Parere del Garante europeo della protezione dei dati sulla proposta di decisione del Parlamento europeo e del Consiglio che istituisce un programma comunitario pluriennale per la protezione dei minori che usano Internet e le altre tecnologie di comunicazione (Pubblicato sulla GUUE n. C 2 del 7/1/2009)
IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI, visto il trattato che istituisce la Comunit europea, in particolare l'articolo 286, vista la Carta dei diritti fondamentali dell'Unione europea, in particolare l'articolo 8, vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonch alla libera circolazione di tali dati (1), visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonch la libera circolazione di tali dati (2), in particolare l'articolo 41, vista la richiesta di parere a norma dell'articolo 28, paragrafo 2, del regolamento (CE) n. 45/2001, ricevuta il 4 marzo 2008 dalla Commissione europea, HA ADOTTATO IL SEGUENTE PARERE:
I. INTRODUZIONE Consultazione del Garante europeo della protezione dei dati (GEPD) 1. A norma dell'articolo 28, paragrafo 2, del regolamento (CE) n. 45/2001, il 4 marzo 2008 la Commissione ha trasmesso al GEPD, per consultazione, la proposta di decisione del Parlamento europeo e del Consiglio che istituisce un programma comunitario pluriennale per la protezione dei minori che usano Internet e le altre tecnologie di comunicazione (nel prosieguo la proposta). Tale consultazione dovrebbe essere esplicitamente menzionata nel preambolo della decisione. Contesto della proposta 2. Il nuovo programma pluriennale (nel prosieguo il programma) viene presentato in continuit con i programmi Safer Internet (1999-2004) e Safer Internet Plus (2005-2008). 3. Vengono definiti quattro orientamenti: — ridurre i contenuti illeciti e lottare contro i comportamenti dannosi in linea, — promuovere un ambiente in linea pi sicuro, — sensibilizzare il pubblico, — creare una base di dati di conoscenze. 4. Il programma definito coerente e complementare con altre pertinenti politiche, programmi e azioni della Comunit. Tenendo conto del numero di misure di regolamentazione esistenti nel settore della protezione dei minori nel contesto delle nuove tecnologie, questo programma si concentra sulle azioni piuttosto che sulle misure regolamentari. L'attenzione incentrata sull'efficienza e l'efficacia delle iniziative da intraprendere e sull'adeguamento all'evoluzione delle nuove tecnologie. In tale prospettiva, prevede un potenziamento degli scambi di informazioni e di buone pratiche. 5. Essendo uno strumento quadro, il programma non si inoltra nei dettagli delle azioni da intraprendere ma prevede inviti a presentare proposte e bandi di gara in linea con i quattro orientamenti definiti. Punto centrale del parere 6. Gli orientamenti generali del programma affrontano la protezione dei minori che usano Internet e le altre tecnologie di comunicazione senza porre l'accento sugli aspetti legati alla vita privata (3). Pur sostenendo totalmente l'obiettivo della proposta, nel presente parere il GEPD evidenzier tali aspetti della vita privata. 7. Il GEPD ritiene essenziale che le iniziative pianificate siano coerenti con il quadro giuridico esistente citato nella proposta (4) e in particolare la direttiva 2000/31/CE sul commercio elettronico, la direttiva 2002/58/CE sulla e-privacy e la direttiva 95/46/CE sulla protezione dei dati (5). 8. Si dovrebbe tener conto della protezione dei dati personali relativamente ai vari aspetti e ai diversi soggetti interessati dal programma: naturalmente la questione principale la protezione dei dati personali dei minori, ma non l'unica: si dovrebbero prendere in considerazione anche i dati personali relativi alle persone e ai contenuti oggetto dei controlli volti alla protezione dei minori. 9. Il presente parere tratter tali questioni come segue: — il capitolo II svilupper il legame tra la protezione dei dati e la sicurezza dei minori, sottolineando il fatto che la protezione dei dati dei minori una misura indispensabile verso una maggiore sicurezza e la prevenzione degli abusi, — nel capitolo III il parere evidenzier il fatto che il trattamento dei dati personali anche inerente alla segnalazione, al filtraggio e al blocco di contenuti o persone sospetti su Internet: — nel primo punto verr analizzata la questione della segnalazione delle persone o dei fatti sospetti nella prospettiva della protezione dei dati, — il secondo punto si concentrer sul ruolo degli strumenti tecnici, — il terzo punto riguarder la responsabilit delle imprese del settore, in relazione al loro controllo sui dati relativi agli utenti e su quelli relativi ai contenuti. II. PROTEZIONE DEI DATI PERSONALI E DELLA SICUREZZA DEI MINORI 10. Il GEPD sostiene pienamente l'obiettivo del programma e gli orientamenti definiti al fine di migliorare la protezione dei minori in linea. In particolare, la riduzione dei contenuti illeciti o dannosi e la sensibilizzazione dei minori e delle altre persone coinvolte sono misure decisive che occorrerebbe sviluppare ulteriormente. 11. Il GEPD desidera ricordare che un'adeguata protezione delle informazioni personali dei minori costituisce la prima misura preliminare essenziale atta a garantirne la sicurezza mentre sono in linea. Detta interconnessione tra vita privata e sicurezza dei minori esplicita nella recente dichiarazione del Comitato dei ministri sulla protezione, la sicurezza e la vita privata dei minori su Internet (6). La dichiarazione ricorda il diritto dei minori alla dignit, ad una protezione e ad un'attenzione particolari necessarie al loro benessere, a una protezione contro ogni forma di discriminazione o di interferenza arbitraria o illecita nella loro vita privata e contro attacchi illegali al loro onore e alla loro reputazione. 12. Quali esempi dei rischi associati alla protezione della vita privata dei minori, la dichiarazione cita la rintracciabilit delle attivit dei minori che possono esporli ad attivit criminali, quali l'adescamento a scopi sessuali o altre attivit illecite. Anche la profilazione e la conservazione dei dati personali relativi alle attivit dei minori sono indicate come suscettibili di comportare potenziali rischi di abuso, ad esempio a fini commerciali, o per ricerche da parte di istituti di istruzione o di potenziali datori di lavoro. La dichiarazione invita pertanto a rimuovere o a sopprimere entro un termine ragionevolmente breve i contenuti e le tracce lasciati in linea dai minori nonch a sviluppare e a promuovere l'informazione di questi ultimi, specialmente sulla padronanza degli strumenti di accesso alle informazioni, a promuovere l'analisi critica dei contenuti e ad acquisire competenze adeguate in materia di comunicazione. 13. Il GEPD condivide tali risultati. In particolare, ritiene essenziale sensibilizzare i minori circa i rischi connessi con una comunicazione spontanea di dettagli personali quali il vero nome, l'et o il luogo di residenza. 14. Il punto 3 delle misure (7) proposte dal programma pluriennale dedicato specificatamente a sensibilizzare il pubblico, mediante azioni dirette ai minori, ai genitori, agli assistenti e agli educatori, sulle opportunit e sui rischi connessi all'uso delle tecnologie in linea e sui mezzi che permettono di rimanere in linea in tutta sicurezza. Tra i mezzi indicati nella proposta, la diffusione di informazioni adeguate e l'offerta dell'ausilio di punti di contatto ai quali i genitori e i minori possano rivolgersi per avere una risposta su come navigare in linea in tutta sicurezza sono due utili strumenti che dovrebbero integrare esplicitamente tale dimensione della protezione dei dati personali dei minori. 15. Il GEPD desidera sottolineare che, in tale contesto, le autorit per la protezione dei dati sono interlocutori pertinenti. La proposta dovrebbe menzionarle in quanto tali, specialmente l dove prevede la promozione della collaborazione e dello scambio di informazioni, esperienze e buone pratiche a livello nazionale ed europeo (8). 16. Si possono citare diverse iniziative per illustrare le recenti azioni intraprese in tale prospettiva negli Stati membri o negli Stati membri del SEE. L'autorit per la protezione dei dati svedese sta conducendo un'indagine annuale sui comportamenti dei giovani nei confronti di Internet e della vigilanza, cos come l'autorit per la protezione dei dati del Regno Unito (9), che ha condotto un'indagine diretta a 2 000 giovani fra i 14 e i 21 anni. Nel gennaio 2007, insieme al ministero dell'istruzione, l'autorit per la protezione dei dati norvegese ha lanciato una campagna di informazione diretta alle scuole (10). In Portogallo stato firmato un protocollo tra l'autorit per la protezione dei dati e il ministero dell'istruzione, volto a promuovere una cultura di protezione dei dati su Internet e specialmente sulle reti sociali (11). A seguito di tale progetto, le reti sociali portoghesi hanno integrato un'interfaccia e una mascotte dedicate ai minori tra i 10 e i 15 anni. 17. Questi esempi illustrano il ruolo attivo e decisivo svolto dai soggetti responsabili della protezione dei dati per quanto riguarda la protezione dei minori in linea e la necessit di includerli esplicitamente tra gli interlocutori del programma pluriennale. III. PROTEZIONE DEI DATI PERSONALI E DIRITTI DEGLI ALTRI SOGGETTI INTERESSATI I. Segnalazione e scambio di informazioni 18. Il primo punto della proposta [Ridurre i contenuti illeciti e lottare contro i comportamenti dannosi in linea ( 12)] prevede tra le azioni principali la messa a disposizione di punti di contatto per segnalare in linea i contenuti illeciti e i comportamenti dannosi. Non v' dubbio che, affinch possano essere combattuti efficacemente, i contenuti illeciti o i comportamenti dannosi devono essere portati all'attenzione delle autorit competenti. In effetti sono gi stati istituiti punti di contatto in relazione alla protezione dei minori ma anche, ad esempio, per la lotta allo spam (13). 19. Il GEPD rileva nondimeno che il concetto di contenuto dannoso rimane poco chiaro: non viene fornita alcuna indicazione di chi sia responsabile di definire cos' un contenuto dannoso e secondo quali criteri. Ci ancor pi preoccupante se si considerano le implicazioni di un'eventuale segnalazione di tali contenuti. 20. Inoltre, come gi accennato, nel quadro di un programma come il presente non sono in gioco solo i dati personali dei minori, ma anche i dati personali di tutte le persone che sono in qualche modo collegate alle informazioni che circolano in rete. Si pu trattare, ad esempio, della persona sospettata di comportamento illecito e segnalata in quanto tale, ma anche della persona che segnala una condotta o un contenuto sospetto ovvero della vittima dell'abuso. Nonostante tali informazioni siano necessarie per un sistema di segnalazione efficiente, il GEPD ritiene importante ricordare che dovrebbero sempre essere trattate conformemente ai principi della protezione dei dati. 21. Alcuni dei dati in questione potrebbero anche richiedere una protezione specifica, se li si pu considerare dati sensibili ai sensi dell'articolo 8 della direttiva 95/46/CE. Pu essere il caso dei dati relativi agli autori delle infrazioni nonch alle vittime degli abusi, specialmente nel caso della pornografia infantile. Occorre rilevare che a livello nazionale taluni sistemi di segnalazione hanno richiesto una modifica della legislazione in materia di protezione dei dati al fine di consentire il trattamento dei dati giudiziari dei sospetti autori di reati o delle vittime (14). Il GEPD insiste sul fatto che qualsiasi sistema di segnalazione che venga istituito tenga conto del quadro esistente in materia di protezione dei dati. Elementi decisivi per rispettare tale quadro sono la dimostrazione di un interesse pubblico nonch garanzie per quanto riguarda il controllo del sistema, in linea di principio esercitato dalle autorit di contrasto. II. Il ruolo degli strumenti tecnici nell'ottica della vita privata 22. L'uso di strumenti tecnici viene promosso come una delle soluzioni per contrastare i contenuti illeciti e le condotte dannose (15). La valutazione d'impatto (16) presenta alcuni esempi di tali strumenti, tra i quali il riconoscimento dell'et, il riconoscimento del volto (per l'identificazione delle vittime da parte delle autorit di contrasto) o le tecnologie di filtraggio. Secondo la proposta tali strumenti dovrebbero essere meglio adattati alle necessit pratiche ed accessibili ai soggetti interessati. 23. Il GEPD ha gi assunto una posizione chiara (17) a favore dell'uso delle nuove tecnologie per migliorare la protezione dei diritti degli individui. Ritiene che il principio della privacy by design debba costituire parte integrante del progresso tecnologico che comporta il trattamento di dati personali. Pertanto, il GEPD incoraggia fermamente l'elaborazione di progetti volti a sviluppare le tecnologie in tal senso. 24. particolarmente importante sviluppare sistemi che riducano il pi possibile l'esposizione dei dati personali dei minori offrendo loro una protezione affidabile ed offrendo di conseguenza l'opportunit di usare nuovi strumenti della societ dell'informazione, quali le reti sociali, in modo pi sicuro. 25. Va tuttavia ricordato che, a seconda del modo in cui vengono usati, gli strumenti tecnologici possono avere una variet di impatti sugli individui. Se vengono utilizzati per filtrare o bloccare le informazioni, possono impedire l'accesso da parte dei minori a contenuti potenzialmente dannosi, ma possono anche impedire ad altri soggetti di accedere a informazioni legittime. 26. Anche se in questo caso l'interesse concentrato principalmente sul libero accesso alle informazioni, vi sono tuttavia conseguenze nell'ottica della vita privata. Infatti il filtraggio, specialmente nei suoi sviluppi pi recenti che utilizzano la gestione dell'identit, pu funzionare in base a determinati criteri, ivi compresi dati personali quali l'et del soggetto collegato alla rete (per prevenire l'accesso da parte di adulti o minori a contenuti specifici), il contenuto delle informazioni e i dati sul traffico collegati con l'identit dell'autore delle informazioni. A seconda del modo in cui tali informazioni vengono trattate automaticamente, i soggetti interessati potrebbero subire conseguenze per quanto riguarda il loro diritto a comunicare in linea. 27. L'uso di strumenti di filtraggio o di blocco per controllare l'accesso alle reti deve essere gestito in modo prudente, tenendo conto degli eventuali effetti negativi e sfruttando pienamente le opportunit di maggior protezione della vita privata offerte dalla tecnologia. 28. Il GEPD si compiace della precisazione fornita nella valutazione d'impatto (18),, secondo cui nessuna delle opzioni proposte dovrebbe ledere i diritti alla vita privata e la libert di espressione. Condivide inoltre le opinioni ivi espresse secondo cui uno degli obiettivi principali la responsabilizzazione dell'utente, vale a dire la responsabilizzazione per fare scelte migliori e compiere le azioni appropriate al fine di proteggere i minori (19). III. La responsabilit dei fornitori di ser vizi 29. La proposta ritiene che la collaborazione di tutte le parti interessate sia un elemento necessario per aumentare la protezione dei minori che usano le tecnologie di comunicazione. Tra le parti interessate, la proposta (20) prevede la partecipazione e il coinvolgimento dell'industria specialmente mediante l'autoregolamentazione. 30. Essendo responsabile dei servizi di telecomunicazione e di quelli che forniscono i contenuti, l'industria del settore potrebbe avere una certa inf luenza sulla segnalazione, il filtraggio o il blocco delle informazioni quando vengano ritenute illecite o dannose. Tuttavia, la misura in cui le si possa realmente affidare tale compito, da un punto di vista giuridico, potrebbe essere oggetto di discussione. 31. naturalmente bene accetta la collaborazione dell'industria per quanto riguarda la sensibilizzazione dei minori e degli altri soggetti interessati, quali i genitori o gli educatori. Un altro aspetto essenziale della responsabilit dei fornitori di contenuti l'istituzione nei siti web di sistemi di allarme e di moderatori che consentano di escludere i contenuti inappropriati. 32. Per quanto riguarda i fornitori di servizi di telecomunicazione, la sor veglianza delle telecomunicazioni tuttavia una questione discutibile, sia essa diretta al controllo dei contenuti protetti da diritti di propriet intellettuale o di altri contenuti illeciti. Questo punto solleva la questione dell'inter vento di un soggetto commerciale, che offre un servizio (di telecomunicazione) specifico, in una sfera in cui in linea di principio non previsto che intervenga, vale a dire il controllo del contenuto delle telecomunicazioni. Il GEPD ricorda che, in linea di principio, tale controllo non dovrebbe essere esercitato dai fornitori di ser vizi e certamente non in modo sistematico. Laddove necessario in circostanze specifiche, in linea di principio dovrebbe essere compito delle autorit di contrasto. 33. Nel parere del 18 gennaio 2005, il Gruppo dell'articolo 29 ha ricordato in relazione a tale questione (21) che non pu essere imposto ai fornitori di ser vizi Internet alcun obbligo sistematico di sor veglianza e collaborazione, conformemente all'articolo 15 della direttiva 2000/31/CE sul commercio elettronico. Ha rammentato che, come stabilito nell'articolo 8 della direttiva sulla protezione dei dati, i trattamenti riguardanti i dati relativi alle infrazioni, alle condanne penali o alle misure di sicurezza possono essere effettuati solo a rigide condizioni applicate dagli Stati membri: mentre ogni individuo ha ovviamente il diritto di trattare dati giudiziari nell'ambito dell'azione legale che lo concerne, il principio non cos ampio da consentire l'indagine approfondita, la raccolta e la centralizzazione di dati personali da parte di terzi, ivi compresa, in particolare, la ricerca sistematica su scala generale quali l'esplorazione di Internet; tali indagini rientrano nelle competenze delle autorit giudiziarie. 34. In un settore in cui sono in gioco la libert di parola, l'accesso alle informazioni, la vita privata ed altri diritti fondamentali, tale inter vento di soggetti privati solleva la questione della proporzionalit dei mezzi utilizzati. Il Parlamento europeo ha recentemente adottato una risoluzione che sottolinea la necessit di una soluzione conforme ai diritti fondamentali dell'individuo (22). Nel punto 23 della risoluzione, afferma che Internet una vasta piattaforma di espressione culturale, accesso alla conoscenza e partecipazione democratica nella creativit europea, che riunisce le generazioni attraverso la societ dell'informazione; [il Parlamento] invita la Commissione e gli Stati membri ad evitare di adottare misure che siano in conf litto con le libert civili e i diritti umani nonch con i principi di proporzionalit, effettivit e capacit dissuasiva, quale l'interruzione dell'accesso a Internet. 35. Il GEPD ritiene che occorra trovare un equilibrio tra l'obiettivo legittimo di combattere i contenuti illeciti e l'adeguatezza dei mezzi usati. Rammenta che qualsiasi azione di controllo delle reti di telecomunicazione, laddove necessario in casi specifici, dovrebbe essere compito delle autorit di contrasto. IV. CONCLUSIONE 36. Il GEPD sostiene la proposta di programma pluriennale per la protezione dei minori che usano Internet e le altre tecnologie di comunicazione. Si compiace del fatto che tale programma intende concentrarsi sullo sviluppo delle nuove tecnologie e sull'elaborazione di azioni concrete volte a migliorare l'efficacia della protezione dei minori. 37. Il GEPD ricorda che la protezione dei dati personali una condizione preliminare essenziale per la sicurezza dei minori in linea. Deve essere prevenuto l'abuso delle informazioni personali dei minori utilizzando gli orientamenti proposti nel programma e in particolare i seguenti: — sensibilizzare i minori e gli altri soggetti interessati, quali i genitori e gli educatori, — promuovere lo sviluppo di buone pratiche da parte dell'industria, — promuovere lo sviluppo di strumenti tecnologici rispettosi della vita privata, — favorire lo scambio di buone prassi e di esperienza pratica tra le autorit pertinenti, ivi comprese le autorit per la protezione dei dati. 38. Tali azioni dovrebbero essere sviluppate senza tralasciare il fatto che la protezione dei minori ha luogo in un ambiente in cui potrebbero essere in gioco i diritti di altri soggetti. Qualsiasi iniziativa volta a raccogliere, bloccare o segnalare informazioni dovrebbe essere intrapresa nel rispetto dei diritti fondamentali di tutti gli individui interessati e conformemente al quadro giuridico sulla protezione dei dati. In particolare, il GEPD rammenta che il controllo delle reti di telecomunicazione, laddove necessario in circostanze specifiche, dovrebbe essere compito delle autorit di contrasto. 39. Il GEPD prende atto che il presente programma costituisce un quadro generale per ulteriori azioni concrete. Ritiene che talune delle osser vazioni formulate nel presente parere costituiscano un primo passo e possano essere sviluppate in modo pratico, con riferimento ai progetti ancora da avviare, in linea con gli orientamenti del programma. Raccomanda di coinvolgere strettamente le autorit per la protezione dei dati all'atto di definire tali progetti pratici. Rimanda inoltre alle attivit del Gruppo dell'articolo 29 in materia, in particolare all'attuale lavoro del Gruppo sulle reti sociali (23). Fatto a Bruxelles, add 23 giugno 2008. Peter HUSTINX Garante europeo della protezione dei dati
NOTE (2) GU L 8 del 12.1.2001, pag. 1. (3) Alcuni riferimenti alla vita privata si trovano nella valutazione d'impatto (3.2. Rischi specifici: divulgazione di informazioni personali; 3.3. Gruppi destinatari; 5.2. Analisi diimpatto delle opzioni strategiche) ma non sono sviluppati in modo significativo. (4) Relazione della proposta, 2.1. Contesto legislativo; Sintesi della valutazione d'impatto; 1.2. Situazione attuale: la legislazione. (5) — direttiva 2000/31/CE del Parlamento europeo e del Consiglio, dell'8 giugno 2000, relativa a taluni aspetti giuridici dei servizi della societ dell'informazione, in particolare il commercio elettronico, nel mercato interno (direttiva sul commercio elettronico) (GU L 178 del 17.7.2000, pag. 1), — direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU L 201 del 31.7.2002, pag. 37), — direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonch alla libera circolazione di tali dati (GU L 281 del 23.11.1995, pag. 31). (6) Dichiarazione adottata dal Comitato dei ministri del 20 febbraio 2008 nella 1018a riunione dei delegati dei ministri, consultabile all'indirizzo: wcd.coe.int/ViewDoc.jsp?Ref=Decl(20.02.2008)&Ver=0001 (7) Allegato 1, Azioni, punto 3. (8) Allegato 1, Azioni, punto 1. (9) Cfr. www.ico.gov.uk/youngpeople. (10) Cfr. www.dubestemmer.no. (11) Cfr. dadus.cnpd.pt/. (12) Allegato 1 della proposta. (13) Cfr., ad esempio, il sito web istituito a tal fine dalle autorit belghe: www.ecops.be (14) Cfr. la legge belga sulla protezione dei dati dell'8 dicembre 1992, articolo 3, paragrafo 6, relativo al trattamento dei dati da parte del Centro per la segnalazione dei minori scomparsi o delle vittime di abusi sessuali. (15) Allegato 1, Azioni, punto 1. (16) Valutazione d'impatto, punto 3.1. (17) Relazione annuale del GEPD del 2006, parte 3.5.1: Progressi tecnologici. (18) Valutazione d'impatto, punto 5.2. (19) In tal senso, i filtr i sarebbero concepiti per essere inizializzati dai genitori e potrebbero essere disattivati, cos che l'adulto mantiene il pieno controllo sull'effetto di filtraggio. (20) Considerando 8 del preambolo. Allegato 1, punto 1.4; sintesi della valutazione d'impatto, punto 3.1. (21) Documento di lavoro del Gruppo dell'articolo 29 sulle questioni relative alla protezione dei dati per quanto riguarda i diritti di propriet intellettuale WP 104. (22) Risoluzione del Parlamento europeo, del 10 aprile 2008, sulle industrie culturali in Europa [2007/2153(INI)], punto 23. (23) Cfr. il documento di lavoro 1/2008, del 18 febbraio 2008, sulla protezione dei dati personali dei minori, WP 147 e, per una visione pi generale, il programma di lavoro 2008-2009 del Gruppo comprendente le reti sociali, consultabile all'indirizzo: http://ec.europa.eu/justice_home/fsj/privacy/workinggroup/wpdocs/ 2008_en.htm |