CE - GRUPPO DI LAVORO PER LA TUTELA DEI DATI PERSONALI

istituito dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995¹,

visti l'articolo 29, l'articolo 30, paragrafo 1, lettera c), e l'articolo 30, paragrafo 3, della

richiamata direttiva,

visto il suo regolamento interno, in particolare gli articoli 12 e 14,

Il presente documento di lavoro intende mettere in luce le preoccupazioni per la protezione dei dati e il rispetto della vita privata connesse con la prevista introduzione di un servizio paneuropeo armonizzato di chiamata di emergenza a bordo dei veicoli ("eCall"), basato sul numero unico europeo di emergenza "112"².

Una delle iniziative della Commissione europea è stata la creazione del forum eSafety, un'iniziativa congiunta dell'industria e del settore pubblico volta a migliorare la sicurezza stradale attraverso tecnologie avanzate di informazione e comunicazione. eCall è stato inserito tra le massime priorità ed è stato creato un apposito gruppo di orientamento che comprende tutte le parti interessate³. Il gruppo di orientamento eCall ha elaborato una serie di raccomandazioni, comprensive di una tabella di marcia che dovrebbe facilitare l’implementazione di eCall in tutti gli Stati membri così da farne una dotazione disponibile su base opzionale in tutti i veicoli di nuova produzione a partire dal 1º settembre 2010⁴.

Il gruppo di orientamento eCall ha redatto un protocollo d'intesa sulla realizzazione di

eCall, finalizzato a garantire il funzionamento di eCall in tutti gli Stati membri UE. Il

protocollo vincola le parti interessate a realizzare l'iniziativa eCall congiuntamente sulla

base dell’architettura e delle specifiche d’interfaccia comuni approvate, compreso

l'insieme minimo di dati. Il protocollo è stato firmato nell’agosto 2004 dalla

Commissione europea, da ACEA, per conto dell’industria automobilistica, e dal

partenariato plurisettoriale ERTICO. Finora ha raccolto oltre 60 firme, tra cui quelle di

sette Stati membri UE⁵, della Svizzera e della Norvegia.

Di recente il Parlamento europeo ha approvato a larga maggioranza una risoluzione a sostegno dell'uso di eCall⁶, sollecitando gli Stati membri a firmare il protocollo d'intesa.

Premesso che il Gruppo di lavoro "Articolo 29" riconosce il possibile beneficio socioeconomico per i cittadini derivante dall'introduzione su vasta scala del servizio eCall, l'uso di detto servizio comporta una serie di implicazioni in materia di rispetto della vita privata e protezione dei dati che devono essere messe in luce ed esaminate adeguatamente.

Il Gruppo di lavoro "Articolo 29", considerati i compiti ad esso assegnati dall'articolo 30, paragrafo 1, lettera a), della direttiva sulla protezione dei dati e al fine di rispondere alle questioni relative al rispetto della vita privata e alla protezione dei dati connesse con il previsto uso di eCall, ritiene pertanto necessario analizzare la situazione attuale e dedicare il presente documento di lavoro a tali questioni.

L'architettura proposta per eCall si basa su una trasmissione pressoché simultanea di dati e messaggi vocali emessi da un generatore eCall verso un centro di raccolta delle chiamate di emergenza (Public Safety Answering Point, "PSAP") di primo livello. Il PSAP sarà un'autorità pubblica o un fornitore di servizi privato operante sotto la responsabilità di un'autorità pubblica.

Il generatore eCall avvia una chiamata eCall, attivata automaticamente dai sensori del veicolo in caso di incidente o manualmente dagli occupanti del veicolo, e la trasmette al PSAP appropriato.

La chiamata eCall è costituita da due elementi: una semplice chiamata telefonica vocale (audio) al numero "112" e un insieme minimo di dati (Minimum Set of Data, MSD). La chiamata eCall (dati e messaggio vocale), effettuata attraverso la rete mobile, è riconosciuta dall'operatore di rete mobile come una chiamata di emergenza "112". Seguendo la procedura per il trattamento delle chiamate "112", l'operatore di rete mobile integra la chiamata con l'identificazione della linea chiamante e, conformemente alla direttiva sul servizio universale⁷ e alla raccomandazione E112⁸, aggiunge l'indicazione della migliore localizzazione disponibile.

Ultimata tale procedura, l'operatore di telecomunicazione inoltra il messaggio vocale "112", unitamente all'identificazione della linea chiamante, alla migliore localizzazione disponibile e all'insieme minimo di dati (MSD) eCall, al PSAP appropriato.

Quest'ultimo trasmette una conferma al generatore eCall, specificando che l'insieme

minimo di dati è stato ricevuto correttamente.

È importante rilevare che, in base alla configurazione attualmente proposta per il servizio eCall, il sistema a bordo del veicolo non è costantemente tracciato da terzi. Esso infatti non sarà collegato alle reti di comunicazioni mobili in permanenza, bensì solo quando verrà attivato in caso di incidente o manualmente dagli occupanti del veicolo.

L'insieme minimo di dati⁹ comprende le seguenti informazioni: (i) ora dell'incidente; (ii) luogo preciso dell'incidente, incluso il senso di marcia; (iii) identificazione del veicolo; (iv) qualificazione eCall sulla gravità dell'incidente (come minimo l’indicazione se il dispositivo eCall è stato attivato manualmente o automaticamente); (v) informazioni su un eventuale fornitore di servizi.

I dati facoltativi sullo stato della collisione previsti nell'insieme minimo di dati sono ancora in via di discussione. I dati da inserire in questo campo facoltativo (ossia il tipo di carburante usato dal veicolo) dovrebbero essere conformi alle norme sulla protezione dei dati, in particolare al principio di proporzionalità: dovrebbero essere inclusi solo i dati necessari al trattamento appropriato di un'emergenza.

L'architettura proposta per eCall prevede la possibilità di incrementarne ulteriormente gli effetti qualora vengano forniti ulteriori dati sul veicolo e sulle persone a partire da un fornitore di servizi, in base a dati supplementari (insieme completo di dati, Full Set of Data, FSD).

Per il momento la Commissione europea ha scelto un approccio di autoregolamentazione assieme agli Stati membri e ai produttori, ma se l'introduzione di eCall non procederà secondo la tabella di marcia prevista, potrà prendere in considerazione ulteriori misure, tra cui l'adozione di atti normativi.

Sebbene il Gruppo di lavoro "Articolo 29" riconosca i benefici socioeconomici e il valore in termini di sicurezza pubblica che possono derivare dall'uso su vasta scala del servizio eCall, sussistono tuttavia varie preoccupazioni quanto al rispetto della vita privata e alla protezione dei dati che devono essere affrontate in questo contesto.

Prima di esaminare da vicino le implicazioni sulla protezione dei dati, il Gruppo di lavoro "Articolo 29" ha preso in considerazione due opzioni per l’implementazione di eCall che dovrebbero essere valutate in prima battuta e fatte oggetto successivamente di ulteriori approfondimenti:

• Opzione (1) eCall dovrebbe essere scelto volontariamente; oppure

• Opzione (2) eCall dovrebbe essere un servizio obbligatorio.

Opzione (1)

Se eCall è implementato su base volontaria, come servizio avanzato per la sicurezza stradale, deve essere previsto un meccanismo semplice per la sua attivazione/disattivazione.

In questo caso, il sistema è de facto integrato nel veicolo e la sua attivazione dovrebbe essere volontaria¹⁰. L'utilizzatore, che non è necessariamente il proprietario del veicolo, dovrebbe avere in qualsiasi momento la possibilità di attivare o disattivare il sistema senza alcun vincolo tecnico o finanziario. Questa possibilità di scelta potrebbe essere garantita, ad esempio, dall'installazione di un apposito pulsante/interruttore, facile da usare, simile a quello dell'airbag passeggero.

Tale analisi si basa sul fatto che uno dei criteri principali per la legittimazione al trattamento dei dati è l'articolo 7, lettera a) della direttiva sulla protezione dei dati, che consente il trattamento dei dati solo quando la persona interessata ha manifestato il proprio consenso in maniera inequivocabile. Il consenso deve essere prestato liberamente e deve poter essere revocato. Va inoltre sottolineato che il consenso non sarebbe manifestato liberamente se la persona interessata fosse costretta ad accettare una clausola a tale riguardo nel quadro di un contratto con clausole non negoziabili (come accade generalmente nel caso dei contratti di vendita di auto).

Il Gruppo di lavoro "Articolo 29", inoltre, ritiene illegali situazioni in cui, ad esempio, società di assicurazione o di autonoleggio facciano pressioni per mantenere attivo il dispositivo eCall. Un obbligo analogo potrebbe essere imposto ai dipendenti che usano auto aziendali, per cui essi potrebbero essere costretti direttamente o indirettamente a prestare il loro consenso all'uso di eCall.

Il Gruppo di lavoro "Articolo 29" desidera sottolineare che se il sistema eCall non potesse essere attivato o, soprattutto, disattivato in loco in qualsiasi momento, senza ulteriori sforzi e gratuitamente, gli utilizzatori potrebbero temere possibili implicazioni sulla vita privata e scegliere di non usarlo. Trattandosi di un elemento che può anch’esso favorire la prevista adozione su vasta scala di eCall, è necessario introdurre un meccanismo di disattivazione semplice e gratuito anche a tale riguardo.

Sebbene in molti casi il trattamento dei dati possa essere di interesse vitale per la persona interessata, e quindi l'uso di eCall possa essere giustificato dall'articolo 7, lettere c), d) ed e) della direttiva sulla protezione dei dati, non sempre sarà così. Potranno, ad esempio, verificarsi casi di incidenti in cui eCall sarà attivato automaticamente senza che tuttavia ci sia la necessità di servizi di emergenza.

In base alle informazioni attualmente disponibili sulla configurazione del sistema eCall, al Gruppo di lavoro risulta che sarà possibile effettuare la geolocalizzazione del veicolo interessato senza tuttavia che questo sia tracciato in permanenza — ossia il sistema sarà registrato nella rete di comunicazione solo in caso di incidente o di attivazione manuale.

Il Gruppo di lavoro si compiace di questa caratteristica e desidera sottolineare che, dal punto di vista della protezione dei dati, non sarebbe ammissibile che tali dispositivi fossero costantemente connessi e che i veicoli fossero in tal modo tracciabili in permanenza in vista dell’eventuale attivazione dei dispositivi eCall. Ciò significa che potrebbe essere accettabile, ad esempio, conservare nella memoria del dispositivo eCall le ultime tre localizzazioni rilevate dai sistemi GPS/Galileo (se disponibili a bordo e interfacciati con il dispositivo eCall), senza comunicare alcun dato in mancanza di un elemento di attivazione (ossia un incidente o l'attivazione manuale). In tal caso sarebbe necessario delimitare chiaramente l’ambito dei dati raccolti e impedire qualsiasi utilizzo delle informazioni per scopi ulteriori, ossia diversi dalla sicurezza stradale.

Opzione (2)

Qualora il servizio eCall dovesse essere obbligatorio, il sistema sarebbe de facto integrato nel veicolo e la sua attivazione obbligatoria. Questa opzione, tuttavia, dovrebbe essere attuata attraverso un'apposita normativa applicabile in tutta l'UE. Tale normativa dovrebbe essere opportunamente giustificata in termini di protezione dei dati.

Se eCall sarà uno strumento obbligatorio, dovranno essere chiaramente specificate per legge tutte le limitazioni connesse alla tutela della vita privata nell'applicazione dei principi sanciti dalla direttiva sulla protezione dei dati, quali, tra l’altro, il principio di proporzionalità. Il sistema eCall dovrebbe incorporare tecnologie per il potenziamento della privacy (PET), al fine di fornire agli utilizzatori di eCall il livello desiderato di tutela della vita privata. Dovrebbero inoltre essere sviluppate e integrate garanzie che impediscano la sorveglianza e gli abusi. Ciò vale anche per l'ipotesi prevista all'opzione 1. Si dovrebbero consultare le autorità nazionali per la protezione dei dati al fine di ricevere indicazioni sulle migliori prassi possibili.

In sintesi: se eCall è facoltativo, è necessario prevedere una soluzione di facile impiego che tenga conto dell'autodeterminazione degli utilizzatori di auto, introducendo la possibilità tecnica di disattivare/attivare eCall caso per caso, ad esempio tramite interruttori elettronici, smart card o altri dispositivi che consentano di attivare volontariamente il sistema e, se lo si desidera, di comunicare ulteriori dati rispetto a quelli inclusi nell'insieme minimo di dati (MSD). Se eCall è obbligatorio, è necessario prevedere una normativa specifica che tenga conto dei principi in materia di protezione dei dati.

In entrambi i casi, il Gruppo di lavoro "Articolo 29" sosterrà la sensibilizzazione, con particolare riguardo alle implicazioni sulla vita privata e sulla protezione dei dati. Le autorità nazionali per la protezione dei dati, sotto l'egida del Gruppo di lavoro "Articolo 29", contribuiranno alla campagna di sensibilizzazione su eCall, concentrandosi soprattutto sulle questioni inerenti alla protezione dei dati, come il trattamento trasparente e legittimo dei dati raccolti attraverso eCall.

Il Gruppo di lavoro "Articolo 29" privilegia l'introduzione del servizio eCall attraverso un approccio su base volontaria. Qualora sia applicata l'opzione dell'obbligatorietà deve essere introdotto un sistema appropriato di garanzie in materia di protezione dei dati.

A prescindere dalla sua obbligatorietà o facoltatività, l'iniziativa eCall prevede la possibilità di avere un sistema esteso con fornitori di servizi che offrono servizi a valore aggiunto. In questo caso esisteranno i due seguenti livelli di servizi:

(1) Il primo livello di servizio previsto avvia la comunicazione al PSAP appropriato delle informazioni contenute nell'insieme minimo di dati (MSD), quali la localizzazione del veicolo, l’ora dell’incidente, l’identificazione del veicolo e un indicatore di stato eCall (come minimo la segnalazione che il dispositivo eCall è stato attivato manualmente ovvero automaticamente), il che fornirà un'indicazione sulla gravità dell'incidente.

Questo servizio "di base" è il servizio promosso dalla Commissione europea.

(2) Con il secondo livello di servizio, oltre a scambiare le informazioni "di base" contenute nell'insieme minimo di dati, si aggiungono informazioni supplementari possedute da soggetti terzi fornitori di servizi a valore aggiunto, quali società di assicurazioni, call center automobilistici, società mediche, avvocati, club automobilistici, ecc. In caso di trasmissione di un insieme completo di dati (Full Data Set, FSD) è necessario un contratto tra il proprietario del veicolo e il fornitore di servizi.

In questo caso, l'utilizzatore autorizzerebbe il fornitore di servizi a ricevere i dati supplementari sull'incidente o sugli occupanti del veicolo affinché siano forniti, ad esempio, l'assistenza della società di assicurazioni o del club automobilistico, o un supporto linguistico, ecc. Si prevede che siano le forze di mercato a guidare lo sviluppo di questa modalità estesa del servizio.

In linea di principio non sussistono motivi per opporsi a tale disegno. Tuttavia le questioni da affrontare in questo caso sono molto più complesse e richiedono una valutazione più approfondita. È necessario soprattutto garantire il rispetto rigoroso delle norme sulla sicurezza dei dati, tenuto conto, in particolare, che alcuni dati da trattare sono di natura sensibile. Per estendere le funzionalità di base di eCall, ossia inviare a un fornitore di servizi privato un insieme completo di dati (FSD) in aggiunta a quelli dell'insieme minimo (MSD), è necessaria una definizione dettagliata. Questi servizi dovrebbero essere pienamente conformi alla normativa applicabile in materia di protezione dei dati e rispetto della vita privata.

Il Gruppo di lavoro "Articolo 29" intende ricordare i principi di base che i terzi fornitori devono tenere in considerazione:

In generale, costituiscono motivo di preoccupazione anche la creazione di banche dati da parte di operatori di telecomunicazioni, i periodi di conservazione dei dati raccolti e le questioni attinenti alla sicurezza dei dati conservati.

Un'altra preoccupazione per la protezione dei dati sorge in relazione alle banche dati create per evitare usi impropri o abusi del sistema, che collegherebbero l'identità del proprietario dell'auto alla carta SIM del sistema eCall e sarebbero dirette principalmente a ricercare le persone che abusano del sistema, ad esempio guidatori che si perdono, ecc. In caso di uso improprio o di abuso del sistema in pregiudizio dei PSAP (ossia quando un sistema effettua molteplici chiamate eCall senza valido motivo), i PSAP dovrebbero istituire una procedura per rintracciare il sistema che effettua l'uso improprio. In tal caso, si potrebbero prendere in considerazione le due seguenti procedure:

1. chiedere agli operatori di rete mobile di identificare il proprietario del dispositivo (attraverso le informazioni conservate nella banca dati SIM), come avviene per le chiamate "112";
2. chiedere l'identificazione dell'autorità che controlla il numero di identificazione del veicolo.

Una delle principali preoccupazioni del Gruppo di lavoro "Articolo 29" riguarda il rischio che un terzo possa accedere a tali banche dati per fini diversi. Il Gruppo, pertanto, desidera sottolineare che non dovrebbe essere consentito alcun uso secondario dei dati, ad esempio in rapporto a procedure connesse all’attuazione di disposizioni in materia di traffico, in quanto sarebbe contrario ai principi della direttiva sulla protezione dei dati.

Un'altra serie di preoccupazioni è legata alla sicurezza, nel senso di stabilire se il sistema eCall sia sufficientemente protetto contro gli accessi non autorizzati. Al fine di realizzare un sistema affidabile ed evitare l'accesso non autorizzato da parte di terzi ai dati personali nel sistema eCall, è necessario garantire un livello di sicurezza sufficiente sia nel sistema a bordo del veicolo sia nel protocollo di trasporto¹².

L’utilizzazione di eCall comporterà la circolazione di un insieme minimo di dati (MSD) per gestire la situazione di emergenza. Il Gruppo di lavoro "Articolo 29" ritiene che l'insieme minimo di dati comprensivo del numero completo di identificazione del veicolo, secondo quanto indicato attualmente, possa risultare eccedente rispetto all'obiettivo chiaramente definito.

Il Gruppo di lavoro "Articolo 29" è preoccupato per la possibilità che l'introduzione del servizio eCall non sia sempre necessaria, considerata l'esistenza dell'attuale sistema di chiamate di emergenza operante con risultati positivi in tutti gli Stati membri. Questa osservazione sembra importante, in quanto solleva una questione di proporzionalità, ossia se sia proporzionato introdurre un sistema di chiamate di emergenza basato sulla geolocalizzazione in Paesi in cui già opera con successo un sistema di chiamate di emergenza.

Il titolare del trattamento nel caso di eCall sarà il centro di raccolta delle chiamate di emergenza ("PSAP"), che dovrà istituire protocolli sulla conservazione, il trattamento e la protezione dei dati personali simili a quelli applicabili alle altre chiamate di emergenza. Gli operatori di rete mobile trasmetteranno l'insieme minimo di dati in modo trasparente e dovranno garantire che i dati eCall non siano conservati oltre il tempo necessario per garantirne l'adeguata trasmissione al PSAP appropriato. Successivamente l'insieme minimo di dati deve essere cancellato.

Per quanto concerne l'identificazione della linea chiamante e le informazioni sulla localizzazione trasmesse al PSAP, dovranno essere istituiti protocolli simili a quelli usati per la gestione delle chiamate E112 (chiamate di emergenza integrate da informazioni sull’ubicazione), conformemente alla direttiva sul servizio universale e alla raccomandazione della Commissione sul trattamento delle informazioni relative alla localizzazione del chiamante sulle reti di comunicazione elettronica ai fini della fornitura di servizi di chiamata di emergenza con capacità di localizzazione.

Il Gruppo di lavoro "Articolo 29" desidera sottolineare che dovrebbero essere definiti periodi adeguati di conservazione dei dati eCall rispetto ai vari soggetti partecipanti alla filiera del servizio stesso. Le autorità nazionali dovranno controllare che i periodi vengano definiti e osservati correttamente.

Il Gruppo di lavoro "Articolo 29", nel segnalare le preoccupazioni per il rispetto della vita privata connesse con il servizio eCall, privilegia e raccomanda l'approccio su base volontaria ai fini dell’eventuale introduzione di detto servizio. Dal punto di vista della protezione dei dati, è ammissibile, in linea di principio, una chiamata di emergenza, emessa automaticamente da un dispositivo o attivata manualmente e inviata attraverso le reti mobili, che comporti la geolocalizzazione della situazione di emergenza, purché sussista una corrispondente base giuridica specifica e siano fornite garanzie sufficienti per la protezione dei dati. Tuttavia, occorre sempre tenere in considerazione le finalità del sistema di chiamata di emergenza e la pertinenza dei dati da trattare, soprattutto qualora il trattamento riguardi il cosiddetto insieme completo di dati (FSD).

Bruxelles, 26 settembre 2006

Il Vicepresidente

Jose Luis Piñar Mañas

2 Comunicazione della Commissione: Seconda comunicazione su eSafety: Mettere ecall a disposizione dei cittadini (COM(2005) 431, consultabile sul sito:

http://europa.eu/information_society/activities/esafety/index_en.html)

3 Comunicazione della Commissione: Tecnologie dell'informazione e delle comunicazioni per veicoli sicuri e intelligenti (COM(2003) 542 definitivo del 15.9.2003).

4 La raccomandazione del gruppo di orientamento eCall e tutti gli allegati sono consultabili sul sito:

12 Ci si aspetta che i produttori originali di apparecchiature del settore automobilistico assicurino un livello sufficiente di sicurezza dei dati conservati nel sistema a bordo. D'altro canto, ci si aspetta che il protocollo di trasmissione in fase di standardizzazione da parte dell'ETSI fornirà un livello sufficiente di sicurezza.