deduce se la reclame sia efficace o no. «La banca dati giura che non tiene le vostre foto né vi scheda, ma c' è da fidarsi?», si chiede il New York Times. A trasformare il tradizionale, innocuo cartellone pubblicitario in un Grande fratello è una macchina fotografica con computer nascosta al suo interno. Chi si ferma a guardare la reclame viene ritratto e classificato: un' agiata signora di mezza età, un anziano pensionato, una ragazzina dispettosa e così via. La macchina registra anche altri dati: quanto tempo uno sosta davanti al cartellone, che espressione ha. In genere, i nuovi cartelloni elettronici attirano i passanti perché trasmettono brevi video, come la tv e Internet. Un' invenzione della «Quividi», dal latino Qui vedo, di base a Parigi. Uno dei fondatori, Paolo Prandoni, scienziato italiano con tre lauree (la prima all' università di Padova), spiega che hanno un unico obbiettivo: consentire alle aziende che li usano di trovare la clientela più adatta. «Con Internet e con la tv - sottolinea - è molto facile fare della reclame mirata perché si sa quali siti vengono visitati di più, o quale audience esista per ciascuna categoria di consumatori. La reclame stradale invece è stata sempre fatta alla cieca. Adesso non lo sarà più». E ora si scopre che i cartelloni della Quividi, prima di sbarcare a Manhattan, sono stati adottati altrove: per una squadra di calcio di Filadelfia, in alcuni negozi Ikea in Europa, nei McDonald di Singapore. E un' altra ditta, la Trumedia tecnologies, ne ha appena installati una trentina in vari Paesi in via sperimentale. Lo slogan della Trumedia, che con le sue telecamere intelligenti svolge opera di sorveglianza in Israele, è «ogni faccia conta». Come Prandoni, il suo direttore, George Murphy, sostiene che si tratta soltanto di «ammodernare un veicolo pubblicitario antiquato». Ma le associazioni delle libertà civili non sono d' accordo. Lee Tien, il legale della Fondazione frontiere elettroniche, protesta che è una violazione del diritto dei cittadini alla riservatezza. «Queste macchine fotografiche sono praticamente invisibili. Il pubblico può accettare che le banche impieghino le telecamere per prevenire il crimine, ma non che si spii su di loro quando camminano per istrada». Il New York Times ricorda che in Inghilterra sono state installate 4 milioni 200 mila telecamere, una ogni 14 persone. E pone il quesito se sia lecito aggiungere all' intrusione dello Stato anche quella delle aziende private.

Non aprite quella porta!

di Marco Maglio

Un consiglio per chi vorrebbe usare a fini di marketing le dichiarazioni dei redditi pubblicate sul sito web dell’Agenzia delle Entrate.

Non sto a farvi la cronaca di quello che è successo in questi giorni.

Penso siano noti a tutti i fatti ed il balletto istituzionale che ne è derivato. Un esponente dell’esecutivo uscente decide di far pubblicare le dichiarazioni dei redditi di tutti i contribuenti italiani dell’anno 2005; il Garante della privacy interviene e blocca la pubblicazione; l’Agenzia delle Entrate ricorda che esiste un’apposita previsione normativa che risale al 1973 che legittima la pubblicazione degli elenchi nominativi dei dati dei contribuenti.

Nel frattempo emerge che i dati, pubblicati per una sola mattinata nel sito dell’Agenzia, sono magicamente disponibili in rete e facilmente scaricabili attraverso il peer to peer.

Cosa sia successo e come evolverà la questione nelle prossime settimane (ma dovrei dire mesi, conoscendo i tempi consueti di queste cose) non credo sia tanto interessante per chi legge questa rubrica. A mio parere è stata commessa una leggerezza

Credo invece vi interesserà sapere che a seguito di questa poco edificante vicenda molti operatori del settore si sono chiesti se quei dati, essendo disponibili e materialmente consultabili, malgrado i divieti del Garante, possano essere raccolti e consultati. Perchè i dati di reddito sono un indicatore essenziale per chi fa direct marketing. Permettono di creare liste di “consumatori ad alto reddito”, il vero obiettivi per molti responsabili di campagne marketing. Quindi la tentazione per molti è stata forte.Immagino che molti avranno pensato: ” Se i dati sono pubblicati io li raccolgo, poi vedrò come usarli. Se l’Agenzia li ha pubblicati io li uso.”

Beh, ragazzi, se posso darvi un consiglio, state attenti ed evitate disinvolture grossolane. Perchè quei dati, indipendentemente da come andrà a finire la faccenda istituzionale, sicuramente non possono essere in nessun modo usati per finalità di marketing. Quindi è meglio evitare di raccogliere dati che non si ha ragione di possedere, nel rispetto del principio di finalità. Oscar Wilde diceva di saper resistere a tutto tranne che alle tentazioni. Beh, il consiglio migliore che un avvocato può dare a chi gestisce liste di marketing è: resistete, resistete, resistete! Se raccogliete quei dati, il vostro data base sarà inevitabilmente avvelenato.

Quei dati sono stati raccolti dal Ministero dell’Economia e delle Finanze e l’Agenzia delle Entrate che come precisano nell’informativa che accompagna il modulo che tutti i contribuenti usano per la loro dichiarazione, per le finalità di liquidazione, accertamento e riscossione delle imposte e che, a tal fine, alcuni dati possono essere pubblicati ai sensi dell’art. 69 del D.P.R. n. 600 del 1973 (che prevede tra l’altro la possibilità di pubblicare solo i dati di coloro che sono stati sottoposti ad accertamento tributario).

Quindi in ogni caso non sarà possibile usare quelle liste per arricchire i data base di marketing delle aziende. E poi scusate, ma che qualità hanno i dati scambiati peer to peer? Sono file di testo, molto facilmente modificabili da chi li pubblica. Basta aggiungere o togliere qualche zero per diventare milionari immaginari o derelitti bisognosi di cure. Insomma, a me sembra che siano dati in ogni caso poco affidabili, non conoscendone con sicurezza la fonte. Un bravo data base manager non li farebbe mai entrare nel suo archivio.

Consiglio di tenere presenti tutti questi aspetti, anche perchè i controlli, c’è da scommetterlo, dopo il polverone che è stato sollevato, saranno accurati. Anche se quelle liste sono facilmente acquisibili attraverso sistemi di scambio peer to peer. Ricordate che ogni accesso lascia tracce e che la polizia postale sta comunque monitorando la vicenda della pubblicazione on line delle dichiarazioni dei redditi degli italiani. E in ogni caso faccio presente che in tempi di class action se la vostra azienda fosse trovata in possesso di queste liste il rischio per un’azione di risarcimento del danno non sarebbe improbabile. Insomma: frequentare e-mule o altri programmi peer to peer per inseguire queste liste sarebbe, credetemi, un pessimo affare. Insomma se siete furbi, evitate di scaricare quei file. In caso contrario trovatevi un bravo avvocato perchè, prima o poi, ne avrete bisogno.

P.S. La mia opinione sulla vicenda, per chi la vuole conoscere, è che lo Stato dovrebbe essere più coerente se vuole guadagnarsi il rispetto dei cittadini. Sicuramente è stata violata la finalità del trattamento dichiarata nell’informativa resa ai contribuenti che hanno compilato la dichiarazione dei redditi. Ma il Garante, che si era già pronunciato su questo argomento nel 2003, poteva immaginare che il problema prima o poi si sarebbe posto. E la privacy è un bene che per essere tutelato veramente richiede interventi preventivi. Intervenire dopo, quando le pecore sono uscite dall’ovile, non è il comportamento ideale per un buon pastore.