Avv. Giovanni Maglio

Nel settore dell’innovazione tecnologica, lo sviluppo di app dedicate alla salute riveste ormai un ruolo molto importante ed attrae sempre di più l’attenzione dei vari soggetti coinvolti.

Si pensi, per avere un’idea delle dimensioni del mercato, che nel 2014 la spesa per la digitalizzazione della sola sanità italiana è cresciuta del +17% rispetto all’anno precedente, toccando 1,37 miliardi di euro; anche se, complessivamente, risulta pari soltanto all’1,3% della spesa sanitaria pubblica, con una media di circa 23 euro per abitante.

In generale, lo sviluppo di app, specie per il settore mobile, è diventato uno dei fattori trainanti della crescita nel digitale e il coniugio con il settore dell’health-care non poteva che essere altrettanto proficuo.

Secondo una ricerca di Research2Guidance, esistono oltre 100mila applicazioni fitness/salute disponibili per il download sugli stores digitali e si stima che nel corso del 2015 oltre 500 milioni di persone in tutto il pianeta ne utilizzeranno almeno una.

È innegabile, infatti, che applicare le moderne tecnologie dell’innovazione e della comunicazione per il miglioramento o il mantenimento della salute psico-fisica degli utenti-pazienti, comporta significativi vantaggi nell’erogazione dei servizi e migliori performance a livello aggregato, sotto diversi punti di vista.

Anzitutto quello dell’efficacia, perchè consente di ottenere un monitoraggio dello stato di salute individuale e collettivo più preciso e completo, tale da permettere la prevenzione, la precisione diagnostica ed interventi tempestivi o circoscritti, evitando così il ricorso successivo a dispendiose terapie ovvero riducendo l’entità delle stesse, i tempi di recupero ecc., grazie soprattutto alla personalizzazione mirata delle cure. Con immenso vantaggio per il benessere e la salute dei cittadini.

Vi è, poi, un sensibile risparmio dal punto di vista economico ed a tutti i livelli, sia privati che pubblici, che, già di per sé, giustifica gli investimenti in tecnologia e sviluppo di applicazioni specifiche, spesso, peraltro, finanziabili attraverso bandi di varia provenienza o il crowdfunding.

Tutto ciò passa necessariamente attraverso un massiccio ricorso all’utilizzo di tecnologia e soprattutto di devices che, di fatto, tendono a trasformare ciascun utente-paziente in un nodo dell’Internet of Thing, declinabile nella più suggestiva espressione dell’Internet of Me, ossia ciascun utente-paziente è collegato al devices (di diverse specie e forme) che raccoglie i suoi dati sanitari (parametri vitali, funzioni fisiologiche, caratteristiche antropometriche ecc.) e li trasmette in maniera digitale, trattandoli pertinentemente e secondo finalità strettamente determinate.

Le problematiche giuridiche relative al trattamento dei dati personali, infatti, in detto settore sono più che mai cruciali e non possono che essere affrontate con il criterio della privacy by design e by default, con il necessario livello di adeguamento ai provvedimenti normativi, tanto europei quanto nazionali, ma soprattutto facendo tesoro della preziosa produzione da parte di Autorità Garante ed Organismi europei (GPEN, WP29 ed Enisa tra tutti) che costituiscono un vero e proprio sussidio per districarsi nell’intricato rapporto tra tecnologia sempre più veloce, da una parte e diritto che spesso fatica ad inseguire, dall’altra.

D’altronde, la tutela dei dati personali sensibili, quali quelli sanitari, può costituire un vero e proprio ostacolo allo sviluppo di app di M-health o E-health e deve essere tenuto nella dovuta considerazione, nonostante l’utilizzo delle moderne tecnologie sembra quasi portare ad una sorta di desensibilizzazione al riguardo, specie se pensiamo che già molti devices in nostro possesso hanno installate app che raccolgono e trattano dati personali relativi al nostro stato psico-fisico senza che noi ce ne accorgiamo, peraltro in forza di un consenso espresso con la stessa facilità con cui si approvano le condizioni di servizio di una qualsiasi app (ossia premendo un tasto virtuale dopo aver scrollato un testo lunghissimo e magari incomprensibile).

App mediche che ormai sono finite sotto la lente di ingrandimento delle diverse Autorità per la tutela dei dati personali, tra cui quella italiana.

Per non parlare poi delle vere e proprie condizioni del servizio reso dall’app e dei cookies di profilazione (in questo caso di comportamenti che rivelano lo stato di salute), anche questo argomento oggi attuale più che mai, proprio perchè oggetto di un apposito provvedimento dell’Autorità Garante.

Tra le altre criticità vanno segnalate la scelta del S.O. per lo sviluppo dell’app, che può condizionare, e non poco, la diffusione e l’utilizzo dell’app stessa, la modalità di fornitura del servizio tramite le diverse forme di cloud computing, la geolocalizzazione, l’eventuale scelta di utilizzare una piattaforma e-commerce per l’erogazione di servizi, tanto all’utente paziente, quanto all’utente operatore sanitario o struttura sanitaria, l’eventuale gestione dei pagamenti elettronici e la possibile classificazione dell’app come dispositivo medicale in conformità delle direttive comunitarie europee o delle linee guida della FDA (Food and Drug Administration) americana.

È importante, ad ogni modo, osservare come l’interesse allo sviluppo di app nel settore health-care sia ormai diventato, specie a livello mondiale, un pilastro così fondamentale per lo sviluppo del digitale, che quasi tutti i grandi operatori cercano di invogliare gli sviluppatori ad approcciarsi ad esso, mettendo loro a disposizione tutta una serie di strumenti (tra cui API e SDK) che forniscano un valido aiuto e supporto tecnico.

Ed è proprio in tale osservazione che non si può fare a meno di notare come un grandissimo gruppo come Apple, abbia deciso di rilasciare il proprio “Research Kit” ossia un framework software open source che rende più facile per i ricercatori e gli sviluppatori creare app che possono rivoluzionare gli studi medici e potenzialmente trasformare la medicina per sempre; tale framework opera di pari passo con “HealthKit”, un potente strumento sempre targato Apple, che consente alle app di salute e benessere che girano sugli smartphone dotati di iOS, di lavorare insieme.

Una scelta questa, quasi in aperto cambiamento di rotta rispetto alle stringenti logiche proprietarie e dirigistiche che la casa di Cupertino ha sempre seguito nella propria strategia di mercato, per raggiungere la leadership.

Evidentemente, l’importanza del settore, collegato ad aspetti vitali quali quello del benessere e della salute psico-fisica, ha fatto si che la stessa società scendesse in campo con un grande attrattore, quello dell’Open source, che consentirà di richiamare l’attenzione e l’impegno di molti più sviluppatori, diversamente costretti a sviluppare solo in ambienti proprietari.

Infine, non si può evitare di riflettere sulla potenziale universalità nell’erogazione dei servizi di sanità digitale e che la scelta di sviluppare una applicazione priva di respiro sovranazionale rischia di rivelarsi una scelta strategica inopportuna.

Ciò anche nel pieno rispetto di quello che oggi rappresenta una dei grandi temi che l’IoT, i Wearable devices ed il M2M pongono sul piatto, ossia l’interoperabilità dei sistemi, che potendo comunicare correttamente tra di loro, riescono a garantire livelli di sicurezza, di accesso e di performance ancora più elevati, con tutto vantaggio per l’intera collettività umana.

Ovviamente, la visione dello sviluppatore non può evitare di confrontarsi con un approccio multi-livello, declinato in almeno tre ambiti strettamente interconnessi, ossia quello tecnico-informatico, quello del modello di business e quello tecnico-legale, in modo da poter realizzare app attraenti dal punto di vista della user experience, remunerative per gli sviluppatori e conformi ai vari legal frameworks interessati.

Con la recentissima sentenza della Corte di Cassazione Civile a Sezioni Unite, del 08.02.2011 n. 3033, si è affermato un principio di diritto molto importante per il corretto svolgimento dell’attività forense in materia di trattamento dei dati personali.
Infatti, la Cassazione ha affermato che è legittima la ritenzione di copia di documenti consegnati dal cliente per la relativa utilizzazione nel processo per il quale era stato conferito il mandato pur dopo l’intervenuta revoca di esso, quando si tratti di far valere in altra sede processuale il diritto al compenso per l’attività professionale svolta.

Ciò è possibile sulla base dei seguenti presupposti individuati dalla Suprema Corte:
a) nella specie è certamente ravvisabile una ipotesi di trattamento di dati personali;
b) i dati personali oggetto di trattamento devono essere gestiti secondo correttezza, utilizzati in operazioni diverse da quelle che avevano dato luogo alla raccolta se compatibili con le prime e comunque non devono essere eccedenti rispetto alle finalità che avevano dato causa alla raccolta;
c) il consenso dell’interessato al trattamento dei dati, ordinariamente necessario, non è viceversa richiesto nei casi indicati nell’art. 24 d.lgs 196/03, fra i quali in particolare, la prescrizione che contempla l’ipotesi di utilizzazione dei dati per far valere o difendere un diritto in sede giudiziaria, ”sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento”.

La Cassazione prosegue il suo ragionamento rafforzandolo con il riferimento anche al Codice di deontologia e di buona condotta per i trattamenti di dati personali effettuati per svolgere investigazioni difensive, adottato con provvedimento del garante n. 60 del 6.11.2008.
Nel codice citato, l’art. 4 prevede espressamente che la definizione di un grado di giudizio o la cessazione dello svolgimento di un incarico non comportano un’automatica dismissione dei dati, bensì, una volta estinto il procedimento o il relativo rapporto di mandato, atti e documenti attinenti all’oggetto della difesa o delle investigazioni difensive possono essere conservati, in originale o in copia e anche in formato elettronico, qualora risulti necessario in relazione a ipotizzabili altre esigenze difensive della parte assistita o del titolare del trattamento, ferma restando la loro utilizzazione in forma anonima per finalità scientifiche.
La valutazione è effettuata tenendo conto della tipologia dei dati. Se è prevista una conservazione per adempiere a un obbligo normativo, anche in materia fiscale e di contrasto della criminalità, sono custoditi i soli dati personali effettivamente necessari per adempiere al medesimo obbligo.

La Corte, inoltre, ricorda alcune altre sentenze in materia tra cui C.08/10690, C 09/15327 C. 09/3358, C, 08/12285, che hanno sostanzialmente affermato la derogabilità della disciplina dettata a tutela dell’interesse alla riservatezza dei dati personali quando il relativo trattamento sia esercitato per la difesa di un interesse giuridicamente rilevante e nei limiti in cui ciò sia necessario per la tutela di quest’ultimo interesse.

Per i principi di grande rilevanza pratica per gli esercenti la professione, la sentenza riveste notevole importanza, e consente di avere più chiari gli ambiti (fondamentalmente l’esercizio del proprio diritto al compenso) entro i quali si possono trattenere i documenti contenenti dati personali (anche sensibili) del cliente, nonostante la revoca dell’incarico.

Con provvedimento del 02.12.1010, il Garante per la protezione dei dati personali ha deliberato le “Linee guida in materia di trattamento di dati personali nella riproduzione di provvedimenti giurisdizionali per finalità di informazione giuridica”.
Tale delibera è stata pubblicata anche sulla Gazzetta Ufficiale n. 2/2011, del 04.01.2011.

Vediamo sinteticamente cosa dice detto provvedimento.
Scopo dichiarato delle linee guida “è di fornire orientamenti utili a uffici giudiziari, editori di riviste giuridiche specializzate e ogni altro soggetto, pubblico e privato, che svolge attività di riproduzione di sentenze e altri provvedimenti giurisdizionali, su supporti cartacei e informatici, nonché mediante reti di comunicazione elettronica, per finalità di informazione giuridica, al fine di garantire il rispetto dei princìpi in materia di protezione dei dati personali ai sensi del d. lg. 30 giugno 2003, n. 196” nonchè di “fornire agli interessati che hanno rivolto al Garante numerose segnalazioni, indicazioni in ordine ai diritti loro attribuiti e ai limiti e condizioni per il loro esercizio, come previsti in particolare dagli artt. 51 e 52 del Codice“.

Grande importanza rivestono le Linee guida del Garante, le quali concorrono a dare una definizione “ufficiale” di informatica giuridica che viene “intesa come attività di riproduzione e diffusione di sentenze o altri provvedimenti giurisdizionali in qualsiasi forma, per finalità di informazione giuridica, ovvero di documentazione, studio e ricerca in campo giuridico, su riviste giuridiche, supporti elettronici o mediante reti di comunicazione elettronica, compresi i sistemi informativi e i siti istituzionali dell’Autorità giudiziaria (artt. 51 e 52 del Codice)“.
In tal modo, secondo il Garante, rimagono esclusi dall’ambito di applicazione delle linee guida i trattamenti effettuati presso gli uffici giudiziari di ogni ordine e grado, il Consiglio superiore della magistratura, gli altri organi di autogoverno e il Ministero della giustizia, “per ragioni di giustizia”, intendendosi per tali i trattamenti di dati personali direttamente correlati alla trattazione giudiziaria di affari e di controversie (art. 47, comma 2, del Codice).

Inoltre, le suddette linee guida “non incidono sulle norme processuali che l’autorità giudiziaria deve rispettare e applicare nello svolgimento delle attività e nell’adempimento degli obblighi derivanti dall’esplicazione delle funzioni giurisdizionali, come previsti dalle pertinenti disposizioni codicistiche” nè “riguardano, in particolare, l’attività di redazione degli originali delle sentenze e degli altri provvedimenti giurisdizionali e il loro contenuto (art. 52, comma 1, del Codice), né la loro pubblicazione mediante il deposito nelle cancellerie e segreterie giudiziarie, secondo le disposizioni che disciplinano tali attività (artt. 133 e ss. c.p.c.; artt. 125 e ss. c.p.p.)”; come pure “estano ferme anche le disposizioni processuali concernenti la visione e il rilascio di estratti e di copie di atti e documenti (art. 51, comma 1, del Codice)“.
Sono esclusi, infine, dall’ambito di applicazione delle linee guida i trattamenti effettuati nell’esercizio dell’attività giornalistica.

Altra importante affermazione del Garante è quella secondo la quale “la diffusione dei provvedimenti giurisdizionali costituisce fonte preziosa per lo studio e l’accrescimento della cultura giuridica e strumento indispensabile di controllo da parte dei cittadini dell’esercizio del potere giurisdizionale“, anche perchè “il Codice favorisce la più ampia diffusione delle sentenze e degli altri provvedimenti dell’Autorità giudiziaria per i quali sia stato assolto, mediante il deposito nella cancellerie e nelle segreterie giudiziarie, l’onere della pubblicazione previsto dalle disposizioni dei codici di procedura civile e penale“.

Conseguenza fondamentale di ciò è che “la conoscenza di tali provvedimenti può, infatti, essere realizzato, in primo luogo, dalla stessa Autorità giudiziaria “anche attraverso il sistema informativo e il sito istituzionale della medesima autorità nella rete Internet” (art. 51, comma 2), osservando alcune cautele previste dallo stesso Codice (art. 52, commi da 1 a 6), volte alla tutela dei diritti e della dignità degli interessati“.
Tale affermazione dovrebbe essere colta da tutte le Autorità Giudiziarie affinchè introducano o implementino il proprio servizio di diffusione della giurisprudenza relativa alla loro Curia.

Il paragrafo 3 della delibera disciplina la procedura di anonimizzazione dei provvedimenti giurisdizionali.
Lo si riporta pedissequamente, poichè molto chiaro e lineare oltre che completo ed esaustivo.

“L’art. 52 pone alcune cautele alla libera diffusione dei provvedimenti giurisdizionali.
In particolare, prevede una particolare procedura, descritta nei commi da 1 a 4, attraverso la quale ogni interessato può chiedere, con istanza depositata presso la cancelleria o segreteria dell’ufficio giudiziario avanti al quale si svolge il giudizio, che le sue generalità e ogni altro dato idoneo a identificarlo siano omessi in caso di riproduzione del provvedimento. I dati presi in considerazione dalla norma sono i dati identificativi, vale a dire, oltre alle generalità, ogni altro dato idoneo a identificare direttamente l’interessato (art. 4, comma 1, lett. c) del Codice).
3.1 La richiesta dell’interessato (art. 52, comma 1)
La richiesta può essere presentata da ogni interessato, ovvero dalla persona fisica, persona giuridica, ente o associazione cui si riferiscono i dati personali (art. 4, comma 1, lett. l) del Codice).
Sono quindi legittimati a inoltrare l’istanza non solo le parti di un giudizio civile, o l’imputato in un processo penale, ma anche qualsiasi altro soggetto – quale, ad esempio, un testimone o un consulente – reso identificabile nel provvedimento attraverso l’indicazione delle generalità o di altri dati identificativi.
Rimane fermo che l’eventuale omissione può riguardare solo l’interessato che ha proposto la relativa richiesta, e non altri soggetti.
La richiesta è sottoposta ad alcune condizioni e limiti.
In primo luogo, l’istanza deve essere rivolta all’ufficio giudiziario procedente, avanti al quale si svolge il giudizio, mediante il suo deposito nella cancelleria o segreteria giudiziaria. Va evidenziato che il deposito deve avvenire “prima che sia definito il relativo grado di giudizio”, vale dire a procedimento in corso. Un’istanza proposta dopo la definizione del giudizio (ad esempio, dopo l’emissione della sentenza) resterebbe priva di effetto.
La richiesta deve contenere l’esplicita istanza che la cancelleria o la segreteria riportino, sull’originale della sentenza o del provvedimento, un’annotazione che specifichi che in caso di riproduzione del provvedimento non può essere riportata l’indicazione delle generalità e di altri dati identificativi del richiedente.
Inoltre la richiesta deve essere espressamente motivata, poiché in essa l’interessato deve specificare i “motivi legittimi” che la giustificano, quali la delicatezza della vicenda oggetto del giudizio o la particolare natura dei dati contenuti nel provvedimento (ad esempio, dati sensibili).
Peraltro, l’omissione dei dati dell’interessato non può avvenire per qualsiasi utilizzo delle copie del provvedimento, ma solo ove questo venga riprodotto in qualsiasi forma (cartacea, informatica o su altro supporto):
– per esclusive finalità di informazione giuridica, come definita al punto 1.2 che precede;
– su riviste giuridiche, supporti elettronici o mediante reti di comunicazione elettronica.
La procedura prevista dall’art. 52 è quindi finalizzata a ottenere l’omissione dei dati solo in caso di riproduzione del provvedimento per l’indicata specifica finalità.
3.2 La decisione sulla richiesta (art. 52, comma 2)
La competenza a decidere sulla richiesta spetta all’Autorità giudiziaria presso cui pende il giudizio e che deve pronunciare la sentenza o adottare il provvedimento.
La decisione assume la forma di un decreto, riportato in calce all’istanza. La decisione può essere adottata in tempi anche molto brevi, poiché la norma prescrive che la decisione sia assunta “senza ulteriori formalità”.
In caso di rigetto della richiesta, ovviamente nessuna annotazione va apposta sull’originale del provvedimento.
3.3 Anonimizzazione disposta d’ufficio: in particolare, i dati sensibili
La disposizione di cui al comma 2 aggiunge che l’annotazione sull’originale della sentenza può essere disposta dal magistrato, per le medesime finalità di informazione giuridica, anche d’ufficio, cioè senza richiesta di parte.
La norma ora richiamata fa carico all’Autorità giudiziaria di una specifica responsabilità nell’attenta valutazione dell’opportunità dell’anonimizzazione dei provvedimenti.
Tale responsabilità è fortemente accentuata nei casi in cui vengono in rilievo dati personali dotati di particolare significatività che, se indiscriminatamente diffusi, possono determinare negative conseguenze sui vari aspetti della vita sociale e di relazione dell’interessato (ad esempio, in ambito familiare o lavorativo).
É questo sicuramente il caso in cui nel provvedimento siano contenuti dati sensibili (art. 4, comma 1, lett. d) del Codice), che sono oggetto nella normativa del Codice di particolari forme di tutela e, fra questi, dati idonei a rivelare lo stato di salute o la vita sessuale degli interessati.
Ciò, anche in considerazione delle limitazioni che, proprio in ambito giudiziario, vengono poste alla stessa difesa dei diritti in giudizio, laddove si richiede che il diritto dell’interessato alla riservatezza di tali dati possa essere sacrificato solo ove il diritto azionato sia “di rango pari” a quello dell’interessato medesimo, “ovvero consistente in un diritto o libertà fondamentale e inviolabile” (art. 26, comma 4, lett. c) del Codice).
Relativamente ai dati idonei a rivelare lo stato di salute (con riferimento ai quali sono giunte al Garante numerose segnalazioni degli interessati che ne hanno lamentato la diffusione e la conseguente agevole reperibilità anche attraverso i comuni motori di ricerca), anche altre disposizioni del Codice pongono, con carattere di generalità, uno specifico divieto di diffusione, valevole per i soggetti sia pubblici, sia privati (artt. 22, comma 8 e 26, comma 5 del Codice).
La salvaguardia dei diritti degli interessati attraverso un oscuramento delle loro generalità non pregiudica la finalità di informazione giuridica, sottesa alla diffusione del provvedimento, che il Codice intende salvaguardare, ma può risultare necessaria, nell’ottica di un corretto bilanciamento dei diversi interessi, rimesso alla responsabilità dell’Autorità giudiziaria procedente, per tutelare la sfera di riservatezza degli interessati.
Spetta quindi all’Autorità giudiziaria farsi carico, prima della definizione del procedimento, di valutare attentamente tale profilo, nella prospettiva di un’efficace tutela dei diritti e della dignità delle persone coinvolte nei procedimenti giudiziari.
3.4 L’attuazione della richiesta (art. 52, comma 3)
Come già rilevato, ove con il decreto la richiesta dell’interessato venga accolta, spetta alla cancelleria o alla segreteria giudiziaria darvi esecuzione, apponendo sull’originale del provvedimento, all’atto del deposito da parte del magistrato, anche con un timbro, un’annotazione che riporti l’indicazione dell’art. 52 del Codice e la dizione: “In caso di diffusione omettere le generalità e gli altri dati identificativi di …”. L’indicazione dell’art. 52 ha lo scopo di escludere che il divieto possa essere esteso a ipotesi di diffusione diverse rispetto a quella della riproduzione del provvedimento per finalità di informazione giuridica
Oltre all’obbligo ora evidenziato, non emergono ulteriori incombenti a carico degli uffici giudiziari.
In particolare, non incombe sulle cancellerie e segreterie l’onere di cancellare materialmente i dati dell’interessato sulle copie dei provvedimenti rilasciate a chi ne abbia diritto e che riportino la menzionata annotazione.
Ciò, in primo luogo, in quanto il rilascio della copia costituisce attività di comunicazione (art. 4, comma 1, lett. l) del Codice(4)), e non di diffusione dei dati (lett. m), comma cit.(5)), per ciò stesso esclusa dal dettato dell’art. 52.
Inoltre, come già rilevato, le disposizioni in esame non incidono in alcun modo sugli adempimenti svolti dalle cancellerie e dalle segreterie giudiziarie che, in quanto connessi allo svolgimento dei processi, comportano trattamenti effettuati per ragioni di giustizia. Il rilascio di copie, attività direttamente disciplinata dalle norme codicistiche, rientra in tale ambito, come pure, ad esempio, l’invio della sentenza all’ufficio deputato alla sua registrazione.
Spetta a chi riceve la copia provvedere all’omissione dei dati ove intenda riprodurla e diffonderla per finalità di informazione giuridica.
3.5 Il divieto di diffusione dei provvedimenti (art. 52, comma 4)
I primi tre commi dell’art. 52 descrivono la procedura finalizzata all’apposizione dell’annotazione volta all’omissione dei dati.
In caso di accoglimento della richiesta, il comma 4 prescrive di omettere l’indicazione delle generalità e degli altri dati identificativi dell’interessato in caso di diffusione, per le descritte finalità, dei provvedimenti giurisdizionali che rechino detta annotazione.
La prescrizione è rivolta in primo luogo all’Autorità giudiziaria, alla quale già il secondo comma dell’art. 51, nello stabilire il principio della libera accessibilità a chiunque dei provvedimenti giurisdizionali, anche attraverso il sistema informativo e il sito istituzionale nella rete Internet, impone l’osservanza delle cautele previste dall’art. 52.
La prescrizione è rivolta anche a tutti gli altri soggetti, terzi rispetto all’Autorità giudiziaria, che svolgono attività di diffusione dei provvedimenti per finalità di informazione giuridica.
Va sottolineato che la prescrizione si riferisce espressamente anche alla diffusione delle massime giuridiche estratte dai provvedimenti sull’originale dei quali sia apposta l’annotazione sull’omissione dei dati.
Ne consegue che anche in caso di riproduzione delle sole massime deve essere posta la dovuta attenzione, attraverso l’esame della copia dell’originale del provvedimento, che le stesse risultino prive delle generalità e di altre informazioni idonee a identificare gli interessati che abbiano ottenuto dall’Autorità giudiziaria di vedere omessi i dati che li riguardano“.

Al paragrafo 4, il Garante si sofferma sul divieto ex lege di diffusione (art. 52, comma 5), definendone le caratteristiche specifiche (divieto di diffusione dei dati dei minori e delle parti nei procedimenti giudiziari in materia di rapporti di famiglia e di stato delle persone).

In dette ipotesi non basta omettere solo le generalità e gli altri dati identificativi dei soggetti tutelati, ma anche gli “altri dati anche relativi a terzi dai quali può desumersi anche indirettamente l’identità” di tali soggetti.

Essa opera “in ogni caso”, cioè anche se la sentenza o l’altro provvedimento giudiziale oggetto di diffusione non riporti l’annotazione di cui al comma 2 dell’art. 52, trattandosi, peraltro, di un divieto assoluto: neppure il consenso dei soggetti interessati può determinare l’inapplicabilità dell’obbligo in esame.

Infine, il paragrafo 5 precisa che il comma 6 dell’art. 52 estende le altre disposizioni dell’articolo “anche in caso di deposito del lodo ai sensi dell’art. 825 del codice di procedura civile“.

Secondo quanto affermato dal Garante “si applica, quindi, anche a tale particolare pronuncia la procedura di anonimizzazione dei provvedimenti, con le regole poste riguardo alla presentazione della richiesta dall’interessato (comma 1), alla decisione degli arbitri, anche d’ufficio (comma 2), all’apposizione dell’annotazione (comma 3), e al divieto di diffusione (comma 4), oltre che, ovviamente, il divieto ex lege di cui al comma 5. Poiché il lodo può essere redatto “in uno o più originali” (art. 824 c.p.c.), l’annotazione, ove disposta, va ovviamente riportata su tutti gli originali“.

Al riguardo si osserva come si dovrebbero distinguere due ipotesi:
– una in cui la parte formula agli arbitri la richiesta del comma 1 prima della pronuncia del lodo e gli arbitri appongono sul lodo l’annotazione di cui al comma 3, anche ai sensi del comma 2;
– l’altra in cui il lodo venga depositato per la declaratoria di esecutorietà presso il competente Tribunale (art. 825 cpc), senza che vi sia stata la richiesta della parte o gli arbitri non abbiano provveduto.
Ebbene, nella seconda ipotesi suddetta, si ritiene che il Tribunale adito e che ha emesso il decreto di esecutorietà, possa provvedere sull’istanza.
Tale argomento trarrebbe sostegno dalla disciplina in tema di correzione del lodo una volta depositato (art. 826 u.c.): in tale ipotesi, infatti, la correzione è richiesta al Tribunale del luogo in cui il lodo è stato depositato.

Solo una considerazione finale, in modo da cercare di richiamare l’attenzione dei soggetti che provvedono all’anonimizzazione dei dati personali contenuti nei provvedimenti giurisdizionali, affinchè sappiano trovare la giusta tecnica che consenta la comprensione del testo, altrimenti gravemente compromessa da una semplice, quanto comoda e rapida, sbianchettatura dei nominativi delle parti.
In tal modo, infatti, si rischia seriamente di rendere difficoltosa la ricostruzione della vicenda oggetto del provvedimento.
Si suggerisce, pertanto, di impiegare opportunamente pseudonimi tradizionali (Tizio, Caio, Sempronio ecc.) piuttosto che lettere o altri segni distintivi (A, B, C ecc.).

Come pure, spesso capita di leggere sentenze in cui l’anonimizzazione è parziale, nel senso che vengono oscurati dati dell’intestazione, ma lasciati altri dati che consentono, in altre parti del testo, l’identificazione dei soggetti coinvolti.

Al seguente link, il testo integrale dal sito del Garante.

Con la pubblicazione sulla Gazzetta Ufficiale n. 256 del 02.11.2010 del D.P.R. 7 settembre 2010, n. 178 rubricato “Regolamento recante istituzione e gestione del registro pubblico degli abbonati che si oppongono all’utilizzo del proprio numero telefonico per vendite o promozioni commerciali”, gli abbonati (ossia qualunque persona fisica, persona giuridica, ente o associazione parte di un contratto con un fornitore di servizi telefonici accessibili al pubblico per la fornitura di tali servizi, o destinatario di tali servizi anche tramite schede prepagate, la cui numerazione sia comunque inserita negli elenchi di cui all’articolo 129 del Codice della privacy) hanno finalmente a disposizione uno strumento che si prefigge lo scopo di impedire l’utilizzo del telefono, da parte degli operatori, per effettuare i trattamenti di dati per fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, mediante l’impiego del telefono, presenta istanza presso il gestore del registro pubblico.

Gli abbonati, infatti, potranno chiedere al gestore che la numerazione della quale sono intestatari, riportata negli elenchi, sia iscritta nel registro, gratuitamente e almeno secondo le seguenti modalità:
a) mediante compilazione di apposito modulo elettronico sul sito web, del gestore del registro pubblico; in tale caso, l’abbonato è tenuto a fornire i propri dati anagrafici, comprensivi di codice fiscale, indirizzo di posta elettronica, e comunicare la numerazione da iscrivere al registro;
b) mediante chiamata, comunicando i medesimi dati di cui alla lettera a), effettuata dalla linea telefonica con numerazione corrispondente a quella per la quale si chiede l’iscrizione nel
registro, al numero telefonico gratuito appositamente predisposto dal gestore del registro, il sistema deve funzionare mediante risponditore automatico, con possibilita’ per l’abbonato di ottenere comunque un’assistenza telefonica non automatizzata in caso di difficolta’ o problemi di iscrizione o modifica o cancellazione dei dati;
c) mediante invio di lettera raccomandata o fax al recapito del gestore, con allegata copia di un documento di riconoscimento; in tale caso, fa fede, ai fini di cui all’articolo 8, comma 2, la data
di effettiva ricezione della lettera o del fax da parte del gestore;
d) mediante posta elettronica.

Il comma 3 dell’art. 7 sancisce che l’iscrizione al registro da parte degli abbonati preclude nei loro confronti qualsiasi trattamento per fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, mediante l’impiego del telefono, senza distinzione di settore di attivita’ o di categoria merceologica.
Mentre il comma 4 prevede che ciascun interessato puo’ aggiornare o modificare i propri dati o
revocare la propria iscrizione al registro con le medesime modalità previste per l’iscrizione ad esso. Ogni abbonato puo’ iscriversi o revocare l’iscrizione o iscriversi nuovamente al registro senza
alcuna limitazione.

L’iscrizione dell’abbonato al registro pubblico è a tempo indeterminato e cessa solo in caso di revoca da parte dell’interessato o di decadenza ai sensi del comma e puo’ avvenire in ogni momento, senza distinzioni di orario ed anche nei giorni festivi, quanto meno con riferimento alle modalita’ automatizzate.

L’effettiva attuazione del registro spetta al Ministero dello sviluppo economico, il quale provvede alla realizzazione e gestione del registro anche affidandone la realizzazione e la gestione a soggetti terzi che ne assumono interamente gli oneri finanziari e organizzativi, mediante contratto di servizio,
Inoltre, la concreta realizzazione ed il funzionamento del registro devono essere garantiti entro novanta giorni dalla data di pubblicazione del regolamento in commento, anche in caso di affidamento a terzi.

Infine, l’art. 14, a chiusura ed in previsione di una probabile inerzia, stabilisce che decorso inutilmente il termine di novanta giorni previsto e fino all’attivazione del registro, gli interessati i cui dati personali sono riportati negli elenchi di abbonati di cui all’articolo 129 del Codice possono comunque, tramite l’operatore con il quale l’abbonato ha stipulato il contratto telefonico, esercitare il diritto di opposizione mediante l’iscrizione dell’opposizione dell’abbonato ai trattamenti per le
finalita’ di cui all’articolo 7, comma 4, lettera b), del Codice, in apposito campo di testo collegato alla numerazione di cui e’ intestatario nella base dati unica vigente ai sensi delle delibere
dell’Autorita’ per le garanzie nelle comunicazioni n. 36/02/CONS e n. 180/02/CONS.

La Legge 20 novembre 2009, n. 166 (pubblicata sul S. O. n. 215 della Gazzetta Ufficiale del 24.11.2009 n. 274 ) di conversione del decreto-legge 25 settembre 2009, n. 135, recante “Disposizioni urgenti per l’attuazione di obblighi comunitari e per l’esecuzione di sentenze della Corte di giustizia delle Comunita’ europee”, ha introdotto alcune radicali modiche al D. L.vo 196/03 (c.d. Codice Privacy) in materia di consenso alle telefonate pubblicitarie.
Infatti, l’art. 20-bis (rubricato “Adeguamento alla normativa comunitaria in materia di tutela della vita privata nel settore delle comunicazioni elettroniche, di cui alla direttiva 2002/58/CE”, ha stabilito (inserendo il comma 3-bis) che “In deroga a quanto previsto dall’articolo 129, il trattamento dei dati di cui all’articolo 129, comma 1, mediante l’impiego del telefono per le finalita’ di cui all’articolo 7, comma 4, lettera b), e’ consentito nei confronti di chi non abbia esercitato il diritto di opposizione, con modalita’ semplificate e anche in via telematica, mediante l’iscrizione della numerazione della quale e’ intestatario in un registro pubblico delle opposizioni“.
L’istituzione di tale registro è affidata (dal comma 3-ter) ad un decreto del Presidente della Repubblica da adottare ai sensi dell’articolo 17, comma 2, della legge 23 agosto 1988, n. 400, previa deliberazione del Consiglio dei ministri, acquisito il parere del Consiglio di Stato e delle Commissioni parlamentari competenti in materia, che si pronunciano entro trenta giorni dalla richiesta, nonche’, per i relativi profili di competenza, il parere dell’Autorita’ per le garanzie nelle comunicazioni, che si esprime entro il medesimo termine, secondo alcuni criteri e principi generali.
Il registro dovrebbe essere istituito entro sei mesi dalla data di entrata in vigore della legge di conversione (ossia il giorno seguente a quello di pubblicazione in G.U.).
Fino al suddetto termine, prosegue la legge, restano in vigore i provvedimenti adottati dal Garante per la protezione dei dati personali ai sensi dell’articolo 154 del citato codice di cui al decreto legislativo n. 196 del 2003, e successive modificazioni, in attuazione dell’articolo 129 del medesimo codice.
Contestualmente cambia anche il termine del 31.12.2009, già previsto come deroga, che viene ulteriormente prorogato (in maniera implicita) sino al termine di sei mesi successivi alla data di entrata in vigore della legge di conversione del decreto-legge 25 settembre 2009, n. 135.
La vigilanza e il controllo sull’organizzazione e il funzionamento del registro di cui al comma 3-bis e sul trattamento dei dati sono attribuiti al Garante (ovviamente della Privacy).
Sono state, inoltre, ritoccate (al ribasso) le sanzioni amministrative in caso di violazione, passando da «ventimila euro» a «diecimila euro».
Infine, viene sostituito l’articolo 58 del codice del consumo, di cui al decreto legislativo 6 settembre 2005, n. 206, con il seguente: «1. L’impiego da parte di un professionista del telefono, della posta elettronica, di sistemi automatizzati di chiamata senza l’intervento di un operatore o di fax richiede il consenso preventivo del consumatore, fatta salva la disciplina prevista dall’articolo 130, comma 3-bis, del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, per i trattamenti dei dati inclusi negli elenchi di abbonati a disposizione del pubblico».

Al seguente link il testo dell’articolo.

Non resta che attendere l’istituzione del registro per inserire il proprio numero e manifestare l’opposizione.

Al seguente link è possibile reperire una serie di risposte del Garante Privacy ad alcuni quesiti in materia di amministratore di sistema, a seguito dei non pochi dubbi interpretativi sollevati dal relativo provvedimento del 27 novembre 2008.
Questo è l’elenco completo delle domande alle quali è stata data una prima risposta (pare di capire in attesa della chiusura della consultazione pubblica avviata al riguardo con provvedimento del 21 aprile 2009):
1 Cosa deve intendersi per “amministratore di sistema”?
2 Cosa vuol dire la locuzione “Qualora l’attività degli ADS riguardi anche indirettamente servizi o sistemi che…”
3 Il caso di uso esclusivo di un personal computer da parte di un solo amministratore di sistema rientra nell’ambito applicativo del provvedimento?
4 Relativamente all’obbligo di registrazione degli accessi logici degli AdS, sono compresi anche i sistemi client oltre che quelli server?
5 Cosa si intende per operato dell’amministratore di sistema soggetto a controllo almeno annuale?
6Chiarire i casi di esclusione dall’obbligo di adempiere al provvedimento.
7 Cosa si intende per descrizione analitica degli ambiti di operatività consentiti all’ADS?
8 Oltre alla job description si deve andare più in dettaglio? Si devono indicare i singoli sistemi e le singole operazioni affidate?
9 Cosa si intende per access log (log-in, log-out, tentativi falliti di accesso, altro?…)
10 Laddove il file di log contenga informazioni più ampie, va preso tutto il log o solo la riga relativa all’access log?
11 Come va interpretata la caratteristica di completezza del log? Si intende che ci devono essere tutte le righe? L’adeguatezza rispetto allo
scopo della verifica deve prevedere un’analisi dei rischi?
12 Come va interpretata la caratteristica di inalterabilità dei log?
13 Si individuano livelli di robustezza specifici per la garanzia della integrità dei log?
14 Quali potrebbero essere gli scopi di verifica rispetto ai quali valutare l’adeguatezza?
15 Cosa dobbiamo intendere per evento che deve essere registrato nel log? Solo l’accesso o anche le attività eseguite?
16 Quali sono le finalità di audit che ci dobbiamo porre con la registrazione e raccolta di questi log?
17 Cosa si intende per “consultazione in chiaro”?
18 Il regime di conoscibilità degli amministratori di sistema è da intendersi per i soli trattamenti inerenti i dati del personale e dei lavoratori?
19 La registrazione degli accessi è relativa al sistema operativo o anche ai DBMS?
20 Nella designazione degli amministratori di sistema occorre valutare i requisiti morali?
21 Cosa si intende per “estremi identificativi” degli amministratori di sistema?
22 E’ corretto affermare che l’accesso a livello applicativo non rientri nel perimetro degli adeguamenti, in quanto l’accesso a una applicazione informatica è regolato tramite profili autorizzativi che disciplinano per tutti gli utenti i trattamenti consentiti sui dati?
23 Si chiede se sia necessario conformarsi al provvedimento nel caso della fornitura di servizi di gestione sistemistica a clienti esteri (housing, hosting, gestione applicativa, archiviazione remota…) da parte di una società italiana non titolare dei dati gestiti.
24 Si possono ritenere esclusi i trattamenti relativi all’ordinaria attività di supporto delle manutenzione degli immobili sociali ecc…). Ci si riferisce ai trattamenti con strumenti elettronici finalizzati, ad esempio, alla gestione dell’autoparco, alle procedure di acquisto dei materiali di consumo, alla aziende, che non riguardino dati sensibili, giudiziari o di traffico telefonico/telematico?

Al seguente link è reperibile l’opuscolo realizzato dal Garante Privacy sugli effetti collaterali dei Social Network e consigli per l’uso degli stessi.
In particolare, il Garante individua alcune tipologie di utenti (tra cui genitori, ragazzi, professionisti ecc.) e fornisce prezioni consigli per un uso consapevole dei Social Network che ormai rappresentano uno strumento di uso pressochè quotidiano ma che nascondono spesso insidie e pericoli alle quali gli utenti non sono abituati e non sono messi in grado conoscere preventivamente. Da ciò, scaturisce un invito alla prudenza ed al buon senso nell’uso che si fa, in applicazione di un generale principio di prevenzione e di cautela piuttosto che di rimedi successivi, spesso del tutto inadeguati.

Con provvedimento del Garante Privacy del 12.03.2009, reperibile come sempre sul sito dell’Autorità al seguente link, sono state emanate alcune prescrizioni a tutti i titolari del trattamento che siano in possesso di banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1° agosto 2005 e che intendano utilizzarle per fini promozionali avvalendosi della deroga introdotta dalla legge 27 febbraio 2009, n. 14; tale provvedimento dovrebbe consentire a chi continua a ricevere telefonate pubblicitarie non gradite di potersi tutelare.
Infatti, il Garante ha imposto ai suddetti titolari di trattamento (che pubblicizzano per lo più servizi offerti da compagnie telefoniche), tra le altre prescrizioni, di:
– specificare, in occasione di ogni contatto con gli interessati, chi rivesta la qualifica di titolare del trattamento dei dati, anche nel caso in cui questi operi per conto di terzi e fare presente agli interessati stessi che hanno il diritto di opporsi ai sensi dell’art. 7 del Codice;
– registrare in via immediata l’eventuale opposizione dell’interessato al trattamento dei suoi dati personali effettuato dal titolare (art. 7, comma 4, del Codice), con effetto anche nei confronti dei terzi per conto dei quali questo operi, anche qualora ciò avvenga telefonicamente, e fornire altresì all’interessato l’identificativo dell’operatore o dell’operazione compiuta;
– utilizzare i dati personali presenti nelle banche dati di cui alla lett. a) esclusivamente per finalità promozionali e sino al 31 dicembre 2009, non potendo i titolari rendere un’informativa agli interessati e richiedere agli stessi un consenso per l’uso dei loro dati per attività di carattere promozionale da effettuare in data successiva al 31 dicembre 2009.
Pertanto, gli utenti che dovessere ricevere telefonate pubblicitarie non gradite, potranno bloccare tale fenomeno, semplicemente opponendo il proprio diniego all’operatore; tale opposizione dovrà essere registrata nel corso della telefonata e comporterà l’impossibiità di continuare ulteriormente a contattare l’utente per finalità pubblicitarie.
Non si capisce se per “registrata” si intenda che sia sufficiente l’acquisizione del diniego oppure se vada registrata la voce dell’utente che lo esprime. Per una maggiore facilità dovrebbe bastare la semplice acquisizione del diniego, invece per una maggiore efficacia probatoria sarebbe opportuno che il diniego venisse effettivamente registrato.
In caso di violazioni, a seconda dei casi, sono comminabili sanzioni da €30.000 a €180.000 ovvero da €50.000 ad €300.000.

Dalla Newsletter del Garante Privacy del 02 marzo 2009
Vietate le telecamere negli spogliatoi – Il Garante le fa rimuovere in un centro dietetico
Si reca in un centro dietetico per perdere peso e finisce immortalata dalle telecamere negli spogliatoi. Interviene il Garante per la privacy che fa rimuovere l’impianto di videosorveglianza e cancellare le immagini registrate. L’Autorità si è pronunciata a seguito della segnalazione di una donna in cura presso un centro dietetico che ha denunciato l’installazione di telecamere collocate all’ingresso esterno, negli spogliatoi e nell’ambulatorio dove si effettuano le visite mediche. L’interessata ha dichiarato di essere stata sempre invitata dai medici a togliersi anche della biancheria intima prima di essere sottoposta alle visite.

A seguito delle ispezioni dell’Autorità è stato accertato che l’ambulatorio medico utilizzava cinque telecamere che registravano le immagini dei clienti, due installate all’ingresso della struttura e tre posizionate all’interno degli spogliatoi: due in quello femminile e una in quello maschile. La loro installazione è stata giustificata dalla struttura medica con motivi di sicurezza e tutela dei beni dei clienti, poiché in passato si erano verificati svariati furti. La presenza delle telecamere era segnalata con avvisi posti sulla porta di ingresso all’ambulatorio, sulla scala di accesso alla reception, nella sala di attesa, sulla porta di accesso al reparto cure e negli spogliatoi.

Nel suo provvedimento (relatore Giuseppe Fortunato), l’Autorità ha ritenuto che la collocazione di telecamere operanti in modo continuo negli spogliatoi determinasse un’intromissione ingiustificata nella vita privata delle persone risultando lesiva della loro riservatezza e dignità. E ha vietato all’ambulatorio l’ulteriore trattamento dei dati personali raccolti mediante l’impianto di videosorveglianza e la distruzione delle relative videoregistrazioni.

Il provvedimento ribadisce quanto stabilito in un precedente intervento del Garante del marzo 2007 relativo ad alcune telecamere installate negli spogliatoi di una piscina, che riprendevano indebitamente clienti e ospiti.

Con provvedimento pubblicato sulla Gazzetta Ufficiale n. 45 del 24 febbraio 2009, il Garante della protezione dei dati personali ha disposto la proroga al 30 giugno 2009 per l’adeguamento alle disposizioni impartite con il suo provvedimento del 27 novembre 2008 in materia di amministratori di sistema.

Ciò in considerazione anche dell’ampia platea dei soggetti interessati e dei quesiti pervenuti all’Autorità relativi all’esatta interpretazione degli adempimenti.

Tale annuncio è stato dato dal Garante con comunicato stampa del 23 febbraio 2009, reperibile qui.

Con provvedimento del 27 novembre 2008, pubblicato in G. U. 300 del 24-12-2008, il Garante per la protezione dei dati personali ha richiamato l’attenzione di tutti i titolari di trattamenti di dati personali soggetti all’ambito applicativo del Codice ed effettuati con strumenti elettronici, circa la peculiare criticità del ruolo che svolgono gli amministratori di sistema, soprattutto sull’esigenza di valutare con particolare attenzione l’attribuzione di funzioni tecniche propriamente corrispondenti o assimilabili a quelle di amministratore di sistema (system administrator), amministratore di base di dati (database administrator) o amministratore di rete (network administrator), laddove tali funzioni siano esercitate in un contesto che renda ad essi tecnicamente possibile l’accesso, anche fortuito, a dati personali. Ciò, tenendo in considerazione l’opportunità o meno di tale attribuzione e le concrete modalità sulla base delle quali si svolge l’incarico, unitamente alle qualità tecniche, professionali e di condotta del soggetto individuato.

Infatti, il Garante, nella parte introduttiva del provvedimento, pone l’accento sulla figura dell’amministratore di sistema (ma anche di database e di network) ricostruendo brevemente sia le normative che ne trattano sia il profilo ed i ruoli dell’amministratore di sistema sia i rischi concreti e potenziali che tale figura incontra nel trattare, anche in parti di procedimenti e singole fasi od accidentalmente, dati personali; è stato anche evidenziato come, in molti contesti organizzativi anche di dimensioni apprezzabili, il ruolo di tale figura sia stato e continui ad essere sottovalutato.

Inoltre, ai sensi dell’art. 154, comma 1, lettera c) del Codice, il Garante ha prescritto l’adozione delle seguenti misure ai titolari dei trattamenti di dati personali soggetti all’ambito applicativo del Codice ed effettuati con strumenti elettronici, anche in ambito giudiziario e di forze di polizia (articoli 46 e 53 del Codice), salvo per quelli effettuati in ambito pubblico e privato a fini amministrativo-contabili che pongono
minori rischi per gli interessati e sono stati oggetto delle misure di semplificazione introdotte di recente per legge (art. 29, decreto-legge 25 giugno 2008, n. 112, convertito, con modifiche, con legge 6 agosto 2008, n. 133; art. 34 del Codice; provv. Garante 6 novembre 2008):
a) Valutazione delle caratteristiche soggettive.
L’attribuzione delle funzioni di amministratore di sistema deve avvenire previa valutazione delle caratteristiche di esperienza, capacità e affidabilità del soggetto designato, il quale deve fornire idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza.
Anche quando le funzioni di amministratore di sistema o assimilate sono attribuite solo nel quadro di una designazione quale incaricato del trattamento ai sensi dell’art. 30 del Codice, il titolare e il responsabile devono attenersi comunque a criteri di valutazione equipollenti a quelli richiesti per la designazione dei responsabili ai sensi dell’art. 29;
b) Designazioni individuali.
La designazione quale amministratore di sistema deve essere individuale e recare l’elencazione analitica degli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato.
c) Elenco degli amministratori di sistema.
Gli estremi identificativi delle persone fisiche amministratori di sistema, con l’elenco delle funzioni ad essi attribuite, devono essere riportati nel documento programmatico sulla sicurezza oppure, nei casi in cui il titolare non e’ tenuto a redigerlo, annotati comunque in un documento interno da mantenere aggiornato e disponibile in caso di accertamenti da parte del Garante.
Qualora l’attività degli amministratori di sistema riguardi anche indirettamente servizi o sistemi che trattano o che permettono il trattamento di informazioni di carattere personale dei lavoratori, i titolari pubblici e privati sono tenuti a rendere nota o conoscibile l’identità degli amministratori di sistema nell’ambito delle proprie organizzazioni, secondo le caratteristiche dell’azienda o del servizio, in relazione ai diversi servizi informatici cui questi sono preposti. Ciò, avvalendosi dell’informativa resa agli interessati ai
sensi dell’art. 13 del Codice nell’ambito del rapporto di lavoro che li lega al titolare, oppure tramite il disciplinare tecnico di cui al provvedimento del Garante n. 13 del 1° marzo 2007 (in Gazzetta Ufficiale 10 marzo 2007, n. 58) o, in alternativa, mediante altri strumenti di comunicazione interna (ad es., intranet aziendale, ordini di servizio a circolazione interna o bollettini). Cio’, salvi i casi in cui tali forme di pubblicità o di conoscibilità siano incompatibili con diverse previsioni dell’ordinamento che disciplinino uno specifico settore;
d) Servizi in outsourcing.
Nel caso di servizi di amministrazione di sistema affidati in outsourcing il titolare deve conservare direttamente e specificamente, per ogni eventuale evenienza, gli estremi identificativi delle persone fisiche preposte quali amministratori di sistema;
e) Verifica delle attività.
L’operato degli amministratori di sistema deve essere oggetto, con cadenza almeno annuale, di un’attività di verifica da parte dei titolari del trattamento, in modo da controllare la sua rispondenza alle misure organizzative, tecniche e di sicurezza riguardanti i trattamenti dei dati personali previste dalle norme vigenti.
f) Registrazione degli accessi.
Devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo per cui sono richieste. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell’evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi.

Per quel che riguarda le scadenze temporali, il Garante ha disposto che le misure e gli accorgimenti di cui al punto 2 siano introdotti, per tutti i trattamenti gia’ iniziati o che avranno inizio entro trenta giorni dalla data di pubblicazione nella Gazzetta Ufficiale, al piu’ presto e comunque entro, e non oltre, il termine di centoventi giorni dalla medesima data; per tutti gli altri trattamenti che avranno inizio dopo il predetto termine di trenta giorni dalla pubblicazione, gli accorgimenti e le misure dovranno essere introdotti anteriormente all’inizio del trattamento dei dati.

Il testo integrale del suddetto provvedimento è reperibile al seguente link.

Con provvedimento del 13.10.2008, reso noto con comunicato del 05.12.2008, il Garante per la Privacy, dopo una serie di importanti rilievi ed opportune considerazioni, ha richiamato “l’attenzione di persone giuridiche, pubbliche amministrazioni, altri enti e persone fisiche che, avendone fatto uso nello svolgimento delle proprie attività, in particolare quelle industriali, commerciali, professionali o istituzionali, non distruggono, ma dismettono supporti che contengono dati personali, sulla necessità di adottare idonei accorgimenti e misure, anche con l’ausilio di terzi tecnicamente qualificati, volti a prevenire accessi non consentiti ai dati personali memorizzati nelle apparecchiature elettriche ed elettroniche destinate a essere:

a. reimpiegate o riciclate, anche seguendo le procedure di cui all’allegato A);

b. smaltite, anche seguendo le procedure di cui all’allegato B).

Tali misure e accorgimenti possono essere attuate anche con l’ausilio o conferendo incarico a terzi tecnicamente qualificati, quali centri di assistenza, produttori e distributori di apparecchiature che attestino l’esecuzione delle operazioni effettuate o che si impegnino ad effettuarle.

Chi procede al reimpiego o al riciclaggio di rifiuti di apparecchiature elettriche ed elettroniche o di loro componenti è comunque tenuto ad assicurarsi dell’inesistenza o della non intelligibilità di dati personali sui supporti, acquisendo, ove possibile, l’autorizzazione a cancellarli o a renderli non intelligibili”.

Il provvedimento contiene, quindi, due allegati:

l’allegato A) disciplina il “Reimpiego e riciclaggio di rifiuti di apparecchiature elettriche ed elettroniche”, attraverso l’indicazione di “Misure tecniche preventive per la memorizzazione sicura dei dati, applicabili a dispositivi elettronici o informatici” e di “Misure tecniche per la cancellazione sicura dei dati, applicabili a dispositivi elettronici o informatici”;
mentre l’allegato B) disciplina lo “Smaltimento di rifiuti elettrici ed elettronici”, prevedendo che in caso di smaltimento di rifiuti elettrici ed elettronici, l’effettiva cancellazione dei dati personali dai supporti contenuti nelle apparecchiature elettriche ed elettroniche può anche risultare da procedure che, nel rispetto delle normative di settore, comportino la distruzione dei supporti di memorizzazione di tipo ottico o magneto-ottico in modo da impedire l’acquisizione indebita di dati personali.

La distruzione dei supporti prevede il ricorso a procedure o strumenti diversi a secondo del loro tipo, quali:

* sistemi di punzonatura o deformazione meccanica;
* distruzione fisica o di disintegrazione (usata per i supporti ottici come i cd-rom e i dvd);
* demagnetizzazione ad alta intensità.

Tale provvedimento (la cui genesi è rinvenibile nell’art. 31 del D. L.vo 196/03 e negli artt. 21 e 22 del disciplinare tecnico) è di estrema importanza pratica oltre che giuridica, dal momento che la rottamazione o la vendita di un pc usato o di supporti di memorizzazione portatili avviene spesso senza la preventiva cancellazione sicura di tutto il contenuto degli stessi, contenuto che può facilmente essere recuperato anche mediante l’utilizzo di programmi di agevole reperibilità in rete.

Seguire attentamente le indicazioni del Garante ed affidarsi a tecnici specializzati ridurrà al minimo il rischio del titolare del trattamento di incorrere nelle conseguenze derivanti dall’inosservanza delle misure di sicurezza che può comportare responsabilità penale (art. 169 del Codice) e, in caso di danni cagionati a terzi, responsabilità civile (artt. 15 del Codice e 2050 cod. civ.).

Il provvedimento è reperibile qui.

Il datore di lavoro pubblico non è legittimato a raccogliere certificati di malattia dei dipendenti con l’indicazione della diagnosi. In assenza di specifiche disposizioni, il lavoratore assente per malattia deve fornire un certificato contenente esclusivamente la prognosi con la sola indicazione dell’inizio e della durata dell’infermità.

Lo ha ribadito il Garante vietando al Ministero della giustizia-Dipartimento dell’amministrazione penitenziaria (Dap) il trattamento dei dati personali idonei a rilevare lo stato di salute del personale del Corpo della polizia penitenziaria relativi all’indicazione della diagnosi dei certificati di malattia.

Il provvedimento (di cui è stato relatore Mauro Paissan) è stato adottato a seguito della segnalazione di un sindacato il quale lamentava il fatto che il Dipartimento dell’amministrazione penitenziaria richiedesse certificati medici del personale di polizia penitenziaria indicanti, oltre alla prognosi, anche la diagnosi.

La normativa prevede che la raccolta da parte del datore di lavoro di certificazioni mediche dei dipendenti comprensive di diagnosi è consentita solo se espressamente prevista da specifiche disposizioni. Dalla documentazione trasmessa dal sindacato all’Autorità non è invece risultato che le disposizioni normative citate dal Dap fossero idonee per acquisire informazioni personali relative alla diagnosi. Il Dipartimento fondava erroneamente tale richiesta su alcune direttive contenute in una circolare, la quale faceva riferimento a determinati articoli del Codice privacy (attinenti non all’acquisizione della diagnosi sulle certificazioni mediche, bensì al consenso dell’interessato al trattamento dei dati personali) e a due leggi (che riguardavano genericamente la facoltà di disporre accertamenti sulle assenze dei dipendenti e il trattamento dei dati sensibili e giudiziari da parte del ministero).

Nel provvedimento, l’Autorità ha sottolineato anche che, ai fini del riconoscimento dei congedi di malattia, non risulta indispensabile trattare il dato personale relativo alla diagnosi. Contestualmente al divieto di trattamento dei dati, il Garante ha prescritto al Ministero della giustizia di impartire le disposizioni opportune al fine di conformare il trattamento dei dati alle vigenti disposizioni in materia di protezione dei dati personali, dando comunicazione delle determinazioni adottate.

Il quadro normativo introdotto dal D. L.vo 196/03 si è ulteriormente arricchito grazie all’introduzione di alcune disposizioni di grandissima portata sia giuridica che organizzativa.
E’ stato, infatti, varato il “Codice di deontologia e di buona condotta per i trattamenti di dati personali effettuati per svolgere investigazioni difensive“, il quale si aggiunge agli altri codici deontologici e di condotta già varati (Codice di deontologia – Trattamento dei dati personali nell’esercizio dell’attività giornalistica, Codice di deontologia – Trattamento dei dati personali per scopi storici, Codice di deontologia – Trattamento dei dati personali a scopi statistici in ambito Sistan, Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e scientifici, Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti).
Il codice i deontologia e di buona condotta per i trattamenti di dati personali effettuati per svolgere investigazioni difensive si apre con un preambolo, contenente le premesse sulla base delle quali lo stesso è stato sottoscritto e nel quale viene sintenticamente descritto il quadro generale della normativa e dei provvedimenti del Garante in materia.
Oltre al citato preambolo, il codice contiene tredici articoli, suddivisi in cinque capi.
Il primo capo, rubricato principi generali, indica quello che è l’ambito di applicazione: il trattamento di dati personali per svolgere investigazioni difensive o per far valere o difendere un diritto in sede giudiziaria, sia nel corso di un procedimento, anche in sede amministrativa, di arbitrato o di conciliazione, sia nella fase propedeutica all’instaurazione di un eventuale giudizio, sia nella fase successiva alla sua definizione, da parte di:
a) avvocati o praticanti avvocati iscritti ad albi territoriali o ai relativi registri, sezioni ed elenchi, i quali esercitino l’attività in forma individuale, associata o societaria svolgendo, anche su mandato, un’attività in sede giurisdizionale o di consulenza o di assistenza stragiudiziale, anche avvalendosi di collaboratori, dipendenti o ausiliari, nonché da avvocati stranieri esercenti legalmente la professione sul territorio dello Stato;
b) soggetti che, sulla base di uno specifico incarico anche da parte di un difensore (aut. gen. n. 6/2007, punto n. 2), svolgano in conformità alla legge attività di investigazione privata (art. 134 r.d. 18 giugno 1931, n. 773; art. 222 norme di coordinamento del c.p.p.).
Il secondo comma aggiunge che le disposizioni suddette si applicano, altresì, a chiunque tratti dati personali per le finalità di cui al comma 1, in particolare a altri liberi professionisti o soggetti che in conformità alla legge prestino, su mandato, attività di assistenza o consulenza per le medesime finalità.
Il secondo capo, rubricato trattamenti da parte di avvocati, disciplina le modalità di trattamento.
L’art. 2 stabilisce che l’organizzazione del trattamento anche non automatizzato dei dati personali va fatta secondo le modalità che risultino più adeguate, caso per caso, a favorire in concreto l’effettivo rispetto dei diritti, delle libertà e della dignità degli interessati, applicando i princìpi di finalità, necessità, proporzionalità e non eccedenza sulla base di un’attenta valutazione sostanziale e non formalistica delle garanzie previste, nonché di un’analisi della quantità e qualità delle informazioni che utilizza e dei possibili rischi e che specifica attenzione va prestata all’adozione di idonee cautele per prevenire l’ingiustificata raccolta, utilizzazione o conoscenza di dati in caso di:
a) acquisizione anche informale di notizie, dati e documenti connotati da un alto grado di confidenzialità o che possono comportare, comunque, rischi specifici per gli interessati;
b) scambio di corrispondenza, specie per via telematica;
c) esercizio contiguo di attività autonome all’interno di uno studio;
d) utilizzo di dati di cui è dubbio l’impiego lecito, anche per effetto del ricorso a tecniche invasive;
e) utilizzo e distruzione di dati riportati su particolari dispositivi o supporti, specie elettronici (ivi comprese registrazioni audio/video), o documenti (tabulati di flussi telefonici e informatici, consulenze tecniche e perizie, relazioni redatte da investigatori privati);
f) custodia di materiale documentato, ma non utilizzato in un procedimento e ricerche su banche dati a uso interno, specie se consultabili anche telematicamente da uffici dello stesso titolare del trattamento situati altrove;
g) acquisizione di dati e documenti da terzi, verificando che si abbia titolo per ottenerli;
h) conservazione di atti relativi ad affari definiti.
Il comma 5, sempreché i dati medesimi risultino strettamente funzionali all’esercizio del diritto di difesa, in conformità ai princìpi di proporzionalità, di pertinenza, di completezza e di non eccedenza rispetto alle finalità difensive, consente di trattare i dati per esercitare il diritto di difesa in sede giurisdizionale, anche prima della pendenza di un procedimento.
Gli altri articoli riguardano l’informativa unica (art. 3, che può essere fornita in un unico contesto, anche mediante affissione nei locali dello Studio, pubblicazione sul proprio sito Internet, anche utilizzando formule sintetiche e colloquiali), la conservazione e la cancellazione dei dati (art. 4), la comunicazione e diffusione di dati (art. 5), e gli accertamenti riguardanti documentazione detenuta dal difensore (art. 6 prevede che “In sede di istanza di accesso o richiesta di comunicazione dei dati di traffico relativi a comunicazioni telefoniche in entrata ai sensi degli artt. 8, comma 2, lett. f) e 24, comma 1, lett. f) del Codice, l’avvocato attesta al fornitore di servizi di comunicazione elettronica accessibili al pubblico la sussistenza del pregiudizio effettivo e concreto che deriverebbe per lo svolgimento delle investigazioni difensive dalla mancata disponibilità dei dati, senza menzionare necessariamente il numero di repertorio di un procedimento penaleil cui secondo comma”).
Il terzo capo disciplina i trattamenti da parte di altri liberi professionisti e ulteriori soggetti (art. 7) mentre il quarto capo i trattamenti da parte di investigatori privati (artt. 8-11).
Il quinto, ed ultimo, capo contiene le disposizioni finali, ossia quelle relative al monitoraggio dell’attuazione del codice (art. 12) ed all’entrata in vigore dello stesso, fissata per il 01.01.2009 (art. 13).
Il testo integrale del codice è reperibile sul sito del Garante.

Durante la 30ma Conferenza internazionale delle Autorità di protezione dei dati tenutasi a Stasburgo dal 15 al 17 ottobre 2008, è stata emanata, tra le altre, la “Risoluzione sulla tutela della privacy nei servizi di social network”, proposta dalla Autorità per la protezione dei dati e l’accesso alle informazioni dello Stato di Berlino – Germania e co-sponsorizzata dalla Commission nationale de l’informatique et des libertés (CNIL) – Francia, dall’Autorità federale per la protezione dei dati e l’accesso alle informazioni – Germania, dal Garante per la protezione dei dati personali – Italia, dalla Autorità per la privacy – Nuova Zelanda e dalla Autorità federale per la protezione dei dati e le informazioni – Svizzera.

Nella Risoluzione, le Autorità hanno preso atto del dilagante ed inarrestabile fenomeno dei “social network” e dei numerosi pericoli che corre la privacy dei loro utenti, dovuti alla notevole quantità dei più diversi dati personali che vengono immessi in rete con notevole leggerezza ed alla potenziale comunicabilità ad un numero indefinito di persone; ciò comporta il concreto rischio di perdere il controllo dell’utilizzo dei propri dati una volta pubblicati.

Il documento, poi, individua alcuni rischi e pericoli che gli utenti corrono; tra questi la inconsapevole profilazione finalizzata a pubblicità mirate e l’aumento delle possibilità di furti di identità.

La Risoluzione, inoltre, contiene una serie di raccomandazioni che sono rivolte agli utenti ed ai fornitori di servizi di social network, tra cui l’attenzione con la quale valutare se ed in quale misura pubblicare dati personali in un profilo creato su tali servizi ed il rispetto della privacy altrui. Soprattutto, i minori dovrebbero evitare di fornire l’indirizzo o il numero telefonico di casa.

Mentre ai Fornitori dei servizi di social network, si è raccomandato di operare nell’interesse delle persone che utilizzano i loro servizi, a rispettare la normativa in materia di protezione dei dati, vigente nei paesi in cui operano, ad informare gli utenti in merito al trattamento dei dati personali che li riguardano, secondo modalità trasparenti e corrette ed a consentire agli utenti il controllo sui dati che li riguardano.

Inoltre, i fornitori devono prevedere impostazioni di default orientate a favorire la privacy degli utenti per quanto riguarda le informazioni contenute nei singoli profili e continuare a potenziare e garantire la sicurezza dei sistemi informativi, impedendo accessi abusivi ai profili-utente, utilizzando standard riconosciuti per quanto concerne la programmazione, lo sviluppo e la gestione delle rispettive applicazioni, e ricorrendo a verifiche e certificazioni indipendenti.

Particolare attenzione va posta sulla possibilità di permettere agli utenti il facile recesso dal servizio, cancellando il rispettivo profilo ed ogni contenuto o informazione da essi pubblicato attraverso il servizio di social network.

Tra le altre raccomandazioni ai fornitori, vi sono quella sull’utilizzo di pseudonimi, sull’accesso da parte di soggetti terzi e sull’indicizzazione dei profili-utente.

L’accesso ai dati personali contenuti nella documentazione bancaria riguardante una persona defunta deve essere garantito gratuitamente ai familiari. Il principio è stato ribadito dall’Autorità per la protezione dei dati personali (relatore Mauro Paissan), che ha accolto il ricorso presentato da un cittadino che aveva chiesto ad una banca la comunicazione di tutti i dati personali relativi al padre scomparso riguardanti i rapporti che questi aveva intrattenuto con l’istituto di credito. Avendo ricevuto una risposta parziale e incompleta, accompagnata da una richiesta di versamento in favore della banca a fronte delle spese da sostenere per fornire l’ulteriore documentazione esistente, l’uomo si era rivolto al Garante chiedendo che ordinasse alla banca di estrapolare e comunicare i dati personali relativi al defunto. La banca aveva affermato di aver seguito le norme del Testo unico bancario, che pone a carico del cliente o di colui che gli succede a qualunque titolo i costi per la copia della documentazione. Il provvedimento del Garante ha dato ragione alle richieste avanzate dall’interessato, il cui diritto all’accesso ai dati personali del familiare defunto, tutelato dal Codice privacy, risulta essere ben distinto dall’accesso alla documentazione bancaria regolamentato dal Testo unico bancario, che consente al cliente di ottenere copia di atti interi e documenti bancari contenenti o meno dati personali. Il diritto d’accesso ai dati previsto dalla normativa sulla privacy non implica di per sé l’obbligo di fornire copia dei documenti che li contengono al loro interno, ma prevede che i dati personali dell’interessato debbano essere estrapolati dagli archivi e dai documenti che li contengono, e comunicati in dettaglio all’interessato. Nei casi in cui l’estrapolazione risulti particolarmente difficoltosa, la richiesta può essere soddisfatta anche attraverso la consegna di copie dei documenti contenenti i dati personali dell’interessato, con l’oscuramento di quelli relativi a terzi. Il Garante ha così ribadito come il diritto di accesso ai dati personali debba essere garantito gratuitamente, ordinando alla banca di accogliere le richieste del ricorrente e di pagare i costi del procedimento.