Ripasso Privacy - Dipartimento di Matematica e Informatica

Ripasso sulla Privacy
Dr. Antonio Piva
1
Tema: Evoluzione della Privacy
1.1.1.1 Conoscere l'origine del diritto alla privacy, l'origine del concetto: “the right to privacy”;
(dalla nascita alla Direttiva Europea 95/46/CE)
La nozione di Privacy nasce nel 1890 negli USA, grazie o a causa di un innovazione tecnologica!
Due Avvocati S. D. Brandeis e L. D. Warren pubblicarono un articolo ‘The Right to Privacy’ nella
rivista Harward Law Review.
La privacy fu allora definita come il ‘Diritto di essere lasciati soli’, a non subire nella propria sfera
privata le interferenze provenienti dall’esterno soprattutto con l’avvento del progresso
tecnologico (mezzi di informazione).
Gli obiettivi della tutela della privacy (diritti personalissimi dell’individuo), di fatto oggi sono:
- interesse a non fare circolare informazioni personali (senza consenso);
- interesse a controllare l’utilizzazione delle informazioni personali, quando sono state acquisite
da terzi;
-interesse a fare cessare l’utilizzazione dei dati acquisiti;
La nascita e l’evoluzione della privacy sono strettamente connesse allo sviluppo tecnologico e
all’utilizzo dei nuovi mezzi messi a disposizione all’interno della società e quindi tale evoluzione
tecnologica impone un continuo aggiornamento dei principi e delle modalità di protezione dei
dati personali.
2
Tema: Evoluzione della Privacy
1.1.1.2: Comprendere le principali linee guida e interventi legislativi internazionali, il ruolo
dell'O.C.S.E. e del Consiglio d'Europa, la Convenzione di Strasburgo
Si sviluppa poi una nuova concezione della privacy, quale diritto della persona di avere dominio
esclusivo sulle informazioni che la riguardano, anche quando vengono condivise da altre persone o
raccolte in banche dati.
Questo concetto di privacy trova il suo riconoscimento già all’inizio degli anni ottanta in:
- linee guida dell’OCSE (Organizzazione per la Cooperazione e per la Sicurezza in Europa) del 1980;
- Convenzione del Consiglio d’Europa del 28 gennaio 1981 sulla protezione delle persone.
A ciò si aggiungono i concetti sviluppati in Francia e soprattutto in Germania per arrivare
al concetto, in tema di privacy, di:
‘Autodeterminazione informativa’ da intendersi come:
‘il diritto di un individuo di decidere da se circa la cessione e l’uso dei propri dati personali’
Negli anni novanta si svilupparono così le moderne legislazioni a tutela del trattamento (anche
automatizzato) dei dati personali.
3
Tema: Evoluzione della Privacy
1.1.1.3: Conoscere l’evoluzione del diritto alla privacy in Italia
La Direttiva Europea 95/46 , recepita dall’Italia dalla legge 675 del 31-12-1996, rappresenta il primo
intervento legislativo in materia di privacy in Italia, dove la protezione dei dati personali è soggetta
ad un’evoluzione costante con continue integrazioni e modifiche ad opera del legislatore.
Questa legge era anche necessaria per rispettare gli accordi di Shengen e ratificare la Convenzione di
Strasburgo e permise inoltre di istituire la figura del Garante per la protezione dei dati personali.
La direttiva è intesa a proteggere i diritti e le libertà delle persone, stabilendo i seguenti principi:
- Legittimazione del trattamento dei dati, ovvero trattamento effettuato solo con il consenso
esplicito dell’interessato;
- Informazione delle persone interessate dal trattamento dei dati da parte del titolare;
- Diritto di accesso ai dati, ovvero gli interessati hanno il diritto di ottenere da parte del responsabile:
-la conferma dell’esistenza o meno dei trattamenti di dati che lo riguardano e la comunicazione
dei dati;
- la rettifica, cancellazione o blocco dei dati il cui trattamento non è conforme alla direttiva;
- Diritto di opposizione ai trattamenti dei dati, ovvero l’interessato ha il diritto di opporsi per ragioni
legittime, al trattamento dei dati che lo riguardano.
4
Tema: La Normativa nazionale sulla Privacy
1.1.2.2: Sapere quali sono i principi fondamentali (finalità, necessità, liceità, correttezza,
proporzionalità, completezza, non eccedenza)
Il nuovo testo unico
Principi fondamentali
Finalità
Dal 1 gennaio 2004 è in vigore il “Codice in materia di
protezione dei dati personali”, D.Lgs. 196 del 30 giugno 2003.
Finalità, Necessità, Liceità, Correttezza, Proporzionalità.
Il Codice garantisce che il trattamento dei dati personali si svolga nel rispetto
dei diritti e delle libertà personali, nonché della dignità dell’interessato con
particolare riferimento alla riservatezza, all’idoneità personale e al diritto alla
protezione dei dati personali. Il tutto deve avvenire secondo principi di
armonizzazione, semplificazione ed efficacia delle modalità previste per la
tenuta dei dati.
I sistemi operativi e i programmi informatici sono configurati
riducendo al minimo l’utilizzazione dei dati personali e di dati
Principio di necessità
identificativi, in modo di escluderne il trattamento quando le
finalità perseguite nei singoli casi possono essere realizzate
mediante dati anonimi od opportune modalità che permettano di
identificare l’interessato solo in caso di necessità.
5
Tema: La Normativa nazionale sulla Privacy
1.1.2.3: Conoscere le principali definizioni
Si definisce «trattamento»: qualunque operazione o complesso di operazioni, svolti con o
senza l’ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la
registrazione, l’organizzazione, la conservazione, l’elaborazione, la modificazione, la
selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la
comunicazione, la diffusione, la cancellazione e la distruzione di dati.
Si definisce «dato personale»: qualunque informazione relativa a persona fisica,
identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra
informazione, ivi compreso un numero di identificazione personale.
Si definiscono «dati identificativi»: i dati personali che permettono l’identificazione diretta
dell’interessato.
6
Tema: La Normativa nazionale sulla Privacy
1.1.2.4: Comprendere le tipologie di dati (personali, sensibili, “quasi” sensibili, giudiziari, anonimi)
Si definisce «dato anonimo»: il dato che in origine, o a seguito di trattamento, non può essere
associato ad un interessato identificato o identificabile.
Si definiscono «dati sensibili»: i dati personali idonei a rivelare l'origine razziale ed etnica, le
convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati,
associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati
personali idonei a rivelare lo stato di salute e la vita sessuale.
Si definiscono «dati giudiziari»: i dati personali idonei a rivelare provvedimenti di cui all’articolo 3,
comma 1, lettere da a) a o) e da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario
giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti,
o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale.
Si definiscono «dati quasi - sensibili»: i dati personali diversi da quelli sensibili e giudiziari il cui
trattamento può comportare rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità
dell’interessato, in relazione alla natura dei dati o alle modalità di trattamento o agli effetti che può
determinare.
7
Tema: La Normativa nazionale sulla Privacy
1.1.2.5: Identificare e riconoscere i ruoli delle figure previste (interessato, titolare, responsabile,
incaricato), redigere e valutare le nomine
Si definisce « Titolare del trattamento»: la persona fisica o giuridica, la pubblica amministrazione e
qualsiasi altro ente, associazione od organismo, cui competono, anche unitamente ad altro titolare, le
decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti
utilizzati, ivi compreso il profilo della sicurezza.
Si definisce « Responsabile del trattamento» : la persona fisica, la persona giuridica, la pubblica
amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento
di dati personali.
Il Responsabile non è una funzione obbligatoria per legge, ma è una figura molto importante, in
quanto affianca il titolare per compiti e responsabilità, in grado di soddisfare esigenze tecnico-pratiche
connesse al trattamento.
Il profilo imposto dalla legge conduce necessariamente il responsabile a rispondere nella stessa
misura del titolare, alle manchevolezze del suo operato.
8
Tema: La Normativa nazionale sulla Privacy
1.1.2.5: Identificare e riconoscere i ruoli delle figure previste (interessato, titolare, responsabile,
incaricato), redigere e valutare le nomine
Si definisce « Incaricato del trattamento»: è la persona fisica autorizzata a compiere operazioni di
trattamento dal titolare o dal responsabile.
È dunque il soggetto che materialmente esegue le singole operazioni di trattamento.
L’incaricato non ha alcuna responsabilità di fronte la legge e le conseguenze di un eventuale
inadempimento ricadono sempre sui soggetti alla cui autorità è sottoposto, i quali in un secondo
momento potranno rivalersi sull’incaricato in questione.
Pertanto è consigliata una selezione particolare per la loro identificazione ed inoltre la loro
sensibilizzazione in merito alla riservatezza delle informazioni anche tramite adeguato addestramento
e formazione.
La nomina è disciplinata dall’art. 30, comma 2, il quale stabilisce che la designazione deve essere fatta
per iscritto e deve individuare l’ambito del trattamento consentito per ciascun incaricato.
Si definisce « Interessato del trattamento»: la persona fisica cui si riferiscono i dati personali.
9
Tema: La Normativa nazionale sulla Privacy
1.1.2.6: Conoscere e valutare l'informativa (definizione, funzione, contenuti minimi obbligatori,
le modalità di rilascio, i casi particolari)
Contenuti:
• Finalità e modalità del trattamento;
• Natura obbligatoria o facoltativa di conferimento dei dati;
Funzione della Normativa
Essa costituisce lo strumento
principale a disposizione
dell’interessato per
esercitare il controllo sul
flusso dei dati.
• Conseguenze di un eventuale rifiuto di rispondere;
• Soggetti o categorie di soggetti a cui i dati sono comunicati o che
possono venire a conoscenza in qualità di responsabili o incaricati o
l’ambito di diffusione degli stessi;
• I diritti dell’interessato, indicati all’art. 7 del Codice;
• Nome, denominazione sociale, residenza o sede del titolare e di
almeno un responsabile;
• Le categorie di dati trattati, se questi sono raccolti presso terzi;
• Indicazioni specifiche per categorie di soggetti.
10
Tema: La Normativa nazionale sulla Privacy
1.1.2.7: Comprendere il significato della comunicazione e diffusione dei dati.
Si definisce «comunicazione»: il dare conoscenza dei dati personali a uno o più soggetti determinati
diversi dall’interessato, in qualunque forma, anche mediante la loro messa a disposizione o
consultazione.
Osserviamo che non è considerata comunicazione la conoscenza dei dati personali da parte delle
persone incaricate, per iscritto, a compiere operazioni di trattamento.
Si definisce «diffusione»: il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque
forma, anche mediante la loro messa a disposizione o consultazione.
A differenza della comunicazione, l’ambito di diffusione è più vago in quanto i soggetti terzi non sono
identificabili singolarmente.
11
Tema: La Normativa nazionale sulla Privacy
1.1.2.8: Conoscere il consenso (funzione, contenuti e forma, il consenso nel trattamento dei
dati sensibili, il rapporto tra consenso e informativa, i casi di esclusione)
Il consenso è un altro elemento fondamentale introdotto a livello internazionale per la protezione
dei dati personali.
Il trattamento dei dati è ammesso in via generale solo con il consenso espresso dell’interessato.
Ciò significa che deve essere manifestata una volontà chiara ed esplicita da parte dell’interessato
(non basta il consenso implicito).
Il consenso può riferirsi sia all’intero trattamento dei dati, sia ad una o più operazioni dello stesso
(comma 2); pertanto i dati trattati dal titolare dell’operazione di raccolta, ma oggetto di
comunicazione a terzi, necessitano della richiesta sia del consenso per la raccolta sia di quello per la
comunicazione a terzi.
Il consenso può considerarsi valido solo se espresso liberamente, in forma specifica e documentata
per iscritto e se è stata resa l’informativa.
Si conferma quindi il principio di sovranità dell’interessato.
In alcuni casi di trattamento di dati sensibili, il titolare viene esonerato dal richiedere il consenso:
- quando il trattamento è effettuato da associazioni, enti od organismi senza scopo di lucro;
- quando il trattamento è necessario per la salvaguardia della vita o dell’incolumità fisica di un terzo;
- quando il trattamento è necessario ai fini di svolgimento delle investigazioni difensive;
- quando è necessario per adempiere a specifici obblighi o compiti previsti dalla legge.
12
Tema: La Normativa nazionale sulla Privacy
1.1.2.9: Essere consapevoli del diritto alla protezione dei dati personali e
dei diritti degli interessati
Il codice ha riservato un intero articolo (Art. 7) per definire i diritti di cui l’interessato gode per
poter controllare la correttezza e liceità dei trattamenti dei suoi dati da parte dei soggetti che li
hanno direttamente o indirettamente raccolti.
In sintesi i diritti dell’interessato sono:
-Diritto di accesso, ossia il diritto di ottenere la conferma dell’esistenza o meno dei dati
personali che lo riguardano e in particolare ha il diritto di conoscere:
- l’origine dei dati;
- le finalità e le modalità del trattamento;
- la logica applicata in caso di trattamento automatizzato (criterio di elaborazione);
- gli estremi identificativi del titolare e degli eventuali responsabili;
- i soggetti ai quali i dati personali possono essere comunicati o che possono venirne a
conoscenza in qualità di responsabili o incaricati;
- Diritto di interdizione, ovvero la facoltà di ottenere l’aggiornamento, la rettifica e
l’integrazione dei dati;
- Diritto di inibizione, ovvero la cancellazione, la trasformazione in forma anonima o il blocco
dei dati trattati in violazione della legge;
- Diritto di opposizione ai trattamenti leciti in presenza di motivi legittimi e nel caso di invio di
materiale pubblicitario o vendita diretta o per il compimento di ricerche di mercato o di
comunicazione commerciale.
13
Tema: L'Autorità Garante per la tutela dei dati personali
1.1.3.1: Conoscere funzioni del Garante della privacy, segnalazioni, reclami e ricorsi, controlli,
provvedimenti, notifica al Garante
L’Autorità Garante per la protezione dei dati personali, nasce in quanto espressamente richiesta dalla
Direttiva Europea 95/46/CE.
Si sottolinea l’indipendenza e autonomia di giudizio e valutazione del Garante, dotato infatti di propria
soggettività giuridica e slegato da influenze politiche.
Tale organo esercita il suo potere di vigilanza e i suoi compiti di garanzia e controllo sull’attuazione
della norma in materia di privacy agendo in piena libertà, autogovernandosi e decidendo
autonomamente le proprie linee di condotta.
In particolare le competenze sono:
- controllare se i trattamenti sono effettuati nel rispetto della disciplina applicabile;
- segnalare ai titolari le modificazioni per ottemperare alla norma;
- esaminare i reclami e le segnalazioni e provvedere sui ricorsi presentati dagli interessati;
- adottare provvedimenti;
- vigilare sui casi di cessazione;
- vietare, in tutto o in parte, il trattamento illecito o non corretto dei dati o disporne il blocco;
- segnalare al governo l’opportunità di provvedimenti;
- predisporre annualmente la relazione sull’attività e stato di applicazione delle norme;
- esercitare il controllo sui trattamenti mediante visita ed ispezioni;
- occuparsi delle autorizzazioni individuali e generali per esempio sul trattamento dei dati sensibili;
- emettere pareri consulenziali offerti in caso di situazioni inerenti la privacy.
14
Tema: Specifici settori di trattamento
1.1.4.1: Comprendere il trattamento dei soggetti pubblici e le finalità di rilevante interesse
pubblico; il trattamento in anagrafi ed elettorale; scopi storici e scientifici
L’art. 18, relativamente ai principi di trattamento applicabili ai soggetti pubblici, precisa che il
trattamento dei dati personali è consentito solo per lo svolgimento delle funzioni istituzionali
osservando i presupposti e limiti sanciti dal Codice; vieta così ai soggetti pubblici di “inventarsi”
nuove finalità e trattamenti che non trovino giustificazione in una legge o regolamento.
Il trattamento dei dati diversi da quelli sensibili e giudiziari è consentito per quelle attività di
minore impatto, anche in mancanza di una legge o regolamento; mentre per il trattamento di
dati sensibili è necessaria un’espressa disposizione di legge in cui siano specificati i tipi di dati
trattati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite.
Le finalità di rilevante interesse pubblico sono:
- accesso a documenti amministrativi al fine di favorire la partecipazione e di assicurarne
l’imparzialità e la trasparenza;
- tenuta degli atti e dei registri dello stato civile, delle anagrafi della popolazione residente in
Italia e dei cittadini italiani residenti all’estero, delle liste elettorali;
- rilascio e rinnovo di visti, permessi, attestazioni, autorizzazioni e documenti di tipo sanitario
per cittadinanza ed immigrazione, riconoscimento del diritto di asilo o dello status di rifugiato,
obblighi dei datori di lavoro o dei lavoratori e applicazione delle norme in materia di istruzione
e alloggio;
- elettorato attivo e passivo, di esercizio di altri diritti politici e documentazione dell’attività
istituzionale di organi pubblici;
- riconoscimento dei benefici economici, concessione di contributi e riconoscimento di esoneri
o agevolazioni fiscali;
- rapporti istituzionali con enti di culto, confessioni religiose e comunità religiose.
15
Tema: Specifici settori di trattamento
1.1.4.4: Essere consapevoli degli aspetti del trattamento delle informazioni nella scuola e
istruzione; essere consapevoli delle implicazioni e delle responsabilità
per quanto riguarda i minori e gli studenti
Il trattamento è consentito solo per lo svolgimento delle funzioni istituzionali e viene
riconosciuto alla finalità di istruzione e formazione in ambito scolastico, professionale,
superiore o universitario, il “rilevante interesse pubblico” richiesto ai soggetti pubblici per il
trattamento di dati personali. Non è richiesto il consenso se non per gli esercenti le professioni
sanitarie e gli organismi sanitari pubblici.
La comunicazione e la diffusione a soggetti pubblici sono ammesse quando siano previste da
norme di legge o di regolamento o risultino comunque necessarie per lo svolgimento delle
funzioni istituzionali. In quest’ultimo caso, deve essere data comunicazione al Garante e le
operazioni possono iniziare decorsi 45 giorni dalla comunicazione.
La comunicazione e la diffusione di dati personali da parte di soggetti pubblici a privati o a enti
pubblici economici sono ammesse solo se previste da norme di legge o di regolamento. E’
vietata la comunicazione e la diffusione di dati di cui è stata ordinata la cancellazione o per
finalità diverse da quelle indicate nella notifica se prescritta.
Per trattare i dati sensibili o giudiziari degli alunni, gli istituti scolastici devono adottare un
regolamento che disciplina il trattamento di tali dati in conformità alle indicazioni del Garante.
16
Tema: Specifici settori di trattamento
1.1.4.5: Sapere le disposizioni sul trasferimento dei dati all'estero
Il trasferimento anche temporaneo fuori del territorio nazionale, con qualsiasi forma o mezzo, di dati
personali oggetto di trattamento deve essere previamente notificato al Garante, qualora sia diretto verso
un Paese non appartenente all’Unione Europea.
- Le disposizioni del Codice NON si possono applicare al fine di restringere o vietare la libera circolazione
dei dati personali fra gli stati dell’Unione Europea.
- Il trasferimento di dati verso un Paese non appartenente all’Unione Europea è vietato qualora
l’ordinamento dello Stato di destinazione o di transito dei dati non assicuri un livello di tutela delle
persone adeguato.
- Sono valutate anche le modalità del trasferimento e dei trattamenti previsti, le relative finalità, la natura
dei dati e le misure di sicurezza.
Applicata ad Internet questa disposizione può portare a delle conseguenze paradossali:
infatti la semplice immissione in rete di un dato equivale al suo trasferimento in tutto il mondo senza
avere la possibilità a priori di conoscere neppure il percorso seguito e se i paesi nei quali il dato è
transitato (o transiterà) sono dotati o meno di una normativa adeguata.
La Commissione dell’Unione Europea ha siglato una decisione C(2001) 1539 relativa alle clausole
contrattuali tipo per il trasferimento di dati verso Paesi terzi.
Vengono definite regole di comportamento, che assumono la formula di clausole contrattuali su base
volontaria, che costituiscono una salvaguardia per i soggetti coinvolti (titolare, responsabile ed
interessato)
17
Tema: La Sicurezza delle Informazioni
1.1.5.2: Conoscere e valutare le misure minime di sicurezza per i trattamenti
con l'ausilio di strumenti elettronici
GLI ARTT. 33 e 34 si occupano di MISURE MINIME DI SICUREZZA
Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se
sono adottate, nei modi previsti dal disciplinare tecnico nell’allegato B, le seguenti misure
minime di sicurezza:
- Autenticazione informatica;
- Procedure di gestione delle credenziali di autentificazione;
- Sistema di autorizzazione;
- Aggiornamento periodico dell’individuazione dell’ambito di trattamento consentito ad
incaricati e addetti alla gestione o manutenzione degli strumenti elettronici;
- Protezione di dati rispetto a trattamenti illeciti, accessi non consentiti;
- Procedure per la custodia di copie di sicurezza (backup) e ripristino della disponibilità dei
dati;
-Adozione di cifratura o codici identificativi per determinati trattamenti idonei a rivelare lo
stato di salute o la vita sessuale effettuati da organismi sanitari;
18
Tema: La Sicurezza delle Informazioni
1.1.5.3: Comprendere l'autenticazione informatica, le credenziali di autenticazione e
le procedure di gestione
Sistema di autenticazione informatica
1. Il trattamento di dati personali con strumenti elettronici è consentito agli incaricati dotati
di credenziali di autenticazione che consentano il superamento di una procedura di
autenticazione relativa ad uno specifico trattamento o a un insieme di trattamenti.
2. Le credenziali di autenticazione consistono in un codice per l’identificazione
dell’incaricato associato a una parola chiave riservata conosciuta solamente dal medesimo
oppure in un dispositivo di autenticazione in possesso e uso esclusivo dell’incaricato,
eventualmente associato a un codice identificativo o a una parola chiave, oppure in una
caratteristica biometrica dell’incaricato, eventualmente associata a un codice identificativo
o a una parola chiave.
3. Con le istruzioni impartite agli incaricati è prescritto di adottare le necessarie cautele per
assicurare la segretezza della componente riservata della credenziale e la diligente custodia
dei dispositivi in possesso ed uso esclusivo dell’incaricato.
4. Esistono diversi criteri e modalità per autenticare i soggetti che accedono ad un sistema,
ad esempio tramite tratti biometrici, smart card, certificati, token, …
19
Tema: La Sicurezza delle Informazioni
1.1.5.3: Comprendere l'autenticazione informatica, le credenziali di autenticazione e
le procedure di gestione
5. La parola chiave, quando è prevista dal sistema di autenticazione, è composta da almeno otto
caratteri oppure, nel caso in cui lo strumento elettronico non lo permetta, da un numero di
caratteri pari al massimo consentito; essa non contiene riferimenti agevolmente riconducibili
all’incaricato ed è modificata da quest’ultimo al primo utilizzo e, successivamente, almeno ogni
sei mesi. In caso di trattamento di dati sensibili e di dati giudiziari la parola chiave è modificata
almeno ogni tre mesi.
6. Il codice per l’identificazione, laddove utilizzato, non può essere assegnato ad altri incaricati,
neppure in tempi diversi.
7. Le credenziali di autenticazione non utilizzate da almeno sei mesi sono disattivate, salvo
quelle preventivamente autorizzate per soli scopi di gestione tecnica.
8. Le credenziali sono disattivate anche in caso di perdita della qualità che consente
all’incaricato l’accesso ai dati personali.
9. Sono impartite istruzioni agli incaricati per non lasciare incustodito e accessibile lo strumento
elettronico durante una sessione di trattamento.
10. Le disposizioni sul sistema di autenticazione non si applicano ai trattamenti di dati personali
destinati alla diffusione.
20
Tema: La Sicurezza delle Informazioni
1.1.5.4: Saper definire il sistema di autorizzazione, l'aggiornamento periodico dell’ambito di
trattamento consentito dai singoli incaricati e le classi omogenee di incarico (autorizzazioni)
Sistema di autorizzazione
1. Quando per gli incaricati sono individuati profili di autorizzazione di ambito diverso è utilizzato un
sistema di autorizzazione.
2. Un sistema di autorizzazione è l’insieme degli strumenti e delle procedure che permettono di
stabilire quali siano i dati e le operazioni di trattamento su di essi consentite a ciascuna persona che
potrà accederli.
3. I profili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati, sono
individuati e configurati anteriormente all’inizio del trattamento, in modo da limitare l’accesso ai soli
dati necessari per effettuare le operazioni di trattamento.
4. Periodicamente, e comunque almeno annualmente, è verificata la sussistenza delle condizioni per
la conservazione dei profili di autorizzazione.
21
Tema: La Sicurezza delle Informazioni
1.1.5.5: Descrivere la protezione di dati rispetto ai trattamenti illeciti, accessi non consentiti e
l'aggiornamento periodico dei programmi per elaboratore
I dati personali sono protetti contro il rischio di intrusione e dell’azione di programmi aventi per
scopo o per effetto il danneggiamento di un sistema informatico mediante l’attivazione di
idonei strumenti elettronici da aggiornare con cadenza almeno semestrale.
Per tale scopo si possono usare applicativi software come gli antivirus e anti-spyware oppure
strumenti hardware e software come i firewall.
Gli aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilità di
strumenti elettronici e a correggerne difetti sono effettuati almeno annualmente. In caso di
trattamento di dati sensibili o giudiziari l’aggiornamento è almeno semestrale.
Gli attacchi ai sistemi informativi sono realizzati sfruttando specifiche vulnerabilità del sistema
operativo o delle applicazioni e quindi per adempiere alla norma e per una corretta
prevenzione dovrebbero essere adottate almeno le seguenti misure:
- installazione e aggiornamento periodico di antivirus;
- installazione periodica degli ultimi aggiornamenti (patch, service pack) disponibili per il
sistema operativo e le applicazioni.
22
Tema: La Sicurezza delle Informazioni
1.1.5.6: Descrivere l’obbligo normativo sulle procedure per le copie di sicurezza (backup) e
ripristino della disponibilità dei dati; la corretta gestione dei supporti rimovibili e la cancellazione
e sicurezza dei dati
Al fine di garantire l’integrità e la disponibilità dei dati:
Sono impartite istruzioni organizzative e tecniche per la realizzazione e custodia di copie di
sicurezza dei dati (che devono prevedere anche periodiche verifiche dei supporti utilizzati per le
copie di sicurezza e prove di ripristino)
Sono adottate idonee misure per garantire il ripristino dell’accesso ai dati in caso di
danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti
degli interessati e non superiori a sette giorni.
Per soddisfare il requisito della norma viene spesso elaborato un piano di emergenza interno,
che va inserito nel Documento Programmatico sulla Sicurezza, che viene spesso chiamato anche
Piano di Disaster Recovery.
Sono impartite istruzioni organizzative e tecniche per la custodia e l’uso dei supporti rimovibili
su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non
consentiti.
I supporti rimovibili contenenti dati sensibili o giudiziari, se non utilizzati, sono distrutti o resi
inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento
degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e
23
tecnicamente in alcun modo ricostruibili.
Tema: La Sicurezza delle Informazioni
1.1.5.8: Comprendere l’adozione di cifratura o codici identificativi per determinati trattamenti,
idonei a rivelare lo stato di salute o la vita sessuale, effettuati da organismi sanitari
I dati sensibili atti a rivelare lo stato di salute e la vita sessuale contenuti in elenchi, registri o
banche dati, tenuti con l’ausilio di strumenti elettronici, sono trattati con tecniche di cifratura o
mediante l’utilizzazione di codici identificativi o di altre soluzioni che, considerato il numero e la
natura dei dati trattati, li rendano temporaneamente inintellegibili anche a chi è autorizzato ad
accedervi e permettono di identificare gli interessati solo in caso di necessità; sono inoltre
conservati separatamente da altri dati personali trattati per finalità che non richiedono il loro
utilizzo.
I dati relativi all’identità genetica sono trattati esclusivamente all’interno di locali protetti
accessibili ai soli incaricati dei trattamenti ed ai soggetti specificatamente autorizzati ad
accedervi.
Il trasporto dei dati genetici all’esterno dei locali riservati al loro trattamento deve avvenire in
contenitori muniti di serratura o dispositivi equipollenti. Il trasferimento dei dati in formato
elettronico è cifrato, mentre nel caso in cui i dati si trovino su documenti cartacei il servizio di
spedizione postale più sicuro è l’assicurata.
24
Tema: La Sicurezza delle Informazioni
1.1.5.9: Conoscere responsabilità e compiti degli amministratori dei sistemi e
il relativo provvedimento generale del Garante
La figura dell’Amministratore di Sistema, già disciplinata dal D.P.R. 318/99, è stata
reintrodotta, vista la rilevanza di tale figura nell’ambito delle operazioni di trattamento,
dall’Autorità Garante mediante apposito Provvedimento del novembre 2008.
La sua designazione deve avvenire previa valutazione dell’esperienza, della capacità e
dell’affidabilità del soggetto designato, il quale deve fornire idonea garanzia del pieno
rispetto delle disposizioni in materia di trattamento, compreso il profilo relativo alla
sicurezza.
Le funzioni tipiche dell'amministratore di sistema sono richiamate nell’Allegato B e
comprendono la realizzazione di copie di sicurezza (operazioni di backup e recovery dei dati),
la custodia delle credenziali, la gestione dei sistemi di autenticazione e di autorizzazione.
25
Tema: La Sicurezza delle Informazioni
1.1.5.9: Conoscere responsabilità e compiti degli amministratori dei sistemi e
il relativo provvedimento generale del Garante
Il Garante ha inoltre introdotto l’obbligo di verifiche periodiche dell’operato dell’amministratore
di sistema, a carico del titolare o del responsabile.
A tal fine il Garante ha stabilito che debbano essere registrati tutti gli accessi logici
(autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli
amministratori di sistema.
Le registrazioni, o access log, devono comprendere i riferimenti temporali e la descrizione
dell’evento che le ha generate (“log-in”, “log-out”, o una condizione di errore) e devono essere
conservate per un periodo non inferiore a sei mesi.
Il provvedimento NON chiede in alcun modo che vengano registrati dati sull’attività degli
amministratori una volta ottenuto l’accesso al sistema informativo.
La norma richiede che gli access log abbiano caratteristiche di completezza, inalterabilità e
possibilità di verifica della loro integrità, adeguate al raggiungimento dello scopo di verifica per
cui sono richieste.
26
Tema: La Sicurezza delle Informazioni
1.1.5.10: Descrivere le misure minime di sicurezza per i trattamenti
senza l'ausilio di strumenti elettronici
Il trattamento di dati personali effettuato senza l’ausilio di strumenti elettronici è consentito solo se
sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell’allegato B), le seguenti misure
minime:
a) aggiornamento periodico dell’individuazione dell’ambito del trattamento consentito ai singoli
incaricati o alle unità organizzative (i.e. preventiva autorizzazione delle persone che accedono ai dati);
b) previsione di procedure per un’idonea custodia di atti e documenti affidati agli incaricati per lo
svolgimento dei relativi compiti;
c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e
disciplina delle modalità di accesso finalizzata all’identificazione degli incaricati.
Agli incaricati sono impartite istruzioni scritte finalizzate al controllo e alla custodia di atti e documenti
contenenti dati personali, per l’intero ciclo necessario allo svolgimento delle operazioni di
trattamento.
Quando i documenti contengono dati personali sensibili o giudiziari vengono controllati e custoditi
dagli incaricati fino alla restituzione in maniera che ad essi non accedano persone prive di
autorizzazione, sono restituiti al termine delle operazioni affidate e l’accesso agli archivi è controllato.
27
Tema: Il Documento Programmatico sulla Sicurezza
1.1.6.2: Identificare i contenuti del DPS, i suoi scopi e i tempi per gli adempimenti
Il titolare di un trattamento di dati sensibili o giudiziari può redigere anche attraverso il
responsabile, se designato, un Documento Programmatico sulla Sicurezza, ovvero un
documento che ha lo scopo di ottemperare alle misure minime di sicurezza e gestire la politica
aziendale in tema di sicurezza, partendo dall’analisi dei rischi propri del sistema informativo. Il
Documento Programmatico sulla Sicurezza, con il Decreto Semplificazioni, emanato il 9
Febbraio 2012, non è più obbligatorio.
Questo documento rappresenta un valido strumento organizzativo utile all’azienda per avere un
quadro preciso della sicurezza posseduta e di quella programmata.
Le informazioni in esso contenute riguardano:
1. l’elenco dei trattamenti di dati personali, mettendo in evidenza i dati trattati e le modalità di
trattamento;
2. la distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al
trattamento dei dati;
3. l’analisi dei rischi che incombono sui dati;
4. le misure da adottare per garantire l’integrità e la disponibilità dei dati, nonché la protezione
delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;
28
Tema: Il Documento Programmatico sulla Sicurezza
1.1.6.2: Identificare i contenuti del DPS, i suoi scopi e i tempi per gli adempimenti
5. la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito
a distruzione o danneggiamento;
6. la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei
rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili
della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività,
delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime
adottate dal titolare. La formazione è programmata già al momento dell’ingresso in servizio,
nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi
strumenti, rilevanti rispetto al trattamento di dati personali;
7. la descrizione dei criteri da adottare per garantire l’adozione delle misure minime di sicurezza
in caso di trattamenti di dati personali affidati, in conformità al codice, all’esterno della struttura
del titolare;
8. per i dati personali idonei a rivelare lo stato di salute e la vita sessuale di cui al punto 24,
l’individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri
dati personali dell’interessato.
29
Tema: Tipologie rilevanti di trattamento
1.1.7.1: Conoscere gli aspetti della privacy nel mondo del lavoro
I datori di lavoro nel trattare i dati personali dei lavoratori devono sempre tenere
presente i principi fondamentali della riservatezza e della protezione dei dati stabiliti dal
Codice e quanto indicato dallo Statuto dei Lavoratori.
È necessaria l’adozione di un regolamento aziendale che stabilisca il corretto utilizzo ai
quali sono destinati i beni e gli strumenti aziendali e quali forme di controllo il datore di
lavoro intende applicare per verificarne il giusto uso.
Il datore di lavoro è chiamato ad adottare ogni misura in grado di prevenire il rischio di
utilizzi impropri, così da ridurre controlli successivi sui lavoratori:
- individuare preventivamente i siti considerati correlati o meno con la prestazione
lavorativa;
- utilizzare filtri che prevengano determinate operazioni, quali l’acceso a siti inseriti in
una black list o il download di file musicali o multimediali;
- rendere disponibili indirizzi condivisi tra più lavoratori, rendendo chiara la natura non
privata della corrispondenza;
- attribuire al lavoratore un altro indirizzo destinato ad uso personale;
- prevedere, in caso di assenza del lavoratore, messaggi di risposta automatica con le
coordinate di altri lavoratori cui rivolgersi;
- permettere al dipendente di delegare un altro lavoratore a verificare il contenuto dei
messaggi a lui indirizzati e ad inoltrare al titolare quelli ritenuti rilevanti per l’ufficio.
30
Tema: Tipologie rilevanti di trattamento
1.1.7.2: Comprendere le disposizioni sulla videosorveglianza
Presupposti rispetto
privacy
• Principio di proporzionalità dei mezzi usati.
• Indicazione presenza di impianti di videosorveglianza.
• Indicazione periodo di conservazione dati (max 24h)
• Riconoscimento diritto di accesso.
E’ possibile se…
• Apparecchiature poste per finalità produttive.
• Apparecchiature poste per finalità di controllo e di sicurezza.
• Informativa ben visibile, nella quale vanno esposte con chiarezza le finalità
del trattamento.
Prima di procedere all’installazione di sistemi di videosorveglianza, il titolare deve sottoporre
a verifica preliminare del Garante i casi in cui tale sistema sia agganciato a sistemi per:
• il riconoscimento della persona sulla base del confronto di immagini;
• indicizzare le immagini per ricerche automatizzate;
• rilevare automaticamente comportamenti o eventi anomali, segnalarli e registrarli.
Deve essere escluso ogni impiego non necessario, superfluo o eccessivo ed è d’obbligo
valutare se la videosorveglianza sia realmente proporzionata agli scopi prefissati e
legittimamente perseguibili, quindi l’impiego di tali sistemi può risultare eccedente qualora
siano già adottati altri efficaci sistemi di controllo o vigilanza.
31
Tema: Tipologie rilevanti di trattamento
1.1.7.3: Essere consapevole delle disposizioni sulla privacy e posta elettronica
La posta elettronica o email è lo strumento di comunicazione elettronica più utilizzato per lo
scambio di comunicazioni via Internet che permette l’invio di messaggi elettronici tra un mittente
ed uno o più riceventi predeterminati, il cui principale vantaggio è l’immediatezza di trasmissione.
In alcuni ordinamenti giuridici, tra cui l’Italia, è stata estesa anche alla posta elettronica,
nonostante la minor riservatezza offerta dovuta al mezzo tecnico e alle soluzioni tecnologiche
utilizzate, la rigorosa tutela prevista per la corrispondenza cartacea, secondo la quale “la libertà e
la segretezza della corrispondenza e di ogni altra forma di comunicazione sono inviolabili”.
Limiti a libertà e segretezza della corrispondenza possono essere disposti solo con “atto motivato
dall’autorità giudiziaria e con le garanzie stabilite dalla legge”.
La segretezza della corrispondenza è oggetto di tutela anche in sede penale, dove per
corrispondenza si intende quella epistolare, telegrafica, informatica o telematica, ovvero
effettuata con ogni altra forma di comunicazione a distanza.
Esistono tre ipotesi di reato specifiche per le comunicazioni telematiche:
- l’intercettazione di comunicazioni telematiche;
- l’installazione di apparecchiature atte ad intercettare o interrompere comunicazioni telematiche;
- la formazione falsa, ovvero l’alterazione o la soppressione in tutto o in parte del contenuto di una
comunicazione telematica, anche se occasionalmente intercettata.
32
Tema: Tipologie rilevanti di trattamento
1.1.7.4: Descrivere la privacy su Internet: modalità di informative e consensi su web e in via
telematica
L’informativa su web deve avere gli stessi contenuti di quella normale.
L’informativa deve essere rilasciata al momento della raccolta e cioè preventivamente al
conferimento dei dati da parte dell’interessato per permettergli una cosciente scelta in merito alla
destinazione dei dati che lo riguardano.
La forma con cui le informazioni sono rese all’interessato può essere scritta o orale (si pensi al
caso in cui i dati siano raccolti per via telefonica), ANCHE VIA WEB (mediante Pagina Web ben
posizionata).
Quindi, per quanto riguarda l’informativa, essa può essere resa anche in forma elettronica – via
Internet - e deve contenere tutte le finalità per le quali i dati personali vengono raccolti.
Al momento della raccolta dei dati i siti Internet dovrebbero specificare se i dati raccolti saranno
comunicati o resi disponibili a terzi e le relative motivazioni. In questi casi è fondamentale che gli
utenti Internet dispongano di un’effettiva possibilità di opporsi online a detta comunicazione
cliccando su di una casella di spunta ed esprimendo così il proprio favore alla comunicazione dei
dati con finalità diverse dalla fornitura del servizio richiesto.
33
Tema: Tipologie rilevanti di trattamento
1.1.7.4: Descrivere la privacy su Internet: modalità di informative e consensi su web e in via
telematica
Il trattamento dei dati è ammesso in via generale solo con il consenso espresso dell’interessato, ciò
significa che deve essere manifestata una volontà chiara ed esplicita da parte dell’interessato (non
basta il consenso implicito).
- il consenso si riferisce ad una o più operazioni dello stesso. I form su web, attraverso cui è
possibile raccogliere il consenso, devono prevedere la certezza della volontà dell’interessato e ciò
può avvenire mediante l’operazione di selezione di un’apposita casella in una pagina del sito (OPTin, OPT- out).
- primo requisito è il consenso espresso dell’interessato che, secondo le indicazioni fornite dal
Garante, si deve esplicitare attraverso specifiche opzioni di tipo positivo (positive option) che
consentano all’interessato di prestare o negare il proprio consenso.
- il consenso deve essere prestato in forma specifica; l’interessato deve potersi esprimere
separatamente per ogni trattamento, per ogni finalità e per ogni titolare.
- l’interessato deve ricevere un’ informativa preventiva che sia chiara ed esaustiva; solo in presenza
di questa può ritenersi soddisfatta la condizione di consenso informato.
34
Tema: Tipologie rilevanti di trattamento
1.1.7.5: Comprendere le disposizioni riguardanti la privacy digitale: I log e loro conservazione,
identificabilità ed anonimato (anonymous surfing e remailing, cookies)
Nell’attuale società si individuano due bisogni che si intrinsecano e si contrappongono: il bisogno di
identificabilità e il bisogno di anonimato. Internet non è un luogo dove tutto è anonimo e
incontrollato, ma come nel mondo reale, anche se con modalità diverse, vi sono possibilità di
anonimato, possibilità di identificazione e obblighi di identificazione.
Accanto alla scelta cosciente di un utente nel fornire dati identificativi, Internet offre la possibilità
di raccogliere informazioni su un utente a sua insaputa. Esistono particolari software che seguono e
memorizzano il clickstream di ciascun utente, tra cui log e cookies, i quali forniscono una grande
quantità di dati che possono essere elaborati per ottenere informazioni su abitudini e interessi
degli utenti (identità sociale).
Esistono strumenti tecnologici per proteggersi dalla raccolta dei dati in Internet, che prendono il
nome di PET’s (Privacy Enahancing Technologies) e permettono di minimizzare o eliminare del tutto
l’invio dei dati personali:
- L’anonymous surfing permette all’utente di evitare che i server web possano raccogliere
informazioni quali l’indirizzo IP, il browser per la navigazione o l’ultimo server visitato, scaricando la
pagina web che si vuole visitare su un server, detto anonimizzatore, il quale scarica il documento e
lo invia successivamente al computer dell’utente;
- L’anonymous remailing permette all’utente di inviare messaggi di posta elettronica senza rivelare
la propria identità utilizzando uno o più server intermedi che assicurano l’anonimato cancellando
dal messaggio le informazioni che identificano l’utente.
35
Tema: Responsabilità e Sanzioni
1.1.8.1: Conoscere le differenze tra misure minime e idonee per la sicurezza
La filosofia del Codice della Privacy è quella di salvaguardare la riservatezza ed i diritti
dell’interessato.
Il titolare è tenuto ad adottare idonee e preventive misure di sicurezza al fine di
minimizzare i rischi di:
- perdita totale o parziale;
- accesso non autorizzato;
- trattamento non consentito o non conforme alle finalità della raccolta dei dati personali.
Le misure di sicurezza adottate devono tenere conto:
- delle conoscenze acquisite in base al progresso tecnico;
- della natura dei dati trattati (i dati sensibili necessiteranno di accorgimenti
particolarmente severi);
- delle caratteristiche del trattamento (manuale o automatizzato, in base alla finalità).
Chiunque omette di adottare le misure minime di sicurezza previste dall’art. 33 è punito con
l’arresto sino a due anni.
36
Tema: Responsabilità e Sanzioni
1.1.8.2: Descrivere le sanzioni previste dal codice della privacy
Le sanzioni previste in caso di violazione delle norme contenute nel Codice si dividono in
sanzioni amministrative e penali.
Le sanzioni amministrative si riferiscono a:
- Omessa o inidonea informativa all’interessato;
- Mancata o incompleta notificazione;
- Omessa informazione o esibizione al Garante;
- Cessione illecita di dati;
- Violazione delle norme in materia di conservazione dei dati di traffico telefonico e
telematico;
- Violazione del diritto di opposizione.
Le sanzioni penali si riferiscono a:
- Trattamento illecito di dati;
- Falsità nelle dichiarazioni e notificazioni al Garante;
- Omissione delle misure minime di sicurezza;
- Inosservanza dei provvedimenti del Garante.
37
Tema: Responsabilità e Sanzioni
1.1.8.3: Comprendere le disposizioni sui danni cagionati per effetto del trattamento
(responsabilità civile e inversione dell'onere della prova)
Nel Codice della privacy sono previste sanzioni non solo amministrative ma anche penali.
L’art 15 nell’ambito della sezione sul risarcimento dei danni provocati per effetto del trattamento
dei dati, definisce tale attività pericolosa ai sensi dell’art. 2050 c.c.
[ 2050. (Responsabilità per l’esercizio di attività pericolose). Chiunque cagiona danno ad altri
nello svolgimento di un’attività pericolosa (nel nostro caso il trattamento di dati personali), per
sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere
adottato tutte le misure idonee a evitare il danno.]
1. A norma del Codice della privacy chiunque cagiona danno ad altri per effetto del trattamento
di dati personali è tenuto al risarcimento, salvo dimostri di aver adottato le misure idonee ad
evitarlo (inversione della prova).
2. Il danno non patrimoniale è risarcibile anche in caso di violazione dell’art 11.
38
Tema: Privacy e particolari casi
di trattamento illecito
1.1.9.2: Comprendere gli aspetti legati alla frode informatica e al phishing (le sue fasi e i reati)
Con il termine phishing si fa riferimento a un’attività truffaldina che, sfruttando tecniche di
ingegneria sociale, mira al furto delle credenziali d’accesso al conto corrente del malcapitato,
dal quale vengono prelevate somme di denaro generalmente trasferite all’estero.
Il phishing è un vero e proprio attacco, condotto soprattutto per mezzo della posta elettronica
e viene considerato come reato di frode informatica.
Per tutelarsi contro questi rischi si può:
- utilizzare appositi programmi che bloccano email o collegamenti sospetti, confrontando gli
indirizzi reali dei mittenti con le black list presenti in internet;
- non rispondere a richieste di informazioni personali ricevute tramite posta elettronica;
- visitare i siti internet digitando sempre l’indirizzo direttamente nella barra degli indirizzi.
39
Tema: Privacy e particolari casi
di trattamento illecito
1.1.9.3: Essere consapevoli degli aspetti di tutela della privacy nei social network
I rischi per la privacy nei Social Networks.
Nella conferenza internazionale dei Garanti europei a Strasburgo del 2008 è stata
approvata una “Risoluzione sulla tutela della privacy nei servizi di social network” in cui
si evidenzia che il principale rischio per la privacy è quello di perdere il controllo
dell'utilizzo dei propri dati una volta pubblicati in rete.
Quindi le immagini e le informazioni che vengono pubblicate e condivise nei social
network, anche se poi vengono cancellate, potranno riemergere a distanza di anni.
Le Autorità Garanti hanno impartito alcune precise raccomandazioni anche agli utenti,
i quali devono valutare con attenzione se e in quale misura pubblicare dati personali in
un profilo creato sui servizi di social network e sono comunque tenuti a rispettare la
privacy altrui.
40
Tema: Le comunicazioni elettroniche non sollecitate
1.2.1.1: Saper definire il concetto di spamming
Direct marketing: insieme delle attività, nonché ogni servizio ausiliario ad esse, che permettono di
offrire prodotti e servizi e di trasmettere ogni altro messaggio pubblicitario a segmenti di popolazione
mediante posta, telefono o altri mezzi diretti a scopo d’informazione o al fine di sollecitare una
reazione da parte della persona interessata.
Spamming: tecnica di invio massivo e spesso indiscriminato di comunicazioni elettroniche non
desiderate (messaggi di posta elettronica non richiesti), a fini commerciali.
Aspetti nocivi per l’azienda
ricevente:
- costi a carico dell’azienda;
- sottrazione di tempo utile agli operatori;
- intasamento dei canali di trasmissione.
La lotta allo spam è combattuta con l’ausilio di diversi mezzi tecnici e sia gli stessi prestatori di
servizi di comunicazione elettronica che gli utenti finali cercano di tutelarsi installando appositi
software di filtraggio basati su black list.
41
Tema: Le comunicazioni elettroniche non sollecitate
1.2.1.2: Conoscere il quadro normativo sulle comunicazioni indesiderate e l’Opt-in, Opt-out
L’ art 130 del Testo Unico, disciplinante le comunicazioni indesiderate, dispone:
L’uso di sistemi automatizzati di chiamata per l’invio di materiale pubblicitario o di vendita diretta è
consentito con il consenso dell’interessato (principio di “opt-in”).
Tale disposizione si applica anche alle disposizioni elettroniche, effettuate per suddette finalità
mediante posta elettronica, sms, mms o altro.
Se il titolare del trattamento utilizza, ai fini di vendita diretta di propri prodotti o servizi, le coordinate
di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio,
può non richiedere il consenso dell’interessato sempre che si tratti di servizi analoghi a quelli oggetto
della vendita. Il destinatario dev’essere comunque informato della possibilità di opporsi ad ulteriori
messaggi in qualsiasi momento e in modo semplice e gratuito (principio di “opt-out”).
E’ vietato in ogni caso l’invio di comunicazioni a scopo promozionale effettuato camuffando o celando
l’identità del mittente o senza fornire un idoneo recapito presso il quale l’interessato possa esercitare i
diritti previsti dal T.U.
Qualsiasi ente, al fine di non essere contattati telefonicamente da aziende di telemarketing, può
iscriversi al Registro delle Opposizioni.
42
Tema: Le comunicazioni elettroniche non
sollecitate
1.2.1.5: Comprendere le disposizioni in materia di telemarketing
Sono state apportate importanti modifiche all’art. 130 del Codice dove viene specificato che gli
abbonati che non desiderano ricevere telefonate pubblicitarie dovranno iscriversi al Registro pubblico
delle opposizioni (regime di opt-out).
Le società che operano nel settore del telemarketing non potranno più contattare i numeri degli
abbonati che si sono iscritto nel Registro delle opposizioni, mentre la singola azienda che abbia,
invece, ricevuto in passato il consenso dell’abbonato a ricevere telefonate promozionali, potrà
contattarlo anche se questi è iscritto nel Registro.
Gli operatori di telemarketing che intendono contattare gli abbonati presenti negli elenchi telefonici
pubblici per attività commerciali, promozionali o per il compimento di ricerche di mercato tramite
l’uso del telefono, sono tenuti a registrarsi al sistema gestito dal Gestore del registro pubblico delle
opposizioni e a comunicare la lista dei numeri che intendono contattare.
Il Gestore mettendo a confronto le informazioni contenute nel registro e la lista dei numeri fornita
dall’operatore, cancellerà da essa tutti i numeri degli abbonati che hanno richiesto di non essere
contattati.
43
Tema: Le Comunicazioni Telefoniche
o con altri mezzi
1.2.2.1: Conoscere la riservatezza e il quadro normativo sulle comunicazioni indesiderate
I dati relativi al traffico sono definiti come i dati sottoposti a trattamento "ai fini della
trasmissione di una comunicazione su una rete di comunicazione elettronica o della
relativa fatturazione".
L’art. 123 del Codice stabilisce in sei mesi il limite temporale per la conservazione dei
dati di traffico telefonico per finalità di fatturazione dei servizi telefonici erogati,
pagamenti in caso di interconnessione e di commercializzazione di servizi.
L’obbligo di conservazione riguarda i dati relativi al traffico telefonico, inclusi quelli
concernenti le chiamate senza risposta, nonché i dati inerenti al traffico telematico,
esclusi comunque i contenuti delle comunicazioni.
Allo scadere dei termini previsti per la conservazione, i dati di traffico sono resi non
disponibili per le elaborazioni dei sistemi informativi e le relative consultazioni; sono
altresì cancellati o resi anonimi senza alcun ritardo, in tempi tecnicamente compatibili
con l’esercizio delle relative procedure informatiche, nei data base, nei sistemi di
elaborazione utilizzati per i trattamenti e nei sistemi e supporti per la realizzazione di
copie di sicurezza.
44
Tema: Le Comunicazioni Telefoniche
o con altri mezzi
1.2.2.1: Conoscere la riservatezza e il quadro normativo sulle comunicazioni indesiderate
L’art. 125 del Codice introduce, a garanzia della riservatezza degli utenti, alcune
modalità di gestione della funzione di identificazione della linea chiamante.
Nello specifico, se è disponibile la presentazione dell’identificazione della linea
chiamante, viene riconosciuto, gratuitamente e mediante una funzione semplice, il
diritto di:
- impedire la presentazione della linea chiamante;
- impedire la presentazione delle chiamate entranti;
- respingere le chiamate entranti se la presentazione della linea chiamante è stata
eliminata dall’utente o abbonato chiamante;
- impedire la presentazione dell’identificazione della linea collegata all’utente
chiamante.
Dal 2005 è stata cambiata la gestione degli elenchi telefonici, in particolare:
-Il diritto, riconosciuto agli abbonati, di decidere liberamente, in forma specifica e
documentata per iscritto, se e come comparire nell’elenco;
- la possibilità di inserire negli elenchi, sempre su libera scelta dell’abbonato, altri dati
riguardanti la professione, il titolo di studio, l’indirizzo email, ecc.
45