# Gazzetta ufficiale C 34/2012

| | ISSN 1977-0944
  doi:10.3000/19770944.C_2012.034.ita |
| --- | --- |
| Gazzetta ufficiale
  dell'Unione europea | C 34 |
| | |
| Edizione in lingua italiana | Comunicazioni e informazioni | 55o anno8 febbraio 2012 |

ISSN 1977-0944

doi:10.3000/19770944.C_2012.034.ita

Gazzetta ufficiale

dell'Unione europea

C 34

Edizione in lingua italiana

Comunicazioni e informazioni

55o anno8 febbraio 2012

---

| Numero d'informazione | Sommario | pagina |
| --- | --- | --- |
| | I   Risoluzioni, raccomandazioni e pareri |
| | PARERI |
| | Garante europeo della protezione dei dati |
| 2012/C 034/01 | Parere del Garante europeo della protezione dei dati sulla neutralità della rete, la gestione del traffico e la protezione della vita privata e dei dati personali | 1 |
| 2012/C 034/02 | Parere del Garante europeo della protezione dei dati sulla comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale e al Comitato delle regioni sulla migrazione | 18 |

Numero d'informazione

Sommario

pagina

I   Risoluzioni, raccomandazioni e pareri

PARERI

Garante europeo della protezione dei dati

2012/C 034/01

Parere del Garante europeo della protezione dei dati sulla neutralità della rete, la gestione del traffico e la protezione della vita privata e dei dati personali

1

2012/C 034/02

Parere del Garante europeo della protezione dei dati sulla comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale e al Comitato delle regioni sulla migrazione

18

| | IV   Informazioni |
| --- | --- |
| | INFORMAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA |
| | Commissione europea |
| 2012/C 034/03 | Tassi di cambio dell'euro | 27 |

IV   Informazioni

INFORMAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA

Commissione europea

2012/C 034/03

Tassi di cambio dell'euro

27

| | V   Avvisi |
| --- | --- |
| | ALTRI ATTI |
| | Commissione europea |
| 2012/C 034/04 | Avviso destinato a Monir Chouka, Yassin Chouka e Mevlüt Kar, che sono stati aggiunti all’elenco di cui agli articoli 2, 3 e 7 del regolamento (CE) n. 881/2002 del Consiglio che impone specifiche misure restrittive nei confronti di determinate persone ed entità associate alla rete Al-Qaeda, in forza del regolamento (UE) n. 97/2012 della Commissione | 28 |

V   Avvisi

ALTRI ATTI

Commissione europea

2012/C 034/04

Avviso destinato a Monir Chouka, Yassin Chouka e Mevlüt Kar, che sono stati aggiunti all’elenco di cui agli articoli 2, 3 e 7 del regolamento (CE) n. 881/2002 del Consiglio che impone specifiche misure restrittive nei confronti di determinate persone ed entità associate alla rete Al-Qaeda, in forza del regolamento (UE) n. 97/2012 della Commissione

28

| IT | |
| --- | --- |

IT

---

I Risoluzioni, raccomandazioni e pareri

PARERI

Garante europeo della protezione dei dati

| 8.2.2012 | IT | Gazzetta ufficiale dell'Unione europea | C 34/1 |
| --- | --- | --- | --- |

8.2.2012

IT

Gazzetta ufficiale dell'Unione europea

C 34/1

---

Parere del Garante europeo della protezione dei dati sulla neutralità della rete, la gestione del traffico e la protezione della vita privata e dei dati personali

2012/C 34/01

IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI,

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 16,

vista la Carta dei diritti fondamentali dell’Unione europea, in particolare gli articoli 7 e 8,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1),

visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (2), in particolare l’articolo 41, paragrafo 2,

vista la direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (3),

HA ADOTTATO IL SEGUENTE PARERE:

I.   INTRODUZIONE

I.1.   Contesto

| 1. | Il 19 aprile 2011 la Commissione ha adottato una comunicazione sull’apertura e la neutralità della rete Internet in Europa (4). |
| --- | --- |

1.

Il 19 aprile 2011 la Commissione ha adottato una comunicazione sull’apertura e la neutralità della rete Internet in Europa (4).

| 2. | Il presente parere può essere considerato la reazione del GEPD a tale comunicazione e mira a contribuire al dibattito politico in corso nell’Unione europea sulla neutralità della rete, in particolare sugli aspetti relativi alla protezione dei dati e della vita privata. |
| --- | --- |

2.

Il presente parere può essere considerato la reazione del GEPD a tale comunicazione e mira a contribuire al dibattito politico in corso nell’Unione europea sulla neutralità della rete, in particolare sugli aspetti relativi alla protezione dei dati e della vita privata.

| 3. | Il parere si basa sulla risposta (5) del GEPD alla consultazione pubblica della Commissione sull’apertura e la neutralità della rete Internet in Europa, che ha preceduto la comunicazione della Commissione. Il GEPD ha anche preso atto del recente progetto di conclusioni del Consiglio sulla neutralità della rete (6). |
| --- | --- |

3.

Il parere si basa sulla risposta (5) del GEPD alla consultazione pubblica della Commissione sull’apertura e la neutralità della rete Internet in Europa, che ha preceduto la comunicazione della Commissione. Il GEPD ha anche preso atto del recente progetto di conclusioni del Consiglio sulla neutralità della rete (6).

I.2.   Il concetto di neutralità della rete

| 4. | La neutralità della rete fa riferimento a un dibattito in corso sull’opportunità o meno di permettere che i fornitori di servizi Internet [ISP (7)] limitino, filtrino o blocchino l’accesso a Internet o influiscano altrimenti sulle sue prestazioni. Il concetto di neutralità della rete si fonda sull’idea che in Internet le informazioni debbano essere trasmesse in modo imparziale, indipendentemente dal loro contenuto, dalla destinazione o dalla fonte, e che gli utenti debbano poter decidere quali applicazioni, servizi e hardware intendano usare. Questo significa che gli ISP non possono, a loro discrezione, definire priorità per l’accesso o rallentarlo per determinate applicazioni o servizi come il peer to peer (P2P) e simili (8). |
| --- | --- |

4.

La neutralità della rete fa riferimento a un dibattito in corso sull’opportunità o meno di permettere che i fornitori di servizi Internet [ISP (7)] limitino, filtrino o blocchino l’accesso a Internet o influiscano altrimenti sulle sue prestazioni. Il concetto di neutralità della rete si fonda sull’idea che in Internet le informazioni debbano essere trasmesse in modo imparziale, indipendentemente dal loro contenuto, dalla destinazione o dalla fonte, e che gli utenti debbano poter decidere quali applicazioni, servizi e hardware intendano usare. Questo significa che gli ISP non possono, a loro discrezione, definire priorità per l’accesso o rallentarlo per determinate applicazioni o servizi come il peer to peer (P2P) e simili (8).

| 5. | Il filtraggio, il blocco e il controllo del traffico di rete sollevano questioni importanti, spesso trascurate o messe in secondo piano, che riguardano la riservatezza delle comunicazioni e il rispetto della vita privata delle persone fisiche e dei loro dati personali, quando usano Internet. Per esempio, determinate tecniche di controllo comportano il monitoraggio del contenuto delle comunicazioni, dei siti visitati, delle e-mail inviate e ricevute, degli orari in cui queste operazioni avvengono e simili, permettendo di filtrare le comunicazioni. |
| --- | --- |

5.

Il filtraggio, il blocco e il controllo del traffico di rete sollevano questioni importanti, spesso trascurate o messe in secondo piano, che riguardano la riservatezza delle comunicazioni e il rispetto della vita privata delle persone fisiche e dei loro dati personali, quando usano Internet. Per esempio, determinate tecniche di controllo comportano il monitoraggio del contenuto delle comunicazioni, dei siti visitati, delle e-mail inviate e ricevute, degli orari in cui queste operazioni avvengono e simili, permettendo di filtrare le comunicazioni.

| 6. | Controllando i dati delle comunicazioni, gli ISP potrebbero violarne la riservatezza, che è un diritto fondamentale garantito dall’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (CEDU) e dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea. La riservatezza è inoltre tutelata nella legislazione derivata dell’Unione europea, in particolare dall’articolo 5 della direttiva e-privacy. |
| --- | --- |

6.

Controllando i dati delle comunicazioni, gli ISP potrebbero violarne la riservatezza, che è un diritto fondamentale garantito dall’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (CEDU) e dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea. La riservatezza è inoltre tutelata nella legislazione derivata dell’Unione europea, in particolare dall’articolo 5 della direttiva e-privacy.

I.3.   Obiettivo e struttura del parere

| 7. | Il GEPD ritiene che un serio dibattito politico sulla neutralità della rete debba occuparsi della riservatezza delle comunicazioni e delle altre conseguenze per la protezione dei dati e della vita privata. |
| --- | --- |

7.

Il GEPD ritiene che un serio dibattito politico sulla neutralità della rete debba occuparsi della riservatezza delle comunicazioni e delle altre conseguenze per la protezione dei dati e della vita privata.

| 8. | Il presente parere contribuisce al dibattito in corso a livello di Unione europea. Il suo obiettivo è triplice:






  — | pone in risalto l’attinenza della protezione dei dati e della vita privata nelle attuali discussioni sulla neutralità della rete, sottolineando in particolar modo la necessità di rispettare le norme vigenti in materia di riservatezza delle comunicazioni. Devono essere ammesse solo le pratiche che rispettano tali norme, |
| --- | --- | --- |

8.

Il presente parere contribuisce al dibattito in corso a livello di Unione europea. Il suo obiettivo è triplice:

—

pone in risalto l’attinenza della protezione dei dati e della vita privata nelle attuali discussioni sulla neutralità della rete, sottolineando in particolar modo la necessità di rispettare le norme vigenti in materia di riservatezza delle comunicazioni. Devono essere ammesse solo le pratiche che rispettano tali norme,

| — | la neutralità della rete riguarda possibilità (tecnologiche) relativamente nuove e l’esperienza circa le modalità di applicazione del quadro giuridico è scarsa. Il presente parere fornisce pertanto un orientamento su come gli ISP debbano applicare e rispettare il quadro giuridico sulla protezione dei dati se si impegnano a filtrare, bloccare e controllare il traffico di rete. Ciò dovrebbe essere utile per gli ISP e anche per le autorità incaricate di attuare il quadro, |
| --- | --- |

—

la neutralità della rete riguarda possibilità (tecnologiche) relativamente nuove e l’esperienza circa le modalità di applicazione del quadro giuridico è scarsa. Il presente parere fornisce pertanto un orientamento su come gli ISP debbano applicare e rispettare il quadro giuridico sulla protezione dei dati se si impegnano a filtrare, bloccare e controllare il traffico di rete. Ciò dovrebbe essere utile per gli ISP e anche per le autorità incaricate di attuare il quadro,

| — | nell’ambito della protezione dei dati e della vita privata, il presente parere identifica settori ai quali è necessario rivolgere particolare attenzione e che possono richiedere interventi da parte dell’Unione europea. Ciò è particolarmente importante alla luce del dibattito in corso a livello europeo e delle misure di politica che la Commissione potrebbe adottare in tale contesto. |
| --- | --- |

—

nell’ambito della protezione dei dati e della vita privata, il presente parere identifica settori ai quali è necessario rivolgere particolare attenzione e che possono richiedere interventi da parte dell’Unione europea. Ciò è particolarmente importante alla luce del dibattito in corso a livello europeo e delle misure di politica che la Commissione potrebbe adottare in tale contesto.

| 9. | Il GEPD è consapevole che la neutralità della rete solleva altre questioni, descritte più dettagliatamente qui di seguito, come quelle relative all’accesso alle informazioni. Tali questioni vengono affrontate soltanto per il motivo che sono collegate alla protezione dei dati e alla vita privata o vi influiscono. |
| --- | --- |

9.

Il GEPD è consapevole che la neutralità della rete solleva altre questioni, descritte più dettagliatamente qui di seguito, come quelle relative all’accesso alle informazioni. Tali questioni vengono affrontate soltanto per il motivo che sono collegate alla protezione dei dati e alla vita privata o vi influiscono.

| 10. | Il parere è così strutturato: la sezione II inizia con una breve rassegna delle pratiche di filtraggio degli ISP. La sezione III delinea il quadro normativo dell’Unione europea in materia di neutralità della rete, mentre la sezione IV presenta una descrizione tecnica, seguita da una valutazione delle conseguenze per la vita privata a seconda della tecnologia utilizzata. La sezione V analizza i dettagli pratici riguardanti l’applicazione del quadro europeo attuale in materia di protezione dei dati e della vita privata. La sezione VI, basandosi su tale analisi, contiene suggerimenti per gli sviluppi politici futuri e individua i settori in cui potrebbe essere necessario chiarire e migliorare il quadro normativo. La sezione VII contiene le conclusioni. |
| --- | --- |

10.

Il parere è così strutturato: la sezione II inizia con una breve rassegna delle pratiche di filtraggio degli ISP. La sezione III delinea il quadro normativo dell’Unione europea in materia di neutralità della rete, mentre la sezione IV presenta una descrizione tecnica, seguita da una valutazione delle conseguenze per la vita privata a seconda della tecnologia utilizzata. La sezione V analizza i dettagli pratici riguardanti l’applicazione del quadro europeo attuale in materia di protezione dei dati e della vita privata. La sezione VI, basandosi su tale analisi, contiene suggerimenti per gli sviluppi politici futuri e individua i settori in cui potrebbe essere necessario chiarire e migliorare il quadro normativo. La sezione VII contiene le conclusioni.

II.   POLITICHE IN MATERIA DI NEUTRALITÀ DELLA RETE E GESTIONE DEL TRAFFICO

Impiego crescente di politiche in materia di gestione del traffico

| 11. | Tradizionalmente, gli ISP si sono impegnati a monitorare il traffico di rete e a influenzarlo soltanto in casi limitati. Per esempio, gli ISP hanno applicato tecniche di controllo e ridotto i flussi di informazioni per salvaguardare la sicurezza della rete, vale a dire per combattere i virus. Pertanto, in generale, Internet è cresciuta conservando un grado elevato di neutralità. |
| --- | --- |

11.

Tradizionalmente, gli ISP si sono impegnati a monitorare il traffico di rete e a influenzarlo soltanto in casi limitati. Per esempio, gli ISP hanno applicato tecniche di controllo e ridotto i flussi di informazioni per salvaguardare la sicurezza della rete, vale a dire per combattere i virus. Pertanto, in generale, Internet è cresciuta conservando un grado elevato di neutralità.

| 12. | Tuttavia, negli ultimi anni, alcuni ISP hanno mostrato interesse per il controllo del traffico di rete al fine di differenziare e applicare politiche diverse, per esempio per bloccare servizi specifici o dare accesso preferenziale ad altri. Si tratta di quelle che talvolta sono definite «politiche di gestione del traffico» (9). |
| --- | --- |

12.

Tuttavia, negli ultimi anni, alcuni ISP hanno mostrato interesse per il controllo del traffico di rete al fine di differenziare e applicare politiche diverse, per esempio per bloccare servizi specifici o dare accesso preferenziale ad altri. Si tratta di quelle che talvolta sono definite «politiche di gestione del traffico» (9).

| 13. | I motivi per cui gli ISP controllano e differenziano il traffico sono molteplici. Per esempio, le politiche di gestione del traffico possono servire agli ISP per regolare il traffico durante periodi di congestione elevata, dando la priorità ad alcuni tipi di traffico in tempo reale come il video streaming a scapito di altri generi di traffico nei quali il fattore tempo può essere meno importante, come il P2P (10). Inoltre, per gli ISP la gestione del traffico può essere un mezzo per ottenere un flusso potenziale di entrate da fonti diverse. D’altro canto, gli ISP potrebbero richiedere il pagamento di un importo ai fornitori di servizi di contenuti, per esempio quelli i cui servizi richiedono l’impiego di una larghezza di banda più elevata in cambio della priorità a loro accordata (e quindi di una maggiore velocità). Ciò significherebbe che l’accesso a un determinato servizio, per esempio un servizio di fornitura di video on demand, sarebbe più rapido dell’accesso a un altro servizio analogo per il quale non è stata acquistata la trasmissione ad alta velocità. Sarebbe possibile ottenere proventi anche dagli abbonati disposti a pagare importi maggiori (o inferiori) per alcuni tipi di abbonamenti differenziati. Per esempio, un abbonamento senza l’accesso al P2P potrebbe essere più economico di uno che dia diritto all’accesso illimitato. |
| --- | --- |

13.

I motivi per cui gli ISP controllano e differenziano il traffico sono molteplici. Per esempio, le politiche di gestione del traffico possono servire agli ISP per regolare il traffico durante periodi di congestione elevata, dando la priorità ad alcuni tipi di traffico in tempo reale come il video streaming a scapito di altri generi di traffico nei quali il fattore tempo può essere meno importante, come il P2P (10). Inoltre, per gli ISP la gestione del traffico può essere un mezzo per ottenere un flusso potenziale di entrate da fonti diverse. D’altro canto, gli ISP potrebbero richiedere il pagamento di un importo ai fornitori di servizi di contenuti, per esempio quelli i cui servizi richiedono l’impiego di una larghezza di banda più elevata in cambio della priorità a loro accordata (e quindi di una maggiore velocità). Ciò significherebbe che l’accesso a un determinato servizio, per esempio un servizio di fornitura di video on demand, sarebbe più rapido dell’accesso a un altro servizio analogo per il quale non è stata acquistata la trasmissione ad alta velocità. Sarebbe possibile ottenere proventi anche dagli abbonati disposti a pagare importi maggiori (o inferiori) per alcuni tipi di abbonamenti differenziati. Per esempio, un abbonamento senza l’accesso al P2P potrebbe essere più economico di uno che dia diritto all’accesso illimitato.

| 14. | Oltre ai motivi per cui gli ISP si avvalgono di politiche per la gestione del traffico, anche altre parti potrebbero essere interessate al fatto che gli ISP applichino tali politiche. Se questi ultimi gestiscono le loro reti e controllano i contenuti che passano attraverso le loro infrastrutture, è probabile che aumentino la loro capacità di individuare presunti utilizzi illeciti, per esempio la violazione dei diritti d’autore o la pornografia. |
| --- | --- |

14.

Oltre ai motivi per cui gli ISP si avvalgono di politiche per la gestione del traffico, anche altre parti potrebbero essere interessate al fatto che gli ISP applichino tali politiche. Se questi ultimi gestiscono le loro reti e controllano i contenuti che passano attraverso le loro infrastrutture, è probabile che aumentino la loro capacità di individuare presunti utilizzi illeciti, per esempio la violazione dei diritti d’autore o la pornografia.

Altri interessi in gioco, tra cui la protezione dei dati e della vita privata

| 15. | Tale tendenza ha suscitato un dibattito sulla legittimità di questo genere di pratiche e soprattutto sulla necessità o meno di stabilire per legge ulteriori obblighi specifici in materia di neutralità della rete. |
| --- | --- |

15.

Tale tendenza ha suscitato un dibattito sulla legittimità di questo genere di pratiche e soprattutto sulla necessità o meno di stabilire per legge ulteriori obblighi specifici in materia di neutralità della rete.

| 16. | L’uso crescente da parte degli ISP di politiche per la gestione del traffico potrebbe limitare l’accesso alle informazioni. Se questo comportamento divenisse una prassi comune e se per gli utenti non fosse possibile (o fosse particolarmente costoso) avere un accesso a tutta la rete Internet come la conosciamo, si metterebbe a repentaglio l’accesso alle informazioni e la possibilità per l’utente di inviare e ricevere i contenuti desiderati utilizzando le applicazioni o i servizi che preferisce. Un principio giuridicamente vincolante relativo alla neutralità della rete potrebbe scongiurare questo problema. |
| --- | --- |

16.

L’uso crescente da parte degli ISP di politiche per la gestione del traffico potrebbe limitare l’accesso alle informazioni. Se questo comportamento divenisse una prassi comune e se per gli utenti non fosse possibile (o fosse particolarmente costoso) avere un accesso a tutta la rete Internet come la conosciamo, si metterebbe a repentaglio l’accesso alle informazioni e la possibilità per l’utente di inviare e ricevere i contenuti desiderati utilizzando le applicazioni o i servizi che preferisce. Un principio giuridicamente vincolante relativo alla neutralità della rete potrebbe scongiurare questo problema.

| 17. | Il GEPD è indotto quindi a considerare le conseguenze per la protezione dei dati e della vita privata quando gli ISP gestiscono il traffico. In particolare:






  — | quando gli ISP trattano i dati sul traffico al solo scopo di instradare il flusso di informazioni dal mittente al destinatario, in genere effettuano un trattamento limitato dei dati personali (11). Come il servizio postale tratta le informazioni presenti sulla busta di una lettera, l’ISP tratta le informazioni necessarie per instradare la comunicazione verso il destinatario. Ciò non è in contrasto con i requisiti giuridici della protezione dei dati, della vita privata e della riservatezza delle comunicazioni, |
| --- | --- | --- |

17.

Il GEPD è indotto quindi a considerare le conseguenze per la protezione dei dati e della vita privata quando gli ISP gestiscono il traffico. In particolare:

—

quando gli ISP trattano i dati sul traffico al solo scopo di instradare il flusso di informazioni dal mittente al destinatario, in genere effettuano un trattamento limitato dei dati personali (11). Come il servizio postale tratta le informazioni presenti sulla busta di una lettera, l’ISP tratta le informazioni necessarie per instradare la comunicazione verso il destinatario. Ciò non è in contrasto con i requisiti giuridici della protezione dei dati, della vita privata e della riservatezza delle comunicazioni,

| — | tuttavia, quando gli ISP controllano i dati delle comunicazioni per differenziare ciascun flusso e applicare politiche specifiche che possono risultare pregiudizievoli per le persone fisiche, le conseguenze sono più rilevanti. A seconda delle circostanze di ogni caso e del tipo di analisi effettuata, il trattamento può essere molto invadente per quanto riguarda la vita privata e i dati personali. Ciò è ancora più ovvio quando le politiche di gestione rivelano il contenuto delle comunicazioni effettuate tramite Internet, tra cui le e-mail inviate e ricevute, i siti visitati, i file scaricati o caricati e così via. |
| --- | --- |

—

tuttavia, quando gli ISP controllano i dati delle comunicazioni per differenziare ciascun flusso e applicare politiche specifiche che possono risultare pregiudizievoli per le persone fisiche, le conseguenze sono più rilevanti. A seconda delle circostanze di ogni caso e del tipo di analisi effettuata, il trattamento può essere molto invadente per quanto riguarda la vita privata e i dati personali. Ciò è ancora più ovvio quando le politiche di gestione rivelano il contenuto delle comunicazioni effettuate tramite Internet, tra cui le e-mail inviate e ricevute, i siti visitati, i file scaricati o caricati e così via.

III.   PANORAMICA DEL QUADRO GIURIDICO DELL’UNIONE EUROPEA SULLA NEUTRALITÀ DELLA RETE E ULTERIORI SVILUPPI POLITICI

III.1.   Il quadro giuridico in sintesi

| 18. | Fino al 2009, gli strumenti normativi europei non contenevano disposizioni che vietassero espressamente agli ISP di filtrare o bloccare l’accesso ai servizi o di addebitare costi aggiuntivi agli abbonati a tali servizi, né contenevano disposizioni che riconoscessero esplicitamente questa pratica. La situazione non era chiaramente definita. |
| --- | --- |

18.

Fino al 2009, gli strumenti normativi europei non contenevano disposizioni che vietassero espressamente agli ISP di filtrare o bloccare l’accesso ai servizi o di addebitare costi aggiuntivi agli abbonati a tali servizi, né contenevano disposizioni che riconoscessero esplicitamente questa pratica. La situazione non era chiaramente definita.

| 19. | Il pacchetto Telecom del 2009 ha cambiato la situazione includendo disposizioni che favorivano l’apertura di Internet. Per esempio, l’articolo 8, paragrafo 4 del quadro normativo comune per le reti ed i servizi di comunicazione («direttiva quadro») impone alle autorità di regolamentazione di promuovere la capacità degli utenti finali di accedere a contenuti, applicazioni o servizi di loro scelta (12). Questa disposizione si applica a tutta la rete, non a livello di singoli fornitori di servizi. Inoltre, un recente progetto di conclusioni del Consiglio ha sottolineato la necessità di mantenere l’apertura di Internet (13). |
| --- | --- |

19.

Il pacchetto Telecom del 2009 ha cambiato la situazione includendo disposizioni che favorivano l’apertura di Internet. Per esempio, l’articolo 8, paragrafo 4 del quadro normativo comune per le reti ed i servizi di comunicazione («direttiva quadro») impone alle autorità di regolamentazione di promuovere la capacità degli utenti finali di accedere a contenuti, applicazioni o servizi di loro scelta (12). Questa disposizione si applica a tutta la rete, non a livello di singoli fornitori di servizi. Inoltre, un recente progetto di conclusioni del Consiglio ha sottolineato la necessità di mantenere l’apertura di Internet (13).

| 20. | La direttiva servizio universale (14) prevede obblighi più concreti. Gli articoli 20 e 21 stabiliscono requisiti di trasparenza riguardanti le limitazioni all’accesso e/o all’utilizzo di servizi e applicazioni, nonché livelli minimi di qualità del servizio. |
| --- | --- |

20.

La direttiva servizio universale (14) prevede obblighi più concreti. Gli articoli 20 e 21 stabiliscono requisiti di trasparenza riguardanti le limitazioni all’accesso e/o all’utilizzo di servizi e applicazioni, nonché livelli minimi di qualità del servizio.

| 21. | Per quanto riguarda le pratiche degli ISP che comportano il controllo delle comunicazioni tra persone fisiche, il considerando 28 della direttiva recante modifica della direttiva servizio universale e della direttiva e-privacy (15) sottolinea che «a seconda della tecnologia impiegata e del tipo di limitazione, tali limitazioni possono richiedere il consenso dell’interessato a norma della direttiva relativa alla vita privata e alle comunicazioni elettroniche». Pertanto, il considerando 28 ribadisce la necessità del consenso ai sensi dell’articolo 5, paragrafo 1, della direttiva e-privacy per qualsiasi limitazione effettuata sotto forma di sorveglianza delle comunicazioni. La sezione IV infra analizza ulteriormente l’applicazione dell’articolo 5, paragrafo 1 e il quadro giuridico globale in materia di protezione dei dati e della vita privata. |
| --- | --- |

21.

Per quanto riguarda le pratiche degli ISP che comportano il controllo delle comunicazioni tra persone fisiche, il considerando 28 della direttiva recante modifica della direttiva servizio universale e della direttiva e-privacy (15) sottolinea che «a seconda della tecnologia impiegata e del tipo di limitazione, tali limitazioni possono richiedere il consenso dell’interessato a norma della direttiva relativa alla vita privata e alle comunicazioni elettroniche». Pertanto, il considerando 28 ribadisce la necessità del consenso ai sensi dell’articolo 5, paragrafo 1, della direttiva e-privacy per qualsiasi limitazione effettuata sotto forma di sorveglianza delle comunicazioni. La sezione IV infra analizza ulteriormente l’applicazione dell’articolo 5, paragrafo 1 e il quadro giuridico globale in materia di protezione dei dati e della vita privata.

| 22. | Infine, l’articolo 22, paragrafo 3, della direttiva servizio universale autorizza le autorità nazionali di regolamentazione a imporre agli ISP, ove necessario, prescrizioni in materia di qualità minima del servizio per impedire il degrado dei servizi e la limitazione o il rallentamento del traffico sulle reti pubbliche. |
| --- | --- |

22.

Infine, l’articolo 22, paragrafo 3, della direttiva servizio universale autorizza le autorità nazionali di regolamentazione a imporre agli ISP, ove necessario, prescrizioni in materia di qualità minima del servizio per impedire il degrado dei servizi e la limitazione o il rallentamento del traffico sulle reti pubbliche.

| 23. | Quanto sopra esposto significa che, a livello di Unione europea, si riscontra una chiara aspirazione a una rete Internet aperta (cfr. articolo 8, paragrafo 4, della direttiva quadro). Tuttavia l’obiettivo di questa politica, che si applica all’intera rete, non riguarda direttamente divieti od obblighi per i singoli ISP. In altre parole, un ISP potrebbe attuare politiche di gestione del traffico, con la possibilità di escludere l’accesso a talune applicazioni, purché gli utenti finali siano pienamente informati e abbiano espresso il loro consenso liberamente, in modo specifico e inequivocabile. |
| --- | --- |

23.

Quanto sopra esposto significa che, a livello di Unione europea, si riscontra una chiara aspirazione a una rete Internet aperta (cfr. articolo 8, paragrafo 4, della direttiva quadro). Tuttavia l’obiettivo di questa politica, che si applica all’intera rete, non riguarda direttamente divieti od obblighi per i singoli ISP. In altre parole, un ISP potrebbe attuare politiche di gestione del traffico, con la possibilità di escludere l’accesso a talune applicazioni, purché gli utenti finali siano pienamente informati e abbiano espresso il loro consenso liberamente, in modo specifico e inequivocabile.

| 24. | La situazione può presentare aspetti differenti a seconda degli Stati membri. In alcuni di essi gli ISP possono, a determinate condizioni, adottare politiche di gestione del traffico, per esempio, per bloccare applicazioni come il VoIP (nell’ambito di un abbonamento a Internet a prezzo inferiore), a patto che le persone interessate abbiano dato liberamente, in modo specifico e inequivocabile il loro consenso informato. Altri Stati membri hanno deciso di rafforzare il principio di neutralità della rete. Per esempio, nel luglio 2011 il parlamento olandese ha varato una legge che vieta in generale ai provider di limitare o rallentare le applicazioni o i servizi in Internet (come il VoIP), a meno che ciò non sia necessario per ridurre al minimo gli effetti della congestione, per motivi di integrità o di sicurezza, per impedire lo spam o in seguito alla sentenza di un tribunale (16). |
| --- | --- |

24.

La situazione può presentare aspetti differenti a seconda degli Stati membri. In alcuni di essi gli ISP possono, a determinate condizioni, adottare politiche di gestione del traffico, per esempio, per bloccare applicazioni come il VoIP (nell’ambito di un abbonamento a Internet a prezzo inferiore), a patto che le persone interessate abbiano dato liberamente, in modo specifico e inequivocabile il loro consenso informato. Altri Stati membri hanno deciso di rafforzare il principio di neutralità della rete. Per esempio, nel luglio 2011 il parlamento olandese ha varato una legge che vieta in generale ai provider di limitare o rallentare le applicazioni o i servizi in Internet (come il VoIP), a meno che ciò non sia necessario per ridurre al minimo gli effetti della congestione, per motivi di integrità o di sicurezza, per impedire lo spam o in seguito alla sentenza di un tribunale (16).

III.2.   La comunicazione sulla neutralità della rete

| 25. | Nella sua comunicazione sulla neutralità della rete (17), la Commissione europea ha concluso che la situazione della neutralità della rete deve essere monitorata e ulteriormente esaminata. La sua politica è stata ribattezzata «attendista», in quanto prende tempo per considerare ulteriori misure normative. |
| --- | --- |

25.

Nella sua comunicazione sulla neutralità della rete (17), la Commissione europea ha concluso che la situazione della neutralità della rete deve essere monitorata e ulteriormente esaminata. La sua politica è stata ribattezzata «attendista», in quanto prende tempo per considerare ulteriori misure normative.

| 26. | In base alla comunicazione della Commissione, qualsiasi misura e qualsiasi ulteriore provvedimento normativo verranno sottoposti a una valutazione approfondita degli aspetti relativi alla protezione dei dati e alla vita privata. Il progetto di conclusioni del Consiglio accenna inoltre ai temi in gioco che riguardano la protezione dei dati e la vita privata (18). |
| --- | --- |

26.

In base alla comunicazione della Commissione, qualsiasi misura e qualsiasi ulteriore provvedimento normativo verranno sottoposti a una valutazione approfondita degli aspetti relativi alla protezione dei dati e alla vita privata. Il progetto di conclusioni del Consiglio accenna inoltre ai temi in gioco che riguardano la protezione dei dati e la vita privata (18).

| 27. | Ciò che occorre valutare dal punto di vista della protezione dei dati e della vita privata è se una politica attendista sia sufficiente oppure no. Sebbene il quadro in materia di protezione dei dati e della vita privata preveda attualmente alcune clausole di salvaguardia, soprattutto in virtù del principio di riservatezza delle comunicazioni, risulta necessario monitorare da vicino il livello di conformità e l’orientamento in merito a diversi aspetti che non sono particolarmente chiari. Inoltre, vanno fatte alcune considerazioni su come semplificare e migliorare ulteriormente il quadro alla luce degli sviluppi tecnologici. Se il monitoraggio rivela un’evoluzione del mercato verso un controllo massiccio e in tempo reale delle comunicazioni e delle questioni relative alla conformità al quadro, si renderanno necessarie misure legislative. A questo proposito, nella sezione VI saranno forniti suggerimenti concreti. |
| --- | --- |

27.

Ciò che occorre valutare dal punto di vista della protezione dei dati e della vita privata è se una politica attendista sia sufficiente oppure no. Sebbene il quadro in materia di protezione dei dati e della vita privata preveda attualmente alcune clausole di salvaguardia, soprattutto in virtù del principio di riservatezza delle comunicazioni, risulta necessario monitorare da vicino il livello di conformità e l’orientamento in merito a diversi aspetti che non sono particolarmente chiari. Inoltre, vanno fatte alcune considerazioni su come semplificare e migliorare ulteriormente il quadro alla luce degli sviluppi tecnologici. Se il monitoraggio rivela un’evoluzione del mercato verso un controllo massiccio e in tempo reale delle comunicazioni e delle questioni relative alla conformità al quadro, si renderanno necessarie misure legislative. A questo proposito, nella sezione VI saranno forniti suggerimenti concreti.

IV.   CONTESTO TECNICO E RELATIVE CONSEGUENZE PER LA PROTEZIONE DEI DATI E DELLA VITA PRIVATA

| 28. | Prima di approfondire l’argomento, è importante avere un’idea più chiara delle tecniche di controllo che possono essere utilizzate dagli ISP per gestire il traffico e degli effetti che possono avere sul principio della neutralità della rete. Le conseguenze per la protezione dei dati e della vita privata derivanti da tali tecniche variano sensibilmente in base alla tecnica o alle tecniche impiegate. Questo contesto tecnico è necessario per comprendere e applicare correttamente il quadro giuridico in materia di protezione dei dati descritto nella sezione V. Tuttavia, occorre sottolineare che questo settore è complesso e costantemente in evoluzione, pertanto la descrizione che segue non intende essere esaustiva né pienamente aggiornata, ma soltanto fornire le informazioni di carattere tecnico che sono indispensabili per comprendere le motivazioni giuridiche. |
| --- | --- |

28.

Prima di approfondire l’argomento, è importante avere un’idea più chiara delle tecniche di controllo che possono essere utilizzate dagli ISP per gestire il traffico e degli effetti che possono avere sul principio della neutralità della rete. Le conseguenze per la protezione dei dati e della vita privata derivanti da tali tecniche variano sensibilmente in base alla tecnica o alle tecniche impiegate. Questo contesto tecnico è necessario per comprendere e applicare correttamente il quadro giuridico in materia di protezione dei dati descritto nella sezione V. Tuttavia, occorre sottolineare che questo settore è complesso e costantemente in evoluzione, pertanto la descrizione che segue non intende essere esaustiva né pienamente aggiornata, ma soltanto fornire le informazioni di carattere tecnico che sono indispensabili per comprendere le motivazioni giuridiche.

IV.1.   La trasmissione di informazioni attraverso Internet: i fondamenti

| 29. | Quando un utente trasmette una comunicazione via Internet, le informazioni inviate vengono divise in pacchetti. I pacchetti vengono trasmessi attraverso Internet dal mittente al destinatario e ciascuno di essi include, tra gli altri, informazioni sulla fonte e sulla destinazione. Inoltre gli ISP possono incapsulare i pacchetti in ulteriori strati e protocolli (19), che vengono impiegati per gestire i diversi flussi di traffico all’interno della rete ISP. |
| --- | --- |

29.

Quando un utente trasmette una comunicazione via Internet, le informazioni inviate vengono divise in pacchetti. I pacchetti vengono trasmessi attraverso Internet dal mittente al destinatario e ciascuno di essi include, tra gli altri, informazioni sulla fonte e sulla destinazione. Inoltre gli ISP possono incapsulare i pacchetti in ulteriori strati e protocolli (19), che vengono impiegati per gestire i diversi flussi di traffico all’interno della rete ISP.

| 30. | Riallacciandosi alla similitudine con le lettere postali, utilizzare un protocollo di trasmissione di rete equivale a inserire una lettera tradizionale in una busta recante l’indirizzo del destinatario da far leggere al servizio postale, che successivamente consegna la busta. Il servizio postale può utilizzare protocolli aggiuntivi nell’ambito dei suoi transiti interni per gestire tutte le buste da trasmettere affinché ogni busta raggiunga la propria destinazione originariamente specificata dal mittente. In base a questa similitudine, ciascun pacchetto consta di due parti, il payload IP che include il contenuto della comunicazione, equivale alla lettera e contiene informazioni che sono indirizzate soltanto al destinatario. La seconda parte del pacchetto è l’header IP, che comprende, tra gli altri, gli indirizzi del destinatario e del mittente ed equivale alla busta. L’header IP consente agli ISP e ad altri intermediari di inoltrare il payload dall’indirizzo di partenza al suo indirizzo di destinazione. |
| --- | --- |

30.

Riallacciandosi alla similitudine con le lettere postali, utilizzare un protocollo di trasmissione di rete equivale a inserire una lettera tradizionale in una busta recante l’indirizzo del destinatario da far leggere al servizio postale, che successivamente consegna la busta. Il servizio postale può utilizzare protocolli aggiuntivi nell’ambito dei suoi transiti interni per gestire tutte le buste da trasmettere affinché ogni busta raggiunga la propria destinazione originariamente specificata dal mittente. In base a questa similitudine, ciascun pacchetto consta di due parti, il payload IP che include il contenuto della comunicazione, equivale alla lettera e contiene informazioni che sono indirizzate soltanto al destinatario. La seconda parte del pacchetto è l’header IP, che comprende, tra gli altri, gli indirizzi del destinatario e del mittente ed equivale alla busta. L’header IP consente agli ISP e ad altri intermediari di inoltrare il payload dall’indirizzo di partenza al suo indirizzo di destinazione.

| 31. | Gli ISP e gli altri intermediari garantiscono che i pacchetti IP viaggino nella rete attraverso nodi che leggono le informazioni dell’header IP, le controllano facendo riferimento a tabelle di instradamento (routing tables) e poi le inoltrano al nodo successivo lungo il percorso che porta alla destinazione. Questo processo avviene attraverso la rete utilizzando un approccio «per quanto possibile senza memoria», dal momento che tutti i pacchetti che pervengono a un nodo vengono trattati in modo neutrale. Quando vengono inoltrati al nodo successivo non occorre conservare ulteriori informazioni nel router
   (20). |
| --- | --- |

31.

Gli ISP e gli altri intermediari garantiscono che i pacchetti IP viaggino nella rete attraverso nodi che leggono le informazioni dell’header IP, le controllano facendo riferimento a tabelle di instradamento (routing tables) e poi le inoltrano al nodo successivo lungo il percorso che porta alla destinazione. Questo processo avviene attraverso la rete utilizzando un approccio «per quanto possibile senza memoria», dal momento che tutti i pacchetti che pervengono a un nodo vengono trattati in modo neutrale. Quando vengono inoltrati al nodo successivo non occorre conservare ulteriori informazioni nel router
   (20).

IV.2.   Tecnologie di controllo

| 32. | Come menzionato in precedenza, gli ISP leggono gli header IP allo scopo di instradarli verso la loro destinazione. Tuttavia, si è accennato al fatto che l’analisi del traffico (che coinvolge gli header IP e i payload IP) può essere effettuata per altri scopi e con tipi di tecnologie diversi. Tra le nuove tendenze figurano, per esempio, il rallentamento di determinate applicazioni utilizzate dagli utenti, per esempio il P2P, o in alternativa l’aumento della velocità del traffico per taluni servizi come il video on demand per gli abbonati premium. Benché tutte le tecnologie di controllo eseguano tecnicamente l’ispezione del pacchetto, i livelli di invadenza che comportano sono differenti. Se ne distinguono due categorie principali: una si basa soltanto sull’header IP, l’altra anche sul payload IP.

  Informazioni basate sull’header IP. Il controllo dell’header IP di un pacchetto rivela alcuni campi che possono consentire agli ISP di applicare una serie di politiche specifiche per gestire il traffico. Tali tecnologie basate esclusivamente sul controllo degli header IP trattano per finalità diverse (per esempio la differenziazione del traffico) dati che in linea di principio servono a instradare le informazioni. Esaminando l’indirizzo IP sorgente, l’ISP può associarlo a un preciso abbonato e applicare politiche specifiche, per esempio instradando il pacchetto attraverso un link più veloce o più lento. L’ISP può adottare politiche specifiche anche vedendo l’indirizzo IP di destinazione, per esempio bloccando o filtrando l’accesso a determinati siti web.

  Tecnologie basate su un controllo più approfondito. L’ispezione più approfondita di un pacchetto di dati permette all’ISP di accedere alle informazioni indirizzate esclusivamente al destinatario della comunicazione. Riprendendo l’esempio del servizio postale, questo approccio equivale ad aprire la busta e a leggere la lettera per eseguire un’analisi del contenuto della comunicazione (che è incapsulato nei pacchetti IP) al fine di applicare una politica di rete specifica. Ci sono diversi modi per effettuare il controllo e ciascuno di essi comporta minacce diverse per le persone interessate dai dati.






  — | Ispezione approfondita dei pacchetti di dati basata sull’analisi di protocolli e su dati statistici. Oltre al protocollo IP, il cui scopo è permettere la trasmissione dei dati via Internet, esistono protocolli aggiuntivi che codificano le informazioni trasmesse secondo una modalità concordata (trasporto, sessione, presentazione e applicazione, e così via). Obiettivo di questi protocolli è garantire che le parti interessate alla comunicazione possano comprendersi reciprocamente. Esistono per esempio protocolli impiegati per navigare in Internet (21), altri servono per trasferire file (22) e simili. Le tecnologie di controllo basate sull’ispezione dei protocolli e combinate con analisi statistiche sono dunque volte a rilevare modelli specifici o caratteristiche che determinano quali protocolli sono presenti (23). Queste tecnologie di controllo permettono agli ISP di comprendere il tipo di comunicazione (e-mail, navigazione in rete, caricamento di file) e, in alcuni casi, di identificare l’applicazione o il servizio specifico utilizzati, come nel caso di alcune comunicazioni VoIP in cui i protocolli impiegati sono molto specifici per un determinato rivenditore o fornitore di servizi. Di per sé il fatto di conoscere il tipo di comunicazione può permettere agli ISP di applicare politiche concrete di gestione del traffico, per esempio, per bloccare il traffico di rete. Può trattarsi anche del primo passo per consentire all’ISP di eseguire ulteriori analisi che potrebbero richiedere il pieno accesso ai metadati e al contenuto della comunicazione. |
| --- | --- | --- |

32.

Come menzionato in precedenza, gli ISP leggono gli header IP allo scopo di instradarli verso la loro destinazione. Tuttavia, si è accennato al fatto che l’analisi del traffico (che coinvolge gli header IP e i payload IP) può essere effettuata per altri scopi e con tipi di tecnologie diversi. Tra le nuove tendenze figurano, per esempio, il rallentamento di determinate applicazioni utilizzate dagli utenti, per esempio il P2P, o in alternativa l’aumento della velocità del traffico per taluni servizi come il video on demand per gli abbonati premium. Benché tutte le tecnologie di controllo eseguano tecnicamente l’ispezione del pacchetto, i livelli di invadenza che comportano sono differenti. Se ne distinguono due categorie principali: una si basa soltanto sull’header IP, l’altra anche sul payload IP.

Informazioni basate sull’header IP. Il controllo dell’header IP di un pacchetto rivela alcuni campi che possono consentire agli ISP di applicare una serie di politiche specifiche per gestire il traffico. Tali tecnologie basate esclusivamente sul controllo degli header IP trattano per finalità diverse (per esempio la differenziazione del traffico) dati che in linea di principio servono a instradare le informazioni. Esaminando l’indirizzo IP sorgente, l’ISP può associarlo a un preciso abbonato e applicare politiche specifiche, per esempio instradando il pacchetto attraverso un link più veloce o più lento. L’ISP può adottare politiche specifiche anche vedendo l’indirizzo IP di destinazione, per esempio bloccando o filtrando l’accesso a determinati siti web.

Tecnologie basate su un controllo più approfondito. L’ispezione più approfondita di un pacchetto di dati permette all’ISP di accedere alle informazioni indirizzate esclusivamente al destinatario della comunicazione. Riprendendo l’esempio del servizio postale, questo approccio equivale ad aprire la busta e a leggere la lettera per eseguire un’analisi del contenuto della comunicazione (che è incapsulato nei pacchetti IP) al fine di applicare una politica di rete specifica. Ci sono diversi modi per effettuare il controllo e ciascuno di essi comporta minacce diverse per le persone interessate dai dati.

—

Ispezione approfondita dei pacchetti di dati basata sull’analisi di protocolli e su dati statistici. Oltre al protocollo IP, il cui scopo è permettere la trasmissione dei dati via Internet, esistono protocolli aggiuntivi che codificano le informazioni trasmesse secondo una modalità concordata (trasporto, sessione, presentazione e applicazione, e così via). Obiettivo di questi protocolli è garantire che le parti interessate alla comunicazione possano comprendersi reciprocamente. Esistono per esempio protocolli impiegati per navigare in Internet (21), altri servono per trasferire file (22) e simili. Le tecnologie di controllo basate sull’ispezione dei protocolli e combinate con analisi statistiche sono dunque volte a rilevare modelli specifici o caratteristiche che determinano quali protocolli sono presenti (23). Queste tecnologie di controllo permettono agli ISP di comprendere il tipo di comunicazione (e-mail, navigazione in rete, caricamento di file) e, in alcuni casi, di identificare l’applicazione o il servizio specifico utilizzati, come nel caso di alcune comunicazioni VoIP in cui i protocolli impiegati sono molto specifici per un determinato rivenditore o fornitore di servizi. Di per sé il fatto di conoscere il tipo di comunicazione può permettere agli ISP di applicare politiche concrete di gestione del traffico, per esempio, per bloccare il traffico di rete. Può trattarsi anche del primo passo per consentire all’ISP di eseguire ulteriori analisi che potrebbero richiedere il pieno accesso ai metadati e al contenuto della comunicazione.

| — | Ispezione approfondita dei pacchetti di dati basata sull’analisi del contenuto della comunicazione. Infine, è possibile anche verificare i metadati (24) e il contenuto stesso della comunicazione. Questa tecnologia consiste nell’intercettare tutti i pacchetti IP che fanno parte del flusso originale della comunicazione, in modo da poter ricostruire pienamente e analizzare il contenuto originale della comunicazione. Ad esempio, per rilevare la presenza di contenuti nocivi o illegali come virus, pedopornografia, e simili, è necessario ricostruire il contenuto stesso della comunicazione per poterlo analizzare. Occorre osservare che talvolta la comunicazione può essere esplicitamente e completamente criptata dalle parti interessate e questa pratica impedisce agli ISP di effettuare l’analisi del suo contenuto. |
| --- | --- |

—

Ispezione approfondita dei pacchetti di dati basata sull’analisi del contenuto della comunicazione. Infine, è possibile anche verificare i metadati (24) e il contenuto stesso della comunicazione. Questa tecnologia consiste nell’intercettare tutti i pacchetti IP che fanno parte del flusso originale della comunicazione, in modo da poter ricostruire pienamente e analizzare il contenuto originale della comunicazione. Ad esempio, per rilevare la presenza di contenuti nocivi o illegali come virus, pedopornografia, e simili, è necessario ricostruire il contenuto stesso della comunicazione per poterlo analizzare. Occorre osservare che talvolta la comunicazione può essere esplicitamente e completamente criptata dalle parti interessate e questa pratica impedisce agli ISP di effettuare l’analisi del suo contenuto.

IV.3.   Conseguenze per la protezione della vita privata e dei dati

| 33. | Le tecnologie di controllo basate sugli header IP e, in particolare, sull’ispezione dei pacchetti, comportano il monitoraggio e il filtraggio dei dati e hanno gravi conseguenze per la protezione della vita privata e dei dati. Inoltre possono essere incompatibili con il diritto alla riservatezza delle comunicazioni. |
| --- | --- |

33.

Le tecnologie di controllo basate sugli header IP e, in particolare, sull’ispezione dei pacchetti, comportano il monitoraggio e il filtraggio dei dati e hanno gravi conseguenze per la protezione della vita privata e dei dati. Inoltre possono essere incompatibili con il diritto alla riservatezza delle comunicazioni.

| 34. | Il fatto di leggere le comunicazioni delle persone comporta di per sé gravi conseguenze per la protezione della vita privata e dei dati. Eppure, il problema è più ampio in quanto, a seconda degli effetti dovuti al monitoraggio e all’intercettazione, le conseguenze per la vita privata possono rivelarsi ancora più numerose. Infatti, limitarsi a controllare le comunicazioni, per esempio, solo per garantire che il sistema funzioni bene non è lo stesso che controllarle per applicare politiche che possono avere un impatto sulle persone fisiche. Quando le politiche riguardanti il traffico e le scelte mirano soltanto a evitare la congestione della rete, non ci sono gravi conseguenze per la vita privata delle persone. Tuttavia, le politiche di gestione del traffico possono avere lo scopo di bloccare alcune informazioni sul contenuto o influire sulla comunicazione, per esempio con la pubblicità comportamentale. In questo caso gli effetti sono più invasivi. La questione diventa più critica se ci si rende conto che questo tipo di informazioni verrebbe raccolto non in relazione a un piccolo gruppo di persone, bensì su base generale, comprendendo tutti i clienti degli ISP (25). Se tutti gli ISP adottassero tecniche di filtraggio, ciò potrebbe comportare un monitoraggio generalizzato della navigazione in Internet. Inoltre, se ci si concentra sul tipo di informazioni trattate, i rischi per la vita privata sono ovviamente elevati, perché molte delle informazioni che vengono raccolte potrebbero essere molto sensibili e, una volta raccolte, sarebbero a disposizione degli ISP e di chi volesse richiedergliele. Inoltre, le informazioni potrebbero essere molto preziose sotto l’aspetto commerciale. Questo è in sé un grave rischio di function creep, in cui gli obiettivi iniziali potrebbero facilmente trasformarsi nello sfruttamento commerciale, o di altro tipo, delle informazioni raccolte. |
| --- | --- |

34.

Il fatto di leggere le comunicazioni delle persone comporta di per sé gravi conseguenze per la protezione della vita privata e dei dati. Eppure, il problema è più ampio in quanto, a seconda degli effetti dovuti al monitoraggio e all’intercettazione, le conseguenze per la vita privata possono rivelarsi ancora più numerose. Infatti, limitarsi a controllare le comunicazioni, per esempio, solo per garantire che il sistema funzioni bene non è lo stesso che controllarle per applicare politiche che possono avere un impatto sulle persone fisiche. Quando le politiche riguardanti il traffico e le scelte mirano soltanto a evitare la congestione della rete, non ci sono gravi conseguenze per la vita privata delle persone. Tuttavia, le politiche di gestione del traffico possono avere lo scopo di bloccare alcune informazioni sul contenuto o influire sulla comunicazione, per esempio con la pubblicità comportamentale. In questo caso gli effetti sono più invasivi. La questione diventa più critica se ci si rende conto che questo tipo di informazioni verrebbe raccolto non in relazione a un piccolo gruppo di persone, bensì su base generale, comprendendo tutti i clienti degli ISP (25). Se tutti gli ISP adottassero tecniche di filtraggio, ciò potrebbe comportare un monitoraggio generalizzato della navigazione in Internet. Inoltre, se ci si concentra sul tipo di informazioni trattate, i rischi per la vita privata sono ovviamente elevati, perché molte delle informazioni che vengono raccolte potrebbero essere molto sensibili e, una volta raccolte, sarebbero a disposizione degli ISP e di chi volesse richiedergliele. Inoltre, le informazioni potrebbero essere molto preziose sotto l’aspetto commerciale. Questo è in sé un grave rischio di function creep, in cui gli obiettivi iniziali potrebbero facilmente trasformarsi nello sfruttamento commerciale, o di altro tipo, delle informazioni raccolte.

| 35. | L’applicazione corretta delle tecnologie di monitoraggio, controllo e filtraggio deve avvenire in conformità alle clausole di salvaguardia sulla protezione dei dati e sulla vita privata, che stabiliscono limiti riguardo a ciò che si può fare e in quali circostanze. Nella prossima sezione viene fornita una panoramica delle clausole di salvaguarda applicabili in base all’attuale quadro giuridico europeo in materia di protezione dei dati e sulla vita privata. |
| --- | --- |

35.

L’applicazione corretta delle tecnologie di monitoraggio, controllo e filtraggio deve avvenire in conformità alle clausole di salvaguardia sulla protezione dei dati e sulla vita privata, che stabiliscono limiti riguardo a ciò che si può fare e in quali circostanze. Nella prossima sezione viene fornita una panoramica delle clausole di salvaguarda applicabili in base all’attuale quadro giuridico europeo in materia di protezione dei dati e sulla vita privata.

V.   APPLICAZIONE DEL QUADRO GIURIDICO EUROPEO IN MATERIA DI PROTEZIONE DEI DATI E DELLA VITA PRIVATA

| 36. | Il quadro normativo europeo in materia di protezione dei dati è neutrale per quanto riguarda le tecnologie e, come tale, non disciplina quelle specifiche di controllo descritte in precedenza. La direttiva e-privacy disciplina il rispetto della vita privata nell’offerta di servizi di comunicazione elettronica nelle reti pubbliche (in particolare l’accesso a Internet e la telefonia) (26) e la direttiva sulla protezione dei dati personali disciplina il trattamento dei dati in generale. Considerato nel suo complesso, questo quadro giuridico stabilisce diversi obblighi che si applicano agli ISP che trattano e monitorano i dati sul traffico e sulle comunicazioni. |
| --- | --- |

36.

Il quadro normativo europeo in materia di protezione dei dati è neutrale per quanto riguarda le tecnologie e, come tale, non disciplina quelle specifiche di controllo descritte in precedenza. La direttiva e-privacy disciplina il rispetto della vita privata nell’offerta di servizi di comunicazione elettronica nelle reti pubbliche (in particolare l’accesso a Internet e la telefonia) (26) e la direttiva sulla protezione dei dati personali disciplina il trattamento dei dati in generale. Considerato nel suo complesso, questo quadro giuridico stabilisce diversi obblighi che si applicano agli ISP che trattano e monitorano i dati sul traffico e sulle comunicazioni.

V.1.   Basi giuridiche per il trattamento dei dati sul traffico e sui contenuti

| 37. | In base alla normativa sulla protezione dei dati, il trattamento dei dati personali, quali sono nel caso specifico i dati sul traffico e sulle comunicazioni, richiede una base giuridica adeguata. Oltre a questo requisito generale, in determinati casi si possono applicare requisiti specifici. |
| --- | --- |

37.

In base alla normativa sulla protezione dei dati, il trattamento dei dati personali, quali sono nel caso specifico i dati sul traffico e sulle comunicazioni, richiede una base giuridica adeguata. Oltre a questo requisito generale, in determinati casi si possono applicare requisiti specifici.

| 38. | In questo caso, il tipo di dati personali che vengono trattati dagli ISP è costituito dai dati sul traffico e dal contenuto delle comunicazioni. Sia i primi che il secondo sono protetti dal diritto alla riservatezza della corrispondenza, garantito dall’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e dagli articoli 7 e 8 della Carta europea dei diritti fondamentali. In particolare, l’articolo 5, paragrafo 1 della direttiva e-privacy, intitolato «riservatezza delle comunicazioni» richiede agli Stati membri di assicurare la riservatezza delle comunicazioni e dei relativi dati sul traffico tramite la rete pubblica di comunicazione e i servizi di comunicazione elettronica accessibili al pubblico, prevedendo al contempo che il trattamento dei dati sul traffico e sul contenuto da parte degli ISP possa essere consentito, in determinate circostanze, previo consenso degli utenti, dal momento che la norma in questione vieta «l’ascolto, la captazione, la memorizzazione e altre forme di intercettazione o di sorveglianza delle comunicazioni, e dei relativi dati sul traffico, ad opera di persone diverse dagli utenti, senza consenso di questi ultimi, eccetto quando sia autorizzato legalmente a norma dell’articolo 15, paragrafo 1». Ciò viene ulteriormente esaminato in seguito. |
| --- | --- |

38.

In questo caso, il tipo di dati personali che vengono trattati dagli ISP è costituito dai dati sul traffico e dal contenuto delle comunicazioni. Sia i primi che il secondo sono protetti dal diritto alla riservatezza della corrispondenza, garantito dall’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e dagli articoli 7 e 8 della Carta europea dei diritti fondamentali. In particolare, l’articolo 5, paragrafo 1 della direttiva e-privacy, intitolato «riservatezza delle comunicazioni» richiede agli Stati membri di assicurare la riservatezza delle comunicazioni e dei relativi dati sul traffico tramite la rete pubblica di comunicazione e i servizi di comunicazione elettronica accessibili al pubblico, prevedendo al contempo che il trattamento dei dati sul traffico e sul contenuto da parte degli ISP possa essere consentito, in determinate circostanze, previo consenso degli utenti, dal momento che la norma in questione vieta «l’ascolto, la captazione, la memorizzazione e altre forme di intercettazione o di sorveglianza delle comunicazioni, e dei relativi dati sul traffico, ad opera di persone diverse dagli utenti, senza consenso di questi ultimi, eccetto quando sia autorizzato legalmente a norma dell’articolo 15, paragrafo 1». Ciò viene ulteriormente esaminato in seguito.

| 39. | Oltre al consenso degli utenti interessati, la direttiva e-privacy contempla altre ragioni che possono legittimare il trattamento dei dati sul traffico e sulla comunicazione ad opera degli ISP. In questo caso le basi giuridiche per il trattamento riguardano i) la fornitura del servizio, ii) la salvaguardia della sicurezza del servizio offerto e iii) la riduzione al minimo della congestione. Altre motivazioni possibili che legittimino le politiche di gestione basate sui dati sul traffico o sulle comunicazioni sono discussi infra al punto iv). |
| --- | --- |

39.

Oltre al consenso degli utenti interessati, la direttiva e-privacy contempla altre ragioni che possono legittimare il trattamento dei dati sul traffico e sulla comunicazione ad opera degli ISP. In questo caso le basi giuridiche per il trattamento riguardano i) la fornitura del servizio, ii) la salvaguardia della sicurezza del servizio offerto e iii) la riduzione al minimo della congestione. Altre motivazioni possibili che legittimino le politiche di gestione basate sui dati sul traffico o sulle comunicazioni sono discussi infra al punto iv).

i)   Basi giuridiche per la fornitura del servizio

| 40. | Come illustrato nella sezione IV, gli ISP trattano le informazioni sugli header IP per instradare ogni pacchetto IP verso la sua destinazione. L’articolo 6, paragrafi 1 e 2, della direttiva e-privacy permette di trattare i dati sul traffico allo scopo di trasmettere la comunicazione. Pertanto, gli ISP possono trattare le informazioni necessarie per la fornitura del servizio. |
| --- | --- |

40.

Come illustrato nella sezione IV, gli ISP trattano le informazioni sugli header IP per instradare ogni pacchetto IP verso la sua destinazione. L’articolo 6, paragrafi 1 e 2, della direttiva e-privacy permette di trattare i dati sul traffico allo scopo di trasmettere la comunicazione. Pertanto, gli ISP possono trattare le informazioni necessarie per la fornitura del servizio.

ii)   Basi giuridiche per la salvaguardia della sicurezza del servizio

| 41. | Ai sensi dell’articolo 4 della direttiva e-privacy, un ISP è tenuto all’obbligo generale di prendere appropriate misure per salvaguardare la sicurezza dei suoi servizi. La pratica di filtrare i virus può comportare il trattamento degli header IP e dei payload IP. Considerando che l’articolo 4 della direttiva e-privacy richiede agli ISP di garantire la sicurezza della rete, questa disposizione legittima tecnologie di controllo basate sul contenuto e sugli header IP che mirino esclusivamente al conseguimento di questo fine. In pratica, ciò significa che, nei limiti stabiliti dal principio di proporzionalità (cfr. sezione V.3), gli ISP possono monitorare e filtrare i dati delle comunicazioni per combattere i virus e garantire in generale la sicurezza della rete (27). |
| --- | --- |

41.

Ai sensi dell’articolo 4 della direttiva e-privacy, un ISP è tenuto all’obbligo generale di prendere appropriate misure per salvaguardare la sicurezza dei suoi servizi. La pratica di filtrare i virus può comportare il trattamento degli header IP e dei payload IP. Considerando che l’articolo 4 della direttiva e-privacy richiede agli ISP di garantire la sicurezza della rete, questa disposizione legittima tecnologie di controllo basate sul contenuto e sugli header IP che mirino esclusivamente al conseguimento di questo fine. In pratica, ciò significa che, nei limiti stabiliti dal principio di proporzionalità (cfr. sezione V.3), gli ISP possono monitorare e filtrare i dati delle comunicazioni per combattere i virus e garantire in generale la sicurezza della rete (27).

iii)   Basi giuridiche per la riduzione al minimo degli effetti della congestione

| 42. | La ragion d’essere di questa base giuridica è contenuta nel considerando 22 della direttiva e-privacy, che spiega il divieto di memorizzare le comunicazioni stabilito dall’articolo 5, paragrafo 1. Il divieto non riguarda eventuali memorizzazioni automatiche, intermedie e temporanee, a patto che vengano effettuate a scopo di trasmissione e non durino per un periodo superiore a quanto necessario per la trasmissione e ai fini della gestione del traffico e che sia assicurata la riservatezza delle comunicazioni. |
| --- | --- |

42.

La ragion d’essere di questa base giuridica è contenuta nel considerando 22 della direttiva e-privacy, che spiega il divieto di memorizzare le comunicazioni stabilito dall’articolo 5, paragrafo 1. Il divieto non riguarda eventuali memorizzazioni automatiche, intermedie e temporanee, a patto che vengano effettuate a scopo di trasmissione e non durino per un periodo superiore a quanto necessario per la trasmissione e ai fini della gestione del traffico e che sia assicurata la riservatezza delle comunicazioni.

| 43. | In caso di congestione, si pone il problema della possibilità o meno per gli ISP di ritardare o interrompere casualmente il traffico o di rallentare le comunicazioni per le quali il fattore tempo è meno importante, come il P2P o le e-mail, consentendo, ad esempio, per il traffico vocale il passaggio a una qualità accettabile. |
| --- | --- |

43.

In caso di congestione, si pone il problema della possibilità o meno per gli ISP di ritardare o interrompere casualmente il traffico o di rallentare le comunicazioni per le quali il fattore tempo è meno importante, come il P2P o le e-mail, consentendo, ad esempio, per il traffico vocale il passaggio a una qualità accettabile.

| 44. | Considerato l’interesse generale della società per la garanzia di una rete di comunicazioni utilizzabile, gli ISP potrebbero sostenere che dare priorità al traffico o limitarlo per risolvere il problema della congestione è una misura legittima e indispensabile per fornire un servizio adeguato. Questo vuol dire che in tali casi e a questo scopo ci sarebbe una base giuridica generale per trattare i dati personali e non sarebbe più necessario il consenso specifico degli utenti. |
| --- | --- |

44.

Considerato l’interesse generale della società per la garanzia di una rete di comunicazioni utilizzabile, gli ISP potrebbero sostenere che dare priorità al traffico o limitarlo per risolvere il problema della congestione è una misura legittima e indispensabile per fornire un servizio adeguato. Questo vuol dire che in tali casi e a questo scopo ci sarebbe una base giuridica generale per trattare i dati personali e non sarebbe più necessario il consenso specifico degli utenti.

| 45. | Al tempo stesso, la possibilità di interferire in questo modo non è priva di restrizioni. Se gli ISP hanno bisogno di controllare le comunicazioni, sotto l’aspetto della riservatezza, e applicando rigorosamente il principio della proporzionalità, devono utilizzare il metodo meno invasivo disponibile per raggiungere lo scopo (evitando l’ispezione approfondita dei pacchetti di dati) e applicarlo solo per il tempo necessario per risolvere la congestione. |
| --- | --- |

45.

Al tempo stesso, la possibilità di interferire in questo modo non è priva di restrizioni. Se gli ISP hanno bisogno di controllare le comunicazioni, sotto l’aspetto della riservatezza, e applicando rigorosamente il principio della proporzionalità, devono utilizzare il metodo meno invasivo disponibile per raggiungere lo scopo (evitando l’ispezione approfondita dei pacchetti di dati) e applicarlo solo per il tempo necessario per risolvere la congestione.

iv)   Basi giuridiche per il trattamento dei dati per altri scopi

| 46. | È possibile che gli ISP intendano controllare i dati sul traffico e sui contenuti per altri scopi, tra cui quello di offrire abbonamenti mirati (per esempio un abbonamento che limiti l’accesso al P2P o che aumenti la velocità di determinate applicazioni). Il controllo e l’ulteriore utilizzo dei dati sul traffico e sulle comunicazioni per scopi diversi dalla fornitura del servizio, dalla garanzia della sua sicurezza e dell’assenza di congestioni sono permessi soltanto a condizioni rigorose, in conformità al quadro giuridico. |
| --- | --- |

46.

È possibile che gli ISP intendano controllare i dati sul traffico e sui contenuti per altri scopi, tra cui quello di offrire abbonamenti mirati (per esempio un abbonamento che limiti l’accesso al P2P o che aumenti la velocità di determinate applicazioni). Il controllo e l’ulteriore utilizzo dei dati sul traffico e sulle comunicazioni per scopi diversi dalla fornitura del servizio, dalla garanzia della sua sicurezza e dell’assenza di congestioni sono permessi soltanto a condizioni rigorose, in conformità al quadro giuridico.

| 47. | Il quadro giuridico è rappresentato principalmente dall’articolo 5, paragrafo 1, della direttiva e-privacy che richiede il consenso degli utenti per l’ascolto, la captazione, la memorizzazione o altre forme di intercettazione e di sorveglianza delle comunicazioni e dei relativi dati sul traffico. In pratica questo significa che il consenso degli utenti che prendono parte a una comunicazione è necessario per legittimare il trattamento dei dati sul traffico e sulle comunicazioni, ai sensi dell’articolo 5, paragrafo 1. |
| --- | --- |

47.

Il quadro giuridico è rappresentato principalmente dall’articolo 5, paragrafo 1, della direttiva e-privacy che richiede il consenso degli utenti per l’ascolto, la captazione, la memorizzazione o altre forme di intercettazione e di sorveglianza delle comunicazioni e dei relativi dati sul traffico. In pratica questo significa che il consenso degli utenti che prendono parte a una comunicazione è necessario per legittimare il trattamento dei dati sul traffico e sulle comunicazioni, ai sensi dell’articolo 5, paragrafo 1.

| 48. | Come spiegato in precedenza, l’applicazione delle tecnologie di controllo e di filtraggio è basata sugli header IP, ovvero i dati sul traffico, o sull’ispezione approfondita dei pacchetti di dati che riguarda anche i payload IP, vale a dire i dati sulla comunicazione. Pertanto, in linea di principio, l’applicazione di queste tecnologie per scopi diversi dalla trasmissione o dalla sicurezza del servizio sarebbe vietata, a meno che una ragione legittima, come il consenso, permetta il trattamento (articolo 5, paragrafo 1). Un esempio di applicazione di quest’articolo è il caso in cui un ISP decida di offrire ai clienti l’accesso a Internet a un prezzo ridotto in cambio della ricezione di pubblicità comportamentale, dell’utilizzo dell’ispezione approfondita dei pacchetti di dati e conseguentemente dei dati sulla comunicazione. Il consenso effettivo, specifico e informato si rende quindi necessario a norma dell’articolo 5, paragrafo 1. |
| --- | --- |

48.

Come spiegato in precedenza, l’applicazione delle tecnologie di controllo e di filtraggio è basata sugli header IP, ovvero i dati sul traffico, o sull’ispezione approfondita dei pacchetti di dati che riguarda anche i payload IP, vale a dire i dati sulla comunicazione. Pertanto, in linea di principio, l’applicazione di queste tecnologie per scopi diversi dalla trasmissione o dalla sicurezza del servizio sarebbe vietata, a meno che una ragione legittima, come il consenso, permetta il trattamento (articolo 5, paragrafo 1). Un esempio di applicazione di quest’articolo è il caso in cui un ISP decida di offrire ai clienti l’accesso a Internet a un prezzo ridotto in cambio della ricezione di pubblicità comportamentale, dell’utilizzo dell’ispezione approfondita dei pacchetti di dati e conseguentemente dei dati sulla comunicazione. Il consenso effettivo, specifico e informato si rende quindi necessario a norma dell’articolo 5, paragrafo 1.

| 49. | Inoltre, l’articolo 6 della direttiva e-privacy, dal titolo «dati sul traffico», stabilisce alcune norme che si applicano appositamente ai dati sul traffico. In particolare, prevede la possibilità per gli ISP di trattare i dati sul traffico, sempre che l’utente abbia dato il proprio consenso, per la fornitura di servizi a valore aggiunto (28). Questa disposizione specifica il requisito del consenso previsto dall’articolo 5, paragrafo 1, quando si tratta dei dati sul traffico. |
| --- | --- |

49.

Inoltre, l’articolo 6 della direttiva e-privacy, dal titolo «dati sul traffico», stabilisce alcune norme che si applicano appositamente ai dati sul traffico. In particolare, prevede la possibilità per gli ISP di trattare i dati sul traffico, sempre che l’utente abbia dato il proprio consenso, per la fornitura di servizi a valore aggiunto (28). Questa disposizione specifica il requisito del consenso previsto dall’articolo 5, paragrafo 1, quando si tratta dei dati sul traffico.

| 50. | In pratica, non è sempre facile stabilire in quali casi il consenso sia necessario e in quali altri la sicurezza della rete possa giustificare il trattamento, soprattutto se gli scopi delle tecnologie di controllo sono duplici (ad esempio, evitare la congestione e fornire servizi a valore aggiunto). Va sottolineato che il consenso non si può considerare una scorciatoia comoda e sistematica per ottenere la conformità ai principi su cui si fonda la protezione dei dati. |
| --- | --- |

50.

In pratica, non è sempre facile stabilire in quali casi il consenso sia necessario e in quali altri la sicurezza della rete possa giustificare il trattamento, soprattutto se gli scopi delle tecnologie di controllo sono duplici (ad esempio, evitare la congestione e fornire servizi a valore aggiunto). Va sottolineato che il consenso non si può considerare una scorciatoia comoda e sistematica per ottenere la conformità ai principi su cui si fonda la protezione dei dati.

| 51. | Scarsa è l’esperienza nell’applicazione del quadro, in particolare per quanto riguarda i vari aspetti descritti in precedenza. Si tratta di un settore in cui sono essenziali ulteriori orientamenti, come specificato nella sezione VI. Inoltre, esistono altri aspetti pertinenti, relativi all’ottenimento del consenso, che richiedono anch’essi una particolare considerazione e sono descritti di seguito. |
| --- | --- |

51.

Scarsa è l’esperienza nell’applicazione del quadro, in particolare per quanto riguarda i vari aspetti descritti in precedenza. Si tratta di un settore in cui sono essenziali ulteriori orientamenti, come specificato nella sezione VI. Inoltre, esistono altri aspetti pertinenti, relativi all’ottenimento del consenso, che richiedono anch’essi una particolare considerazione e sono descritti di seguito.

V.2.   Aspetti relativi al consenso informato come base giuridica

| 52. | Il consenso richiesto in base agli articoli 5 e 6 della direttiva e-privacy ha lo stesso significato del consenso della persona interessata come definito e ulteriormente determinato nella direttiva 95/46/CE (29). In base all’articolo 2, lettera h), della direttiva sulla protezione dei dati personali, per «consenso della persona interessata» si intende «qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento». Recentemente il ruolo del consenso e i requisiti che ne determinano la validità sono stati affrontati dal gruppo di lavoro «articolo 29» nel suo parere 15/2011 sul consenso (30). |
| --- | --- |

52.

Il consenso richiesto in base agli articoli 5 e 6 della direttiva e-privacy ha lo stesso significato del consenso della persona interessata come definito e ulteriormente determinato nella direttiva 95/46/CE (29). In base all’articolo 2, lettera h), della direttiva sulla protezione dei dati personali, per «consenso della persona interessata» si intende «qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento». Recentemente il ruolo del consenso e i requisiti che ne determinano la validità sono stati affrontati dal gruppo di lavoro «articolo 29» nel suo parere 15/2011 sul consenso (30).

| 53. | Gli ISP che richiedono il consenso per effettuare il controllo e il filtraggio dei dati sul traffico e sui contenuti devono pertanto accertarsi che il consenso sia libero e specifico e sia una manifestazione di volontà pienamente informata con la quale una persona fisica accetta che i dati personali che la riguardano siano oggetto di un trattamento. Il considerando 17 della direttiva e-privacy ribadisce tale concetto: «[...]. Il consenso può essere fornito secondo qualsiasi modalità appropriata che consenta all’utente di esprimere liberamente e in conoscenza di causa i suoi desideri specifici, compresa la selezione di un’apposita casella nel caso di un sito Internet». Qui di seguito vengono forniti alcuni esempi pratici di cosa si intenda in tale contesto per consenso libero, specifico e informato. |
| --- | --- |

53.

Gli ISP che richiedono il consenso per effettuare il controllo e il filtraggio dei dati sul traffico e sui contenuti devono pertanto accertarsi che il consenso sia libero e specifico e sia una manifestazione di volontà pienamente informata con la quale una persona fisica accetta che i dati personali che la riguardano siano oggetto di un trattamento. Il considerando 17 della direttiva e-privacy ribadisce tale concetto: «[...]. Il consenso può essere fornito secondo qualsiasi modalità appropriata che consenta all’utente di esprimere liberamente e in conoscenza di causa i suoi desideri specifici, compresa la selezione di un’apposita casella nel caso di un sito Internet». Qui di seguito vengono forniti alcuni esempi pratici di cosa si intenda in tale contesto per consenso libero, specifico e informato.

Consenso: manifestazione di volontà libera, specifica e informata

| 54. | Consenso libero. Gli utenti non devono essere soggetti a costrizioni per quanto riguarda il consenso all’abbonamento a Internet che intendono sottoscrivere. |
| --- | --- |

54.

Consenso libero. Gli utenti non devono essere soggetti a costrizioni per quanto riguarda il consenso all’abbonamento a Internet che intendono sottoscrivere.

| 55. | Le persone non fornirebbero liberamente il loro consenso se, per ottenere l’accesso a un servizio di comunicazione, dovessero acconsentire a che i dati delle loro comunicazioni vengano monitorati. Ciò vale ancor più se tutti i provider in un determinato mercato gestissero il traffico per finalità che vanno al di là della sicurezza della rete. La sola opzione che resterebbe a disposizione degli utenti sarebbe quella di non abbonarsi affatto ai servizi Internet. Poiché la rete Internet è diventata uno strumento essenziale sia per il lavoro che per lo svago, la scelta di non abbonarsi a un servizio Internet non costituisce una valida alternativa. Ne conseguirebbe che le persone non avrebbero una possibilità di scelta vera e propria, il che equivale a dire che non potrebbero fornire un consenso libero (31). |
| --- | --- |

55.

Le persone non fornirebbero liberamente il loro consenso se, per ottenere l’accesso a un servizio di comunicazione, dovessero acconsentire a che i dati delle loro comunicazioni vengano monitorati. Ciò vale ancor più se tutti i provider in un determinato mercato gestissero il traffico per finalità che vanno al di là della sicurezza della rete. La sola opzione che resterebbe a disposizione degli utenti sarebbe quella di non abbonarsi affatto ai servizi Internet. Poiché la rete Internet è diventata uno strumento essenziale sia per il lavoro che per lo svago, la scelta di non abbonarsi a un servizio Internet non costituisce una valida alternativa. Ne conseguirebbe che le persone non avrebbero una possibilità di scelta vera e propria, il che equivale a dire che non potrebbero fornire un consenso libero (31).

| 56. | Il GEPD ritiene che per la Commissione e le autorità nazionali sia evidentemente necessario monitorare il mercato, soprattutto per stabilire se questa situazione — che vede i provider associare i servizi di telecomunicazione al monitoraggio delle comunicazioni — stia diventando la norma. I provider dovrebbero offrire servizi alternativi, compreso un abbonamento a Internet non soggetto alla gestione del traffico, senza imporre costi più elevati alle persone interessate. |
| --- | --- |

56.

Il GEPD ritiene che per la Commissione e le autorità nazionali sia evidentemente necessario monitorare il mercato, soprattutto per stabilire se questa situazione — che vede i provider associare i servizi di telecomunicazione al monitoraggio delle comunicazioni — stia diventando la norma. I provider dovrebbero offrire servizi alternativi, compreso un abbonamento a Internet non soggetto alla gestione del traffico, senza imporre costi più elevati alle persone interessate.

| 57. | Consenso specifico. L’esigenza di un consenso che sia specifico implica, in questo caso, che gli ISP lo richiedano in maniera chiara e distinta quando riguarda il monitoraggio dei dati sul traffico e sulle comunicazioni. Secondo il gruppo di lavoro «articolo 29», «... per essere specifico, il consenso dev’essere comprensibile: dovrebbe cioè riferirsi chiaramente e precisamente al campo di applicazione e alle conseguenze del trattamento dei dati. Non può riferirsi a un insieme illimitato di attività di trattamento. Ciò significa, in altre parole, che il contesto al quale si applica il consenso è limitato». Difficilmente si ottiene un consenso specifico se il consenso al controllo dei dati sul traffico e sulle comunicazioni viene «abbinato» al consenso generale riguardante l’abbonamento al servizio. La specificità implica invece l’utilizzo di mezzi mirati per ottenere il consenso, per esempio un modulo di consenso specifico o una casella separata da barrare che faccia chiaramente riferimento alla finalità del monitoraggio dei dati (anziché l’inclusione delle informazioni nelle condizioni generali del contratto e l’obbligo di firmarlo). |
| --- | --- |

57.

Consenso specifico. L’esigenza di un consenso che sia specifico implica, in questo caso, che gli ISP lo richiedano in maniera chiara e distinta quando riguarda il monitoraggio dei dati sul traffico e sulle comunicazioni. Secondo il gruppo di lavoro «articolo 29», «... per essere specifico, il consenso dev’essere comprensibile: dovrebbe cioè riferirsi chiaramente e precisamente al campo di applicazione e alle conseguenze del trattamento dei dati. Non può riferirsi a un insieme illimitato di attività di trattamento. Ciò significa, in altre parole, che il contesto al quale si applica il consenso è limitato». Difficilmente si ottiene un consenso specifico se il consenso al controllo dei dati sul traffico e sulle comunicazioni viene «abbinato» al consenso generale riguardante l’abbonamento al servizio. La specificità implica invece l’utilizzo di mezzi mirati per ottenere il consenso, per esempio un modulo di consenso specifico o una casella separata da barrare che faccia chiaramente riferimento alla finalità del monitoraggio dei dati (anziché l’inclusione delle informazioni nelle condizioni generali del contratto e l’obbligo di firmarlo).

| 58. | Consenso informato. Per essere valido, il consenso deve essere informato. La necessità di fornire informazioni preliminari adeguate deriva non solo dalla direttiva e-privacy e dalla direttiva sulla protezione dei dati, ma anche dagli articoli 20 e 21 della direttiva servizio universale, modificata dalla direttiva 2009/136/CE (32). Il fatto che le informazioni e il consenso siano necessari è stato espressamente confermato dal considerando 28 della direttiva 2009/136/CE: «gli utenti dovrebbero in ogni caso essere pienamente informati di qualsiasi condizione imposta dal fornitore di servizio e/o di rete che limita l’utilizzo di servizi di comunicazione elettronica. Tali informazioni dovrebbero, a discrezione del fornitore, specificare il tipo di contenuto, applicazione o servizio interessati, le single applicazioni o servizi, o entrambi». Lo stesso considerando specifica quindi che «a seconda della tecnologia impiegata e del tipo di limitazione, tali limitazioni possono richiedere il consenso dell’interessato a norma della direttiva 2002/58/CE». |
| --- | --- |

58.

Consenso informato. Per essere valido, il consenso deve essere informato. La necessità di fornire informazioni preliminari adeguate deriva non solo dalla direttiva e-privacy e dalla direttiva sulla protezione dei dati, ma anche dagli articoli 20 e 21 della direttiva servizio universale, modificata dalla direttiva 2009/136/CE (32). Il fatto che le informazioni e il consenso siano necessari è stato espressamente confermato dal considerando 28 della direttiva 2009/136/CE: «gli utenti dovrebbero in ogni caso essere pienamente informati di qualsiasi condizione imposta dal fornitore di servizio e/o di rete che limita l’utilizzo di servizi di comunicazione elettronica. Tali informazioni dovrebbero, a discrezione del fornitore, specificare il tipo di contenuto, applicazione o servizio interessati, le single applicazioni o servizi, o entrambi». Lo stesso considerando specifica quindi che «a seconda della tecnologia impiegata e del tipo di limitazione, tali limitazioni possono richiedere il consenso dell’interessato a norma della direttiva 2002/58/CE».

| 59. | Data la complessità delle tecnologie di monitoraggio, fornire informazioni preliminari pertinenti è uno dei principali presupposti per il conseguimento di un consenso valido. I consumatori dovrebbero essere informati in modo che possano comprendere quali dati vengono sottoposti a trattamento, come vengono utilizzati e gli effetti sull’esperienza dell’utente nonché il livello di invasività della vita privata che tali tecnologie comportano. |
| --- | --- |

59.

Data la complessità delle tecnologie di monitoraggio, fornire informazioni preliminari pertinenti è uno dei principali presupposti per il conseguimento di un consenso valido. I consumatori dovrebbero essere informati in modo che possano comprendere quali dati vengono sottoposti a trattamento, come vengono utilizzati e gli effetti sull’esperienza dell’utente nonché il livello di invasività della vita privata che tali tecnologie comportano.

| 60. | Ciò significa non solo che le informazioni devono essere chiare e comprensibili per l’utente medio, ma anche che devono essere fornite direttamente alle persone in modo palese, affinché non possano passare inosservate. |
| --- | --- |

60.

Ciò significa non solo che le informazioni devono essere chiare e comprensibili per l’utente medio, ma anche che devono essere fornite direttamente alle persone in modo palese, affinché non possano passare inosservate.

| 61. | Manifestazione della volontà. In base al quadro giuridico applicabile, il consenso richiede inoltre un atto affermativo da parte dell’utente per manifestare la propria approvazione. Un consenso tacito non soddisferebbe questo criterio. Anche queste considerazioni confermano che è necessario impiegare mezzi mirati per ottenere un consenso che permetta all’ISP di controllare i dati sul traffico e sulle comunicazioni nel contesto dell’attuazione di politiche di gestione del traffico. Nel suo recente parere sul consenso, il gruppo di lavoro «articolo 29» ha sottolineato la necessità dell’articolazione del consenso per quanto concerne i vari elementi che costituiscono il trattamento dei dati. |
| --- | --- |

61.

Manifestazione della volontà. In base al quadro giuridico applicabile, il consenso richiede inoltre un atto affermativo da parte dell’utente per manifestare la propria approvazione. Un consenso tacito non soddisferebbe questo criterio. Anche queste considerazioni confermano che è necessario impiegare mezzi mirati per ottenere un consenso che permetta all’ISP di controllare i dati sul traffico e sulle comunicazioni nel contesto dell’attuazione di politiche di gestione del traffico. Nel suo recente parere sul consenso, il gruppo di lavoro «articolo 29» ha sottolineato la necessità dell’articolazione del consenso per quanto concerne i vari elementi che costituiscono il trattamento dei dati.

| 62. | Si potrebbe argomentare che, se le parti coinvolte in una comunicazione non vogliono che gli ISP la intercettino per attuare politiche di gestione del traffico, possono criptare la comunicazione. Questo approccio può essere considerato utile all’atto pratico, ma richiede un certo impegno e conoscenze tecniche e non può essere ritenuto analogo a un consenso libero, specifico e informato. Inoltre, l’utilizzo di tecniche di cifratura non salvaguarda pienamente la riservatezza di una comunicazione poiché l’ISP può accedere almeno alle informazioni sull’header IP per instradare la comunicazione e può anche effettuare analisi statistiche. |
| --- | --- |

62.

Si potrebbe argomentare che, se le parti coinvolte in una comunicazione non vogliono che gli ISP la intercettino per attuare politiche di gestione del traffico, possono criptare la comunicazione. Questo approccio può essere considerato utile all’atto pratico, ma richiede un certo impegno e conoscenze tecniche e non può essere ritenuto analogo a un consenso libero, specifico e informato. Inoltre, l’utilizzo di tecniche di cifratura non salvaguarda pienamente la riservatezza di una comunicazione poiché l’ISP può accedere almeno alle informazioni sull’header IP per instradare la comunicazione e può anche effettuare analisi statistiche.

| 63. | In base all’articolo 5, paragrafo 1, della direttiva e-privacy, il consenso deve essere accordato dagli utenti interessati. In molti casi l’utente coincide con l’abbonato, il quale accorda il suo consenso nel momento in cui si abbona al servizio di comunicazione. In altri casi, compresi quelli in cui può essere interessata più di una persona, il consenso degli utenti deve essere ottenuto separatamente, e questo fatto potrebbe sollevare alcune questioni pratiche, come di seguito descritte. |
| --- | --- |

63.

In base all’articolo 5, paragrafo 1, della direttiva e-privacy, il consenso deve essere accordato dagli utenti interessati. In molti casi l’utente coincide con l’abbonato, il quale accorda il suo consenso nel momento in cui si abbona al servizio di comunicazione. In altri casi, compresi quelli in cui può essere interessata più di una persona, il consenso degli utenti deve essere ottenuto separatamente, e questo fatto potrebbe sollevare alcune questioni pratiche, come di seguito descritte.

Consenso di tutti gli utenti interessati

| 64. | L’articolo 5, paragrafo 1 prevede che il consenso dell’utente legittimi il trattamento. Il consenso deve essere accordato da tutti gli utenti interessati a una comunicazione. Il motivo è che di norma una comunicazione riguarda almeno due persone (il mittente e il destinatario). Per esempio, se un ISP esamina i payload IP relativi a una e-mail, le informazioni sottoposte a controllo riguardano sia il mittente che il destinatario della e-mail. |
| --- | --- |

64.

L’articolo 5, paragrafo 1 prevede che il consenso dell’utente legittimi il trattamento. Il consenso deve essere accordato da tutti gli utenti interessati a una comunicazione. Il motivo è che di norma una comunicazione riguarda almeno due persone (il mittente e il destinatario). Per esempio, se un ISP esamina i payload IP relativi a una e-mail, le informazioni sottoposte a controllo riguardano sia il mittente che il destinatario della e-mail.

| 65. | Durante il monitoraggio e l’intercettazione del traffico e delle comunicazioni (per esempio, di un certo tipo di traffico su Internet), per gli ISP può essere sufficiente ottenere il consenso dell’utente, ovvero dell’abbonato. Ciò dipende dal fatto che l’altra parte coinvolta nella comunicazione, in questo caso un sito Internet visitato, non può essere considerata un «utente interessato» (33). Tuttavia, la situazione può risultare più complessa quando il monitoraggio comporta il controllo del contenuto di e-mail e pertanto, delle informazioni personali del mittente e del destinatario di una e-mail, che potrebbero non avere un rapporto contrattuale con lo stesso ISP. In questi casi, l’ISP tratterebbe dati personali (nome, indirizzo della e-mail e dati del suo contenuto potenzialmente sensibili) di persone che non sono suoi clienti. Da un punto di vista pratico, ottenere il consenso di queste persone può rivelarsi più difficile, perché dovrebbe essere richiesto di volta in volta anziché all’atto della conclusione del servizio di telecomunicazione. Non sarebbe neppure realistico supporre che il consenso dell’abbonato venga dato anche a nome di altri utenti, come avviene spesso nel caso di privati in ambiente domestico. |
| --- | --- |

65.

Durante il monitoraggio e l’intercettazione del traffico e delle comunicazioni (per esempio, di un certo tipo di traffico su Internet), per gli ISP può essere sufficiente ottenere il consenso dell’utente, ovvero dell’abbonato. Ciò dipende dal fatto che l’altra parte coinvolta nella comunicazione, in questo caso un sito Internet visitato, non può essere considerata un «utente interessato» (33). Tuttavia, la situazione può risultare più complessa quando il monitoraggio comporta il controllo del contenuto di e-mail e pertanto, delle informazioni personali del mittente e del destinatario di una e-mail, che potrebbero non avere un rapporto contrattuale con lo stesso ISP. In questi casi, l’ISP tratterebbe dati personali (nome, indirizzo della e-mail e dati del suo contenuto potenzialmente sensibili) di persone che non sono suoi clienti. Da un punto di vista pratico, ottenere il consenso di queste persone può rivelarsi più difficile, perché dovrebbe essere richiesto di volta in volta anziché all’atto della conclusione del servizio di telecomunicazione. Non sarebbe neppure realistico supporre che il consenso dell’abbonato venga dato anche a nome di altri utenti, come avviene spesso nel caso di privati in ambiente domestico.

| 66. | In tale contesto, il GEPD ritiene che gli ISP debbano attenersi ai requisiti giuridici vigenti e attuare politiche che non comportano il monitoraggio e il controllo di informazioni. Questo aspetto è ancora più importante nel caso di servizi di comunicazione che coinvolgono terzi i quali non possono acconsentire al monitoraggio, e soprattutto nel caso di e-mail inviate e ricevute (ciò non si applica quando la finalità è legata a considerazioni di sicurezza). |
| --- | --- |

66.

In tale contesto, il GEPD ritiene che gli ISP debbano attenersi ai requisiti giuridici vigenti e attuare politiche che non comportano il monitoraggio e il controllo di informazioni. Questo aspetto è ancora più importante nel caso di servizi di comunicazione che coinvolgono terzi i quali non possono acconsentire al monitoraggio, e soprattutto nel caso di e-mail inviate e ricevute (ciò non si applica quando la finalità è legata a considerazioni di sicurezza).

| 67. | Al contempo, va sottolineato che la normativa nazionale che recepisce l’articolo 5, paragrafo 1, della direttiva e-privacy non sempre può risultare soddisfacente a questo proposito, e che in generale sembrano necessari orientamenti più adeguati per quanto riguarda i requisiti della direttiva e-privacy in tale contesto. Il GEPD invita pertanto la Commissione a intervenire più attivamente al riguardo e a prendere un’iniziativa che potrebbe beneficiare del contributo delle autorità di vigilanza che partecipano alle riunioni del gruppo di lavoro «articolo 29» e di altre parti interessate. Se necessario, si dovrebbe adire la Corte di giustizia per fare piena chiarezza sul significato e sulle conseguenze dell’articolo 5, paragrafo 1. |
| --- | --- |

67.

Al contempo, va sottolineato che la normativa nazionale che recepisce l’articolo 5, paragrafo 1, della direttiva e-privacy non sempre può risultare soddisfacente a questo proposito, e che in generale sembrano necessari orientamenti più adeguati per quanto riguarda i requisiti della direttiva e-privacy in tale contesto. Il GEPD invita pertanto la Commissione a intervenire più attivamente al riguardo e a prendere un’iniziativa che potrebbe beneficiare del contributo delle autorità di vigilanza che partecipano alle riunioni del gruppo di lavoro «articolo 29» e di altre parti interessate. Se necessario, si dovrebbe adire la Corte di giustizia per fare piena chiarezza sul significato e sulle conseguenze dell’articolo 5, paragrafo 1.

V.3.   Proporzionalità — principio della minimizzazione dei dati

| 68. | L’articolo 6, lettera c) della direttiva sulla protezione dei dati sancisce il principio di proporzionalità (34), che si applica agli ISP in quanto controllori di dati ai sensi di questa direttiva, quando effettuano il monitoraggio e il filtraggio. |
| --- | --- |

68.

L’articolo 6, lettera c) della direttiva sulla protezione dei dati sancisce il principio di proporzionalità (34), che si applica agli ISP in quanto controllori di dati ai sensi di questa direttiva, quando effettuano il monitoraggio e il filtraggio.

| 69. | Secondo tale principio, i dati personali possono essere trattati soltanto se sono «adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati». L’applicazione di questo principio comporta la necessità di effettuare una valutazione per determinare se i mezzi impiegati per il trattamento dei dati e i tipi di dati personali utilizzati sono adatti e se esiste la ragionevole possibilità che conseguano i loro obiettivi. Se la conclusione è che vengono raccolti più dati del necessario, il principio non è soddisfatto. |
| --- | --- |

69.

Secondo tale principio, i dati personali possono essere trattati soltanto se sono «adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati». L’applicazione di questo principio comporta la necessità di effettuare una valutazione per determinare se i mezzi impiegati per il trattamento dei dati e i tipi di dati personali utilizzati sono adatti e se esiste la ragionevole possibilità che conseguano i loro obiettivi. Se la conclusione è che vengono raccolti più dati del necessario, il principio non è soddisfatto.

| 70. | La conformità al principio di proporzionalità di determinati tipi di tecnologie di controllo deve essere valutata caso per caso. Non è possibile giungere a conclusioni in abstracto. Tuttavia, si possono indicare diversi aspetti concreti che dovrebbero essere presi in considerazione nel valutare il rispetto del principio di proporzionalità. |
| --- | --- |

70.

La conformità al principio di proporzionalità di determinati tipi di tecnologie di controllo deve essere valutata caso per caso. Non è possibile giungere a conclusioni in abstracto. Tuttavia, si possono indicare diversi aspetti concreti che dovrebbero essere presi in considerazione nel valutare il rispetto del principio di proporzionalità.

| 71. | La quantità di informazioni trattate. Sorvegliare le comunicazioni dei clienti di un ISP nel modo più rigoroso possibile è, nella maggior parte dei casi, eccessivo e illegale. Il fatto che ciò si possa fare con mezzi che non risultano evidenti alle persone e che possa essere difficile per loro comprendere cosa sta succedendo aggrava l’impatto sulla loro vita privata. Gli ISP dovrebbero stabilire quali siano i mezzi meno invasivi disponibili per conseguire i risultati richiesti: per esempio, è possibile raggiungere l’obiettivo desiderato con il monitoraggio degli header IP, anziché ricorrere all’ispezione approfondita dei pacchetti di dati? Anche quando si ricorre all’ispezione approfondita dei pacchetti di dati, può essere sufficiente identificare soltanto determinati protocolli per avere le informazioni necessarie. Inoltre, può essere opportuna anche l’applicazione di clausole di salvaguardia per la protezione dei dati, tra cui la pseudo-anonimizzazione. L’esito della valutazione deve confermare che il trattamento dei dati rispetta il principio di proporzionalità. |
| --- | --- |

71.

La quantità di informazioni trattate. Sorvegliare le comunicazioni dei clienti di un ISP nel modo più rigoroso possibile è, nella maggior parte dei casi, eccessivo e illegale. Il fatto che ciò si possa fare con mezzi che non risultano evidenti alle persone e che possa essere difficile per loro comprendere cosa sta succedendo aggrava l’impatto sulla loro vita privata. Gli ISP dovrebbero stabilire quali siano i mezzi meno invasivi disponibili per conseguire i risultati richiesti: per esempio, è possibile raggiungere l’obiettivo desiderato con il monitoraggio degli header IP, anziché ricorrere all’ispezione approfondita dei pacchetti di dati? Anche quando si ricorre all’ispezione approfondita dei pacchetti di dati, può essere sufficiente identificare soltanto determinati protocolli per avere le informazioni necessarie. Inoltre, può essere opportuna anche l’applicazione di clausole di salvaguardia per la protezione dei dati, tra cui la pseudo-anonimizzazione. L’esito della valutazione deve confermare che il trattamento dei dati rispetta il principio di proporzionalità.

| 72. | Gli effetti del trattamento (direttamente legati alle sue finalità). Il principio di proporzionalità potrebbe non essere soddisfatto nei casi in cui gli ISP impieghino politiche di gestione del traffico che escludono l’accesso a determinati servizi senza consentire agli utenti, in cambio, un’equa condivisione dei benefici che ne risultano. |
| --- | --- |

72.

Gli effetti del trattamento (direttamente legati alle sue finalità). Il principio di proporzionalità potrebbe non essere soddisfatto nei casi in cui gli ISP impieghino politiche di gestione del traffico che escludono l’accesso a determinati servizi senza consentire agli utenti, in cambio, un’equa condivisione dei benefici che ne risultano.

| 73. | È importante rammentare che il principio di proporzionalità viene comunque applicato anche se sono stati soddisfatti altri requisiti giuridici, incluso il caso in cui un ISP abbia, per esempio, ottenuto il consenso dalle persone per effettuare il monitoraggio di contenuti. Ciò significa che il trattamento dei dati eseguito mediante tale monitoraggio può risultare comunque illegale se viola il principio di proporzionalità, che è fondamentale e implicito. |
| --- | --- |

73.

È importante rammentare che il principio di proporzionalità viene comunque applicato anche se sono stati soddisfatti altri requisiti giuridici, incluso il caso in cui un ISP abbia, per esempio, ottenuto il consenso dalle persone per effettuare il monitoraggio di contenuti. Ciò significa che il trattamento dei dati eseguito mediante tale monitoraggio può risultare comunque illegale se viola il principio di proporzionalità, che è fondamentale e implicito.

V.4.   Misure organizzative e di sicurezza

| 74. | L’articolo 4 della direttiva e-privacy impone esplicitamente agli ISP di adottare misure tecniche e organizzative per garantire i) che l’accesso ai dati personali sia consentito soltanto a personale autorizzato e per finalità lecite, ii) la protezione dei dati personali dal trattamento accidentale o illecito, nonché iii) l’attuazione di una politica di sicurezza relativamente al trattamento dei dati personali. La stessa direttiva consente, inoltre, alle autorità nazionali competenti di effettuare audit su queste misure. |
| --- | --- |

74.

L’articolo 4 della direttiva e-privacy impone esplicitamente agli ISP di adottare misure tecniche e organizzative per garantire i) che l’accesso ai dati personali sia consentito soltanto a personale autorizzato e per finalità lecite, ii) la protezione dei dati personali dal trattamento accidentale o illecito, nonché iii) l’attuazione di una politica di sicurezza relativamente al trattamento dei dati personali. La stessa direttiva consente, inoltre, alle autorità nazionali competenti di effettuare audit su queste misure.

| 75. | Inoltre, ai sensi dell’articolo 4, paragrafi 3 e 2, della direttiva e-privacy, gli ISP sono anche tenuti a informare rispettivamente le autorità nazionali competenti in caso di violazione dei dati e le persone coinvolte qualora sussista il rischio che vi siano conseguenze negative per loro a seguito della divulgazione di tali dati. |
| --- | --- |

75.

Inoltre, ai sensi dell’articolo 4, paragrafi 3 e 2, della direttiva e-privacy, gli ISP sono anche tenuti a informare rispettivamente le autorità nazionali competenti in caso di violazione dei dati e le persone coinvolte qualora sussista il rischio che vi siano conseguenze negative per loro a seguito della divulgazione di tali dati.

| 76. | Il trattamento, al fine di applicare politiche di gestione del traffico, di informazioni personali contenute nell’ambito di una comunicazione può fornire agli ISP l’accesso a dati ancora più sensibili di quelli sul traffico. |
| --- | --- |

76.

Il trattamento, al fine di applicare politiche di gestione del traffico, di informazioni personali contenute nell’ambito di una comunicazione può fornire agli ISP l’accesso a dati ancora più sensibili di quelli sul traffico.

| 77. | Pertanto le politiche di sicurezza definite dagli ISP dovrebbero includere clausole di salvaguardia specifiche per garantire che le misure adottate siano adeguate rispetto ai rischi; contemporaneamente, le autorità nazionali competenti che valutano queste misure devono essere particolarmente esigenti. Infine, occorre assicurare l’attuazione di procedure di notifica efficaci per informare gli interessati le cui informazioni siano risultate compromesse e che pertanto rischiano di subire ripercussioni negative. |
| --- | --- |

77.

Pertanto le politiche di sicurezza definite dagli ISP dovrebbero includere clausole di salvaguardia specifiche per garantire che le misure adottate siano adeguate rispetto ai rischi; contemporaneamente, le autorità nazionali competenti che valutano queste misure devono essere particolarmente esigenti. Infine, occorre assicurare l’attuazione di procedure di notifica efficaci per informare gli interessati le cui informazioni siano risultate compromesse e che pertanto rischiano di subire ripercussioni negative.

VI.   SUGGERIMENTI PER LE MISURE POLITICHE E LEGISLATIVE

| 78. | Le tecnologie di controllo basate sui dati relativi al traffico e sull’ispezione dei payload IP, per esempio il contenuto delle comunicazioni, potrebbero fornire notizie sull’attività degli utenti in Internet: siti Internet visitati e operazioni effettuate su tali siti, utilizzo di applicazioni P2P, file scaricati, e-mail inviate e ricevute, il nome dei loro mittenti, l’oggetto e così via. È possibile che gli ISP vogliano servirsi di queste informazioni per dare la priorità ad alcuni tipi di comunicazione, per esempio il video on demand, rispetto ad altri, e che vogliano utilizzarle per individuare virus o creare profili allo scopo di effettuare pubblicità comportamentale. Queste azioni pregiudicano il diritto alla riservatezza delle comunicazioni. |
| --- | --- |

78.

Le tecnologie di controllo basate sui dati relativi al traffico e sull’ispezione dei payload IP, per esempio il contenuto delle comunicazioni, potrebbero fornire notizie sull’attività degli utenti in Internet: siti Internet visitati e operazioni effettuate su tali siti, utilizzo di applicazioni P2P, file scaricati, e-mail inviate e ricevute, il nome dei loro mittenti, l’oggetto e così via. È possibile che gli ISP vogliano servirsi di queste informazioni per dare la priorità ad alcuni tipi di comunicazione, per esempio il video on demand, rispetto ad altri, e che vogliano utilizzarle per individuare virus o creare profili allo scopo di effettuare pubblicità comportamentale. Queste azioni pregiudicano il diritto alla riservatezza delle comunicazioni.

| 79. | Le implicazioni per la vita privata aumentano in base alle tecnologie impiegate e alle circostanze del caso. Più l’intercettazione e l’analisi delle informazioni raccolte si spingono a fondo, maggiore è il conflitto con il principio della riservatezza delle comunicazioni. Anche le finalità per cui si effettua il monitoraggio e le clausole di salvaguardia per la protezione dei dati applicate rappresentano elementi chiave per stabilire il livello di interferenza nella vita privata e nei dati delle persone fisiche. Il blocco e il monitoraggio per la lotta al malware, con rigide limitazioni alla conservazione e all’utilizzo dei dati soggetti a controllo, non si possono paragonare a situazioni in cui le informazioni vengono registrate per la creazione di profili individuali a fini di pubblicità comportamentale. |
| --- | --- |

79.

Le implicazioni per la vita privata aumentano in base alle tecnologie impiegate e alle circostanze del caso. Più l’intercettazione e l’analisi delle informazioni raccolte si spingono a fondo, maggiore è il conflitto con il principio della riservatezza delle comunicazioni. Anche le finalità per cui si effettua il monitoraggio e le clausole di salvaguardia per la protezione dei dati applicate rappresentano elementi chiave per stabilire il livello di interferenza nella vita privata e nei dati delle persone fisiche. Il blocco e il monitoraggio per la lotta al malware, con rigide limitazioni alla conservazione e all’utilizzo dei dati soggetti a controllo, non si possono paragonare a situazioni in cui le informazioni vengono registrate per la creazione di profili individuali a fini di pubblicità comportamentale.

| 80. | In linea di principio, il GEPD ritiene che il quadro europeo vigente in materia di protezione dei dati e della vita privata, se correttamente interpretato, applicato e fatto rispettare, sia adatto a garantire che venga osservato il diritto alla riservatezza e soprattutto che non sia compromessa la protezione dei dati e della vita privata delle persone fisiche (35). Gli ISP non dovrebbero avvalersi di tali meccanismi a meno che non abbiano correttamente applicato il quadro giuridico. In particolare, gli elementi del quadro giuridico che gli ISP devono considerare e rispettare sono, tra gli altri, i seguenti:






  — | gli ISP possono applicare politiche di gestione del traffico ai fini della sicurezza e della prestazione del servizio, per esempio riducendo la congestione di rete, in base agli articoli 4 e 6 della direttiva e-privacy, |
| --- | --- | --- |

80.

In linea di principio, il GEPD ritiene che il quadro europeo vigente in materia di protezione dei dati e della vita privata, se correttamente interpretato, applicato e fatto rispettare, sia adatto a garantire che venga osservato il diritto alla riservatezza e soprattutto che non sia compromessa la protezione dei dati e della vita privata delle persone fisiche (35). Gli ISP non dovrebbero avvalersi di tali meccanismi a meno che non abbiano correttamente applicato il quadro giuridico. In particolare, gli elementi del quadro giuridico che gli ISP devono considerare e rispettare sono, tra gli altri, i seguenti:

—

gli ISP possono applicare politiche di gestione del traffico ai fini della sicurezza e della prestazione del servizio, per esempio riducendo la congestione di rete, in base agli articoli 4 e 6 della direttiva e-privacy,

| — | per applicare politiche di gestione del traffico che comportino il trattamento dei dati sul traffico e/o sulla comunicazione con finalità diverse da quelle di cui sopra, gli ISP devono avere un’altra base giuridica specifica e possibilmente il consenso degli utenti. Per esempio, è necessario il consenso informato degli utenti per monitorare e filtrare le comunicazioni di persone fisiche al fine di limitare (o permettere) l’accesso a determinati servizi e applicazioni come il P2P o il VoIP, |
| --- | --- |

—

per applicare politiche di gestione del traffico che comportino il trattamento dei dati sul traffico e/o sulla comunicazione con finalità diverse da quelle di cui sopra, gli ISP devono avere un’altra base giuridica specifica e possibilmente il consenso degli utenti. Per esempio, è necessario il consenso informato degli utenti per monitorare e filtrare le comunicazioni di persone fisiche al fine di limitare (o permettere) l’accesso a determinati servizi e applicazioni come il P2P o il VoIP,

| — | il consenso deve essere libero, esplicito e informato e manifestarsi mediante un atto affermativo. Questi requisiti evidenziano soprattutto la necessità di accrescere gli sforzi per garantire che le persone vengano correttamente informate e in modo diretto, comprensibile e specifico affinché possano valutare gli effetti delle pratiche e infine prendere una decisione informata. Considerata la complessità di queste tecnologie, fornire informazioni preliminari valide agli utenti è uno dei principali presupposti per ottenere un consenso valido. Inoltre, non devono esserci conseguenze negative (né l’addebito di costi finanziari) per gli utenti che non esprimono il loro consenso ad alcun tipo di monitoraggio, |
| --- | --- |

—

il consenso deve essere libero, esplicito e informato e manifestarsi mediante un atto affermativo. Questi requisiti evidenziano soprattutto la necessità di accrescere gli sforzi per garantire che le persone vengano correttamente informate e in modo diretto, comprensibile e specifico affinché possano valutare gli effetti delle pratiche e infine prendere una decisione informata. Considerata la complessità di queste tecnologie, fornire informazioni preliminari valide agli utenti è uno dei principali presupposti per ottenere un consenso valido. Inoltre, non devono esserci conseguenze negative (né l’addebito di costi finanziari) per gli utenti che non esprimono il loro consenso ad alcun tipo di monitoraggio,

| — | il principio di proporzionalità svolge un ruolo cruciale quando gli ISP attuano politiche di gestione del traffico, a prescindere dalla base giuridica e dalla finalità del trattamento (effettuare il servizio, evitare la congestione od offrire abbonamenti mirati con o senza accesso a determinati servizi e applicazioni). Questo principio limita la capacità degli ISP di monitorare il contenuto delle comunicazioni personali trattando una quantità eccessiva di informazioni o accumulando benefici a proprio esclusivo vantaggio. Ciò che gli ISP possono fare a livello logistico dipende dal livello di invasività delle tecnologie, dai risultati richiesti (per i quali possono accumulare benefici) e dalle clausole di salvaguardia specifiche applicate in materia di protezione dei dati e della vita privata. Prima di sviluppare tecnologie di controllo, gli ISP devono effettuare una valutazione per stabilire se queste tecnologie siano conformi al principio di proporzionalità. |
| --- | --- |

—

il principio di proporzionalità svolge un ruolo cruciale quando gli ISP attuano politiche di gestione del traffico, a prescindere dalla base giuridica e dalla finalità del trattamento (effettuare il servizio, evitare la congestione od offrire abbonamenti mirati con o senza accesso a determinati servizi e applicazioni). Questo principio limita la capacità degli ISP di monitorare il contenuto delle comunicazioni personali trattando una quantità eccessiva di informazioni o accumulando benefici a proprio esclusivo vantaggio. Ciò che gli ISP possono fare a livello logistico dipende dal livello di invasività delle tecnologie, dai risultati richiesti (per i quali possono accumulare benefici) e dalle clausole di salvaguardia specifiche applicate in materia di protezione dei dati e della vita privata. Prima di sviluppare tecnologie di controllo, gli ISP devono effettuare una valutazione per stabilire se queste tecnologie siano conformi al principio di proporzionalità.

| 81. | Se è vero che attualmente il quadro giuridico prevede condizioni e clausole di salvaguardia in materia, occorre verificare con particolare attenzione che gli ISP soddisfino effettivamente i requisiti giuridici, che forniscano ai consumatori le informazioni necessarie per operare scelte consapevoli e che rispettino il principio di proporzionalità. A livello nazionale, le autorità competenti per queste verifiche comprendono da una parte le autorità nazionali responsabili delle telecomunicazioni e, dall’altra, le autorità nazionali garanti della protezione dei dati. A livello di Unione europea, invece, tra gli organi competenti figura il BEREC, ma anche il GEPD può svolgere un ruolo in tale contesto. |
| --- | --- |

81.

Se è vero che attualmente il quadro giuridico prevede condizioni e clausole di salvaguardia in materia, occorre verificare con particolare attenzione che gli ISP soddisfino effettivamente i requisiti giuridici, che forniscano ai consumatori le informazioni necessarie per operare scelte consapevoli e che rispettino il principio di proporzionalità. A livello nazionale, le autorità competenti per queste verifiche comprendono da una parte le autorità nazionali responsabili delle telecomunicazioni e, dall’altra, le autorità nazionali garanti della protezione dei dati. A livello di Unione europea, invece, tra gli organi competenti figura il BEREC, ma anche il GEPD può svolgere un ruolo in tale contesto.

| 82. | Data la relativa novità rappresentata dal fatto di poter controllare molte comunicazioni in tempo reale, oltre al monitoraggio dell’attuale livello di conformità, vi sono alcuni aspetti relativi all’applicazione del quadro, affrontati nel presente parere, che richiedono un’analisi ancora più approfondita e ulteriori chiarimenti. È necessario un orientamento relativo a diversi settori che riguardi, tra gli altri:






  — | la determinazione delle pratiche di controllo lecite e finalizzate a garantire la fluidità del traffico che non richiedano necessariamente il consenso degli utenti, per esempio la lotta allo spam. Oltre all’invasività del monitoraggio effettuato, ci sono altri aspetti da considerare, come ad esempio il livello di perturbazione del traffico che si verificherebbe senza tale monitoraggio, |
| --- | --- | --- |

82.

Data la relativa novità rappresentata dal fatto di poter controllare molte comunicazioni in tempo reale, oltre al monitoraggio dell’attuale livello di conformità, vi sono alcuni aspetti relativi all’applicazione del quadro, affrontati nel presente parere, che richiedono un’analisi ancora più approfondita e ulteriori chiarimenti. È necessario un orientamento relativo a diversi settori che riguardi, tra gli altri:

—

la determinazione delle pratiche di controllo lecite e finalizzate a garantire la fluidità del traffico che non richiedano necessariamente il consenso degli utenti, per esempio la lotta allo spam. Oltre all’invasività del monitoraggio effettuato, ci sono altri aspetti da considerare, come ad esempio il livello di perturbazione del traffico che si verificherebbe senza tale monitoraggio,

| — | la determinazione delle tecnologie di controllo impiegabili per scopi di sicurezza che non richiedano necessariamente il consenso degli utenti, |
| --- | --- |

—

la determinazione delle tecnologie di controllo impiegabili per scopi di sicurezza che non richiedano necessariamente il consenso degli utenti,

| — | la determinazione dei casi in cui sia necessario il consenso delle persone fisiche, in particolare di tutti gli utenti interessati, e dei parametri tecnici ammissibili al fine di garantire che la tecnica di controllo non implichi un trattamento di dati sproporzionato rispetto alle finalità da esso previste, |
| --- | --- |

—

la determinazione dei casi in cui sia necessario il consenso delle persone fisiche, in particolare di tutti gli utenti interessati, e dei parametri tecnici ammissibili al fine di garantire che la tecnica di controllo non implichi un trattamento di dati sproporzionato rispetto alle finalità da esso previste,

| — | inoltre, nei tre casi appena esposti, può essere necessario un orientamento sull’applicazione delle clausole di salvaguardia necessarie per la protezione dei dati (limitazione delle finalità, sicurezza e così via). |
| --- | --- |

—

inoltre, nei tre casi appena esposti, può essere necessario un orientamento sull’applicazione delle clausole di salvaguardia necessarie per la protezione dei dati (limitazione delle finalità, sicurezza e così via).

| 83. | Poiché le competenze in questo campo sono tanto europee quanto nazionali, il GEPD ritiene che sia fondamentale condividere opinioni ed esperienze per stabilire strategie armonizzate per le questioni in esame. A tale scopo, il GEPD suggerisce di creare una piattaforma o un gruppo di esperti costituito da rappresentanti di autorità nazionali di regolamentazione, del gruppo di lavoro «articolo 29», del GEPD e del BEREC. Il primo obiettivo di questa piattaforma dovrebbe essere lo sviluppo di un orientamento, almeno sui temi summenzionati, per garantire che le strategie stabilite siano solide, armonizzate e omogenee. Il GEPD invita la Commissione a organizzare questa iniziativa. |
| --- | --- |

83.

Poiché le competenze in questo campo sono tanto europee quanto nazionali, il GEPD ritiene che sia fondamentale condividere opinioni ed esperienze per stabilire strategie armonizzate per le questioni in esame. A tale scopo, il GEPD suggerisce di creare una piattaforma o un gruppo di esperti costituito da rappresentanti di autorità nazionali di regolamentazione, del gruppo di lavoro «articolo 29», del GEPD e del BEREC. Il primo obiettivo di questa piattaforma dovrebbe essere lo sviluppo di un orientamento, almeno sui temi summenzionati, per garantire che le strategie stabilite siano solide, armonizzate e omogenee. Il GEPD invita la Commissione a organizzare questa iniziativa.

| 84. | Infine, sia le autorità nazionali che le rispettive omologhe europee, tra cui il BEREC e la Commissione europea, devono prestare particolare attenzione agli sviluppi del mercato in quest’ambito. Dal punto di vista della protezione dei dati e della vita privata, sarebbe estremamente problematico uno scenario in cui gli ISP attuino abitualmente politiche di gestione del traffico offrendo abbonamenti che comportano il filtraggio dell’accesso ai contenuti e alle applicazioni. Se ciò dovesse accadere, si dovrebbero adottare misure legislative per affrontare tale situazione. |
| --- | --- |

84.

Infine, sia le autorità nazionali che le rispettive omologhe europee, tra cui il BEREC e la Commissione europea, devono prestare particolare attenzione agli sviluppi del mercato in quest’ambito. Dal punto di vista della protezione dei dati e della vita privata, sarebbe estremamente problematico uno scenario in cui gli ISP attuino abitualmente politiche di gestione del traffico offrendo abbonamenti che comportano il filtraggio dell’accesso ai contenuti e alle applicazioni. Se ciò dovesse accadere, si dovrebbero adottare misure legislative per affrontare tale situazione.

VII.   CONCLUSIONI

| 85. | Il fatto che gli ISP facciano sempre più affidamento sulle tecnologie di monitoraggio e di controllo influisce sulla neutralità di Internet e sulla riservatezza delle comunicazioni, sollevando gravi problemi relativi alla protezione dei dati personali e della vita privata degli utenti. |
| --- | --- |

85.

Il fatto che gli ISP facciano sempre più affidamento sulle tecnologie di monitoraggio e di controllo influisce sulla neutralità di Internet e sulla riservatezza delle comunicazioni, sollevando gravi problemi relativi alla protezione dei dati personali e della vita privata degli utenti.

| 86. | Anche se la comunicazione della Commissione sull’apertura e la neutralità della rete Internet in Europa accenna brevemente a questi problemi, il GEPD ritiene che si debba fare di più per determinare una politica soddisfacente per il futuro e nel presente parere ha pertanto contribuito al dibattito politico in corso sulla neutralità della rete, soprattutto per quanto riguarda gli aspetti legati alla protezione dei dati e della vita privata. |
| --- | --- |

86.

Anche se la comunicazione della Commissione sull’apertura e la neutralità della rete Internet in Europa accenna brevemente a questi problemi, il GEPD ritiene che si debba fare di più per determinare una politica soddisfacente per il futuro e nel presente parere ha pertanto contribuito al dibattito politico in corso sulla neutralità della rete, soprattutto per quanto riguarda gli aspetti legati alla protezione dei dati e della vita privata.

| 87. | Il GEPD ritiene, inoltre, necessario che le autorità nazionali e il BEREC monitorino la situazione del mercato, in modo da tracciare un quadro esauriente per stabilire se il mercato si stia evolvendo verso un controllo massiccio e in tempo reale delle comunicazioni senza trascurare le questioni attinenti all’osservanza del quadro giuridico. |
| --- | --- |

87.

Il GEPD ritiene, inoltre, necessario che le autorità nazionali e il BEREC monitorino la situazione del mercato, in modo da tracciare un quadro esauriente per stabilire se il mercato si stia evolvendo verso un controllo massiccio e in tempo reale delle comunicazioni senza trascurare le questioni attinenti all’osservanza del quadro giuridico.

| 88. | Il monitoraggio del mercato deve includere un’analisi approfondita degli effetti delle nuove pratiche sulla protezione dei dati e della vita privata nella rete Internet. Il presente parere menziona alcuni settori che trarrebbero vantaggio da un chiarimento. Se le agenzie europee e organi come il BEREC, il gruppo di lavoro «articolo 29» e il GEPD possono trovarsi in una buona posizione per chiarire le condizioni di applicazione del quadro, lo stesso GEPD ritiene che la Commissione abbia il dovere di coordinare e guidare il dibattito e pertanto la esorta a prendere l’iniziativa coinvolgendo tutte le parti interessate in una piattaforma o in un gruppo di lavoro che abbia questo obiettivo. Fra i temi che devono essere ulteriormente esaminati, sarà necessario affrontare i punti seguenti:






  — | determinare le pratiche di controllo che sono lecite per garantire la fluidità del traffico e che possono essere adottate a scopi di sicurezza, |
| --- | --- | --- |

88.

Il monitoraggio del mercato deve includere un’analisi approfondita degli effetti delle nuove pratiche sulla protezione dei dati e della vita privata nella rete Internet. Il presente parere menziona alcuni settori che trarrebbero vantaggio da un chiarimento. Se le agenzie europee e organi come il BEREC, il gruppo di lavoro «articolo 29» e il GEPD possono trovarsi in una buona posizione per chiarire le condizioni di applicazione del quadro, lo stesso GEPD ritiene che la Commissione abbia il dovere di coordinare e guidare il dibattito e pertanto la esorta a prendere l’iniziativa coinvolgendo tutte le parti interessate in una piattaforma o in un gruppo di lavoro che abbia questo obiettivo. Fra i temi che devono essere ulteriormente esaminati, sarà necessario affrontare i punti seguenti:

—

determinare le pratiche di controllo che sono lecite per garantire la fluidità del traffico e che possono essere adottate a scopi di sicurezza,

| — | determinare in quali casi il monitoraggio richieda il consenso delle persone fisiche, e in particolare di tutti gli utenti interessati, e quali parametri tecnici siano ammessi per garantire che la tecnologia di ispezione non implichi un trattamento di dati sproporzionato rispetto alle finalità previste, |
| --- | --- |

—

determinare in quali casi il monitoraggio richieda il consenso delle persone fisiche, e in particolare di tutti gli utenti interessati, e quali parametri tecnici siano ammessi per garantire che la tecnologia di ispezione non implichi un trattamento di dati sproporzionato rispetto alle finalità previste,

| — | nei casi summenzionati può rendersi necessario un orientamento riguardante l’applicazione delle clausole di salvaguardia necessarie in materia di protezione dei dati (limitazione delle finalità, sicurezza e così via). |
| --- | --- |

—

nei casi summenzionati può rendersi necessario un orientamento riguardante l’applicazione delle clausole di salvaguardia necessarie in materia di protezione dei dati (limitazione delle finalità, sicurezza e così via).

| 89. | In base a queste conclusioni, possono risultare necessari provvedimenti legislativi supplementari. In tal caso, la Commissione dovrebbe proporre misure di carattere politico volte a consolidare il quadro giuridico e a garantire la certezza del diritto. Le nuove misure dovrebbero fare chiarezza sulle conseguenze pratiche del principio di neutralità della rete, poiché ciò è già stato fatto in alcuni Stati membri, e assicurare che gli utenti abbiano effettivamente la possibilità di scegliere, soprattutto obbligando gli ISP a offrire connessioni non monitorate. |
| --- | --- |

89.

In base a queste conclusioni, possono risultare necessari provvedimenti legislativi supplementari. In tal caso, la Commissione dovrebbe proporre misure di carattere politico volte a consolidare il quadro giuridico e a garantire la certezza del diritto. Le nuove misure dovrebbero fare chiarezza sulle conseguenze pratiche del principio di neutralità della rete, poiché ciò è già stato fatto in alcuni Stati membri, e assicurare che gli utenti abbiano effettivamente la possibilità di scegliere, soprattutto obbligando gli ISP a offrire connessioni non monitorate.

Fatto a Bruxelles, il 7 ottobre 2011

Peter HUSTINX

Garante europeo della protezione dei dati

---

(1)  GU L 281 del 23.11.1995, pag. 31, la «direttiva sulla protezione dei dati personali».

1

(2)  GU L 8 del 12.1.2001, pag. 1, il «regolamento sulla protezione dei dati».

2

(3)  GU L 201 del 31.7.2002, pag. 37, modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio del 25 novembre 2009 (cfr. nota 15), la «direttiva e-privacy».

3

(4)  COM(2011) 222 definitivo.

4

(5)  Il GEPD ha risposto sottolineando quanto sia importante tenere conto delle questioni attinenti alla protezione dei dati e della vita privata, nonché degli altri valori e diritti esistenti. La risposta è consultabile all’indirizzo: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Comments/2010/10-10-06_EC_Consultation_Open_Internet_EN.pdf

5

(6)  Consultabile all’indirizzo http://register.consilium.europa.eu/pdf/en/11/st14/st14209.en11.pdf

6

(7)  Tra questi servizi è inclusa la fornitura dell’accesso fisso e mobile a Internet.

7

(8)  Sebbene il principio non si applichi agli ISP che pongono limiti alla velocità o alla quantità di informazioni che un abbonato può inviare o ricevere mediante abbonamenti che prevedono limiti di larghezza di banda o di volume. Pertanto, applicando il principio di neutralità della rete, gli ISP potrebbero comunque offrire abbonamenti per l’accesso a Internet che limitano l’accesso in base a criteri come la velocità o il volume, purché non vi siano discriminazioni a favore o contro particolari contenuti.

8

(9)  Cfr., per esempio, la relazione dell’OFCOM «Site blocking to reduce online copyright infringement», adottata il 27 maggio 2011 e disponibile all’indirizzo http://www.culture.gov.uk/images/publications/Ofcom_Site-Blocking-_report_with_redactions_vs2.pdf in cui si afferma che alcuni ISP impiegano già sistemi di filtraggio dei pacchetti nella loro rete per la gestione del traffico e per altri scopi, per cui si ritiene che possa essere utilizzata l’ispezione approfondita dei pacchetti, anche se comporterebbe un elevato livello di complessità e di costi per coloro che ancora non usufruiscono di questi servizi. È possibile che nel breve o nel medio termine l’ispezione approfondita dei pacchetti possa essere impiegata soltanto dai maggiori ISP tenuto conto dell’investimento di capitali richiesto.

9

(10)  La qualità delle applicazioni in tempo reale come il video streaming dipende, tra l’altro, dalla latenza, ovvero dal ritardo dovuto, per esempio, alla congestione della rete.

10

video streaming

(11)  Sono escluse attività volte ad aumentare la sicurezza della rete e rilevare il traffico nocivo, nonché operazioni necessarie per la fatturazione e l’interconnessione. Per questo trattamento sono inoltre esclusi gli obblighi derivanti dalla direttiva sulla conservazione dei dati, ovvero la direttiva 2006/24/CE del Parlamento europeo e del Consiglio, del 15 marzo 2006, riguardante la conservazione di dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE (GU L 105 del 13.4.2006, pag. 54) («direttiva sulla conservazione dei dati»).

11

(12)  Direttiva 2002/21/CE, del 7 marzo 2002, che istituisce un quadro normativo comune per le reti ed i servizi di comunicazione elettronica, modificata dalla direttiva 2009/140/CE e dal regolamento (CE) n. 544/2009 (GU L 337 del 18.12.2009, pag. 37).

12

(13)  Cfr. punto 3, lettera e), in cui il Consiglio riconosce la necessità di mantenere l’apertura di Internet, assicurando nel contempo che possa continuare a fornire servizi di elevata qualità in un contesto che promuova e rispetti diritti fondamentali quali la libertà di espressione e la libertà di esercitare un’attività, e punto 8, lettera d), che invita gli Stati membri a promuovere, quale loro obiettivo politico, l’apertura e la neutralità di Internet.

13

(14)  Direttiva 2002/22/CE, modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009, recante modifica della direttiva 2002/22/CE relativa al servizio universale e ai diritti degli utenti in materia di reti e di servizi di comunicazione elettronica, della direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche e del regolamento (CE) n. 2006/2004 sulla cooperazione tra le autorità nazionali responsabili dell’esecuzione della normativa a tutela dei consumatori (GU L 337 del 18.12.2009, pag. 11). Confronta anche l’articolo 1, paragrafo 3, in base a cui la direttiva, pur non prescrivendo né vietando agli ISP di limitare l’accesso e/o l’utilizzo di servizi e applicazioni da parte degli utenti finali, ove consentito dalla legislazione nazionale e in conformità al diritto comunitario, prevede tuttavia un obbligo di fornire informazioni in ordine a tali condizioni.

14

(15)  Direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009, recante modifica della direttiva 2002/22/CE relativa al servizio universale e ai diritti degli utenti in materia di reti e di servizi di comunicazione elettronica, della direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche e del regolamento (CE) n. 2006/2004 sulla cooperazione tra le autorità nazionali responsabili dell’esecuzione della normativa a tutela dei consumatori.

15

(16)  L’emendamento originale olandese è reperibile all’indirizzo https://zoek.officielebekendmakingen.nl/kst-32549-A.html. Nelle motivazioni riportate dalla stampa per questa scelta politica non si accennava a considerazioni sulla protezione dei dati e sulla vita privata, bensì alla necessità di garantire che gli utenti non venissero privati dell’accesso alle informazioni né che tale accesso venisse loro offerto in forma limitata. Sembra pertanto che l’emendamento sia stato motivato da questioni riguardanti l’accesso alle informazioni.

16

(17)  Cfr. nota 4.

17

(18)  Cfr. punto 4, lettera e), in cui il Consiglio constata l’esistenza di alcune questioni riguardanti la protezione dei dati personali, sollevate principalmente dai consumatori e dalle autorità garanti della protezione dei dati.

18

(19)  Come descritto più dettagliatamente nella sezione IV.2, questi protocolli (tra i quali HTTP, FTP e simili) codificano le informazioni trasmesse da punto a punto secondo una modalità concordata affinché i dispositivi coinvolti nella comunicazione possano comprendersi reciprocamente.

19

(20)  Tuttavia, i dispositivi della rete Internet utilizzano protocolli di instradamento che registrano le attività, le statistiche del traffico di processo e scambiano informazioni con altri dispositivi di rete per instradare i pacchetti IP utilizzando il percorso più efficace. Per esempio, quando un link è congestionato o interrotto e un router riceve quest’informazione, esso aggiornerà la propria tabella di instradamento con un percorso alternativo che non contiene quel link. Inoltre, va sottolineato che in alcuni casi la raccolta e il trattamento possono essere effettuati a scopi di fatturazione oppure anche in conformità alle prescrizioni della direttiva sulla conservazione dei dati.

20

router

(21)  HTTP — Hypertext transfer protocol — oppure HTML — Hypertext Markup Language.

21

(22)  FTP — File transfer protocol.

22

(23)  Ci sono diversi modi per individuare i protocolli utilizzati. Per esempio è possibile cercare protocolli interni in campi specifici per identificare le porte utilizzate per stabilire la comunicazione, dal cui flusso si possono ricavare dati statistici tramite l’analisi di alcuni campi specifici e la correlazione dei protocolli impiegati simultaneamente tra due indirizzi IP.

23

(24)  Ogni protocollo ha nel proprio header alcuni campi specifici che forniscono informazioni aggiuntive di carattere informale sulla comunicazione in corso di trasmissione. Pertanto i contenuti di questi campi possono essere definiti i metadati della comunicazione. Un esempio di questi campi è il numero di porta usato: se è il numero 80, è molto probabile che il tipo di comunicazione sia web browsing.

24

header

web browsing

(25)  Naturalmente le possibilità di tracciamento non sono esclusive degli ISP. Anche i provider di reti di inserzioni sono in grado, tramite l’impiego di cookie di terzi, di tracciare gli utenti dei siti. Cfr., per esempio, un recente articolo accademico che dimostra la presenza di Google in 97 dei 100 principali siti Internet: ciò significa che Google può tracciare gli utenti che non hanno selezionato l’opzione di opt out relativa ai cookie di terzi quando navigano su questi siti popolari. Cfr.: Ayenson, Mika, Wambach, Dietrich James, Soltani, Ashkan, Good, Nathan e Hoofnagle, Chris Jay, Flash Cookies e Privacy II: attualmente con HTML5 e ETag Respawning (29 luglio 2011). Disponibile sul sito di SSRN: (http://ssrn.com/abstract=1898390). Il tracciamento degli utenti mediante i cookie di terzi è stato affrontato dal Gruppo di lavoro «articolo 29». Cfr. parere 2/2010 sulla pubblicità comportamentale on line adottato il 22 giugno 2010 (WP 171).

25

provider

cookie

opt out

cookie

cookie

on line

(26)  Il considerando 10 della direttiva e-privacy afferma: «Nel settore delle comunicazioni elettroniche trova applicazione la direttiva 95/46/CE, in particolare per quanto riguarda tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali non specificatamente disciplinati dalle disposizioni della presente direttiva, compresi gli obblighi del responsabile e i diritti delle persone fisiche». Inoltre, il considerando 17 riguarda il consenso da parte delle persone interessate dai dati recita: «Ai fini della presente direttiva il consenso dell’utente o dell’abbonato, senza considerare se quest’ultimo sia una persona fisica o giuridica, dovrebbe avere lo stesso significato del consenso della persona interessata come definito ed ulteriormente determinato dalla direttiva 95/46/CE».

26

(27)  Parere 2/2006 del gruppo di lavoro «articolo 29» sugli aspetti della protezione della vita privata inerenti ai servizi di screening dei messaggi di posta elettronica, adottato il 21 febbraio 2006 (WP 118). In questo parere, il gruppo di lavoro ritiene che l’attivazione di filtri per gli scopi dell’articolo 4 possa essere compatibile con l’articolo 5 della direttiva e-privacy.

27

(28)  Il considerando 18 della direttiva contiene un elenco di tali servizi a valore aggiunto. Non è chiaro se i servizi per i quali si attuano le politiche di gestione del traffico possano essere considerati parte dell’elenco. Le politiche di gestione del traffico volte a dare la priorità a determinati contenuti potrebbero essere intese come una qualità del servizio. Per esempio, una gestione del traffico che comporti soltanto il trattamento degli header IP e abbia per finalità quella di offrire videogiochi a prezzi particolarmente vantaggiosi, dando la priorità in rete al traffico degli utenti che ci stanno giocando, potrebbe essere considerata un valore aggiunto. D’altra parte, è lungi dall’essere chiaro se si possa definire così una gestione del traffico che limiti determinati tipi di traffico, per esempio quello P2P.

28

header IP

(29)  Cfr. considerando 17 e articolo 2, lettera f), della direttiva e-privacy.

29

(30)  Adottato il 13 luglio 2011 (WP 187).

30

(31)  Un caso analogo è stato riscontrato in merito alla registrazione dei nominativi dei passeggeri quando è stata dibattuta la validità o meno del consenso dei passeggeri a trasmettere i dati relativi alle prenotazioni alle autorità statunitensi. Il Gruppo di lavoro ha affermato che il consenso dei passeggeri non può essere fornito liberamente perché le compagnie aeree sono obbligate a trasmettere i dati prima della partenza del volo e i passeggeri non hanno quindi una reale possibilità di scelta se intendono viaggiare in aereo (parere 6/2002 del Gruppo di lavoro «articolo 29» relativo alla trasmissione da parte delle compagnie aeree di informazioni sugli elenchi dei passeggeri e di altri dati agli Stati Uniti).

31

(32)  Direttiva 2009/136/CE, del 25 novembre 2009, recante modifica della direttiva 2002/22/CE relativa al servizio universale e ai diritti degli utenti in materia di reti e di servizi di comunicazione elettronica (cfr. nota 15).

32

(33)  Ciò vale anche nei casi in cui il traffico su Internet comporta il trasferimento di informazioni personali quali, per esempio, immagini di persone fisiche identificabili pubblicate su un sito Internet. Il trattamento di tali informazioni necessita di una base giuridica, ma non sarebbe contemplato dall’articolo 5, paragrafo 1, in quanto queste persone non sarebbero «utenti interessati».

33

(34)  Come affermato in precedenza, la direttiva sulla protezione dei dati si applica a tutti gli aspetti riguardanti la tutela dei diritti e delle libertà fondamentali non specificamente contemplati dalla direttiva e-privacy.

34

(35)  Ciò non deve pregiudicare la necessità di apportare modifiche legislative basate su altre considerazioni, specialmente nel contesto della revisione generale del quadro giuridico europeo per la protezione dei dati, per rendere la normativa più efficace tenendo conto delle nuove tecnologie e della globalizzazione.

35

---

| 8.2.2012 | IT | Gazzetta ufficiale dell'Unione europea | C 34/18 |
| --- | --- | --- | --- |

8.2.2012

IT

Gazzetta ufficiale dell'Unione europea

C 34/18

---

Parere del Garante europeo della protezione dei dati sulla comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale e al Comitato delle regioni sulla migrazione

2012/C 34/02

IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI,

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 16,

vista la Carta dei diritti fondamentali dell’Unione europea, in particolare gli articoli 7 e 8,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1),

visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati, in particolare l’articolo 41 (2),

HA ADOTTATO IL SEGUENTE PARERE:

I.   INTRODUZIONE

| 1. | Il 4 maggio 2011 la Commissione ha adottato una comunicazione sulla migrazione (3) (in appresso «la comunicazione»). Conformemente all’articolo 41 del regolamento (CE) n. 45/2001, il GEPD presenta il presente parere di propria iniziativa. |
| --- | --- |

1.

Il 4 maggio 2011 la Commissione ha adottato una comunicazione sulla migrazione (3) (in appresso «la comunicazione»). Conformemente all’articolo 41 del regolamento (CE) n. 45/2001, il GEPD presenta il presente parere di propria iniziativa.

| 2. | Il GEPD non è stato consultato prima dell’adozione della comunicazione. Ciò è deplorevole, in quanto le osservazioni espresse in una fase precedente avrebbero potuto contribuire ad affrontare alcune delle questioni delineate nel presente parere. |
| --- | --- |

2.

Il GEPD non è stato consultato prima dell’adozione della comunicazione. Ciò è deplorevole, in quanto le osservazioni espresse in una fase precedente avrebbero potuto contribuire ad affrontare alcune delle questioni delineate nel presente parere.

Obiettivi e ambito della comunicazione

| 3. | La comunicazione mira a inserire le proposte politiche recenti e future in un quadro che tenga conto di tutti gli aspetti rilevanti della migrazione e a evitare «un approccio a breve termine, che si limiti al controllo frontaliero senza tener conto di questioni a più lungo termine» (4). Il documento risponde principalmente agli avvenimenti in corso in Nord Africa, in particolare il conflitto in Libia. |
| --- | --- |

3.

La comunicazione mira a inserire le proposte politiche recenti e future in un quadro che tenga conto di tutti gli aspetti rilevanti della migrazione e a evitare «un approccio a breve termine, che si limiti al controllo frontaliero senza tener conto di questioni a più lungo termine» (4). Il documento risponde principalmente agli avvenimenti in corso in Nord Africa, in particolare il conflitto in Libia.

| 4. | A tal fine, la comunicazione esamina gli aiuti umanitari, la gestione delle frontiere, i visti, l’asilo, la necessità economica di immigrazione e l’integrazione. Fa riferimento a una serie di proposte legislative, alcune delle quali sono nuove, mentre altre sono già state presentate. Molte di queste proposte riguardano la gestione delle frontiere, che costituisce una parte importante della comunicazione. Alcune di esse comporterebbero il trattamento di dati personali su vasta scala. |
| --- | --- |

4.

A tal fine, la comunicazione esamina gli aiuti umanitari, la gestione delle frontiere, i visti, l’asilo, la necessità economica di immigrazione e l’integrazione. Fa riferimento a una serie di proposte legislative, alcune delle quali sono nuove, mentre altre sono già state presentate. Molte di queste proposte riguardano la gestione delle frontiere, che costituisce una parte importante della comunicazione. Alcune di esse comporterebbero il trattamento di dati personali su vasta scala.

| 5. | La comunicazione è solo la prima di una serie di comunicazioni e di proposte che saranno pubblicate nel prossimo futuro, ciascuna riguardante aspetti specifici in essa menzionati. In questo contesto, le conclusioni del Consiglio europeo del 23 e 24 giugno 2011 (5) indicano quanto segue: «Questi sforzi saranno inoltre intensificati grazie all'accelerazione dei lavori in materia di “frontiere intelligenti”, al fine di garantire che per rispondere alle sfide dei controlli di frontiera ci si avvalga delle nuove tecnologie. In particolare, dovrebbe essere introdotto un sistema ingressi/uscite e un programma per viaggiatori registrati. Il Consiglio europeo si compiace dell'accordo raggiunto sull'agenzia per la gestione operativa dei sistemi di tecnologia dell'informazione su larga scala nello spazio di libertà, sicurezza e giustizia». |
| --- | --- |

5.

La comunicazione è solo la prima di una serie di comunicazioni e di proposte che saranno pubblicate nel prossimo futuro, ciascuna riguardante aspetti specifici in essa menzionati. In questo contesto, le conclusioni del Consiglio europeo del 23 e 24 giugno 2011 (5) indicano quanto segue: «Questi sforzi saranno inoltre intensificati grazie all'accelerazione dei lavori in materia di “frontiere intelligenti”, al fine di garantire che per rispondere alle sfide dei controlli di frontiera ci si avvalga delle nuove tecnologie. In particolare, dovrebbe essere introdotto un sistema ingressi/uscite e un programma per viaggiatori registrati. Il Consiglio europeo si compiace dell'accordo raggiunto sull'agenzia per la gestione operativa dei sistemi di tecnologia dell'informazione su larga scala nello spazio di libertà, sicurezza e giustizia».

Scopo del parere del GEPD

| 6. | Seppure le questioni relative alla protezione dei dati non siano al centro della comunicazione, questa menziona comunque diverse iniziative e proposte nel settore della gestione delle frontiere, come il sistema di ingresso-uscita e il programma per viaggiatori registrati, destinate ad avere un impatto significativo sul diritto fondamentale alla protezione dei dati. In questo contesto, la comunicazione sottolinea che il controllo delle frontiere fornisce un importante contributo alla lotta contro la criminalità e fa riferimento alla strategia di sicurezza interna presentata dalla Commissione nel 2010 (6). |
| --- | --- |

6.

Seppure le questioni relative alla protezione dei dati non siano al centro della comunicazione, questa menziona comunque diverse iniziative e proposte nel settore della gestione delle frontiere, come il sistema di ingresso-uscita e il programma per viaggiatori registrati, destinate ad avere un impatto significativo sul diritto fondamentale alla protezione dei dati. In questo contesto, la comunicazione sottolinea che il controllo delle frontiere fornisce un importante contributo alla lotta contro la criminalità e fa riferimento alla strategia di sicurezza interna presentata dalla Commissione nel 2010 (6).

| 7. | Molte delle proposte e delle iniziative citate saranno elaborate in modo più particolareggiato in futuro; su queste iniziative la comunicazione offre quindi la possibilità di esprimersi in una fase precoce. Per le iniziative che invece sono già state presentate, come ad esempio la proposta di regolamento che modifica il regolamento Frontex (7), essa offre un’occasione per ribadire alcune delle osservazioni più essenziali espresse in precedenti occasioni, in attesa dell'adozione finale da parte del Consiglio e del Parlamento europeo. |
| --- | --- |

7.

Molte delle proposte e delle iniziative citate saranno elaborate in modo più particolareggiato in futuro; su queste iniziative la comunicazione offre quindi la possibilità di esprimersi in una fase precoce. Per le iniziative che invece sono già state presentate, come ad esempio la proposta di regolamento che modifica il regolamento Frontex (7), essa offre un’occasione per ribadire alcune delle osservazioni più essenziali espresse in precedenti occasioni, in attesa dell'adozione finale da parte del Consiglio e del Parlamento europeo.

| 8. | Lo scopo del presente parere non è quello di analizzare tutti gli ambiti delle politiche e tutte le proposte menzionate nella comunicazione, ma piuttosto:






  — | esaminare vari principi e nozioni connessi alla protezione dei dati, come la limitazione delle finalità, la necessità, la proporzionalità e la «privacy by design», di cui si dovrebbe tenere conto nel mettere in pratica l'approccio delineato nella comunicazione, |
| --- | --- | --- |

8.

Lo scopo del presente parere non è quello di analizzare tutti gli ambiti delle politiche e tutte le proposte menzionate nella comunicazione, ma piuttosto:

—

esaminare vari principi e nozioni connessi alla protezione dei dati, come la limitazione delle finalità, la necessità, la proporzionalità e la «privacy by design», di cui si dovrebbe tenere conto nel mettere in pratica l'approccio delineato nella comunicazione,

| — | discutere le misure specifiche proposte nella comunicazione dal punto di vista della protezione dei dati e fornire già in questa fase consigli su come garantire il rispetto dei diritti fondamentali, in particolare il diritto alla protezione dei dati personali. |
| --- | --- |

—

discutere le misure specifiche proposte nella comunicazione dal punto di vista della protezione dei dati e fornire già in questa fase consigli su come garantire il rispetto dei diritti fondamentali, in particolare il diritto alla protezione dei dati personali.

| 9. | A tal fine, il parere è diviso in due parti principali. La prima parte contiene osservazioni sull'approccio generale adottato nella comunicazione e considerazioni trasversali su quest'ultima, come la necessità di valutazione e le implicazioni dei diritti fondamentali per la progettazione di sistemi informatici. La seconda parte contiene osservazioni mirate su specifiche proposte e iniziative (8). |
| --- | --- |

9.

A tal fine, il parere è diviso in due parti principali. La prima parte contiene osservazioni sull'approccio generale adottato nella comunicazione e considerazioni trasversali su quest'ultima, come la necessità di valutazione e le implicazioni dei diritti fondamentali per la progettazione di sistemi informatici. La seconda parte contiene osservazioni mirate su specifiche proposte e iniziative (8).

II.   OSSERVAZIONI GENERALI

L’approccio della comunicazione

| 10. | Il GEPD accoglie favorevolmente l'obiettivo della comunicazione di evitare «un approccio a breve termine, che si limiti al controllo frontaliero senza tener conto di questioni a più lungo termine» (9). Un approccio globale ed efficace alla migrazione non può consistere solo nel controllo delle frontiere, ma deve anche integrare altri aspetti. |
| --- | --- |

10.

Il GEPD accoglie favorevolmente l'obiettivo della comunicazione di evitare «un approccio a breve termine, che si limiti al controllo frontaliero senza tener conto di questioni a più lungo termine» (9). Un approccio globale ed efficace alla migrazione non può consistere solo nel controllo delle frontiere, ma deve anche integrare altri aspetti.

| 11. | Tale approccio globale deve rispettare i diritti fondamentali dei migranti e dei rifugiati, compreso il loro diritto alla protezione dei dati. Ciò è tanto più importante in quanto questi gruppi si trovano spesso in posizioni vulnerabili. |
| --- | --- |

11.

Tale approccio globale deve rispettare i diritti fondamentali dei migranti e dei rifugiati, compreso il loro diritto alla protezione dei dati. Ciò è tanto più importante in quanto questi gruppi si trovano spesso in posizioni vulnerabili.

| 12. | In questo contesto, la comunicazione afferma che il duplice obiettivo dell'Unione deve essere quello di mantenere un livello elevato di sicurezza e semplificare nel contempo l'attraversamento delle frontiere da parte di «coloro che dovrebbero essere ammessi, nel pieno rispetto dei loro diritti fondamentali» (10). Questa formulazione potrebbe dare l'impressione che non sia necessario rispettare i diritti fondamentali delle persone che — per vari motivi — non dovrebbero essere ammesse. Secondo il GEPD, è ovvio che i diritti di queste ultime non includono necessariamente il diritto di stabilirsi nel territorio dell'Unione europea, nel qual caso dovrebbero essere prese adeguate contromisure, quali operazioni di rimpatrio, comunque sempre nel rispetto dei diritti fondamentali. |
| --- | --- |

12.

In questo contesto, la comunicazione afferma che il duplice obiettivo dell'Unione deve essere quello di mantenere un livello elevato di sicurezza e semplificare nel contempo l'attraversamento delle frontiere da parte di «coloro che dovrebbero essere ammessi, nel pieno rispetto dei loro diritti fondamentali» (10). Questa formulazione potrebbe dare l'impressione che non sia necessario rispettare i diritti fondamentali delle persone che — per vari motivi — non dovrebbero essere ammesse. Secondo il GEPD, è ovvio che i diritti di queste ultime non includono necessariamente il diritto di stabilirsi nel territorio dell'Unione europea, nel qual caso dovrebbero essere prese adeguate contromisure, quali operazioni di rimpatrio, comunque sempre nel rispetto dei diritti fondamentali.

| 13. | Si osserva che in termini di gestione delle frontiere, la comunicazione raccomanda un approccio fortemente basato sull'uso della tecnologia. Tra l’altro, è favorevole a una maggiore sorveglianza alle frontiere (v. il previsto sistema europeo di sorveglianza delle frontiere Eurosur) (11). Essa prevede altresì che sarà valutata la possibilità di istituire nuovi sistemi informatici di ampia portata per il trattamento dei dati sui viaggiatori (sistema di ingresso-uscita e programma per viaggiatori registrati) (12). Infine, sostiene l'espansione dei sistemi esistenti a nuovi utenti (cioè per Eurodac) (13). Questa attenzione rivolta alla tecnologia riflette una tendenza generale registrata negli ultimi anni. |
| --- | --- |

13.

Si osserva che in termini di gestione delle frontiere, la comunicazione raccomanda un approccio fortemente basato sull'uso della tecnologia. Tra l’altro, è favorevole a una maggiore sorveglianza alle frontiere (v. il previsto sistema europeo di sorveglianza delle frontiere Eurosur) (11). Essa prevede altresì che sarà valutata la possibilità di istituire nuovi sistemi informatici di ampia portata per il trattamento dei dati sui viaggiatori (sistema di ingresso-uscita e programma per viaggiatori registrati) (12). Infine, sostiene l'espansione dei sistemi esistenti a nuovi utenti (cioè per Eurodac) (13). Questa attenzione rivolta alla tecnologia riflette una tendenza generale registrata negli ultimi anni.

Valutazione degli strumenti esistenti prima di proporne di nuovi e verifica della necessità

| 14. | Il GEPD ha più volte sottolineato che occorre valutare gli strumenti esistenti prima di proporne altri nuovi (14). In questo contesto, richiamando la giurisprudenza della Corte europea dei diritti dell'uomo (15) e della Corte di giustizia dell’Unione europea (16), il GEPD sottolinea che le ingerenze nell'esercizio del diritto alla vita privata devono soddisfare la caratteristica di essere «necessarie in una società democratica» e rispettare il principio di proporzionalità. La nozione di necessità implica un onere della prova più rigoroso rispetto alla semplice «utilità» (17). Ciò implica che qualsiasi proposta in materia deve essere accompagnata da una chiara dimostrazione della sua necessità e proporzionalità. |
| --- | --- |

14.

Il GEPD ha più volte sottolineato che occorre valutare gli strumenti esistenti prima di proporne altri nuovi (14). In questo contesto, richiamando la giurisprudenza della Corte europea dei diritti dell'uomo (15) e della Corte di giustizia dell’Unione europea (16), il GEPD sottolinea che le ingerenze nell'esercizio del diritto alla vita privata devono soddisfare la caratteristica di essere «necessarie in una società democratica» e rispettare il principio di proporzionalità. La nozione di necessità implica un onere della prova più rigoroso rispetto alla semplice «utilità» (17). Ciò implica che qualsiasi proposta in materia deve essere accompagnata da una chiara dimostrazione della sua necessità e proporzionalità.

| 15. | Tale dimostrazione deve essere fornita mediante una valutazione d'impatto sulla privacy (18) basata su prove sufficienti (19). Un uso selettivo di dati statistici e stime non è sufficiente. Il GEPD è consapevole della difficoltà che comporta la raccolta di dati attendibili su fenomeni quali l'immigrazione irregolare, ma queste valutazioni d'impatto dovrebbero anche prendere in considerazione soluzioni alternative ai problemi incontrati al fine di ridurre al minimo l'impatto sui diritti fondamentali (20). Il semplice fatto che le soluzioni tecnologiche sono possibili non significa che siano necessarie e proporzionate. |
| --- | --- |

15.

Tale dimostrazione deve essere fornita mediante una valutazione d'impatto sulla privacy (18) basata su prove sufficienti (19). Un uso selettivo di dati statistici e stime non è sufficiente. Il GEPD è consapevole della difficoltà che comporta la raccolta di dati attendibili su fenomeni quali l'immigrazione irregolare, ma queste valutazioni d'impatto dovrebbero anche prendere in considerazione soluzioni alternative ai problemi incontrati al fine di ridurre al minimo l'impatto sui diritti fondamentali (20). Il semplice fatto che le soluzioni tecnologiche sono possibili non significa che siano necessarie e proporzionate.

| 16. | Se a seguito di una valutazione risulta che sono necessari nuovi sistemi informatici di ampia portata, questi dovrebbero essere progettati tenendo conto del concetto di «privacy by design». I controllori dovrebbero essere in grado di dimostrare che sono state adottate adeguate misure per garantire che nella progettazione dei loro sistemi sono stati rispettati i requisiti di riservatezza. Ciò potrebbe limitare l'impatto negativo di nuove misure in materia di privacy (o migliorarne l'impatto positivo). Questo approccio è stato approvato dalla Commissione (21). Applicare il concetto di «privacy by design» nel contesto di sistemi come il sistema di entrata-uscita menzionato nella comunicazione si tradurrebbe nel limitare al minimo necessario la raccolta di dati personali e i periodi di conservazione e nel rendere il trattamento dei dati rispettoso della privacy e trasparente per gli interessati. |
| --- | --- |

16.

Se a seguito di una valutazione risulta che sono necessari nuovi sistemi informatici di ampia portata, questi dovrebbero essere progettati tenendo conto del concetto di «privacy by design». I controllori dovrebbero essere in grado di dimostrare che sono state adottate adeguate misure per garantire che nella progettazione dei loro sistemi sono stati rispettati i requisiti di riservatezza. Ciò potrebbe limitare l'impatto negativo di nuove misure in materia di privacy (o migliorarne l'impatto positivo). Questo approccio è stato approvato dalla Commissione (21). Applicare il concetto di «privacy by design» nel contesto di sistemi come il sistema di entrata-uscita menzionato nella comunicazione si tradurrebbe nel limitare al minimo necessario la raccolta di dati personali e i periodi di conservazione e nel rendere il trattamento dei dati rispettoso della privacy e trasparente per gli interessati.

| 17. | Inoltre, deve essere rispettato anche il principio della limitazione delle finalità. Devono essere impediti utilizzi deviati («function creep»). Per esempio, la comunicazione prevede la reintroduzione dell'iniziativa volta ad autorizzare l'accesso a Eurodac a fini di contrasto (22), cosa che sembra confermare la tendenza a concedere alle autorità di contrasto l'accesso ai sistemi su larga scala dell'Unione europea e solleva la questione dell'estensione dello scopo originario del sistema. La concessione dell'accesso alle banche dati ad altre autorità è una questione che potrebbe avere un serio impatto: una banca dati considerata proporzionata quando usata per uno scopo specifico può diventare sproporzionata quando l'utilizzo è esteso successivamente ad altri scopi (23). |
| --- | --- |

17.

Inoltre, deve essere rispettato anche il principio della limitazione delle finalità. Devono essere impediti utilizzi deviati («function creep»). Per esempio, la comunicazione prevede la reintroduzione dell'iniziativa volta ad autorizzare l'accesso a Eurodac a fini di contrasto (22), cosa che sembra confermare la tendenza a concedere alle autorità di contrasto l'accesso ai sistemi su larga scala dell'Unione europea e solleva la questione dell'estensione dello scopo originario del sistema. La concessione dell'accesso alle banche dati ad altre autorità è una questione che potrebbe avere un serio impatto: una banca dati considerata proporzionata quando usata per uno scopo specifico può diventare sproporzionata quando l'utilizzo è esteso successivamente ad altri scopi (23).

| 18. | Di conseguenza, il GEPD chiede che qualsiasi proposta (attuale e futura) che comporti restrizioni al diritto fondamentale alla protezione dei dati sia accompagnata da una chiara prova della sua necessità (24). Inoltre, qualora ritenuti necessari, i sistemi informatici di ampia portata dovrebbero essere progettati tenendo conto del principio di «privacy by design». Le misure attuate dovrebbero altresì essere sottoposte a regolari valutazioni per stabilire se siano ancora necessarie. |
| --- | --- |

18.

Di conseguenza, il GEPD chiede che qualsiasi proposta (attuale e futura) che comporti restrizioni al diritto fondamentale alla protezione dei dati sia accompagnata da una chiara prova della sua necessità (24). Inoltre, qualora ritenuti necessari, i sistemi informatici di ampia portata dovrebbero essere progettati tenendo conto del principio di «privacy by design». Le misure attuate dovrebbero altresì essere sottoposte a regolari valutazioni per stabilire se siano ancora necessarie.

III.   OSSERVAZIONI SPECIFICHE

Eurodac

| 19. | La comunicazione fa riferimento all'accesso a Eurodac a fini di contrasto, affermando che tale banca dati deve continuare a sostenere l'efficienza del regolamento Dublino, «rispondendo al contempo ad altre esigenze delle autorità di contrasto» (25). |
| --- | --- |

19.

La comunicazione fa riferimento all'accesso a Eurodac a fini di contrasto, affermando che tale banca dati deve continuare a sostenere l'efficienza del regolamento Dublino, «rispondendo al contempo ad altre esigenze delle autorità di contrasto» (25).

| 20. | La proposta del dicembre 2008 per una riforma del regolamento Eurodac (26) non conteneva disposizioni per l'accesso delle autorità di contrasto. Queste sono state incluse in una proposta presentata dalla Commissione nel settembre 2009 (27). Nell'ottobre 2010 la Commissione ha adottato una proposta modificata (28), simile alla proposta originaria, che non includeva più disposizioni per l'accesso a fini di contrasto. |
| --- | --- |

20.

La proposta del dicembre 2008 per una riforma del regolamento Eurodac (26) non conteneva disposizioni per l'accesso delle autorità di contrasto. Queste sono state incluse in una proposta presentata dalla Commissione nel settembre 2009 (27). Nell'ottobre 2010 la Commissione ha adottato una proposta modificata (28), simile alla proposta originaria, che non includeva più disposizioni per l'accesso a fini di contrasto.

| 21. | Nel suo parere del 15 dicembre 2010 su Eurodac, il GEPD ha valutato positivamente l'esclusione dell'accesso a fini di contrasto (29), ricordando che tale uso dei dati per uno scopo diverso deve essere basato su prove convincenti di un legame tra i richiedenti asilo e reati di terrorismo e/o altri reati gravi. Inoltre, si deve tener conto della precaria condizione dei richiedenti asilo in sede di valutazione della necessità e proporzionalità di tale accesso. |
| --- | --- |

21.

Nel suo parere del 15 dicembre 2010 su Eurodac, il GEPD ha valutato positivamente l'esclusione dell'accesso a fini di contrasto (29), ricordando che tale uso dei dati per uno scopo diverso deve essere basato su prove convincenti di un legame tra i richiedenti asilo e reati di terrorismo e/o altri reati gravi. Inoltre, si deve tener conto della precaria condizione dei richiedenti asilo in sede di valutazione della necessità e proporzionalità di tale accesso.

| 22. | La riforma del regolamento Eurodac è parte della creazione di un sistema europeo di asilo, che secondo il programma di Stoccolma dovrebbe essere attuato entro il 2012 (30). Uno dei motivi addotti dalla Commissione per l'esclusione dell'accesso a fini di contrasto nella proposta dell'ottobre 2010 era che non includere questa controversa misura poteva facilitare una tempestiva adozione del pacchetto asilo (31). Questo si collega anche all'istituzione dell'Agenzia per la gestione operativa dei sistemi di tecnologia dell'informazione su larga scala del settore della libertà, della sicurezza e della giustizia (32). |
| --- | --- |

22.

La riforma del regolamento Eurodac è parte della creazione di un sistema europeo di asilo, che secondo il programma di Stoccolma dovrebbe essere attuato entro il 2012 (30). Uno dei motivi addotti dalla Commissione per l'esclusione dell'accesso a fini di contrasto nella proposta dell'ottobre 2010 era che non includere questa controversa misura poteva facilitare una tempestiva adozione del pacchetto asilo (31). Questo si collega anche all'istituzione dell'Agenzia per la gestione operativa dei sistemi di tecnologia dell'informazione su larga scala del settore della libertà, della sicurezza e della giustizia (32).

| 23. | In questo contesto e alla luce delle precedenti osservazioni, il GEPD ritiene che ad oggi non siano state prodotte sufficienti prove chiare e affidabili della necessità di reintrodurre l'accesso a Eurodac a fini di contrasto. Tale reintroduzione potrebbe essere contemplata solo dopo una nuova valutazione d'impatto, che tenga conto delle questioni in materia di privacy. Inoltre, includere l'accesso per le autorità di contrasto richiederebbe modifiche significative alla banca dati Eurodac per rendere tale accesso sicuro. Si dovrebbero altresì esaminare le implicazioni tecniche e finanziarie di tutto questo in una nuova valutazione d'impatto (33). |
| --- | --- |

23.

In questo contesto e alla luce delle precedenti osservazioni, il GEPD ritiene che ad oggi non siano state prodotte sufficienti prove chiare e affidabili della necessità di reintrodurre l'accesso a Eurodac a fini di contrasto. Tale reintroduzione potrebbe essere contemplata solo dopo una nuova valutazione d'impatto, che tenga conto delle questioni in materia di privacy. Inoltre, includere l'accesso per le autorità di contrasto richiederebbe modifiche significative alla banca dati Eurodac per rendere tale accesso sicuro. Si dovrebbero altresì esaminare le implicazioni tecniche e finanziarie di tutto questo in una nuova valutazione d'impatto (33).

| 24. | Inoltre, la reintroduzione della proposta potrebbe avere un impatto significativo sui tempi del pacchetto asilo nel suo complesso. La Commissione non menziona una data in cui potrebbe essere presentata una possibile nuova proposta, né indica se una tale proposta sarebbe accompagnata da una nuova valutazione d'impatto. |
| --- | --- |

24.

Inoltre, la reintroduzione della proposta potrebbe avere un impatto significativo sui tempi del pacchetto asilo nel suo complesso. La Commissione non menziona una data in cui potrebbe essere presentata una possibile nuova proposta, né indica se una tale proposta sarebbe accompagnata da una nuova valutazione d'impatto.

Sistema di ingresso-uscita

| 25. | La comunicazione annuncia anche una comunicazione sulle frontiere intelligenti che sarà pubblicata nel settembre 2011 e che dovrebbe elaborare iniziative per un sistema di ingresso-uscita e un programma per i viaggiatori registrati. La Commissione riconosce che questi progetti richiederebbero «considerevoli investimenti» al fine di «garantire standard di alto livello per la protezione dei dati personali» (34). |
| --- | --- |

25.

La comunicazione annuncia anche una comunicazione sulle frontiere intelligenti che sarà pubblicata nel settembre 2011 e che dovrebbe elaborare iniziative per un sistema di ingresso-uscita e un programma per i viaggiatori registrati. La Commissione riconosce che questi progetti richiederebbero «considerevoli investimenti» al fine di «garantire standard di alto livello per la protezione dei dati personali» (34).

| 26. | Per quanto riguarda il sistema di ingresso-uscita, la Commissione giustifica questa iniziativa affermando che le «situazioni di soggiorno oltre la scadenza del visto» sono «le principali cause dell'immigrazione irregolare nell'UE» (35). A parte ciò, la comunicazione non spiega lo scopo di tale sistema. |
| --- | --- |

26.

Per quanto riguarda il sistema di ingresso-uscita, la Commissione giustifica questa iniziativa affermando che le «situazioni di soggiorno oltre la scadenza del visto» sono «le principali cause dell'immigrazione irregolare nell'UE» (35). A parte ciò, la comunicazione non spiega lo scopo di tale sistema.

| 27. | Ridurre il numero di «soggiornanti oltre la scadenza del visto» può certamente avere effetti positivi. Il GEPD comprende che un sistema di ingresso-uscita potrebbe scoraggiare i cittadini di paesi terzi dal soggiornare oltre la scadenza del visto, sapendo che possono essere identificati automaticamente alla scadenza del visto. Tuttavia, alcuni interrogativi rimangono. |
| --- | --- |

27.

Ridurre il numero di «soggiornanti oltre la scadenza del visto» può certamente avere effetti positivi. Il GEPD comprende che un sistema di ingresso-uscita potrebbe scoraggiare i cittadini di paesi terzi dal soggiornare oltre la scadenza del visto, sapendo che possono essere identificati automaticamente alla scadenza del visto. Tuttavia, alcuni interrogativi rimangono.

| 28. | A oggi non esiste una politica coerente relativa al fenomeno del soggiorno negli Stati membri oltre la scadenza del visto. Il concetto di «soggiorno oltre la scadenza del visto» in generale non è ben definito; giungere a una definizione comune del termine sarebbe un primo passo necessario verso una chiara comprensione del problema (36). |
| --- | --- |

28.

A oggi non esiste una politica coerente relativa al fenomeno del soggiorno negli Stati membri oltre la scadenza del visto. Il concetto di «soggiorno oltre la scadenza del visto» in generale non è ben definito; giungere a una definizione comune del termine sarebbe un primo passo necessario verso una chiara comprensione del problema (36).

| 29. | Inoltre, le cifre disponibili fino ad ora sono stime (37). Occorrerebbe chiarire le dimensioni del problema quale condizione preliminare per una valutazione motivata sulla necessità. |
| --- | --- |

29.

Inoltre, le cifre disponibili fino ad ora sono stime (37). Occorrerebbe chiarire le dimensioni del problema quale condizione preliminare per una valutazione motivata sulla necessità.

| 30. | Le segnalazioni ai sensi dell'articolo 96 della convenzione di applicazione dell'accordo di Schengen costituiscono una misura esistente per impedire a specifiche persone di entrare nel territorio Schengen. Tali segnalazioni possono essere utilizzate per impedire a «soggiornanti oltre la scadenza del visto» noti di rientrare (38). In una recente comunicazione, la Commissione ha invitato gli Stati membri ad avvalersi di questa possibilità nella massima misura possibile (39). Ciò implica che la misura non è attualmente utilizzata appieno. |
| --- | --- |

30.

Le segnalazioni ai sensi dell'articolo 96 della convenzione di applicazione dell'accordo di Schengen costituiscono una misura esistente per impedire a specifiche persone di entrare nel territorio Schengen. Tali segnalazioni possono essere utilizzate per impedire a «soggiornanti oltre la scadenza del visto» noti di rientrare (38). In una recente comunicazione, la Commissione ha invitato gli Stati membri ad avvalersi di questa possibilità nella massima misura possibile (39). Ciò implica che la misura non è attualmente utilizzata appieno.

| 31. | Il sistema di ingresso-uscita si avvarrebbe probabilmente anche della biometria. Il GEPD, pur riconoscendo da un lato i possibili benefici dell'utilizzo della biometria, dall'altro è anche costretto a sottolinearne le debolezze. Qualsiasi utilizzo di dati biometrici deve essere accompagnato da garanzie rigorose e dovrebbe tenere conto del rischio di errore (40). In questo contesto, il GEPD incoraggia l'introduzione di una serie di criteri minimi relativi all'uso dei dati biometrici, come l'affidabilità della biometria, una valutazione d'impatto mirata sulla biometria, la precisione e una procedura di ripiego (41). Inoltre, una certa parte della popolazione interessata non ha impronte digitali leggibili da un tale sistema (42). Il sistema di ingresso-uscita, se dovrà includere i dati biometrici, dovrebbe prevedere procedure di ripiego per questi viaggiatori (43). |
| --- | --- |

31.

Il sistema di ingresso-uscita si avvarrebbe probabilmente anche della biometria. Il GEPD, pur riconoscendo da un lato i possibili benefici dell'utilizzo della biometria, dall'altro è anche costretto a sottolinearne le debolezze. Qualsiasi utilizzo di dati biometrici deve essere accompagnato da garanzie rigorose e dovrebbe tenere conto del rischio di errore (40). In questo contesto, il GEPD incoraggia l'introduzione di una serie di criteri minimi relativi all'uso dei dati biometrici, come l'affidabilità della biometria, una valutazione d'impatto mirata sulla biometria, la precisione e una procedura di ripiego (41). Inoltre, una certa parte della popolazione interessata non ha impronte digitali leggibili da un tale sistema (42). Il sistema di ingresso-uscita, se dovrà includere i dati biometrici, dovrebbe prevedere procedure di ripiego per questi viaggiatori (43).

| 32. | Il GEPD vorrebbe inoltre richiamare l'attenzione sulle esperienze relative al sistema US-VISIT (United States Visitor and Immigrant Status Indicator Technology), un sistema simile esistente negli Stati Uniti. Nel quadro di US-VISIT, la maggior parte dei cittadini di paesi terzi è obbligata a fornire dati biometrici al momento dell'ingresso nel territorio degli Stati Uniti. La parte di questo sistema relativa all'«uscita» è ancora in corso di sviluppo. Nel 2009 sono stati effettuati due test pilota sulla raccolta di dati biometrici per questa parte del sistema (44). Il Dipartimento della Sicurezza interna degli Stati Uniti ha riconosciuto che i risultati di questi test sono stati «sovrastimati a causa di limiti del sistema relativi a casi in cui i dati ADIS (sistema di gestione automatica degli arrivi e delle partenze) non rispecchiavano lo status aggiornato dei viaggiatori a causa di recenti cambiamenti o estensioni di status» (45). I test controllavano i passeggeri anche rispetto a varie liste di controllo; tuttavia, «nessuno dei dati riscontrati [...] avrebbe impedito la partenza» (46). In totale, il dipartimento della Sicurezza interna ha speso circa 1,3 miliardi di USD per sviluppare la componente di ingresso del sistema US-VISIT (47). Ciò solleva la questione se il sistema di ingresso e uscita sia una soluzione economicamente efficiente per ridurre il «soggiorno oltre la scadenza del visto». |
| --- | --- |

32.

Il GEPD vorrebbe inoltre richiamare l'attenzione sulle esperienze relative al sistema US-VISIT (United States Visitor and Immigrant Status Indicator Technology), un sistema simile esistente negli Stati Uniti. Nel quadro di US-VISIT, la maggior parte dei cittadini di paesi terzi è obbligata a fornire dati biometrici al momento dell'ingresso nel territorio degli Stati Uniti. La parte di questo sistema relativa all'«uscita» è ancora in corso di sviluppo. Nel 2009 sono stati effettuati due test pilota sulla raccolta di dati biometrici per questa parte del sistema (44). Il Dipartimento della Sicurezza interna degli Stati Uniti ha riconosciuto che i risultati di questi test sono stati «sovrastimati a causa di limiti del sistema relativi a casi in cui i dati ADIS (sistema di gestione automatica degli arrivi e delle partenze) non rispecchiavano lo status aggiornato dei viaggiatori a causa di recenti cambiamenti o estensioni di status» (45). I test controllavano i passeggeri anche rispetto a varie liste di controllo; tuttavia, «nessuno dei dati riscontrati [...] avrebbe impedito la partenza» (46). In totale, il dipartimento della Sicurezza interna ha speso circa 1,3 miliardi di USD per sviluppare la componente di ingresso del sistema US-VISIT (47). Ciò solleva la questione se il sistema di ingresso e uscita sia una soluzione economicamente efficiente per ridurre il «soggiorno oltre la scadenza del visto».

| 33. | In breve, non è sufficientemente chiaro né lo scopo di un tale sistema, né il modo in cui sarebbe costruito e attuato. Per quanto riguarda la necessità di intervento, non esiste una definizione chiara del concetto centrale di «soggiorno oltre la scadenza del visto»; di conseguenza, non esistono statistiche affidabili sulla dimensione del problema. Per quanto riguarda le azioni da intraprendere, gli strumenti esistenti per impedire ai «soggiornanti oltre la scadenza del visto» noti di rientrare non sono probabilmente utilizzati quanto dovrebbero; inoltre, la componente biometrica del sistema di ingresso-uscita solleva interrogativi. Per quanto riguarda la fattibilità e i costi di tale sistema, le esperienze provenienti dagli Stati Uniti indicano che l'attuazione di un sistema di ingresso-uscita comporterà costi considerevoli. Questi punti suscitano dubbi in merito alla necessità e all'economicità di un sistema di ingresso-uscita. |
| --- | --- |

33.

In breve, non è sufficientemente chiaro né lo scopo di un tale sistema, né il modo in cui sarebbe costruito e attuato. Per quanto riguarda la necessità di intervento, non esiste una definizione chiara del concetto centrale di «soggiorno oltre la scadenza del visto»; di conseguenza, non esistono statistiche affidabili sulla dimensione del problema. Per quanto riguarda le azioni da intraprendere, gli strumenti esistenti per impedire ai «soggiornanti oltre la scadenza del visto» noti di rientrare non sono probabilmente utilizzati quanto dovrebbero; inoltre, la componente biometrica del sistema di ingresso-uscita solleva interrogativi. Per quanto riguarda la fattibilità e i costi di tale sistema, le esperienze provenienti dagli Stati Uniti indicano che l'attuazione di un sistema di ingresso-uscita comporterà costi considerevoli. Questi punti suscitano dubbi in merito alla necessità e all'economicità di un sistema di ingresso-uscita.

Programma per viaggiatori registrati

| 34. | La comunicazione cita anche l'introduzione di un programma per viaggiatori registrati. Non è del tutto chiaro quale sia il valore aggiunto di questo sistema, rispetto per esempio all'uso di visti per ingressi multipli con un lungo periodo di validità. I gruppi destinatari sarebbero gli stessi (i viaggiatori frequenti). Il fatto che vi sia tuttora «resistenza» (48) al rilascio di tali visti non può di per sé giustificare la proposta di nuove misure, quando quelle attualmente esistenti — se pienamente utilizzate — permetterebbero di raggiungere gli stessi obiettivi. Alla luce di quanto sopra, il GEPD non è pienamente convinto che il sistema sia realmente necessario. |
| --- | --- |

34.

La comunicazione cita anche l'introduzione di un programma per viaggiatori registrati. Non è del tutto chiaro quale sia il valore aggiunto di questo sistema, rispetto per esempio all'uso di visti per ingressi multipli con un lungo periodo di validità. I gruppi destinatari sarebbero gli stessi (i viaggiatori frequenti). Il fatto che vi sia tuttora «resistenza» (48) al rilascio di tali visti non può di per sé giustificare la proposta di nuove misure, quando quelle attualmente esistenti — se pienamente utilizzate — permetterebbero di raggiungere gli stessi obiettivi. Alla luce di quanto sopra, il GEPD non è pienamente convinto che il sistema sia realmente necessario.

| 35. | Inoltre, la comunicazione fa riferimento al concetto di viaggiatori in buona fede (pagina 11), per lo più in relazione al programma per viaggiatori registrati. Implicitamente, questa espressione potrebbe essere interpretata nel senso che si crea una categoria di viaggiatori in mala fede. Sarebbero considerati in buona fede solo i viaggiatori che adottano misure supplementari, che si iscrivono al programma di viaggiatori registrati e forniscono ulteriori dati personali. L'assunto di partenza non sarebbe più che i viaggiatori, in generale, fanno ingresso nell'Unione in buona fede, salvo nel caso in cui prove specifiche causino sospetti, ma che spetterebbe ai viaggiatori scagionare se stessi fornendo informazioni aggiuntive, anche in assenza di prove. Ciò implica che, considerando in buona fede solo alcuni viaggiatori, quelli che non sono disposti a fornire informazioni aggiuntive sono di fatto etichettati come «in mala fede», anche se tale rifiuto di fornire informazioni aggiuntive può essere motivato da legittime ragioni, per esempio il fatto di non viaggiare di frequente (49). |
| --- | --- |

35.

Inoltre, la comunicazione fa riferimento al concetto di viaggiatori in buona fede (pagina 11), per lo più in relazione al programma per viaggiatori registrati. Implicitamente, questa espressione potrebbe essere interpretata nel senso che si crea una categoria di viaggiatori in mala fede. Sarebbero considerati in buona fede solo i viaggiatori che adottano misure supplementari, che si iscrivono al programma di viaggiatori registrati e forniscono ulteriori dati personali. L'assunto di partenza non sarebbe più che i viaggiatori, in generale, fanno ingresso nell'Unione in buona fede, salvo nel caso in cui prove specifiche causino sospetti, ma che spetterebbe ai viaggiatori scagionare se stessi fornendo informazioni aggiuntive, anche in assenza di prove. Ciò implica che, considerando in buona fede solo alcuni viaggiatori, quelli che non sono disposti a fornire informazioni aggiuntive sono di fatto etichettati come «in mala fede», anche se tale rifiuto di fornire informazioni aggiuntive può essere motivato da legittime ragioni, per esempio il fatto di non viaggiare di frequente (49).

Frontex e cooperazione interservizi

| 36. | La comunicazione invita a «una stretta cooperazione interservizi» tra Europol, Frontex, dogane nazionali e autorità di polizia, che è ritenuta «fondamentale», soprattutto fra il corpo delle guardie di frontiera e le autorità doganali (50). Questa cooperazione sarà supportata da proposte sulle migliori prassi che saranno presentate nel corso del 2012. La Commissione annuncia inoltre la presentazione di una proposta legislativa nel corso del 2011 per consentire alle autorità degli Stati membri che effettuano attività di sorveglianza delle frontiere di «scambiarsi informazioni operative e collaborare tra loro e con Frontex» (51). Infine, la proposta di aggiornamento del quadro normativo di Frontex al fine di rendere l'agenzia «più efficiente in termini di capacità operativa» è attualmente in discussione in seno al Consiglio e al Parlamento europeo (52). |
| --- | --- |

36.

La comunicazione invita a «una stretta cooperazione interservizi» tra Europol, Frontex, dogane nazionali e autorità di polizia, che è ritenuta «fondamentale», soprattutto fra il corpo delle guardie di frontiera e le autorità doganali (50). Questa cooperazione sarà supportata da proposte sulle migliori prassi che saranno presentate nel corso del 2012. La Commissione annuncia inoltre la presentazione di una proposta legislativa nel corso del 2011 per consentire alle autorità degli Stati membri che effettuano attività di sorveglianza delle frontiere di «scambiarsi informazioni operative e collaborare tra loro e con Frontex» (51). Infine, la proposta di aggiornamento del quadro normativo di Frontex al fine di rendere l'agenzia «più efficiente in termini di capacità operativa» è attualmente in discussione in seno al Consiglio e al Parlamento europeo (52).

| 37. | Al fine di assicurare la coerenza e di creare un valore aggiunto dal punto di vista della protezione dei dati, le rispettive disposizioni nelle basi giuridiche per la conclusione di possibili accordi di cooperazione e lo scambio di dati personali tra Frontex e le agenzie con cui coopera dovrebbero essere coerenti e coordinate per garantire la piena cooperazione tra gli organismi in materia di norme sulla protezione dei dati. |
| --- | --- |

37.

Al fine di assicurare la coerenza e di creare un valore aggiunto dal punto di vista della protezione dei dati, le rispettive disposizioni nelle basi giuridiche per la conclusione di possibili accordi di cooperazione e lo scambio di dati personali tra Frontex e le agenzie con cui coopera dovrebbero essere coerenti e coordinate per garantire la piena cooperazione tra gli organismi in materia di norme sulla protezione dei dati.

| 38. | Il GEPD ribadisce inoltre i punti sollevati nel suo parere sulla proposta di riforma del regolamento Frontex (53), in particolare la necessità di una chiara base giuridica per il trattamento dei dati personali. Se a Frontex è affidato un mandato per lo scambio di dati personali, questo dovrebbe includere disposizioni forti e chiare sui diritti degli interessati, nonché altre garanzie. Qualsiasi disposizione che consenta a Frontex il trattamento e/o lo scambio di dati personali deve essere precisa e chiaramente delineata. |
| --- | --- |

38.

Il GEPD ribadisce inoltre i punti sollevati nel suo parere sulla proposta di riforma del regolamento Frontex (53), in particolare la necessità di una chiara base giuridica per il trattamento dei dati personali. Se a Frontex è affidato un mandato per lo scambio di dati personali, questo dovrebbe includere disposizioni forti e chiare sui diritti degli interessati, nonché altre garanzie. Qualsiasi disposizione che consenta a Frontex il trattamento e/o lo scambio di dati personali deve essere precisa e chiaramente delineata.

Eurosur

| 39. | La Commissione annuncia inoltre per dicembre 2011 una proposta legislativa per definire il campo di applicazione, lo scopo e il quadro tecnico e operativo del sistema europeo di sorveglianza delle frontiere (Eurosur) (54). Questa proposta dovrebbe garantire «un maggior uso delle tecnologie moderne alle frontiere terrestri e marittime» (55) nonché lo scambio di informazioni operative su eventuali incidenti (56). Questo è riferito anche a Frontex, poiché la Commissione prevede di presentare un'altra proposta per consentire alle autorità degli Stati membri che effettuano attività di sorveglianza delle frontiere di scambiarsi informazioni operative e collaborare tra loro e con Frontex (57). |
| --- | --- |

39.

La Commissione annuncia inoltre per dicembre 2011 una proposta legislativa per definire il campo di applicazione, lo scopo e il quadro tecnico e operativo del sistema europeo di sorveglianza delle frontiere (Eurosur) (54). Questa proposta dovrebbe garantire «un maggior uso delle tecnologie moderne alle frontiere terrestri e marittime» (55) nonché lo scambio di informazioni operative su eventuali incidenti (56). Questo è riferito anche a Frontex, poiché la Commissione prevede di presentare un'altra proposta per consentire alle autorità degli Stati membri che effettuano attività di sorveglianza delle frontiere di scambiarsi informazioni operative e collaborare tra loro e con Frontex (57).

| 40. | Non è chiaro se e in che misura ciò includa il trattamento dei dati personali (58). Il GEPD incoraggia la Commissione a chiarire tali questioni nelle prossime proposte. |
| --- | --- |

40.

Non è chiaro se e in che misura ciò includa il trattamento dei dati personali (58). Il GEPD incoraggia la Commissione a chiarire tali questioni nelle prossime proposte.

Sistema europeo di guardie di frontiera

| 41. | La comunicazione indica che dovrebbe essere esaminata la fattibilità di un sistema europeo di guardie di frontiera. Non è chiaro dal testo quali potrebbero essere le caratteristiche di questo sistema. Secondo il testo, non implicherebbe «necessariamente» (59) un'amministrazione europea centralizzata, lasciando comunque aperta questa possibilità. Se anche non fosse prevista un'amministrazione centralizzata, la Commissione indica che dovranno essere migliorati — tra l'altro — «capacità e standard condivisi» e la «cooperazione pratica» (60). |
| --- | --- |

41.

La comunicazione indica che dovrebbe essere esaminata la fattibilità di un sistema europeo di guardie di frontiera. Non è chiaro dal testo quali potrebbero essere le caratteristiche di questo sistema. Secondo il testo, non implicherebbe «necessariamente» (59) un'amministrazione europea centralizzata, lasciando comunque aperta questa possibilità. Se anche non fosse prevista un'amministrazione centralizzata, la Commissione indica che dovranno essere migliorati — tra l'altro — «capacità e standard condivisi» e la «cooperazione pratica» (60).

| 42. | Non è chiaro se questo abbia lo scopo di perseguire una migliore attuazione delle misure esistenti o se si alluda a nuove proposte, non ancora annunciate. Dato che la «cooperazione pratica» comprenderebbe probabilmente lo scambio di dati personali, che dovrebbe necessariamente avere una base giuridica, questa dovrà essere specificata nelle future proposte, se s'intende procedere con tale progetto. |
| --- | --- |

42.

Non è chiaro se questo abbia lo scopo di perseguire una migliore attuazione delle misure esistenti o se si alluda a nuove proposte, non ancora annunciate. Dato che la «cooperazione pratica» comprenderebbe probabilmente lo scambio di dati personali, che dovrebbe necessariamente avere una base giuridica, questa dovrà essere specificata nelle future proposte, se s'intende procedere con tale progetto.

IV.   CONCLUSIONI E RACCOMANDAZIONI

| 43. | In linea con la giurisprudenza consolidata della Corte di giustizia dell'Unione europea e della Corte europea dei diritti dell'uomo, il GEPD ricorda il requisito di necessità e proporzionalità per tutte le proposte (attuali e future) che violano i diritti fondamentali alla privacy e alla protezione dei dati. Per ciascuna proposta occorre dimostrare la necessità mediante una valutazione d'impatto sulla privacy. |
| --- | --- |

43.

In linea con la giurisprudenza consolidata della Corte di giustizia dell'Unione europea e della Corte europea dei diritti dell'uomo, il GEPD ricorda il requisito di necessità e proporzionalità per tutte le proposte (attuali e future) che violano i diritti fondamentali alla privacy e alla protezione dei dati. Per ciascuna proposta occorre dimostrare la necessità mediante una valutazione d'impatto sulla privacy.

| 44. | Al momento di proporre e progettare nuovi sistemi informatici di ampia portata devono essere rispettati i principi di «privacy by design» e di limitazione delle finalità. |
| --- | --- |

44.

Al momento di proporre e progettare nuovi sistemi informatici di ampia portata devono essere rispettati i principi di «privacy by design» e di limitazione delle finalità.

| 45. | Il GEPD chiede che qualsiasi uso di dati biometrici sia accompagnato da garanzie rigorose e procedure di ripiego per coloro che non possono partecipare. In termini più generali, dovrebbero essere stabilite condizioni minime per l'utilizzo dei dati biometrici. |
| --- | --- |

45.

Il GEPD chiede che qualsiasi uso di dati biometrici sia accompagnato da garanzie rigorose e procedure di ripiego per coloro che non possono partecipare. In termini più generali, dovrebbero essere stabilite condizioni minime per l'utilizzo dei dati biometrici.

| 46. | Inoltre, il GEPD invita la Commissione a chiarire la portata e il contenuto delle sue proposte menzionate nel presente parere. Ciò vale per le annunciate proposte legislative connesse al sistema di ingresso-uscita, al programma per viaggiatori registrati, Eurosur, Frontex e la cooperazione interservizi, nonché per la comunicazione sulle frontiere intelligenti e lo studio su un sistema europeo di guardie di frontiera. |
| --- | --- |

46.

Inoltre, il GEPD invita la Commissione a chiarire la portata e il contenuto delle sue proposte menzionate nel presente parere. Ciò vale per le annunciate proposte legislative connesse al sistema di ingresso-uscita, al programma per viaggiatori registrati, Eurosur, Frontex e la cooperazione interservizi, nonché per la comunicazione sulle frontiere intelligenti e lo studio su un sistema europeo di guardie di frontiera.

| 47. | Egli invita inoltre la Commissione a non reintrodurre la proposta sull'accesso a Eurodac a fini di contrasto, a meno che una nuova valutazione d'impatto dimostri chiaramente la necessità della proposta comprese le implicazioni tecniche e finanziarie per il sistema. |
| --- | --- |

47.

Egli invita inoltre la Commissione a non reintrodurre la proposta sull'accesso a Eurodac a fini di contrasto, a meno che una nuova valutazione d'impatto dimostri chiaramente la necessità della proposta comprese le implicazioni tecniche e finanziarie per il sistema.

| 48. | Il GEPD seguirà da vicino questi sviluppi e rilascerà ulteriori osservazioni, se del caso. È disponibile per ulteriori consultazioni, in uno spirito di positiva cooperazione. |
| --- | --- |

48.

Il GEPD seguirà da vicino questi sviluppi e rilascerà ulteriori osservazioni, se del caso. È disponibile per ulteriori consultazioni, in uno spirito di positiva cooperazione.

Fatto a Bruxelles, il 7 luglio 2011

Peter HUSTINX

Garante europeo della protezione dei dati

---

(1)  GU L 281 del 23.11.1995, pag. 31.

1

(2)  GU L 8 del 12.1.2001, pag. 1.

2

(3)  COM(2011) 248 definitivo.

3

(4)  Comunicazione, pag. 3.

4

(5)  Conclusioni del Consiglio europeo del 23 e 24 giugno 2011, EUCO 23/11.

5

(6)  Comunicazione della Commissione sulla strategia di sicurezza interna dell'UE in azione: cinque tappe verso un'Europa più sicura, COM(2010) 673.

6

(7)  Proposta di regolamento del Parlamento europeo e del Consiglio recante modifica del regolamento (CE) n. 2007/2004 del Consiglio che istituisce un'Agenzia europea per la gestione della cooperazione operativa alle frontiere esterne degli Stati membri dell'Unione europea (Frontex), COM(2010) 61.

7

(8)  Il presente parere riprende e completa, in particolare, il parere del GEPD del 17 dicembre 2010 sulla comunicazione «La strategia di sicurezza interna dell’UE in azione» («parere del GEPD del 17 dicembre 2010») (GU C 101 dell'1.4.2011, pag. 6); il parere del GEPD del 15 dicembre 2010 sulla proposta modificata di regolamento del Parlamento europeo e del Consiglio che istituisce l’«Eurodac» («parere del GEPD del 15 dicembre 2010») (GU C 101 dell’1.4.2011, pag. 14); il parere del GEPD del 30 settembre 2010 sulla comunicazione «Panorama generale della gestione delle informazioni nello spazio di libertà, sicurezza e giustizia» («parere del GEPD del 30 settembre 2010») (GU C 355 del 29.12.2010, pag. 16); e le osservazioni preliminari del GEPD del 3 marzo 2008 sul pacchetto frontiere («osservazioni preliminari del GEPD del 3 marzo 2008»), disponibili sul sito web del GEPD.

8

(9)  Comunicazione, pag. 3.

9

(10)  Comunicazione, pag. 7.

10

(11)  Comunicazione, pag. 7-8. V. anche punti 42-44 del presente parere.

11

(12)  Comunicazione, pag. 10.

12

(13)  Comunicazione, pag. 14.

13

(14)  V. parere del GEPD del 30 settembre 2010, citato supra; cfr. anche le osservazioni preliminari del GEPD sul pacchetto frontiere, citate supra. A tale riguardo, il GEPD accoglie con favore il lavoro svolto dal Team per il progetto di mappatura delle informazioni nel contesto del lavoro sul modello europeo di scambio delle informazioni. Tuttavia, la portata di questo esercizio dovrebbe essere estesa e il futuro lavoro in questo settore deve adottare una prospettiva più ampia.

14

(15)  Cfr., per esempio, sentenza della Corte europea dei diritti dell’uomo, S. and Marper v. United Kingdom, nn. 30562/04 e 30566/04, selezionata per la pubblicazione in Reports of Judgments and Decisions.

15

S. and Marper

United Kingdom

(16)  Per esempio, sentenza 9 novembre 2010, cause riunite C-92/09 e C-93/09, Volker und Markus Schecke e Hartmut Eifert, non ancora pubblicata nella Raccolta («Schecke»).

16

Volker und Markus Schecke e Hartmut Eifert

(17)  Numerose sentenze a partire da quella della Corte europea dei diritti dell’uomo Handyside v. United Kingdom, n. 5493/72, serie A numero 24, §48.

17

Handyside

United Kingdom

(18)  Questa potrebbe assumere la forma di una valutazione d’impatto distinta in materia di privacy e protezione dei dati o essere integrata nella valutazione d’impatto generale. Gli attuali orientamenti per le valutazioni d'impatto [Orientamenti della Commissione europea per la valutazione d'impatto, SEC(2009) 92] non prevedono una valutazione distinta per l’impatto sui diritti fondamentali, quale la protezione dei dati; questi aspetti devono essere integrati nella valutazione d’impatto generale. In seguito alla comunicazione della Commissione sulla strategia per un’attuazione effettiva della Carta dei diritti fondamentali dell’Unione europea [COM(2010) 573], sono stati elaborati ulteriori orientamenti nella forma di un documento di lavoro dei servizi della Commissione su orientamenti operativi per la presa in considerazione dei diritti fondamentali nelle valutazioni d’impatto della Commissione [SEC(2011) 567].

18

(19)  A tale riguardo, cfr. anche il parere del GEPD del 25 marzo 2011 sulla proposta di direttiva del Parlamento europeo e del Consiglio sull’uso dei dati del codice di prenotazione (Passenger Name Record, PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi («parere del GEPD del 25 marzo 2011»), GU C 181 del 22.6.2011, in particolare punto 25.

19

(20)  Sulla necessità di esaminare soluzioni alternative, cfr. anche la sentenza della Corte di giustizia nella causa Schecke, citata supra.

20

Schecke

(21)  Comunicazione della Commissione su un approccio globale alla protezione dei dati personali nell'Unione europea, COM(2010) 609, pag. 12. Cfr. anche il parere del GEPD del 14 gennaio 2011 sulla comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni — «Un approccio globale alla protezione dei dati personali nell’Unione europea» (GU C 181 del 22.6.2011, pag. 1), punti 108-115.

21

(22)  Comunicazione, pag. 14.

22

(23)  Cfr. osservazioni preliminari del GEPD sul pacchetto frontiere, citate supra, pag. 3.

23

(24)  Cfr. anche il parere del GEPD del 31 maggio 2011 sulla relazione di valutazione relativa all’applicazione della direttiva sulla conservazione di dati (direttiva 2006/24/CE) presentata dalla Commissione al Consiglio e al Parlamento europeo, GU C 279 del 23.9.2011, nonché il parere del GEPD del 25 marzo 2011.

24

(25)  Comunicazione, pag. 14.

25

(26)  Proposta di regolamento del Parlamento europeo e del Consiglio che istituisce l’«Eurodac» per il confronto delle impronte digitali per l’efficace applicazione del regolamento (CE) n. (.../...) (che stabilisce i criteri e i meccanismi di determinazione dello Stato membro competente per l’esame di una domanda di protezione internazionale presentata in uno degli Stati membri da un cittadino di un paese terzo o da un apolide) (rifusione), COM(2008) 825.

26

(27)  Proposta modificata di regolamento del Parlamento europeo e del Consiglio che istituisce l’«Eurodac» per il confronto delle impronte digitali per l’efficace applicazione del regolamento (CE) n. (.../...) (che stabilisce i criteri e i meccanismi di determinazione dello Stato membro competente per l’esame di una domanda di protezione internazionale presentata in uno degli Stati membri da un cittadino di un paese terzo o da un apolide) (rifusione), COM(2009) 342. Il GEPD ha emesso un parere su questa proposta; v. parere del GEPD del 7 ottobre 2009 per il confronto delle impronte digitali per l’efficace applicazione del regolamento (CE) n. (.../...) (che stabilisce i criteri e i meccanismi di determinazione dello Stato membro competente per l'esame di una domanda di protezione internazionale presentata in uno degli Stati membri da un cittadino di un paese terzo o da un apolide) e sulla proposta di decisione del Consiglio sulle richieste di confronto con i dati Eurodac presentate dalle autorità di contrasto degli Stati membri e da Europol a fini di contrasto («parere del GEPD del 7 ottobre 2009») (GU C 92 del 10.4.2010, pag. 1).

27

(28)  Proposta modificata di regolamento del Parlamento europeo e del Consiglio che istituisce l’«Eurodac» per il confronto delle impronte digitali per l’efficace applicazione del regolamento (CE) n. (.../...) (che stabilisce i criteri e i meccanismi di determinazione dello Stato membro competente per l’esame di una domanda di protezione internazionale presentata in uno degli Stati membri da un cittadino di un paese terzo o da un apolide) (rifusione), COM(2010) 555 [«COM(2010) 555»]. Il GEPD ha emesso un parere su questa proposta; v. parere del GEPD del 15 dicembre 2010, citato supra, in particolare punti 18-22, 28-33, 51-57.

28

(29)  Parere del GEPD del 15 dicembre 2010, in particolare punti 12-17.

29

(30)  Consiglio europeo: Programma di Stoccolma — Un'Europa aperta e sicura al servizio e a tutela dei cittadini, pag. 5 (GU C 115 del 4.5.2010, pag. 1).

30

(31)  COM(2010) 555, citata supra, pag. 3.

31

(32)  Ibid.

32

(33)  La proposta di ottobre 2010 non era accompagnata da una valutazione d'impatto. La Commissione faceva piuttosto riferimento alla valutazione d'impatto condotta per la proposta del 2009; cfr. documento di lavoro dei servizi della Commissione — Documento di accompagnamento della proposta modificata di regolamento del Parlamento europeo e del Consiglio che istituisce l’«Eurodac» per il confronto delle impronte digitali per l’efficace applicazione del regolamento (CE) n. (.../...) (che stabilisce i criteri e i meccanismi di determinazione dello Stato membro competente per l’esame di una domanda di protezione internazionale presentata in uno degli Stati membri da un cittadino di un paese terzo o da un apolide) (rifusione) e della proposta di decisione del Consiglio sulle richieste di confronto con i dati Eurodac presentate dalle autorità di contrasto degli Stati membri e da Europol a fini di contrasto — Valutazione d'impatto, SEC(2009) 936. Cfr. anche COM(2010) 555, citata supra, pag. 3.

33

(34)  Comunicazione, pag. 10.

34

(35)  Comunicazione, pag. 10.

35

(36)  Occorrerebbe altresì chiarire quali deroghe sarebbero applicabili — per esempio per ragioni mediche o umanitarie.

36

(37)  Cfr. parere del GEPD del 30 settembre 2010, citato supra, punti 52-56.

37

(38)  Cfr. osservazioni preliminari del GEPD del 3 marzo 2008, citate supra, pag. 4.

38

(39)  Comunicazione della Commissione: Relazione annuale sull'immigrazione e l'asilo, COM(2011) 291, pag. 9.

39

(40)  Cfr., per esempio, parere del GEPD del 16 ottobre 2006 sulla proposta modificata di regolamento del Consiglio che modifica il regolamento (CE) n. 1030/2002 che istituisce un modello uniforme per i permessi di soggiorno rilasciati a cittadini di paesi terzi (GU C 320 del 28.12.2006, pag. 21); cfr. anche parere n. 3/2007 del Gruppo di lavoro ex articolo 29 per la tutela dei dati personali sulla proposta di regolamento del Parlamento europeo e del Consiglio recante modifica dell’Istruzione consolare comune diretta alle rappresentanze diplomatiche e consolari di prima categoria in relazione all’introduzione di elementi biometrici e comprendente norme sull’organizzazione del ricevimento e del trattamento delle domande di visto [COM(2006) 269 definitivo], WP134, del 1o marzo 2007.

40

o

(41)  Cfr. per es. parere del GEPD del 19 ottobre 2005 sulla proposta di decisione del Consiglio sull'istituzione, l'esercizio e l'uso del sistema di informazione Schengen di seconda generazione (SIS II), sulla proposta di regolamento del Parlamento europeo e del Consiglio sull'istituzione, l'esercizio e l'uso del sistema d'informazione Schengen di seconda generazione [...] (GU C 91 del 19.4.2006, pag. 38); e «Towards more comprehensive data protection in Europe including Biometrics — a European perspective», 12a Conferenza — Biometrics Institute Australia, Sydney, 26 maggio 2011:

41

a

http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2011/11-05-26_Biometrics_Institute_EN.pdf

(42)  Per esempio, a causa di malattie, disabilità, ferite e bruciature. Sembra, inoltre, che le impronte digitali di persone che lavorano nel settore agricolo e nell'edilizia potrebbero essere danneggiate, in un numero non trascurabile di casi, al punto da essere illeggibili. Cfr. anche parere del GEPD del 15 dicembre 2010, citato supra, punto 19.

42

(43)  Per osservazioni analoghe nel contesto di Eurodac, cfr. parere del GEPD del 15 dicembre 2010, punti 18-25.

43

(44)  In uno degli aeroporti selezionati per il test sono stati spesi 393 410 USD in costi di manodopera e spese per 35 giorni di operazioni relative al test, che hanno condotto al rilevamento di 90 casi di sospetto «soggiorno oltre la scadenza del visto». In un secondo test condotto contemporaneamente sono stati rilevati 44 sospetti casi, al costo di 77 501 USD. Tali cifre non comprendono i costi sostenuti per lo sviluppo del sistema. Per una valutazione di questi test, cfr.: United States Government Accountability Office: US-VISIT Pilot Evaluations Offer Limited Understanding of Air Exit Options, August 2010, GAO-10-860, disponibile all'indirizzo: http://www.gao.gov/new.items/d10860.pdf («US GAO: US-VISIT Pilot Evaluations»).

44

(45)  Riportato in US GAO: US-VISIT Pilot Evaluations, pag. 72.

45

(46)  US GAO: US-VISIT Pilot Evaluations, pag. 72.

46

(47)  Cfr. osservazioni preliminari del GEPD del 3 marzo 2008, citate supra, pag. 4.

47

(48)  Comunicazione, pag. 11.

48

(49)  Cfr. anche osservazioni preliminari del GEPD del 3 marzo 2008, citate supra.

49

(50)  Comunicazione, pag. 10.

50

(51)  Comunicazione, pag. 8.

51

(52)  Comunicazione, pag. 8.

52

(53)  Parere del GEPD del 17 maggio 2010 sulla proposta di regolamento del Parlamento europeo e del Consiglio recante modifica del regolamento (CE) n. 2007/2004 del Consiglio che istituisce un'Agenzia europea per la gestione della cooperazione operativa alle frontiere esterne degli Stati membri dell'Unione europea (Frontex), GU C 357 del 30.12.2010; cfr. anche parere del GEPD del 17 dicembre 2010, citato supra, punti 48-51.

53

(54)  Comunicazione, pag. 18.

54

(55)  Comunicazione, pag. 7.

55

(56)  Comunicazione, pag. 8.

56

(57)  Comunicazione, pag. 8.

57

(58)  Cfr. anche parere del GEPD del 17 dicembre 2010, citato supra, punti 46-47, in cui è già stata affrontata la questione. Questo parere affronta anche la questione ancora irrisolta della natura dei collegamenti previsti tra Frontex ed Eurosur.

58

(59)  Comunicazione, pag. 7.

59

(60)  Comunicazione, pag. 7.

60

---

IV Informazioni

INFORMAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA

Commissione europea

| 8.2.2012 | IT | Gazzetta ufficiale dell'Unione europea | C 34/27 |
| --- | --- | --- | --- |

8.2.2012

IT

Gazzetta ufficiale dell'Unione europea

C 34/27

---

Tassi di cambio dell'euro (1)

7 febbraio 2012

2012/C 34/03

1 euro =

| | Moneta | Tasso di cambio |
| --- | --- | --- |
| USD | dollari USA | 1,3113 |
| JPY | yen giapponesi | 100,67 |
| DKK | corone danesi | 7,4336 |
| GBP | sterline inglesi | 0,83020 |
| SEK | corone svedesi | 8,8215 |
| CHF | franchi svizzeri | 1,2087 |
| ISK | corone islandesi | |
| NOK | corone norvegesi | 7,6225 |
| BGN | lev bulgari | 1,9558 |
| CZK | corone ceche | 25,000 |
| HUF | fiorini ungheresi | 291,66 |
| LTL | litas lituani | 3,4528 |
| LVL | lats lettoni | 0,6990 |
| PLN | zloty polacchi | 4,1783 |
| RON | leu rumeni | 4,3523 |
| TRY | lire turche | 2,3076 |
| AUD | dollari australiani | 1,2161 |
| CAD | dollari canadesi | 1,3088 |
| HKD | dollari di Hong Kong | 10,1682 |
| NZD | dollari neozelandesi | 1,5747 |
| SGD | dollari di Singapore | 1,6370 |
| KRW | won sudcoreani | 1 467,38 |
| ZAR | rand sudafricani | 9,9577 |
| CNY | renminbi Yuan cinese | 8,2763 |
| HRK | kuna croata | 7,5750 |
| IDR | rupia indonesiana | 11 791,87 |
| MYR | ringgit malese | 3,9509 |
| PHP | peso filippino | 55,715 |
| RUB | rublo russo | 39,2870 |
| THB | baht thailandese | 40,611 |
| BRL | real brasiliano | 2,2636 |
| MXN | peso messicano | 16,6601 |
| INR | rupia indiana | 64,7060 |

Moneta

Tasso di cambio

USD

dollari USA

1,3113

JPY

yen giapponesi

100,67

DKK

corone danesi

7,4336

GBP

sterline inglesi

0,83020

SEK

corone svedesi

8,8215

CHF

franchi svizzeri

1,2087

ISK

corone islandesi

NOK

corone norvegesi

7,6225

BGN

lev bulgari

1,9558

CZK

corone ceche

25,000

HUF

fiorini ungheresi

291,66

LTL

litas lituani

3,4528

LVL

lats lettoni

0,6990

PLN

zloty polacchi

4,1783

RON

leu rumeni

4,3523

TRY

lire turche

2,3076

AUD

dollari australiani

1,2161

CAD

dollari canadesi

1,3088

HKD

dollari di Hong Kong

10,1682

NZD

dollari neozelandesi

1,5747

SGD

dollari di Singapore

1,6370

KRW

won sudcoreani

1 467,38

ZAR

rand sudafricani

9,9577

CNY

renminbi Yuan cinese

8,2763

HRK

kuna croata

7,5750

IDR

rupia indonesiana

11 791,87

MYR

ringgit malese

3,9509

PHP

peso filippino

55,715

RUB

rublo russo

39,2870

THB

baht thailandese

40,611

BRL

real brasiliano

2,2636

MXN

peso messicano

16,6601

INR

rupia indiana

64,7060

---

(1)  Fonte: tassi di cambio di riferimento pubblicati dalla Banca centrale europea.

---

V Avvisi

ALTRI ATTI

Commissione europea

| 8.2.2012 | IT | Gazzetta ufficiale dell'Unione europea | C 34/28 |
| --- | --- | --- | --- |

8.2.2012

IT

Gazzetta ufficiale dell'Unione europea

C 34/28

---

Avviso destinato a Monir Chouka, Yassin Chouka e Mevlüt Kar, che sono stati aggiunti all’elenco di cui agli articoli 2, 3 e 7 del regolamento (CE) n. 881/2002 del Consiglio che impone specifiche misure restrittive nei confronti di determinate persone ed entità associate alla rete Al-Qaeda, in forza del regolamento (UE) n. 97/2012 della Commissione

| 1. | La posizione comune 2002/402/PESC (1) invita l’Unione a congelare i capitali e le risorse economiche dei membri dell’organizzazione Al-Qaeda e di altri individui, gruppi, imprese ed entità ad essa associati, quali figurano nell’elenco compilato conformemente alle risoluzioni UNSCR 1267 (1999) e 1333 (2000) e regolarmente aggiornato dal Comitato delle Nazioni Unite istituito ai sensi della risoluzione UNSCR 1267 (1999).
  L’elenco compilato dal suddetto Comitato delle Nazioni Unite comprende:






  — | Al-Qaeda, |
| --- | --- | --- |

1.

La posizione comune 2002/402/PESC (1) invita l’Unione a congelare i capitali e le risorse economiche dei membri dell’organizzazione Al-Qaeda e di altri individui, gruppi, imprese ed entità ad essa associati, quali figurano nell’elenco compilato conformemente alle risoluzioni UNSCR 1267 (1999) e 1333 (2000) e regolarmente aggiornato dal Comitato delle Nazioni Unite istituito ai sensi della risoluzione UNSCR 1267 (1999).

L’elenco compilato dal suddetto Comitato delle Nazioni Unite comprende:

—

Al-Qaeda,

| — | le persone fisiche o giuridiche, le entità, gli organismi e i gruppi associati a Al-Qaeda e |
| --- | --- |

—

le persone fisiche o giuridiche, le entità, gli organismi e i gruppi associati a Al-Qaeda e

| — | le persone giuridiche, le entità e gli organismi posseduti o controllati da uno/a qualsiasi di queste persone, entità, organismi e gruppi associati o che li sostengono in altro modo. |
| --- | --- |

—

le persone giuridiche, le entità e gli organismi posseduti o controllati da uno/a qualsiasi di queste persone, entità, organismi e gruppi associati o che li sostengono in altro modo.

Gli atti o le attività che indicano che una persona, un gruppo, un’impresa o un’entità è «associata/o a» Al-Qaeda consistono, tra l’altro, nel:

| a) | partecipare al finanziamento, alla programmazione, all’agevolazione, alla preparazione o all’esecuzione di atti o attività in collegamento con, con il nome di, per conto di o a sostegno di Al-Qaeda o di qualsiasi sua cellula, affiliato, ala scissionista o emanazione; |
| --- | --- |

a)

partecipare al finanziamento, alla programmazione, all’agevolazione, alla preparazione o all’esecuzione di atti o attività in collegamento con, con il nome di, per conto di o a sostegno di Al-Qaeda o di qualsiasi sua cellula, affiliato, ala scissionista o emanazione;

| b) | fornire, vendere o trasferire ad uno qualsiasi di essi armi e materiale connesso; |
| --- | --- |

b)

fornire, vendere o trasferire ad uno qualsiasi di essi armi e materiale connesso;

| c) | arruolare per uno qualsiasi di essi o |
| --- | --- |

c)

arruolare per uno qualsiasi di essi o

| d) | sostenere in altro modo atti o attività di uno qualsiasi di essi. |
| --- | --- |

d)

sostenere in altro modo atti o attività di uno qualsiasi di essi.

| 2. | Il 25 gennaio 2012, il Comitato delle Nazioni Unite ha deciso di aggiungere Monir Chouka, Yassin Chouka e Mevlüt Kar all’elenco corrispondente. Queste persone possono presentare in qualsiasi momento al mediatore dell’ONU, unitamente ad eventuali documenti giustificativi, una richiesta di riesame della decisione di inserirle nel suddetto elenco delle Nazioni Unite. La richiesta deve essere inviata al seguente indirizzo:





  United Nations — Office of the Ombudsperson |
| --- | --- |
| Room TB-08041D |
| New York, NY 10017 |
| UNITED STATES OF AMERICA |
| Tel. +1 2129632671 |
| Fax +1 2129631300 / 3778 |
| E-mail: ombudsperson@un.org |

2.

Il 25 gennaio 2012, il Comitato delle Nazioni Unite ha deciso di aggiungere Monir Chouka, Yassin Chouka e Mevlüt Kar all’elenco corrispondente. Queste persone possono presentare in qualsiasi momento al mediatore dell’ONU, unitamente ad eventuali documenti giustificativi, una richiesta di riesame della decisione di inserirle nel suddetto elenco delle Nazioni Unite. La richiesta deve essere inviata al seguente indirizzo:

United Nations — Office of the Ombudsperson

Room TB-08041D

New York, NY 10017

UNITED STATES OF AMERICA

Tel. +1 2129632671

Fax +1 2129631300 / 3778

E-mail: ombudsperson@un.org

Per ulteriori informazioni consultare http://www.un.org/sc/committees/1267/delisting.shtml

| 3. | Sulla base della decisione delle Nazioni Unite di cui al paragrafo 2, la Commissione ha adottato il regolamento (UE) n. 97/2012 (2), recante modifica dell’allegato I del regolamento (CE) n. 881/2002 del Consiglio che impone specifiche misure restrittive nei confronti di determinate persone ed entità associate alla rete Al-Qaeda (3). La modifica, eseguita a norma dell’articolo 7, paragrafo 1, lettera a), e dell’articolo 7 bis, paragrafo 1, del regolamento (CE) n. 881/2002, aggiunge Monir Chouka, Yassin Chouka e Mevlüt Kar all’elenco dell’allegato I del regolamento («allegato I»).
  Le seguenti misure del regolamento (CE) n. 881/2002 si applicano alle persone e alle entità che figurano nell’allegato I:






  1) | congelamento di tutti i capitali e risorse economiche appartenenti alle persone e alle entità interessate, o da queste posseduti o detenuti, e divieto (per tutti) di mettere direttamente o indirettamente capitali e risorse economiche a disposizione di una qualsiasi delle persone ed entità interessate o di destinarli a loro vantaggio (articolo 2 e articolo 2 bis) (4) e |
| --- | --- | --- |

3.

Sulla base della decisione delle Nazioni Unite di cui al paragrafo 2, la Commissione ha adottato il regolamento (UE) n. 97/2012 (2), recante modifica dell’allegato I del regolamento (CE) n. 881/2002 del Consiglio che impone specifiche misure restrittive nei confronti di determinate persone ed entità associate alla rete Al-Qaeda (3). La modifica, eseguita a norma dell’articolo 7, paragrafo 1, lettera a), e dell’articolo 7 bis, paragrafo 1, del regolamento (CE) n. 881/2002, aggiunge Monir Chouka, Yassin Chouka e Mevlüt Kar all’elenco dell’allegato I del regolamento («allegato I»).

Le seguenti misure del regolamento (CE) n. 881/2002 si applicano alle persone e alle entità che figurano nell’allegato I:

1)

congelamento di tutti i capitali e risorse economiche appartenenti alle persone e alle entità interessate, o da queste posseduti o detenuti, e divieto (per tutti) di mettere direttamente o indirettamente capitali e risorse economiche a disposizione di una qualsiasi delle persone ed entità interessate o di destinarli a loro vantaggio (articolo 2 e articolo 2 bis) (4) e

| 2) | divieto di concedere, vendere, fornire o trasferire, direttamente o indirettamente, a una qualsiasi delle persone ed entità interessate consulenze tecniche, assistenza o formazione connesse ad attività militari (articolo 3). |
| --- | --- |

2)

divieto di concedere, vendere, fornire o trasferire, direttamente o indirettamente, a una qualsiasi delle persone ed entità interessate consulenze tecniche, assistenza o formazione connesse ad attività militari (articolo 3).

| 4. | L’articolo 7 bis del regolamento (CE) n. 881/2002 (5) prevede una procedura di riesame che si applica qualora chi è stato inserito nell’elenco formuli osservazioni circa i motivi dell’inserimento. Le persone e le entità aggiunte all’allegato I con il regolamento (UE) n. 97/2012 possono presentare alla Commissione una richiesta volta ad ottenere la motivazione del loro inserimento nell’elenco. La richiesta deve essere inviata al seguente indirizzo:





  Commissione europea |
| --- | --- |
| «Misure restrittive» |
| Rue de la Loi/Wetstraat 200 |
| 1049 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

4.

L’articolo 7 bis del regolamento (CE) n. 881/2002 (5) prevede una procedura di riesame che si applica qualora chi è stato inserito nell’elenco formuli osservazioni circa i motivi dell’inserimento. Le persone e le entità aggiunte all’allegato I con il regolamento (UE) n. 97/2012 possono presentare alla Commissione una richiesta volta ad ottenere la motivazione del loro inserimento nell’elenco. La richiesta deve essere inviata al seguente indirizzo:

Commissione europea

«Misure restrittive»

Rue de la Loi/Wetstraat 200

1049 Bruxelles/Brussel

BELGIQUE/BELGIË

| 5. | Si segnala inoltre alle persone e alle entità interessate che è possibile impugnare il regolamento (UE) n. 97/2012 dinanzi al Tribunale dell’Unione europea, alle condizioni di cui all’articolo 263, quarto e sesto comma, del trattato sul funzionamento dell’Unione europea. |
| --- | --- |

5.

Si segnala inoltre alle persone e alle entità interessate che è possibile impugnare il regolamento (UE) n. 97/2012 dinanzi al Tribunale dell’Unione europea, alle condizioni di cui all’articolo 263, quarto e sesto comma, del trattato sul funzionamento dell’Unione europea.

| 6. | Per completezza, si richiama l’attenzione delle persone e delle entità che figurano nell’allegato I sulla possibilità di presentare una richiesta alle autorità competenti dello Stato membro o degli Stati membri interessato/i, elencate nell’allegato II del regolamento (CE) n. 881/2002, per ottenere l’autorizzazione di utilizzare i capitali e le risorse economiche congelati per soddisfare un fabbisogno fondamentale o per effettuare pagamenti specifici a norma dell’articolo 2 bis del medesimo regolamento. |
| --- | --- |

6.

Per completezza, si richiama l’attenzione delle persone e delle entità che figurano nell’allegato I sulla possibilità di presentare una richiesta alle autorità competenti dello Stato membro o degli Stati membri interessato/i, elencate nell’allegato II del regolamento (CE) n. 881/2002, per ottenere l’autorizzazione di utilizzare i capitali e le risorse economiche congelati per soddisfare un fabbisogno fondamentale o per effettuare pagamenti specifici a norma dell’articolo 2 bis del medesimo regolamento.

---

(1)  GU L 139 del 29.5.2002, pag. 4.

(2)  GU L 35 del 8.2.2012, pag. 4.

(3)  GU L 139 del 29.5.2002, pag. 9.

(4)  L’articolo 2 bis è stato inserito con regolamento (CE) n. 561/2003 del Consiglio (GU L 82 del 29.3.2003, pag. 1).

(5)  L’articolo 7 bis è stato inserito con regolamento (UE) n. 1286/2009 del Consiglio (GU L 346 del 23.12.2009, pag. 42).

---