INTERROGAZIONE SCRITTA E-1723/02

di Bart Staes (Verts/ALE) alla Commissione

(13 giugno 2002)

Oggetto: Protezione della privacy e trattamento elettronico dei dati

Nel quadro dell'iniziativa e-government, il governo federale belga ha deciso, nell'autunno 2000, che ciascun cittadino belga avrebbe avuto una carta d'identità elettronica entro il 2005. In un articolo apparso sul quotidiano De Morgen e intitolato Con la nuova carta di identità elettronica Big Brother aleggia su di noi (Nieuwe identiteiskaart brengt Big Brother erg dichtbij), si afferma che si starebbero predisponendo delle super banche dati in cui sarebbero inseriti dati fiscali, medici e di polizia. Inoltre vi sarebbero stoccati anche dati biometrici per permettere l'identificazione autentificata delle persone grazie ai tratti del viso. Un portale consentirebbe l'accesso a questi dati eminentemente personali tramite il codice segreto della carta d'identità: basterà introdurre una combinazione di quattro cifre. Sempre secondo l'articolo in questione, queste banche dati saranno collegate fra di loro, il che renderà l'accesso particolarmente lucrativo.

Al momento non esiste alcun controllo su tali basi dati. L'autorità di sorveglianza (commissione per la protezione della vita privata) non è subordinata ad alcun controllo parlamentare e non dispone di risorse umane sufficienti per svolgere correttamente il suo compito. Inoltre, un membro di questa commissione è anche a capo dell'organismo responsabile per la gestione del progetto di carta d'identità elettronica.

Come giudica la Commissione l'interconnessione delle banche di dati fiscali, medici e di polizia?

Consente la normativa comunitaria di essere membro alla commissione per la protezione della vita privata e dirigere nel contempo il progetto di carta d'identità elettronica? Come lo spiega?

È sufficiente, sul piano tecnico e organizzativo, un codice PIN da parte dell'elaboratore dati, per garantire la protezione della vita privata? Quali sono gli argomenti della Commissione al riguardo?

Risposta comunedata dal sig. Bolkestein a nome della Commissionealle interrogazioni scritte E-1723/02 e E-1724/02

(26 settembre 2002)

La Commissione è venuta a conoscenza di alcuni progetti belgi di regolamentazione miranti a porre in uso una carta d'identità digitale in occasione d'una notifica effettuata in applicazione della direttiva 98/34/CE(1) (che impone la notifica dei progetti di regolamentazioni nazionali, segnatamente ai servizi che si occupano di società dell'informazione). Il Belgio ha notificato la legislazione in progetto (riferimento no. 2001/474/B) e richiesto che i testi in questione siano trattati con la riservatezza prescritta dall'articolo 8, paragrafo 4 della direttiva anzidetta. In seguito all'analisi della regolamentazione in progetto la Commissione ha espresso un parere circostanziato ed alcune osservazioni. Il parere circostanziato verteva in linea di massima sugli allegati tecnici, nell'intento di garantirne la compatibilità con le direttive 73/23/CEE del Consiglio del 19 febbraio 1973, concernente il ravvicinamento delle legislazioni degli Stati membri relative al materiale elettrico destinato ad essere adoperato entro taluni limiti di tensione(2), e 89/336/CEE del Consiglio del 3 maggio 1989 per il ravvicinamento delle legislazioni degli Stati Membri relative alla compatibilità elettromagnetica(3). Le osservazioni dal canto loro riguardavano gli aspetti connessi alla protezione dei dati.

La Commissione rileva che attualmente la legislazione in progetto, pur disponendo la semplificazione di alcune procedure esistenti relative all'accesso od alla comunicazione di dati di natura personale, non prevede specificamente alcuna interconnessione di banche dati a carattere medico o fiscale.

La Commissione è tuttavia consapevole dell'importanza che rivestono le questioni sollevate dall'onorevole parlamentare e ne terrà conto nel contesto del processo di valutazione dell'attuazione della direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati(4), processo che dovrebbe concludersi alla fine del 2002.

In ogni caso i trattamenti di dati di natura personale, interconnessioni comprese, effettuati nel contesto della carta d'identità elettronica dovranno risultare conformi alla direttiva 95/46/CE. Tale direttiva, il cui campo d'applicazione si limita al diritto comunitario, stabilisce i principi e le condizioni che valgono per il trattamento dei dati in questione. Essa impone segnatamente l'obbligo di trattare i dati di natura personale in modo corretto e lecito e di non trattarli in un secondo momento in modo incompatibile con le finalità per le quali sono stati raccolti. La direttiva 95/46/CE contiene altresì il divieto di massima di trattare dati relativi alla salute, che contempla peraltro diverse eccezioni. Essa prescrive inoltre di stabilire le condizioni d'impiego degli identificatori.

La direttiva 95/46/CE dispone d'altro canto l'obbligo di garantire la protezione dei dati contro la distruzione accidentale od illecita, la perdita accidentale, l'alterazione, la divulgazione o l'accesso non autorizzati nonché contro qualsiasi altra forma di trattamento illecito. La direttiva 97/66/CE 97/66/CE del Parlamento europeo e del Consiglio del 15 dicembre 1997 sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle telecomunicazioni, che dopo il 31 ottobre 2003 sarà sostituita dalla direttiva 2002/58/CE(5), contiene parimenti obblighi specifici in fatto di sicurezza per quanto riguarda le reti pubbliche di telecomunicazioni ed i servizi di telecomunicazione accessibili al pubblico.

La Commissione segue con particolare attenzione gli sviluppi tecnologici relativi alla sicurezza degli scambi di dati. In questo contesto rileva che il livello di sicurezza offerto dal ricorso ad un'infrastruttura del settore pubblico dipende non soltanto dal livello di sicurezza offerto dalle

componenti tecniche dell'infrastruttura stessa, ma anche dalla qualità delle procedure di sicurezza e soprattutto dal rigore con cui vengono applicate (carta intelligente, elaborazione dei codici, autorità che rilascia i certificati, validità di questi ultimi, etc.).

La Commissione è specialmente attenta alle tecnologie di sicurezza impiegate per trasferire dati di natura personale. Pone cionondimeno in rilievo il fatto che non esiste un livello assoluto di sicurezza e che, conformemente alla direttiva 95/46/CE, il livello di sicurezza appropriato ai rischi che comportano il trattamento di dati di natura personale e la natura personale dei dati da proteggere va valutato tenendo conto dello stato dell'arte e dei costi connessi all'attuazione dei provvedimenti di sicurezza.

In tema di composizione delle autorità di controllo incaricate di vigilare sull'applicazione delle disposizioni prese dagli Stati membri la direttiva 95/46/CE dispone che dette autorità svolgano il loro compito in piena indipendenza. La direttiva non fornisce tuttavia indicazioni supplementari circa il modo in cui garantire tale indipendenza. La Commissione osserva a questo proposito che in forza della legge belga dell'8 dicembre 1992 relativa alla protezione della vita privata in rapporto al trattamento dei dati di natura personale l'autorità belga competente in fatto di protezione dei dati è un organo collegiale i cui membri sono designati dal Parlamento. La suddetta legge dispone peraltro che i membri di tale organo debbano offrire ogni garanzia di poter svolgere il loro compito in modo indipendente. A tal fine sono prescritti diversi provvedimenti, tra cui la proibizione fatta ai membri di presenziare a delibere il cui oggetto presenti per essi un interesse personale.

La Commissione ricorda d'altro canto che essa sostiene progetti di ricerca nel campo della sicurezza delle carte intelligenti. I ricercatori Ross Anderson e Sergei Skorobogatov partecipano al progetto G3CARD (IST-1999-26328), che si prefigge un duplice obiettivo: in primo luogo identificare la totalità degli attacchi possibili contro una carta di questo tipo (l'attacco di tipo flash costituisce effettivamente un esempio degli attacchi cui s'interessa tale progetto), in secondo luogo sviluppare una nuova generazione di chips in grado di resistere a questi nuovi attacchi.

La carta intelligente presenta il vantaggio d'aumentare notevolmente il livello di sicurezza dei sistemi rendendo gli attacchi al tempo stesso difficili sotto il profilo tecnico e costosi e dunque, per un certo tempo, impossibili per i criminali. Ovviamente tuttavia verranno scoperte possibilità d'attacchi di nuovo tipo, che renderanno necessario sviluppare nuove generazioni chips.

Il livello di sicurezza del GSM è stato adattato alle applicazioni previste dagli ideatori della norma, che riguardavano essenzialmente la telefonia, una quindicina d'anni fa. Le nuove norme per il telefono senza fili della terza generazione prevedono un rafforzamento della sicurezza atto a consentire applicazioni di carattere più delicato. La sicurezza delle transazioni senza fili costituirà peraltro uno degli argomenti affrontati in via prioritaria dall'Istituto della tecnologia della sicurezza nell'ambito del 6o programma quadro per le attività di ricerca e sviluppo tecnico della Comunità. Uno degli obiettivi del progetto di ricerca Embedded Finread (IST-2000-30091) è già adesso quello di trasporre la sicurezza dei terminali di pagamento al campo della telefonia senza fili, incluso l'attuale GSM.

Altri progetti quali PKI Challenge (IST-2000-25012) e Digisec (IST-1999-20981) si occupano di sviluppare la firma elettronica e l'accessoria infrastruttura PKI. Il progetto Nessie (IST-1999-12324) definisce nuovi algoritmi crittografici, mentre Verificard (IST-2000-26328) si concentra sul problema di verificare la sicurezza del software utilizzato per la carta. Progetti come UFACE (IST-1999-11587) o BANCA (IST-1999-11159) dal canto loro si concentrano invece sugli aspetti tecnici della biometria.

Il progetto Smartcities (IST-1999-12252) è incentrato sullo sviluppo di una carta urbana, ma ha il merito d'inventare meccanismi volti a garantire la sicurezza dei dati. Nell'ambito di Smartcities si ritiene che la protezione dei dati diventerà un argomento di vendita, i cui dispositivi potrebbero in un secondo momento venir riutilizzati per altri progetti.

(1) Direttiva 98/34/CE del Parlamento europeo e del Consiglio del 22 giugno 1998, che prevede una procedura d'informazione nel settore delle norme e delle regolamentazioni tecniche; GU L 204 del 21.7.1998.

(2) GU L 77 del 26.3.1973.

(3) GU L 139 del 23.5.1989.

(4) GU L 281 del 23.11.1995.

(5) GU L 24 del 30.1.1998 et GU L 201 del 31.7.2002.