Newsletter 23 - 29 luglio 2001 Webcam in spiaggia Fornire dati di un' altra azienda come referenze non viola la privacy Albi dei medici chirurghi Il sito della settimana Tecniche biometriche e privacy Webcam in spiaggia In spiaggia, solo telecamere fisse e senza zoom, a bassa risoluzione o collocate lontane dalla zona ripresa e comunque tali da non consentire di individuare i tratti somatici delle persone. Lo ha stabilito il Garante con un provvedimento emesso al termine delle ispezioni effettuate in alcuni stabilimenti del litorale romano, dove una associazione di consumatori e varie notizie di stampa avevano segnalato installazioni di web-cam che riprendevano immagini poi trasmesse attraverso siti internet. Il Dipartimento controllo e vigilanza dell’Autorità, incaricato degli accertamenti, ha appurato la presenza di telecamere che riprendevano alcuni tratti di spiaggia per scopi pubblicitari, per far conoscere lo stato degli impianti o per fornire informazioni sulle condizioni meteorologiche, ma non ha riscontrato violazioni delle norme sulla tutela della privacy, perché le apparecchiature non permettevano di individuare in modo diretto o indiretto gli interessati. Le telecamere sono, in particolare, risultate prive della possibilità di utilizzare la funzione zoom, non consentono il cosiddetto "brandeggio" e sono in alcuni casi a bassa risoluzione o dislocate a lunga distanza dalla zona ripresa. Una analoga verifica, con gli stessi esiti, è stata effettuata sui siti web che trasmettono immagini in diretta o ad aggiornamento periodico. Pur non essendo individuabili le persone riprese, il gestore di uno stabilimento si è dichiarato, inoltre, in procinto di installare cartelli per avvertire i bagnanti della presenza delle telecamere. Al termine di queste prime ispezioni il Garante si è comunque riservato di procedere ad altri accertamenti, in caso sia interessato da eventuali nuove segnalazioni. Nel frattempo ha disposto l’invio di copia del provvedimento, nel quale vengono fissati i criteri per l’eventuale l’installazione di web-cam in spiaggia, alle autorità amministrative competenti che si interessano dell’occupazione di zone demaniali marittime, perché valutino l’opportunità di inserire - tra i presupposti che i gestori dello stabilimento dichiarano di conoscere e accettare all’atto della concessione - l’obbligo di rispettare i vigenti principi in materia di trattamento di dati personali, in particolare per quanto riguarda l’istallazione di telecamere. Le medesime autorità riceveranno anche copia del provvedimento di carattere generale del 29 novembre 2000 con il quale il Garante ha sintetizzato gli obblighi in materia di videosorveglianza, anche per quanto riguarda l’informativa al pubblico, la registrazione delle immagini, il periodo di loro conservazione ed il rispetto dei principi di pertinenza e proporzionalità nel trattamento dei dati. Albi dei medici chirurghi Sono pubblici i nomi dei medici chirurghi iscritti negli albi, ma spetta a ciascun Ordine provinciale stabilire le modalità di comunicazione a chi ne fa richiesta. E’ quanto ha ribadito il Garante nella risposta ad un quesito rivolto da un cittadino. Sulla questione l’Autorità era già intervenuta chiarendo che la legge sulla privacy non ha modificato la disciplina legislativa relativa al regime di pubblicità degli albi e non pone, dunque, alcun ostacolo alla diffusione dei dati personali contenuti negli albi, purché limitata alle informazioni che devono esservi inserite per legge. L’Autorità ha ricordato che le norme vigenti prevedono che l’albo di ciascun Ordine dei medici chirurghi sia stampato e pubblicato entro il mese di febbraio di ogni anno, con contestuale trasmissione di una copia ad alcune amministrazioni pubbliche anche allo scopo di una sua affissione nelle prefetture. Tali norme collocano questi albi tra i documenti pubblici conoscibili da chiunque, consentendo agli Ordini di comunicare e diffondere a privati ed enti pubblici economici i dati personali contenuti negli albi. Tali disposizioni, tuttavia, non disciplinano né le forme di consultazione dell’albo né l’invio di copia ad altri soggetti pubblici o privati. Spetta a ciascun Ordine valutare l’eventuale praticabilità di alcune specifiche modalità di comunicazione dei dati, diverse dalla messa a disposizione dell’albo per la sua consultazione, che sempre più vengono sollecitate nella prassi quotidiana. In alcuni casi viene, ad esempio, richiesta la trasposizione su supporto informatico, oppure la selezione di taluni professionisti in base alla specializzazione riportata nell’albo ecc.. Si tratta di situazioni che, anche su iniziativa degli Ordini interessati, potrebbero essere oggetto di un opportuno aggiornamento normativo che dovrebbe, peraltro, operare una eventuale distinzione tra i casi in cui viene richiesto all’Ordine di un fornire un ausilio per la ricerca dei nominativi (ad esempio, soggetti specializzati in un determinata disciplina) da quelli per i quali si chiede una più articolata attività di suddivisione e classificazione di categorie di specialisti, che comporta un "facere" attualmente non previsto dalla normativa. Il sito della settimana - www.cnil.fr Si possono sorvegliare i lavoratori che navigano in Internet o che utilizzano la posta elettronica servendosi di apparecchiature e linee di collegamento aziendali? La questione è una di quelle "calde" sulle quali mancano ancora norme definitive concordate a livello europeo, ma non certo le riflessioni di autorevoli rappresentanti delle istituzioni. In vista della regolamentazione, ormai imminente, di tutta la materia riguardante la "cybersorveglianza" è perciò di estremo interesse conoscere quello che si sta elaborando all’estero. In questo senso un documento fondamentale è quello predisposto dal Garante francese, intitolato "La cybersurveillance des salariés dans l’entreprise", che si può scaricare dal sito della CNIL (http://www.cnil.fr/frame.htm?actu/tactu.htm). Si tratta di un documento di lavoro di 51 pagine, che esamina gli aspetti sia giuridici sia tecnici della sorveglianza telematica, con attenzione anche al panorama degli altri Paesi europei. Il documento tiene conto anche dei contributi inviati, su sollecitazione della CNIL, da diversi internauti (anch’essi consultabili dalla home page), che costituiscono un utile corollario ai contenuti del Rapporto. Fornire dati di un' altra azienda come referenze non viola la privacy Non viola la privacy la società che, per partecipare ad una gara di appalto, fornisca come referenze informazioni relative ad un’altra impresa anche senza il consenso di quest’ultima. Lo ha stabilito il Garante dichiarando infondato il reclamo presentato da una società che aveva lamentato la comunicazione ad un ente pubblico da parte di un’altra società di alcuni dati personali, nonostante avesse dichiarato la sua opposizione a tale operazione. I dati erano stati raccolti in precedenti rapporti di lavoro intercorsi tra le due imprese. L’Autorità ha sottolineato che la società che ha comunicato i dati non ha violato le disposizioni della legge sulla tutela della riservatezza, essendosi limitata ad allegare, alla documentazione necessaria per poter partecipare alla gara, alcuni atti relativi allo svolgimento di attività economiche della società interessata. Per questo tipo di dati, ha ricordato l’Autorità, la legge sulla privacy consente la diffusione anche senza il consenso della ditta interessata. La società che ha comunicato i dati, inoltre, si è attenuta alle disposizioni dettate dal testo unico in materia di appalti pubblici di forniture, le quali prevedono per le imprese che partecipano alle gare la possibilità di dimostrare le proprie capacità attraverso la produzione di diversi documenti, tra i quali compare anche l’elenco delle principali forniture effettuate negli ultimi tre anni, con relativi importo, data e destinatario. Il Garante ha ritenuto, poi, che la società ricorrente non avesse dimostrato l’esistenza di motivi legittimi per opporsi al trattamento dei propri dati personali. Ha comunque richiamato l’attenzione della società che ha utilizzato i dati sull’ obbligo di trattarli in modo lecito e corretto e nel rispetto di un’idonea informativa, secondo i principi stabiliti dalla legge sulla privacy. Tecniche biometriche e privacy (Da un articolo di David Callahan sul Washington Post del 22 luglio 2001) Il dibattito sui rischi ed i benefici delle tecniche biometriche, e sulla possibilità di utilizzare i dati biometrici senza il consenso degli interessati, non ha trovato sinora risposte definitive. Negli USA, e altrove, la creazione di database biometrici prosegue a ritmo serrato non solo da parte di soggetti pubblici, ma anche ad opera di numerose aziende private; l’elemento più preoccupante è che tutto ciò avviene senza un vero confronto democratico sulla possibilità di trovare un compromesso fra gli interessi confliggenti delle varie parti in causa. Negli ultimi anni si è assistito ad un progresso impressionante delle tecniche che consentono la rilevazione di caratteristiche biometriche come la geometria del volto, la retina, la geometria della mano, il timbro vocale ed il DNA. Agli occhi delle forze dell’ordine si tratta di un elemento estremamente positivo, i cui benefici per la società nel suo complesso prevalgono nettamente sui rischi potenziali. Naturalmente, se si chiedesse ad un cittadino se vuole vivere in una società dove la polizia può accedere ai suoi dati genetici, la risposta sarebbe probabilmente negativa - soprattutto per il rischio che tali dati consentano previsioni sull’insorgenza di patologie o comportamenti "devianti"; d’altra parte, la maggioranza di noi non vorrebbe vivere in una società in cui chi commette violenze sessuali non viene punito - e l’analisi del DNA ed il confronto con i dati memorizzati sono spesso essenziali a questo scopo. Callahan passa in rassegna la situazione esistente negli USA rispetto a quattro tecniche di tipo biometrico, e ne emerge un quadro con molte ombre e poche luci che dovrebbe far riflettere più a fondo sulle implicazioni di queste nuove tecnologie. Per quanto riguarda la rilevazione delle impronte digitali, va ricordato che negli USA è in vigore dal 1998 il National Children Protection Act che consente a qualunque ente che operi nel settore dell’infanzia, dell’assistenza agli anziani o a soggetti portatori di handicap, di utilizzare le impronte digitali per verificare, ad esempio, l’idoneità dei dipendenti. Nel Maine una legge del 1997 impone la rilevazione delle impronte digitali per tutti i dipendenti scolastici, mentre in altri sei Stati questa rilevazione è necessaria per ottenere una patente di guida. In Virginia una legge del 2000 consente alle imprese private e ad altri enti del tipo prima descritto di utilizzare il database della polizia della Virginia per verificare le impronte digitali di dipendenti o collaboratori potenziali; a New York chi beneficia dell’assistenza pubblica deve farsi prendere le impronte digitali. Secondo le associazioni per la difesa delle libertà civili, si tratta di fenomeni che "stanno lentamente trasformando la nostra società in uno stato di polizia". Le tecniche di autenticazione basate sulla scansione oculare/iridea o della geometria del volto, ovvero sull’analisi del timbro vocale, trovano largo impiego soprattutto nel settore privato. In molti casi le aziende preferiscono utilizzare dispositivi per il riconoscimento della geometria della mano al posto dei tradizionali cartellini per verificare la presenza e l’attività dei dipendenti. I rischi maggiori derivano dalla possibilità che le banche dati realizzate dalle imprese siano poi vendute al migliore offerente; la legislazione attuale non permette di opporsi in maniera efficace ad un’eventualità del genere. Le preoccupazioni di una parte dell’opinione pubblica americana hanno trovato riscontro nella recente richiesta formulata dalla maggioranza repubblicana di tenere una serie di audizioni al Congresso sulle tecniche di riconoscimento del volto. Le banche dati del DNA costituiscono un tema fra i più controversi. L’idea di un’enorme banca dati nazionale che permetta alle forze dell’ordine di confrontare qualsiasi elemento di prova di natura genetica trovato sulla scena di un delitto è naturalmente ancora di là da venire, ma alcuni recenti avvenimenti sembrano puntare in una direzione non molto lontana. L’FBI ha creato una banca dati nazionale del DNA unificando vari database gestiti da singoli Stati; per adesso si tratta di una banca dati di dimensioni relativamente ridotte, ove sono presenti soprattutto dati relativi al DNA di soggetti condannati per reati sessuali o altri reati violenti. Tuttavia, varie iniziative a livello dei singoli Stati mirano ad incrementare in misura esponenziale le dimensioni dei database nazionali, che sono poi la fonte primaria della banca dati gestita dall’FBI. Un esempio in tal senso è offerto dalla Virginia, dove la banca dati del DNA comprendeva inizialmente (1989) informazioni sui responsabili di crimini violenti, e successivamente (1990) è stata estesa a tutti i reati penali nonché, nel 1996, ai minori di età non inferiore a 14 anni accusati di gravi reati. E’ allo studio una proposta delle forze dell’ordine che vorrebbe inserire nella banca dati le informazioni relative a tutti i soggetti che siano arrestati in Virginia, indipendentemente dal fatto che vengano accusati di reati penali; proposte analoghe sono all’esame anche a New York ed in altri stati. Le tecniche di riconoscimento del volto hanno trovato impiego di recente durante la finale del Super Bowl in Florida, a Tampa, quando sono state usate per passare in rassegna il pubblico presente (100.000 persone) in modo da individuare eventuali ricercati dalle forze dell’ordine. La tecnologia alla base di questi sistemi biometrici ha costi relativamente contenuti, il che ne fa prevedere la rapida diffusione. Naturalmente le implicazioni associate all’impiego di queste tecniche in termini di privacy non sono trascurabili. Sono già numerose le aziende private che utilizzano sistemi di riconoscimento del volto per fornire "servizi personalizzati": si assiste insomma alla creazione di enormi banche dati biometriche potenzialmente esposte al rischio di abusi, e con l’aumentare del numero di queste banche dati saranno sempre più numerosi i soggetti privati in grado di tenere traccia dei movimenti dei singoli clienti o visitatori. La legislazione attuale non pone vincoli sostanziali alla vendita di queste informazioni a società di marketing, o a investigatori privati che agiscano per conto di ex-coniugi o di altri soggetti disposti a pagare il prezzo richiesto. Il deficit democratico dei processi decisionali riferiti all’uso delle tecniche biometriche e delle banche dati del DNA è altrettanto inquietante delle potenzialità insite in queste tecnologie. Nonostante sporadiche audizioni dinanzi al Congresso degli USA, il legislatore federale e nazionale segue il fenomeno con scarsa attenzione; le forze dell’ordine possono agire in quello che è, a giudizio di Callahan, un sostanziale vuoto legislativo: la creazione di banche dati del DNA, o l’installazione di sistemi di videosorveglianza, può avvenire senza l’informazione o la consultazione del pubblico e senza alcun dibattito nelle sedi appropriate. La normativa che regolamenta la raccolta, l’utilizzazione e il trasferimento da parte delle imprese di dati biometrici relativi a dipendenti o clienti è assai scarsa; per contro, le imprese operanti nel settore conducono politiche aggressive, ed una lobby apposita è stata creata a Washington dalla International Biometrics Industry Association per esercitare pressione nelle sedi politiche federali e statali. All’inizio del XX secolo si è molto discusso della possibilità per i sistemi democratici di sopravvivere al totalitarismo o al comunismo; oggi è forse il caso di chiedersi - secondo Callahan - se la democrazia sia in grado di tenere il passo dello sviluppo tecnologico. A suo giudizio, la risposta può essere affermativa se i politici avranno il coraggio di regolamentare il mercato e di frenare lo zelo eccessivo delle forze dell’ordine. Le tecniche biometriche costituiscono un ottimo campo di prova in questo senso.