Source: https://garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1342375
Timestamp: 2020-08-09 18:42:18+00:00
Document Index: 144262247

Matched Legal Cases: ['art. 29', 'art. 29', 'art. 29', 'art.29', 'art. 13', 'art. 29', 'art. 31', 'art. 13', 'art. 25', 'art. 29', 'art. 13', 'art. 29', 'art. 13', 'art. 18', 'art. 13', 'art. 17', 'art. 13', 'art. 13', 'art. 13', 'art. 17', 'art. 13', 'art. 29', 'art. 18', 'art. 29', 'art.13', 'art. 29', 'art. 3', 'art. 4', 'art. 4', 'art. 4', 'art. 29', 'art. 29', 'art. 29', 'art. 1', 'art. 29', 'art. 32', 'art. 13', 'art. 39', 'art. 32', 'art. 10', 'art. 32', 'art. 32', 'art. 15', 'art. 32', 'art. 33', 'art. 347', 'art. 36', 'art. 35', 'art. 34', 'art. 32', 'art. 15', 'art. 34', 'art. 35', 'art. 36', 'art. 37', 'art. 39', 'art. 29', 'art. 32', 'art. 16', 'art. 39', 'art. 10', 'art. 10', 'art. 10', 'art. 10', 'art. 16', 'art. 14', 'art. 31', 'art. 31', 'art. 33', 'art. 3', 'art. 7', 'art. 8', 'art. 11', 'art. 13', 'art. 3', 'art. 33', 'art. 65', 'art. 7', 'art. 31', 'art. 13', 'art. 13', 'art. 31', 'art. 7', 'art. 12', 'art. 12', 'art. 22', 'art. 41', 'art. 31', 'art. 32', 'art. 29', 'art. 10', 'art. 32', 'art. 35', 'art. 36', 'art. 41', 'art. 27', 'art.31', 'art.32']

II- Il Garante - Relazione 2000 - 17 luglio 2001 - Garante Privacy
II- Il Garante - Relazione 2000 - 17 luglio 2001
II - Il Garante
La nuova composizione del collegio
64. LA CONTINUITÀ NELL´ATTIVITÀ DELL´AUTORITÀ
Il 28 febbraio 2001 la Camera dei deputati e il Senato della Repubblica hanno eletto i quattro componenti del collegio del Garante, in vista del completamento del primo mandato quadriennale che aveva avuto inizio il 17 marzo 1997, subito dopo l´approvazione della legge n. 675/1996, con l´accettazione della nomina da parte dei componenti.
Il nuovo collegio si è insediato il 19 marzo 2001, alla presenza dei professori Stefano Rodotà e Giuseppe Santaniello (già componenti del collegio nel precedente quadriennio) e degli onorevoli Mauro Paissan e Gaetano Rasi, eletti nuovi componenti il 28 febbraio scorso.
Il 19 marzo 2001 il collegio del Garante ha eletto all´unanimità il prof. Stefano Rodotà e il prof. Giuseppe Santaniello, rispettivamente come Presidente e Vice presidente dell´Autorità, ed ha dato inizio al nuovo mandato ribadendo anche il carattere collegiale dell´organo nel lavoro interno ed esterno dell´istituzione, secondo le linee già affermatesi nel corso della precedente composizione della stessa Autorità.
65. LE MODALITÀ DI INTERPELLO DELL´AUTORITÀ
Come già evidenziato nelle precedenti Relazioni annuali, il Garante ha mantenuto il contatto diretto con innumerevoli cittadini, uffici, imprese ed associazioni, assolvendo in vario modo al compito di favorire la piena conoscenza tra il pubblico delle molte disposizioni che regolano il trattamento dei dati personali nei diversi settori.
Anche nel corso del 2000 i contatti con l´Ufficio sono basati su grandi numeri e attraverso varie forme di interpello, basate anche su diversi quesiti e segnalazioni formulati direttamente dai cittadini per telefono, via fax o e-mail, o in occasione di incontri ed audizioni richiesti ai dipartimenti e servizi dell´Autorità.
Particolarmente utilizzato è risultato il servizio telefonico attivato dall´Autorità nelle ore antimeridiane, consultato incessantemente da molti interlocutori e in via di potenziamento con la prossima istituzione dell´Ufficio per le relazioni con il pubblico.
L´Autorità prosegue nella prassi di rispondere a quesiti cumulando, per quanto possibile, le questioni aventi analogo contenuto e privilegiando quelle che riguardano questioni di interesse generale, considerato il ridotto organico ancora a disposizione dell´Ufficio.
Lo strumento di interpello più utilizzato resta quello delle segnalazioni e dei reclami, per i quali, è bene ricordarlo, non sono stabilite particolari formalità e che non pongono specifici vincoli né nella forma, né nei termini di presentazione (il procedimento è, poi, del tutto gratuito), come avviene invece per i "ricorsi" (nel senso stretto del termine) presentati ai sensi dell´art. 29 della legge n. 675/1996.
L´esame della parte della presente Relazione concernente i ricorsi permette di comprendere che il cittadino può avvalersi dello strumento-ricorso solo in particolari casi, risultando altrimenti inammissibile.
Diverse esigenze degli interessati possono essere facilmente risolte esercitando – anzitutto – i diritti garantiti dalla legge direttamente nei confronti del soggetto che detiene i dati personali per i quali si lamenta una violazione di legge o che sono inesatti, incompleti, ecc. A tal fine possono essere utilizzati anche i modelli fac-simile che l´Autorità ha messo a disposizione sul proprio sito web (www.garanteprivacy.it).
Fuori dei casi in cui sia opportuno presentare un formale ricorso ai sensi dell´art. 29 della legge (esaminato in trenta giorni), resta quindi consigliabile presentare una semplice segnalazione o reclamo, indicando però in modo circostanziato tutti gli elementi utili per esaminare meglio il caso e per semplificare gli eventuali accertamenti che l´Ufficio, a seconda dei casi, cura presso il titolare del trattamento, a volte anche attraverso visite ispettive.
La trattazione dei ricorsi
66. PRINCIPALI PROBLEMI ESAMINATI
Se l´anno 1999 aveva rappresentato la fase di iniziale "rodaggio" della procedura (regolamentata dal d.P.R. n. 501/1998) relativa ai ricorsi proposti ai sensi dell´art. 29 della legge n. 675, l´anno 2000 può essere considerato come il primo anno di piena vigenza di questo nuovo meccanismo di tutela e, quindi, come il primo arco temporale al quale fare riferimento per individuarne problemi e prospettive.
Va anzitutto evidenziato come il numero dei ricorsi presentati sia andato progressivamente aumentando, a conferma di una più diffusa conoscenza della legge e degli strumenti di tutela dalla stessa apprestati.
Nel corso dell´anno solare 2000 sono pervenuti all´Ufficio 187 ricorsi, che sommati a quelli pervenuti nel 1999 ed a quelli presentati nei primi cinque mesi del corrente anno 2001 portano il totale dei ricorsi pervenuti alla data del 1° giugno 2001 a 381.
Tutti i ricorsi sono stati esaminati e decisi nel rispetto del termine di trenta giorni stabilito dall´art.29, comma 4, della legge.
L´esame specifico dei ricorsi presentati e delle decisioni emesse fa però emergere come sia ancora frequente un uso improprio di questo strumento, talvolta erroneamente percepito come una sorta di "ultima spiaggia" da utilizzare dopo aver esperito ogni altro rimedio giudiziale o, al contrario, come mera "scorciatoia" per ottenere giustizia in modo estremamente veloce.
Inoltre, in diversi casi, sono stati presentati ricorsi che non facevano riferimento all´esercizio dei diritti dell´art. 13, ma avevano ad oggetto, più genericamente, lamentele relative ad altri profili che la legge n. 675 permette di affrontare, ma in altro modo, oppure casi nei quali venivano portate a conoscenza del Garante presunte violazioni di legge non coinvolgenti direttamente la posizione degli interessati, ma riferite invece a posizioni di terzi. Si tratta infatti di fattispecie spesso ugualmente meritevoli di attenzione che devono però essere portate all´attenzione del Garante non con lo strumento del ricorso ex art. 29, bensì con quello della "segnalazione" o del "reclamo" proposti ai sensi dell´art. 31, comma 1, lett. d), della legge n. 675 (Provv. del 29 febbraio 2000).
Va altresì ricordato che con lo strumento del ricorso (che è possibile presentare solo per far valere una delle posizioni giuridiche enumerate nell´art. 13, comma 1, della legge, e dopo un insoddisfacente interpello del titolare del trattamento) non è possibile proporre innanzi al Garante istanze (quali quelle di tipo risarcitorio) che restano di esclusiva competenza dell´autorità giudiziaria.
Un aiuto efficace ad una più corretta conoscenza del "meccanismo di funzionamento" dei ricorsi è venuta dall´utilizzo del sito Internet del Garante, sia grazie ad una apposita pagina contenente le istruzioni di base al riguardo, sia attraverso una sempre più ampia e tempestiva diffusione in rete delle più significative decisioni del Garante.
Particolarmente interessante è, poi, l´esame della tipologia dei ricorsi decisi dall´Autorità. Ne emerge infatti un´estrema varietà di temi trattati a conferma della trasversalità della disciplina sulla protezione dei dati personali. L´esperienza di questi due anni di vigenza delle norme in materia di ricorsi consente ora di richiamare l´attenzione sui temi che più frequentemente si sono presentati all´attenzione del Garante. Se ne propone di seguito una sintetica rassegna, rinviando per l´approfondimento delle singole questioni agli specifici paragrafi della presente Relazione.
Accesso ai dati personali dei lavoratori. Molti ricorsi hanno riguardato questa fattispecie, con particolare riferimento ai dati personali di tipo valutativo (sui quali il Garante si era pronunciato fin dal 2 giugno 1999) o comunque a giudizi, punteggi, indici di produttività del dipendente espressi dal datore di lavoro (vedi, ad es., il Provv. del 28 giugno 2000).
Dati personali contenuti nelle perizie medico legali. È il settore che ha visto la più alta incidenza di ricorsi proposti. Si tratta di richieste di accesso generalmente inserite in un più ampio contenzioso assicurativo e volte specificamente a conoscere le valutazioni ed i giudizi espressi dai medici di fiducia delle società di assicurazione in relazione ai danni fisici patiti dagli interessati in ordine ai sinistri denunciati (vedi, fra le più recenti, il Provv. dell´8 maggio 2001).
Telecomunicazioni. Numerose istanze di accesso, correzione o integrazione dei dati, nonché di cancellazione o di opposizione al trattamento sono state avanzate da utenti nei confronti dei gestori di servizi di telecomunicazione, specialmente delle società fornitrici di servizi telefonici. L´incalzante sviluppo tecnologico in materia ha portato ad applicare i predetti meccanismi di tutela anche alla realtà della rete, attraverso, ad esempio, la proposizione di ricorsi nei confronti di trattamenti di dati effettuati a mezzo siti Internet.
Dati trattati da banche, società finanziarie e centrali rischi private. È un altro dei fronti tradizionalmente "caldi" dove il trattamento dei dati personali si connette strettamente alle esigenze del corretto funzionamento del sistema economico, della sicurezza e dell´affidabilità degli operatori. Si tratta di un settore nel quale la questione affrontata in sede di ricorso ha portato talvolta a successivi ed autonomi approfondimenti, specie con riguardo all´informativa resa, alla raccolta del consenso e all´estensione delle ipotesi di comunicazione dei dati a terzi.
Dati sanitari. La delicatezza dei dati riguardanti lo stato di salute e la giustificata attenzione degli interessati al riguardo ha dato luogo alla presentazione di ricorsi anche in questo campo, sia con riguardo alla necessità dell´interessato di avere piena contezza dei dati –comuni e sensibili– raccolti sul proprio conto (in relazione a trattamenti sanitari svolti in strutture pubbliche o private), sia in relazione all´esigenza di verificare la liceità, la pertinenza e la non eccedenza dei trattamenti stessi (Provv. del 26 marzo 2001).
Trattamenti in ambito giornalistico. Una serie di ricorsi hanno riguardato questo settore con specifico riferimento al disposto dell´art. 25 della legge ed alle disposizioni di dettaglio previste dal c.d. codice deontologico dei giornalisti. All´interno di questo ambito si è segnalata come particolarmente delicata la casistica emersa in riferimento al trattamento dei dati personali di soggetti minori nel corso di trasmissioni televisive.
Casi diversi. Nell´ultimo periodo sono stati portati all´attenzione del Garante, con lo strumento del ricorso, alcuni temi rispetto ai quali emerge una diffusa sensibilità degli interessati. Basti ricordare al riguardo il trattamento dei dati in ambito condominiale o quello svolto da professionisti legali o da loro collaboratori e consulenti nell´ambito di procedimenti giudiziari.
67. ASPETTI PROCEDURALI
La legge n. 675 e le disposizioni del regolamento applicativo (artt. 18, 19 e 20 del d.P.R. n. 501/1998) hanno configurato il ricorso ex art. 29 come uno strumento estremamente veloce nella tempistica di decisione e sostanzialmente agevole nelle formalità procedurali. Purtuttavia, alcuni requisiti minimi devono essere osservati dal ricorrente che voglia correttamente utilizzare questo strumento.
In proposito vanno segnalati alcuni dei più frequenti "errori" nei quali sono incorsi i ricorrenti. Va anzitutto ricordato che la presentazione del ricorso può avvenire di regola solo a seguito di una previa istanza inoltrata, ai sensi dell´art. 13 della legge, al titolare o al responsabile del trattamento, qualora non sia pervenuta all´interessato alcuna risposta od il riscontro fornito sia ritenuto incompleto o inidoneo.
La legge ha peraltro previsto (art. 29, comma 2) un tempo per la risposta all´interessato estremamente breve (cinque giorni). Solo quando il decorso di tale pur breve termine può esporre "taluno a pregiudizio imminente e irreparabile " è possibile prescindere dal previo interpello del titolare del trattamento. In alcuni casi, invece, sono stati presentati al Garante ricorsi che non erano stati preceduti dalla presentazione dell´istanza ex art. 13 (Provv. del 30 ottobre 2000), oppure ricorsi dei quali veniva evidenziata una generica urgenza non comprovata da utili riscontri.
Altri specifici profili procedurali sono emersi nel corso dell´ultimo anno. Fra questi si ricordano:
Autenticazione della firma del ricorrente. Il già citato d.P.R. n. 501 ha previsto che l´atto di ricorso debba recare la sottoscrizione del ricorrente autenticata a norma di legge (ossia dal legale, nel caso di procura rilasciata allo stesso, o da altri soggetti abilitati all´autenticazione della firma, nel caso di ricorso proposto direttamente senza assistenza di legale). Tale requisito è, come detto, espressamente richiesto dalle norme regolamentari concernenti i ricorsi (art. 18, comma 1, lettera e), d.P.R. n. 501/1998) e non può essere sostituito (come erroneamente ritenuto da altri ricorrenti) dall´autocertificazione della firma. La citata disposizione regolamentare costituisce, in effetti, una disciplina speciale, non abrogata dal d.P.R. 28 dicembre 2000, n. 445, che trova giustificazione nella peculiarità del procedimento attivato dal ricorso medesimo. Con tale strumento, infatti, gli interessati chiedono la tutela di propri diritti soggettivi in alternativa ad un´azione dinanzi all´autorità giudiziaria, e provocano l´adozione di un provvedimento che deve essere rispettato a pena di sanzione penale.
Verifica dell´identità del ricorrente. È stata eccepita da un titolare di trattamento l´inammissibilità di un ricorso, sostenendo che l´istanza di accesso ex art. 13 era stata presentata dall´interessato senza allegare un documento di riconoscimento. Tale eccezione è stata ritenuta infondata dal Garante (Provv. 14 marzo 2001). In effetti l´art. 17, comma 2, del d.P.R. n. 501/1998 precisa che "l´interessato deve dimostrare la propria identità, anche esibendo o allegando copia di un documento di riconoscimento". L´allegazione di un documento d´identità è, dunque, una delle possibili modalità di dimostrazione dell´identità personale, né esclusiva, né obbligatoria, essendo sufficiente appurare l´identità personale anche attraverso altre adeguate circostanze quale tra l´altro la conoscenza personale. Nel caso di specie, tra l´altro, risultava che il titolare stesso, sia in sede di prima risposta all´istanza ex art. 13, sia in sede di riscontro all´invito ad aderire alle richieste dell´interessato (formulato dall´Autorità nel quadro della procedura di ricorso), avesse comunque riscontrato le istanze dell´interessato senza sollevare obiezione alcuna.
Esercizio dei diritti e ricorso a mezzo di delega o procura a soggetto terzo. In proposito il Garante ha ricordato (Provv. 23 maggio 2001) che la legge n. 675 prevede la possibilità per l´interessato di esercitare i diritti di cui all´art. 13 della medesima legge personalmente o conferendo, per iscritto, delega o procura a persone fisiche o ad associazioni (art. 13, comma 4). Più specificamente l´art. 17, comma 2, del d.P.R. n. 501/1998 prevede che la persona che esercita i diritti di cui all´art. 13 su incarico dell´interessato, deve esibire o allegare al titolare stesso copia della procura o della delega recante sottoscrizione autenticata nelle forma di legge. In caso di successivo ricorso ex art. 29, che non sia presentato personalmente dall´interessato, il soggetto che lo sottoscrive per conto di quest´ultimo deve produrre la propria sottoscrizione autenticata nelle forme di legge ed allegare inoltre la procura speciale rilasciata (art. 18, commi 1, lett. e) e 2, d.P.R. n. 501/1998).
Alternatività del ricorso al Garante. L´art. 29, comma 1, ultimo periodo, della legge precisa che "il ricorso al Garante non può essere proposto qualora, per il medesimo oggetto e tra le stesse parti, sia stata già adita l´autorità giudiziaria". Pertanto non è ad esempio possibile invocare con un ricorso la tutela del Garante (sulla base della legge sulla protezione dei dati personali), in riferimento a giudizi e a valutazioni espressi da un datore di lavoro nei confronti di un dipendente, quando l´atto che li contiene e che ha determinato la risoluzione del rapporto è stato già posto all´esame del giudice ordinario in funzione di giudice del lavoro con un´istanza di reintegrazione nelle funzioni lavorative basata anche sulla contestazione dei medesimi profili di privacy rappresentati poi al Garante.
Infine, esistono ambiti o tipi di trattamento rispetto ai quali non è possibile esercitare i diritti dell´art.13 e conseguentemente proporre ricorso ex art. 29. In proposito si deve ad esempio citare la disposizione dell´art. 3 secondo la quale il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali non è soggetto – a date condizioni – all´applicazione della legge n. 675. Di conseguenza non è ipotizzabile la presentazione di ricorsi attinenti alla sfera dei rapporti interpersonali (Provv. 7 settembre 2000). Parimenti, non è al momento possibile proporre ricorsi in ordine ai trattamenti enumerati nell´art. 4, comma 1, della legge (trattamenti svolti da uffici giudiziari per ragioni di giustizia, trattamenti svolti per finalità di difesa dello Stato e per la prevenzione o la repressione dei reati, ecc.). In tale ambito specifico rientrano anche i trattamenti concernenti l´applicazione della legge n. 1423 del 1956 in tema di misure di prevenzione (Provv. 1° settembre 2000). Tali trattamenti non si collocano peraltro in una "zona franca" priva di alcuna tutela sotto il profilo della "data protection ". È infatti possibile sollecitare, attraverso una richiesta o l´invio di una segnalazione o reclamo al Garante, la verifica della rispondenza dei trattamenti di dati ai requisiti stabiliti dalla legge e dai regolamenti (artt. 31, comma 1, lettera d) e 32). A tutti i trattamenti di cui al citato art. 4, comma 1, sono comunque applicabili le norme della legge n. 675 specificate nel comma 2 del medesimo art. 4.
Impugnazione dei provvedimenti dell´Autorità
68. CASI DI CONTENZIOSO E TIPOLOGIE DI ATTI IMPUGNATI
Il numero di provvedimenti del Garante che in questi primi anni di attività sono stati oggetto di impugnazione è piuttosto limitato. Si esamina qui brevemente questa casistica facendo riferimento alla tipologia degli atti impugnati.
Ricorsi ex art. 29. Dal febbraio 1999 (data di entrata in vigore delle norme regolamentari concernenti i ricorsi) al 31 maggio 2001 risultano essere stati impugnati davanti al competente tribunale ordinario, ai sensi dell´art. 29, comma 6, della legge, n. otto decisioni del Garante emesse in relazione a ricorsi (su un totale di 354 ricorsi già decisi). In tre dei casi citati, in presenza di decisioni del tribunale che hanno annullato il provvedimento del Garante precedentemente emesso, gli interessati hanno presentato ricorso per cassazione. Il Garante si è costituito in giudizio in sede di merito e di legittimità quando l´impugnazione è stata notificata all´Autorità o ne è giunta comunque notizia al Garante.
Uno dei "nodi" che si è posto al riguardo è quello concernente la legittimazione passiva del Garante e quindi la possibilità dello stesso di costituirsi, di regola tramite l´Avvocatura dello Stato, innanzi ai tribunali o alla Corte di cassazione per difendere le ragioni giuridiche dei provvedimenti opposti, limitatamente a questioni di interesse generale strettamente connessi ad una corretta applicazione della legge, anziché ad aspetti di merito legati a specifiche questioni.
Fin dal primo momento, sulla questione il Garante aveva chiesto il parere dell´Avvocatura generale dello Stato, che si è espressa sul delicato profilo con un parere del 29 ottobre 1999. In tale occasione, pur nella consapevolezza della novità e della peculiarità della fattispecie, è stato espresso un avviso favorevole alla costituzione dell´Autorità nei citati giudizi affinché il Garante possa far valere le proprie ragioni a tutela unicamente dell´interesse pubblico, tenendo conto delle sue specifiche e caratteristiche funzioni. Ciò in quanto la determinazione del Garante, emessa appunto in relazione ad un ricorso presentato ai sensi dell´art. 29, non è solo decisione su un contrasto tra parti, ma pure espressione di una visione e valutazione dell´interesse pubblico generale, a tutela del quale l´Autorità è tenuta a svolgere le proprie funzioni.
L´Avvocatura ha peraltro sottolineato l´opportunità di limitare in concreto la costituzione in giudizio ai soli aspetti nei quali si presentino in maniera più specifica i profili attinenti all´interesse pubblico protetto.
A questo indirizzo il Garante si è attenuto costantemente in questi mesi, intervenendo a difesa di decisioni il cui rilievo, andando ben oltre il limitato caso di specie, aveva riflessi su un´ampia platea di interessati e coinvolgeva rilevanti profili interpretativi della disciplina sulla protezione dei dati personali (si pensi, ad esempio, alla questione se la legge sia applicabile ed in quale misura al settore giornalistico, anche quando il trattamento di dati non pertenga ad una "banca di dati").
Si segnalano in proposito gli atti con i quali alcuni titolari di trattamento hanno impugnato le decisioni con cui il Garante aveva riconosciuto a taluni dipendenti l´accesso a tutti i dati personali detenuti dal datore di lavoro, ivi compresi i giudizi e le valutazioni annuali, nonché l´impugnazione di un provvedimento con il quale era stato riconosciuto ad un danneggiato l´accesso integrale ad una perizia medico-legale redatta dal medico di fiducia di una società di assicurazione cui era stata presentata una richiesta di risarcimento del danno.
Si tratta di questioni di rilevante attualità per un vasto numero di interessati, specificamente approfondite nelle relative sezioni di questa relazione. In questa sede giova solo ricordare come al centro di entrambe le vicende vi sia il concetto stesso di "dato personale" che l´art. 1 della legge n. 675 e la direttiva comunitaria n. 95/46 descrivono in modo particolarmente ampio. È su questa definizione normativa che il Garante ha fatto leva per assumere e precisare, appunto, un´ampia conformazione del concetto di dato personale che, al di là degli elementi strettamente oggettivi o identificativi di un soggetto, ricomprende i giudizi e le valutazioni che parimenti offrono un contributo informativo su una determinata persona.
Vanno infine ricordati altri tre casi di opposizione a decisioni su ricorsi che hanno riguardato diversi aspetti della legge n. 675:
l´opposizione alla decisione del Garante del 19 aprile 1999 (caso Valoti/Olcese–R.C.S. Editore S.p.a., oggetto anche di vari commenti in dottrina), con specifico riferimento ai limiti di applicabilità della legge n. 675 ai trattamenti in ambito giornalistico. Dopo l´annullamento della decisione del Garante da parte del Tribunale di Milano si è in attesa del deposito della recente decisione della Corte di cassazione;
il decreto del Tribunale di Milano del 20 ottobre 2000 con il quale è stata rigettata l´opposizione proposta da RAI S.p.a. nei confronti della decisione del Garante del 31 maggio 2000, anch´essa relativa a trattamenti in ambito giornalistico;
la decisione del Tribunale di Padova del 26 maggio 2000 che ha rigettato l´opposizione avverso il provvedimento del Garante del 9 settembre 1999 con il quale era stato rigettato il ricorso dell´interessato in merito al diniego di cancellazione dei propri dati personali dal registro dei battesimi della parrocchia nella quale era stato a suo tempo celebrato il sacramento.
Altri provvedimenti impugnati. In proposito si deve segnalare l´impugnazione di due decisioni adottate dal Garante sulla base di poteri e funzioni diversi da quelli di cui all´art. 29 della legge:
l´impugnazione proposta dalla Congregazione cristiana dei Testimoni di Geova nei confronti del provvedimento del 29 settembre 1999 (autorizzazione generale n. 3/1999 al trattamento dei dati sensibili da parte degli organismi associativi e delle fondazioni) che è stata rigettata dal Tribunale di Roma il 5 luglio 2000;
la recente impugnazione dinanzi al Tribunale di Roma, da parte dell´Associazione politica nazionale "Lista Marco Pannella", del provvedimento in data 11 gennaio 2001 relativo all´invio di messaggi politici tramite e-mail.
Attività ispettive e applicazione di sanzioni amministrative
69. LA PROGRAMMAZIONE DELLE ISPEZIONI E I RISULTATI
Nel corso del 2000 è proseguita l´attività di strutturazione e programmazione delle attività ispettive del Garante, intendendo per tali gli interventi esterni effettuati dall´Autorità nei luoghi dove si svolgono i trattamenti di dati.
Tali attività sono eseguite, di norma, da personale del Dipartimento vigilanza e controllo e possono essere classificate in cinque principali tipologie la cui scelta è determinata in ragione dello specifico fine istituzionale da raggiungere ed è informata a principi di proporzionalità, adeguatezza e gradualità.
Più in particolare, si distinguono sopralluoghi (con o senza preavviso), accessi alle banche di dati, collaborazioni, investigazioni e indagini conoscitive.
I sopralluoghi con preavviso sono effettuati sulla base del disposto dell´art. 32, comma 2, della legge, hanno natura collaborativa e consistono nell´invio di funzionari del Garante nei luoghi dove si svolge il trattamento per procedere, di concerto con il titolare o il responsabile, all´acquisizione diretta di informazioni e di documenti. Si tratta di una procedura utilizzata specie quando sono necessarie descrizioni analitiche alle quali gli interessati potrebbero avere difficoltà a rispondere in modo esaustivo. Un importante e riuscito sopralluogo con preavviso è stato ad esempio eseguito per controllare un particolare sistema di rilevazione di impronte digitali posto all´ingresso di un istituto bancario.
I sopralluoghi senza preavviso sono disposti, invece, anche in relazione a quanto previsto dall´art. 13, comma 1, della legge 24 novembre 1981, n. 689 e sono finalizzati al controllo dell´osservanza delle disposizioni per la cui violazione l´art. 39 della legge n. 675 prevede la sanzione amministrativa del pagamento di una somma di denaro. Si fa riferimento, ad esempio, alle ipotesi di mancata o infedele risposta alle richieste di informazioni e di esibizione di documenti (art. 32, comma 1) o di mancata o irregolare informativa (art. 10). In questi casi, i funzionari dell´Ufficio del Garante possono assumere informazioni e procedere a ispezioni di cose e di luoghi diversi dalla privata dimora, a rilievi segnaletici, descrittivi e fotografici e ad ogni altra operazione tecnica. Tale tipologia d´intervento è stata utilizzata, tra l´altro, per verificare la legittimità di installazioni di impianti di videosorveglianza e di webcam in esercizi commerciali e in laboratori artigiani.
Gli accessi alle banche dati sono effettuati, invece, in base ai poteri dell´art. 32, comma 2, della legge. La norma fa riferimento anche ad "altre ispezioni e verifiche nei luoghi ove si svolge il trattamento o nei quali occorre effettuare rilevazioni comunque utili al medesimo controllo". In tali casi, l´Ufficio dispone di poteri incisivi e l´intervento può essere in ipotesi eseguito anche contro la volontà degli interessati, previa autorizzazione del presidente del tribunale territorialmente competente (art. 32, comma 3, della legge), oppure dotandosi dell´assenso scritto ed informato del titolare o del responsabile del trattamento (art. 15, comma 1, d.P.R. n. 501/1998). Simili accessi, ispezioni e verifiche sono state ad esempio eseguite nei confronti di due società di direct marketing che gestiscono grandi basi di dati personali a fini commerciali.
Ulteriori tipologie ispettive sono rappresentate dalle richieste di collaborazione che pervengono da autorità giudiziarie o di polizia e dalle investigazioni di polizia giudiziaria. Per queste ultime, la legge prevede che il personale dell´Ufficio del Garante addetto agli accertamenti di cui all´art. 32 possa rivestire, in numero non superiore a cinque unità, nei limiti del servizio cui è destinato e secondo le rispettive attribuzioni, la qualifica di ufficiale o agente di polizia giudiziaria (art. 33, comma 6-bis). Tale personale può effettuare indagini di propria iniziativa con i poteri di cui all´art. 347 ss. del codice di procedura penale.
Le indagini conoscitive, infine, sono interventi esterni a carattere collaborativo disposti per verificare lo stato di attuazione della legge in determinati settori che normalmente si concludono con delibere di portata applicativa generale nei confronti dei vari soggetti che svolgono trattamenti della specie considerata.
Le ispezioni sono state effettuate sulla base di un programma periodico che determina, per ciascuna tipologia, le priorità e i criteri informatori ai quali l´Ufficio deve attenersi. Sulla base di tali indicazioni, le attività ispettive dell´anno 2000 hanno tratto origine, per due terzi, da segnalazioni e reclami e, per la restante parte, da iniziative autonome del Garante. Nel settore privato i controlli hanno riguardato società di direct marketing, due editori, una banca, altre imprese del terziario e una ditta artigiana. Anche tre organismi pubblici (due comuni e un istituto ospedaliero) sono stati oggetto di accertamenti.
Metà dei controlli hanno avuto esito positivo con la constatazione di illegittimità riconducibili, almeno in parte, ad una ancora insufficiente conoscenza della normativa sulla protezione dei dati personali. Di conseguenza, sono stati emessi provvedimenti di blocco e di divieto e sono state applicate sanzioni amministrative. Nei casi più gravi sono state inviate segnalazioni all´autorità giudiziaria, una delle quali ha riguardato i responsabili di un soggetto pubblico per l´omessa adozione delle misure necessarie alla sicurezza dei dati (art. 36 della legge).
Particolare rilievo ha avuto un accertamento riguardante un vasto commercio di dati di minori venduti da una società di direct marketing ed utilizzati dalle imprese clienti per inviare sollecitazioni commerciali alle famiglie dei bambini. Gli accertamenti, effettuati anche in collaborazione con la Guardia di finanza e con la Polizia postale delle comunicazioni, sono stati estesi a editori e ad un´anagrafe comunale ed hanno portato all´emissione di un provvedimento di blocco dei trattamenti e di segnalazioni all´autorità giudiziaria per i reati di trattamento illecito di dati personali (art. 35 della legge) e di omessa e incompleta notificazione al Garante (art. 34) per i quali è prevista la reclusione fino a due anni.
L´analogo programma di ispezioni del primo semestre 2001 prevede che gli interventi vengano effettuati sulla base dei seguenti criteri: a) i sopralluoghi verranno di regola disposti quando, per acquisire gli elementi necessari, non sia ritenuto utile rivolgere una richiesta di informazioni o di esibizione di documenti; b) gli accessi alle banche dati verranno di regola disposti quando non sia ritenuto opportuno rocedere alla richiesta di informazioni o di esibizione di documenti oppure quando le informazioni o i documenti richiesti o pervenuti siano ritenuti incompleti e non veritieri; c) le collaborazioni effettuate su richiesta della magistratura e delle forze di polizia verranno disposte dando priorità ai contesti dai quali emergono o potrebbero emergere notizie di reato.
L´Ufficio continuerà ad avvalersi della collaborazione di altri organi dello Stato quando ciò sia necessario per assicurare la speditezza e la completezza dei controlli, anche sulla base di eventuali protocolli d´intesa con le forze di polizia.
Quanto all´autorizzazione giudiziaria prevista dall´art. 32, comma 3, i primi accertamenti esterni svolti hanno evidenziato come tale procedura richieda, a volte, tempi di attesa non compatibili con le esigenze di rapidità dell´Ufficio. Con i successivi accertamenti è stata perciò sperimentata la procedura dell´assenso scritto e informato prevista dall´art. 15 del d.P.R. n. 501/1998 e i risultati sono stati decisamente positivi. L´assenso, infatti, è stato sempre concesso, gli accertamenti sono stati eseguiti dopo un brevissimo lasso di tempo dalle deliberazioni del Garante e sono stati acquisiti tutti gli elementi necessari per il prosieguo degli accertamenti. In futuro, pertanto, gli interventi dell´autorità giudiziaria saranno probabilmente limitati ai casi di maggiore complessità e gravità o quando l´assenso sia rifiutato o ritardato.
70. IL PROCEDIMENTO PER L´APPLICAZIONE DI SANZIONI
Nel corso del 2000 non sono emersi presso il Garante particolari problematiche applicative per quanto riguarda le sanzioni di carattere penale previste dalla legge n. 675/1996 (omessa o infedele notificazione – art. 34 –, raccolta e trattamento illecito dei dati – art. 35 –, omessa adozione delle misure minime di sicurezza – art. 36 –, inosservanza dei provvedimenti del Garante (art. 37)). Le doverose denunce di reato sono state trasmesse dall´Ufficio in conseguenza di ispezioni in loco o di un accertamento dei fatti nell´ambito di una deliberazione collegiale.
Si è proceduto invece a terminare la fase di rodaggio del procedimento amministrativo per l´applicazione delle sanzioni amministrative pecuniarie indicate nell´articolo 39 della legge.
Il comma 1 dell´art. 39 prevede infatti una sanzione applicabile a chiunque ometta di fornire le informazioni o di esibire i documenti richiesti dal Garante (pertanto tale richiesta può essere indirizzata indifferentemente al titolare, al responsabile, all´incaricato del trattamento, a terzi e, in ipotesi, allo stesso interessato).
La richiesta di informazioni o l´esibizione di documenti può essere formulata a seguito della presentazione di un ricorso (art. 29, comma 4) o in qualsiasi altro momento purché occorra ai fini dell´espletamento dei compiti del Garante (art. 32, comma 1).
L´illecito si configura allorché è decorso inutilmente il termine prefissato dal Garante. Nel caso appena indicato la sanzione è da lire un milione a lire sei milioni e in questo come nei successivi casi l´illecito può essere ovviamente definito con il pagamento in misura ridotta di lire due milioni, oltre alle spese del procedimento, come è avvenuto in un importante caso di mancata informativa circa la raccolta di impronte digitali all´ingresso di un istituto bancario (art. 16 l. n. 689/1981).
La sanzione è invece inferiore (da lire cinquecentomila a lire tre milioni: art. 39, comma 2) e può essere quindi oggetto di un pagamento in forma ridotta pari a lire un milione qualora l´illecito consista: a) nella mancata o incompleta o tardiva informativa diretta alla persona presso la quale sono raccolti i dati (art. 10, comma 1); b) nella mancata o incompleta o tardiva informativa all´interessato quando i dati sono stati raccolti presso terzi (art. 10, comma 3); c) nel mancato invio delle informative di cui ai commi 1 e 2 dell´art. 10 "giustificato" dall´improprio utilizzo delle eccezioni previste dall´art. 10, commi 2 e 4; d) nella comunicazione all´interessato dei dati idonei a rivelare lo stato di salute senza il tramite del medico scelto dall´interessato oppure, in mancanza di tale indicazione, dal titolare.
Come si diceva, l´Autorità ha ora definito compiutamente una procedura per applicare tali sanzioni.
Si procede previamente con la notificazione di una "contestazione di violazione amministrativa", che si concretizza di regola nell´invio dell´atto in copia conforme all´originale con plico raccomandato, dal ricevimento della quale decorrono i seguenti termini:
uno di trenta giorni entro il quale la parte potrà far pervenire all´Autorità scritti difensivi, documenti e potrà chiedere di essere sentita;
uno di sessanta giorni (art. 16 l. 24 novembre 1981, n. 689) entro il quale il titolare del trattamento è ammesso a pagare una somma in misura ridotta tramite versamento sul conto corrente postale intestato al Garante per la protezione dei dati personali.
In caso di pagamento deve darsi tempestiva comunicazione all´Ufficio, presentando o inviando copia della quietanza, al fine di evitare l´inoltro del rapporto per l´ordinanza-ingiunzione e l´applicazione della sanzione in misura intera trascorsi i sessanta giorni dalla notificazione.
Qualora non venga effettuato il pagamento in misura ridotta entro i sessanta giorni dalla notifica dell´atto, infatti, l´Ufficio predispone un rapporto e il Garante adotta i provvedimenti previsti all´articolo 18 della legge n. 689/1981 in relazione all´articolo 39 della legge n. 675/1996.
La destinazione dei proventi delle sanzioni tiene conto di quanto disposto dall´art. 14 del d.lg. 30 luglio 1999, n. 281, il quale, integrando il comma 3 dell´articolo 39 della legge n. 675/1996, ha stabilito che i proventi stessi, nella misura del cinquanta per cento del totale annuo, sono riassegnati al fondo che attende alle spese di funzionamento dell´Ufficio del Garante, per essere poi utilizzati unicamente per l´esercizio dei compiti di cui agli articoli 31, comma 1, lett. i) ("curare la conoscenza tra il pubblico delle norme che regolano la materia e le relative finalità, nonché delle misure di sicurezza") e 32 ("accertamenti e controlli").
La collaborazione con altre autorità indipendenti
71. LE PRINCIPALI ATTIVITÀ
L´art. 31, commi 5 e 6, della legge n. 675/1996, prevede una cooperazione tra il Garante ed altre autorità indipendenti nello svolgimento dei rispettivi compiti.
Anche nel corso del 2000 questa cooperazione si è sviluppata in diversi contatti ed anche attraverso quesiti, sia per le questioni di trattamento dei dati personali, sia per quanto riguarda il trattamento giuridico ed economico del personale.
Un piano di lavoro comune su alcuni punti è stato di recente convenuto in un positivo incontro tra il Garante e l´AIPA, che dovrebbe avere come primo sbocco un documento congiunto di linee-guida sulle basi di dati della pubblica amministrazione.
Quesiti e richieste di collaborazione vanno segnalate anche per quanto riguarda la Consob e l´Autorità per le garanzie nelle comunicazioni, da ultimo per quanto riguarda i diritti degli utenti riguardo alla formazione di elenchi per la telefonia mobile.
L´attività di informazione e comunicazione
72. PROFILI GENERALI
Al forte consolidamento dell´attività del Garante e al pieno riconoscimento – da parte della società, del mondo delle imprese, della pubblica amministrazione e dei media – del ruolo di tutela svolto dall´Autorità, ha corrisposto uno sforzo di informazione, ancora più incisivo e puntuale, sui nuovi diritti introdotti dalla disciplina sulla protezione dei dati e sulla revisione dell´ordinamento giuridico oltre che delle prassi in vigore nel Paese.
L´impegno ad una comunicazione efficace e capillare risponde non solo all´esigenza di adempiere ai compiti affidati all´Autorità dalla legge sulla privacy, ma è frutto della consapevolezza che, anche grazie ad un costante, rigoroso e affidabile lavoro di chiarificazione e orientamento, può realizzarsi l´obiettivo di una crescita complessiva della società e la costruzione di quella cultura del rispetto che rappresenta un vero salto qualitativo, improntato alla trasparenza e al rigore, nei rapporti tra cittadini e le piccole e grandi banche dati presenti in Italia.
In questa direzione il Garante ha utilizzato diverse forme di comunicazione, da quelle più tradizionali a quelle a carattere multimediale, ipertertestuale e interattivo, diffondendo e rendendo accessibili le pubblicazioni on-line e servendosi, comunque, anche di supporti off-line quali ad esempio CD Rom.
L´attività di informazione del Garante ha privilegiato un linguaggio attento ad una funzione informativa e al tempo stesso esplicativa dei processi e delle ragioni alla base delle decisioni e delle iniziative poste in essere, nonché illustrativa delle innovazioni, in termini di procedure e prassi, che la legge sulla protezione dei dati ha determinato nei diversi ambiti organizzativi, sia sociali che economici. L´accento è stato posto dall´Autorità sulle novità introdotte dalle norme e sui diritti riconosciuti ai cittadini e agli utenti di scegliere liberamente e di controllare, anche attraverso un espresso consenso preventivo, l´ambito di circolazione dei dati.
La comunicazione dell´Autorità si è dunque connotata come fortemente tesa ad avviare procedure di riorganizzazione dei servizi pubblici e privati e a promuovere nuovi diritti dei cittadini (trasparenza, semplificazione, riservatezza, accesso). Comunicare, insomma, non ha mai rappresentato per un´istituzione come il Garante una funzione aggiuntiva ed estranea ai processi organizzativi interni, ma un elemento strategico irrinunciabile per avviare processi di trasformazione e per definire un nuovo sistema di relazioni tra istituzioni e cittadini.
In questo senso, la stessa previsione contenuta nell´art. 31, lettera i), della legge n. 675, che prevede tra i compiti del Garante quello di "curare la conoscenza tra il pubblico delle norme che regolano la materia", risponde pienamente ai canoni fissati dalla innovativa legge n. 150 del 2000 con la quale la comunicazione pubblica viene definitivamente legittimata e diviene obbligo istituzionale.
Le tematiche che più hanno incontrato l´interesse della stampa riguardano la tutela dei consumatori (la protezione su Internet, le forme di raccolta di dati mediante tagliandi, l´utilizzo di dati sanitari nell´e-commerce, i rapporti con il sistema bancario, l´uso delle impronte digitali, il direct marketing); l´attività di ispezione svolta dal Garante direttamente presso le banche dati; il lavoro di indagine riguardo ai tracciamenti invisibili (Echelon, Internet); la sanità; le misure di sicurezza, i dati genetici, la videosorveglianza; i rapporti tra diritto di cronaca e tutela della riservatezza; le grandi reti della pubblica amministrazione; la propaganda elettorale; i controlli sui lavoratori; le grandi schedature di massa.
Nel periodo dal gennaio 2000 all´aprile 2001, le pagine dedicate alla privacy dai maggiori quotidiani e periodici nazionali sono state oltre 4000, delle quali circa 1700 dedicate specificamente all´attività del Garante. Le prime pagine sono state circa 650.
La tipologia dei prodotti informativi è stata, come si è detto, ampia e differenziata.
La Newsletter settimanale, al suo secondo anno di pubblicazione, ha svolto una funzione importante nella diffusione dell´attività dell´Ufficio. Illustrando gli interventi del Garante in chiave divulgativa, essa ha consentito di raggiungere un pubblico sempre più ampio, composto non più, come in un primo tempo, solo di giornalisti, amministratori pubblici e professionisti, ma anche di operatori del settore creditizio, industriale, di rappresentanti delle associazioni di categoria e di semplici cittadini. Affiancando la comunicazione tradizionale, realizzata attraverso comunicati stampa, con una di tipo più ampio e approfondito, la Newsletter si è rivelata oltre che uno strumento di comunicazione, anche una sorta di "archivio" di consultazione relativamente ai diversi ambiti di applicazione della legge n. 675 e ai variegati aspetti connessi con la tutela della riservatezza sui quali l´Autorità è intervenuta. La possibilità di consultare la Newsletter on-line ha facilitato la diffusione delle informazioni.
Le Newsletter diffuse nel periodo che va dal gennaio 2000 all´aprile 2001 sono state 55, mentre i comunicati-stampa 71.
È proseguita la realizzazione del CD Rom, giunto nel 2000 alla sua terza edizione: un archivio digitale ipertestuale che contiene la documentazione integrale, relativa all´attività del Garante, alla normativa nazionale ed internazionale di riferimento e alle pubblicazioni fin qui realizzate.
L´archivio digitale "Cittadini e Società dell´informazione" è distribuito su CD Rom multipiattaforma ed è realizzato in formato Adobe Pdf, scelto per la sua flessibilità nel gestire e riprodurre lunghi documenti di testo rispettandone i caratteri, l´impaginazione, le immagini e gli elementi grafici in maniera indipendente dalle applicazioni software e dall´hardware con cui sono stati generati. L´accesso alle informazioni è facilitato da un´interfaccia sobria, studiata per consentire di "navigare" attraverso le varie sezioni dell´archivio grazie ai controlli dinamici inseriti nelle pagine sotto forma di icone.
Un lavoro di catalogazione dei documenti consente infine, grazie agli strumenti messi a disposizione da Acrobat, di effettuare ricerche "full text" all´interno del CD Rom.
Il successo del CD, che viene inviato gratuitamente a chiunque ne faccia richiesta, è testimoniato dall´alto numero di richieste, oltre 6000 per la sola terza edizione, pervenute da amministrazioni pubbliche, dal settore privato, da liberi professionisti e da semplici cittadini.
Tra le attività di comunicazione va ricordata inoltre la pubblicazione, dapprima bi-trimestrale e dal 1° gennaio 2001 a cadenza mensile, del Bollettino "Cittadini e Società dell´Informazione" che ha raggiunto il numero 21 nel mese di giugno 2001 e che raccoglie i provvedimenti del Garante, la normativa in materia, i comunicati stampa ed altra documentazione sull´attività dell´Autorità.
Il rapporto con il pubblico, assicurato attraverso il menzionato servizio di help desk, ha mantenuto caratteristiche di informalità ed immediatezza, favorendo un flusso costante di informazione verso i cittadini e consentendo, nello stesso tempo, l´acquisizione di problematiche ed esigenze provenienti dalla società civile, dal mondo delle imprese, dalla ricerca e dalle pubbliche amministrazioni.
L´attenzione ad un rapporto diretto con la società riveste, del resto, un´importanza fondamentale, inserendosi in quel modello di istituzione aperta, non burocratica e attenta ai processi in atto e alle uove prospettive, perseguito dall´Autorità fin dall´inizio della sua attività.
La prossima apertura dell´Ufficio per le relazioni con il pubblico attiverà forme di interazione ancora più efficaci e dirette con tutti i cittadini che avranno bisogno di informazioni e strumenti illustrativi e divulgativi sull´attività dell´Autorità.
73. SEMINARI, CONVEGNI ED ALTRE INIZIATIVE
La Conferenza internazionale organizzata a Venezia nel settembre del 2000 verrà menzionata nel par. 83. Qui vanno ricordati due convegni promossi ed organizzati anch´essi dal Garante, tenutisi entrambi a Roma nel mese di luglio del 2000 e risultati assai utili ai fini del dibattito e dell´approfondimento su temi di particolare delicatezza.
Al primo, dedicato al tema dei dati genetici, ha fatto seguito la formulazione di un piano d´azione in sette punti, volto ad assicurare un utilizzo corretto dei dati genetici e ad evitare l´uso a fini economici, commerciali o discriminatori di questo genere di delicate informazioni personali.
Nel secondo, dedicato alla videosorveglianza, è stata presentata la prima indagine realizzata in Italia sulla presenza dei sistemi di videocontrollo installati in taluni luoghi pubblici e privati di tre grandi città (Roma, Milano e Napoli), nonché in una città di medie dimensioni (Verona). I dati emersi nella ricerca commissionata dal Garante, pur rappresentando una prima stima, hanno mostrato in maniera inequivocabile una crescente diffusione dell´uso di telecamere nel nostro Paese.
Un´altra importante occasione per approfondire il ruolo svolto dalla normativa sulla privacy nei confronti delle nuove frontiere della difesa dell´identità, della dignità e della libertà dell´individuo, è stata fornita dalla presentazione, svoltasi presso il Senato della Repubblica nel novembre 2000, del volume "La tutela della riservatezza" del "Trattato di diritto amministrativo" diretto dal prof. Giuseppe Santaniello, che ha ricostruito in modo organico ed aggiornato, anche sul piano internazionale, alcuni grandi temi della complessa tematica della protezione dei dati personali.
Con l´obiettivo di promuovere la conoscenza della legge e di diffonderla presso cittadini ed operatori pubblici e privati, il Garante ha partecipato ad altre importanti manifestazioni.
Il Forum P.A. edizione 2000, svoltosi a Roma dall´8 al 12 maggio, ha visto una rilevante partecipazione dell´Autorità. Il Forum ha infatti dedicato uno dei temi all´argomento "Pubblica amministrazione e privacy" riservando la presidenza di ben cinque convegni al Garante: "Pubblica amministrazione e privacy: un nuovo rapporto con il cittadino", presieduto dal prof. Stefano Rodotà; "Privacy e giustizia", presieduto dal prof. Giuseppe Santaniello; "Privacy e dati sanitari", presieduto dal prof. Ugo De Siervo; "Privacy e nuove tecnologie", presieduto dall´ing. Claudio Manganelli; "Privacy ed efficienza della P.A.", presieduto dal segretario generale, cons. Giovanni Buttarelli.
L´Autorità è stata anche presente al ComPA, Salone della comunicazione pubblica, svoltosi a Bologna dal 20 al 22 settembre 2000, e allo Smau di Milano, svoltosi dal 19 al 23 ottobre 2000.
Va ricordato, inoltre, che il 2000 ha registrato anche la costante presenza di rappresentanti del Garante e di funzionari dell´Ufficio in convegni, seminari ed incontri organizzati da università, comuni, associazioni di categoria ed organismi allo scopo di approfondire e discutere i diversi aspetti attuativi ed interpretativi della legge n. 675 del 1996.
Nell´aprile del 2001, infine, si è svolto a Napoli il "Terzo Global Forum sulla Pubblica Amministrazione" al quale è intervenuto il prof. Stefano Rodotà, che ha posto l´accento sui problemi di privacy che esistono anche per l´e-government e sulla necessità di assicurare l´autodeterminazione informativa da parte dei cittadini.
L´impegno per una comunicazione efficace e quanto più capillare deve, comunque, tener conto della ancora non completa penetrazione, in alcuni strati della società, della legge e degli strumenti di tutela da essa offerti. Un´indagine commissionata dal Garante sull´impatto determinato dalla legge sui cittadini italiani ha mostrato un buon livello di conoscenza della rete (67% degli intervistati) e ha indicato la televisione come canale preferenziale di acquisizione di notizie. Si è posta, quindi, l´esigenza da parte del Garante di un´azione di comunicazione sui media che utilizzi in maniera ancora più efficace questa fonte di conoscenza. In questo senso la collaborazione avviata con la Presidenza del Consiglio per una campagna di comunicazione istituzionale ha proprio l´intento di rispondere a questa esigenza strategica, per la quale è stata prevista anche la realizzazione di depliant divulgativi da distribuire al pubblico.
74. IL SITO INTERNET DELL´AUTORITÀ
Il 2000 è stato l´anno della definitiva attivazione, a partire da marzo, del sito web ufficiale del Garante, consultabile all´indirizzo www.garanteprivacy.it (oppure: www.dataprotection.org).
Dotandosi di uno strumento di comunicazione imprescindibile, quale appunto un sito Internet, l´Autorità è stata in grado di mettere a disposizione del pubblico un´ampia ed articolata quantità di documentazione riguardante la propria attività: provvedimenti, Newsletter, comunicati stampa, modulistica, normativa, ecc. e di dare tempestiva notizia sulle iniziative intraprese dall´Ufficio.
Il sito è caratterizzato da un facile accesso ed è basato su un primo progetto grafico che, pur sottolineando il carattere istituzionale dell´Autorità, è indirizzato ad una progressiva dinamicità e da un´impronta comunicativa, e si propone inoltre come luogo di immediata percezione del "valore privacy", anche con apporti multimediali (video divulgativi, interviste audio e video), link a siti di autorità di altri Paesi e di organismi ed agenzie che si occupano di riservatezza.
Della data sua attivazione, il sito ha avuto una media di circa 10/12.000 pagine lette al giorno, con picchi di accesso fino ad oltre 40.000 pagine lette a seguito di interviste rilasciate da componenti dell´Autorità o dal segretario generale o a seguito di comunicati stampa e newsletter su aspetti rilevanti della tutela della riservatezza.
Superata la fase di sviluppo e completamento della prima infrastruttura software, la redazione del sito – che sarà potenziata nel prossimo futuro – si è dedicata alla cura dei contenuti inserendo il testo di vari provvedimenti adottati anche in passato dall´Autorità, dei comunicati stampa e delle Newsletter. Particolare cura è stata dedicata alla pubblicazione e all´aggiornamento dei testi normativi, costruendo la rete di link ipertestuali di correlazione tra provvedimenti, pareri, risposte ai quesiti e fonti normative nazionali ed internazionali.
In occasione della Conferenza internazionale "One World One Privacy" organizzata da questa Autorità dal 28 al 30 settembre 2000, cui hanno partecipato le altre autorità di Paesi europei ed extra europei nella splendida cornice veneziana della Fondazione Cini e di Palazzo Labia, il sito ha diffuso in diretta Internet multi lingua (italiano e traduzione simultanea in inglese, francese, tedesco, spagnolo) l´intervento di apertura del Presidente della Repubblica Carlo Azeglio Ciampi, in collegamento dal Quirinale e l´intervento da Palazzo Chigi del Presidente del Consiglio dei ministri Giuliano Amato (con traduzione simultanea).
Sono state diffuse in diretta anche la Ia e la VIa sessione plenaria della Conferenza, mentre le altre due sessioni plenarie e le nove sessioni parallele, sempre con traduzione simultanea, sono state diffuse al termine dei lavori di ciascuna sessione. I materiali video sono tutt´ora fruibili, unitamente alla biografia dei relatori e ai testi degli interventi.
Gli accessi al sito, nel corso dell´anno 2000 e per la prima parte del 2001, sono cresciuti in modo esponenziale sino a giungere – nel periodo marzo/aprile/maggio 2001 – ad una media di 3.500/4000 utenti giornalieri. Nel grafico riportato in Figura 1, sono indicate le pagine visualizzate nel periodo indicato, oltre al volume raggiunto nei soli primi otto giorni del mese di giugno 2001.
L´ulteriore analisi statistica degli accessi porta a considerare la ripartizione settimanale degli accessi, che si concentrano prevalentemente durante i primi giorni della settimana lavorativa. Si tratta verosimilmente di cittadini e professionisti che intendono mantenersi aggiornati sulle implicazioni orizzontali che la legge sul trattamento dei dati porta in ogni settore (Figura 2).
I crescenti bisogni di informazione hanno stimolato la redazione web ad impostare il progetto per una nuova piattaforma Internet che consenta un più rapido ed efficace reperimento delle informazioni anche attraverso la classificazione dei provvedimenti, un progetto grafico snello e in linea con l´evoluzione tecnologica e l´utilizzo delle più aggiornate tecniche di comunicazione multimediale. Il progetto, che si intende portare a compimento entro la fine del 2001, vuole anche adeguare i contenuti e la struttura progettuale alle "linee guida per l´organizzazione, l´usabilità, e accessibilità dei siti web delle pubbliche amministrazioni" (Presidenza del Consiglio dei ministri, Dipartimento della funzione pubblica – circolare 13 marzo 2001 n. 3), prevedendo in futuro progressivamente anche l´accessibilità alle informazioni a portatori di handicap, la creazione di percorsi guidati didattico/divulgativi per i giovani o più concretamente informativi per professionisti e imprenditori, la creazione di un avanzato motore di ricerca giuridico.
La medesima tecnologia web è stata utilizzata altresì per avviare una piattaforma Intranet, che potrà agevolare il flusso informativo interno; strutturare un più articolato database delle pronunce e dei pareri; offrire in tempo reale la visibilità – con accesso differenziato – dell´istruttoria di ricorsi, segnalazioni, pareri; riportare lo stato di avanzamento dei lavori di gruppi di studio o commissioni.
La gestione amministrativa dell´Ufficio
75. I REGOLAMENTI DEL GARANTE
Nella Relazione per il 1999 si è commentato positivamente l´intervento del d.lg. n. 51/1999 che ha delineato un nuovo e più stabile assetto organizzativo e funzionale per l´Ufficio del Garante.
L´aspetto più significativo previsto dal decreto legislativo ha riguardato anzitutto il riconoscimento al Garante del potere regolamentare di autodisciplinare il proprio funzionamento e l´organizzazione dell´Ufficio, potere dapprima esercitato dal Governo con il d.P.R. n. 501/1998.
In secondo luogo, il decreto legislativo ha previsto l´applicazione all´Ufficio del Garante, al fine di garantire la responsabilità e l´autonomia ai sensi della legge n. 241/1990 e del d.lg. n. 29/1993 e successive modificazioni, dei principi riguardanti la distinzione tra le funzioni di indirizzo attribuite agli organi di vertice e le funzioni di gestione attribuite ai dirigenti (art. 33, comma 1-sexies, legge n. 675).
Il logico corollario di queste scelte è stata, poi, l´attesa istituzione del ruolo organico del personale (dapprima collocato fuori ruolo da altre amministrazioni), la previsione di una disciplina dell´ordinamento delle relative carriere, del reclutamento, del trattamento giuridico ed economico e dell´inquadramento del personale già in servizio.
L´Autorità nel suo complesso si è quindi attivamente impegnata per porre allo studio, approfondire – anche con il contributo di esperti – e definire tre complessi regolamenti del Garante approvati il 28 giugno 2000 e pubblicati sulla G.U. il 13 luglio 2000 (reg. nn. 1/2000, 2/2000 e 3/2000), rispettivamente concernenti l´organizzazione e il funzionamento dell´Ufficio, il trattamento giuridico ed economico del personale, la gestione amministrativa e la contabilità.
Il primo e più importante dei tre regolamenti (il n. 1/2000) ha mutuato alcune valide disposizioni già contenute nel d.P.R. n. 501/1998, ma ne ha perfezionato ove necessario il contenuto, disciplinando in modo autonomo il funzionamento anzitutto del collegio del Garante (artt. 2-5), composto come è noto da quattro componenti nominati direttamente dalle assemblee parlamentari, i quali eleggono al loro interno il presidente e il vice presidente del Garante.
Sono state nuovamente evidenziate le funzioni anche di rappresentanza del Garante esercitate dal presidente, il quale coordina l´attività dei componenti nei rapporti con il Parlamento e con gli altri organi costituzionali o di rilievo costituzionale, nell´attività di comunicazione pubblica e in altre relazioni istituzionali (art. 3).
Sono stati quindi dettati i principi generali che sorreggono l´attività dell´Ufficio (artt. 6-10), improntata al metodo della programmazione per funzioni-obiettivo, le funzioni del segretario generale (art. 7), che coordina l´attività di dipartimenti e servizi e dei dirigenti preposti a tali strutture di primo livello (art. 8).
Il regolamento individua direttamente i dipartimenti e i servizi, nonché le articolazioni interne della segreteria generale, demandando a successive deliberazioni l´individuazione dei compiti delle predette strutture e prevedendo altresì le modalità per istituire unità di secondo livello.
Dipartimenti, servizi e sottostanti unità potranno essere modificati, accorpati o soppressi a seconda delle necessità, a riprova della snellezza ed adattabilità della struttura.
È stata disciplinata la possibilità per i componenti di avvalersi di assistenti e di addetti di segreteria (art. 11) e sono state poste le basi per disciplinare la durata dei procedimenti amministrativi e l´accesso ai documenti amministrativi (art. 13).
Particolare attenzione è stata dedicata al procedimento di formazione dei provvedimenti che richiedono una deliberazione collegiale, rigorosamente ispirato ai principi della trasparenza, della partecipazione e del contraddittorio imposti dalla civiltà della legge generale sul procedimento amministrativo (l. n. 241 del 1990).
Detto procedimento ha inizio con l´assegnazione dell´affare, da parte del segretario generale, al dipartimento o al servizio competente, dove il dirigente procede, a sua volta, alla nomina del responsabile del procedimento. Quest´ultimo, dopo aver istruito e predisposto lo schema di provvedimento, provvede a trasmetterlo, attraverso la fattiva intermediazione del dirigente della struttura, al segretario generale che formula le proprie osservazioni. Lo schema di provvedimento, le osservazioni e la documentazione sono posti a disposizione del presidente e dei componenti anche attraverso strumenti informatici e telematici. Il presidente provvede alla designazione del relatore che introduce nella riunione la discussione e formula le proprie conclusioni nell´adunanza preventivamente fissata, secondo una cadenza almeno settimanale.
Come è facilmente intuibile, questa articolazione procedimentale tende a mutuare alcune caratteristiche del procedimento giurisdizionale. Una delle attività maggiormente qualificanti del Garante è, infatti, quella che si instaura a seguito della proposizione del ricorso alternativo a quello proponibile innanzi al giudice ordinario, che fornisce uno strumento per certi aspetti unico al cittadino che si ritenga leso da un trattamento di dati personali che lo riguardano, esaminato in un quadro di autonomia e di indipendenza di giudizio.
Le norme che disciplinavano la trattazione dei ricorsi nel d.P.R. n. 501/1998, a differenza di quelle concernenti l´organizzazione dell´Ufficio, sono rimaste applicabili anche sulla base di un espresso richiamo normativo.
76. LA NUOVA ORGANIZZAZIONE DELL´UFFICIO
Al di là di ogni enfasi si può affermare che la stesura dei predetti regolamenti ha impegnato per diversi mesi l´attività dell´Autorità. L´intero Ufficio ha vissuto la vicenda come uno dei momenti alti della gestione della legge n. 675 del 1996.
La gestazione dell´importante complesso normativo è avvenuta con la consapevolezza che esso fosse lo strumento sia per sanare la situazione di precarietà in cui si era trovato il personale, sia per avviare una struttura più forte, agile e funzionale e destinata a operare negli anni.
Alla fine di un percorso obiettivamente faticoso si è raggiunto l´effetto sperato di dare all´Ufficio un´organizzazione in linea con le moderne formule organizzatorie della pubblica amministrazione (tenendo conto dei disegni organizzativi delle altre autorità amministrative indipendenti), nonché una sistemazione definitiva del personale e un´avanzata gestione della contabilità e delle spese.
I regolamenti sono entrati in vigore il quindicesimo giorno successivo all´indicata data di pubblicazione. Il regolamento sull´organizzazione consta di venti articoli; quello sul trattamento giuridico ed economico del personale di sessantasette e quello concernente la gestione e contabilità di trentuno.
Non è questa la sede per riassumere il contenuto dell´intera normativa, pubblicata nella documentazione allegata. Non si può tuttavia sottacere il fatto che, per quanto concerne la sistemazione del personale, la normativa transitoria ha consentito alle persone che da qualche anno svolgevano la propria attività presso la struttura di entrare nel ruolo del personale dell´Autorità sulla base di una domanda e del non demerito, secondo un collaudato meccanismo di inquadramento pressoché automatico, fondato sulla qualifica corrispondente a quella posseduta presso l´amministrazione di provenienza.
Inoltre, al fine di valorizzare la qualità del lavoro svolto, sono stati banditi concorsi interni già interamente espletati, mediante i quali dipendenti già inquadrati a domanda hanno potuto transitare in una qualifica superiore. Rispetto ad alcune impugnative proposte dall´esterno e dall´interno, il competente tribunale amministrativo ha respinto l´istanza di sospensiva proposta.
È doveroso segnalare che solo la metà dei posti del nuovo ruolo organico è stato occupato dal personale comandato in precedenza. In relazione all´altra metà sono stati già banditi alcuni concorsi pubblici per varie qualifiche.
Per quanto riguarda lo stato giuridico ed economico, nonché per la gestione e la contabilità, si è adottato poi un regime analogo a quello osservato presso le altre autorità amministrative indipendenti di riferimento, orientato in modo equilibrato a giusti principi di informazione, concertazione e contrattazione con le rappresentanze sindacali.
L´Ufficio è, ora, alle soglie di un nuovo rilancio dell´efficienza e della produttività. L´abnegazione con cui il personale ha contribuito al raggiungimento di consistenti risultati nel primo quadriennio di attività del Garante, deve ora coniugarsi con nuove misure e razionalizzazioni amministrative che consentano all´Autorità di entrare definitivamente a regime e di abbreviare anche i tempi di risposta agli innumerevoli interpelli.
77. IL BILANCIO, GLI IMPEGNI DI SPESA E L´ATTIVITÀ CONTRATTUALE
L´esercizio finanziario 2000 è stato caratterizzato dal completamento del quadro istituzionale e gestionale interno con l´adozione dei citati regolamenti numeri 1/2000, 2/2000 e 3/2000. Tali regolamenti hanno iniziato a produrre effetti positivi con il nuovo anno, considerato che il personale in servizio in posizione di comando o di fuori ruolo è stato inquadrato, a domanda, dal 1° settembre 2000 e che il regolamento sulla amministrazione e la contabilità è stato applicato, per la parte gestionale del bilancio, dal 1° gennaio 2001.
Il dipartimento che si occupa della contabilità ha avvertito in modo incisivo gli effetti dell´adozione dei regolamenti, in quanto l´inquadramento del personale al 1° settembre ha avuto come conseguenza immediata l´apertura delle posizioni assicurative presso l´Inps del personale entrato in ruolo e la gestione della contabilità specifica per le buste paga, mentre fino alla data del 31 agosto il personale in servizio presso il Garante dipendeva giuridicamente ed economicamente, per il trattamento fondamentale, dalle rispettive amministrazioni pubbliche di provenienza.
Ciò ha comportato la regolarizzazione delle posizioni economiche, anche pregresse, dei dipendenti e l´attuazione della complessa gestione delle retribuzioni fisse e degli adempimenti di fine anno: conguagli fiscali, versamento delle ritenute, rilascio dei CUD, ecc..
A fini puramente statistici la spesa erogata sul capitolo degli oneri retributivi per il personale è passata da poco più di 1.100 milioni di lire del 1999 a 7.500 milioni di lire, di cui 2.600 provenienti da accantonamenti degli anni precedenti. Inoltre, per l´affidamento, sulla base di apposita convenzione, del servizio di cassa ad un istituto di credito, così come previsto dal regolamento n. 3/2000, si è proceduto alla scelta dell´istituto cassiere tra le banche che avevano offerto il servizio rispondendo all´avviso pubblicato su tre quotidiani alla fine di settembre. Infine, la predisposizione del bilancio di previsione 2001 e di tutti gli atti ad esso connessi è avvenuta nel rispetto di quanto previsto dagli articoli 4 ("Struttura del bilancio") e 5 ("Criteri di formazione del bilancio") del regolamento n. 3/2000.
Per il 2000 le risorse a disposizione del Garante sono state pari a lire 22.685.000.000. Di tale somma il contributo dello Stato di lire 22.045.000.000 ha rappresentato la quasi totalità delle risorse affluite sul fondo di contabilità speciale presso la Banca d´Italia, Tesoreria provinciale dello Stato. Per il 2000 sono affluite anche alcune ridotte risorse derivanti dalle quote di iscrizione dei partecipanti alla 22.ma Conferenza internazionale delle Autorità di protezione dei dati personali svoltasi a Venezia dal 28 al 30 settembre 2000.
La preparazione e lo svolgimento della Conferenza internazionale sono stati momenti di impegno che hanno rappresentato uno degli aspetti rilevanti della gestione del 2000. L´Autorità, infatti, si era impegnata a garantire la riuscita dell´evento contemperando l´esigenza di ottenere un elevato livello di rappresentanza (in linea con le edizioni pregresse e future) con una razionalizzazione dei costi in un´ottica di economicità. Per tale motivo il Garante ha stabilito di aprire un c/c bancario sul quale sono confluite le quote di iscrizione dei partecipanti, che sono state graduate in modo tale da assicurarne la congruità. Il costo complessivo dell´evento è stato dell´ordine di circa 900 milioni di lire, IVA esclusa. Tenendo conto del fatto che le quote di iscrizione dei partecipanti hanno superato i 100 milioni di lire, il costo netto della manifestazione non ha superato gli 800 milioni di lire, IVA esclusa.
Altri aspetti rilevanti della gestione dell´esercizio 2000 sono stati:
Sede del Garante
Durante l´anno 2000 è stato completato il trasferimento degli uffici nella nuova sede di piazza di Monte Citorio ed è nel contempo continuata l´acquisizione di arredi per i locali: una serie di trattative private ha interessato l´acquisto di tendaggi e mobili d´ufficio. Si è proceduto quindi alla chiusura delle sedi di Largo del Teatro Valle e di Via della Chiesa Nuova.
Con la disponibilità del nuovo edificio si è reso necessario effettuare lavori per il collegamento in rete delle postazioni informatiche ubicate nell´immobile e per garantire la protezione elettrica ai sistemi della redazione web e del protocollo. I pagamenti effettuati per tali tipi di interventi sono risultati superiori a 400 milioni di lire; gli impegni contrattuali per la gestione del sito web e per l´acquisto di materiale informatico hanno superato i 500 milioni.
Nel corso dell´anno le iniziative concernenti l´aggiornamento e la formazione del personale sono state finalizzate prevalentemente alla conoscenza e all´approfondimento delle lingue straniere (inglese e francese). Gli interventi formativi sono stati diversificati in ragione del livello d´ingresso dei partecipanti e, in taluni casi, si sono caratterizzati per l´uso di metodi didattici innovativi. I dipendenti interessati sono stati quasi la metà del personale in servizio.
Convegni di studio e seminari di lavoro
Le iniziative promosse e coadiuvate dal Garante hanno riguardato, in particolare, la partecipazione al FORUM P.A. 2000 di Roma, al COMPA 2000 di Bologna e allo SMAU 2000 di Milano, nonché a numerosi convegni e dibattiti, in Italia e all´estero, per la promozione della legislazione sulla protezione dei dati personali. Della 22.ma Conferenza internazionale delle Autorità per la protezione dei dati personali si è già parlato.
Un cenno a parte merita il progetto "Attività di contrasto del crimine e tutela dei dati personali" detto "PROGETTO Falcone" che ha impegnato l´Ufficio in una serie di seminari tenuti a L´Aja e a Parigi, con incontro finale a Roma il 22 dicembre 2000, al quale hanno partecipato magistrati, funzionari di polizia ed esperti di vari Paesi europei. Il progetto è stato realizzato con il contributo economico della Commissione europea.
Con l´adozione del regolamento n. 3/2000 l´attività negoziale, essendo tipica attività di gestione, è attribuita, a decorrere dall´entrata in vigore delle norme di cui al Capo V (luglio 2000) interamente ai dirigenti, nel rispetto rigoroso del principio della distinzione tra funzioni di indirizzo e controllo e di attuazione e gestione di cui all´art. 3 del decreto legislativo 3 febbraio 1993, n. 29 e successive modificazioni ed integrazioni e all´art. 33, comma 1-sexies, della legge 31 dicembre 1996, n. 675.
Nell´esercizio 2000 l´attività contrattuale del Garante è stata segnata da questo spartiacque, ma è stata comunque molteplice e con consistenti impegni di spesa.
Le attività negoziali più significative e complesse sono state:
il rinnovo della convenzione con le Poste italiane per il servizio concernente la distribuzione e la spedizione dei modelli cartacei e dei dischetti per le notificazioni delle banche dati: costo lire 393.110.585;
è stato esperito il bando di gara per la pulizia dei locali della sede di piazza di Monte Citorio. La gara indetta con procedura aperta a livello comunitario è stata aggiudicata secondo il criterio dell´offerta economicamente più vantaggiosa, per un biennio, dal 1° luglio 2000 al 30 giugno 2002 e per un costo complessivo di lire 178.272.000, IVA esclusa;
altro bando di gara a livello comunitario è stato quello esperito per l´affidamento del servizio di trasporto di persone con autovettura di noleggio con conducente, poiché il vecchio contratto scadeva il 31 dicembre 2000. Il contratto, che ha validità biennale dal 1° gennaio 2001 al 31 dicembre 2002, prorogabile alle medesime condizioni per un altro anno, prevede un costo per il biennio di lire 611.728.940, IVA esclusa.
Il tribunale amministrativo investito della richiesta di sospensiva non ha accolto la richiesta stessa.
Del settore riguardante l´informatizzazione degli uffici ed il sito web, nonché le forniture per gli arredamenti della sede di piazza di Monte Citorio, si è parlato.
È invece da ricordare che in data 1° dicembre 2000 è stato sottoscritto, a seguito di trattativa privata, il contratto con un istituto autorizzato per la vigilanza della sede di piazza di Monte Citorio.
78. IL LAVORO IN RETE E LA SICUREZZA
Il trasferimento della sede del Garante nei nuovi locali di Piazza di Monte Citorio ha consentito di realizzare, come opera propedeutica a tutti i servizi informatici, una rete locale in cablaggio strutturato e a tecnologia Ethernet che già oggi permette la condivisione di risorse, la comunicazione interna, l´utilizzo di applicazioni client-server in rete e il collegamento a Internet.
Alla realizzazione di questa infrastruttura ha fatto seguito un adeguamento impiantistico dei locali tecnici per garantire che l´attività di elaborazione dei dati si possa svolgere nelle condizioni di massima protezione e sicurezza. In particolare, sono state predisposte misure per garantire la sicurezza fisica e logica degli impianti informatici e il controllo remoto degli apparati tecnologici.
Sono state poi portate a compimento iniziative di notevole importanza, come la messa in produzione del sito web del Garante, la totale informatizzazione dei posti di lavoro e l´avviamento sperimentale del sistema di workflow interno.
Diversi altri interventi sono stati progettati e sono correntemente in stato di realizzazione.
Tra questi, il nuovo sistema di workflow documentale che integrerà le funzionalità già disponibili di protocollo informatico; il sistema di gestione delle presenze del personale, totalmente funzionante con gli strumenti del web; i nuovi servizi Internet completamente autogestiti dal personale dell´Ufficio; il nuovo sistema di gestione della rassegna stampa, che sarà consultabile con avanzate funzionalità in rete; il sistema bibliotecario per la gestione della biblioteca, la pubblicazione del catalogo (OPAC); la gestione delle banche dati bibliografiche; la nuova rete LAN integrata ad alte prestazioni che consentirà anche la trasmissione di flussi isocroni e lo svolgimento di sedute di videoconferenza direttamente dai posti di lavoro (standard ITU H.323/H.320); i nuovi sistemi server del Garante che, proiettandosi nel mondo dei sistemi aperti e dell´open source consentiranno, oltre alla realizzazione di importanti servizi, anche di esplorare nuove tecnologie e tenere il passo con l´evoluzione dell´informatica negli ambiti connessi alla protezione dei dati personali (crittografia, firma digitale, certificazione, sicurezza).
Particolare impegno ha richiesto la stesura del documento programmatico sulla sicurezza secondo le disposizioni di cui al regolamento approvato con d.P.R. n. 318/1999. Il lavoro svolto nei primi mesi del 2000 e, successivamente, fino al 31 dicembre dello scorso anno, ha consentito di affinare le procedure verificandone l´effettiva rispondenza alle esigenze dell´Ufficio e costituendo un´occasione di revisione e di aggiornamento tecnico dei servizi informatici.
Con l´adozione del documento il Garante si è dotato anche di uno strumento che, grazie alla revisione periodica e alla flessibilità di impostazione, consentirà di recepire le innovazioni, adattandosi ai mutevoli scenari tecnologici. Inoltre il documento è lo strumento che consente di condensare tutte le iniziative rilevanti in tema di sicurezza informatica e fornisce al personale le linee-guida per una piena applicazione dei principi della legge 675/1996.
Nell´ambito del documento sono state individuate ed assegnate le responsabilità di amministrazione di sistema e di custodia delle parole chiave per gli elaboratori (tutti connessi a una rete locale a sua volta collegata, come tutte le moderne reti a tecnologia Internet, a una rete pubblica di telecomunicazione per l´integrazione nella Internet globale). Sono state inoltre codificate le procedure operative per la salvaguardia dei dati informatizzati, per la loro custodia e per la loro rimozione.
È stato inoltre previsto un piano di formazione che coinvolgerà il personale e che consentirà di implementare le politiche di sicurezza.
Correlato alla sicurezza dei dati è anche il potenziamento della protezione fisica degli impianti, dei locali e degli archivi tradizionali.
79. BIBLIOTECA E CENTRO DI DOCUMENTAZIONE
La molteplicità delle problematiche culturali che riguardano la protezione dei dati richiede la messa in opera di una struttura di raccolta sistematica di una vastissima produzione di materiale bibliografico. Si è reso pertanto opportuno – anche in ragione del trasferimento dell´Autorità nella nuova sede e della disponibilità di ampi locali – dar vita a un progetto di costituzione di una grande biblioteca specializzata su base multidisciplinare, con l´obiettivo di disporre, in un arco temporale necessariamente breve, della totalità dei testi, italiani e stranieri, che abbiano riferimento alla privacy.
L´ampio spettro di campi nei quali il Garante si trova ad intervenire rende indispensabile, per il successo di questa iniziativa, una stabile cooperazione con l´esterno per il reperimento di testi e documenti. Particolare attenzione verrà quindi dedicata ai contatti con altre biblioteche pubbliche e private, con le istituzioni italiane e straniere e, naturalmente, con le altre autorità europee omologhe del Garante.
La principale funzione della biblioteca rimarrà quella di rispondere alle esigenze dell´attività del Garante: il suo nucleo principale avrà pertanto natura giuridica e riguarderà, in senso ampio, la sfera del diritto. Ma, accanto a questo compito primario, la biblioteca si proporrà di fornire un servizio alle altre istituzioni, agli istituti di ricerca italiani e stranieri, alle altre biblioteche, agli studiosi e ai singoli cittadini. In questa prospettiva, il progetto prevederà, fin dalla sua fase iniziale, di allargare l´orizzonte della raccolta di testi a tutti quei campi dove la privacy risulti collegata a tematiche di ordine più vasto e complesso, di tipo sociale, politico, storico, letterario, filosofico e religioso. Questo approccio multidisciplinare permetterà di evidenziare e di approfondire le coordinate culturali che indirizzano e orientano il lavoro dell´Autorità.
È stata prevista, a completamento del progetto, la creazione di un comitato scientifico composto da eminenti personalità soprattutto del mondo accademico che, sulla scorta dell´esempio di altre autorità, sappia individuare temi e problemi con i quali l´Ufficio sarà chiamato negli anni a venire a confrontarsi, segnatamente in ragione dei veloci cambiamenti della società dell´informazione.
Nella strutturazione del progetto di biblioteca, si è deciso anche di prestare particolare attenzione all´innovazione tecnologica. L´organizzazione e la gestione della biblioteca e delle sue infrastrutture disporrà in particolare dei seguenti elementi:
un sistema informatico bibliotecario per l´amministrazione del posseduto (schedatura, catalogazione, soggettazione, spoglio riviste), la pubblicazione on line del catalogo (OPAC), la gestione amministrativa e l´inventariazione del libro, la gestione del prestito, la catalogazione derivata;
un sistema ad alte prestazioni per la consultazione di database bibliografici (abstract, full text laddove disponibili) sui diversi temi di interesse del Garante, generalmente distribuiti in abbonamento su CD ROM;
un sito web per l´accesso ai servizi interni secondo percorsi guidati e personalizzabili;
un sito web specialistico per la consultazione del catalogo OPAC, la creazione di una community di utenti e la gestione di forum tematici di discussione;
una sala informatizzata per l´accesso locale ai servizi bibliotecari;
una sala di lettura provvista di connessioni di rete per il collegamento di computer portatili;
un sistema di controllo degli accessi interfacciato con il sistema di gestione bibliotecario e con il sottosistema prestiti.
L´obiettivo è quello di creare, nel centro di Roma, una biblioteca con servizi informatici di avanguardia dove i frequentatori potranno adoperare, tra l´altro, fino a sedici postazioni informatiche avanzate, tramite l´uso di una smart card personale. La tecnologia a smart card permetterà inoltre di gestire l´accesso, il prestito e le fotoriproduzioni con una soluzione integrata di autenticazione e accounting.
L´elemento essenziale e più importante riguarderà il sistema di gestione bibliotecario, tramite il quale gli addetti schederanno monografie e periodici, gestiranno il posseduto bibliotecario, i prestiti, gli acquisti ed effettueranno lo spoglio delle riviste. Tale sistema sarà basato su dispositivi che consentiranno ai visitatori e agli utenti occasionali, sia interni, sia esterni di consultare il catalogo OPAC con i comuni browser web, attraverso un percorso mediato dal sito web della biblioteca. Il sistema di gestione prevederà l´interconnessione con il circuito SBN (Sistema bibliotecario nazionale) e risponderà ai necessari requisiti di standardizzazione per le modalità di soggettazione e catalogazione.
Accanto al sistema di gestione bibliotecaria verrà sviluppata un´interfaccia per l´interrogazione via web, che andrà integrata in un sito appositamente predisposto per la biblioteca allo scopo di facilitare l´accesso ai servizi. Benché le funzioni più avanzate di catalogazione utilizzeranno una tradizionale interfaccia client/server, la visibilità al pubblico della biblioteca sarà di tipo web oriented.
80. IL PERSONALE E I COLLABORATORI ESTERNI
Con l´approvazione dei regolamenti del Garante, l´Autorità è, come si è detto, entrata in una fase nuova della sua vita istituzionale. In particolare, in conformità a quanto previsto dal regolamento n. 2/2000 del Garante, concernente il trattamento giuridico ed economico del personale dell´Ufficio (che ha previsto le modalità di inquadramento nel ruolo organico del contingente di personale utilizzato in sede di prima applicazione della legge n. 675/1996), il personale in posizione di fuori ruolo o di comando presso l´Ufficio alla data di entrata in vigore del regolamento è stato inquadrato, a domanda, nel ruolo organico con effetto dal 1° settembre 2000.
Su un totale di 45 unità in servizio alla predetta data, 42 hanno chiesto di essere inquadrate nel ruolo. Tre persone hanno optato per la permanenza in posizione di fuori ruolo.
Esaurita la fase del primo inquadramento del personale nel ruolo organico, l´Ufficio ha concentrato la sua attenzione sull´assetto organizzativo-funzionale e sulla definizione delle procedure per la copertura dei posti vacanti nel ruolo organico e per il reclutamento del personale a contratto.
Il primo aspetto ha comportato un duplice ordine di problemi. L´istituzione del ruolo organico e l´attuazione dell´ordinamento professionale previsto dal regolamento n. 2/2000 hanno posto l´esigenza di una valorizzazione delle esperienze e delle professionalità emerse nei primi due anni di vita dell´Autorità, al fine di garantire la continuità delle attività istituzionali dell´Ufficio. A tale fondamentale esigenza – come si è già evidenziato – si è ispirato il regolamento n. 2/2000, che ha previsto procedure concorsuali riservate al personale interno per una percentuale dei posti disponibili in organico non superiore al 50% (art. 65).
In attuazione di tale previsione regolamentare, il Garante ha indetto tre concorsi interni (pubblicati nella G.U. – IV serie speciale – del 22 agosto 2000) per l´accesso, rispettivamente, alle qualifiche di dirigente, funzionario e impiegato operativo, per una percentuale corrispondente al 50% della disponibilità organica nella qualifica di dirigente e per percentuali inferiori nelle altre due qualifiche. A conclusione delle procedure concorsuali, dei 14 posti messi a concorso, ne sono stati sono assegnati soltanto 12.
I concorsi sono stati oggetto di una interpellanza presentata alla Camera dei deputati dall´on. Chiappori ed altri (n. 2-02673) e di una interrogazione presentata al Senato dall´on. Gubert (n. 3-04172). In merito, il Garante si è adoperato, a richiesta del Governo, per chiarire la piena liceità e correttezza delle procedure concorsuali e la loro rispondenza ai parametri costituzionali e ai principi stabiliti dal decreto legislativo n. 29/1993 e successive modificazioni ed integrazioni.
La legittimità dei bandi e dell´operato dell´Autorità è stata oggetto anche di esame da parte del T.A.R. del Lazio, sezione I, il quale, in sede di valutazione della richiesta di sospensiva e di ammissione con riserva alle prove concorsuali presentata da alcuni aspiranti esterni, con ordinanza n. 9303/2000 dell´8 novembre 2000 ha rigettato l´istanza incidentale in quanto "il ricorso non appare assistito dal fumus boni juris". Analogo rigetto di istanza di sospensiva è stato successivamente pronunciato in relazione ad un ulteriore ricorso.
Le procedure concorsuali erano finalizzate al completamento e consolidamento dell´assetto organizzativo dell´Ufficio e avevano lo scopo di dotare lo stesso delle figure professionali indispensabili per le attività istituzionali dell´Autorità. Con l´attribuzione di alcuni incarichi di direzione di dipartimenti e servizi nel marzo di quest´anno, l´obiettivo può dirsi raggiunto.
L´adozione di tali atti di organizzazione è stato preceduto da alcuni fondamentali adempimenti previsti dal regolamento n. 1/2000: la definizione dei principali obiettivi delle unità organizzative e dell´Ufficio nel complesso delle sue articolazioni e l´individuazione dei compiti delle unità organizzative di primo livello (dipartimenti e servizi).
Contemporaneamente, sono state indette le procedure concorsuali per la copertura di una parte dei posti disponibili nel ruolo organico. I concorsi pubblici, a complessivi 21 posti, riguardano le varie posizioni professionali: 3 posti di dirigente (di cui uno per dirigente informatico), 10 di funzionario e 8 di impiegato operativo.
Contestualmente è stata definita la disciplina in tema di contratti a tempo determinato e di stage e sono state stabilite le relative modalità di selezione con la pubblicazione di due avvisi pubblici: il primo per il reclutamento di un massimo di 6 giovani laureati che non abbiano superato il trentacinquesimo anno di età da assumere con contratto di specializzazione a tempo determinato; il secondo finalizzato alla formazione di una graduatoria di giovani laureati di età non superiore a ventotto anni per la frequenza di periodi di tirocinio presso l´Ufficio.
Alla copertura dei posti che risulteranno vacanti a conclusione delle predette procedure, l´Autorità procederà con gradualità, sulla base delle esigenze via via emergenti.
Attualmente l´Ufficio dispone complessivamente di n. 57 unità, di cui n. 6 assunte con contratto a tempo determinato, come da prospetti allegati:
Personale di ruolo e fuori ruolo
L´Autorità si avvale inoltre della collaborazione di quattro consulenti per attività di studio, ricerca e per i necessari approfondimenti in materia giuridica e per la comunicazione.
Nel corso del 2000, si sono conclusi diversi rapporti di consulenza instaurati per la redazione dei regolamenti del Garante, per esigenze contingenti o connesse ad eventi di carattere internazionale (XXII conferenza delle Autorità garanti, tenutasi a Venezia il 28/30 settembre 2000).
Agli inizi del 2001 hanno esaurito la loro opera le commissioni esaminatrici dei concorsi interni, presiedute da un consigliere di T.A.R. designato dal Consiglio di Presidenza del Consiglio di Stato e composte da tre docenti universitari e da un dirigente di prima fascia dello Stato.
81. UTILIZZAZIONE DEL REGISTRO E ACCESSO
La notificazione al Garante, salvo i casi di esonero previsti dall´art. 7, comma 5 ter, della legge n.675/1996, è obbligatoria per tutti i titolari che intendano iniziare o cessare un trattamento di dati personali o provvedere al loro trasferimento anche temporaneo all´estero (artt. 7, 16 e 28 legge n. 675/96).
Le notificazioni confluiscono nel registro generale dei trattamenti, previsto dall´art. 31, comma 1, lett. a) della l. 675/1996, che ne contiene circa 295.000.
Il registro è stato formalmente istituito dal Garante a decorrere dal primo febbraio 2000 con delibera n. 3 del 13/1/2000 che ne ha regolamentato le modalità di utilizzo. Il registro è consultabile da tutti gli interessati che intendono conoscere l´esistenza di trattamenti che possono riguardarlo ai sensi dell´art. 13, comma 1, del d.P.R. 31 marzo 1998, n. 501. Chiunque può accedervi, senza particolari formalità, presso l´Ufficio e mediante terminali che verranno dislocati su base almeno provinciale, sulla base di convenzioni in itinere, preferibilmente nell´ambito degli uffici per le relazioni con il pubblico presso le amministrazioni provinciali e di eventuali altre amministrazioni pubbliche (art. 13, comma 2, del d.P.R. 501/98 e comma 3, dell´art. 31 della legge).
Per il registro, prima della sua entrata in vigore a pieno regime, è stato previsto un periodo transitorio di sperimentazione durante il quale è stato utilizzato dall´Ufficio a fini di test e ricerche e come supporto per accertamenti ed ispezioni. La sperimentazione non ha impedito di soddisfare tutte le richieste degli utenti in ordine, in particolare, al rilascio di copia della notificazione, come pure di richieste dell´autorità giudiziaria e di polizia.
Le notificazioni si sono incrementate nel corso del tempo, soprattutto per effetto delle modifiche alla prima notificazione – e in misura molto più contenuta, delle cessazioni del trattamento – ai sensi dell´art. 7, comma 2, della legge che prevede che le pertinenti modifiche intervenute debbano essere preventivamente notificate al Garante, al fine di tenere costantemente aggiornato il registro. Esse vengono effettuate utilizzando il modello standard o, in alternativa il floppy disk, distribuiti gratuitamente presso tutte le agenzie postali o attraverso convenzioni.
Gli importi dei diritti di segreteria sono rimasti invariati: £. 15.000 per chi effettua la notificazione mediante floppy disk e £. 25.000 per chi opta per il modello cartaceo.
I costi del servizio di notificazione non sono integralmente sostenuti con l´importo dei diritti di segreteria, anche in ragione dei costi legati alla capillare distribuzione dei modelli tramite Poste italiane s.p.a. D´altra parte, a fronte delle sanzioni penali comminate in caso di omessa notificazione, e in vista della futura notificazione per via telematica, è parso necessario sostenere tali oneri offrendo anche a coloro che non sono in grado di utilizzare strumenti informatici la possibilità di reperire agevolmente la modulistica nel luogo di residenza senza obbligarli a spostamenti sul territorio.
Il servizio di distribuzione si è rivelato funzionale. Si procederà comunque ad integrare i soggetti distributori anche per diminuire, ove possibile, i costi pur lasciando inalterata la qualità del servizio o addirittura migliorandola, offrendo agli utenti più possibilità per reperire il modello di notificazione.
Il modello, in attuazione dell´art. 12, comma 2, del d.P.R. n. 501/1998, è stato messo a disposizione del pubblico anche sul sito Internet del Garante all´indirizzo www.garanteprivacy.it, per cui tutti coloro che sono in grado di effettuare l´operazione possono scaricare sia il modello sia il programma. L´ulteriore possibilità di reperire il modello tramite negozi specializzati per uffici, all´uopo convenzionati, sembra essere stata meno utilizzata dagli utenti, mentre si è registrata una buona propensione all´acquisizione del modello direttamente dal sito del Garante o presso l´Ufficio.
Sempre sul sito, per agevolare l´utenza, oltre alla possibilità di rivolgere direttamente quesiti, sono state inserite le risposte ai dubbi posti circa la corretta compilazione del modello e l´interpretazione della legge (FAQ). Nel corso dell´anno, infatti, vi sono state numerose richieste per via telefonica, fax o e-mail, in ordine all´interpretazione delle norme e agli adempimenti concernenti la notificazione, che ha impegnato notevolmente gli uffici (a maggio 2001, circa 3.000 risposte telefoniche, via fax o Internet) seppure in misura attenuata rispetto all´anno precedente, il che sembra dimostrare una più estesa e migliore conoscenza della legge rispetto al passato.
L´attività di assistenza agli utenti, seppure talvolta faticosa, è stata comunque preziosissima per capire le difficoltà incontrate nella predisposizione della notificazione e per ipotizzare correttivi, semplificazioni e miglioramenti che in buona parte presuppongono interventi legislativi.
Le richieste d´accesso al registro sono state circa un centinaio nel corso dell´anno, provenienti da soggetti che avevano smarrito la propria copia, oppure dalla Guardia di finanza, dal Dipartimento vigilanza e controllo dell´Ufficio e, in misura minima, da coloro che intendevano sapere se erano oggetto di trattamento di dati da parte di talune ditte.
In ordine a quest´ultimo aspetto, l´Ufficio ha constatato che diversi soggetti ritengono tuttora, erroneamente, che dalla consultazione del registro sia possibile conoscere in quali banche dati è memorizzato il loro nominativo, ignorando che le notizie contenute nella notificazione sono invece di carattere generale e non nominative, ad eccezione di quelle relative al titolare e al responsabile del trattamento.
Molti quesiti posti (e notifiche errate) concernono i casi più complessi di fusione e di incorporazione di società, che hanno ingenerato dubbi sul tipo di notificazione da effettuare.
Nel corso dell´anno sono proseguite le attività di routine consistenti, essenzialmente, nella memorizzazione e nella regolarizzazione delle notificazioni irregolari o incomplete e di verifica del database per la sua normalizzazione.
Accanto ad esse sono state attivate fasi di monitoraggio e verifica che hanno permesso di pianificare gli interventi tesi al miglioramento del servizio.
Va sottolineato che, a seguito di tre anni di esperienze e sperimentazioni ci si è resi conto che anche il modello di notificazione e l´annesso software saranno oggetto di approfondimenti e, ove possibile, di semplificazioni, in maniera da renderli ancor più leggeri e "user friendly".
Tra l´altro, le convenzioni che si intendono stipulare con le camere di commercio, le province ed altri enti ed organismi, dovrebbero alleggerire l´attività di notificazione filtrandole ab origine in maniera da ridurre ulteriormente il numero delle notifiche irregolari che assorbono altrimenti risorse preziose. Il complesso di convenzioni da stipulare persegue l´ulteriore obiettivo di effettuare la notificazione per via telematica, ai sensi dell´art. 12, comma 2, del d.P.R. n. 501/1998.
La riflessione in corso sul modello e sul database, la sperimentazione che si vuole intraprendere circa i collegamenti telematici con le province, la stipula delle convenzioni in itinere, l´assestamento dell´attuale database e l´opportunità di utilizzare la firma digitale (legata alla possibilità di effettuare la notificazione per via telematica), impegneranno nei prossimi mesi ancor più l´Ufficio.
Il registro troverà a breve una più marcata efficienza e funzionalità, grazie anche al nuovo software e a misure amministrative che permetteranno di ovviare ad alcuni inconvenienti che pure sono stati registrati nella fase costituente del registro.
Il registro sarà altresì a breve consultabile anche presso l´istituendo Ufficio per le relazioni con il pubblico.
82. PROSPETTO ANALITICO
ATTI E PROVVEDIMENTI / ATTIVITA´ GARANTE
Segnalazioni e reclami pervenuti
Richieste di autorizzazione pervenute
Notificazioni dei trattamenti previste dagli articoli 7, 16 e 28 (*)
Autorizzazioni generali al trattamento dei dati sensibili (art. 22) rilasciate per categorie di titolari e di trattamenti (art. 41, comma 7)
Atti e provvedimenti a seguito di segnalazioni e reclami
Risposte a richieste di parere
Pareri rilasciati in base all´art. 31, comma 2
Altri provvedimenti di segnalazione del Garante
Provvedimenti istruttori ai sensi dell´art. 32 comma 1
Procedimenti contenziosi definiti sulla base di ricorsi (art. 29)
Elementi forniti per la risposta del Governo a interrogazioni parlamentari
Note e comunicazioni in materia di misure minime di sicurezza
Note e comunicazioni in materia di data certa ai fini dell´applicazione delle misure minime di sicurezza
Notiziari settimanali pubblicati dall´Ufficio Stampa (istituiti l´8 marzo)
Richieste di accesso e/o di verifica di dati esistenti nel Sistema Informativo Schengen (**)
Procedimenti relativi alle richieste di accesso e/o di verifica di dati esistenti nel Sistema Informativo Schengen già definiti (**)
Codici di deontologia promossi
Codici di deontologia pubblicati
Segnalazioni all´autorità giudiziaria
(*) n. compreso di quelle presenti negli anni precedenti
(**) periodo di riferimento della statistica: 11/04/2000 - 30/04/2001
Ispezioni effettuate: 20
Sopralluoghi ex. Art. 32, comma 1
Sopralluoghi ex. Art. 13 legge n. 689/1981
Accessi alle banche dati con decreto dell´A.G.
Accessi alle banche dati con assenso
Collaborazioni con autorità giudiziarie
Ispezioni effettuate nei confronti di: 20
Provvedimenti di divieto di trattamento ex. 31 comma 1, lettera
Provvedimenti di blocco di trattamento ex. 31 comma 1, lettera
Contestazione della sanzione amministrativa ex. Art. 39 4
Per violazione all´art. 10
Per violazione all´art. 32, comma 1
Pagamenti in misura ridotta della sanzione
Persone segnalate all´autorità giudiziaria 4
Per omessa notificazione al Garante
Per trattamento illecito (art. 35)
Per omessa adozione misure minime di sicurezza (art. 36)
SERVIZIO RICORSI
Pervenuti 243
Tipo di decisioni adottate: 243
Parziale accoglimento
Estinzione procedimento
Ricorsi non ancora regolarizzati
Ricorsi in istruttoria alla data del 30 aprile 2001, esaminati definitivamente, comunque, in trenta giorni dalla presentazione 12
Statistica di quelli pervenuti, dal 01/01/2000 al 30/04/2001
Atti e Provvedimenti richiesti
(esclusa assistenza telefonica e notificazioni)
Comunicazioni art. 41 c. 5
Comunicazioni art. 27 c. 2
Richieste parere
Risposte a richieste di autorizzazione
Pareri art.31, c.2
Istruttorie art.32, c.1
Procedimenti contenziosi sulla base di ricorsi 18,8%
Altre segnalazioni del Garante
Risposte a interrogazioni parlamentari
Statistica dei ricorsi
Ricorsi in istruttoria al 30/04/01, esaminati definitivamente, comunque, in trenta giorni dalla presentazione
Parziale accoglimento 2,5%