Newsletter 15 - 26 luglio 2002 Borsa: operazioni finanziarie trasparenti per i manager Unabomber: Garante su telecamere ipermercato Spamming: bloccati i data-base di 7 società Sorveglianza su Internet: le posizioni di Germania e UK Borsa: operazioni finanziarie trasparenti per i manager Via libera dell’Ufficio del Garante all’adozione da parte della Borsa di specifiche disposizioni per assicurare al mercato una maggiore diffusione di dati concernenti operazioni mobiliari compiute da manager di società quotate, relative alle medesime società o a loro controllate. La comunicazione (la cosiddetta "disclosure") di informazioni relative al controvalore e alle date degli scambi azionari e finanziari operati dagli amministratori, direttori generali o sindaci delle predette società non contrasta, in termini generali, con i principi stabiliti dalla legge sulla privacy. Spetta altresì alla Consob verificare la conformità delle modifiche regolamentari approvate da Borsa italiana S.p.A. alla normativa italiana e comunitaria del settore e valutarne l’idoneità ad assicurare la trasparenza del mercato, l’ordinato svolgimento delle negoziazioni e la tutela degli investitori. Questo in sintesi il parere dell’Autorità sulle modifiche regolamentari che la società di gestione della Borsa aveva ipotizzato e ha recentemente introdotto, sulla base delle determinazioni della Commissione di vigilanza, per migliorare la trasparenza dei mercati. Regole che saranno operative dal prossimo anno. In aggiunta agli obblighi di informazione periodica già previsti dal regolamento Consob in materia di intermediazione finanziaria, le disposizioni sottoposte preventivamente al vaglio del Garante prevedono l’obbligo per le società quotate di comunicare periodicamente o, a seconda della rilevanza, tempestivamente le operazioni finanziarie eseguite da soggetti che, per i loro incarichi societari, abbiano accesso a particolari informazioni (dette privilegiate o "price sensitive"), oppure effettuate da loro stretti familiari o per il tramite di fiduciari od interposte persone. Ogni società è tenuta ad adottare un codice di comportamento che identifichi le cosiddette "persone rilevanti" al proprio interno (coloro che le amministrano, dirigono o vigilano) e che richieda loro di comunicare le informazioni relative a tali operazioni, in modo da permettere alle società di divulgarle al pubblico dei risparmiatori attraverso gli strumenti informatici messi a disposizione dalla Borsa. Le informazioni oggetto di diffusione si riferiscono però nominativamente agli amministratori, ai direttori generali, ai sindaci, etc., e non agli eventuali terzi attraverso i quali vengono effettuate le operazioni (che non vengono identificati e che non hanno alcun diretto obbligo informativo nei confronti delle società emittenti). I trattamenti di dati personali che deriverebbero dalle modifiche regolamentari - ha anzitutto chiarito il Garante - appaiono, quindi, conformi al principio di pertinenza e non eccedenza dei dati (art. 9 legge n. 675/1996), essendo riferiti soltanto ai dati anagrafici delle "persone rilevanti", nonché alla data, alla tipologia ed al controvalore delle operazioni mobiliari. L’Autorità ha poi affrontato il delicato problema del ruolo che verranno a svolgere i codici di comportamento nei confronti degli esponenti delle società emittenti. Al riguardo, l’Autorità ha evidenziato che qualora le regole di comportamento concretamente adottate non siano lasciate alla spontanea adesione ed osservanza da parte dei destinatari, ma siano per loro nella sostanza cogenti, in quanto rientranti nei più generali doveri, responsabilità ed impegni assunti nei rispettivi rapporti societari, i dati delle "persone rilevanti" potrebbero essere acquisiti e diffusi senza raccogliere il loro consenso, poiché questi trattamenti rientrerebbero tra quelli necessari per l’adempimento di obblighi informativi divenuti giuridicamente vincolanti anche per gli interessati (legge 675/1996). Unabomber: Garante su telecamere ipermercato (comunicato del 25 luglio) In riferimento alle dichiarazioni di un portavoce della Standa riguardo alle telecamere in uso nell’Ipermercato di Porcia, l’Autorità Garante per la protezione dei dati personali precisa quanto segue. E’ assolutamente infondato che la legge sulla privacy impedisca l’installazione di telecamere, anche all’interno dei supermercati. Ne è riprova il fatto che banche, grandi catene di distribuzione, aziende, esercizi commerciali, semplici privati, hanno potuto far ricorso a questo tipo di sistemi di controllo rispettando i diritti delle persone. Il Garante ha indicato, fin dal dicembre 2000, le garanzie con le quali le installazioni di impianti di videosorveglianza sono non solo possibili, ma consentite a fini di tutela della sicurezza dei cittadini e dei consumatori. Spiace dover ancora una volta registrare un’assoluta disinformazione e un uso strumentale della legge sulla privacy anche da parte di grandi aziende. Spamming: bloccati i data-base di 7 societa' (comunicato del 26 luglio) Nuovo intervento del Garante contro la pratica di inviare via e-mail informazioni pubblicitarie e commerciali indesiderate utilizzando indirizzi di posta elettronica senza il consenso degli interessati. L’Autorità (composta da Stefano Rodotà, Giuseppe Santaniello, Gaetano Rasi e Mauro Paissan) ha disposto nei confronti di 7 società, operanti su Internet, il blocco del trattamento dei dati personali contenuti nei loro data-base. Le società hanno violato le norme sulla privacy avendo utilizzato in maniera indebita, senza il consenso informato degli interessati, i loro indirizzi e-mail e altri dati per inviare comunicazioni di tipo commerciale o promozionale. La misura si è resa necessaria perché, da quanto è emerso nell’ambito di alcuni procedimenti presso il Garante, è risultato che le illecite modalità di raccolta ed utilizzazione dei dati da parte delle società riguardavano, oltre a coloro che si erano rivolti all’Autorità per tutelare i loro diritti, anche numerosi altri utenti di Internet. Il Garante ha innanzitutto accolto, con varie decisioni, numerosi ricorsi di singoli interessati. Altri casi sono stati risolti in modo parimenti positivo per i ricorrenti, stanti le misure adottate spontaneamente dalle società a seguito di ulteriori ricorsi. Allo scopo quindi di prevenire tempestivamente altre possibili violazioni delle norme sulla privacy, l’Autorità ha poi adottato undici provvedimenti di blocco dei dati detenuti dalle società, nell’ambito di procedimenti di controllo avviati d’ufficio dopo le decisioni dei ricorsi, per verificare se nel corso delle varie attività di raccolta e di utilizzo dei dati, le società siano incorse in altre violazioni della legge sulla privacy. Questo significa che dal momento della notifica dei provvedimenti - curata dalla Polizia postale, della cui collaborazione il Garante si è avvalso analogamente a quanto avvenuto in altre occasioni per altre forze di polizia - le società destinatarie del blocco (operanti in settori che vanno dalla vendita di software, al materiale pornografico, alla promozione commerciale, alla pubblicità) non potranno più usare illecitamente i dati personali e dovranno limitarsi alla loro sola conservazione, in attesa di una successiva pronuncia che verrà adottata dall’Autorità all’esito del procedimento di controllo. In ogni caso le società dovranno nel frattempo cancellare i dati personali dei singoli interessati che hanno presentato in passato ricorso al Garante o che dovessero vederlo accolto nelle prossime settimane. Coloro che, essendovi tenuti, non dovessero rispettare il provvedimento di blocco rischiano la reclusione da tre mesi a due anni. Con l’adozione dei provvedimenti di blocco, l’Autorità è dunque intervenuta allo scopo di evitare possibili illeciti nei confronti delle numerose persone i cui dati sono detenuti dalle società. Durante le istruttorie dei vari ricorsi proposti dai destinatari delle e-mail indesiderate, infatti, il Garante ha raccolto elementi sufficienti per ritenere che sono trattati in modo illecito non solo i dati dei ricorrenti. Le società avevano dichiarato di aver attinto gli indirizzi e-mail attraverso ricerche massive in Internet, da elenchi ritenuti erroneamente "pubblici" e liberamente utilizzabili, oppure di averli creati attraverso modalità automatizzate, cioè attraverso software che consentono di raccogliere gli indirizzi e-mail sulla Rete attraverso procedure cosiddette "random". In nessuno dei casi esaminati, inoltre, le società avevano acquisito preventivamente dai destinatari delle e-mail il consenso previsto (data la natura della comunicazione), né li avevano informati sull’uso che avrebbero fatto dei loro dati e sui diritti che la legge sulla privacy riconosce, in particolare il diritto di opporsi all’uso delle informazioni personali per fini di informazione commerciale. I ricorsi sono stati tutti accolti: oltre all’obbligo di cancellare dai loro elenchi i dati personali dei ricorrenti, le società sono state condannate al pagamento 250 euro per le spese del ricorso. In alcuni casi si è resa necessaria anche una denuncia penale. Tutte queste misure intervengono in contemporanea con la recentissima direttiva europea su privacy e telecomunicazioni, che ha generalizzato in Europa il principio del consenso (e non del rifiuto a posteriori) per lo spamming, disciplinando anche quello anonimo. Proprio per regolamentare una volta per tutte l’uso a diversi fini degli indirizzi e-mail, il Garante sta mettendo a punto un "decalogo", in vista anche del codice deontologico previsto dal decreto legislativo. n. 467 entrato in vigore lo scorso 1 febbraio. Sorveglianza su Internet: le posizioni di Germania e UK Contro i possibili eccessi della sorveglianza di Internet e reti telematiche si sono levate di recente numerose voci. Sia l’Autorità per la protezione dei dati inglese sia le Autorità di numerosi Länder della Germania hanno puntato il dito contro quelle che sono state definite "forme ingiustificate di sorveglianza". Presentando l’ultimo rapporto annuale lo scorso 10 luglio (disponibile all’indirizzo http://www.dataprotection.gov.uk/...), Elizabeth France, responsabile dell’Autorità per la protezione dei dati del Regno Unito, ha sottolineato che la risposta agli attacchi terroristici dell’11 settembre 2001 ha dato luogo ad una serie di proposte di legge dalle conseguenze potenzialmente devastanti. La France ha sottolineato che queste iniziative hanno inciso in misura notevole sull’equilibrio fra rispetto per la privacy delle persone ed esigenze di tutela della società contro azioni criminali di tipo terroristico. Il pacchetto di misure antiterrorismo approvato nel Regno Unito (Legge antiterrorismo, sulla criminalità e la sicurezza del 2001) prevede, in particolare, la conservazione dei dati relativi alle comunicazioni via Internet da parte dei fornitori di servizi per un periodo prolungato e, soprattutto, la possibilità per le forze dell’ordine di accedere a questi dati per tutta una serie di motivazioni non necessariamente legate alla prevenzione e alla repressione della criminalità - ad esempio, per motivi connessi alla salute e all’incolumità pubblica o agli obblighi di natura fiscale. In questo modo, dati dei quali si è chiesta la conservazione prolungata per scopi di sicurezza pubblica finiscono per essere utilizzati per scopi i tutt’altro genere. Significativo, a tale proposito, il richiamo fatto dal Garante inglese al documento approvato lo scorso anno dal Gruppo che riunisce le Autorità europee di protezione dati in merito ad un approccio equilibrato alla lotta contro il terrorismo (disponibile all’indirizzo http://www.europa.eu.int....), in cui si sono invitate tutte le parti in causa ad un uso misurato dei poteri di sorveglianza per evitare di compromettere proprio quei principi di libertà e democrazia che sono minacciati dal nuovo terrorismo. In Germania va invece segnalata l’iniziativa che, sotto la guida dell’autorità per la protezione dei dati del Land Schleswig-Holstein, è stata battezzata "Cartellino rosso per gli spioni su Internet" (http://www.datenschutzzentrum.de/....). Si tratta di una campagna di informazione e sensibilizzazione dell’opinione pubblica rispetto alle proposte di legge attualmente all’esame del parlamento federale (Bundestag) che, sempre in risposta agli eventi dell’11 settembre 2001, prevedono la possibilità di conservare a priori tutti i dati disponibili, sia rispetto alle transazioni su Internet sia rispetto ai servizi di telecomunicazione. L’obiettivo è di mettere a disposizione dei servizi segreti e delle autorità giudiziarie tutti i dati di cui possano eventualmente necessitare in caso di indagini. Le modalità di gestione del database che verrebbe a crearsi saranno definite non da norme primarie, ma attraverso norme regolamentari approvate dal governo federale. Attualmente in Germania (come in molti altri Paesi dell’UE, anche per effetto delle disposizioni della direttiva 97/66, di recente modificata) vige il principio opposto - ossia, tutti i dati che non siano necessari ai fini della fatturazione devono essere cancellati. E’ chiaro che se la proposta divenisse legge, si avrebbe un cambiamento "epocale" nella gestione dei dati personali su Internet e nei servizi di telecomunicazione. I Garanti dei Länder sottolineano, in particolare, che attraverso l’insieme dei dati che i fornitori di servizi Internet e i fornitori di accesso dovrebbero registrare e conservare si otterrebbe un profilo completo degli interessi dei cittadini che navigano in rete: quali prodotti acquistano, con chi e di cosa chattano, quali siano i loro gusti e le loro preferenze. Per questo invitano tutti i cittadini tedeschi a scrivere ai propri rappresentanti in Parlamento per protestare contro quello che è stato definito un "sovvertimento" del principio costituzionale (sancito dalla Corte costituzionale tedesca), secondo cui i dati non possono essere conservati a priori per scopi indeterminati: altrimenti, per citare il documento disponibile all’indirizzo Web sopra citato, "si creerebbe un potenziale di sorveglianza che non ha precedenti nelle democrazie contemporanee".