Privacy on-line nell’Unione Europea

Questo sito utilizza cookie, anche di terze parti. Se vuoi saperne di più leggi la nostra Cookie Policy. Scorrendo questa pagina o cliccando qualunque suo elemento acconsenti all’uso dei cookie.I testi seguenti sono di proprietà dei rispettivi autori che ringraziamo per l'opportunità che ci danno di far conoscere gratuitamente a studenti , docenti e agli utenti del web i loro testi per sole finalità illustrative didattiche e scientifiche.

Le informazioni di medicina e salute contenute nel sito sono di natura generale ed a scopo puramente divulgativo e per questo motivo non possono sostituire in alcun caso il consiglio di un medico (ovvero un soggetto abilitato legalmente alla professione).

Privacy on-line nell’Unione Europea

La privacy on-line nell’Unione Europea

La diffusione di Internet nelle società della Comunità Europea ha determinato, oltre ai numerosi aspetti positivi, una crescente preoccupazione per la protezione della privacy, potendosi verificare fenomeni di intrusione nella sfera privata dell’individuo ulteriori rispetto a quelli che si verificano off-line. Se è vero che la presenza on-line dei cittadini facilita la moltiplicazione dei contatti sociali, l’uso della Rete non è per questo incompatibile con aspettative di riservatezza, o anche di solitudine. L’individuo deve essere posto in condizioni di scegliere quando avere relazioni, con chi desidera, e nei limiti di quanto ritiene opportuno.

La protezione della privacy on-line:

protezione reale e anche fisica, se si considera che il computer è una parte del proprio domicilio e uno strumento attraverso il quale si comunica, ci si informa, si acquista, ci si esprime, e ci si comporta in modi anche diversi da quelli usuali. La tutela, per esempio, della riservatezza delle proprie comunicazioni con altre persone, della volontà di salvare l’esclusività delle proprie relazioni, non deve essere minore in Internet rispetto a quanto avviene nel mondo che, convenzionalmente, si definisce, in contrapposizione non corretta, “reale”.

L'anonimato:

Anche on-line l’anonimato, spesso ridotto, o comunque trasformato, in “pseudonimato” , deve essere protetto, evitando ad esempio fenomeni di costruzione di profili personali ottenuti attraverso la raccolta delle abitudini di navigazione.

UE & USA:

L’Unione Europea si sta dando carico, gradualmente, della considerazione di queste esigenze e della risoluzione dei problemi correlati. Sotto un profilo comparatistico, a differenza degli Stati Uniti, che fanno affidamento su un approccio settoriale fondato su un mix di:

legislazione (a dire il vero sempre più presente, si pensi al recente CAN SPAM Act del 2003 ),

regolamentazione amministrativa (a cura principalmente della Federal Trade Commission e della Federal Communications Commission) e autoregolamentazione, l’Unione Europea fa affidamento su un più profondo e comprensivo quadro legislativo . In qualità di sistema di civil law, dove il ruolo e il valore del precedente giurisprudenziale è meno rilevante rispetto ai sistemi di common law, l’Unione Europea ha bisogno di fissare regole precise in ambito legislativo.

La protezione della privacy on-line non è oggetto specifico di alcuna direttiva o regolamento comunitario. D’altra parte, sia la direttiva quadro in materia di protezione dei dati personali, vale a dire la direttiva 95/46/CE , che la direttiva in materia di comunicazioni elettroniche, vale a dire la direttiva 2002/58/CE , si applicano, più o meno esplicitamente, alla privacy nei servizi della società dell’informazione, o, più precisamente, alla protezione dei dati personali in Internet , stabilendo regole comunitarie di riferimento generale .

La direttiva 95/46/CE fornisce un quadro generale per la protezione dei dati personali, rappresentando la normativa orizzontale e trasversale applicabile quando non vi siano regole più specifiche per i singoli settori. Per esempio, essa si applica ai servizi di comunicazione privata, in quanto le direttive in materia di comunicazioni elettroniche si applicano esclusivamente ai servizi di comunicazione pubblica.

La direttiva 2002/58/CE adatta invece il contenuto della previgente direttiva 97/66/CE , che abroga e sostituisce, agli sviluppi tecnologici e del mercato che negli ultimi anni hanno modificato il settore dei servizi di comunicazione elettronica. Tale direttiva si pone l’obiettivo di fornire un livello soddisfacente di protezione dei dati personali e della privacy per gli utilizzatori . Essa, inoltre, specifica e integra, per il medesimo settore, le disposizioni della direttiva 95/46/CE .

Mentre non vi sono Regolamenti che intervengono nel settore, vi sono invece altre direttive che contengono disposizioni che possono incidere sulla privacy dei cittadini comunitari, quali la direttiva sui contratti a distanza , la direttiva sulle apparecchiature terminali di telecomunicazione , la direttiva sul commercio elettronico , la direttiva sul diritto d’autore , la direttiva sulle firme digitali , la direttiva sulle reti e sui servizi di comunicazione elettronica .

D’altra parte, nonostante le dichiarazioni generali di principio contenute nella Carta dei Diritti Fondamentali dell’Unione Europea (Nizza, 2000) e nelle stesse direttive comunitarie, la regolamentazione della privacy in Rete non è sempre soddisfacente, sia sotto l’aspetto strutturale che sotto quello contenutistico. Le conseguenze di questo fraintendimento possono del resto essere molto più gravi on-line che off-line. (!!)

2 aspetti:

la posizione degli individui, anche in virtù delle limitate conoscenze e risorse tecnologiche di cui essi possono disporre per difendersi dalle invasioni dei pubblici poteri o di imprese private, è particolarmente delicata, specie considerando che la percezione, o meglio la possibilità della percezione, delle violazioni della privacy in Rete è anche più bassa di quella off-line.
il continuo cambiamento dei riferimenti tecnologici ed economici rende in ogni caso più complesso l’approntamento di adeguati strumenti giuridici, per loro natura lenti nell’adattarsi a nuove realtà. A questo si aggiunge la difficoltà dell’approccio giuridico a considerare tutti quei profili propri di un approccio spirituale più ampio , particolarmente visibile nei confronti della privacy in rete.

Risks:

L’intercettazione di e-mail, la rivelazione del contenuto delle stesse sono violazioni della privacy on-line, come l’estrazione e la vendita di indirizzi di posta elettronica. Preoccupazioni fondate in merito alla privacy in Internet riguardano fenomeni di tracking, profiling, spamming, eavesdropping, e non solo la circolazione dei dati personali, resa più facile e veloce da Internet. La legge non deve regolare e irrigidire tutto quello che accade on-line, ma la legge non può astenersi dall’intervenire quando le regole che sono seguite non sono compatibili con la sensibilità della comunità, dovendo dare risposta a tali preoccupazioni.

QUID -la stessa critica-: La direttiva 2002/58/CE ha migliorato il quadro generale sotto certi aspetti, ma varie lacune e contraddizioni sono rimaste, e, paradossalmente, il livello di tutela può risultare anche indebolito per altri aspetti. In particolare, la disciplina generale e trasversale in materia di privacy è spesso costruita, con approccio restrittivo, in riferimento alla protezione dei dati personali, che è il vero obiettivo, dichiarato, delle direttive. La privacy, specialmente on-line, è invece un diritto che coinvolge interessi e valori ben più ampi della protezione dei soli dati personali .

CASO INTERESSANTE:

Se un soggetto entra in un Internet point, o in un Internet café, crea un indirizzo di posta elettronica attraverso un servizio di webmail, fornisce a tale servizio false informazioni sulla propria identità, paga in contanti per il tempo di connessione, evita di fornire informazioni di carattere personale mentre naviga, e segue altre precauzioni per preservare il proprio anonimato, non è coperto dalle direttive sulla privacy, che definiscono i dati personali in riferimento a “qualsiasi informazione concernente una persona fisica identificata o identificabile” . Infatti tale soggetto non può essere identificato, direttamente o indirettamente, come richiesto dalla direttiva per rispondere al requisito della identificabilità. Nondimeno, è possibile che egli riceva posta elettronica non sollecitata, o che sia seguito nella sua navigazione, che compaiano sul proprio schermo banners o pop-ups personalizzati, e che sia, in sostanza, oggetto di un’attività di profilazione.

La privacy di questo soggetto è stata invasa? O il fatto che si tratti di un utente anonimo della Rete ha comportato la perdita della protezione fornita dalla direttiva trasversale e dalle direttive settoriali? La privacy non è un diritto per tutti gli individui? Tale soggetto è stato destinatario di spamming, il suo comportamento in Rete è stato analizzato, forse le sue comunicazioni sono state intercettate. Non importa se tale soggetti non è identificabile: il suo diritto ad essere lasciato in pace è stato violato, la sua sfera intima è stata invasa.

Soluzione: flessibilità della legge:

Un’alternativa per assicurare la protezione della privacy attraverso le direttive citate potrebbe essere quella di interpretare in modo estensivo la definizione di dati personali, non solo sotto il profilo oggettivo, ma anche sotto quello soggettivo. Un cliente di un Internet point può essere seguito fisicamente, o ci possono essere impianti di videosorveglianza all’esterno o all’interno del locale. Tale cliente può essere, in astratto, identificato, e quindi si tratta di un soggetto identificabile. In questo caso, si proverebbe troppo, in quanto chiunque, in qualunque posto, in qualunque momento, sarebbe comunque identificabile, e la definizione perderebbe il proprio significato e il proprio scopo. La direttiva avrebbe a questo punto potuto fare riferimento a qualsiasi “informazione concernente una persona fisica” non importa se identificata o identificabile.

L'anonimato:

La protezione dell’anonimato , nei limiti concessi dall’ordinamento , non dovrebbe essere ristretta alla protezione del desiderio di restare anonimi , con particolare riferimento ai servizi di comunicazione elettronica . Dovrebbe invece comprendere il godimento di tutti i diritti compatibili con lo stato di anonimato , incluso, ad esempio, il diritto alla protezione dei dati personali, quali l’indirizzo di posta elettronica . Varie componenti della privacy sono compatibili con un tale stato, e non è un caso che la linea di demarcazione tra dati personali e dati anonimi non sia affatto chiara nelle regolamentazioni relative alla privacy .

QUID: L’oggetto ultimo della protezione è l’individuo, anche quando si fa riferimento ai suoi dati personali, la cui protezione è funzionale e subordinata. Quando ricevo spamming nel mio indirizzo di posta elettronica, pubblicato sul sito web della mia facoltà, ciò che mi irrita di più non è che il mio indirizzo sia finito in una lista di uno spammer. La raccolta di indirizzi di posta elettronica attraverso harvesting software o anche attraverso una ricognizione meno tecnologica di alcuni siti, può essere considerata illecita, in quanto contraria all’art.6, comma 1(a) (trattamento leale e lecito), all’art.6, comma 1(b) (finalità determinate, esplicite e legittime) e all’art.7(f) (bilanciamento tra interesse legittimo del responsabile del trattamento e interessi, diritti e libertà fondamentali della persona interessata) della direttiva 95/46/CE . Ma quello che mi irrita di più è ricevere posta non sollecitata e indesiderata, che considero non solo una seccatura, ma anche una violazione della mia privacy, del mio diritto ad essere lasciato in pace.

La protezione della privacy on-line ed off-line:

La regolamentazione della privacy off-line non è un compito agevole. La regolamentazione della privacy on-line è ancora più complessa, per il più frequente sovrapporsi di considerazioni attinenti alla giurisdizione e al continuo mutare dei riferimenti tecnologici. Il diritto comunitario oscilla tra l’applicazione di concetti e regole tradizionali, attraverso l’uso dell’analogia, e l’identificazione di una diversa gamma di regole e concetti. Il risultato, in riferimento alla privacy, non è sempre soddisfacente, facendo sembrare la privacy on-line una figlia di un dio minore, come se ci fosse un singolare “Internet divide” che diminuisca il valore del diritto.

à Un aspetto che contribuisce a rendere la protezione della privacy in Internet più debole è inoltre l’approccio, tanto del Consiglio d’Europa che della Comunità Europea, che considera i dati personali al centro dei meccanismi di tutela.

Anche in riferimento alla protezione della privacy in Rete si tende invece a limitare la protezione ai dati personali, oppure ad assimilare e confondere i due aspetti, non omogenei.

La percezione comune può essere quella secondo la quale le persone sono più caute on-line che off-line. In effetti, si tende invece, in Rete, ad accettare comportamenti invasivi che non sarebbero accettati off-line, come se la parziale perdita della privacy fosse un presupposto naturale, un prezzo da pagare per poter navigare, comunicare con altri, concludere contratti, informarsi. La sensibilità del privato è spesso orientata verso aspetti relativi alla sicurezza, in riferimento ad esempio a transazioni effettuate con carta di credito, mentre le questioni (o le altre questioni) attinenti alla privacy rimangono parzialmente nascoste o irrisolte.

Tracce:

Chi utilizza Internet molto spesso non si rende conto che i propri passi sono tracciati e registrati continuamente, o, comunque, non ne è particolarmente colpito.

Quid: La relazione tra regola ed eccezione è rovesciata quando si tratta di privacy in Internet. La protezione dovrebbe essere la regola, e le restrizioni dovrebbero costituire l’eccezione. Al contrario, le persone si aspettano, con ingiustificata e innaturale rassegnazione, che la loro privacy sia limitata. Il compito del legislatore comunitario è quello di bilanciare nuovamente i diversi interessi confliggenti.

à Assumendo che troppa privacy possa rendere Internet meno flessibile, veloce, ricco e attraente, e che le restrizioni alla privacy siano solo un piccolo, immancabile, prezzo da pagare, la privacy on-line, intesa come diritto, è stata trascurata.

per pensare:

Si è anche affermato che la protezione della privacy, considerato l’enorme flusso di dati ed informazioni che circolano sulla Rete, è favorita proprio da questi grandi numeri, in analogia a quanto avviene in una grande città, dove la curiosità delle persone è minore, o comunque di meno facile soddisfazione, rispetto ad un piccolo paese, dove il minor numero di contatti sociali non impedisce la conoscenza dei fatti privati delle persone. Dal punto di vista sociologico, questo può essere vero, ma non si tratta di una pura questione statistica. Si tratta della protezione di individui, dei loro diritti, e del livello di protezione minima che si vuole garantire. Le conseguenza di un libero flusso di dati personali, anche sensibili, e di una diffusa sorveglianza elettronica possono essere devastanti e sarebbe, ancora, fuorviante e paradossale affermare che la protezione della riservatezza deve fare affidamento sulla proliferazione della circolazione dei dati e delle informazioni personali.

QUID: Ciò che realmente importa dovrebbe essere la volontà individuale, senza attribuire ad essa significati e contenuti che non possono essere conosciuti che dall’individuo stesso. Ogni persona dovrebbe avere il diritto di limitare l’accesso alla propria sfera intima, alla propria torre d’avorio, e decidere chi fare entrare, e fino a dove, in quali stanze. Invece, il consenso in Internet è diventato un’eccezione. L’anomalia più grande è l’ingiustificata svalutazione del consenso individuale.

à Il più grande errore che può essere fatto è di considerare la perdita, o la restrizione, della propria privacy come un male necessario, come un prezzo da pagare per poter entrare nella Rete. Nessuno ha rinunciato, implicitamente, ad un diritto fondamentale, per il solo fatto di essere connesso a Internet.

Lo scopo della normativa comunitaria in materia di tutela della privacy on-line è duplice:

supportare lo sviluppo di Internet e favorire la più ampia partecipazione dei cittadini;
garantire la protezione ed il rispetto dei diritti e delle libertà fondamentali in Rete.

Mentre i principi generali del diritto comunitario affermano chiaramente la necessità di una tutela della privacy in Internet, le direttive spesso trascurano, e a volte dimenticano, componenti rilevanti, diverse dai dati personali.

à QUID: La direttiva 97/66/CE, sulla protezione della privacy nel settore delle telecomunicazioni (ora abrogata e sostituita dalla direttiva 2002/58/CE), mostrava chiaramente la separazione tra privacy on-line e privacy off-line, e il discutibile approccio spesso seguito. L’uso di sistemi di chiamata automatico senza intervento umano o di apparecchi fax per gli scopi di direct marketing era consentito solo nei confronti dei soggetti che avessero dato preventivo consenso , quindi secondo uno schema, più tutelante, di opt-in. Per quanto riguarda altri strumenti, quale la posta elettronica, la protezione era minore e indiretta, in quanto gli Stati membri erano tenuti ad adottare “misure appropriate” per assicurare che, senza costi, i contatti indesiderati fossero proibiti, lasciando ai singoli ordinamenti la scelta se determinare uno schema di opt-in o invece uno schema di opt-out . In sostanza, lo schema di opt-in, che garantisce una maggiore protezione della privacy, non fu imposto, in virtù di una discutibile distinzione, anche sullo spamming , che pur condivideva, con le altre modalità, analoghi livelli di invasività.

Solo con la direttiva 2002/58/CE la posta elettronica è stata equiparata a sistemi automatizzati di chiamata e apparecchi fax , richiedendo il consenso preventivo e adottando perciò un sistema opt-in comune.

Inoltre, per facilitare l’applicazione della normativa (almeno all’interno dell’Unione Europea), la direttiva sulle comunicazioni elettroniche proibisce l’uso delle false identità o di falsi indirizzi di risposta, mentre si spediscono messaggi di posta elettronica a fini di direct marketing .

CRITICA: La disciplina differenziata per la posta elettronica contenuta nella direttiva 97/66/EC, disciplina che è rimasta in vigore per cinque anni, era determinata da un insieme di mancanza di conoscenza, mancanza di coraggio e da un senso di rassegnazione. I motivi per i quali il sistema di opt-in era stato introdotto per sistemi automatizzati di chiamata e fax, erano validi anche per la posta elettronica .

ARGOMENTO: Spedire posta elettronica in quantità è anche più facile e più economico per il mittente, rispetto ad altre tecniche di comunicazione a distanza, e non è vero che riceverle sia meno seccante e fastidioso per il destinatario.

DEFENCE: E’ vero che il destinatario può usare rimedi di self-help, che peraltro non sempre funzionano correttamente, quali i filtri , o può semplicemente eliminare la “posta spazzatura” senza leggerla, sempre che sia chiaramente identificabile .

OBJECTION: Ma quando gli utenti ricevono enormi quantità di posta elettronica non sollecitata ogni giorno, individuarla ed eliminarla diventa un compito irritante e dispersivo, che comporta, almeno per quegli utenti che pagano il traffico telefonico, costi vivi aggiuntivi . Non si tratta peraltro solo di una perdita economica, diretta o indiretta, ma si tratta di un’invasione, spesso ingannevole, della propria sfera privata.

à La direttiva 2002/58/CE finalmente supera i dubbi relativi all’adozione di un sistema di opt-in . L’interesse del consumatore ad essere risparmiato da informazioni commerciali non sollecitate è più rilevante rispetto alla preoccupazione secondo la quale un sistema di opt-in potrebbe ostacolare lo sviluppo del commercio elettronico, discriminando le imprese dell’Unione Europea.

ARGUMENT: lo sviluppo del commercio elettronico potrebbe invece essere ostacolato in misura maggiore da una percezione negativa dei consumatori nei confronti di tutti gli operatori economici nella Rete, assimilati a spammers, e da un possibile “intoppo” della Rete, il che ulteriormente giustifica l’adozione di un sistema di opt-in .

Le regole comunitarie, oltre ad avere uno scopo pratico diretto, hanno anche uno scopo etico, affermando la rilevanza della privacy in tutte le espressioni della vita di un soggetto .

DISCUSSIONE: Per quanto concerne le possibili perdite economiche, la race to the bottom applicata alla protezione di diritti fondamentali non sarebbe scusabile, in quanto non terrebbe conto della gerarchia degli interessi e delle priorità. La libertà di parola, la libertà di espressione, la libertà di informazione possono essere interessi contrapposti, in determinate fattispecie e in determinate circostanze, alla tutela della privacy, ma il richiamare tali interessi in relazione allo spamming non ha senso, in quanto ci sono altre strade che il direct marketing può seguire.

COOKIES, SPYWARE, ECC:

In questo senso, la direttiva 2002/58/EC ha riempito una lacuna. Essa ha cercato di intervenire anche in riferimento ad altre violazioni della privacy, come i cookies (nel testo italiano denominati “marcatori”) e altri simili dispositivi. La direttiva riconosce il diritto di essere protetti contro comportamenti così intrusivi, il cui collegamento con lo spamming non è casuale. La direttiva 2002/58/CE afferma che le apparecchiature terminali degli utenti, e ogni informazione immagazzinata, sono parte della sfera privata dell’individuo, in accordo con quanto affermato dalla Convenzione del Consiglio d’Europa sui diritti umani. Questo significa che l’uso di spyware, web bugs, identificatori occulti e altri simili dispositivi, che raccolgono informazioni o tracciano attività dell’utente dovrebbero essere permessi solo per scopi legittimi e con la conoscenza degli utenti, in quanto possono invadere seriamente la privacy degli stessi.

CRITICA:

la conclusione della direttiva è parzialmente deludente, in quanto richiede la conoscenza, ma non il consenso, facendo affidamento più su meccanismi di self-help che su una protezione suscettibile di applicazione coattiva.

COOKIES: La direttiva distingue tra cookies utili e legittimi, che possono analizzare l’efficacia del sito web e della pubblicità, verificare l’identità degli utenti impegnati in transazioni on-line, facilitare la fornitura dei servizi della società dell’informazione, e altri cookies. La direttiva richiede anche in questo caso la conoscenza, ma non il consenso, e, a differenza di quanto previsto in relazione allo spamming, stabilisce un sistema di opt-out. L’utente deve essere fornito di informazioni chiare e precise, in conformità con la direttiva 95/46/CE, sui motivi per i quali sono utilizzati cookies e altri dispositivi e sulle caratteristiche di ciò che può essere collocato sul disco rigido dell’utente. Gli utenti dovrebbero avere la possibilità di rifiutare che un cookie o un dispositivo analogo sia installato nel proprio computer, e il sistema dovrebbe essere quanto più possibile chiaro e comprensibile .

La direttiva 2002/58/CE pare discostarsi dall’indirizzo fornito dalla direttiva 95/46/CE: informazioni chiare e precise, un sistema chiaro e comprensibile e l’opportunità di rifiutare i cookies o altri simili dispositivi non implicano necessariamente un consenso non ambiguo ed esplicito.

3 aspetti sui cookies:

1.- Il primo aspetto riguarda il consenso non ambiguo (o esplicito, in riferimento ai dati sensibili). Le caratteristiche dei browsers, che consentono di escludere i cookies, non rispondono ai requisiti prescritti dalla direttiva 95/46/CE. Il soggetto può escludere totalmente i cookies, il che può comportare sostanziali limitazioni ai siti visitabili; o può invece, al contrario, scegliere l’opzione attraverso la quale li accetta tutti indistintamente, il che comporta l’assoluta mancanza di controllo e di scelta tra cookies “buoni” e cookies “cattivi”.

2.- Il secondo aspetto riguarda la giurisdizione. Se il server è al di fuori dell’Unione Europea, si può sostenere che manca la giurisdizione per applicare le regole comunitarie. D’altra parte i cookies sono immagazzinati nell’apparecchiatura terminale dell’utente. Il computer dell’utente non è solo una parte della sfera privata dell’utente, come la direttiva 2002/58/CE ha ribadito, ma è anche un oggetto situato nel territorio dello Stato, il che significa che parte del trattamento (qualsiasi operazione eseguita su dati personali, inclusa la raccolta, ai sensi dell’art.2 della direttiva 95/46/CE) dei dati ha luogo nel territorio dell’Unione Europea, ed è pertanto soggetta al diritto comunitario.

3.- Il terzo aspetto riguarda la regolamentazione. Anche se una regolamentazione della privacy che tenga maggiormente conto delle specificità di Internet può essere ritenuta desiderabile, ci sono ipotesi in cui la disciplina trasversale può essere sufficiente . Si tratta di interpretare ed applicare una normativa che è meno specialistica sotto il profilo tecnologico, ma che è anche più orientata sui principi, il che, a volte, aiuta.

à In definitiva, se è opportuno che l’approccio di regolamentazione della Comunità Europea porti ad atti legislativi specifici in materia di privacy in Rete, non facendo affidamento su discipline generali riguardanti la protezione dei dati personali, o l’intimità delle comunicazioni, è auspicabile che la legislazione settoriale, più attenta ai profili tecnologici, non dimentichi, trascuri o sottovaluti la protezione di alcuna componente della privacy, e che non fornisca, conseguentemente una protezione più bassa per tali componenti on-line rispetto a quella di cui esse godono off-line.

Fonte: http://www.glocaltrento.com/int_affairs/ia_documents/05i_La_privacy_online.doc

Privacy on-line nell’Unione Europea