In tutta sincerità...

Il Decreto Legge 6 dicembre 2011, n. 201 (in G.U. n. 284 del 6 dicembre 2011 - Suppl. Ord. n. 251 - in vigore dal 6 dicembre 2011), recante "Disposizioni urgenti per la crescita, l'equità e il consolidamento dei conti pubblici" (c.d Decreto "salva-Italia"), all'articolo 40 ha introdotto importanti novità in tema di trattamento dei dati personali delle persone giuridiche.

Segnatamente, il comma 2 dispone che:

"2. Per la riduzione degli oneri in materia di privacy, sono apportate le seguenti modifiche al decreto legislativo 30 giugno 2003, n. 196: a) all'articolo 4, comma 1, alla lettera b), le parole "persona giuridica, ente od associazione" sono soppresse e le parole "identificati o identificabili" sono sostituite dalle parole "identificata o identificabile". b) All'articolo 4, comma 1, alla lettera i), le parole "la persona giuridica, l'ente o l'associazione" sono soppresse. c) Il comma 3-bis dell'articolo 5 è abrogato. d) Al comma 4, dell'articolo 9, l'ultimo periodo è soppresso. e) La lettera h) del comma i dell'articolo 43 è soppressa."

In buona sostanza, il trattamento dei "dati personali" delle persone giuridiche non è più regolato dal D.lgs 196/2003: come sintetizza in maniera brillante Daniele Minotti, "in poche parole, non esiste più il concetto di dato personale riferito a persone giuridiche, enti e associazioni. Dunque, quei dati che, sino ad oggi, erano tutelati, ora possono essere tranquillamente trattati senza che ne consegua alcunché".

Una reviviscenza si ha nel caso in cui le persone giuridiche in questione assumano la veste di "abbonati" di un servizio di comunicazione elettronica: in questo caso, anche in ragione di un prcecisi vincoli comunitari, la tutela resta.

Ne avevo parlato nel post precedente. Adesso Altalex pubblica il testo integrale del c.d. decreto sviluppo.

Riporto di seguito la parte dell'articolo 6 relativa alla semplificazione per le imprese degli adempimenti in materia di trattamento dei dati personali:

2. Conseguentemente, alla disciplina vigente sono apportate, tra l’altro, le seguenti modificazioni:
a) al decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni: 1) all’articolo 5 è aggiunto in fine il seguente comma:
“3-bis. Il trattamento dei dati personali relativi a persone giuridiche, imprese, enti o associazioni effettuato nell’ambito di rapporti intercorrenti esclusivamente tra i medesimi soggetti per le finalità amministrativo – contabili, come definite all’articolo 34, comma 1-ter, non è soggetto all’applicazione del presente codice.”; 2) all’articolo 13, comma 5, è aggiunto in fine il seguente comma:
“5-bis. L’informativa di cui al comma 1 non è dovuta in caso di ricezione di curricula spontaneamente trasmessi dagli interessati ai fini dell’eventuale instaurazione di un rapporto di lavoro. Al momento del primo contatto successivo all’invio del curriculum, il titolare è tenuto a fornire all’interessato, anche oralmente, una informativa breve contenente almeno gli elementi di cui al comma 1, lettere a), d) ed f).”;

3) all’articolo 24, comma 1, lettera g) le parole: “anche in riferimento all’attività di gruppi bancari e di società controllate o collegate” sono soppresse e dopo la lettera i) sono aggiunte le seguenti: “i-bis) riguarda dati contenuti nei curricula, nei casi di cui all’articolo 13, comma 5-bis; i-ter) con esclusione della diffusione e fatto salvo quanto previsto dall’art. 130 del presente codice, riguarda la comunicazione di dati tra società, enti o associazioni con società controllanti, controllate o collegate ai sensi dell’articolo 2359 del codice civile ovvero con società sottoposte a comune controllo, nonché tra consorzi, reti di imprese e raggruppamenti e associazioni temporanei di imprese con i soggetti ad essi aderenti, per le finalità amministrativo contabili, come definite all’articolo 34, comma 1-ter, e purché queste finalità siano previste espressamente con determinazione resa nota agli interessati all’atto dell’informativa di cui all’articolo 13.”;

4) all’articolo 26, comma 3, dopo la lettera b) è aggiunta la seguente: “b-bis) dei dati contenuti nei curricula, nei casi di cui all’articolo 13, comma 5-bis.”;

5) all’articolo 34, il comma 1-bis è sostituito dai seguenti:
“1-bis. Per i soggetti che trattano soltanto dati personali non sensibili e che trattano come unici dati sensibili e giudiziari quelli relativi ai propri dipendenti e collaboratori, anche se extracomunitari, compresi quelli relativi al coniuge e ai parenti, la tenuta di un aggiornato documento programmatico sulla sicurezza è sostituita dall’obbligo di autocertificazione, resa dal titolare del trattamento ai sensi dell’articolo 47 del testo unico di cui al decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, di trattare soltanto tali dati in osservanza delle misure minime di sicurezza previste dal presente codice e dal disciplinare tecnico contenuto nell’allegato B). In relazione a tali trattamenti, nonché a trattamenti comunque effettuati per correnti finalità amministrativo – contabili, in particolare presso piccole e medie imprese, liberi professionisti e artigiani, il Garante, sentiti il Ministro per la semplificazione normativa e il Ministro per la pubblica amministrazione e l’innovazione, individua con proprio provvedimento, da aggiornare periodicamente, modalità semplificate di applicazione del disciplinare tecnico contenuto nel citato allegato B) in ordine all’adozione delle misure minime di cui al comma 1. 1-ter. Ai fini dell’applicazione delle disposizioni in materia di protezione dei dati personali, i trattamenti effettuati per finalità amministrativo – contabili sono quelli connessi allo svolgimento delle attività di natura organizzativa, amministrativa, finanziaria e contabile, a prescindere dalla natura dei dati trattati. In particolare, perseguono tali finalità le attività organizzative interne, quelle funzionali all’adempimento di obblighi contrattuali e precontrattuali, alla gestione del rapporto di lavoro in tutte le sue fasi, alla tenuta della contabilità e all’applicazione delle norme in materia fiscale, sindacale, previdenziale – assistenziale, di salute, igiene e sicurezza sul lavoro”;

6) all’articolo 130, comma 3-bis, dopo le parole: “mediante l’impiego del telefono” sono inserite le seguenti: “e della posta cartacea” e dopo le parole: “l’iscrizione della numerazione della quale è intestatario” sono inserite le seguenti: “e degli altri dati personali di cui all’articolo 129, comma 1,”.

Oggi Il Sole 24 ore inizia la pubblicazione del testo del c.d. Decreto Legge Sviluppo approvato ieri in Consiglio dei Ministri.

L'articolo 6, rubricato "ulteriori riduzioni e semplificazioni degli adempimenti burocratici", contiene un'importante novità per le imprese in materia di trattamento dei dati personali.

Viene, infatti, introdotto un comma 3-bis all'articolo 5, D.lgs 196/2003 che così recita: "3-bis. Il trattamento dei dati personali relativi a persone giuridiche, imprese, enti o associazioni effettuato nell'ambito dei rapporti intercorrenti esclusivamente tra i medesimi soggetti per le finalità amministrativo contabili, come definite dall'articolo 34, comma 1-ter, non è soggetto all'applicazione del presente codice".

Viene inoltre introdotto un comma 5-bis all'articolo 13, secondo il quale "l'informativa di cui al comma 1 non è dovuta in caso di ricezione di curricula spontaneamente trasmessi dagli interessati ai fini dell'eventuale instaurazione di un rapporto di lavoro. Al momento del primo contatto successivo all'invio del curriculum, il titolare è tenuto a fornire all'interessato, anche oralmente, una informazione breve, contenente almeno gli elementi di cui al comma 1 lettere a), d) ed f)".

Vengono poi modificati conseguentemente anche gli articoli 24 e 26, per quanto concerne le ipotesi nelle quali il trattamento può essere effettuato senza consenso e per i dati sensibili.

Una semplificazione che ti cambia la vita.... o no? ;-)

E' stato pubblicato il rapporto annuale dell'Office of the United States Trade Rapresentative e l'Italia è ancora tra i paesi sotto osservazione.

Siamo dei Pirati incalliti!

Per fortuna, però, che c'è l'AGCOM...

Infatti nel rapporto è dato leggere: "The United States welcomes recent efforts to address piracy over the Internet, and looks forward to measures to help ameliorate this problem. Specifically, proposed regulations by the Italian Communications Authority (AGCOM) could provide rights holders with an avenue to curb IPR violations online in an effective manner. The United States encourages Italy to ensure that the AGCOM regulations are swiftly promulgated and implemented, that these regulations create an effective mechanism against copyright piracy over the Internet, and that they address all types of piracy that takes place online".

Una tiratina d'orecchie per il nostro Garante Privacy che si ostina a difendere la riservatezza degli utenti delle reti p2p ("The United States also encourages Italy to address other IPR issues, including a troubling Data Protection Agency ruling prohibiting the monitoring of peer-to-peer networks").

L'anno prossimo suggeriranno l'assalto alle case degli utenti. Con Bin Laden ha funzionato :-)

Il Nando Mericoni interpretato da Alberto Sordi nel film "Un americano a Roma" probabilmente avrebbe commentato la notizia con il suo "...quelli sanno che devono fare, quelli so Americani... infallibili".

E così mentre da noi il Garante Privacy "ha imposto a Google di bloccare qualsiasi trattamento sui cosiddetti "payload data" captati dalle vetture di Street View, e ha inviato gli atti all'autorità giudiziaria perché valuti gli eventuali profili penali derivanti dalla raccolta di questo tipo di dati", adottando apposito provvedimento, negli Stati Uniti la stessa vicenda viene frettolosamente archiviata dalla Federal Trade Commission, la quale nella comunicazione inviata in merito alla chiusura di un'istruttoria (in verità, mai compiuta) scrive: "Further, Google has made assurances to the FTC that the company has not used and will not use any of the payload data collected in any Google product or service, now or in the future. This assurance is critical to mitigate the potential harm to consumers from the collection of payload data.Because of these commitments, we are ending our inquiry into this matter at this time."

Praticamente hanno chiesto "tutto risolto?" e Google ha risposto "tutto risolto".

Quelli sanno che devono fare, quelli so Americani (cit.)

Qualcuno di sicuro ricorderà il caso Peppermint, la casa discografica che si era avvalsa di una società, la Logistep, per pedinare virtualmente centinaia di frequentatori delle reti p2p dediti allo scambio di materiale protetto dal diritto d'autore.

In Italia e in Svizzera una simile pratica era stata dichiarata illegittima dai rispettivi Garanti Privacy, nonchè da diversi tribunali.

Logistep, tuttavia, ha continuato nella sua "attività" e ieri è giunta una sentenza del Tribunale federale di Losanna secondo la quale gli indirizzi IP sono indubbiamente dati personali e sottostanno quindi alla legge ffederale sulla protezione dei dati.

L'equivalente della nostra Corte di Cassazione ha definito "illecita la pratica di alcune imprese private che acquisiscono segretamente indirizzi IP. Un siffatto modo di agire è privo di una valida giustificazione. La ditta Logistep SA non è più autorizzata a raccogliere e a comunicare dati, ossia deve sospendere immediatamente ogni elaborazione di dati nell'ambito dei diritti d'autore".

Interessante sentenza della Cassazione sul rapporto tra diritto alla riservatezza e diritto alla difesa, soprattutto nel punto in cui si richiama il concetto di "gerarchia mobile" dei diritti.

Tradotto: non c'è una necessaria prevalenza del diritto di difesa su quello alla riservatezza (vedi ad es. il caso Peppermint et similia) ma si tratta di una ponderazione caso per caso demandata al giudice di merito.

Gianfranco Fini ha avuto modo di esprimersi così nel corso della presentazione della rivista politica diretta da Alessandro Campi:

Sono parole sante che nel frastuono di questi giorni hanno il pregio di mantenere distinti due aspetti del DDL intercettazioni (pessima proposta di legge per come uscita dal Senato, imho) molto spesso tenuti insieme (ad arte?): 1) la disciplina delle intercettazioni come mezzo di ricerca della prova; 2) la pubblicazione sulla stampa degli atti di un procedimento penale.

L'idea che le regole attuali consentano un abuso delle intercettazioni è sbagliata. Sono le persone che applicano quelle regole eventualmente a perpetrare abusi. Dal punto di vista della tenuta della norma, l'impianto offre di per sè garanzie e non c'è necessità di rivisitazioni.

L'idea che occorra ridurre le intercettazioni, per ridurre il numero delle intercezzazioni che finiscono sui giornali è ancora più sbagliata. Sarebbe come dire: siccome non riesco a tenere i buoi nella stalla, ne ammazzo una buona parte così quelli che scappano sono di meno.

L'idea che tutto quello che finora i giornali hanno pubblicato sia legale e diventerebbe illegale in caso di approvazione di questo DDL è anch'essa sbagliata: gran parte delle intercettazioni pubblicate provengono da materiale coperto da segreto istruttorio e che non avrebbe dovuto uscire dalle procure perchè così vuole la legge. Pensare di punire gli editori è sbagliato? Pensare di punire i giornalisti è sbagliato? Probabilmente si, anzi sicuramente si.

Mi aspetto, però, che in un paese civile, se un atto coperto da segreto istruttorio che riguarda un mio procedimento, nel quale posso essere stato coinvolto per un'infinità di ragioni, finisce sui giornali, qualcuno paghi con il proprio posto di lavoro o con la propria carriera.

Perchè il valore della legalità (di tutta la legalità) è intoccabile.

Giovedì 14 gennaio l'associazione PARTITO PIRATA, presenterà il suo manifesto al Fusolab di Roma, via Giorgio Pitacco 29, alle ore 21.

Riflessioni su libertà digitali, diritto d'autore, p2p e privacy.

Dalle ore 22, DJ SET rocknroll-garage-punk di D1Ng.

Il PIRATE PARTY è pronto a mollare gli ormeggi... siete tutti invitati.

Prima dell'estate avevo segnalato la persistente inottemperanza dell'Agenzia delle Entrate rispetto al provvedimento del garante privacy del 18 settembre 2008, per quel che concerne le web application ("Per le web application è stato utilizzato un certificato Ssl di tipo self signed (non firmato da una Ca, Certification authority, ufficiale) non attendibile che, in mancanza di una Ca affidabile, non offre le garanzie di certezza dell'identità dell'erogatore del servizio tipiche della certificazione digitale tramite Pki (public key infrastructure): risultano pertanto facilitate azioni di phishing in danno di utenti del sistema e la possibile acquisizione indebita di credenziali di autenticazione, idonea a consentire utilizzi impropri dell'applicazione")

Grazie all'Associazione "Cittadini di Internet", tale circostanza è stata segnalata al Garante agli inizi di settembre.

Mi sono ricollegato oggi alla sezione "servizi telematici" del sito dell'Agenzia e il problema sembra risolto.

In luogo del certificato self-signed, ora c'è un certificato rilasciato da una CA internazionalmente riconsociuta, Cybertrust Inc.

Peccato che lo stesso non possa ancora dirsi per il servizio estratto conto di Equitalia S.p.A.

E' importante che i responabili dei sistemi informativi di Equitalia provvedano in fretta, anche perchè non aiuta di certo gli utenti/cittadini ritrovarsi su una pagina con il browser che ti avverte che la connessione non è sicura e che se vai avanti lo fai a tuo rischio e pericolo.

Prima della vacanze avevo scritto che avrei chiesto al Garante Privacy cosa ne pensasse del fatto che, nonostante il suo provvedimento 18 settembre 2008, l'Agenzia delle Entrate continuasse ad utilizzare un certificato self signed per i suoi servizi telematici, con grave rischio di phishing per gli utenti del sistema. Avevo segnalato, altresì, il caso del servizio "estratto conto" offerto da Equitalia S.p.A.

Ogni promessa è un debito. Come Associazione "Cittadini di Internet" abbiamo inviato una segnalazione al Garante. Vediamo quali saranno gli sviluppi.

Stay tuned!

Qualcuno forse ricorderà il provvedimento del Garante Privacy del 18 settembre 2008 con cui si bacchetteva severamente l'Agenzia delle Entrate per le modalità di accesso all'anagrafe tributaria da parte di soggetti esterni all'amministrazione finanziaria, per la sicurezza dei sistemi di autenticazione degli applicativi ultilizzati e per altre inadempienza a cui l'Agenzia avrebbe dovuto porre rimedio in un termine che, a seconda delle contestazioni, andava dai 3 ai 12 mesi.

Il 10 giugno scorso è stato pubblicato sul sito dell'Agenzia un documento recante "Adeguamento dei servizi telematici dell'Agenzia delle entrate alle prescrizioni del Garante per la protezione dei dati personali (Provvedimento del Direttore)" nel quale si dà atto di quanto è stato fatto per ottemperare alle indicazioni fornite dal garante.

A suo tempo (era il settembre 2008), mi colpì in particolare una delle anomalie segnalate, che riporto qui di seguito:

Conseguentemente il Garante prescriveva all'Agenzia delle Entrate di fare in modo che, entro tre mesi, tutte le applicazioni accessibili da rete pubblica in forma di web application fossero implementate con protocolli https/ssl provvedendo ad asseverare l'identità digitale dei server erogatori dei servizi tramite l'utilizzo di certificati digitali emessi da una Certification Authority ufficiale.

Di mesi ne sono passati quasi nove ma se ci si collega ad Entratel il certificato di protezione è sempre quello self signed.

Insomma, sono l'Agenzia delle Entrate... e mi certifico da sola, piaccia o meno al Garante Privacy.

Il 26 maggio u.s. il Ministro Renato Brunetta ha firmato una direttiva da trasmettere a tutte le Pubbliche Amministrazioni in merito all'utilizzo di Internet e della posta elettronica sul luogo di lavoro.

Nella direttiva si invitano le P.A. ad attuare "tutte le misure di informazione, controllo e verifica consentite al fine di regolamentare la fruizione delle risorse ICT e responsabilizzare i dipendenti nei confronti di eventuali utilizzi non coerenti con la prestazione lavorativa".

Sebbene la direttiva non dica nulla di nuovo rispetto a quanto da tempo affermato dal Garante Privacy, va comunque salutato con apprezzamento il fatto che il Ministro ricordi alle Amministrazioni di attenersi ai principi di proporzionalità, pertinenza e non eccedenza nelle attività di controllo: "le limitazioni delle libertà e dei diritti individuali devono, infatti, essere proporzionate allo scopo perseguito; è in ogni caso escluso l'ammissibilità di controlli prolungati, costanti e indiscriminati".

Ministro, non è che le interesserebbe assumere ad interim la Presidenza del Comitato Antipirateria? Così, giusto per vedere ribaditi anche lì gli stessi princìpi.

DECRETO-LEGGE 23 febbraio 2009, n. 11 (in G.U. n. 45 del 24 febbraio 2009) - Misure urgenti in materia di sicurezza pubblica e di contrasto alla violenza sessuale, nonché in tema di atti persecutori.

Art. 6.
Piano straordinario di controllo del territorio

7. Per la tutela della sicurezza urbana, i comuni possono utilizzare sistemi di videosorveglianza in luoghi pubblici o aperti al pubblico.
8. La conservazione dei dati, delle informazioni e delle immagini raccolte mediante l'uso di sistemi di videosorveglianza è limitata ai sette giorni successivi alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione.

Sul Sole 24 Ore di Lunedì è stato pubblicato un articolo molto interessante a firma del Prof. Vincenzo Zeno-Zencovich dal titolo “Una rete infinita tra abusi e garanzie”. Argomento: la privacy.

C’era una volta il Grande Fratello di George Orwell, dove il GF era l’autorità pubblica interessata a schedare tutti i cittadini utilizzando le tecnologie informatiche. Bene, dice il professore, sono state inizialmente messe in campo leggi per proteggere il cittadino dall’invadenza dello Stato, senza rendersi conto che progressivamente lo scenario mutava e con esso il soggetto deputato alla raccolta dei dati. Non uno Stato invadente, ma milioni di imprese private, non un Big Brother ma un Big Business.

Seconda osservazione: è diventato quasi impossibile sottrarsi alla raccolta di dati che ci riguardano, se non adottando condotte a-sociali. Anche in questo caso, l’osservazione coglie nel segno. Ed anzi sottace un fenomeno assai interessante come quello dei siti di social networking (Facebook et similia) dove ci si compiace dell’agire in una sorta di acquario in cui tutti siano in grado di vedere tutto. Fa parte del gioco, lo rende divertente.

Terza osservazione: la privacy viene sempre più usata come merce di scambio per la sicurezza. Sostiene il professore: “la raccolta di dati da parte sia dello Stato che dei privati (spesso questi ultimi fungono attività ausiliare del primo) viene vista come uno strumento importante per la tutela della propria incolumità”.

Questo è l’aspetto che trovo di maggiore interesse perché si collega alla manifestazione prevista per il prossimo 11 ottobre “Libertà, non paura” che a questo ricatto (meno privacy se si vuole più sicurezza) cerca di sottrarsi.

Vi ricordate la storia degli elenchi dei contribuenti messi online dall'Agenzia delle Entrate e poi rimossi in seguito ad un provvedimento del Garante per la protezione dei dati personali?

Illegittimamente? Ora non più, c'è stata una bella sanatoria (art. 42, comma 1-bis, del D.L. 112/2008, converito in legge 133/2008).

"1-bis. Fermo restando quanto previsto dal comma 1, relativamente agli elenchi, anche già pubblicati, concernenti i periodi d'imposta successivi a quello in corso al 31 dicembre 2004, e comunque fino alla data di entrata in vigore del presente decreto, la consultazione degli elenchi previsti dagli articoli 66-bis, commi secondo e terzo, del decreto del presidente della Repubblica 26 ottobre 1972, n. 633, e 69, comma 6, del decreto del presidente della Repubblica 29 settembre 1973, n. 600, come da ultimo modificati dal comma 1 del presente articolo, può essere effettuata anche mediante l'utilizzo delle reti di comunicazione elettronica come definite dall'articolo 4, comma 2, lettera c), del Codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196."

Cosa sarebbe l'Italia senza proroghe e sanatorie?

Sarà l'effetto di Grillo e del suo V-Day, sarà che la gente ha iniziato a prenderci gusto ma erano anni che non vedevo una pressione così forte sulla politica da parte dei cittadini, tanto da mobilitarsi alla prima mossa fuori luogo.
E' bastata che circolasse in rete la notizia che al Senato era in discussione un emendamento che esonerava tutte le imprese dall'obbligo di predisporre le misure minime di sicurezza a tutela dei dati personali ex D.lgs 196/2003, che il popolo di Internet si è mobilitato (con capofila eccellenti, come Stefano Rodotà) ed ha ottenuto in poche ore il ritiro dell'emendamento.
Altra questione: in commissione cultura alla Camera dei Deputati viene votato nei giorni scorso un emendamento che aggiunge un comma 1-bis all'articolo 70 della Legge sul diritto d'autore. L'intento è quello di ampliare le libere utilizzazioni per fini didattici, il risultato è che l'emendamento è una schifezza (non ce la faccio proprio a tenere un contegno da giurista) e se portato in fondo produrrebbe un peggioramento della situazione attuale. Altro che Fair Use! Parte il tam tam in rete, sui blog le critiche si rincorrono. L'on. Folena, uno dei firmatari dell'emendamento, scrivea Punto-Informatico replicando al Sen. Cortiana che aveva espresso posizioni assai critiche. Speriamo di ottenere una vittoria anche in questo caso. Una cosa mi è chiara: il popolo della Rete tiene d'occhio la politica e, Onorevoli Deputati e Senatori, non si distrae un attimo. Siete avvertiti ;-)