Privacy e comunicazioni elettroniche: sulle modifiche della direttiva 2002/58/CE il parere del garante europeo

Prosegue l'iter di revisione della direttiva 2002/58/CE, relativa alla tutela dei dati personali e della vita privata nelle comunicazioni elettroniche.
Rispetto al mio precedente post, segnalo che il garante europeo della protezione dei dati personali è intervenuto, nel frattempo, con un suo parere (2008/C 181/01).

L'opinione espressa è abbastanza articolata ed il giudizio che emerge è globalmente positivo, anche se non mancano punti, peraltro condivisibili, sui quali il garante chiede un maggior sforzo da parte del legislatore europeo.

In sintesi le questioni toccate riguardano il campo di applicazione della normativa, la notifica delle violazioni di sicurezza dei dati, la possibilità per le persone fisiche e giuridiche di promuovere azioni giudiziarie contro gli spammer e l'archiviazione di informazioni nel terminale dell'utente.

Campo di applicazione

Viene giudicata favorevolmente l'estensione del campo di applicazione alle reti di comunicazione pubbliche che supportano i dispositivi di raccolta ed identificazione dei dati (in pratica le applicazioni basate sull'identificazione a radiofrequenza o RFID).

Si richiede inoltre di includere in tale ambito anche i fornitori di servizi di comunicazione elettronica su reti miste (pubbliche/private) o private.

Questo allargamento, condiviso anche dal gruppo di lavoro dell'art. 29, sarebbe giustificabile in rapporto alla tendenza dei servizi di comunicazione a diventare sempre più un mix di risorse pubbliche e private e, quindi, alla crescente importanza che vanno assumendo queste reti e, con esse, al maggior numero di rischi per i dati personali degli utenti.

Notifica delle violazioni di sicurezza dei dati

Nel nuovo testo l'obbligo di notifica delle violazioni di sicurezza dei dati si applicherebbe ai soli fornitori di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche.

Tuttavia il garante europeo segnala l'opportunità di una attuazione su più vasta scala che ricomprenda anche i fornitori di servizi della società dell'informazione (banche, assicurazioni, servizi sanitari ed altre attività commerciali online).

Le ragioni sono da ricercare nell'ingente volume di dati trattati ormai anche da tali soggetti e nella loro natura spesso sensibile (dati inerenti la salute, carte di credito, ecc...).

A questo proposito condivido l'opinione sui riflessi indubbiamente positivi che questo comporterebbe, nel senso che:

• l'obbligo di notifica migliorerebbe l'affidabilità dei fornitori di servizi
  
• l'incremento di responsabilità costituirebbe una motivazione valida per aumentare gli investimenti in sicurezza e migliorare le misure applicate (spesso riconducibili alle sole misure tecnologiche)
  
• la notifica delle violazioni agirebbe come elemento di contrasto al fenomeno crescente dei furti di identità dal momento che i soggetti notificati potrebbero adottare le misure necessarie per impedire un utilizzo illecito dei propri dati (ad esempio una modifica, nel caso di credenziali di accesso, od un blocco, nel caso di carte di credito, e così via)

Tutela giudiziaria contro gli spammer

La modifica proposta prevede la possibilità per le persone fisiche e giuridiche, portatrici di un legittimo interesse, di intentare azioni giudiziarie nei confronti di coloro che violano le disposizioni relative all'invio di comunicazioni elettroniche indesiderate (in pratica i cd. spammer).

Ciò vale soprattutto per i fornitori dei servizi di comunicazione che hanno ovviamente tutto l'interesse commerciale di perseguire coloro che abusano delle loro reti ma anche per le associazioni di consumatori vittime del fenomeno.

Il garante, pur apprezzando la portata della nuova formulazione, la ritiene limitante in quanto non sarebbe, comunque, consentito proporre azioni con riferimento a violazioni di altre disposizioni della direttiva, cosa questa che, in effetti, mgliorerebbe sensibilmente l'efficacia e l'applicazione della stessa.

Archiviazione ed accesso alle informazioni sul terminale dell'utente

Viene espresso un particolare apprezzamento per la modifica dell'art. 5, paragrafo 3, della direttiva 2002/58/CE riguardante l'ipotesi di archiviazione ed accesso alle informazioni sul terminale dell'utente mediante tecnologie come cookies, spyware ed altri dispositivi simili.

L'eliminazione dal testo della norma del riferimento alle "reti di comunicazione elettronica", equivarrebbe a rendere operanti le particolari cautele, connesse all'esigenza di informare gli utenti ed al loro diritto di rifiutare il trattamento dei propri dati, anche nei casi di accesso ed archiviazione mediante supporti esterni (cd, dvd, chiavi usb, ecc..) e non soltanto tramite reti di comunicazione.

Il bluetooth marketing è spam ?

Il marketing si arricchisce continuamente di nuove opportunità e, tra queste, si fa un gran parlare di marketing di prossimità.

Il marketing di prossimità è una tecnica che fa uso di strumenti e metodi attraverso i quali risulta possibile instaurare forme di comunicazione, generalmente di natura promozionale o informativa, con gli individui presenti all'interno di un area circoscritta (cinema, caffè, aree commerciali, fiere, aeroporti, ecc...).

Ci troviamo quindi di fronte ad un espressione particolare di marketing territoriale, dove l'aggettivo territoriale deve essere inteso nel senso che la comunicazione avviene sul territorio senza un target predefinito.

Una particolare estensione del marketing di prossimità è rappresentata dal bluetooth marketing o advertising che consiste, appunto, nell'impiego di una rete di comunicazione wireless, basata sul protocollo bluetooth, attraverso la quale i messaggi sono indirizzati ai terminali mobili degli utenti (pda, smartphone, computer portatili, ecc...) che si trovano in un area specifica.

Tale forma di comunicazione elettronica pone, però, dei dubbi circa la sua natura di comunicazione indesiderata (cd. spamming) e sotto il profilo della relativa privacy degli utenti destinatari.

Navigando in rete mi sono imbattuto in un post nel quale vengono illustrate le ragioni per le quali si ritiene che il bluetooth marketing non sia spam, motivi che di seguito riepilogo brevemente, invitando comunque ad una attenta lettura del post:

• identificazione del mittente: i messaggi inviati conterrebbero sempre l'indicazione del mittente
• richiesta di accettazione: per ogni messaggio inviato il destinatario riceverebbe sul suo terminale una richiesta di conferma, assumendo in tal modo un ruolo attivo nella scelta delle comunicazioni
• attinenza dei messaggi: i messaggi inviati avrebbero una stretta attinenza con il contesto geografico nel quale sono confinati

In realtà la questione non appare di così facile risoluzione e le motivazioni addotte, seppure in parte condivisibili, non prendono in considerazione l'aspetto giuridico del fenomeno, sul quale ritengo pertanto opportuno soffermarmi.

La normativa di riferimento è, ancora una volta, rappresentata dal codice della privacy (d.lgs. 196/03) ed, in particolare, dall'art. 130, intitolato proprio alle "Comunicazioni indesiderate".

Come è noto i primi due commi della norma citata subordinano al preventivo consenso dell'interessato la possibilità di utilizzare i sistemi automatici di chiamata, la posta elettronica, il fax, i messaggi sms, mms o di altro tipo per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

Il primo dubbio è se un sistema di comunicazione via bluetooth possa rientare nell'ambito di questa definizione, quanto meno sotto il profilo di una ipotetica assimilazione ai messaggi di "altro tipo" cui la disposizione fa riferimento.

Anche se così non fosse, però, il successivo comma 3 stabilisce che le comunicazioni effettuate per le stesse finalità, ma con mezzi diversi da quelli indicati, sono comunque consentite se c'è il consenso del destinatario oppure se ricorre una ipotesi di trattamento dei dati personali senza consenso.

La natura aperta dell'espressione "mezzi diversi da quelli indicati" sembrerebbe legittimare l'inclusione anche dei sistemi bluetooth, ma, a questo punto, si prospettano due quesiti di non facile soluzione.

Il primo é: una comunicazione via bluetooth implica una qualche forma di trattamento di dati personali ?

Senza entrare nei dettagli tecnici, ciò potrebbe accadere se, tra i vari dati scambiati durante la connessione tra periferiche, ve ne sia qualcuno che possa qualificarsi come "dato personale", secondo la definizione che ne fornisce l'art. 4 del codice della privacy.

A questo riguardo mi viene da pensare, innanzitutto, al nome identificativo del device, utilizzato anche nella pratica cd. del toothing, ma anche ad uno degli altri dati gestiti dal Link Manager Protocol.

Ed inoltre, potrebbe configurarsi come consenso dell'utente l'eventuale risposta positiva alla richiesta di accettazione del messaggio ?

Probabilmente sì, anche se ciò non risolve il problema della potenziale invasività della tecnica (quanti messaggi si potrebbero ricevere in un area commerciale di una certa grandezza ?)

Nel caso in cui, invece, il sistema non sia configurato in modo da richiedere esplicitamente un permesso per ogni messaggio inviato, difficilmente si potrebbe parlare di consenso.

Sull'intera problematica non si è, comunque, ancora pronunciato il nostro garante della privacy mentre, in ambito comunitario, il gruppo di lavoro dei garanti europei sembra orientato verso una maggiore protezione dei cittadini.

In un parere è stata infatti evidenziata l'opportunità di ampliare la definizione di sistemi di chiamata, contenuta nell'art. 13 della direttiva 2002/58/CE, in modo tale da ricomprendervi anche quei sistemi legati allo sviluppo tecnologico, tra i quali quelli basati sulla tecnologia bluetooth, il cui funzionamento è difficilmente equiparabile ad una chiamata sul terminale dell'utente, almeno nell'attuale impianto normativo.

Pertanto la questione è abbastanza aperta e nuovi sviluppi potrebbero essere imminenti su vari fronti.

Photo courtesy by re-ality

Teleselling: nuovo stop per le telefonate indesiderate

Il fenomeno del teleselling o marketing telefonico sta assumendo una importanza sempre maggiore con riferimento alla normativa sulla tutela dei dati personali contenuta nel codice della privacy (D.Lgs. 196/03).

Il garante è intervenuto nuovamente per vietare ad alcune società specializzate nella creazione e nella vendita di banche dati l'ulteriore trattamento di dati personali - numeri telefonici - di milioni di utenti, raccolti ed utilizzati illecitamente, senza aver informato gli interessati ed in assenza di uno specifico consenso da parte loro alla cessione degli stessi dati ad altre società.

Lo stesso divieto è scattato ovviamente anche per le società che hanno acquistato le banche dati per il compimento delle attività promozionali tramite call center.

In effetti, contrariamente a quanto prescritto dalla normativa e ribadito in altre occasioni dalla stessa autorità (Provvedimento generale 29 maggio 2003, Spamming. Regole per un corretto invio delle email pubblicitarie), gli acquirenti delle banche dati non si erano premurati di accertare che gli interessari avessero acconsentito alla comunicazione dei propri dati nonchè al loro utilizzo a fini commerciali.

Corso online (gratuito) su direct marketing e privacy