Ottobre 2001 - Ordine dei Giornalisti

P R I V A C YPubblichiamo il discorsodi presentazione della relazione 2000pronunciato a Romail 17 luglio scorsodal Garante Stefano RodotàLa protezione dei dati personalinell’era della globalizzazionedi StefanoRodotàLa relazione di quest’anno coglie il Garante per la protezione dei datipersonali in un momento singolare e stimolante, sia per quanto riguardala sua vita interna, sia per quel che si riferisce al complessivo contestoculturale e istituzionale in cui dobbiamo muoverci. Si è concluso, infatti,il primo quadrienno della nostra attività, e questa scadenza istituzionaleè stata accompagnata da un parziale rinnovamento del collegio. I componentidel passato Collegio, Giuseppe Santaniello ed io stesso, sono oggiaffiancati da Mauro Paissan e Gaetano Rasi, con i quali l’intesa è stataimmediata ed il cui contributo già incide su materie di particolare rilevanza,come il commercio elettronico e il sistema dei media. Hanno lasciatoil Collegio Ugo De Siervo e Claudio Manganelli, con i quali abbiamocondiviso la fase difficile della costruzione di questa nuova istituzione,ed ai quali va un particolarissimo ed affettuoso ringraziamento.Collocati sul crinale tra passato e futuro, dobbiamo qui proporre elementidi bilancio e cimentarci con ipotesi di programmi a più lunga scadenza.Riferiamo sul già fatto, e spingiamo lo sguardo verso il molto che dovremofare.In tempi di globalizzazione, proprio la questione dei dati personali è statatra le primissime a scavalcare ogni frontiera, a liberarsi dalle costrizionidel tempo e del luogo attraverso le molteplici opportunità offerte da Internet.Parlando oggi di privacy, frequentiamo una dimensione dove s’intreccianovalori fondativi della persona, precondizioni della democrazia,modalità diverse dell’azione economica.Intanto, però, il quadro dei principi di riferimentosi è rafforzato e consolidato. Questo èavvenuto alla fine dell’anno scorso, quandoa Nizza è stata proclamata la Carta dei dirittifondamentali dell’Unione europea, che riconoscela tutela dei dati personali come undiritto fondamentale della persona, con unasua specificità ed autonomia, e non soltantocome un aspetto, magari implicito, di una piùgenerale tutela della vita privata. Ai datipersonali, infatti, la Carta dedica l’intero articolo8, anche con un esplicito riferimento allanecessità di una autorità indipendente dicontrollo, che così si configura come un ineliminabilediritto del cittadino, come unelemento costitutivo del sistema delle garanzie.Giunge così a compimento un modello europeoche - attraverso convenzioni, direttive,legislazioni nazionali - è progressivamenteandato oltre un’idea di privacy come puroscudo protettivo contro invasioni esterne.Parliamo ormai di un diritto all’autodeterminazioneinformativa, del potere di governareil flusso delle proprie informazioni come parteintegrante di quella “costituzionalizzazione”della persona che rappresenta uno degliaspetti più significativi delle attuali dinamicheistituzionali. Non intendo qui discutere laportata della Carta dei diritti fondamentali,alla quale non è stato ancora attribuito formal-L’Europa e i diritti dei cittadinimente un valore giuridico vincolante, ma chetuttavia già costituisce punto di riferimentoper l’azione di corpi politici e amministrativi,di giudici nazionali e sovranazionali. È certo,comunque, che quella Carta ha rinnovato ilsistema dei valori fondativi dell’Europa, e chein questo sistema la protezione dei dati occupaormai una posizione di rilievo.Viene così riaffermata e dilatata la legittimazionedelle autorità nazionali di garanzia, sifa più stringente il loro dovere di assicurareuna tutela rigorosa ai diritti dei cittadini. Igoverni e i parlamenti, che a quella Cartahanno dato il loro consenso, devono coerentementerispettarne i principi e operare bilanciamentitra gli interessi che non sacrifichinole garanzie della sfera privata.Così facendo l’Europa è forse prigioniera diuna illusione? La considerazione della protezionedei dati personali come un dirittofondamentale può sembrare lontanissima dauna realtà che il presidente di una grandesocietà americana così brutalmente descrive:“La vostra privacy è zero. Rassegnatevi”.È davvero questo il destino che ci riserva l’incessanteinnovazione tecnologica, o in affermazionicome questa si riflettono piuttosto lepretese di alcuni settori del mondo imprenditoriale,e i caratteri che differenziano ilmodello europeo da quello degli Stati Uniti?Un confronto con gli Stati UnitiProprio l’analisi delle dinamiche reali ci imponedi non cedere alle semplificazioni. Esamineròpiù avanti gli atteggiamenti che emergonotra le imprese. Intanto, però, è necessariaun’attenzione attiva per quel che staaccadendo negli Stati Uniti. Probabilmente èeccessivo l’ottimismo di chi parla della legislaturaappena cominciata come di un“privacy Congress”. È certo, tuttavia, checresce la pressione per una tutela dellaprivacy non affidata soltanto all’autoregolamentazioneed alle logiche del mercato.Trenta proposte di legge sono già statepresentate al Congresso e, tra queste, alcuneprevedono l’istituzione di una autorità sulmodello europeo; negli stati, il numero delleproposte, nel 2001, è arrivato addirittura a6918. Lo stesso Presidente Bush ha chiestouna normativa che impedisca l’uso dei datigenetici a fini discriminatori, in particolare adopera di datori di lavoro e assicuratori,secondo una linea già adottata da un decretodi Clinton del febbraio dell’anno scorso,che vietava appunto il ricorso ai dati geneticiper la valutazione dei dipendenti federali.A queste dinamiche non è estranea l’influenzadel modello europeo che, subordinando iltrasferimento dei dati personali fuori dall’Unioneeuropea all’esistenza di una protezioneadeguata nei paesi di destinazione,comincia ad obbligare le imprese americanea rispettare regole più severe di quelle interneed offre un punto di riferimento a quanti,negli Stati Uniti, chiedono appunto livelli piùelevati di protezione. Tutto questo non avvienesenza contrasti e resistenze. L’accusa diviolare la sovranità degli Stati Uniti con lapretesa di imporre regole europee, propostain modo particolarmente tagliente in occasionedi un recentissimo intervento dellaCommissione in tema di concentrazioni, eragià stata ripetutamente formulata proprio inrelazione alle norme sulla circolazione transnazionaledelle informazioni personali.Ho insistito sulle questioni internazionali peruna ragione generale e per segnalare subitoun problema concreto, che impegnerà dall’iniziodell’autunno tutta quella parte del sistemaimprenditoriale che trasferisce datipersonali fuori dell’Unione europea. Il Garanteitaliano è certamente quello che, in Europa,ha maggior consapevolezza della dimensionedavvero globale della circolazionedelle informazioni, e di ciò abbiamo avuto unpalese riconoscimento con la mia elezionequale presidente del Gruppo dei Garantieuropei. Organizzando l’anno scorso a Veneziala ventiduesima Conferenza mondialesulla protezione dei dati personali, avevamoscelto come tema “Un mondo, una privacy”ed avevamo risolutamente operato perché laconferenza si concludesse con una dichiarazionevolta ad indicare una via verso regolecondivise.La Dichiarazione di Venezia, sottoscritta dairappresentanti delle autorità di tutto il mondo,ribadisce che la privacy è “un diritto fondamentaledella persona” e “un elementoessenziale della libertà dei cittadini”; indica iProprio la crescente legittimazione internazionaledi questo modello conferma lagiustezza della scelta del legislatore europeoe di quello italiano di consentire il trasferimentodei dati personali solo in paesi cheoffrano una protezione adeguata, cosìevitando la pericolosa nascita di “paradisi deidati”, assai più agevoli da costruire deglistessi paradisi fiscali. Finora la circolazioneinternazionale dei dati non è stata sostanzialmenteintralciata, per consentire alleimprese di adeguare le prassi alle nuoveregole; per cominciare ad identificare i paesiche, fuori dell’Unione europea, già offronolivelli adeguati di protezione; e, soprattutto,per risolvere i difficili problemi dei trasferimentiverso il più grande “mercato” delleinformazioni, gli Stati Uniti.Disponiamo ora degli strumenti necessari, eil periodo di “grazia” è terminato, ovunque inEuropa. Il Garante indicherà al più tardi aNon vorrei che, a questo punto, venisseriproposto lo schema ingannevole checontrappone alla fluidità dei commerci la rigiditàdella disciplina dei dati personali. Questaè una tesi insostenibile in via di principioperché, con uno scatto d’insofferenza, nonsi può semplicisticamente considerare comeun intralcio alla competitività quello che, invece,è un ineludibile diritto fondamentale. Ma,soprattutto, insistere su quella contrapposizionerivela arretratezza, incapacità di guardarealle dinamiche più avanzate dello stessomondo imprenditoriale.Nella Relazione dello scorso anno mettevamoin luce la dipendenza dello sviluppo delcommercio elettronico da politiche imprenditorialicapaci di rispondere alle preoccupazionidella quasi totalità dei consumatori,poco propensi ad entrare nel mercato elettronicosenza adeguate garanzie per la riservatezzae la sicurezza dei loro dati. Avevamovisto giusto. Nel corso del 2000 il commercioLa Dichiarazione di Veneziae l’iniziativa italianaprincipi comuni ai quali già ci si ispira nei piùdiversi paesi; impegna ad operare per garantirea tutti elevati e analoghi livelli di protezione.Segnaliamo questa esperienza a Governoe Parlamento perché, se lo riterrannoopportuno, mantengano viva l’iniziativa italianae si facciano promotori di azioni internazionaliche con strumenti diversi e coordinatitra loro - convenzioni, codici di condotta,standard tecnici - costruiscano una retesempre più larga di riferimenti comuni.Non sarebbe una iniziativa eccessivamenteambiziosa, coglierebbe lo spirito del tempo,sarebbe un buon esempio di quella che hochiamato “attenzione attiva” per i nuoviproblemi e le nuove prospettive di tutela. Ilmodello europeo di protezione dei datipersonali, infatti, ha ormai superato i confinidell’Unione e ispira la legislazione dei paesipiù diversi (dal sistema di Hong Kong alleleggi dei paesi dell’Europa centrale e orientale,a quelle recentissime di Cile e Argentina).Una iniziativa italiana rafforzerebbequesta tendenza e favorirebbe cosi la diffusionedi principi comuni.Le informazioni fuori dall’Unioneeuropea: no ai paradisi dei datisettembre i criteri che dovranno essereseguiti da tutti i soggetti che, localizzati inItalia, trasferiscono o intendono trasferire datipersonali fuori dell’Unione europea. Ma èopportuno che fin d’ora tutti prendano buonanota di questa scadenza e facciano le loroscelte: assai semplici se il trasferimentoriguarda paesi la cui legislazione va considerataadeguata dall’Unione europea (Canada,Svizzera, Ungheria, Slovenia, HongKong) o se si tratta di imprese statunitensiche hanno aderito all’accordo chiamato“Safe Harbor”, “Porto sicuro”; scelte chesaranno appena più complesse, se si ricorreràalle clausole contrattuali uniformi giàapprovate dalla Commissione europea sullabase del lavoro dei garanti europei; e chediverranno più impegnative se si deciderà diricorrere per casi speciali alla proceduraprevista dall’art. 28 della legge 675, dalmomento che si dovrà chiedere per questiuna specifica autorizzazione del Garante.Un’opportunità,un valore aggiuntoelettronico ha perduto negli Stati Uniti dodicimilioni di clienti; pochi giorni fa una inchiestaGallup ha confermato le preoccupazioni deiconsumatori; e già si manifestano o siannunciano politiche imprenditoriali chesegnano una radicale modifica degli atteggiamentiverso la protezione dei dati personali.Grandi imprese, in Europa e in America,dichiarano la loro volontà di abbandonare lepratiche di spamming (invio indiscriminato dimessaggi pubblicitari), di preferire l’opt in(consenso preventivo) all’opt out (richiesta dicancellazione dalle liste). Fuori dai gerghi,questo vuol dire che tali imprese adottano inpieno la logica (già norma in Italia e altrove)del preventivo consenso dell’interessato altrattamento dei suoi dati personali. La ragioneè squisitamente economica: l’invio dimessaggi indesiderati può provocare reazionidi rigetto nei confronti del mittente molesto,l’insicurezza sulle modalità di raccolta e4 ORDINE 8 2001