IT Gazzetta ufficiale dell'Unione europea C 79/9

Sintesi del parere del Garante europeo della protezione dei dati sulla diffusione e l’uso delle tecniche di sorveglianza intrusive

(Il testo integrale del presente parere è disponibile in EN, FR e DE sul sito web del GEPD www.edps.europa.eu)

(2016/C 79/04)

Nel presente parere, il GEPD esamina le questioni legate alla protezione dei dati e della vita privata sollevate dalla diffusione e dall’uso di tecnologie di sorveglianza intrusive. L’uso di tali strumenti implica per definizione il trattamento dei dati personali e una possibile intrusione nella vita privata: l’obiettivo principale degli strumenti di sorveglianza intrusivi è quello di infiltrarsi a distanza nei sistemi informatici (solitamente via Internet) per sorvegliarne segretamente le attività e, nel corso del tempo, trasferire i dati all’utilizzatore dei suddetti strumenti di sorveglianza.

Se da una parte tali strumenti possono costituire un mezzo utilizzabile in modo legittimo (e regolamentato) dagli organismi preposti all’applicazione della legge o dalle agenzie di intelligence, dall’altra possono anche essere usati come «cavalli di Troia» per aggirare le misure di sicurezza nelle comunicazioni elettroniche e nel trattamento dei dati.

L’inconciliabilità tra l’impiego, di per sé positivo, degli strumenti basati sulle tecnologie dell’informazione e della comunicazione e l’impatto negativo che l’uso improprio della tecnologia può avere sui diritti umani, e in particolare sulla protezione dei dati personali e della vita privata, deve essere affrontata dalle politiche nazionali e dell’Unione nonché da tutti i soggetti attivi nel settore delle TIC (sviluppatori, fornitori di servizi, venditori, intermediari, distributori e utilizzatori).

Nel presente parere, il GEPD propone di affrontare la minaccia costituita dall’uso di tecnologie di sorveglianza intrusive attraverso le iniziative illustrate di seguito.

— Occorre effettuare una valutazione delle norme UE esistenti in materia di TIC, con lo scopo di rafforzare la tutela dei diritti umani, segnatamente in caso di esportazione di tecnologie di sorveglianza o intercettazione e di servizi connessi.

— L’uso e la diffusione (anche all’interno dell’UE) di strumenti di sorveglianza e intercettazione e dei servizi connessi dovrebbero essere soggetti a una regolamentazione appropriata, tenendo in considerazione il potenziale rischio di violazione dei diritti fondamentali, in particolare dei diritti alla vita privata e alla protezione dei dati.

— Il Consiglio dell’UE, il Parlamento europeo, la Commissione europea e il SEAE dovrebbero sviluppare politiche coerenti e più efficaci relativamente all’esportazione di strumenti di sorveglianza intrusivi nel contesto delle tecnologie a duplice uso, a livello dell’UE e internazionale.

— Le falle di sicurezza (exploit) e le vulnerabilità dette «0-day» dovrebbero essere regolamentate da politiche aggiornate, al fine di evitare che siano sfruttate a fini di violazione dei diritti fondamentali.

— Le politiche dell’UE sulla sicurezza informatica dovrebbero tenere in considerazione la diffusione di tecnologie di intercettazione e sorveglianza e affrontare specificamente tale questione nell’ambito della legislazione in materia.

— È necessario promuovere gli investimenti nella sicurezza su Internet e le iniziative che prevedono l’integrazione di misure relative alla privacy già nella fase di progettazione delle nuove soluzioni tecnologiche.

— Un approccio coerente dovrebbe essere messo in atto per offrire protezione internazionale agli informatori che contribuiscono a svelare violazioni dei diritti umani attraverso l’utilizzo di tecnologie di intercettazione e sorveglianza.