GRUPPO DI LAVORO PER LA TUTELA DEI DATI EX ART. 29

Parere 1/2007 - WP129
relativo al Libro verde sulle tecnologie di rilevazione nel lavoro delle autorità di contrasto, doganali ed altre autorità di sicurezza
Adottato il 9 gennaio 2007

IL GRUPPO DI LAVORO PER LA TUTELA DELLE PERSONE

CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI

istituito in forza della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995,

visti gli articoli 29 e 30, paragrafo 1, lettera a), e paragrafo 3, della richiamata direttiva e l’articolo 15, paragrafo 3, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio del 12 luglio 2002,

visto il proprio regolamento interno, in particolare gli articoli 12 e 14,

La Commissione europea ha adottato il "Libro verde sulle tecnologie di rilevazione nel lavoro delle autorità di contrasto, doganali ed altre autorità di sicurezza", in seguito denominato "Libro verde" (COM (2006) 474), il 1° settembre 2006.

Obiettivo del Libro verde è stimolare la discussione nel settore delle tecnologie di rilevazione a livello europeo e raccogliere "risposte utili alla riflessione" e "suggerimenti concreti" per "rafforzare l’approccio comune nei confronti delle tecnologie di rilevazione", da intendere "nel senso più ampio possibile". Il gruppo ex articolo 29, insieme ad altre parti interessate, è stato invitato a partecipare al processo di consultazione.

Le risposte alle domande poste nel Libro verde ed altre osservazioni formulate determineranno le iniziative e azioni concrete che potranno essere avviate successivamente. Inoltre, in funzione delle priorità identificate nel corso della consultazione pubblica, potrebbero essere varate quanto prima alcune misure specifiche. Se i protagonisti della consultazione si mostreranno interessati, potrebbe essere creata una Task force, composta da rappresentanti di varie autorità degli Stati membri e da esperti del settore privato, incaricata di realizzare iniziative su argomenti specifici. Il gruppo ex articolo 29 nota con soddisfazione che nel Libro verde la Commissione ha tenuto conto del fatto che le politiche relative al rilevamento e alle tecnologie associate devono pienamente rispettare il quadro giuridico esistente, compresi i principi della protezione dei dati, e intende contribuire alla discussione sul Libro verde nei modi seguenti.

Il gruppo ex articolo 29 trova estremamente difficile presentare commenti dettagliati e osservazioni più precise in questa fase, poiché le questioni delineate nel Libro verde sono di carattere molto generale. Sarebbe preferibile e più utile essere invitati a intervenire in modo più specifico in una fase successiva, ad esempio quando saranno disponibili i progetti degli studi proposti nel Libro verde e saranno note le iniziative concrete intraprese.

Il gruppo di lavoro sostiene comunque l'idea di agevolare il dialogo tra amministrazioni pubbliche e industria sulle condizioni legali, in particolare sugli aspetti relativi alla protezione dei dati, e più specificamente di tener conto fin dall'inizio della necessità di ridurre al minimo il trattamento dei dati personali al momento di pianificare e sviluppare le applicazioni dei rispettivi sistemi di rilevazione¹.

Il gruppo nota che l'elaborazione di tecnologie di rilevazione fornisce i mezzi per sviluppare la sorveglianza, per giunta su una scala senza precedenti. A questo proposito, trova opportuno ricordare che la "società della sorveglianza" costituiva il tema della conferenza internazionale delle autorità di protezione dei dati e della privacy², durante la quale si è ampiamente discusso sulla questione della sorveglianza dal punto di vista della protezione dei dati e della privacy. Si traduce qui di seguito una parte del comunicato adottato a conclusione della conferenza, che esprime le principali preoccupazioni evocate.

Per quanto riguarda l'analisi del Libro verde, il gruppo di lavoro esprime la sua preoccupazione per il fatto che la definizione di tecnologie di rilevazione proposta nel Libro è molto ampia, mentre questo è un settore in cui è fondamentale essere precisi e specifici. Tuttavia ciò è probabilmente dovuto, almeno in parte, alla struttura del Libro verde in quanto tale. In questa medesima prospettiva generale, occorre probabilmente ribadire fin dall'inizio che non tutto ciò che è tecnicamente possibile è anche socialmente e politicamente accettabile, eticamente ammissibile e legalmente autorizzabile.

Pertanto, i futuri dibattiti e lavori sulle tecnologie di rilevazione dovrebbero comprendere e prendere in considerazione tutte le norme e le garanzie necessarie in materia di protezione dei dati e della privacy previste dalla normativa europea, quali la Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali³ e la Convenzione sulla tutela delle persone in materia di trattamento dei dati di carattere personale (Convenzione 108) del Consiglio di Europa, la direttiva sulla tutela dei dati e la direttiva ePrivacy.

Il gruppo ex articolo 29 ritiene inoltre essenziale, ai fini di una valutazione più approfondita, distinguere chiaramente i vari tipi di tecnologie di rilevazione (ad es. televisione a circuito chiuso, etichette RFID, biometria ecc.), in modo da trovare per ognuno soluzioni appropriate per la protezione dei dati. Nel creare tali sistemi di sorveglianza e nello stabilire le relative norme sull'uso dei dati, è altresì fondamentale definire chiaramente le finalità del trattamento dei dati (raccolta, acquisizione, conservazione, registrazione e uso successivo ecc.). Ciò consentirà alle autorità preposte alla protezione dei dati di determinare se i dati raccolti siano adeguati, rilevanti e non eccessivi rispetto a tali finalità. Un'analisi di questo tipo è necessaria per controllare se in una determinata situazione le tecnologie di rilevazione costituiscono intrusioni nella vita privata, o se le finalità previste avrebbero potuto essere conseguite con altri mezzi meno invasivi.

Introduzione

Il gruppo ex articolo 29 si rallegra in particolare del riferimento al fatto che "la progettazione, la fabbricazione e l’utilizzo delle tecnologie di rilevazione e delle tecnologie associate, nonché la normativa e le altre misure dirette a disciplinarle o a promuoverle, devono rispettare pienamente i diritti fondamentali sanciti dalla Carta dei diritti fondamentali dell'Unione europea e dalla Convenzione europea sui diritti dell'uomo" e che "occorre garantire in maniera particolare il rispetto della protezione dei dati personali e del diritto alla vita privata" (pag. 6). Questa affermazione costituisce un opportuno punto di partenza per i contributi del gruppo. A tale proposito si possono ricordare i vari documenti adottati dal gruppo di lavoro stesso, nei quali sottolinea che qualsiasi provvedimento pubblico che imponga restrizioni ai diritti fondamentali dev'essere esplicitamente previsto in una disposizione legislativa e dev'essere necessario, in una società democratica, per proteggere un pubblico interesse fondamentale (si veda, in particolare, il parere n. 10/2001 sulla necessità di un approccio equilibrato alla lotta contro il terrorismo⁴).

Il gruppo di lavoro sottolinea inoltre l'obbligo di rispettare il principio di proporzionalità in qualsiasi provvedimento restrittivo del diritto fondamentale alla riservatezza, come previsto dall'articolo 8 della Convenzione europea sui diritti dell'uomo e nella giurisprudenza in materia. Ciò determina, fra l'altro, l'obbligo di dimostrare che ogni eventuale provvedimento corrisponda ad una "necessità sociale imperativa". I provvedimenti semplicemente "utili" o "auspicabili" non possono prevalere sul rispetto dei diritti e delle libertà fondamentali.

Il riconoscimento di questi principi comporta tuttavia varie conseguenze di cui, a quanto pare, non si è tenuto pienamente conto nel Libro verde, soprattutto nell'elenco di proposte/domande. In particolare, è necessario garantire che nella fase di progettazione di ogni strumento di rilevazione siano applicati principi di protezione dei dati, con la debita considerazione delle finalità specifiche per cui dev'essere usato.

Va inoltre considerata l'equazione che il documento sembra sottintendere tra "terrorismo" e "altre forme di criminalità" (pag. 4 e altrove). Il gruppo ex articolo 29 sottolinea che il concetto di terrorismo dev'essere definito molto chiaramente e che, in ogni caso, i due concetti devono essere distinti in quanto comportano requisiti diversi anche in termini di sicurezza e tecnologie di rilevazione e del relativo impegno di ricerca.

Detto questo, i suggerimenti e le osservazioni esposti qui di seguito riguardano questioni importanti soprattutto dal punto di vista della privacy e della protezione dei dati.

I. Normalizzazione e ricerca in materia di sicurezza

Il gruppo ex articolo 29 ritiene che elaborare norme tecniche per garantire che il trattamento dei dati personali sia conforme ai requisiti di legge sia fondamentale per quanto riguarda la ricerca e gli ulteriori approfondimenti. Questo è un settore in cui si potrebbe e si dovrebbe cercare una cooperazione attiva tra le autorità preposte alla protezione dei dati. Il gruppo di lavoro sottolinea inoltre che a questo fine è essenziale il rispetto del principio della minimizzazione per cui: vanno cercate soluzioni che richiedano l'uso del minor numero possibile di dati personali. Ogniqualvolta sia possibile, bisogna dare la preferenza a tecnologie che raggiungerebbero il fine desiderato anche senza l'uso di dati personali. Questo dovrebbe essere previsto come requisito fondamentale in ogni futura attività di ricerca e sviluppo nel settore delle tecnologie di rilevazione. Si dovrebbe tenere conto della minimizzazione dell'uso di dati personali anche nell'individuazione delle migliori pratiche, prevista nella parte III.1 del Libro verde.

Per quanto riguarda la ricerca in materia di sicurezza, fornisce spunti interessanti la relazione del comitato consultivo per la ricerca europea per la sicurezza (ESRAB, European Security Research Advisory Board), citata nel Libro verde. Il gruppo di lavoro ritiene significativo che una delle affermazioni principali contenute nella relazione sia quella secondo cui il rispetto della privacy e delle libertà pubbliche dev'essere il principio orientativo del programma, e sostiene pienamente questa affermazione.

Il gruppo ex articolo 29 sarebbe senza dubbio interessato a "individuare e scambiare le migliori pratiche per l’utilizzo e il trattamento dei dati e delle informazioni […], con l'obiettivo della piena conformità con la normativa applicabile". Va osservato che, in questo scambio di pratiche, si dovrà tener conto delle norme stabilite a livello sia europeo che nazionale.

II. Esigenze e soluzioni

Esigenze e soluzioni tecnologiche

Occorre chiarire come funzionerà la citata "banca dati europea consultabile che indichi le specifiche necessità […] e al tempo stesso le soluzioni offerte dal settore privato". Il gruppo di lavoro sottolinea che devono essere applicate opportune garanzie affinché qualsiasi decisione relativa all'inserimento in tale banca dati delle soluzioni disponibili sia adottata in modo totalmente trasparente.

Soluzioni portatili e mobili/ Interoperabilità dei sistemi

Il gruppo ex articolo 29 intende contribuire a chiarire cosa intende la Commissione quando parla di "ostacoli, legali e di altro tipo, all’interoperabilità dei sistemi nell’Unione europea". Il gruppo condivide le considerazioni dell'EDPS nelle sue osservazioni⁵ in merito alla comunicazione della Commissione sull'interoperabilità delle banche dati europee: l'interoperabilità ha importanti implicazioni giuridiche, poiché è evidente che rendere tecnicamente possibile l'accesso ai dati o lo scambio di dati diventa, in molti casi, una potente incitazione ad accedere di fatto a tali dati o a scambiarli; i diversi tipi di interoperabilità (uso comune di sistemi informatici su larga scala, fusione di basi dati, aumento delle possibilità di accesso o scambio di dati ecc.) richiedono diverse garanzie e condizioni; infine, l'interoperabilità dei sistemi dev'essere conseguita con il dovuto rispetto dei principi in materia di protezione dei dati, in particolare del principio della limitazione delle finalità. Tuttavia, questo non dev'essere percepito come un "ostacolo", ma piuttosto come un modo ragionevole di affrontare in anticipo questioni fondamentali.

Il gruppo di lavoro desidera essere coinvolto in ogni iniziativa di questo tipo a livello dell'UE.

Integrazione delle informazioni e miglioramento dell'analisi dei dati

Occorre precisare che il miglioramento dell'analisi dei dati non deve tradursi in un confronto dei dati e in una navigazione illimitati tra diverse basi dati. I principi di minimizzazione e di specificazione della finalità devono essere inseriti nei sistemi di analisi dei dati (come condizioni a priori dell'integrazione delle informazioni). Il gruppo di lavoro fa riferimento alle attività e agli orientamenti sviluppati in relazione agli archivi di lavoro per fini di analisi di Europol, come possibile modello per garantire il rispetto dei principi di protezione dei dati in questo settore.

III. Uso e certificazione di attrezzature e strumenti

Utilizzo di strumenti di analisi di dati e di testi

Il gruppo ex articolo 29 è pienamente d'accordo con l'importanza attribuita al rispetto dei diritti fondamentali e ai principi di protezione dei dati, in particolare con l'esigenza che tale rispetto sia implicito nella struttura degli strumenti di rilevazione.

Può sostenere l'idea di una condivisione di "migliori pratiche" e informazioni sull'utilizzo di strumenti di analisi di dati e di testi, ma ritiene che occorra chiarire il riferimento a "riserve di risorse per assistere gli Stati membri che non dispongono di tali tecnologie sul trattamento dei documenti". A tale proposito va specificato che qualsiasi uso degli strumenti in questione si deve fondare sulla pertinente base giuridica. È inoltre necessario chiarire il significato dei "centri europei o regionali per l’analisi di dati e di testi", che non dovrebbero consistere soltanto in "centri di smistamento" di tecniche per l'estrazione dei dati.

Il gruppo ex articolo 29 si rammarica che non sia stata ricordata l'esigenza di includere il rispetto della protezione dei dati tra le migliori pratiche per l'analisi di dati e testi, tranne per quanto riguarda la mera condivisione di migliori pratiche e informazioni. Ritiene che le migliori pratiche dovrebbero comprendere, tra le altre garanzie, una formazione obbligatoria per gli interessati riguardo alla protezione dei dati.

Sarebbe utile valutare il contributo potenziale degli strumenti di analisi dei dati nella lotta contro il terrorismo, in quanto tali strumenti potrebbero non essere gli unici adatti a tale scopo. Gli strumenti con una minore incidenza sulla privacy devono sempre avere la precedenza su quelli che utilizzano grandi quantità di dati personali.

Per quanto riguarda la riservatezza delle comunicazioni, il gruppo ex articolo 29 ricorda l'applicazione della direttiva sulla ePrivacy, il suo parere 2/2006 sugli aspetti di tutela della vita privata inerenti ai servizi di screening dei messaggi di posta elettronica⁶, e la giurisprudenza della Corte europea dei diritti dell’uomo relativa all'intercettazione delle (tele)comunicazioni⁷.

Il gruppo di lavoro ricorda inoltre il suo parere 3/99 relativo alle informazioni del settore pubblico e alla protezione di dati personali⁸, contributo alla consultazione avviata dalla Commissione europea con il Libro verde "L'informazione del settore pubblico: una risorsa fondamentale per l'Europa" (COM(1998) 585), nel quale si dichiara: "l'automazione dei dati e la possibilità di eseguire ricerche a testo integrale consentono un numero illimitato di modi di richiedere e ordinare le informazioni, mentre la diffusione di Internet aumenta il rischio di raccolta per finalità improprie.

L'automazione, inoltre, ha facilitato di gran lunga la possibilità di combinare dati disponibili al pubblico provenienti da varie fonti in modo da ottenere un profilo delle condizioni o dei comportamenti delle persone. Inoltre, dovrà essere rivolta particolare attenzione al fatto che rendere disponibili i dati personali al pubblico serve ad alimentare le nuove tecniche di data warehousing (accaparramento di dati) e datamining (estrazione di dati). Usando queste tecniche, i dati possono essere rilevati senza specificare in anticipo la finalità, e le varie finalità vengono definite solo al momento dell'uso effettivo". Occorre quindi considerare tutte le possibilità tecnologiche per quanto riguarda l'uso dei dati.

Sperimentazione e certificazione della qualità delle attrezzature e degli strumenti

Il "sistema di autorità nazionali di certificazione" potrebbe costituire una soluzione efficace, ma dovrebbe comprendere anche autorità preposte alla protezione dei dati ed esperti del settore.

IV. Studi

Le linee di azione proposte possono essere condivise; occorre però effettuare un esame dell'impatto sulla privacy per ogni tecnologia di rilevazione sviluppata, in modo da valutarne la necessità e avere un'idea precisa della sua incidenza in termini di costi, sia sociali che finanziari. Nell'ambito della protezione dei dati, il gruppo di lavoro concorda che sarebbero utili e molto graditi alcuni degli studi individuati nella sezione IV ai punti 3 ("le norme giuridiche che disciplinano l’uso delle specifiche tecnologie di rilevazione"), 4 ("l’impiego pratico di tecnologie di rilevazione specifiche"), 5 ("il quadro normativo che disciplina l’utilizzo della rilevazione delle persone (in particolare la sorveglianza) nell’UE") e 6 ("i livelli entro cui può essere accettata la rilevazione delle persone (in particolare la sorveglianza e l’uso della biometria) nell’UE").

V. Applicazione dei risultati della consultazione

Il gruppo ex articolo 29 ritiene che sarebbe importante contribuire al lavoro di follow-up relativo alla consultazione. A questo scopo sarebbe utile un piano d'azione.

Il gruppo ex articolo 29 ha accolto con interesse l'invito a presentare le sue osservazioni in merito al "Libro verde sulle tecnologie di rilevazione" e a partecipare al processo di consultazione. Tuttavia, poiché il Libro verde si esprime in termini piuttosto vaghi, parlando molto in generale di "tecnologie di rilevazione", in questa fase è molto difficile compiere un'analisi giuridica approfondita su tali tecnologie dal punto di vista della privacy e della protezione dei dati.

Se la formulazione di migliori pratiche può essere utile per collegare strumenti normativi come le direttive sulla protezione dei dati e sulla ePrivacy all'applicazione delle tecnologie, tali pratiche possono essere considerate soltanto alla luce di esempi abbastanza concreti, che consentano di esaminare le particolari conseguenze dell'uso di una determinata tecnologia. Vale la pena di ricordare, comunque, che laddove le tecnologie di rilevazione comportano la raccolta o il trattamento di dati personali ("ogni informazione concernente una persona identificata o identificabile") e nella misura in cui il loro uso è disciplinato dal diritto comunitario, esse rientrano nel campo di applicazione della direttiva sulla protezione dei dati.

I principi fondamentali enunciati dalla direttiva si possono così riassumere:

(i) la finalità della raccolta di dati personali dev'essere chiaramente specificata fin dall'inizio e i dati non devono essere successivamente trattati in modi incompatibili con tale finalità;

(ii) le tecnologie in se stesse non rappresentano necessariamente un problema, ma la raccolta e l'uso dei dati personali devono essere leali: questo significa che le persone devono essere informate del loro funzionamento (per esempio, nel caso già ampiamente noto della sorveglianza mediante televisione a circuito chiuso), dei dati che sono raccolti e del loro uso;

(iii) non si devono raccogliere dati personali che non siano pertinenti alla finalità prevista, e i dati personali non devono essere conservati per un periodo più lungo del necessario; occorre favorire più di quanto si sia fatto finora, lo sviluppo di tecnologie che rilevano materiali piuttosto che persone.

Il gruppo di lavoro si riserva la possibilità di presentare commenti sulle successive attività in questo settore, seguendone lo sviluppo.

Fatto a Bruxelles il 9 gennaio 2007

Il Presidente

Peter Schaar