Category Archives: Privacy e dati personali

DPS R.I.P.

Posted on 28 Gennaio 2012 by Daniele Minotti

La notizia si è rapidamente diffusa: con l’entrata in vigore del decreto sulle semplificazioni non sarà più necessario predisporre il DPS (o DPSS), cioè il Documento Programmatico sulla Sicurezza, in presenza di trattamento di dati personali.
Discende dall’art. 47, comma 2, di detto decreto che cancella ogni riferimento, appunto, DPS

b) all’articolo 34 sono soppressi la lettera g) del comma 1 e il comma 1-bis;

c ) nel disciplinare tecnico in materia di misure minime di sicurezza di cui all’allegato B sono soppressi i paragrafi da 19 a 19.8 e 26.

Un’osservazione preliminare: ci sarà la crisi, ma questo Governo non riesce proprio a distinguersi da quelli precedenti per l’abuso della decretazione d’urgenza.
Nel merito: la sparizione del DPS costituisce sicuramente una semplificazione in un campo, quello della privacy, già ben caro a questo esecutivo. Si trattava, invero, dell’adempimento più delicato (peraltro, già di applicazione limitata a causa di un precedente intervento legislativo) la cui omissione, non dimentichiamolo, costituiva reato (donde, oggi, la depenalizzazione relativamente ad esso).
Si badi bene, però, che sono sempre da adottare tutte le altre misure minime (password, backup, ecc.), a pena di sanzione penale – mi si passi il bisticcio.
Sicché, io credo che, comunque, il DPS, in quanto almeno riassuntivo dei rischi e delle misure di sicurezza implementate, sia sempre consigliabile.

Posted in Privacy e dati personali | Tagged , , | 4 Comments

Notizie (spero) utili di fine anno 2/2: WiFi libero

Posted on 31 Dicembre 2011 by Daniele Minotti

Negli ultimi giorni, Fulvio Sarzana di S. Ippolito ha seguito molto il caso della possibile proroga delle licenze per Internet point e affini. E già ad ottobre Marco Scialdone aveva commentato il possibile ritorno all’identificazione di utenti Internet di postazioni pubbliche non vigilate (Internet point, per esempio).

Fortunatamente, il pericolo è rientrato e da domani 1° gennaio 2012, il WiFi potrà dirsi completamente e definitivamente liberato: non ci sarà proroga.

Ma vediamo un po’ cosa è successo.

Molti ricorderanno il celeberrimo “decreto Pisanu”, un provvedimento voluto dall’allora Ministro dell’interno (da cui ha preso il nome) sostanzialmente per ragioni di antiterrorismo (eravamo proprio all’indomani degli attentati di Londra).

Tra gli altri interventi due specifici per Internet. All’art. 7 (questo il testo dopo la conversione):

– obbligo di licenza del questore per “chiunque intende aprire un pubblico esercizio o un circolo privato di qualsiasi specie la cui esclusiva o prevalente attività consista nel mettere a disposizione del pubblico, dei clienti o dei soci apparecchi terminali utilizzabili per le comunicazioni, anche telematiche, oppure in cui siano installati più di tre apparecchi terminali”;

– obbligo di predisporre “misure che il titolare o il gestore di un esercizio in cui si svolgono le attività di cui al comma 1 [v. il precedente punto] è tenuto ad osservare per il monitoraggio delle operazioni dell’utente e per l’archiviazione dei relativi dati, anche in deroga a quanto previsto dal comma 1 dell’articolo 122 e dal comma 3 dell’articolo 123 del decreto legislativo 30 giugno 2003, n. 196, nonché [le] misure di preventiva acquisizione di dati anagrafici riportati su un documento di identità dei soggetti che utilizzano postazioni pubbliche non vigilate per comunicazioni telematiche ovvero punti di accesso ad Internet utilizzando tecnologia senza fili”.

Le seconde disposizioni (monitoraggio, archiviazione e identificazione) erano già venute meno per espressa abrogazione attuata dal decreto legge 29 dicembre 2010, n. 225.

Quanto all’obbligo di licenza, il termine originario (31 dicembre 2007) era stato più volte prorogato, sino al 31 gennaio 2011. Ecco, essendo venuta meno la previsione di un’ennesima proroga, con la licenza ci fermiamo alla mezzanotte di oggi.

Buon 2012.

Posted in Leggi e leggine, Privacy e dati personali | Tagged , , | 2 Comments

Notizie (spero) utili di fine anno 1/2: privacy e persone giuridiche

Posted on 30 Dicembre 2011 by Daniele Minotti

La notizia è confermata con la conversione in legge del decreto “Salva Italia”: la privacy delle persone giuridiche non esiste più.

Sì, va bene, l’affermazione è un po’ enfatica e terminologicamente non ineccepibile (la tutela dei dati personali non è soltanto privacy), però, nella sostanza, è corretta. Vediamo meglio perché, anche se ne avevo già parlato tempo addietro.

Sino al 5 dicembre 2011, la definizione di dato personale (art. 4, comma 1, lett. b) d.lgs. 196/2003) era questa:

b) “dato personale”, qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;

Con l’entrata in vigore del decreto salvatore, è diventata così:

b) “dato personale”, qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;

Ciò in quanto, tra le altre cose secondo me meno determinanti, il nostro decretone ha così stabilito, all’art. 40, comma 2, lett. a):

2. Per la riduzione degli oneri in materia di privacy, sono apportate le seguenti modifiche al decreto legislativo 30 giugno 2003, n. 196:

a) all’articolo 4, comma 1, alla lettera b), le parole “persona giuridica, ente od associazione” sono soppresse e le parole “identificati o identificabili” sono sostituite dalle parole “identificata o identificabile”.

Dunque: i dati che identificavano le persone giuridiche (nonché gli enti e le associazioni) non sono più giuridicamente “personali”. Pertanto: possono essere liberamente trattati senza che eventuali abusi possano dirsi illeciti a fini “privacy”.

Con tre precisazioni.

La prima è che l’abuso di questi dati può, eventualmente, costituire comunque un illecito (penale, civile o amministrativo), ma soltanto se considerato al di fuori della disciplina dei dati personali.

Con la seconda si intende ricordare che le persone giuridiche (e gli enti e le associazioni) rimangono pur sempre “abbonati” ai sensi dell’art. 4, comma 2, lett. h), d.lgs. 196/2003. Il che significa, per esempio, che è ancora vietato il telemarketing selvaggio verso questi soggetti.

La terza serve ad avvertire che, ovviamente, persone giuridiche, enti e associazioni non sono esentate, per questa riforma, dal rispettare la disciplina sui dati personali, con gli adempimenti che ne possono derivare.

Posted in Leggi e leggine, Privacy e dati personali | Tagged , | 2 Comments

La crittografia svelata

Posted on 28 Dicembre 2011 by Daniele Minotti

Al netto dei soliti temi politici tipici de Il Fatto e di una certa confusione narrativa (dovuta, probabilmente, alla non perfetta conoscenza della tecnica), questa notizia del presunto “plagio” di un software è veramente interessante.
Non tanto per la cronaca di un avvenimento purtroppo non raro (i programmatori amano spesso copiarsi), ma perché il plagio riguarderebbe anche un sistema di crittografia.
Col il timore – e credo sia questo il punto più delicato – che certi archivi non siano così sicuri visto che la tecnologia sembra conosciuta.
Vedremo, magari si sgonfia tutto.

Posted in Diritto d'autore, Privacy e dati personali | 1 Comment

ZeusNews > Monti taglia anche la privacy

Posted on 6 Dicembre 2011 by Daniele Minotti

(da ZeusNews del 6 dicembre 2011)

2. Per la riduzione degli oneri in materia di privacy, sono apportate le seguenti modifiche al decreto legislativo 30 giugno 2003, n. 196:
a) all’articolo 4, comma 1, alla lettera b), le parole “persona giuridica, ente od associazione” sono soppresse e le parole “identificati o identificabili” sono sostituite dalle parole “identificata o identificabile”.
b) All’articolo 4, comma 1, alla lettera i), le parole “la persona giuridica, l’ente o l’associazione” sono soppresse.
c) Il comma 3-bis dell’articolo 5 è abrogato.
d) Al comma 4, dell’articolo 9, l’ultimo periodo è soppresso.
e) La lettera h) del comma i dell’articolo 43 è soppressa.

Quello citato è il testo dell’art. 40, comma 2, del “decreto salva Italia” riguardante, nel particolare, la “riduzione degli adempimenti amministrativi per le imprese”.
Non si tratta di un intervento da poco: in poche parole, non esiste più il concetto di dato personale riferito a persone giuridiche, enti e associazioni. Dunque, quei dati che, sino ad oggi, erano tutelati, ora possono essere tranquillamente trattati senza che ne consegua alcunché.
Rimane l’unica consolazione che, come già qualcuno ha osservato, le persone giuridiche, gli enti e le associazioni sono pur sempre “abbonati” come specificato dal Codice della privacy. Pertanto, manterrebbero sempre la possibilità di opporsi al telemarketing.

Posted in Leggi e leggine, Privacy e dati personali, ZeusNews | Tagged , , | 23 Comments

Giornalettismo > L’Ue vieta i filtri sul P2P?

Posted on 24 Novembre 2011 by Daniele Minotti

(da Giornalettismo del 24 novembre 2011)

Vietati i filtri sul peer-to-peer. E’ questa, in sostanza, il senso della sentenza della Corte di Giustizia dell’Unione Europea emessa proprio oggi.

Tutto, in realtà, nasce da una decisione un po’ scellerata con la quale il Tribunale di prima istanza di Bruxelles aveva imposto ad un provider di connettività, su istanza della SABAM (omologa della nostra SIAE), di impedire gli scambi peer to peer in violazione delle norme sul diritto d’autore.

In pratica, come ben evidenziato dalla Corte di Appello di Bruxelles che ha sottoposto il caso alla Corte di Giustizia, si era imposto al provider un sistema di filtraggio:
– di tutte le comunicazioni elettroniche che transitavano per i loro servizi, in particolare mediante programmi peer-to-peer;
– da applicarsi indistintamente a tutta la sua clientela;
– a titolo preventivo;
– a spese esclusive dei singoli provider;
– senza limiti nel tempo.

Proprio sul punto è intervenuta la Corte Europea che ha stabilito che un giudice dell’Unione non può ingiungere quanto sopra per la contrarietà alle norme comunitarie (peraltro, regolarmente recepite dai singoli Paesi) vigenti in tema di dati personali, commercio elettronico e anche diritto d’autore. Non si tratta di una cosa da poco. Gioiscono i provider che, non avendo un obbligo generale di sorveglianza, vedono oggi allontanarsi il pericolo che qualche giudice nazionale imponga loro adempimenti francamente esorbitanti, onerosi, forse addirittura irrealizzabili.

Gioiscono gli utenti che eviteranno controlli preventivi e indiscriminati in danno della loro privacy (un po’ come accaduto a seguito del caso Peppermint), potendo godere della pienezza dei servizi telematici. Insomma, una vittoria importante – anche se ottenuta su una decisione palesemente censurabile – a beneficio di molti. Fine dei giochi, dunque? Non si vuole rovinare la festa a qualcuno, ma chi pensa che la decisione europea abbia messo fuorilegge, ad esempio, anche i sequestri di siti mediante inibizione di accesso, si sbaglia di grosso.

La sentenza è intervenuta soltanto per il fenomeno peer-to-peer sull’ipotesi di filtri generalizzati, preventivi e a tempo indeterminato, predisposti nell’ambito di una sorveglianza attiva del provider. Da qui a ritenere illegali anche i “nostrani” sequestri di siti (tecnicamente molto più semplici) ce ne passa, purtroppo. Complice una giurisprudenza discutibilmente “creativa” circa l’inibizione di cui sopra, i fornitori di connettività saranno ancora tenuti a rispettare i decreti di sequestro.

Posted in Commercio Elettronico, Diritto d'autore, Giornalettismo, Privacy e dati personali | Tagged | 2 Comments

Cloud, privacy, compliance (autopromozione)

Posted on 8 Ottobre 2011 by Daniele Minotti

Il 25, a Milano, con Axioma.
Un evento formativo non gratuito, ma spero molto interessante su un argomento, quello del cloud computing, tanto attuale quanto delicato anche sotto il profilo legale.

Posted in Privacy e dati personali, Sicurezza informatica | Tagged , , | Leave a comment

Una materia immatura

Posted on 13 Settembre 2011 by Daniele Minotti

La Collega Monica A. Senor mi ha fatto la gentilezza di inviarmi un prezioso commento in tema di privacy che ho subito pubblicato su Penale.it.
Si tratta di una nota critica ad una sentenza pronunciata dalla Suprema Corte a proposito della “pubblicazione”, da parte di un “privato”, di un numero di telefono cellulare di una terza persona.
Ne avevo già parlato, molto brevemente (e sotto un diverso profilo) QUI, ma Monica ha sviluppato perfettamente le perplessità che avevo avuto anch’io.

Posted in Privacy e dati personali | Tagged , , | 1 Comment

Questione di sensibilità

Posted on 16 Agosto 2011 by Daniele Minotti

Nel caso di specie è proprio questo che è accaduto: il R., venuto in possesso, peraltro non casualmente come sostenuto dal suo difensore per come è dato leggere dalla sentenza impugnata, di un dato sensibile (numero di utenza cellulare) per essergli stato fornito dal suo interlocutore del momento (il B.), si è determinato a diffonderlo su altri canali con ciò compromettendo la riservatezza del dato che la norma intende salvaguardare.

La Cassazione, pur incidentalmente, dice che un numero di cellulare è un dato sensibile. Ed io sono molto preoccupato.

“dati sensibili”, i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonche’ i dati personali idonei a rivelare lo stato di salute e la vita sessuale;
(art. 4, comma 1, lett., d) d.lgs. 196/2003)

Posted in Privacy e dati personali | Tagged , | 2 Comments

Tutta colpa del Garante?

Posted on 25 Maggio 2011 by Daniele Minotti

Giornalettismo (purtroppo non ho trovato la fonte prima a firma Luigi Ferrarella, sul Corriere) riporta la notizia dell’archiviazione di un procedimento nato per una minaccia di morte rivolta a Berlusconi e postata in un commento sul blog di Beppe Grillo.
In realtà, la vicenda era già nota, da circa due anni. Di ulteriore, sostanzialmente, pare esserci soltanto l’evento processuale dell’archiviazione con le relative motivazioni che, di fatto, erano già scritte. Il responsabile rimarrà impunito perché Microsoft (per una casella Hotmail) e H3G (per l’IP di connessione) avevano già cancellato i dati necessari per risalire al titolare dell’utenza. Ma Microsoft e H3G avrebbero agito sulla scorta di due distinti provvedimenti del Garante (per la privac) risalenti al gennaio 2008.
Ne avevo parlato nel luglio 2009 in un post cui rinvio. Credo che le mie osservazioni possano dirsi ancora valide.

Posted in Privacy e dati personali | Tagged , , , | 1 Comment