INTERROGAZIONE SCRITTA E-0718/02

di Erik Meijer (GUE/NGL) alla Commissione

(15 marzo 2002)

Oggetto: Raccolta coatta di dati di utenti da parte del .NET Passport di Microsoft e misure protettive della loro privacy

1. È noto alla Commissione il servizio gratuito .NET Passport di Microsoft finalizzato a memorizzare continuamente, in occasione di un acquisto, di un gioco, di una richiesta o di una operazione bancaria, i dati personali degli utenti online tramite, per esempio, un indirizzo e-mail (hotmail), un programma di conversazione (MSN Messenger), un negozio (Expedia.com), un'asta (QXL), una comunità (MSN Communities) ovvero una catena di alberghi (Hilton.com), per cui i titolari di un indirizzo hotmail possono comunicare furtivamente e senza accorgersene ad uno sconosciuto un'enorme quantità di dati personali?

2. È noto altresì alla Commissione che la mancata iscrizione al .NET Passport comporta l'esclusione (dai servizi) di non pochi siti, che non è possibile una cancellazione, che a intervalli regolari vengono radiati soltanto i dati obsoleti e che le obbligatorie parole chiave, comportanti soltanto 6 lettere, possono essere agevolmente scoperte da chi si fa passare per amministratore di sistema o conosce a menadito i dizionari?

3. Reputa la Commissione accettabile che gli utenti di terminali pubblici nelle università, biblioteche e Caffè Internet rischino, in caso di scorretta disconnessione dal sistema, di comunicare I loro dati riservati al successivo utente, che in caso di locazione di software tramite Internet (utilizzo di server di Microsoft anziché il proprio disco rigido), l'accesso è possibile soltanto con .NET Passport e che, a causa del suo effettivo monopolio, Microsoft potrà nei prossimi anni fatturare un prezzo elevato per servizi oggigiorno ancora gratuiti?

4. È legale che un impresa dominante costituisca una capillare base di dati personali? È stato il .NET Passport notificato dagli organi nazionali che vigilano sul rispetto della legislazione relativa alla tutela della privacy? Vige un siffatto obbligo in ogni Stato membro? Vige un siffatto obbligo anche se la base di dati non si trova sul territorio di uno Stato membro dell'Unione europea?

5. È consentito ai servizi investigativi nazionali o europei disporre dei dati raccolti senza il previo accordo dell'interessato o di un tribunale?

6. Reputa la Commissione necessario il varo di apposite norme per rendere impossibili sia abusi da parte degli interessati sia qualsiasi violazione della vigente normativa sulla tutela della privacy?

Risposta data dal sig. Bolkestein a nome della Commissione

(7 maggio 2002)

1. a 3. La Commissione conosce bene in effetti il sistema.NET Passport di Microsoft e le sue lamentate caratteristiche e condivide alcune preoccupazioni esposte dall'onorevole parlamentare. Insieme alle autorità nazionali per la protezione dei dati essa ritiene una questione di primaria importanza la compatibilità del sistema con la legislazione europea sulla protezione dei dati.

4. Un'impresa che opera nell'Unione è soggetta al diritto comunitario e può sviluppare una base di dati personali, purché ottemperi agli obblighi imposti dalla direttiva 95/46/CE del Parlamento e del Consiglio del 24 ottobre 1995 relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati(1). Ciò presuppone l'esistenza di un interesse legittimo e specifico, l'informazione al privato circa l'identità dell'autorità di controllo, lo scopo della raccolta e i diritti dell'interessato, quali il diritto di accedere ai propri dati. Nei casi in cui viene richiesto il consenso al trattamento, la Direttiva stabilisce che esso non sia ambiguo e che venga accordato liberamente. La direttiva altresì contempla l'obbligo di notifica del trattamento all'Autorità nazionale preposta alla protezione dei dati e prevede anche alcune eccezioni all'obbligo di notifica. La Commissione al momento non è in grado di affermare se questa modalità di elaborazione sia stata notificata nell'Unione.

Sapere se e in che misura la direttiva si applichi a una base di dati (o, nei termini della Direttiva, a un responsabile) situata al di fuori dell'Unione, specialmente se i dati sono forniti direttamente dagli interessati via Internet, è questione complessa, attentamente esaminata dalla Commissione e dalle Autorità nazionali per la protezione dei dati. L'articolo 4.1(c) della Direttiva stabilisce i termini d'attuazione per quanto riguarda l'uso che il responsabile fa di macchinari, automatizzati o no, situati sul territorio di uno Stato Membro, il che significa che la Direttiva si applica almeno in alcuni casi a responsabili al di fuori della Comunità. Possono inoltre essere applicate e quindi applicabili in tale giurisdizione talune leggi nazionali riguardanti uno Stato terzo in cui sia stabilito il responsabile. A questo proposito, Microsoft ha comunicato allo US Department of Commerce di aderire ad una politica della privacy in linea con il quadro di riferimento di approdo sicuro(2).

5. In base alle leggi in vigore gli inquirenti possono fare uso delle informazioni raccolte senza il previo consenso dell'interessato o del tribunale, fatti salvi i diritti alla difesa per le parti interessate e purché la limitazione del diritto alla privacy sia effettivamente necessaria all'indagine penale. Le informazioni raccolte nel corso delle indagini possono venire usate solo nell'ambito delle indagini stesse.

6. Conformemente all'articolo 33 della Direttiva, la Commissione sta esaminando l'attuazione della Direttiva 95/46/CE and prevede di pubblicare una relazione entro la fine dell'anno. La modifica dell'attuale regolamentazione sarà considerata in questo contesto.

(1) GU L 281 del 23.11.1995.

(2) V. Decisione della Commissione 2000/520/CE del 26 Luglio 2000 che fa seguito alla Direttiva 95/46/CE del Parlamento e del Consiglio sull'adeguatezza della protezione offerta dai principi di approdo sicuro e dalle relative Domande più frequenti (FAQ) in materia di riservatezza pubblicate dal Dipartimento del commercio degli Stati Uniti, GU L 215 del 25.8.2000.