INTERROGAZIONE SCRITTA E-1724/02

di Bart Staes (Verts/ALE) alla Commissione

(13 giugno 2002)

Oggetto: Carta d'identità elettronica e protezione dei dati personali

Nel quadro dell'iniziativa e-government, il governo belga ha deciso nell'autunno 2000 che ciascun cittadino belga avrebbe avuto una carta d'identità elettronica entro il 2005. Al fine di rendere il più sicuro possibile lo scambio di dati fra le varie autorità, da un lato, e fra le autorità e i loro utenti, dall'altro, il FEDICT (Servizio pubblico federale per le tecnologie dell'informazione e delle comunicazioni) ha lanciato la cosiddetta Infrastruttura per le chiavi publiche (Public Key Infrastructure PKI), detta anche regolamentazione dei servizi di certificazione. La carta con la chiave personale di preferenza sarà conservata su un chip protetto da un codice PIN.

Da un articolo apparso sul New York Times del 12 maggio 2002, risulta che questo chip può essere copiato. Due ricercatori nel campo della sicurezza informatica dell'università di Cambridge, Sergei Skorobogatov e Ross Anderson, hanno dimostrato che semplicemente grazie a un flash fotografico e a un microscopio erano in grado di procurarsi le informazioni di un chip. Così facendo dei delinquenti potrebbero impossessarsi senza alcuna difficoltà di informazioni personali. Questa tecnologia non solo viene utilizzata per le carte di identità elettroniche, ma anche per numerose altre applicazioni, quali le carte di credito e debito e le diffusissime carte SIM per i telefoni cellulari. Uno studio dell'IBM dal titolo Partitioning attacks: Or how rapidly clone some GSM cards ha confermato questa vulnerabilità: i ricercatori hanno dimostrato che potevano impossessarsi di informazioni delle carte SIM in maniera ancor più rapida.

Può la Commissione confermare la veridicità di queste preoccupanti notizie?

In caso affermativo, ciò non è forse in contrasto con la normativa europea sulla protezione dei dati personali? Non dovrebbero gli Stati membri prendere misure tecniche e organizzative per garantire la protezione dei dati personali, soprattutto quando il trattamento presuppone la loro immissione in rete? Quali iniziative intende prendere la Commissione contro questa violazione della privacy?

In caso negativo, su quali argomenti si basa la Commissione per smentire la ricerca in questione e negare la possibilità di copiare la tecnologia dei chip?

Risposta comunedata dal sig. Bolkestein a nome della Commissionealle interrogazioni scritte E-1723/02 e E-1724/02

(26 settembre 2002)

La Commissione è venuta a conoscenza di alcuni progetti belgi di regolamentazione miranti a porre in uso una carta d'identità digitale in occasione d'una notifica effettuata in applicazione della direttiva 98/34/CE(1) (che impone la notifica dei progetti di regolamentazioni nazionali, segnatamente ai servizi che si occupano di società dell'informazione). Il Belgio ha notificato la legislazione in progetto (riferimento no. 2001/474/B) e richiesto che i testi in questione siano trattati con la riservatezza prescritta dall'articolo 8, paragrafo 4 della direttiva anzidetta. In seguito all'analisi della regolamentazione in progetto la Commissione ha espresso un parere circostanziato ed alcune osservazioni. Il parere circostanziato verteva in linea di massima sugli allegati tecnici, nell'intento di garantirne la compatibilità con le direttive 73/23/CEE del Consiglio del 19 febbraio 1973, concernente il ravvicinamento delle legislazioni degli Stati membri relative al materiale elettrico destinato ad essere adoperato entro taluni limiti di tensione(2), e 89/336/CEE del Consiglio del 3 maggio 1989 per il ravvicinamento delle legislazioni degli Stati Membri relative alla compatibilità elettromagnetica(3). Le osservazioni dal canto loro riguardavano gli aspetti connessi alla protezione dei dati.

La Commissione rileva che attualmente la legislazione in progetto, pur disponendo la semplificazione di alcune procedure esistenti relative all'accesso od alla comunicazione di dati di natura personale, non prevede specificamente alcuna interconnessione di banche dati a carattere medico o fiscale.

La Commissione è tuttavia consapevole dell'importanza che rivestono le questioni sollevate dall'onorevole parlamentare e ne terrà conto nel contesto del processo di valutazione dell'attuazione della direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati(4), processo che dovrebbe concludersi alla fine del 2002.

In ogni caso i trattamenti di dati di natura personale, interconnessioni comprese, effettuati nel contesto della carta d'identità elettronica dovranno risultare conformi alla direttiva 95/46/CE. Tale direttiva, il cui campo d'applicazione si limita al diritto comunitario, stabilisce i principi e le condizioni che valgono per il trattamento dei dati in questione. Essa impone segnatamente l'obbligo di trattare i dati di natura personale in modo corretto e lecito e di non trattarli in un secondo momento in modo incompatibile con le finalità per le quali sono stati raccolti. La direttiva 95/46/CE contiene altresì il divieto di massima di trattare dati relativi alla salute, che contempla peraltro diverse eccezioni. Essa prescrive inoltre di stabilire le condizioni d'impiego degli identificatori.

La direttiva 95/46/CE dispone d'altro canto l'obbligo di garantire la protezione dei dati contro la distruzione accidentale od illecita, la perdita accidentale, l'alterazione, la divulgazione o l'accesso non autorizzati nonché contro qualsiasi altra forma di trattamento illecito. La direttiva 97/66/CE 97/66/CE del Parlamento europeo e del Consiglio del 15 dicembre 1997 sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle telecomunicazioni, che dopo il 31 ottobre 2003 sarà sostituita dalla direttiva 2002/58/CE(5), contiene parimenti obblighi specifici in fatto di sicurezza per quanto riguarda le reti pubbliche di telecomunicazioni ed i servizi di telecomunicazione accessibili al pubblico.

La Commissione segue con particolare attenzione gli sviluppi tecnologici relativi alla sicurezza degli scambi di dati. In questo contesto rileva che il livello di sicurezza offerto dal ricorso ad un'infrastruttura del settore pubblico dipende non soltanto dal livello di sicurezza offerto dalle

componenti tecniche dell'infrastruttura stessa, ma anche dalla qualità delle procedure di sicurezza e soprattutto dal rigore con cui vengono applicate (carta intelligente, elaborazione dei codici, autorità che rilascia i certificati, validità di questi ultimi, etc.).

La Commissione è specialmente attenta alle tecnologie di sicurezza impiegate per trasferire dati di natura personale. Pone cionondimeno in rilievo il fatto che non esiste un livello assoluto di sicurezza e che, conformemente alla direttiva 95/46/CE, il livello di sicurezza appropriato ai rischi che comportano il trattamento di dati di natura personale e la natura personale dei dati da proteggere va valutato tenendo conto dello stato dell'arte e dei costi connessi all'attuazione dei provvedimenti di sicurezza.

In tema di composizione delle autorità di controllo incaricate di vigilare sull'applicazione delle disposizioni prese dagli Stati membri la direttiva 95/46/CE dispone che dette autorità svolgano il loro compito in piena indipendenza. La direttiva non fornisce tuttavia indicazioni supplementari circa il modo in cui garantire tale indipendenza. La Commissione osserva a questo proposito che in forza della legge belga dell'8 dicembre 1992 relativa alla protezione della vita privata in rapporto al trattamento dei dati di natura personale l'autorità belga competente in fatto di protezione dei dati è un organo collegiale i cui membri sono designati dal Parlamento. La suddetta legge dispone peraltro che i membri di tale organo debbano offrire ogni garanzia di poter svolgere il loro compito in modo indipendente. A tal fine sono prescritti diversi provvedimenti, tra cui la proibizione fatta ai membri di presenziare a delibere il cui oggetto presenti per essi un interesse personale.

La Commissione ricorda d'altro canto che essa sostiene progetti di ricerca nel campo della sicurezza delle carte intelligenti. I ricercatori Ross Anderson e Sergei Skorobogatov partecipano al progetto G3CARD (IST-1999-26328), che si prefigge un duplice obiettivo: in primo luogo identificare la totalità degli attacchi possibili contro una carta di questo tipo (l'attacco di tipo flash costituisce effettivamente un esempio degli attacchi cui s'interessa tale progetto), in secondo luogo sviluppare una nuova generazione di chips in grado di resistere a questi nuovi attacchi.

La carta intelligente presenta il vantaggio d'aumentare notevolmente il livello di sicurezza dei sistemi rendendo gli attacchi al tempo stesso difficili sotto il profilo tecnico e costosi e dunque, per un certo tempo, impossibili per i criminali. Ovviamente tuttavia verranno scoperte possibilità d'attacchi di nuovo tipo, che renderanno necessario sviluppare nuove generazioni chips.

Il livello di sicurezza del GSM è stato adattato alle applicazioni previste dagli ideatori della norma, che riguardavano essenzialmente la telefonia, una quindicina d'anni fa. Le nuove norme per il telefono senza fili della terza generazione prevedono un rafforzamento della sicurezza atto a consentire applicazioni di carattere più delicato. La sicurezza delle transazioni senza fili costituirà peraltro uno degli argomenti affrontati in via prioritaria dall'Istituto della tecnologia della sicurezza nell'ambito del 6o programma quadro per le attività di ricerca e sviluppo tecnico della Comunità. Uno degli obiettivi del progetto di ricerca Embedded Finread (IST-2000-30091) è già adesso quello di trasporre la sicurezza dei terminali di pagamento al campo della telefonia senza fili, incluso l'attuale GSM.

Altri progetti quali PKI Challenge (IST-2000-25012) e Digisec (IST-1999-20981) si occupano di sviluppare la firma elettronica e l'accessoria infrastruttura PKI. Il progetto Nessie (IST-1999-12324) definisce nuovi algoritmi crittografici, mentre Verificard (IST-2000-26328) si concentra sul problema di verificare la sicurezza del software utilizzato per la carta. Progetti come UFACE (IST-1999-11587) o BANCA (IST-1999-11159) dal canto loro si concentrano invece sugli aspetti tecnici della biometria.

Il progetto Smartcities (IST-1999-12252) è incentrato sullo sviluppo di una carta urbana, ma ha il merito d'inventare meccanismi volti a garantire la sicurezza dei dati. Nell'ambito di Smartcities si ritiene che la protezione dei dati diventerà un argomento di vendita, i cui dispositivi potrebbero in un secondo momento venir riutilizzati per altri progetti.

(1) Direttiva 98/34/CE del Parlamento europeo e del Consiglio del 22 giugno 1998, che prevede una procedura d'informazione nel settore delle norme e delle regolamentazioni tecniche; GU L 204 del 21.7.1998.

(2) GU L 77 del 26.3.1973.

(3) GU L 139 del 23.5.1989.

(4) GU L 281 del 23.11.1995.

(5) GU L 24 del 30.1.1998 et GU L 201 del 31.7.2002.