CAPITOLO 1: INTRODUZIONE

Il presente documento intende offrire un approccio comunitario integrato alla protezione dei dati on-line. Il termine "integrato" sottolinea il fatto che questa analisi parte principalmente dai testi sia della direttiva generale sulla protezione dei dati (direttiva 95/46/CE) sia della direttiva sulla tutela della vita privata e le telecomunicazioni (direttiva 97/66/CE), ma tiene in considerazione e riunisce altresì tutti i pareri e documenti sinora adottati dal Gruppo di lavoro su taluni temi critici correlati all'argomento in questione ¹.

In varie occasioni in passato, il Gruppo di lavoro, nel discutere le priorità riguardanti l'attività futura, ha confermato la necessità di affrontare le tematiche relative alla protezione dei dati correlata all'uso di Internet. Per trattare tali temi in modo sistematico ed efficace, è stata istituita nel 1999 la cosiddetta Internet Task Force (ITF), la cui finalità principale è riunire le risorse e competenze delle varie autorità per la protezione dei dati al fine di contribuire all'interpretazione e l'applicazione uniformi del quadro giuridico esistente in questo settore. L'ITF ha elaborato vari documenti, che sono stati adottati dal Gruppo di lavoro nel corso degli ultimi due anni. Dall'inizio del 2000, l'ITF ha intensificato i propri incontri allo scopo di elaborare un documento di sintesi che possa servire da riferimento per affrontare le tematiche attuali e, per quanto possibile, future relative alla tutela della vita privata su Internet.

L'obiettivo principale di questo documento è offrire un primo approccio al problema della tutela della vita privata on-line, che possa servire a sensibilizzare il pubblico sui rischi per la vita privata correlati all'uso di Internet e che possa, al contempo, agevolare l'interpretazione delle due direttive in questo settore. Il Gruppo di lavoro è conscio del fatto che la tutela della vita privata rappresenta una delle maggiori preoccupazioni degli utenti del web ². Per il Gruppo di lavoro è pertanto particolarmente importante affrontare questo tema ed esso è consapevole del fatto che alcune questioni controverse, che sollevano un particolare dibattito, potrebbero richiedere interventi futuri.

- Questo documento non si propone di essere completo in sé, ma intende illustrare le situazioni più tipiche in cui gli utenti Internet possono imbattersi utilizzando i servizi disponibili in rete (come posta elettronica, navigazione, ricerca, gruppi di discussione, ecc.). In considerazione del suo carattere generale, esso non si occupa di temi specifici che potrebbero richiedere un ulteriore approfondimento da parte del Gruppo di lavoro in futuro, tra cui il controllo della posta elettronica dei dipendenti sul posto di lavoro. Il presente documento di lavoro di basa sull'attuale stato dell'arte di Internet che, per sua natura, è un fenomeno molto dinamico ed in continua evoluzione.

Per agevolare la lettura, il documento di lavoro riporta all'inizio una descrizione tecnica di base nonché le questioni giuridiche di carattere generale. In seguito, vengono descritti separatamente tutti i vari servizi Internet affrontando, in ogni capitolo, sia i temi tecnici che giuridici in gioco. Un capitolo specifico è dedicato alle misure e tecnologie intese al miglioramento della tutela della vita privata che possono essere utilizzate per accrescere la tutela della vita privata degli utenti Internet. L'ultimo capitolo contiene le conclusioni.

Al documento è stato accluso un glossario di termini tecnici per consentire ai lettori di comprendere i concetti tecnici utilizzati nel testo del documento. Tutte le parole in corsivo sono riportate nel glossario.

L'ITF ha scelto deliberatamente di mantenere, nel testo del documento, un certo grado di sovrapposizione al fine di consentire una lettura selettiva da parte dei lettori particolarmente interessati ad un determinato argomento. A tale scopo, sono state mantenute nel testo alcune descrizioni supplementari, talvolta ripetitive, per facilitare la consultazione dei vari capitoli.

L'attività dell'Internet Task Force è stata coordinata da Peter HUSTINX, presidente dell'autorità olandese per la protezione dei dati. La versione consolidata del documento di lavoro è stata predisposta da un gruppo redazionale nominato in seno all'ITF e composto da Diana ALONSO BLAS (Autorità olandese per la protezione dei dati) e Anne-Christine LACOSTE (Autorità belga per la protezione dei dati). Il lavoro svolto dal gruppo redazionale ha riguardato, in particolare, la strutturazione e la verifica della coerenza dell'intero documento, l'integrazione e l'ulteriore sviluppo di altri temi giuridici ed informazioni tecniche, nonché i commenti pervenuti da altre delegazioni, l'elaborazione del glossario tecnico e le conclusioni.

I delegati delle autorità per la protezione dei dati di sei paesi hanno partecipato alle varie fasi dell'attività dell'Internet Task Force, preparando i documenti che sono serviti da base per una serie di capitoli, commentando i contributi di altri membri dell'ITF e contribuendo alle discussioni nel corso dei cinque incontri dell'ITF del 2000.

In particolare, le seguenti persone meritano di essere citate: Anne-Christine Lacoste e Jean-Marc Dinant (Belgio), Ib Alfred Larsen (Danimarca), Marie Georges (Francia), Angelika Jennen e Sven Moers (Germania), Emilio Aced Félez (Spagna) e Diana Alonso Blas, Ronald Hes e Bernard Hulsman (Paesi Bassi). L'ITF desidera ringraziare, per l'aiuto e l'assistenza, Christine Sottong-Micas (segreteria del Gruppo di lavoro istituito dall'articolo 29, Commissione europea) e Karola Wolprecht (sessione di formazione 1999/2000 presso la Commissione europea).

CAPITOLO 2: DESCRIZIONE TECNICA DI INTERNET

I. Elementi fondamentali

Internet è una rete di computer che comunicano tra loro in base al Transport Control Protocol/Internet Protocol (TCP/IP)³. Si tratta di una rete internazionale di computer interconnessi, che consente a milioni di persone di comunicare tra loro nel "cyberspazio" ed accedere ad enormi quantità di informazioni da ogni parte del mondo ⁴. Dal punto di vista storico, il predecessore di Internet è la rete militare ARPAnet (1969). L'idea di base era realizzare una rete digitale transamericana, che consentisse ai computer dei fornitori dell'esercito e delle università che conducevano attività di ricerca correlate alla difesa di comunicare tra loro attraverso canali ridondanti, anche nel caso in cui alcune porzioni della rete venissero danneggiate durante la guerra ⁵.

I primi programmi di posta elettronica hanno fatto il loro esordio nel 1972. Nel 1985, la American National Science Foundation ha realizzato la rete NSFNET per collegare sei centrali di supercomputer statunitensi. Alla fine degli anni '80, questa rete è stata trasferita ad un gruppo di università denominato MERIT. La rete si aprì sempre di più alle istituzioni non universitarie e alle organizzazioni non statunitensi. Nel 1990, Tim Berners Lee, che lavorava presso il CERN di Ginevra, ha progettato il primo browser e applicato il concetto di collegamento ipertestuale, cui da allora continua ad aggiungersi una serie di nuovi servizi e funzionalità.

E' tuttavia necessario tenere presente che il TCP/IP resta tuttora il protocollo principale utilizzato per la trasmissione dei dati attraverso Internet e che tutti i servizi si basano su di esso. Questo protocollo è stato progettato in modo che fosse molto semplice da impostare ed è indipendente da qualsiasi particolare computer o sistema operativo.

In Internet, ogni computer è identificato da un unico indirizzo IP numerico nella forma di A.B.C.D. dove A, B, C e D sono numeri da 0 a 255 (ad esempio, 194.178.86.66).

Una rete TCP/IP si basa sulla trasmissione di piccoli pacchetti di informazioni. Ogni pacchetto comprende l'indirizzo IP del mittente e del destinatario. Questa rete è priva di connessioni. Ciò significa che a differenza, ad esempio, della rete telefonica, non è necessaria alcuna connessione preliminare tra due dispositivi perché le comunicazioni possano iniziare. Significa inoltre che sono possibili, contemporaneamente, molte comunicazioni con molti interlocutori diversi.

Il Sistema dei nomi di dominio (Domain Name System - DNS) è un meccanismo che consente di assegnare dei nomi ai computer identificati dall'indirizzo IP. Questi nomi assumono la forma di <nome>.primo livello dove il <nome> è una stringa costituita da una o più stringhe secondarie separate da un punto. Il dominio di primo livello può essere un dominio generico come "com" per i siti web commerciali o "org" per le organizzazioni senza scopo di lucro, oppure un dominio geografico come "be" per il Belgio.

Il DNS è a pagamento e le società o i singoli che desiderano un nome di dominio devono identificarsi. Alcuni strumenti pubblici in rete consentono di risalire al collegamento tra il nome di dominio e la società, nonché tra l'indirizzo IP e il nome di dominio. Un nome di dominio non è indispensabile per collegare un computer a Internet. I nomi di dominio sono dinamici. Un unico computer Internet può avere uno o più nomi di dominio (o non averne affatto), ma un nome di dominio specifico corrisponde sempre ad un particolare indirizzo IP.

CAPITOLO 3: APPLICAZIONE DELLA LEGISLAZIONE SULLA PROTEZIONE DEI DATI

I. Considerazioni giuridiche di carattere generale

Il punto di partenza per l'analisi giuridica di tutti i vari fenomeni, che verrà svolta nei capitoli che seguono, è rappresentato dal fatto che entrambe le direttive sulla protezione dei dati (direttive 95/46/CE e 97/66/CE) si applicano, in linea di principio, ai dati personali trattati su Internet ³¹.

Tutte le considerazioni di carattere giuridico oggetto del presente documento si basano sull'interpretazione di queste direttive, nonché sui documenti adottati dal Gruppo di lavoro e, in alcuni casi (se indicato in questo senso) sulla giurisprudenza della Corte europea dei diritti umani.

I dati personali su Internet

Come già menzionato in questo documento, i fornitori di accesso Internet e i gestori delle reti LAN possono, utilizzando mezzi ragionevoli, identificare gli utenti Internet cui essi hanno attribuito indirizzi IP poiché, normalmente, essi "registrano" in un apposito file la data, l'ora, la durata e l'indirizzo IP dinamico assegnato all'utente Internet. Lo stesso dicasi per i fornitori di servizi Internet, i quali detengono un registro sul server HTTP. In questi casi, non vi è dubbio sul fatto che si possa parlare di dati personali ai sensi dell'articolo 2(a) della direttiva ³².

In altri casi, è possibile che un terzo venga a conoscenza dell'indirizzo IP dinamico di un utente, ma senza essere in grado di collegarlo ad altri dati relativi a tale persona, che ne renderebbero possibile l'identificazione. E' ovviamente più facile identificare gli utenti Internet che utilizzano indirizzi IP di tipo statico.

Tuttavia, esiste in molti casi la possibilità di collegare l'indirizzo IP dell'utente ad altri dati personali (disponibili al pubblico o meno) che lo identifichino, segnatamente se si utilizzano strumenti di trattamento invisibili per raccogliere dati supplementari relativi all'utente (ad esempio, utilizzando cookie contenenti un identificativo esclusivo) o sistemi di datamining (estrazione di dati) moderni collegati a grandi basi di dati contenenti dati personalmente identificabili relativi agli utenti Internet.

Pertanto, sebbene potrebbe non essere possibile identificare un utente, in qualsiasi caso e da parte di tutti gli attori Internet, dai dati trattati su Internet, questo documento presuppone che esista la possibilità di identificare l'utente Internet in molti casi e che su Internet vengano pertanto trattate grandi masse di dati personali cui si applica la direttiva sulla protezione dei dati.

Applicazione delle direttive

Secondo quanto già dichiarato dal Gruppo di lavoro in passato, la direttiva generale sulla protezione dei dati 95/46/CE si applica a qualsiasi trattamento di dati personali che rientra nel relativo ambito di applicazione, indipendentemente dai mezzi tecnici utilizzati.

Pertanto, il trattamento dei dati personali su Internet deve essere considerato alla luce di questa direttiva 33 . La direttiva generale si applica quindi in tutti i casi e a tutti i vari attori di cui si è parlato nella prima parte del presente capitolo (descrizione tecnica).

La direttiva specifica 97/66/CE sulla tutela della vita privata e dei dati personali nel settore delle telecomunicazioni approfondisce ed integra la direttiva generale 95/46/CE stabilendo disposizioni specifiche sul piano giuridico e tecnico. La direttiva 97/66/CE si applica al trattamento dei dati personali in relazione alla fornitura di servizi di telecomunicazione accessibili al pubblico nelle reti di telecomunicazione pubbliche all'interno della Comunità. I servizi Internet sono servizi di telecomunicazione. Internet, pertanto, rientra nel settore delle telecomunicazioni pubbliche.

La direttiva 95/46/CE si applica a tutte le tematiche non espressamente coperte dalla direttiva 97/66/CE, come gli obblighi a carico del responsabile del trattamento e i diritti dei singoli oppure i servizi di telecomunicazione non accessibili al pubblico ³⁴. I dati personali forniti volontariamente dall'utente Internet durante la connessione alla rete rientrano sempre nell'ambito di applicazione della direttiva in questione.

Nella tabella che segue, si è tentato di definire i casi in cui si applicano rispettivamente la direttiva specifica 97/66/CE e la direttiva 95/46/CE, illustrando i principi più pertinenti. Tuttavia, si dovrebbe tenere conto del fatto che, quando gli attori svolgono vari ruoli contemporaneamente, saranno inevitabili alcune sovrapposizioni.

CAPITOLO 4: POSTA ELETTRONICA

I. Introduzione

Non è facile descrivere in poche parole gli elementi tecnici fondamentali della posta elettronica. Ciò dipende, principalmente, dai seguenti fattori:

• esistono alcuni protocolli ufficiali ma, come nel caso del protocollo HTTP, il livello dirischio per la vita privata dipenderà dal modo in cui tali protocolli vengono effettivamente implementati. Vi sono migliaia di diversi programmi client o server diposta elettronica e sembra molto difficile tirare conclusioni complessive, poiché non esistono dati affidabili sull'uso di tali programmi;

• i trattamenti invisibili effettuati da tali programmi non sono facili da rilevare, come indicato dal termine "invisibile", e tali programmi stanno diventando talmente ampi e complicati che è quasi impossibile riuscire ad elencarne tutte le funzionalità, anche le più nascoste.

La descrizione che segue non può pertanto essere considerata completa e non sarà sempre rappresentativa di ciò che succede ogni giorno su centinaia di milioni di personal computer connessi a Internet in tutto il mondo.

II. Attori

Nella gestione di una comunicazione di posta elettronica sono coinvolti vari attori, ognuno dei quali deve tenere conto delle questioni relative alla protezione dei dati in ogni fase di tale processo. Gli attori sono ⁴⁷:

• il mittente di un messaggio

• il destinatario di un messaggio (titolare di un indirizzo di posta elettronica)

• il fornitore di servizi di posta elettronica (il server di posta che memorizza il messaggio inviato all'utente finché l'utente non desidera scaricarlo)

• il fornitore di software del programma client di posta elettronica per il mittente

• il fornitore di software del programma client di posta elettronica per il destinatario

• il fornitore di software del programma server di posta

III. Descrizione tecnica

Fondamentalmente, un utente che desidera utilizzare la posta elettronica necessita di quanto segue:

• un "client di posta elettronica", che è un programma installato sul PC dell'utente

• un indirizzo di posta elettronica (un account di posta elettronica)

• una connessione a Internet

Il processo di invio di un messaggio di posta elettronica

E' disponibile una vasta gamma di "client di posta elettronica", ma tutti devono rispettare gli standard Internet. L'invio di un messaggio di posta elettronica consiste fondamentalmente delle seguenti fasi:

• l'utente crea un messaggio nel proprio "client di posta elettronica" e compila il campo dell'indirizzo del destinatario inserendo il relativo indirizzo di posta elettronica;

• premendo il pulsante di invio del client di posta elettronica, il messaggio di posta elettronica verrà trasferito al server di posta del corrispondente (di solito un'organizzazione o alla casella di posta presso l'account di posta elettronica dell'utente da parte del fornitore di servizi Internet;

• se il messaggio di posta elettronica viene consegnato al server di posta dell'organizzazione, il server di posta in questione trasmetterà il messaggio di posta elettronica direttamente al destinatario o ad un relay server di posta ("trasmissione esterna");

• il messaggio di posta elettronica può passare attraverso vari relay server di posta fino a raggiungere il server di posta del destinatario;

• il destinatario è connesso direttamente al server di posta (ad esempio all'interno di una LAN) o deve stabilire una connessione per scaricare la propria posta.

Indirizzi di posta elettronica

CAPITOLO 5: NAVIGAZIONE E RICERCA

I. Introduzione

L'attività più comune degli utenti Internet è forse visitare i siti web per raccogliere informazioni. Ciò comporta la visualizzazione passiva del contenuto di una pagina web. E' anche possibile interagire con le pagine web in modo più attivo. Spesso, l'utente Internet deve cliccare un collegamento ipertestuale, premere su un messaggio pubblicitario sullo schermo (banner) o compilare moduli. Tutte queste attività prenderanno complessivamente il nome di 'websurfing' (navigazione nel web). In pratica, la navigazione avviene mediante un apposito web browser che connette l'utente Internet ad un web server presente da qualche parte su Internet.

Dal punto di vista della protezione dei dati, le principali domande sono tre:

• Durante la navigazione, quali informazioni relative alle attività dell'utente Internet vengono generate?

• Dove vengono memorizzate tali informazioni?

• Quali informazioni sono necessarie per i servizi forniti dai siti web?

L'ultima domanda riguarda i dati personali che un utente Internet rivela volontariamente, nonché le condizioni corrispondenti, ma essa non sarà trattata in questa sede poiché questo capitolo si incentra sui dati personali attinenti al processo (tecnico) di navigazione. Le fasi successive del processo di navigazione sono solo accennate e viene fornita un'indicazione dei dati personali generati.

II. Descrizione tecnica e attori interessati

Il processo di navigazione

• Fornitori di telecomunicazioni. Per contattare un sito web, un utente Internet accede generalmente ad Internet mediante una connessione telefonica ad un fornitore di servizi Internet. Il fornitore di telecomunicazioni registra la chiamata al fornitore di servizi Internet.

• Fornitore di accesso Internet. Il punto di ingresso al fornitore di servizi Internet è il server di accesso alla rete. Generalmente, questo server registra l'identificazione della linea chiamante della connessione. La maggior parte dei fornitori di servizi Internet registra il nome di login, l'ora di login e logout, e la quantità di dati trasferiti durante una sessione. Occorre notare che, in alcuni casi, il fornitore di telecomunicazione corrisponde al fornitore di accesso Internet.

• Allocazione dell'indirizzo IP. Dopo avere stabilito il contatto con il fornitore di accesso Internet, quest'ultimo assegna un indirizzo IP dinamico per la durata della sessione dell'utente Internet ⁷⁴. In seguito, tutte le comunicazioni effettuate durante una sessione avvengono verso e da questo indirizzo IP. Il numero IP accompagna tutti i pacchetti trasmessi in tutte le fasi successive della comunicazione. Occorre notare che il numero IP assegnato è sempre compreso in una determinata gamma di numeri assegnati al rispettivo fornitore di accesso Internet. Pertanto, il fornitore di accesso da cui provengono i pacchetti IP può essere reperito con facilità da terzi ^{75 76}.

In seguito, il traffico Internet viene memorizzato dal fornitore di servizi Internet mediante il cosiddetto numero di porta, che specifica il servizio e il protocollo corrispondente. Presso il fornitore di servizi Internet, questo traffico viene riconosciuto da un numero di porta corrispondente. Inoltre, esso può essere trasferito direttamente a un router che connette l'utente Internet con i siti web esterni desiderati.

La richiesta viene trasferita spesso a un proxy server dedicato. Questo server registra la richiesta relativa ad un determinato sito web. Il proxy server contiene una copia del contenuto della maggior parte dei siti web visitati più spesso. Se il sito web richiesto dall'utente Internet si trova nel proxy server, quest'ultimo dovrà solo richiedere al sito web in questione un aggiornamento delle eventuali modifiche avvenute da quando la copia è stata memorizzata nel proxy. Tale misura riduce notevolmente la quantità di dati da scambiare tra il fornitore di servizi Internet e il sito web, poiché consente di comunicare solo le modifiche invece delle intere pagine. Il proxy server può memorizzare un elenco particolareggiato delle visite ai siti web connessi ad un indirizzo IP, in un determinato momento. Queste possono essere collegate ad un singolo utente mediante l'indirizzo IP e la registrazione dei tempi della sessione.

• Router. Nel percorso tra il fornitore di servizi Internet e il sito web visitato, il traffico attraversa generalmente vari router che convogliano i dati tra l'indirizzo IP dell'utente Internet e l'indirizzo IP del sito web. Per quanto riguarda la memorizzazione di dati personali, tali router sono considerati elementi neutrali, sebbene funzioni dedicate potrebbero consentire l'intercettazione del traffico Internet in corrispondenza di tali punti.

• Siti web normali. Dopo avere stabilito la connessione con il sito web, quest'ultimo raccoglie le informazioni sull'utente Internet che lo sta visitando. Tutte le richieste sono accompagnate dall'indirizzo IP di destinazione. Il sito web sa inoltre da quale pagina è stato trasferito l'utente Internet (è noto infatti il riferimento della pagina precedente, o URL). Queste informazioni relative alle visite dei siti web vengono generalmente memorizzate nel ‘Common Log File'. Tutte le informazioni sopra descritte possono essere utilizzate per creare, mediante un apposito log analyser, informazioni cumulative sul traffico verso e da un sito web, nonché sulle attività dei visitatori.

Durante la connessione con un sito web, alcune informazioni supplementari vengono raccolte nella comunicazione tra il browser software più comune utilizzato dagli utenti Internet e i siti web visitati. Si tratta dei cosiddetti 'chattering data', che comprendono generalmente le seguenti informazioni ⁷⁷:

- Sistema operativo

- Tipo e versione del browser

- Protocolli usati per la navigazione

- Pagine di riferimento

- Preferenze linguistiche

- Cookie

Il sito web dispone di un potere di raccolta supplementare inviando i cosiddetti cookie ⁷⁸. Si tratta di pezzi di dati che possono essere memorizzati in file di testo e depositati nel disco fisso dell'utente Internet, e che possono essere conservati in copia dal sito web. Essi costituiscono una parte standard del traffico HTTP e, in quanto tali, possono essere trasportati, senza ostacoli, insieme al traffico IP. Un cookie può contenere un numero esclusivo (GUI, Global Unique Identifier) che permette una personalizzazione migliore rispetto agli indirizzi IP dinamici. Tali cookie ampliano la capacità dei siti web di memorizzare e 'personalizzare' le informazioni relative ai propri visitatori. Il cookie può essere riletto regolarmente dal sito per identificare un utente Internet e riconoscerlo in occasione delle visite successive, controllare le eventuali password, analizzare un percorso durante una sessione e all'interno del sito, registrare le transazioni, come gli articoli acquistati, personalizzare un sito, ecc.

I cookie possono avere una natura diversa: possono essere persistenti, ma possono avere anche una durata limitata, come i cosiddetti "cookie di sessione". In alcuni casi, possono essere utili per fornire un determinato servizio attraverso Internet o per facilitare la navigazione da parte dell'utente Internet. Ad esempio, alcuni siti web personalizzati utilizzano i cookie per identificare gli utenti ad ogni visita successiva; in questo modo, gli utenti non dovranno registrarsi ogni volta nel sito web per controllare le proprie notizie.

Le implicazioni per la vita privata derivanti dall'uso dei cookie non devono essere sottovalutate. Questo problema sarà trattato nella sezione relativa all'analisi giuridica di questo capitolo.

• Siti portale

Alla luce della crescente complessità di Internet, spesso gli utenti Internet si connettono ad un sito web mediante i cosiddetti siti portale, che forniscono una panoramica dei collegamenti web in modo ordinato.

Spesso, tali portali contengono collegamenti a siti commerciali e potrebbero essere paragonati a un centro commerciale contenente molto negozi. I siti portale raccolgono le informazioni nello stesso modo dei siti web in generale, ma possono anche memorizzare le informazioni sulle visite effettuate in tutti i siti 'a monte' del portale.

Un sito portale è sempre ospitato da un fornitore di servizi Internet e, in alcuni casi, può appartenere al fornitore medesimo. In tal caso, il fornitore di servizi Internet ha la possibilità di raccogliere i dati sulle visite effettuate da un utente nei siti a monte di tale portale ed è pertanto in grado di creare un profilo completo dell'utente in questione. L'autorità olandese per la protezione dei dati (Registratiekamer), in una relazione ⁷⁹su Internet e la vita privata, basata sulle indagini effettuate presso 60 fornitori di servizi Internet nei Paesi Bassi, ha concluso che il fornitore di contenuti (nella fattispecie, il fornitore di servizi Internet che possiede un portale) ha la possibilità di conoscere la quantità di annunci pubblicitari che sono stati presentati, la frequenza delle visite effettuate da un utente ad un negozio elettronico, i prodotti acquistati e il prezzo pagato.

• Fornitori di servizi supplementari

A volte, i dati raccolti dai siti web vengono trasferiti (automaticamente) a terzi rispetto alla comunicazione originaria (ad esempio, società specializzate nell'analisi delle statistiche web, come Nestat). Lo scopo può essere quello di creare dati statistici cumulativi relativi alle visite effettuate in un sito web, che vengono rivenduti ai proprietari dei rispettivi siti web. Generalmente, i banner pubblicitari raccolgono informazioni sui siti web visitati da una persona mediante i cookie file. I fornitori di servizi, come DoubleClick o Globaltrash, accumulano le informazioni relative alle visite effettuate in tutti i vari siti in cui essi pubblicano i propri annunci pubblicitari. Grazie a tali dati è possibile compilare un profilo delle preferenze degli utenti Internet da utilizzare, successivamente, per personalizzare le pagine web.

La navigazione dal punto di vista dell'utente Internet

Nella maggior parte dei casi, un PC dotato di un browser software, all'avvio caricherà automaticamente una determinata pagina di avvio del web. Tale pagina di avvio può contenere collegamenti ipertestuali che possono essere attivati per visitare altri siti web o motori di ricerca. Sfogliando, il browser dell'utente Internet invia ad un server (che può essere ubicato in qualsiasi parte del mondo) la richiesta di trasmettere una pagina web specifica (contraddistinta dal relativo URL) ospitata dal server in questione. Cliccando su un collegamento ipertestuale, l'utente Internet scarica di fatto la pagina web richiesta nel proprio computer.

L'utente Internet, dopo essersi connesso con il proprio fornitore di servizi Internet, sceglie generalmente uno dei seguenti approcci durante la navigazione:

CAPITOLO 6: PUBBLICAZIONI E FORUM

I. Introduzione

Le pubblicazioni e i forum disponibili in Internet hanno una caratteristica in comune in quanto essi rendono disponibili al pubblico dati personali con (ad esempio, forum di discussione pubblici) o senza (ad esempio, elenchi) il coinvolgimento della persona interessata. I motivi della pubblicazione di dati personali variano in base al contesto. L'utente Internet può divulgare alcune informazioni poiché gli viene chiesto di farlo per poter accedere, ad esempio, ad una chat room oppure le informazioni possono essere pubblicate da terzi, come un'amministrazione pubblica, per motivi amministrativi. La questione fondamentale derivante da tale diffusione di informazioni è l'applicazione delle disposizioni sulla vita privata ai dati offerti al pubblico sul web. Contrariamente ad un'opinione molto diffusa, la protezione che discende dalla legislazione sulla protezione dei dati si applica anche ai dati offerti al pubblico. Questo capitolo dedicherà un'attenzione particolare alle motivazioni e alla necessità di ogni pubblicazione di dati personali, alla finalità della pubblicazione e ai rischi di uso improprio di tali dati.

II. Descrizione tecnica

Forum di discussione pubblici

Gli aspetti tecnici del trattamento dei dati nell'ambito dei forum di discussione pubblici variano in base alla natura del forum. E' possibile distinguere tra due tipi di forum: gruppi di discussione e chat room.

Gruppi di discussione

I gruppi di discussione sono forum classificati per argomento, in cui tutti i dati inviati dagli utenti vengono memorizzati per un periodo di tempo fisso, al fine di agevolare i contributi o le risposte degli utenti ad un argomento specifico.

Una domanda o un articolo comprende un "titolo" e un "corpo del testo". Il collegamento tra un articolo e la relativa risposta è detto "filo".

I messaggi vengono trasferiti ai server dei gruppi di discussione mediante protocolli specifici. Il tipico protocollo di trattamento per le notizie è l'NNTP (News Network Transfer Protocol), ma alcuni gruppi di discussione usano anche il protocollo HTTP. L'NNTP elabora le connessioni permanenti tra i server dei gruppi di discussione e aggiorna i messaggi automaticamente. I messaggi vengono conservati da un server del gruppo di discussione su un disco fisso e possono essere consultati da tutte le persone connesse. Le notizie vengono presentate in formato HTML.

Ogni server confronta con gli altri il proprio elenco di articoli in ogni gruppo di discussione e scambia con essi gli articoli nuovi. Tali raffronti comportano milioni di scambi di dati su Internet.

Visto il numero dei gruppi, gli utenti memorizzano solo un elenco selezionato di essi e il software di consultazione presenta solo i titoli delle notizie, lasciando scegliere agli utenti interessati se scaricare o meno il testo degli articoli.

Chat room

Vi sono tre tipi principali di chat room: Internet Relay Chat (IRC), Webpage (Java) Chat, e ICQ (I seek you) Chat.

1. IRC è il supporto di chat originario di Internet. Esso utilizza un protocollo che consente agli utenti di comunicare pubblicamente, in tempo reale, all'interno di un forum con un numero indefinito di persone, oppure privatamente con un solo interlocutore. Le chat room si basano sugli argomenti discussi, come i gruppi di discussione, ma differiscono da essi in quanto i canali vengono cancellati al termine di una discussione.

A causa dei ritardi nella trasmissione delle informazioni sull'IRC principale, sono state create reti indipendenti. Le reti principali sono EfNet, UnderNet e DalNet.

2. Webpage Chat consente di dialogare senza un programma distinto: l'unico strumento necessario è un recente web browser Internet. Vi sono due tipi di Webpage Chat: quella dedicata, disponibile sulla maggior parte dei portali web di ricerca e quella istituita da un singolo sulla propria homepage. La Wepage Chat, pur essendo facile da usare, dispone di capacità limitate: a differenza dell'IRC, è possibile solo scambiare testo e non è possibile modificare i colori o inviare suoni, oppure inviare o ricevere file, eseguire script o personalizzare l'interfaccia di chat.

3. ICQ è uno strumento che informa l'utente su chi è in linea in qualsiasi momento, quando persone predefinite (contenute in un elenco di contatti personali) si connettono e consente di contattarli, chiacchierare e inviare messaggi, pur continuando a navigare in rete, sempre che tutti i partecipanti stiano utilizzano ICQ. Al programma può essere comunicato di impostare l'utente come invisibile, assente o non disponibile.

Pubblicazioni ed elenchi

Su Internet, sono generalmente disponibili pubblicazioni ed elenchi sotto forma di basi di dati, che offrono criteri di ricerca al fine di ottenere informazioni su una o più persone.

La fonte di informazione per gli elenchi telefonici è, tradizionalmente, l'elenco nazionale ufficiale pubblicato, a seconda del paese, dall'operatore di telecomunicazioni principale o da una società ad hoc incaricata della relativa compilazione sulla base dell'elenco degli abbonati alla rete telefonica.

Gli elenchi di posta elettronica vengono compilati con vari mezzi, dall'iscrizione volontaria degli utenti Internet in un elenco presentato da un fornitore di servizi Internet alla raccolta incontrollata degli indirizzi di posta elettronica nei siti web, come i gruppi di discussione.

Altri tipi di pubblicazioni, come gli elenchi forniti dagli organismi pubblici, vengono compilati per argomento. Essi possono includere, ad esempio, la giurisprudenza di un paese, con le date delle sentenze, i tribunali, le località, forse persino i nomi delle parti, il giudice e un estratto della causa.

La maggior parte delle basi di dati prevedono vari criteri di ricerca che consentono l'accesso personalizzato alle informazioni e risultati strutturati in vari modi. In un elenco telefonico, una ricerca potrebbe iniziare da un nome o un numero di telefono, nella base di dati della giurisprudenza, il criterio potrebbe essere la data di una sentenza, il nome di una parte, ecc.

III. Rischi per la vita privata

Forum di discussione pubblici

Il rischio principale per la vita privata ¹⁰⁹deriva dall'accessibilità dei dati personali divulgati dall'utente Internet. L'accessibilità dei dati può tradursi in una raccolta e utilizzazione successive per finalità non sempre chiaramente previste dalla persona che partecipa al forum pubblico. Né la persona è sempre a conoscenza dei particolari solitamente pubblicati insieme al contenuto del contributo apportato al forum.

Nel caso dei gruppi di discussione, ad esempio, l'indirizzo di posta elettronica del partecipante viene solitamente pubblicato insieme al nome o allo pseudonimo della persona che invia il messaggio ¹¹⁰. Alcuni forum di discussione visualizzano l'indirizzo IP del computer di un partecipante, nonché il relativo pseudonimo. Alcuni fornitori di servizi Internet prevedono la possibilità di partecipare a un forum senza essere identificati dagli altri partecipanti ma anche, per contro, la possibilità di partecipare ma di consentire agli altri partecipanti di leggere un profilo specifico elaborato dalla persona interessata.

Le informazioni personali disponibili on-line variano da un forum all'altro. Una regola generale è che, per poter accedere a una chat room, viene compilato un elenco di identificazione particolareggiato su richiesta del fornitore di servizi Internet, che solitamente comprende l'indirizzo di posta elettronica, la data di nascita, il paese, il sesso e, talvolta, talune preferenze della persona.

Da un punto di vista tecnico, la fornitura di tali informazioni particolareggiate non è, tuttavia, necessaria per il regolare funzionamento del gruppo di discussione o della chat room, ai sensi dell'articolo 6 della direttiva 95/46/CE.

Inoltre, queste informazioni di registrazione potrebbero comportare l'utilizzo successivo dei dati da parte del fornitore di servizi Internet ed essere combinate con altri particolari sulla persona rilevati on-line nelle chat room.

Due delle finalità principali di utilizzo dei dati rilevati e/o pubblicati sono:

1. controllare la natura della trasmissione di contenuti per garantire che non vengano resi disponibili contenuti inadeguati e/o per stabilire la responsabilità nel caso in cui tali contenuti dovessero risultare illeciti ¹¹¹. A tale scopo, per mantenere identificabile il contenuto, vengono spesso conservate le tracce dei dati in occasione di ogni contributo effettuato, senza preselezione, anche se basterebbero l'indirizzo di posta elettronica ed, eventualmente, il nome del partecipante;

2. la compilazione di elenchi di dati personali. I dati personali possono essere rilevati sul web mediante un software in grado di effettuare ricerche in rete e raccogliere tutti i dati disponibili di una determinata persona. Il Gruppo di lavoro, nella sua raccomandazione 3/97 ¹¹², ha riportato la citazione di un articolo di giornale che ha spiegato come si poteva compilare una biografia dettagliata di una persona scelta a caso, utilizzando tale software e sfruttando le informazioni provenienti da tutti i gruppi di discussione a cui la persona ha partecipato, tra cui, ad esempio, l'indirizzo, il numero di telefono, il luogo di nascita, il posto di lavoro, i luoghi di vacanza preferiti e altri interessi personali. Questi dati possono essere rilevati e successivamente trattati per finalità diverse, quali il marketing diretto, ma anche la solvibilità o la vendita di dati a società di assicurazione o datori di lavoro. Alcuni siti Internet offrono già al pubblico strumenti di ricerca che consentono di reperire tutti i messaggi inviati da una persona ai gruppi di discussione in base al relativo nome o indirizzo di posta elettronica ¹¹³.

Pubblicazioni ed elenchi

La disponibilità in linea di informazioni personali rilevate dai registri pubblici o da altre fonti disponibili al pubblico, come gli elenchi, solleva questioni simili a quelle illustrate in precedenza. Esse riguardano l'eventuale uso successivo dei dati personali a livello internazionale per una finalità diversa da quella per cui essi sono stati inizialmente resi pubblici ¹¹⁴.

Come già puntualizzato in precedenza, l'automazione dei dati e la possibilità di eseguire ricerche a testo integrale consentono un numero illimitato di modi di richiedere e ordinare le informazioni, mentre la diffusione di Internet aumenta il rischio di raccolta per finalità improprie. L'automazione, inoltre, ha facilitato di gran lunga la possibilità di combinare dati disponibili al pubblico provenienti da varie fonti in modo da ottenere un profilo delle condizioni o dei comportamenti delle persone. Inoltre, dovrà essere rivolta particolare attenzione al fatto che rendere disponibili i dati personali al pubblico serve ad alimentare le nuove tecniche di data warehousing (accaparramento di dati) e datamining (estrazione di dati)¹¹⁵. Usando queste tecniche, i dati possono essere rilevati senza specificare in anticipo la finalità, e le varie finalità vengono definite solo al momento dell'uso effettivo ¹¹⁶.

Per illustrare questo motivo di preoccupazione, possono essere citati vari casi specifici:

• mentre le basi di dati della giurisprudenza contengono atti giuridici pubblici, la relativa pubblicazione in forma elettronica su Internet, che fornisce ampi criteri di ricerca sulle cause di tribunale, potrebbe condurre alla creazione di file di informazioni sulle persone, come nel caso in cui le basi di dati venissero consultate per ottenere un elenco delle sentenze di tribunale relative ad una determinata persona e non per avere informazioni sulla giurisprudenza.

- Informazioni specifiche su una persona possono essere ottenute anche combinando i dati inseriti in basi di dati elettroniche distinte. In questo modo, si potrebbero ottenere i nomi delle persone che non hanno diritto al voto confrontando i registri anagrafici con quelli elettorali.

- Gli elenchi degli indirizzi su Internet prevedono di solito criteri di ricerca di persone non solo per nome ma anche per indirizzo e numero di telefono. Le persone che danno il proprio consenso alla pubblicazione dei propri indirizzi nell'elenco telefonico "cartaceo" non prevedono la possibilità che vengano effettuate tali ricerche derivate.

La disponibilità di dati in forma elettronica significa che essi possono essere usati per finalità diverse: ad esempio, per il marketing diretto, selezionando le categorie di persone che vivono nella stessa zona (forse per la vendita di sistemi di allarme nelle zone residenziali), o l'identificazione e il rilevamento di una persona che telefona ad un'azienda per una semplice e, a suo parere, anonima richiesta di informazioni.

Le pubblicazioni su Internet possono condurre ad altre forme di rilevamento di informazioni personali, finalizzate non solo ai dati personali contenuti in una chat room, in un registro pubblico o in un elenco, ma anche alle informazioni dirette fornite in una pagina web personale. L'indicizzazione automatica di queste pagine mediante robot di ricerca può condurre alla compilazione di file contenenti informazioni personali ricavate dalle pagine in questione e all'eventuale commercializzazione e spamming del relativo autore o dei partecipanti.

IV. Analisi giuridica

Forum pubblici

E' prevista l'imposizione di obblighi ai fornitori di servizi Internet al fine di limitare i rischi di raccolta illecita dei dati personali inviati alle chat room o ai gruppi di discussione.

La raccomandazione N. R (99) 5 del Consiglio d'Europa sulla tutela della vita privata su Internet ¹¹⁷invita i fornitori di servizi Internet ad informare gli utenti sui rischi per la vita privata presenti nell'uso di Internet prima che essi sottoscrivano o inizino ad utilizzare i servizi. Tali rischi possono riguardare l'integrità dei dati, la riservatezza, la sicurezza della rete o altri rischi per la vita privata, come la raccolta o la registrazione nascoste dei dati.

Il modulo di registrazione che devono compilare le persone che desiderano accedere ad un forum pubblico deve essere conforme alle disposizioni di cui all'articolo 6 della direttiva 95/46/CE sul trattamento leale dei dati personali, il quale stabilisce che i dati devono essere rilevati per una finalità legittima, e devono essere pertinenti e non eccedenti rispetto a tale finalità.

Il carattere legittimo della finalità può essere determinato con riferimento all'articolo 7 della direttiva 95/46/CE, che prevede, in particolare, il consenso esplicito della persona interessata al trattamento dei propri dati personali, nonché l'equilibrio tra l'interesse legittimo del responsabile del trattamento e i diritti fondamentali dell'interessato (articolo 7 (a) e (f))

Gli utenti devono essere informati in modo chiaro e trasparente circa la finalità, la qualità dei dati rilevati e l'eventuale periodo di conservazione. Qualora all'utente non venga fornita alcuna indicazione chiara sulle condizioni di trattamento dei dati, l'assenza di reazione non può essere considerata come un assenso implicito al trattamento successivo dei dati da parte del responsabile del trattamento (ad esempio, a fini di invio di materiale pubblicitario).

Occorre sottolineare il fatto che ai fornitori di servizi non serve necessariamente conoscere l'identità precisa dell'utente. Prima di approvare gli abbonamenti e connettere gli utenti a Internet, essi devono informarli sulla possibilità di accedere a Internet mantenendo l'anonimato o utilizzando uno pseudonimo, nonché di usare i servizi in forma anonima ¹¹⁸.

Questo principio è stato riconosciuto dal Gruppo di lavoro nella raccomandazione 3/97 relativa all'anonimato su Internet ¹¹⁹. Mentre non vi è alcun dubbio circa la legittimità dell'anonimato in situazioni quali la condivisione di esperienze personali (vittime di violenze sessuali o persone che soffrono di dipendenza dall'alcol) o di opinioni politiche, il Gruppo di lavoro ha sottolineato il fatto che la necessità di anonimato su Internet va molto oltre questi casi specifici, poiché i dati transazionali, identificabili per il solo fatto di esistere, possono costituire uno strumento attraverso il quale il comportamento di una persona può essere seguito e controllato in una misura che non è mai stata possibile prima.

Il controllo dei gruppi di discussione e delle chat room per vietare contenuti impropri deve essere esercitato in conformità al principio della proporzionalità sancito dall'articolo 6 della direttiva 95/46/CE, laddove l'identificazione e la raccolta di tutti i dati personali inseriti in un forum pubblico sono considerati sproporzionati rispetto ad altri strumenti di controllo esistenti. Sono state proposte altre alternative, come soluzioni contrattuali che prevedono la "qualità del contenuto" o il coinvolgimento di un moderatore il cui compito sarebbe di sorvegliare i contributi e stabilire se i relativi contenuti sono illeciti e nocivi.

Oltre a questi principi fondamentali, va aggiunto che la conservazione dei dati sul traffico da parte dei fornitori di servizi Internet è disciplinata molto severamente, come nel caso degli operatori di telecomunicazioni. In generale, i dati sul traffico devono essere cancellati o resi anonimi al termine della comunicazione (articolo 6, paragrafo 1 della direttiva 97/66/CE). Gli operatori di telecomunicazioni e i fornitori di servizi Internet non hanno la facoltà di raccogliere e memorizzare dati esclusivamente a fini giudiziari, se non in virtù di una legge basata su motivazioni e condizioni specifiche ¹²⁰.

Pubblicazioni ed elenchi

Il Gruppo di lavoro ha ribadito¹²¹ il fatto che la legislazione europea sulla protezione dei dati si applica ai dati personali offerti al pubblico e che tali dati devono comunque essere protetti.

Il principio essenziale applicabile ai dati personali pubblici è il principio della finalità o della limitazione della finalità, in base al quale i dati personali vengono rilevati per finalità determinate, esplicite e legittime e non devono essere successivamente trattati in modo incompatibile con tali finalità (articolo 6(1)(b) della direttiva 95/46/CE).

Il Gruppo di lavoro, inoltre, ha sottolineato il fatto che i dati personali offerti al pubblico non costituiscono una categoria omogenea che può essere considerata in modo uniforme dal punto di vista della protezione dei dati: mentre può esistere l'accesso pubblico ai dati, tale accesso può essere soggetto a determinate condizioni (come la prova dell'interesse legittimo) e a restrizioni alla successiva utilizzazione (come l'utilizzo a fini di invio di materiale pubblicitario).

La pubblicazione di dati personali su Internet potrebbe portare ad un trattamento successivo dei dati che il soggetto interessato potrebbe anche non prevedere. Gli articoli 10, 11 e 14 della direttiva 95/46/CE stabiliscono, a tale riguardo, che il soggetto interessato ha il diritto di essere informato circa l'uso dei propri dati personali. Il soggetto interessato, inoltre, deve essere informato del proprio diritto di opporsi, con mezzi semplici ed efficaci, al trattamento dei dati personali a fini di invio di materiale pubblicitario.

L'idea di uno "sportello unico" per opporsi al trattamento dei dati personali contenuti in un unico elenco potrebbe rappresentare una soluzione interessante alle difficoltà incontrate dalle persone nell'opporsi ad ogni trattamento, alla luce della relativa diffusione a livello nazionale e internazionale ¹²².

Se la finalità prevista del trattamento è incompatibile con la finalità originaria, l'equilibrio tra il diritto alla tutela della vita privata e gli interessi del responsabile del trattamento deve essere conseguito mediante l'imposizione al responsabile del trattamento di condizioni più severe. Quest'ultimo deve ottenere il consenso del soggetto interessato o essere in grado di invocare una norma giuridica o statutaria che giustifichi il trattamento.

Tuttavia, non risulta chiaro se il responsabile del trattamento è obbligato a rispettare il diritto di opposizione del soggetto interessato o ad ottenere il suo consenso per poter trattare i dati.

La disciplina in materia di elenchi Internet nei vari paesi è un esempio di tali approcci diversi. La questione è se è necessario il consenso prima che l'elenco venga reso disponibile in formato elettronico, quando esso presenta criteri di ricerca diversi da quelli originariamente previsti nell'elenco cartaceo.

Alcuni paesi (come Spagna e Belgio) ritengono che l'ampliamento dei criteri di ricerca potrebbe consentire il trattamento dei dati personali per finalità incompatibili con la finalità originaria e che, pertanto, il trattamento non dovrebbe essere consentito senza prima informarne la persona interessata e senza il suo esplicito consenso. In altri paesi (ad esempio, il Regno Unito), la conformità al diritto di opposizione previsto dalla direttiva sembra essere ritenuta sufficiente, in linea di principio, sebbene essa dipenda dalla presenza o meno di un obbligo giuridico a pubblicare le informazioni nell'elenco.

Queste interpretazioni dei testi giuridici comportano delle differenze nel livello di protezione nei paesi dell'UE e dei conflitti pratici quando, ad esempio, un elenco contenente i dati personali dei cittadini di un paese con un livello di protezione più elevato viene pubblicato in Internet da parte di un paese dotato di un livello di protezione inferiore.

Tali conflitti sono stati discussi a livello europeo ed un'interpretazione comune dei testi da parte del Gruppo di lavoro ha condotto ad una posizione ufficiale che raccomanda l'applicazione armonizzata del principio da parte degli Stati membri dell'UE ¹²³.

L'articolo 12 della proposta di revisione della direttiva 97/66/EC 124 stabilisce che l'individuo ha la possibilità di decidere gratuitamente se i suoi dati debbano essere riportati negli elenchi pubblici, per quale finalità specificata e in quale misura. Ciò costituisce un passo positivo nella direzione giusta, che il Gruppo di lavoro ha pienamente appoggiato.

V. Misure intese al miglioramento della vita privata

Oltre alle disposizioni giuridiche citate in precedenza, vi sono alcune soluzioni tecniche che possono migliorare la protezione dei dati personali a vari livelli.

In generale, il Gruppo di lavoro sostiene che il browser software deve essere configurato, per default, in modo che venga trattata solo la quantità minima di informazioni necessarie per stabilire una connessione Internet ¹²⁵.

Anonimato nei forum pubblici

Per quanto riguarda l'anonimato su Internet e nei forum pubblici in particolare, la nozione di "pseudoidentità" potrebbe offrire una soluzione alternativa alla questione dell'equilibrio tra il controllo legittimo degli abusi e la protezione dei dati personali. Tale identità verrebbe attribuita ad un individuo attraverso un fornitore di servizi specializzati. In linea di principio, l'anonimato verrebbe così rispettato anche se, in determinati casi, potrebbe essere ricostruito un collegamento con la vera identità dell'individuo da parte del fornitore di servizi specializzati, ad esempio in caso di sospetto di attività criminali. Per quanto riguarda la posta elettronica, i ritrasmettitori anonimi forniscono all'utente un indirizzo anonimo, a cui altre persone possono inviare i propri messaggi di posta, che vengono poi inoltrati al vero indirizzo dell'utente (a volte un server pseudonimo), oppure essi inviano o spediscono il messaggio del mittente senza indicarne il nome o l'indirizzo ¹²⁶.

Indicizzazione sistematica dei dati

Esistono, inoltre, strumenti intesi a garantire che gli autori di pagine personali non siano soggetti all'indicizzazione delle proprie pagine e alla raccolta dei loro dati personali senza esserne a conoscenza. Lo scopo del Robot exclusion protocol (protocollo di esclusione dei robot) è impedire che tutte o alcune delle pagine di un sito web vengano indicizzate automaticamente da un motore di ricerca ¹²⁷. Questo protocollo viene identificato dalla maggior parte dei motori di ricerca sul web. Il file "robots.txt" inserito nell'indirizzo Internet contiene istruzioni destinate ai robot di ricerca, che indicano che alcuni robot non sono graditi o che solo alcune pagine identificate del sito possono essere lette e indicizzate.

Poiché solo un fornitore di servizi è in grado di inserire i cosiddetti "protocolli di esclusione dei robot" nell'indirizzo del sito, gli autori di pagine web personali ospitate da un fornitore di servizi, qualora non riescano a convincere il fornitore di servizi ad inserire tale protocollo, possono inserire un apposito meta-tag di robot in ogni pagina per evitarne l'indicizzazione. Lo svantaggio dei meta-tag di robot è che essi non vengono ancora riconosciuti da tutti i motori di ricerca presenti su Internet.

Accesso on-line alle informazioni pubbliche

L'ultimo argomento trattato in questo capitolo riguarda l'accesso on-line alle informazioni pubbliche, il quale tuttavia è comunque soggetto alle norme sulla tutela della vita privata.

Le soluzioni tecniche applicate a tali basi di dati possono contribuire a limitare l'uso illecito delle informazioni in esse contenute:

- i criteri di ricerca devono essere definiti in modo che i dati possano essere utilizzati solo in conformità alla finalità originaria. Il Gruppo di lavoro ha ribadito, nella sua raccomandazione del 13 luglio 2000 sugli elenchi derivati, che "il responsabile del trattamento (…) deve attuare misure tecniche ed organizzative appropriate ai rischi che il trattamento comporta e alla natura dei dati tutelati (cfr. articolo 17 della direttiva 95/46/CE). Ciò significa, ad esempio, che il database dovrà essere progettato al fine di impedirne, per quanto possibile, usi fraudolenti quali modifiche illecite dei criteri di ricerca oppure la copia o l'accesso all'intero database per ulteriori elaborazioni. I criteri di ricerca, ad esempio, dovranno essere abbastanza precisi da consentire solo la visualizzazione di un numero limitato di risultati per pagina. Il risultato dovrà esser quello di garantire, anche senza mezzi tecnici, le finalità di ricerca alle quali l'abbonato ha dato il proprio consenso"¹²⁸

- la consultazione on-line di basi di dati può essere limitata, ad esempio, restringendo il campo dell'interrogazione o i criteri di interrogazione. Deve essere possibile raccogliere una grande quantità di dati usando un'interrogazione ampia, come le prime lettere di un nome. Inoltre, si potrebbe rendere tecnicamente impossibile la richiesta di sentenze giudiziarie in base, ad esempio, al nome di una persona o la richiesta del nome di una persona in base al relativo numero telefonico.

A tale scopo, gli strumenti tecnici dovrebbero essere configurati e usati in base ai principi giuridici descritti in questo capitolo.

VI. Conclusioni

In teoria, le disposizioni giuridiche e gli strumenti tecnici disponibili offrono un livello notevole di protezione della persona interessata per quanto riguarda la disponibilità al pubblico di alcuni dei suoi dati personali su Internet. Il principio della finalità, in base al quale i dati personali non possono essere soggetti a trattamento per una finalità incompatibile con la finalità originariamente specificata, è di importanza fondamentale per quanto riguarda i dati resi pubblici in determinate circostanze.

Un'attenzione particolare deve esser rivolta, inoltre, al principio della limitazione del periodo di conservazione dei dati personali. Tali dati devono essere cancellati dopo un periodo ragionevole, per evitare l'elaborazione di profili che raccolgano, ad esempio, i messaggi inviati da una persona ad un gruppo di discussione nel corso degli anni.

Tali persone devono essere informate del tempo di conservazione previsto e della disponibilità on-line di tali dati pubblici.

Attualmente, i problemi riguardano principalmente la mancanza di informazione sia nei confronti delle persone interessate sia dei responsabili del trattamento circa le disposizioni giuridiche da osservare.

Per migliorare la situazione, l'obiettivo principale è di accelerare gli sforzi intesi a conseguire una maggiore trasparenza su Internet ed armonizzare l'interpretazione dei principi fondamentali concernenti il controllo dei dati della persona interessata.

La direttiva 97/66/CE, nella versione modificata del 12 luglio 2000, offre un'ottima opportunità di armonizzare alcuni di questi temi.

CAPITOLO 7: TRANSAZIONI ELETTRONICHE SU INTERNET

I. Introduzione

Il commercio elettrico può essere definito come "qualsiasi forma di transazione in cui gli attori interagiscono elettronicamente e non mediante scambi fisici o il contatto fisico diretto". ¹²⁹Questa definizione comprende le transazioni riguardanti l'acquisto di beni o servizi come pure quelle utilizzate per migliorare la qualità dei servizi, oppure la fornitura di nuovi servizi da parte di organizzazioni pubbliche o private.

Alla luce della definizione suddetta e in considerazione del fatto che la finalità principale del presente capitolo è studiare le tematiche correlate a Internet, esso si incentrerà sulle transazioni che avvengono su Internet, tralasciando qualsiasi altra forma di interazione effettuata mediante reti pubbliche o private.

Si prevede che l'impatto delle transazioni elettroniche sarà di portata internazionale, poiché il commercio elettronico è, per definizione, globale e consente ad ogni società (indipendentemente dalle dimensioni o dal fatturato) di offrire e vendere i propri prodotti in tutto il mondo.

Le transazioni elettroniche consentono alle organizzazioni di essere più efficienti e flessibili, di lavorare a più stretto contatto con i fornitori e di rispondere alle esigenze e alle aspettative dei propri clienti in base a modalità impossibili da immaginare in passato.

Tuttavia, per conseguire tali obiettivi è necessaria una grande quantità di informazioni e ciò potrebbe determinare l'invasione di settori fondamentali della vita privata delle persone.

II. Attori

I principali attori delle transazioni elettroniche sono:

- l'utente, nell'ambito della direttiva 95/46/CE, la persona fisica che desidera acquistare un prodotto o richiedere un servizio ¹³⁰;

- l'operatore di telecomunicazioni, che non è direttamente coinvolto nelle transazioni di commercio elettronico ma svolge un ruolo chiave nell'inoltro dei segnali che rendono possibile qualsiasi forma di trasmissione elettronica. Questo attore ha obblighi di sicurezza specifici, che derivano dalle direttive;

- il fornitore di servizi Internet, che fornisce l'accesso a Internet;

- il commerciante elettronico, il soggetto che offre prodotti o servizi attraverso Internet;

- la piattaforma finanziaria, che è necessaria nella maggior parte dei casi e che coinvolge sia la banca del commerciante sia la banca del cliente, nonché un gateway di pagamento che si occupa degli aspetti tecnici necessari per autorizzare l'operazione finanziaria e il pagamento. Il gateway si occupa di tutte le connessioni tra gli istituti finanziari, per consentire lo scambio di denaro elettronico garantendo che tutti gli attori soddisfino ai requisiti necessari per effettuare la transazione.

• Terzi fiduciari. Nei casi più complessi e sicuri, essi sono indispensabili per autenticare le parti e fornire una cifratura abbastanza efficace per garantire la riservatezza della transazione.

In base alle forme di commercio e agli attori od operatori interessati, possono essere

identificati tre modelli diversi di transazioni elettroniche ¹³¹.

1) Fornitura on-line di beni e servizi immateriali. Utilizzata, per lo più, dalle case di software e dalle imprese di comunicazioni per le quali l'infrastruttura Internet è ottimale per la distribuzione e la vendita a distanza in tempo reale dei propri prodotti. Tali prodotti vanno dal software, i video film, i giochi e la musica on-line agli abbonamenti a bollettini on-line, riviste o programmi di sostegno tecnico.

In questo caso, oltre agli ovvi risparmi derivanti dall'accesso diretto ai clienti, che evitano in tal modo qualsiasi dipendenza da eventuali intermediari, vi è un altro grande vantaggio per le società dedite a questo tipo di commercio. Esse possono acquisire una conoscenza precisa e accurata del consumatore finale, dei suoi hobby, interessi e abitudini di acquisto.

Questa categoria comprende, inoltre, la maggior parte dei servizi offerti dalle organizzazioni del settore pubblico, come i pagamenti o i rimborsi on-line delle imposte dirette, le applicazioni elettroniche o le richieste di pagamenti integrativi e le azioni di follow-up.

2) Ordinazione elettronica di beni materiali. Questa categoria coinvolge molti tipi diversi di società. In primo luogo, le grandi imprese che utilizzano Internet per accedere direttamente al consumatore. I produttori o rivenditori di hardware TI sono stati i primi ad utilizzare questo canale commerciale, il che è facile da comprendere vista la natura dell'utente Internet. Attualmente, un numero crescente di imprese vende abbigliamento, profumi, libri, CD e biglietti aerei, ecc.

Internet offre inoltre la possibilità alla piccole e medie imprese di sviluppare nuove attività commerciali ad una portata che sarebbe impossibile utilizzando le loro risorse tradizionali. Infatti, come hanno notato alcuni osservatori, vi è una bella differenza tra l'investimento iniziale necessario per offrire al pubblico qualche centinaia di migliaia di CD musicali attraverso un negozio elettronico su Internet e tentare di fare lo stesso aprendo un negozio nel centro di una città.

Inoltre, tutti i siti di commercio elettronico che forniscono beni materiali dipendono, in ultima analisi, da un'organizzazione logistica per la consegna a domicilio degli articoli al consumatore. Attualmente, queste organizzazioni logistiche stanno investendo in tecnologie Internet al fine di sostenere gli ordini elettronici e la localizzazione delle spedizioni tra le società partner, e tra la società logistica e il consumatore finale, in modo che tutti i partecipanti possano sapere, in tempo reale, dove si trovano i beni ordinati e quando ne è previsto il recapito. In tale contesto, è sicuramente possibile che taluni distributori ed esperti logistici decideranno di fondersi, nel prossimo futuro, per sfruttare le informazioni chiave relative al processo di distribuzione detenute dalle società logistiche (prevalentemente gli indirizzi per il ritiro e la consegna).

3) Reti e centri commerciali. Il commercio on-line non esclude i distributori tradizionali privi di un'effettiva conoscenza delle nuove tecnologie. Essi hanno la possibilità di partecipare ai cosiddetti centri commerciali Internet, una struttura che consente loro di inserire i propri prodotti nella vetrina di un centro commerciale elettronico. Nei centri commerciali, i negozi sono classificati per categoria e i visitatori utilizzano un sistema di ricerca interno per reperire l'elenco dei siti che offrono il prodotto desiderato. I banner pubblicitari possono essere finalizzati in base alle parole chiave inserite o ai negozi visitati, e il centro commerciale Internet offre ai propri membri un'infrastruttura di pagamento sicura.

I centri commerciali Internet, in funzione del proprio ruolo, raccolgono spesso informazioni molto particolareggiate e accurate sui visitatori e gli acquirenti (negozi visitati, interessi, abitudini di acquisto, indirizzi, particolari personali e informazioni sui pagamenti), che possono rivelarsi molto utili per elaborare i profili dei clienti ai fini delle strategie pubblicitarie o di marketing ¹³².

Il ruolo di questi centri commerciali potrà cambiare in futuro con la relativa integrazione in siti più ampi, i cosiddetti portali, "supersiti" web che offrono una serie di servizi tra cui ricerche web, notiziari, elenchi di pagine bianche e gialle, posta elettronica gratuita, gruppi di discussione, shopping on-line e collegamenti con altri siti.

I portali moderni offrono opportunità di shopping sempre maggiori su scala internazionale, sia attraverso annunci pubblicitari classificati sia attraverso i motori di ricerca. E nulla impedirà a tali portali di offrire, nel prossimo futuro, le proprie piattaforme di pagamento sicuro ed agenti intelligenti per l'utente in grado di effettuare ricerche sul web, trattare i prezzi (tra cui, persino, le condizioni relative alla vita privata di un contratto commerciale)¹³³e concludere contratti per conto del cliente.

III. Pagamenti sicuri

L'importanza crescente del commercio elettronico comporta la necessità, per la vendita di beni e servizi, di sistemi di pagamento. Le preoccupazioni circa i rischi di sicurezza relativi all'inserimento dei dati delle carte di credito in Internet e la possibilità di divulgazione a terzi non autorizzati di informazioni personali riservate sono due dei fattori che limitano l'espansione del commercio elettronico.

Per risolvere questi problemi sono stati elaborati, e sono tuttora allo studio, vari metodi.

Attualmente, il più comune è il Secure Sockets Layer (SSL)¹³⁴, che è implementato nei browser più popolari e stabilisce una canale sicuro tra i computer del consumatore e del commerciante, mediante la cifratura e i certificati digitali.

La procedura fondamentale di funzionamento dell'SSL è la seguente. Prima che il computer del commerciante (server) possa stabilire una connessione sicura con il computer del consumatore (client), quest'ultimo deve avere la certezza di essere connesso con un server sicuro. Per verificare l'identità del server, viene utilizzato il relativo certificato digitale. Dopo che il server è stato autenticato, il client e il server possono cifrare i reciproci dati e garantirne l' integrità, come il numero della carta di credito utilizzata per la transazione e qualsiasi altro particolare personale.

Occorre notare che l'SSL non consente al cliente di avere il controllo sull'uso o il trattamento successivo dei propri dati personali da parte del commerciante e che l'autenticazione del client non è obbligatoria, rendendo così possibili le frodi attraverso l'uso improprio dell'identità di un'altra persona.

Per far fronte a tali problemi e fornire un quadro completamente affidabile per le transazioni di commercio elettronico, alcune società di carte di credito hanno elaborato, congiuntamente e con il sostegno dei principali sviluppatori di software, un nuovo protocollo. Il protocollo si chiama Secure Electronic Transactions (SET) e prevede trasmissioni riservate (mediante la cifratura), l' autenticazione delle parti (titolare della carta, ente emittente, commerciante, beneficiario e gateway di pagamento mediante certificati digitali), nonché l'integrità e l'impossibilità di revoca delle istruzioni di pagamento relative a beni e servizi (attraverso le firme digitali)¹³⁵.

Poiché il sistema suddetto non è particolarmente adatto quando è prevista una grande quantità di transazioni di esiguo valore, è in fase di sviluppo un metodo alternativo denominato denaro elettronico o e-cash. Il principio generale è scaricare denaro sul disco fisso di un computer (oppure, in futuro, sul chip di una carta intelligente). Ogniqualvolta viene eseguito un pagamento on-line, l'utente trasferisce unità di denaro (monete) dal computer o dalla carta intelligente al conto del commerciante o del fornitore di servizi. In questo settore, esistono molte tecnologie concorrenti. La più interessante, dal punto di vista della protezione delle informazioni personali, è rappresentata dai sistemi di pagamento completamente anonimi basati su un meccanismo di firme cieche ¹³⁶. Questi meccanismi potrebbero impedire il tracciamento delle transazioni, poiché la banca che "firma" il denaro elettronico non collega il consumatore ad una determinata transazione.

IV. Rischi per la vita privata

Indipendentemente dal tipo di transazione effettuata o dal sistema di pagamento usato, la differenza sostanziale tra il mondo fisico e quello elettronico è che, nel primo, vi è una serie di attività che possono rimanere anonime (come guardare le vetrine, entrare in vari negozi, esaminare prodotti diversi e, se si paga in contanti, effettuare acquisti), mentre nel secondo, tutto può essere registrato, aggiunto ad informazioni precedenti o appena acquisite, e trattato quasi senza costi al fine di produrre informazioni più complete su ogni persona. E tutto ciò può avvenire non solo senza il consenso del cittadino interessato, ma anche senza che egli ne sia a conoscenza. Inoltre, mediante le tecnologie di data warehouse (accaparramento di dati) e data mining (estrazione di dati)¹³⁷ è possibile trattare una quantità enorme di informazioni, non solo per selezionare le persone che rispondono a determinati requisiti o criteri, ma anche per rivelare relazioni nascoste tra dati apparentemente non correlati, esplicitando in tal modo alcuni modelli comportamentali che potrebbero essere usati per adottare decisioni commerciali o amministrative in merito a determinati cittadini.

Nella maggior parte dei casi, quando una persona effettua un acquisto o sottoscrive un servizio, come un abbonamento, egli deve obbligatoriamente fornire i propri dati personali al commerciante o al fornitore di servizi per autenticare l'acquirente, fornire garanzie di pagamento o fornire un indirizzo fisico o elettronico per la consegna dei beni o dei servizi. Pertanto, a meno che il pagamento non venga effettuato con denaro elettronico o non si utilizzino tecnologie intese al miglioramento della vita privata per nascondere il proprio indirizzo IP e acquistare un bene immateriale, raramente l'anonimato rappresenta oggi una possibilità sul web.

Questo capitolo si concentrerà, pertanto, sui rischi associati all'uso non autorizzato di tipo secondario dei dati personali e su quelli correlati alla violazione della riservatezza o alla falsa identità.

1.Uno degli usi secondari più diffusi dei dati personali è la pubblicità. Dopo avere identificato la persona, mediante le informazioni fornite registrandosi nel server o altri dispositivi tecnologici come i cookie, le relative informazioni vengono usate per personalizzare annunci pubblicitari in funzione delle sue abitudini, interessi, clickstream o modelli di acquisto. E non solo annunci che si riferiscono al titolare del sito web dei servizi o delle offerte, ma anche quelli pubblicati da terzi che hanno concordato di sostenere i costi finanziari del funzionamento del server effettuandone la pubblicità.

I paradigmi della pubblicità Internet sono le tecniche usate dalle società pubblicitarie, come DoubleClick. Le attività di DoubleClick si propongono di fornire spazio pubblicitario in rete e di facilitare agli inserzionisti la scelta dello spazio che fornirà una base idonea per le attività di comunicazione. L'altro elemento chiave del successo di DoubleClick sono le tecnologie TI, che consentono di isolare i criteri di identificazione e offrire agli inserzionisti strumenti per comunicare con gli utenti in modo mirato. Questa tecnologia utilizza una base di dati contenente dati relativi a vari milioni di utenti Internet, garantendo in tal modo che vengano contattati, mediante le campagne pubblicitarie, solo gli utenti 'target' desiderati.

A tale scopo, DoubleClick raccoglie ed effettua il trattamento di dati personali che consentono di identificare gli utenti, descriverne le abitudini e determinare, in tempo reale, quegli elementi della popolazione che è probabile che soddisfino i criteri di finalizzazione delle campagne pubblicitarie in corso. DoubleClick assegna un numero di identificazione esclusivo ad ogni utente che visita uno dei siti web della rete DoubleClick e deposita un cookie, che verrà usato in seguito per identificare l'utente quando accederà ad un altro sito DoubleClick e, in base ai relativi dati, per personalizzare l'annuncio più adatto all'utente in questione. Anche se il visitatore non accetta il cookie, è comunque possibile elaborarne il profilo, in particolare se il suo indirizzo IP è di tipo statico.

I dati personali registrati nella base di dati di DoubleClick sono: la parte permanente dell'indirizzo IP, cioè l'indirizzo della rete, il dominio, il paese, lo stato federale (USA), il codice postale, il codice SIC (Standard Industrial Classification System, USA), le dimensioni e il fatturato della società (in via opzionale), il sistema operativo, la versione, il fornitore di servizi, il numero di identificazione (assegnato da DoubleClick), il riferimento alle attività di browsing (rilevamento e analisi dei siti visitati dall'utente)¹³⁸.

Il 23 novembre 1999, è avvenuta la fusione tra DoubleClick e Abacus Direct Corporation. Abacus, che è oggi una divisione di DoubleClick, continuerà a gestire Abacus Direct, la componente di posta diretta di Abacus Alliance. Inoltre, è stato annunciato che Abacus ha dato il via alla creazione di Abacus Online, la componente Internet di Abacus Alliance. Secondo le informazioni riportate nel sito web di DoubleClick, la componente Abacus Online di Abacus Alliance consentirà ai consumatori statunitensi di Internet di ricevere messaggi pubblicitari personalizzati in base ai propri interessi individuali ¹³⁹. Per quanto riguarda la fusione suddetta, un cittadino californiano ha depositato una querela presso la Corte suprema dello Stato della California chiedendo di procedere contro DoubleClick a causa dell'esercizio su Internet di pratiche illecite, fuorvianti e ingannevoli che violano i diritti di riservatezza dell'opinione pubblica.

Nella querela si afferma inoltre che DoubleClick induce e ha indotto l'opinione pubblica (...) ad una falsa idea di tutela della vita privata e di sicurezza riguardo all'uso di Internet, acquisendo in modo ingannevole, memorizzando e vendendo milioni delle informazioni più private e personali degli utenti Internet a scopo di lucro. (…) Quando un utente Internet visita un sito web pubblico, viene depositato sul suo computer un cookie identificato in modo esclusivo. In seguito, quando l'utente in questione visita un sito web che dispone di informazioni sull'identità dell'utente in questione (…), quest'ultimo viene collegata al cookie di identificazione. I convenuti, mediante l'uso della base di dati di Abacus , sono in grado di ottenere una quantità potenzialmente enorme di dati personali relativi all'utente. Vengono inoltre individuati e registrati le abitudini di acquisto, le risposte alla pubblicità e i siti web visitati dall'utente Internet ¹⁴⁰.

DoubleClick afferma che, in seguito alle reazioni dell'opinione pubblica relative al progetto di collegare la propria base di dati con quella di Abacus, sinora non sono stati ancora fatti passi concreti in questa direzione.

Un altro esempio di come i dati personali possono essere sottoposti a trattamento secondo modalità inaccettabili da parte dell'utente Internet comune è l'attività svolta da SurfAid, una piccola società che fa parte della divisione IBM Global Services di Somers (New York)¹⁴¹. Questa società riceve quotidianamente i logfile di accesso dei propri clienti e ne effettua il pretrattamento per scoprire il percorso seguito dai visitatori per raggiungere il sito web del client. Vengono quindi usati potenti strumenti di datamining (estrazione di dati) per esplorare il file del client, che in alcuni casi contiene oltre 150 milioni di voci, e produrre una relazione giornaliera accessibile al client. In seguito, i client possono usare i programmi OLAP per scomporre e analizzare le informazioni.

2. Un altro rischio in cui incorrono le persone durante le transazioni elettroniche è la violazione della riservatezza delle informazioni trasmesse. Poiché Internet è una rete pubblica aperta dotata di protocolli noti, incentrata più sulla condivisione di informazioni che sulla protezione della relativa riservatezza o sicurezza, non è molto difficile per chiunque sia in possesso di qualche conoscenza tecnica dotarsi di una serie di strumenti software per intercettare e divulgare i dati trasmessi su Internet. E' inoltre possibile assumere in mala fede l'identità di una società o un'istituzione per ottenere informazioni che potrebbero essere usate in seguito per commettere frodi o crimini.

3. E' in fase di sviluppo una nuova forma di commercio: il commercio elettronico mobile, che si basa sulla terza generazione di telefoni cellulari e altri dispositivi palmari in grado di accedere in modo sicuro alla posta elettronica e alle pagine web usando un protocollo nuovo ¹⁴². Ne consegue che ai dati transazionali e di browsing potrebbero essere aggiunti i dati sull'ubicazione e sul traffico, nonché le abitudini di viaggio, al fine di elaborare un profilo ancora più accurato del consumatore. E, se si prendono in considerazione le fusioni e le concentrazioni tra le società di telecomunicazioni, i fornitori di servizi, i portali e le società di contenuti, la possibilità di aggregazione, integrazione e trattamento comune aumenta in modo esponenziale.

Un semplice esempio di ciò che potrà accadere in futuro è il fatto che, prevedibilmente, gli annunci pubblicitari seguiranno le persone ovunque attraverso i loro telefoni cellulari o gli assistenti digitali personali. "E' un tipo di finalizzazione basato sul posizionamento globale e non è poi così lontano," ha annunciato un portavoce di DoubleClick ¹⁴³. Un altro esempio è il progetto comune tra Yahoo! e CellPoint Systems AB inteso alla commercializzazione congiunta di un localizzatore persona-persona che utilizza i telefoni cellulari. Il sistema Yahoo! Find-A-Friend può essere utilizzato per ottenere informazioni come: "John si trova nei pressi di Picadilly Circus, a circa 3,2 km a nord-ovest da te", usando le risorse di rete dei telefoni cellulari GSM. Sebbene per partecipare a questo programma occorra il consenso, l'esempio indica le potenzialità delle nuove tecnologie delle telecomunicazioni, che consentono la localizzazione delle persone attraverso i dispositivi mobili ¹⁴⁴.

V. Analisi giuridica

In primo luogo, occorre ricordare che, come spiegato nei particolari nel capitolo 3, le norme sulla protezione dei dati oggetto della direttiva 95/46/CE e della direttiva 97/66/CE si applicano a Internet e ai dati personali soggetti a trattamento nelle transazioni elettroniche ¹⁴⁵. I paragrafi che seguono si incentreranno sugli aspetti di questi testi giuridici che riguardano, in modo particolare, le transazioni elettroniche.

Legittimazione del trattamento dei dati: principio della finalità (articoli 5 - 7 della direttiva 95/46/CE)

Il primo aspetto da considerare è la raccolta e il trattamento leali e leciti dei dati, compresi i principi della finalità e proporzionalità. Nel contesto delle transazioni elettroniche, è importante considerare il fatto che i dati personali potrebbero essere rilevati in modo che la persona interessata non se ne accorga. Il Gruppo di lavoro ha dichiarato più volte la propria preoccupazione riguardo a tutti i tipi di trattamenti attualmente effettuati su Internet da software e hardware senza che la persona interessata ne sia a conoscenza e che sono pertanto "invisibili" alla persona in questione ¹⁴⁶.

Quando vengono raccolti i dati personali di un utente Internet, la persona deve essere informata in modo chiaro sulla finalità del trattamento e sui destinatari o le categorie di destinatari di tali informazioni, in modo da poter decidere se effettuare o meno le transazioni alle condizioni suddette.

Inoltre, dovrebbero essere resi espliciti anche gli usi secondari dei dati personali e deve essere ottenuto il consenso qualora gli usi secondari non siano considerati compatibili con la finalità principale. Tra gli esempi di usi secondari incompatibili figurano la comunicazione di dati transazionali a terzi per consentire l'elaborazione di profili degli acquirenti ai fini delle proprie campagne pubblicitarie ¹⁴⁷, oppure l'uso di strumenti di datamining (estrazione di dati) per estrarre modelli comportamentali dall'elenco dei nomi dei siti web visitati da un utente Internet.

Occorre notare, inoltre, che il consenso, da parte della persona interessata, al trattamento dei propri dati personali nel quadro di una transazione elettronica commerciale non è richiesto per la raccolta dei dati necessari allo svolgimento della transazione. Si tratta, di per sé, di un motivo legittimo di trattamento dei dati personali dell'utente necessario per tale finalità, secondo quanto stabilito nell'articolo 7(b) della direttiva. Qualsiasi altro dato correlato, tra cui i dati invisibili che non sono in alcun modo necessari per lo svolgimento della transazione, possono essere soggetti a trattamento solo sulla base degli altri motivi legittimi indicati nell'articolo 7 della direttiva, ad esempio il consenso inequivocabile, l'adempimento di un obbligo legale, l'interesse vitale della persona interessata o gli interessi legittimi dei responsabili del trattamento a condizione che non prevalgano i diritti e libertà fondamentali della persona interessata. Ciò vale anche per le transazioni di pubblica amministrazione, poiché la legittimità della raccolta e del trattamento dei dati personali da parte degli organismi pubblici si basa sulle norme giuridiche ¹⁴⁸.

Un uso secondario, citato di frequente dai responsabili del trattamento dei siti web personali, è la manutenzione tecnica e il dimensionamento dell'apparecchiatura TI. Si tratta, ovviamente, di una preoccupazione legittima al fine di offrire un buon servizio ai clienti, ma che può essere risolta completamente utilizzando dati non identificabili, poiché per dimensionare i computer e le linee di telecomunicazione sono necessari solo dati aggregati. I responsabili del trattamento possono conservare i dati personali per motivi tecnici solo se ciò è strettamente necessario rispetto alla finalità e se una delle motivazioni legittime del trattamento dei dati è applicabile in questo caso.

Informazione della persona interessata (articolo 10 della direttiva 95/46/CE)

Il responsabile del trattamento, inoltre, deve fornire alla persona interessata informazioni chiare, tra cui l'identità del responsabile del trattamento, le finalità del trattamento, i destinatari dei dati, se rispondere alle domande è obbligatorio o volontario, nonché le eventuali conseguenze di una mancata risposta, e l'esistenza del diritto di accesso ai dati e di rettifica in merito ai dati che riguardano la persona interessata. La persona interessata deve essere informata del proprio diritto di opporsi al trattamento.

Le informazioni devono essere fornite alla persona interessata direttamente sullo schermo da cui vengono raccolti i dati o attraverso un'apposita casella di dialogo, come spiegato nel capitolo 5.

Per i siti web è molto semplice fornire le informazioni alla persona interessata e accertarsi che quest'ultima abbia avuto almeno la possibilità di leggerle visualizzandole come componente obbligatoria del processo di transazione, prima di prendere qualsiasi decisione. Per essere completamente certi che le clausole visualizzate non siano state successivamente modificate, esse possono includere una firma elettronica creata con la chiave privata del commerciante. In questo modo, l'utente ha la prova delle condizioni che ha concordato. Tale idea sembra attuare l'articolo 10, paragrafo 3, della direttiva sul commercio elettronico che stabilisce che le clausole e le condizioni generali del contratto proposte al destinatario devono essere messe a sua disposizione in un modo che gli permetta di memorizzarle e riprodurle ¹⁴⁹.

Conservazione dei dati personali e dei dati sul traffico (articolo 6 della direttiva 95/46/CE e articolo 6 della direttiva 97/66/CE)

L'articolo 6(1)(e) della direttiva sancisce l'obbligo di non conservare dati identificabili per un arco di tempo superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati.

Per quanto riguarda i dati sul traffico, devono essere osservate le severe restrizioni imposte dall'articolo 6 della direttiva 97/66/CE: i dati sul traffico devono essere cancellati o resi anonimi al termine della comunicazione (nella fattispecie, della transazione elettronica).

Il Gruppo di lavoro ha affrontato il tema specifico della conservazione dei dati sul traffico da parte dei fornitori di servizi Internet a fini giudiziari nella raccomandazione 3/99 ¹⁵⁰. Questa raccomandazione sottolinea il fatto che, in linea di principio, i dati sul traffico non devono essere conservati esclusivamente a fini giudiziari e che le leggi nazionali devono costringere gli operatori delle telecomunicazioni, i servizi di telecomunicazione e i fornitori di servizi Internet a mantenere dati sul traffico per un periodo di tempo superiore a quello necessario ai fini di fatturazione ¹⁵¹.

Decisioni individuali automatizzate (articolo 15 della direttiva 95/46/CE)

Come citato in precedenza, i dati correlati alle transazioni non possono essere conservati a tempo indeterminato. Ciò vale, in particolar modo, quando si prevede di usare i dati nell'ambito di decisioni individuali automatizzate (come il rifiuto di una richiesta o il recesso da un acquisto) basate su dati precedentemente memorizzati.

In tal caso, devono essere fornite alla persona interessata garanzie adeguate ¹⁵². Tra tali garanzie figurano il diritto per qualsiasi persona di non essere sottoposta ad una decisione che abbia effetti significativi nei suoi confronti e che sia fondata esclusivamente su un trattamento automatizzato dei dati che la riguardano.

Diritti della persona interessata (articolo 12 della direttiva 95/46/CE)

E' obbligatorio, inoltre, stabilire procedure chiare ed efficaci per consentire alla persona interessata di esercitare i propri diritti di accesso, rettifica, cancellazione o congelamento dei dati. Quando le persone interessate esercitano i propri diritti, il responsabile del trattamento deve fornire loro informazioni trasparenti sull'esistenza o meno di dati personali registrati negli archivi del responsabile del trattamento e, in tal caso, quali sono i dati soggetti al trattamento, la relativa fonte, le finalità del trattamento, le categorie di dati trattati e i destinatari o le categorie di destinatari cui sono comunicati i dati. Queste informazioni devono essere fornite in forma intelleggibile e, nell'ambito delle transazioni elettroniche, si raccomanda di fornire le informazioni attraverso la connessione in linea stabilita, a meno che la persona interessata non abbia richiesto di riceverle in un altro modo standard.

Una questione molto importante riguardante l'accesso ai dati correlati alle transazioni elettroniche, o rilevati attraverso di esse, è il diritto della persona interessata ad ottenere informazioni non solo sui dati fondamentali o primari, ma anche sulle informazioni derivate o consolidate. Ciò significa che, qualora sia stato effettuato qualsiasi tipo di elaborazione di profili, classificazione o suddivisione in categorie, ovvero se sono stati aggiunti dati ottenuti da terzi, devono essere comunicati all'interessato anche questi trattamenti, secondo quanto specificato nell'articolo 12(a) della direttiva.

Obblighi del responsabile del trattamento: riservatezza e sicurezza dei trattamenti (articoli 16 e 17 della direttiva 95/46/CE e 4 e 5 della direttiva 97/66/CE)

In tema di riservatezza e sicurezza, i responsabili del trattamento devono adottare misure appropriate per proteggere le informazioni fornite dai relativi clienti dalla diffusione o dall'accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all'interno di una rete, come nel caso delle transazioni elettroniche su Internet. Tali misure devono tenere conto dei rischi per la sicurezza e la riservatezza, della natura dei dati e delle tecnologie d'avanguardia.

Diritto applicabile (articolo 4 della direttiva 95/46/CE)

Un'altra questione che solleva preoccupazioni in merito al commercio elettronico su Internet è il diritto applicabile al trattamento dei dati personali rilevati dai siti web fuori dall'UE/SEE. Ciò comporta una serie di problemi che richiedono di essere analizzati caso per caso. Tuttavia, tale analisi deve tenere conto del fatto che le disposizioni di cui alla direttiva 95/46/CE si applicano chiaramente ai trattamenti effettuati usando strumenti situati, interamente o in parte, nel territorio dell'UE anche quando i responsabili del trattamento sono stabiliti fuori dalla Comunità ¹⁵³.

VI. Conclusioni

• Alla persona interessata devono essere fornite informazioni chiare e comprensibili in piena conformità al principio dell'informazione. Più specificamente, le informazioni sulla protezione dei dati, che sono strettamente correlate allo svolgimento della transazione elettronica, devono essere visualizzate, in via obbligatoria, nel corso della transazione elettronica in questione al fine di garantire che tali informazioni siano state comunicate alla persona interessata. Ciò deve risultare chiaro, indipendentemente dalle informazioni fornite ai visitatori di siti web che non effettuano acquisti. Come misura supplementare, deve essere messa a disposizione della persona interessata una firma digitale delle condizioni di trattamento dei dati personali in modo che la persona in questione possa sincerarsi, successivamente, che le clausole non sono state modificate.

• Deve essere rispettato interamente il principio della proporzionalità. Devono essere raccolti solo i dati necessari alla transazione elettronica. Inoltre, il trattamento di qualsiasi dato (in particolare, effettuato in modo invisibile per la persona interessata) deve essere giustificato in base a uno dei motivi di legittimazione di cui all'articolo 7 della direttiva.

• Se la persona interessata decide di non fornire altri dati personali oltre a quelli necessari allo svolgimento della transazione, la persona in questione non deve essere soggetta a discriminazioni per quanto riguarda le condizioni della transazione.

• Non deve essere effettuato alcun trattamento secondario senza che la persona interessata ne sia a conoscenza. Alla persona interessata devono essere fornite, al momento dell'accesso, tutte le informazioni sulla logica riguardante tali trattamenti. Inoltre, per legittimare il trattamento, devono sussistere il consenso inequivocabile oppure altri criteri di legittimazione secondo quanto previsto dalla direttiva 95/46/CE.

• In virtù delle disposizioni giuridiche esistenti, devono essere utilizzate le tecnologie di cifratura per tutelare, il più possibile, la riservatezza delle transazioni elettroniche e per garantire l'integrità dei messaggi mediante una firma elettronica.

• Laddove necessario, al fine di salvaguardare le transazioni, potrebbe essere raccomandabile utilizzare la tecnologia dei certificati digitali e, in particolare, qualora sia necessario un livello di sicurezza più elevato, i certificati digitali potrebbero essere memorizzati su carte intelligenti.

• Dal punto di vista della protezione dei dati, la possibilità di usare metodi di pagamento sicuri e anonimi rappresenta un elemento chiave per la tutela della vita privata su Internet.

• La raccolta e il trattamento di dati personali mediante sistemi automatizzati o simili, ubicati nel territorio dell'UE/SEE, sono soggetti alle disposizioni della legislazione comunitaria sulla protezione dei dati.

• Per quanto riguarda i dati sul traffico, devono essere osservate le severe restrizioni imposte dall'articolo 6 della direttiva 97/66/CE e deve essere presa in considerazione la raccomandazione 3/99 sulla conservazione dei dati sulle comunicazioni da parte dei fornitori di servizi Internet a fini giudiziari.

CAPITOLO 8: CYBERMARKETING

I. Introduzione

Internet non è solo una piattaforma di informazione di portata mondiale, ma anche un mercato internazionale in cui imprese concorrenti tentano di attrarre potenziali clienti. Il successo dipende dalla conquista del maggior numero possibile di clienti e, in particolare, di quelli realmente interessati al prodotto o al servizio offerto dall'impresa. A tale scopo, esse utilizzano profili e annunci pubblicitari mirati, basati sui predetti profili e presentati mediante la pubblicazione di banner nei siti web.

Un altro modo per raggiungere i clienti è l'invio di posta elettronica, e spesso il modo più efficace è l'inoltro, a più riprese, di grandi quantità di messaggi di posta elettronica non richiesti agli indirizzi di posta elettronica (cioè alle persone) reperiti negli spazi pubblici di Internet. Questo genere impopolare di invio di posta elettronica è denominato "spamming"¹⁵⁴.

In entrambi i casi, è necessario disporre dei dati personali dei clienti. Questi dati vengono spesso rilevati con facilità da Internet. Molti utenti Internet non sanno che, durante la navigazione, essi lasciano dietro di sé una grande quantità di dati che possono essere utilizzati per fare ipotesi sui loro settori di interesse, preferenze e comportamenti ¹⁵⁵.

La pubblicità mirata può essere accettabile in una certa misura, quando è nell'interesse del cliente. Ma se l'utente non sa quali dati vengono rilevati e da chi, e per quale finalità essi saranno utilizzati, egli perderà il controllo dei propri dati personali. E' pertanto sbagliato rilevare questi dati senza il consenso dell'utente e persino senza che quest'ultimo ne sia a conoscenza.

II. Descrizione tecnica

Elaborazione di profili e pubblicità on-line ¹⁵⁶

L'elaborazione di profili on-line può essere effettuata in vari modi:

- Un sito web crea i profili rilevando i dati dei propri clienti dalle interazioni tra il sito web e il cliente. Ciò avviene mediante l'uso dei cookie, che seguono le mosse dell'utente sul web. In base alle modalità di configurazione del browser dell'utente, è possibile che egli sia a conoscenza del fatto che il sito web stia depositando un cookie sul suo disco fisso. Usando il profilo del cliente, il sito web offrirà al cliente prodotti (ad esempio, libri) o riferimenti ad altri siti web che possano interessarlo.

- Nel campo del "cybermarketing ad incentivi", le persone possono partecipare ad un gioco o a una gara se forniscono i propri dati personali per l'elaborazione di profili. In tal caso, la raccolta di dati avviene normalmente con la conoscenza della persona e ed è quindi soggetta alla sua autorizzazione ¹⁵⁷.

- Le società pubblicitarie in rete (ad esempio, DoubleClick, Engage ¹⁵⁸) gestiscono e inviano banner pubblicitari ¹⁵⁹(in seguito denominati banner) su base contrattuale per conto di vari siti web. I banner vengono inseriti nel sito web richiesto mediante un collegamento ipertestuale invisibile con una società pubblicitaria. Per fornire al cliente il banner più "appropriato", le società pubblicitarie in rete elaborano dei profili usando una serie di cookie attraverso il collegamento ipertestuale. In base alla configurazione del browser, l'utente può essere a conoscenza del deposito del cookie e può dare o meno il proprio consenso. Il profilo del cliente viene collegato al numero di identificazione del cookie della società pubblicitaria in modo da poter essere ampliato ogniqualvolta il cliente visita un sito web che detiene un contratto con la società pubblicitaria.

I dati rilevati, dopo essere stati analizzati, possono essere integrati con dati demografici (età, genere, ecc.) e combinati con altri dati che caratterizzano il gruppo cui l'utente ovviamente appartiene in base al proprio comportamento on-line (ad esempio, interessi, comportamenti). Questo lavoro di analisi ed integrazione può essere effettuato da programmi speciali (in particolare, gli strumenti di datamining) disponibili sul mercato. Il risultato di tali procedure è l'elaborazione di profili molto particolareggiati, che consentono all'impresa web o alla società pubblicitaria in rete di prevedere i gusti, le esigenze e le abitudini di acquisto di un consumatore e, in base a tali ipotesi, di fornire un banner che corrisponda il più possibile agli interessi del cliente.

Quando i dati rilevati, raccolti attraverso il numero di identificazione del cookie della società pubblicitaria, non vengono collegati con i dati identificabili ¹⁶⁰di una determinata persona, essi possono essere considerati anonimi. Ma spesso, ad esempio quando il cliente compila un modulo d'ordine sul sito web dove la società pubblicitaria ha inserito il proprio banner, i dati identificabili potrebbero essere collegati o combinati con i dati esistenti già inseriti in un cookie, e fornire un profilo identificabile della persona interessata ¹⁶¹.

Invio di posta elettronica

Per una campagna di posta commerciale, una società deve disporre di un elenco completo e appropriato di indirizzi di posta elettronica dei potenziali utenti. Come citato in precedenza, spesso è molto facile usare le risorse disponibili su Internet. Vi sono tre modi diversi di rilevare gli indirizzi di posta elettronica da Internet ¹⁶²: la raccolta diretta presso i clienti o visitatori dei siti web, l'acquisto o il noleggio di elenchi forniti da terzi ¹⁶³e la raccolta presso gli spazi pubblici ¹⁶⁴, come gli elenchi pubblici di posta elettronica o le liste di indirizzi di posta elettronica, i gruppi di discussione o le chat room.

Su Internet, sono disponibili alcuni strumenti che agevolano la raccolta di indirizzi di posta elettronica. Questi programmi consentono di effettuare ricerche nei siti web o in parti della Usenet specificati in precedenza, mediante un elenco di URL o parole chiave correlate ad un campo di interesse predefinito (ad esempio, sport, viaggi) e quindi forniscono tutti gli indirizzi di posta elettronica reperiti nei siti/nelle pagine o nei forum. Vi è una serie di servizi che fungono da intermediari nella raccolta degli indirizzi di posta elettronica e nella vendita o il noleggio di liste di indirizzi di posta elettronica a prezzi molto bassi. Vi sono inoltre altri strumenti, specializzati nell'invio di messaggi di posta elettronica, che fungono da "fornitori di servizi di posta elettronica", cioè senza l'uso di un fornitore di servizi Internet o di altri fornitori che offrono servizi di posta elettronica. Questi programmi consentono, da un lato, di raggirare tutti i filtri per i messaggi di posta elettronica non richiesti (spamming), installati da quei fornitori e, dall'altro, garantiscono un funzionamento rapido e automatico. Il mittente, se lo desidera, può usare il servizio di host-spamming, anch'esso offerto a basso prezzo, che prevede che lo spamming venga effettuato da terzi.

III. Analisi giuridica

In materia di elaborazione di profili on-line e posta elettronica possono trovare applicazione varie direttive.

La direttiva sulla protezione dei dati

La direttiva generale stabilisce che i dati personali devono essere rilevati lealmente, per finalità determinate, esplicite e legittime, e trattati lealmente e lecitamente in conformità alle finalità dichiarate ¹⁶⁵.

Il trattamento deve essere effettuato sulla base di motivazioni legittime, quali il consenso, l'esecuzione di un contratto, un obbligo legale o un equilibrio di interessi. ¹⁶⁶Inoltre, la persona deve essere informata della finalità del trattamento, ivi compresa la trasmissione dei dati a terzi prima che tale trasmissione venga effettuata ¹⁶⁷, e deve avere il diritto di opporsi al trattamento dei propri dati personali a fini di invio di materiale pubblicitario ¹⁶⁸. La persona interessata, inoltre, deve avere il diritto di accedere ai dati che la riguardano e rettificarli, cancellarli o congelarli ¹⁶⁹.

La direttiva sulle vendite a distanza

La direttiva sulle vendite a distanza ¹⁷⁰ stabilisce che, come minimo, i consumatori devono avere il diritto di opporsi alle comunicazioni a distanza effettuate mediante la posta elettronica ¹⁷¹.

La direttiva specifica sulla tutela della vita privata e le telecomunicazioni

La direttiva 97/66/CE offre la possibilità ai legislatori nazionali di attuare la possibilità di adesione o di recesso per quanto riguarda le comunicazioni commerciali non richieste ¹⁷².

I casi in cui vengono usati sistemi automatizzati di chiamata o telefax a fini di invio di materiale pubblicitario sono soggetti al preventivo consenso del consumatore ¹⁷³. La definizione di sistemi automatizzati di chiamata, che è molto ampia, potrebbe essere applicata agevolmente anche alla posta elettronica.

Nel mese di luglio 2000, la Commissione europea ha presentato una proposta relativa ad una nuova direttiva concernente il trattamento dei dati personali e la tutela della vita privata nel settore delle comunicazioni elettroniche, in sostituzione della direttiva 97/66/CE.

In questa proposta, l'articolo riguardante le comunicazioni commerciali non richieste comprende esplicitamente la posta elettronica, che è consentita solo nel caso in cui gli abbonati abbiano dato preventivamente il loro consenso.

La direttiva sul commercio elettronico

La direttiva sul commercio elettronico ¹⁷⁴ stabilisce che le comunicazioni commerciali di posta elettronica devono essere identificabili some tali ¹⁷⁵e che devono essere consultati regolarmente e rispettati i registri in cui possono iscriversi le persone fisiche che non desiderano ricevere tali comunicazioni ¹⁷⁶.

Sebbene né la direttiva generale né quella sulle telecomunicazioni si riferiscano esplicitamente al commercio elettronico, esse devono essere applicate in questo settore: i considerando e l'articolo 1, paragrafo 5 b), della direttiva sul commercio elettronico chiariscono che questa direttiva non si propone in alcun modo di modificare i principi giuridici e le disposizioni oggetto del quadro normativo esistente. Ne segue che l'attuazione della direttiva sul commercio elettronico deve essere completamente in linea con i principi sulla protezione dei dati sanciti dalla legislazione pertinente. Pertanto, la legislazione nazionale sulla protezione dei dati continuerà ad applicarsi alle società responsabili del trattamento dei dati personali ¹⁷⁷. Inoltre, gli Stati membri possono attuare le norme che sono previste dalla direttiva sulle telecomunicazioni e che superano le disposizioni della direttiva sul commercio elettronico, cioè che le comunicazioni commerciali possono essere soggette al preventivo consenso da parte del destinatario ¹⁷⁸.

IV. Conclusioni

Le norme stabilite dalla direttiva generale, la direttiva sul commercio elettronico, la direttiva sulle vendite a distanza e la direttiva sulle telecomunicazioni sono applicabili all'uso della posta elettronica a fini di 'cybermarkting'.

All'elaborazione di profili on-line si applica solo la direttiva generale. Sebbene l'elaborazione di profili on-line rientri nel commercio elettronico, tale argomento non viene trattato nella direttiva sul commercio elettronico. Inoltre, neppure la pubblicità in rete rientra nella direttiva modificata sulle telecomunicazioni in quanto i fornitori che effettuano questo servizio sono esclusi esplicitamente dall'ambito di applicazione di tale direttiva.

E' pertanto possibile concludere quanto segue:

Elaborazione di profili e pubblicità on-line ¹⁷⁹

- I fornitori di servizi Internet devono informare gli utenti sulla finalità del trattamento dei dati che li riguardano prima della raccolta ¹⁸⁰. Ciò comprende il tipo, l'ambito di applicazione e il periodo di memorizzazione, nonché le finalità del trattamento, ad esempio l'uso per l'elaborazione di profili ¹⁸¹. Deve essere inoltre indicato espressamente se i dati verranno comunicati a terzi.

Queste informazioni devono essere fornite anche nei casi in cui i dati vengano rilevati usando pseudonimi o numeri di identificazione non personalizzati. In particolare, gli utenti devono essere informati in anticipo del deposito di eventuali cookie per l'elaborazione di profili. Ciò deve avvenire mediante un'apposita casella (prompt) che viene attivata anche se il browser non notifica all'utente il deposito del cookie.

- Agli utenti, in qualsiasi momento e come minimo, deve essere riconosciuto il diritto di opporsi al trattamento dei dati che li riguardano ¹⁸². Di conseguenza, i dati rilevati durante l'uso futuro di Internet non potranno essere usati per ampliare un profilo esistente. Ciò riguarda anche i casi in cui il trattamento è soggetto al preventivo consenso dell'utente.

- La personalizzazione dei profili deve essere soggetta al preventivo consenso informato delle persone interessate, le quali devono avere il diritto di revocare il proprio consenso in qualsiasi momento e con effetto futuro.

- Agli utenti deve essere data, in qualsiasi momento, la possibilità di accedere ai propri profili a fini di controllo. Essi devono inoltre avere il diritto di rettificare e cancellare i dati memorizzati ¹⁸³.

Posta elettronica

- L'impresa che rileva un indirizzo di posta elettronica direttamente presso l'utente a fini di invio di posta elettronica da parte dell'impresa in questione o di terzi cui l'indirizzo di posta elettronica sarà comunicato, deve informare l'utente, mediante strumenti tecnici adeguati, di tali finalità al momento della raccolta ¹⁸⁴.

- Poiché gli Stati membri possono scegliere tra l'attuazione della possibilità di adesione e quella di recesso, le imprese che inviano comunicazioni commerciali di posta elettronica devono garantire, mediante strumenti tecnici adeguati, che tali comunicazioni di posta elettronica siano identificabili da parte del destinatario ¹⁸⁵.

- Poiché gli Stati membri possono scegliere tra l'attuazione della possibilità di adesione o di recesso, prima di inviare comunicazioni commerciali di posta elettronica, l'impresa deve consultare i registri negativi in cui possono iscriversi le personale fisiche che non desiderano ricevere tali comunicazioni commerciali. Tali registri devono essere rispettati in ogni caso ¹⁸⁶. Sarebbe molto utile l'esistenza di registri negativi internazionali.

- La raccolta di indirizzi di posta elettronica presso gli spazi pubblici su Internet e il relativo uso per l'invio di comunicazioni commerciali sono contrari alla legislazione comunitaria in materia, cioè alla direttiva generale ¹⁸⁷. In primo luogo, questa prassi costituisce un trattamento sleale dei dati personali ¹⁸⁸. In secondo luogo, essa è contraria al principio della finalità,¹⁸⁹poiché le persone pubblicano il proprio indirizzo di posta elettronica per una finalità specifica, ad esempio, la partecipazione ad un gruppo di discussione, e tale finalità è molto diversa da quella dell'invio di comunicazioni commerciali per posta elettronica. In terzo luogo, non si può ritenere che essa superi la prova dell'equilibrio di interessi ¹⁹⁰, alla luce del fatto che il mittente viene penalizzato in termini di tempo, costi e fastidio irragionevole.

• Cinque Stati membri (Germania, Austria, Italia, Finlandia e Danimarca) hanno adottato misure intese e vietare le comunicazioni commerciali non sollecitate. In altri Stati membri, esiste o un sistema di possibilità di recesso oppure la situazione non è del tutto chiara. Le società dei paesi in cui è prevista la possibilità di recesso possono finalizzare i propri indirizzi di posta elettronica non solo nel proprio paese ma anche verso i consumatori degli Stati membri dotati di un sistema che prevede la possibilità di adesione. Inoltre, poiché molto spesso gli indirizzi di posta elettronica non forniscono l'indicazione del paese di residenza dei destinatari, un sistema di regimi divergenti nel mercato interno non consente una soluzione comune per quanto riguarda la vita privata del consumatore. La possibilità di adesione è quindi una soluzione ben equilibrata ed efficace per eliminare gli ostacoli alla fornitura di comunicazioni commerciali pur proteggendo il diritto fondamentale dei consumatori alla vita privata. Il Gruppo di lavoro, pertanto, si compiace e sostiene la proposta di far fronte agli invii di posta elettronica indesiderati come per i sistemi automatizzati di chiamata e ai telefax. In tutte queste situazioni, l'abbonato non ha un'interfaccia umana e sostiene, interamente o in parte, i costi della comunicazione. Il grado di invasione nella vita privata e l'onere economico sono comparabili.¹⁹¹

CAPITOLO 9: MISURE INTESE AL MIGLIORAMENTO DELLA VITA PRIVATA

I. Introduzione

La direttiva comunitaria sulla protezione dei dati contiene due principi che hanno conseguenze dirette per la progettazione e l'uso di nuove tecnologie:

- il principio della "finalità" o dello "scopo" prevede che i dati personali possono essere usati solo se necessario per una determinata finalità legittima; in altre parole, i dati personali non possono essere usati senza un motivo legittimo e la persona conserva l'anonimato (articolo 6(1) e 7).

- il principio della "sicurezza dei dati" prevede che i responsabili del trattamento attuino misure di sicurezza appropriate rispetto ai rischi per i dati personali presentati dalla memorizzazione o trasmissione, allo scopo di proteggere i dati personali dalla distruzione accidentale o illecita e dalla perdita accidentale, dall'alterazione, dalla diffusione o dall'accesso non autorizzati, segnatamente quando il trattamento comporta la trasmissione di dati all'interno di una rete, nonché da qualsiasi altra forma illecita di trattamento (articolo 17).

Il suddetto principio della "finalità" o dello "scopo" è l'idea che soggiace al concetto di tecnologia intese al miglioramento della vita privata. Tale concetto si riferisce ad una serie di tecnologie che salvaguardano la vita privata, in particolare minimizzando o eliminando la raccolta o il trattamento successivo di dati identificabili ¹⁹². Le tecnologie intese al miglioramento della vita privata mirano ad impedire qualsiasi forma illecita di trattamento, ad esempio rendendo tecnicamente impossibile l'accesso ai dati personali da parte di persone non autorizzate, in modo da evitarne l'eventuale distruzione, alterazione o diffusione.

L'attuazione pratica di tale concetto richiede soluzione organizzative e tecniche.

Queste tecnologie si basano spesso sull'uso di un protettore dell'identità ¹⁹³. Il protettore dell'identità può essere considerato un elemento del sistema che controlla il rilascio della vera identità della persona ai vari processi all'interno del sistema di informazione. Il suo compito è delimitare alcune zone del sistema, che richiedono l'accesso alla vera identità. Una delle funzioni più importanti del protettore dell'identità è convertire la vera identità di un utente in uno pseudonimo, un'identità alternativa (digitale) che l'utente può adottare utilizzando il sistema.

Possono essere usate varie tecniche per inserire un protettore di identità in un sistema di informazione, tra cui le tecniche di cifratura che prevedono le firme digitali, le firme cieche, gli pseudonimi digitali e i terzi fiduciari.

II. Tecnologie intese al miglioramento della vita privata

Questa sezione descrive e analizza una serie di tecnologie intese al miglioramento della vita privata ¹⁹⁴.

Cookie killer

Vengono analizzati in seguito due tipi di risposte alla risoluzione dei problemi per la vita privata derivanti dai cookie. La prima ha avuto origine dalla stessa industria Internet ed è stata inserita nei principali browser disponibili sul mercato. La seconda è pervenuta dai vari attivisti in materia di vita privata o dalle case di software. Essa consiste di strumenti che consentono di cancellare tutti i cookie o una parte di essi.

Il meccanismo di opposizione ai cookie usato dall'industria

L'unico tentativo visibile per risolvere il problema dei cookie è rappresentato dal meccanismo di opposizione ai cookie utilizzato nei comuni browser sin dalla versione 3. Un utente Internet informato può parametrare il browser scegliendo uno delle tre opzioni che seguono:

— accettare ogni cookie

— rifiutare cookie o cookie non rinviato al server di origine (Netscape)

— decidere caso per caso

I meccanismi di opposizione ai cookie restano insufficienti per i seguenti motivi:

1. Normalmente, l'impostazione predefinita è la più invasiva per la vita privata (l'accettazione di tutti i cookie) e l'utente Internet medio non sa che il cookie viene usato ampiamente, ad esempio dalle società di cybermarketing per tracciare le parole chiave inserite nei motori di ricerca usando strumenti di trattamento invisibili..

2. Il meccanismo di bloccaggio dei cookie inibisce il ricevimento di nuovi cookie ma non impedisce l'invio sistematico e invisibile dei cookie già ricevuti.

3. La natura dei cookie può essere molto diversa: alcuni sono utili e non hanno carattere identificativo (ad esempio, la lingua preferita). Altri sono di tipo identificativo ma possono essere usati in conformità alle disposizioni sulla vita privata. In generale, si può affermare che i cookie di sessione ¹⁹⁵sono molto meno invasivi per la vita privata di quelli persistenti. Il rifiuto di tutti i cookie potrebbe non essere nell'interesse dell'utente Internet.

4. Molti siti web rifiutano l'accesso agli utenti che non intendono accettare i cookie.

5. Molti siti web (o quelli collegati in modo ipertestuale invisibile) inviano serie di cookie e un approccio di tipo caso per caso obbligherà l'utente a rifiutarne uno dopo l'altro, causando il cosiddetto "affaticamento da mouse", che condurrà l'utente ad accettare il cookie una volta per tutte per non essere più disturbato.

6. In alcuni casi, la formulazione dell'avviso relativo al cookie ¹⁹⁶sembra incompleta e può essere fuorviante.

7. Quando si installa un nuovo browser, il primo sito da visitare (per default, il sito web del produttore del browser) può inviare un cookie prima che l'utente abbia la possibilità di disattivare la relativa funzione.

Nel mese di luglio 2000, Microsoft ha annunciato l'uscita di una 'beta security patch' per la prossima versione di Internet Explorer che consentirà di migliorare la gestione dei cookie web.¹⁹⁷Secondo le prime informazioni, la patch offrirà varie funzioni per consentire agli utenti di controllare i cookie in modo più efficace. Il browser riuscirà a differenziare tra cookie diretti (first-party) ed indiretti (third-party); l'impostazione predefinita segnalerà all'utente quando viene depositato un cookie indiretto. I cookie indiretti persistenti sono molto usati dalle società pubblicitarie, come DoubleClick o Engage, per tracciare le attività degli utenti di computer. Inoltre, la nuova funzionalità permetterà agli utenti Internet di cancellare tutti i cookie con un solo clic e consentirà un migliore accesso alle informazioni sulla sicurezza e sulla vita privata. Tuttavia, la security patch non aumenta il controllo del consumatore sull'uso, peraltro prevalente sui siti commerciali, dei cookie diretti.

Programmi indipendenti

Cookie washer, cookie cutter, cookie master o cookie cruncher sono solo alcuni dei programmi freeware o shareware che ogni utente Internet può scaricare e usare sulla rete ¹⁹⁸. Anche in questo caso, si possono fare osservazioni simili alle precedenti:

1. l'utente Internet deve trattare i propri cookie file quotidianamente e caso per caso, a causa della natura diversa dei vari cookie;

2. nel caso dei programmi shareware, talvolta l'utente Internet deve pagare per tutelarsi;

3. il meccanismo di gestione dei cookie non è sempre facile da usare o da comprendere da part di un utente Internet medio.

Proxy server

Un proxy server è un server intermedio tra l'utente Internet e la rete. Funge da web cache, migliorando sensibilmente il tasso di visualizzazione delle informazioni (ad esempio, la visualizzazione di pagine web). Molte grandi organizzazioni o fornitori di accesso Internet hanno già adottato questa soluzione. Le pagine, le immagini o i logo scaricati dall'esterno da parte di un membro di un'organizzazione vengono memorizzati in una memoria cache nel proxy e verranno messi immediatamente a disposizione anche degli altri membri dell'organizzazione.

In questo caso, non è necessario che ogni membro dell'organizzazione sia ubicato prima del proxy server per disporre di un proprio indirizzo IP, poiché non accede direttamente ad Internet. Inoltre, il proxy server non trasmetterà, di norma ¹⁹⁹, l'indirizzo IP dell'utente Internet al sito web e potrà filtrare il browser chattering. Poiché i proxy server gestiscono il protocollo HTTP, essi possono eliminare, modificare o memorizzare con facilità i cookie memorizzati nell'intestazione HTTP.

Software anonimizzante

Il software anonimizzante consente agli utenti di interagire in modo anonimo durante la visita dei siti web, passando prima da un sito web anonimizzante che ne maschera l'identità ²⁰⁰.

Passando da un sito web anonimizzante prima di accedere a qualsiasi altro sito Internet, l'utente può consentire al sito web destinatario di trattenere i dati personali, come l'indirizzo IP dell'utente. I siti anonimizzanti impediscono, inoltre, l'invio ai siti web dei dati di sistema (come il sistema operativo e il browser utilizzati), il deposito di cookie nei browser e bloccano Java e JavaScript, che possono accedere ai dati personali contenuti nei browser.

Anonymiser ²⁰¹o Zero-Knowledge Systems ²⁰²ne costituiscono due ottimi esempi.

Anonymiser sostiene di:

• fungere da intermediario tra l'utente e i siti visitati, mascherando l'identità dell'utente in questione da misure di tracciamento invasive

• bloccare i programmi Internet contenuti nella pagine web (Java e JavaScript) che possono danneggiare il computer dell'utente o che sono in grado di rilevare dati personali sensibili.

Anonymiser offre due servizi: la navigazione anonima e la posta elettronica anonima, e un prodotto, il server anonimizzante. Il server anonimizzante consente a chiunque di creare un proprio sito anonimizzante.

A volte, l'utente Internet deve pagare per poter sfruttare appieno i vantaggi dei servizi anonimi e deve sempre contattare il sito web di Anonymiser per usare i servizi anonimizzanti. Ciò significa che questo servizio rimane vulnerabile alla sorveglianza di terzi. Anonymiser è in grado di fornire servizi anonimi, come la navigazione, la posta o il trasferimento di file.

Dal punto di vista tecnico, Anonymiser fune da proxy server e nasconde il browser chattering HTTP nonché l'indirizzo IP del navigatore.

Il problema principale legato all'uso di questo servizio è che l'utente Internet deve affidarsi ad una determinata società la quale conoscerà tutte le attività svolte dall'utente sul web.

Zero-Knowledge Systems propone un software denominato "Freedom". Questa soluzione si basa su almeno tre relay TCP/IP combinati con una pesante cifratura (almeno 128 bit). Poiché il TCP/IP viene usato da tutti i servizi in rete, ogni servizio viene in tal modo cifrato e anonimizzato. Ognuna della tre stazioni intermedie TCP/IP conosce solo l'indirizzo TCP di quella precedente. Non tengono registri in modo che nemmeno due relay insieme sono in grado di tracciare le informazioni richieste o reperite. Naturalmente, l'instradamento delle informazioni è dinamico e cambierà, probabilmente, anche durante una comunicazione molto breve. Sembra che Freedom integri anche un sistema di gestione dei cookie.

Un altro esempio di questo tipo di servizi è offerto da privada.com. Questa società offre servizi che sostengono tutti i tipi di transazioni in rete, tra cui il browsing, la posta elettronica, l'invio di messaggi e, a breve, il commercio elettronico. L'infrastruttura di Privada si basa su un sistema di compartimentazione e cifratura.

L'utente riceve un CD-ROM o scarica un'applicazione client, PrivadaControl, dal proprio fornitore di servizi Internet. PrivadaControl comunica con i server della rete Privada che risiedono presso il fornitore di servizi Internet e funge da parete tagliafuoco (firewall) per la vita privata dell'utente. PrivadaControl mira a proteggere tutte le informazioni e i dati dal punto della transazione fino alla rete, garantendo la tutela della vita privata da parte di tutti gli attori, inclusi Privada e il fornitore di servizi Internet.

Usando PrivadaControl, l'utente crea un account digitale privato che rappresenta le sue attività on-line, dissociando completamente tutte le informazioni personali dall'utente dalle sue attività on-line. Sembra che PrivadaControl consenta all'utente di creare o cancellare identità digitali, scegliere tra di esse durante l'interazione on-line e impostare attributi e caratteristiche ad esse relativi.

Questo sistema non consente di bloccare tutti gli applet Java o i comandi Active-X ma permette all'utente di decidere il livello al quale possono funzionare la personalizzazione e i servizi web. I cookie vengono depositati sui server centralizzati della rete Privata e non sul personal computer dell'utente. Qualsiasi logfile o tentativo di datamining da parte di un sito web viene associato all'identità on-line dell'utente e non alla sua vera identità. Privada sostiene che gli utenti possono eliminare con facilità tutti i cookie depositati.

Il sistema proposto da iPrivacy viene presentato come un sistema in grado di permettere il commercio elettronico anonimo, dalla navigazione allo shopping e la spedizione. Esso consente al consumatore di navigare, effettuare ricerche in rete e fare acquisti on-line in modo anonimo senza rivelare l'identità del destinatario. Secondo la società, nemmeno loro conoscerebbero la vera identità dei consumatori che usano questi servizi. Per quanto riguarda la transazione, solo il consumatore e l'utente della carta di credito sarebbero a conoscenza delle informazioni personali per quanto riguarda l'acquisto effettuato on-line ²⁰³.

Filtri di posta elettronica e posta elettronica anonima ²⁰⁴

Questi sistemi sono già stato descritti nel capitolo relativo alla posta elettronica. Ciò che segue è un riassunto delle caratteristiche principali.

- Il filtraggio della posta elettronica scherma la posta elettronica in arrivo dell'utente e lascia passare solo i messaggi di posta elettronica che l'utente ha indicato di voler ricevere. Questi sistemi vengono utilizzati ampiamento per filtrare gli spam.

- La posta elettronica anonima consente agli utenti di offrire il proprio indirizo di posta elettronica on-line senza dover rivelare la propria identità ²⁰⁵. Su Internet, questo servizio è disponibile attualmente a titolo gratuito attraverso una serie di società che forniscono servizi di "ritrasmissione". Grazie a questi servizi, il ritrasmettitore elimina l'identità dell'utente dalla posta elettronica consegnata.

Infomediari

Una persona può decidere, inoltre, di avvalersi di un cosiddetto infomediario ²⁰⁶.

L'infomediario è una persona fidata o un'organizzazione abilitata web specializzata nei servizi di informazione e conoscenza relativi a, o per conto di, una comunità virtuale. L'infomediario agevola ed incentiva la comunicazione intelligente e l'interazione tra i membri della comunità virtuale. Esso amministra e coltiva un patrimonio di conoscenze proprietario costituito da contenuti e collegamenti ipertestuali di interesse specifico per la comunità. In conformità ai vincoli di riservatezza imposti dalla comunità virtuale, l'infomediario raccoglie, organizza e rilascia, selettivamente, informazioni sulla comunità e i relativi membri per soddisfare alle esigenze della comunità virtuale in questione…".

L'infomediario è un nuovo tipo di intermediario commerciale che aiutare i clienti a catturare, gestire e massimizzare il valore dei propri dati personali ²⁰⁷. I consumatori hanno mostrato di essere disposti a fornire i propri dati personali se essi possono trarne dei vantaggi, ma essi riconoscono, in misura crescente, di vendere la propria vita privata a poco prezzo a società che utilizzano i loro dati per promuovere i propri interessi. La remunerazione sulle informazioni che essi diffondono è, in parole povere, insoddisfacente ²⁰⁸.

Gli infomediari possono aiutare i client a fare ottimi affari con i venditori, aggregando le loro informazioni con quelle di altri client e usando il loro potere di mercato combinato per contrattare con i venditori per loro conto. Essi fungono da custodi, agenti e intermediari delle informazioni dei client, la commercializzazione presso le imprese (e ne consentono l'accesso) per conto del client tutelando, al contempo, i relativi dati personali da eventuali abusi.

L'aspetto positivo di un infomediario è che, in molti casi, esso può acquistare i beni o i servizi desiderati e fornirli al consumatore finale, conservandone l'anonimato. La società di infomediazione può inoltre fornire agenti intelligenti per aiutare gli abbonati a svolgere i propri compiti.

I client degli infomediari avranno teoricamente la possibilità di rimanere anonimi per sempre, navigando sul web e facendo acquisti on-line. Tuttavia, essi saranno incoraggiati a non farlo poiché riceveranno un piccolo compenso dai venditori ogniqualvolta decideranno di diffondere la propria identità o il proprio indirizzo di posta elettronica. Tale compenso potrà assumere la forma di un pagamento in denaro o uno sconto sul prezzo del prodotto venduto.

I client riceveranno inoltre pagamenti in contati a fronte della fornitura ai venditori selezionati dell'accesso ai loro profili. L'importo del pagamento in contati dipenderà dalle preferenze dei singoli client per quanto riguarda la vita privata. I client che scelgono di rimanere completamente anonimi rinunceranno ai pagamenti in contanti in cambio di garanzie relative alla loro vita privata. I client che sono tranquilli dei controlli imposti dall'infomediario sull'accesso alle loro informazioni e che capiscono il valore della diffusione selettiva al venditore possono generare pagamenti in contanti per se stessi.

In conclusione, si può affermare che sebbene gli infomediari possano svolgere un ruolo positivo per quanto riguarda la tutela dei dati personali degli utenti con cui essi intrattengono un rapporto di fiducia, la base di questa attività sta nella possibilità di guadagno derivante dalla diffusione o dall'accesso ai dati personali del cliente.

A seconda delle circostanze e della natura dell'infomediario, ciò può rappresentare sia un miglioramento sia un'invasione della vita privata.

III. Altre misure intese al miglioramento della vita privata

Per migliorare la trasparenza del trattamento o facilitare l'esercizio dei diritti delle persone interessate, possono essere utilizzate anche altre tecniche, tra cui:

P3P

P3P significa Platform for Privacy Preferences (Piattaforma per le preferenze in materia di protezione della vita privata)²⁰⁹. L'obiettivo della P3P è consentire ai siti web di esprimere le proprie preferenze in materia di vita privata e agli utenti di esercitare le proprie preferenze rispetto a tali prassi, in modo che essi possano prendere decisioni informate sulle proprie esperienze web e controllare l'uso delle proprie informazioni. L'intera comunità della protezione dei dati ha seguito lo sviluppo della P3P con grande interesse.

Nel mese di aprile 1998, il Gruppo di lavoro internazionale per la protezione dei dati nel settore delle telecomunicazioni ha emanato una posizione comune sugli elementi essenziali delle tecnologie intese al miglioramento della vita privata (ad esempio, la P3P) sul World Wide Web ²¹⁰. Il documento stabilisce le condizioni essenziali che qualsiasi piattaforma tecnica deve rispettare con riguardo alla tutela della vita privata sul World Wide Web, con l'obiettivo di evitare la raccolta sistematica di dati personali:

1. La tecnologia non può, di per sé, salvaguardare la vita privata sul web. Essa deve esse applicata in base a un quadro normativo.

2. Qualsiasi utente deve avere la possibilità di navigare nel web in modo anonimo. Ciò si applica anche allo scaricamento delle informazioni di dominio pubblico.

3. Prima che i dati personali, in particolare quelli diffusi dall'utente, vengano trattati dal fornitore di un sito web, deve essere ottenuto il consenso informato dell'utente. Inoltre, nella configurazione predefiniti della piattaforma tecnica devono essere inserire talune norme basilari inderogabili.

Due mesi più tardi, nel mese di giugno 1998, anche il Gruppo di lavoro ha emanato un parere ²¹¹. Il parere sottolineava il fatto che una piattaforma tecnica per la protezione della vita privata non sarà di per sé sufficiente a garantire tale protezione sul web. Occorre che essa sia applicata in un quadro di regole esecutive sulla tutela dei dati, in grado di fornire a tutti un livello minimo e non negoziabile di protezione della vita privata. Il parere citava inoltre una serie di questioni specifiche che sarebbero state sollevate dall'attuazione di un tale sistema nell'Unione europea.

Per esaminare l'applicazione della piattaforma P3P nell'ambito della direttiva europea sulla protezione dei dati e promuovere la comunicazione tra la comunità dell'UE sulla protezione dei dati e gli sviluppatori di software, è stato organizzato un seminario nel mese di settembre 1999, a cui hanno partecipato una delegazione di alto livello del World Wide Web Consortium e i membri dell'Internet Task Force. Il seminario ha evidenziato che un buona numero di questioni deve ancora essere affrontato.

Una volta risolte tali questioni, la piattaforma P3P potrà svolgere un ruolo positivo se applicato nell'ambito di un contesto adeguato. I principali aspetti positivo della piattaforma P3P sono i seguenti ²¹²:

- la piattaforma P3P può contribuire alla standardizzazione delle clausole sulla vita privata. Tale fatto, se attuato, pur non offrendo di per sé alcuna protezione per la vita privata, potrebbe promuovere notevolmente la trasparenza ed essere utilizzato per sostenere gli sforzi intesi a migliorare la tutela della vita privata.

- La piattaforma P3P può sostenere la crescita delle scelte relative alla vita privata, come l'anonimato e gli pseudonimi.

Occorre tuttavia tenere conto dei limiti 213 della piattaforma P3P:

- la piattaforma P3P non può proteggere la vita privata degli utenti in paesi dotati di una legislazione insufficiente sulla vita privata: non ha la capacità di creare una clausola pubblica o di richiedere che le proprie specifiche vengano rispettate sul mercato;

- la piattaforma P3P non può garantire che le società rispettino le clausole relative alla vita privata. Infatti, la piattaforma P3P non può garantire che il sito si comporti come esso stesso sostiene. Le sanzioni per il mancato rispetto di una dichiarazione di intento possono essere stabilite solo per legge o attraverso l'adesione ad un ente di autoregolamentazione.

La certificazione relativa alla vita privata

CAPITOLO 10 : CONCLUSIONI

Il presente documento si è occupato di una serie di argomenti illustrati in vari capitoli, ognuno dei quali riporta le osservazioni conclusive su questioni specifiche. Questo documento descrive, tuttavia, temi comuni correlati a tutti i servizi Internet, i quali meritano di essere trattati in termini più generali. Dopo un riassunto delle tendenze e dei rischi per la vita privata osservati in tutti i vari ambiti dell'uso di Internet, il documento tenta di fornire alcune linee guida e raccomandazioni, considerando le iniziative che potrebbero essere intraprese a vari livelli.

1. Tendenze e rischi

Lo sviluppo di Internet è esponenziale. L'utente Internet ha a sua disposizione una quantità crescente di servizi, dallo shopping on-line alla partecipazione a forum insieme a persone di tutto il mondo. A causa di questa complessità, diventa sempre più difficile avere un'idea adeguata di tutte le possibilità offerte all'utente. Le società cercano modi per attirare l'utente e distinguersi dalle altre offrendo servizi personalizzati e/o gratuiti.

La personalizzazione dei servizi si basa sull'uso dei dati personali degli utenti, che le società tentano di ottenere usando varie risorse, come incoraggiando la fornitura di tali dati da parte degli utenti stessi nell'ambito di programmi di fedeltà, omaggi o servizi gratuiti, raccolta presso le fonti disponibili al pubblico, ecc.

I profili elaborati non sono solo preziosi per le società che desiderano finalizzare un cliente, ma hanno un valore economico intrinseco poiché vengono spesso venduti o affittati a terzi.

Attualmente, lo sviluppo di nuove tecnologie consente di seguire un utente Internet con maggiore facilità. Ad esempio, quando un cliente utilizza un telefono mobile per connettersi ad Internet, è possibile generare i dati che ne indicano l'ubicazione.

Quando l'utente stabilisce una connessione Internet attraverso strumenti nuovi, ad esempio via ADSL o cavo, gli viene assegnato un indirizzo IP statico che ne agevola l'inseguimento di sessione in sessione. Le nuove generazioni di software e hardware offrono nuove funzioni che accrescono la capacità di sorvegliare le attività dell'utente in tempo reale, spesso senza che egli lo sappia. In questo documento sono stati forniti numerosi esempi di trattamento invisibile e software E.T.

In questo contesto, diventa difficile per l'utente medio conservare l'anonimato mentre è connesso a Internet.

La combinazione di queste capacità in evoluzione comporta nuovi rischi per la vita privata dell'utente Internet, in particolare quando i dati si concentrano nella mani di un unico o di un numero limitato di responsabili del trattamento.

Quando, ad esempio, i responsabili del trattamento utilizzano tecnologie di estrazione dei dati, essi hanno la possibilità tecnica non solo di trattare e riorganizzare i dati, ma anche di scoprire nuovi collegamenti e caratteristiche correlati alla persona interessata, che di solito è all'oscuro di tale possibilità e non è in grado di prevede un simile trattamento.

Tali rischi derivano anche dal fatto che alcuni dati vengono conservati on-line per un arco di tempo molto lungo; ad esempio, i messaggi inviati ai gruppi di discussione e alle mailing list vengono conservati, spesso, per diversi anni e possono essere consultati usando strumenti di ricerca derivata.

Tale disponibilità di dati personali ne consente un uso secondario imprevisto, che è spesso incompatibile con la finalità per cui i dati sono stati originariamente raccolti.

2. Linee guida e raccomandazioni

Alla luce dei rischi crescenti per la vita privata dell'utente Internet, secondo quanto descritto in precedenza, è particolarmente rilevante garantire che vengano messi in atto strumenti adeguati per assicurare che l'utente riceva tutte le informazioni necessarie per fare una scelta informata. Vari attori devono occuparsi della fornitura di queste informazioni all'utente.

In primo luogo, i responsabili della raccolta di dati personali on-line devono fornire alla persona interessata tutte le informazioni necessarie. Tali informazioni, citate nell'articolo 10 della direttiva 95/46/CE, devono essere fornite in qualsiasi caso, al momento della raccolta dei dati. Sebbene la pubblicazione nel sito web di una clausola sulla vita privata rappresenti un modo adeguato per fornire al pubblico informazioni generali, è necessario che le informazioni vengano fornite alla persona interessata presso cui vengono raccolti i dati in modo semplice a accessibile ogniqualvolta che tali dati vengono raccolti, ad esempio sullo stesso schermo in cui la persona in questione deve inserire i propri dati o mediante un'apposita casella di dialogo (prompt).

Se il responsabile del trattamento è una società privata, la conformità a tali norme non è importante solo in termini giuridici ma anche per il proprio interesse commerciale, poiché la fiducia e la sicurezza delle persone aumenteranno e potrebbero influire sui loro rapporti con la società. Per quanto riguarda lo sviluppo del commercio elettronico, ad esempio, si osserva che gli utenti sono riluttanti ad effettuare transazioni elettroniche se temono che i loro dati personali non saranno protetti e tutelati in modo corretto.

Se il responsabile del trattamento è un'autorità pubblica, la conformità alle norme sulla protezione dei dati è un elemento chiave, poiché il comportamento di tale autorità dovrebbe essere d'esempio per l'opinione pubblica generale. Ad esempio, le autorità pubbliche che intraprendono attività di governo elettronico dovrebbero considerare la vita privata tra i pilastri del sistema di scambio di dati. Inoltre, anche quando esse non operano in qualità di responsabili del trattamento, la loro responsabilità riguarda comunque il settore dell'educazione generale e dell'informazione al pubblico.

In particolare, alle autorità per la protezione dei dati è affidato il compito di sensibilizzare il pubblico sui rischi collegati all'uso di Internet, ma anche sui diritti e gli obblighi previsti dalla legislazione. Ciò può avvenire in vari modi, come la pubblicazione di depliant, relazioni, comunicati stampa, l'inserimento di raccomandazioni pratiche nei moduli delle notifiche, l'organizzazione o partecipazione a conferenze o seminari su tali temi, dedicati ai vari attori e settori della società.

Tradizionalmente, sono le associazioni e i tutori della vita privata a svolgere attività di sensibilizzazione del pubblico, secondo modalità che, talvolta, hanno condotto a miglioramenti importanti per quanto riguarda la conformità dei prodotti Internet alla vita privata.

In vari paesi dell'Unione europea, si è osservato che anche le associazioni dei consumatori si stanno occupando ed interessando, in misura crescente, degli aspetti delle attività dei consumatori per quanto riguarda la vita privata. Tale ruolo può rivelarsi particolarmente positivo, poiché non si limita alla fornitura di informazioni, ma si estende anche alla rappresentanza dei consumatori nei loro rapporti con le società o le autorità pubbliche. Queste associazioni, ad esempio, possono sorvegliare l'osservanza delle leggi da parte dei fornitori di servizi Internet, o informare le autorità pubbliche sui reclami ricevuti in relazione ad un determinato sito web o società Internet.

Anche le associazioni professionali possono esercitare un'influenza positiva, informando i nuovi attori dei loro obblighi giuridici.

Tutte le parti sopra citate svolgono un ruolo importante nel fornire al consumatore le informazioni necessarie per consentirgli di operare una scelta responsabile. Dipende poi dalla persona utilizzare gli strumenti a sua disposizione per garantire il rispetto dei propri diritti ed, eventualmente, per chiarire che non accetterà servizi o prodotti che non sono conformi al quadro normativo esistente.

La protezione dei dati on-line può essere garantita, in modo sufficiente, solo nel rispetto del quadro normativo esistente. In considerazione del carattere internazionale della rete, è essenziale che i responsabili del trattamento possano contare su un'interpretazione coerente e coordinata, e sull'applicazione delle norme europee sulla protezione dei dati. Ciò è importante non solo per le persone interessate e i responsabili del trattamento all'interno dell'UE, ma anche per quanti risiedono fuori dall'Unione, i quali devono tenere comunque conto del quadro normativo in essere, in particolare quando raccolgono dati personali utilizzando strumenti ubicati all'interno dell'Unione. In questo contesto, il Gruppo di lavoro ha un ruolo importante da svolgere.

In varie occasioni, il Gruppo di lavoro ha evidenziato la presenza di lacune o temi controversi nella legislazione esistente e ha emanato documenti che forniscono un'interpretazione comune ed eventuali soluzioni in proposito. Un'attenzione particolare è stata rivolta alla revisione della direttiva 97/66/CE, che ha apportato alcuni miglioramenti importanti alla terminologia utilizzata. Sebbene il Gruppo di lavoro si compiaccia del fatto che nel progetto di direttiva sono stati presi in considerazione temi nuovi, sono state presentante alcune proposte relative a punti specifici che potrebbero essere chiariti ancor meglio.

Il Gruppo di lavoro è preoccupato del fatto che le modifiche della legislazione esistente si tradurranno, in alcuni casi, in disposizioni giuridiche più severe per quanto riguarda, in particolare, le possibilità di sorveglianza sul web e la generalizzazione delle esigenze di identificazione dell'utente. Il Gruppo di lavoro ha ricordato il fatto che, sebbene potrebbero essere in gioco altri interessi legittimi, occorre sempre trovare un equilibrio tra gli interessi in questione e la protezione dei dati personali della persona interessata.

Occorre sottolineare il fatto che l'interpretazione e l'applicazione della legislazione non sono compito delle sole autorità pubbliche, ma che il settore privato può fornire un contributo proficuo in tal senso investendo nello sviluppo dell'autoregolamentazione o di codici di condotta riguardanti temi più specifici che interessano un determinato settore.

Come affermato in precedenza, il trattamento dei dati personali su Internet dipende, in gran parte, dalla configurazione tecnica di hardware e software, nonché dai protocolli e dalle norme tecniche usati per la trasmissione delle informazioni.

Pertanto, è particolarmente importante tenere conto delle disposizioni sulla vita privata sin dalle fase più precoce dello sviluppo di tutti questi strumenti; ad esempio, un browser non dovrebbe trasmettere più informazioni di quante non siano necessarie per stabilire una connessione con un sito web. Si incoraggia chi si occupa della progettazione e lo sviluppo di questi strumenti tecnici a consultare le autorità nazionali per la protezione dei dati in merito alle disposizioni giuridiche esistenti in materia.

Inoltre, per chiarire all'opinione pubblica quali sono i prodotti conformi alla vita privata, sarebbe utile mettere in atto un sistema di marchi di certificazione che consentirebbe di riconoscere con facilità i prodotti conformi alle disposizioni sulla protezione dei dati.

Poiché, tradizionalmente, le nuove tecnologie sono considerate una minaccia per la vita privata, dovrebbe essere puntualizzato, altresì, che esse rappresentano anche uno strumento utile in termini di tutela della vita privata.

In primo luogo, alcune tecnologie esistenti possono essere utilizzate per migliorare la trasparenza e la semplicità delle informazioni fornite alla persona interessata, ad esempio fornendo agli utenti informazioni semplici e accessibili al momento della raccolta dei dati personali.

In secondo luogo, esse possono rivelarsi uno strumento utile per semplificare l'esercizio dei diritti delle persone interessate, consentendo, ad esempio, l'accesso diretto on-line ai dati personali od offrendo la possibilità di opporsi al trattamento.

Tenendo conto del fatto che l'utente medio non è necessariamente a conoscenza degli aspetti tecnici dell'uso di Internet, e che non sempre è in grado di prendere autonomamente decisioni in merito o addirittura di modificare la configurazione dell'hardware e del software utilizzati, è determinante che le impostazioni predefinite dei prodotti offrano il massimo livello di protezione della vita privata.

E' stata sviluppata una serie di strumenti supplementari, meglio conosciuti come "tecnologie intese al miglioramento della vita privata" al fine di aiutare gli utenti a tutelare la loro vita privata, in particolare minimizzando o eliminando la raccolta o il trattamento successivo di dati identificabili e impedendo tecnicamente qualsiasi forma illecita di trattamento. Tra gli esempi di tali strumenti figurano i proxy server, i cookie killer, il software anonimizzante, gli strumenti di pseudonimizzazione (particolarmente preziosi per l'elaborazione di profili), i filtri per la posta elettronica, ecc. Tra gli eventuali nuovi prodotti potrebbero figurare carte intelligenti contenenti un protettore di identità portatile (portable identity protector - PIP), che la persona potrà inserire in qualsiasi macchina da cui stabilisce una connessione on-line.

Di tutti gli attori già citati nel paragrafo 2.1, l'industria e il settore pubblico sono quelli che dovrebbero investire e incoraggiare per primi lo sviluppo e l'attuazione di tecnologie che proteggono la vita privata. L'utente dovrebbe essere informato dell'esistenza di tali strumenti, che dovrebbero essere resi disponibili a costi ragionevoli.

La protezione dei dati on-line può essere efficace solo mettendo in atto strumenti adeguati per sorvegliare e valutare la conformità al quadro normativo e alle disposizioni tecniche illustrati in precedenza.

A tale scopo, anche se le autorità per la protezione dei dati hanno il compito di controllare, in primo luogo, l'esecuzione, altri attori si stanno adoperando nella direzione dell'autosorveglianza, avendo compreso l'impatto che la loro politica sulla vita privata può avere sul comportamento dei consumatori nei loro confronti.

Le autorità per la protezione dei dati possono contribuire allo sviluppo e al buon funzionamento di tali sistemi di autosorveglianza fornendo indicazioni, ad esempio sotto forma di elenchi di spunta per l'autovalutazione concordati a livello europeo.

Inoltre, potrebbero essere concesse delle certificazioni allo scopo di aiutare il consumatore ad avere un'indicazione affidabile della conformità di un trattamento di dati alla legislazione sulla protezione dei dati dell'UE. Il Gruppo di lavoro intende assumere iniziative in questo campo al fine di garantire, in particolare, che vengano concesse certificazioni sulla vita privata ai siti web che sono conformi alla legislazione europea sulla protezione dei dati.

Il Gruppo di lavoro invita tutti gli attori coinvolti nelle attività Internet a tenere conto di questo documento di lavoro e ad intraprendere le iniziative necessarie per mettere in pratica le raccomandazioni in esso contenute.

Il Gruppo di lavoro auspica che il presente documento di lavoro possa contribuire alla sensibilizzazione e promuovere il dibattito pubblico su questo tema, che richiederà sicuramente un'ulteriore analisi ed approfondimento in futuro.

GLOSSARIO DI TERMINI TECNICI ²²⁰

ADSL

ADSL (Asynchronous Digital Subscriber Line) è un protocollo di telecomunicazione che può essere utilizzato sulle classiche linee con doppino incrociato in rame. Permette di raggiungere velocemente sino a un MB al secondo, mantenendo simultaneamente la linea libera per le normali conversazioni telefoniche. L'ADSL richiede modem dedicati ADSL da installare ad entrambe le estremità della linea locale.

Autenticazione

Accertamento dell'identità di un utente che si connette ad un computer o accertamento dell' integrità di un messaggio trasmesso.

Banner

I banner pubblicitari sono piccole caselle grafiche che appaiono alla sommità o all'interno di un sito web.

Identificazione della linea chiamante

Quando viene effettuata una chiamata, questa funzione consente all'utente chiamato di identificare il chiamante presentando il numero della linea chiamante.

Clickstream

Informazioni derivate dal comportamento di una persona, il percorso o le scelte effettuate visitando i siti web. Queste informazioni contengono i collegamenti seguiti dall'utente e registrati nel web server (i computer dei fornitori di servizi Internet per coloro che non dispongono di un proprio web server).

Cookie

I cookie sono pezzi di dati creati da un web server, che possono essere memorizzati come file di testo e depositati sul disco fisso dell'utente, mentre una copia può essere conservata dal sito web. Essi rappresentano una parte standard del traffico HTTP e, in quanto tali, possono essere trasportati, senza ostacoli, con il traffico IP. Un cookie può contenere un numero esclusivo (GUI, Global Unique Identifier) che permette una migliore personalizzazione rispetto agli indirizzi IP dinamici. I cookie permettono al sito web di tenere traccia dei modelli e preferenze dell'utente.

I cookie contengono una serie di URL (indirizzi) per cui che essi sono validi. Il browser, quando incontra questi URL di nuovo, invia quei determinati cookie al web server.

La natura dei cookie può essere diversa: possono essere persistenti o avere una durata limitata, i cosiddetti cookies di sessione.

E' possibile disabilitare i cookie nel proprio browser o visualizzare un apposito avviso prima di accettarli.

Integrità dei dati

Il processo inteso ad impedire la cancellazione o contraffazione accidentale dei dati di una banca dati.

Datamining (estrazione di dati)

Comporta il vaglio di tonnellate di dati per scoprire modelli e relazioni contenuti nell'attività commerciale e nella storia. Viene normalmente effettuato utilizzando programmi che analizzano i dati in automatico.

Data warehouse (magazzino di dati)

Una base dati progettata per sostenere il processo decisionale di un'organizzazione. Può contenere quantità enormi di dati. Per esempio, grandi organizzazioni di vendita al dettaglio possono avere 100GB o più di storia transazionale. Quando la base di dati è organizzata per un dipartimento o una funzione, viene spesso chiamata 'datamart' piuttosto che data warehouse.

Certificato digitale

Un certificato digitale è un documento elettronico che contiene due gruppi di informazioni e che si propone come prova di identità nel mondo elettronico. Il primo gruppo di informazioni è rappresentato dalle varie e proprie informazioni del certificato, come il nome o lo pseudonimo della persona giuridica o fisica che ha richiesto il certificato, la relativa chiave pubblica, la validità del certificato e il nome dell'ente di certificazione. Il secondo gruppo di informazioni è rappresentato dalla firma elettronica dell'ente di certificazione. L'intero messaggio è firmato in modo digitale da un ente di certificazione che viene incaricato dai vari server ( gli enti di certificazione sono una sorta di terzi fiduciari) e può verificare il rapporto tra la persona giuridica o fisica e la relativa chiave pubblica.

Firma digitale

Una firma digitale è una stringa di dati aggiunta ad un messaggio e la sua integrità è garantita dalla crifratura (o riassunto di un messaggio) ottenuta con la chiave privata del firmatario. Chiunque riceva il messaggio firmato potrà controllare se è stata modificata semplicemente decifrando la firma con la chiave pubblica del mittente e confrontando la stringa decifrata con il messaggio originale o il relativo riassunto.

Servizio dei nomi di dominio (Domain Name Service - DNS)

Il DNS (Domain Name Service) è un meccanismo di assegnazione dei nome ai computer identificati da un indirizzo IP. Questi nomi si presentano sotto forma di <nomi>.dominio di primo livello, dove <nomi> è una stringa costituita da una o più stringhe secondarie separate da un punto.

Dynamic Host Configuration Protocol (DHCP)