|
GIOVANI IMPRENDITORI
UN MODELLO VINCENTE
NUOVO LOOK PER L'AREA ASI DI MARCIANISE
RILANCIARE IL SETTORE INDUSTRIALE CASERTANO
PROTEZIONE DEI DATI PERSONALI
UN'OPPORTUNITÀ, NON SOLO UN COSTO
LA FINANZA AGEVOLATA
NUOVE PROSPETTIVE
LA RIFORMA DEL DIRITTO SOCIETARIO
LICEITÀ DEI PATTI PARASOCIALI
PROTEZIONE DEI DATI PERSONALI
UN'OPPORTUNITÀ, NON SOLO UN COSTO
La maggiore attenzione ai diritti del cliente aumenta l’affidabilità dell’azienda
 Rocco Panetta
Consigliere Giuridico del Presidente del Garante per la protezione dei dati personali
rptlc@hotmail.com
Il 2004 è stato l'anno dei cambiamenti. In particolare, il 28 aprile scorso si è chiuso in Italia un ciclo, con riferimento al sistema di protezione dati personali, e si è dato inizio a una nuova stagione per cittadini, operatori economici, consumatori e utenti. L'occasione, colta dal Garante per la protezione dei dati personali, è stata quella della presentazione della Relazione annuale al Parlamento di fronte alle più alte cariche dello Stato. In tale sede, facendo un bilancio dell'attività del Garante, il Presidente Rodotà non ha mancato di ricordare l'entrata in vigore, il 1 gennaio 2004, del Codice in materia di protezione dati personali (d.lgs. n. 196/2003), che ha abrogato la legge sulla privacy, la n. 675/1996, compimento del fenomeno di costituzionalizzazione del diritto alla protezione dei dati personali, come diritto fondamentale della persona, connesso alla tutela della dignità degli individui, in seguito all'approvazione del Progetto di Trattato per una Costituzione per l'Europa. A dispetto di tali importanti novità, la percezione di alcuni tra gli operatori economici è che piuttosto con il Codice sia stato introdotto un fiume di nuovi, inutili adempimenti, che in più occasioni hanno fatto gridare "a morte la buro-privacy!". Affermazione - questa - figlia, nel migliore dei casi, di una distorta percezione di una caratteristica delle leggi: la generalità e astrattezza; ma, in altri casi, conseguenza di una ben più grave forma di cattiva informazione. É innegabile, gli adempimenti ci sono, ma c'erano anche prima; in verità, essi sono stati drasticamente ridotti (è un dato che, mentre con la l. 675/1996 tutti gli operatori economici erano tenuti alla notificazione al Garante, ora quelli tenuti appartengono solo ad alcune specifiche categorie). Altri adempimenti, poi, sembrano richiedere uno sforzo sproporzionato rispetto al risultato da raggiungere (quello della tutela dei diritti e delle libertà individuali): si pensi all'informativa e al consenso da fornire sempre nei casi di uso dei dati per finalità commerciali o promozionali, senza considerare che nel fare promozione oggi spesso si prescinde totalmente o parzialmente dall'impiego di moduli cartacei (e.g. direct marketing telefonico, via sms, concorsi a premio, coupon). Si dimentica, tuttavia, che in questi casi esistono già regole semplificate, che permettono, ad esempio, l'uso di informative ridotte al minimo. L'articolata disciplina in tema di protezione dei dati personali, apparentemente molto complessa, è in verità riconducibile a una serie di principi generali e istituti giuridici, che una volta metabolizzati diventano la chiave di lettura circa le norme da applicare ai molteplici trattamenti che possono interessare le diverse tipologie di dato personale. Il trattamento dei dati personali deve essere anzitutto informato ai principi generali di liceità e correttezza richiamati dall'articolo 11 del Codice. Data l'ampia definizione di trattamento, appare evidente che il controllo sulla correttezza e la conformità alle leggi, in relazione a un determinato trattamento, deve essere compiuto dal titolare del trattamento medesimo sin dalla primissima operazione di raccolta di dati personali altrui, fino alla completa cancellazione e/o distruzione degli stessi. Pregiudiziale è altresì il rispetto dei principi di finalità e pertinenza, di modo che i dati personali oggetto di trattamento siano raccolti e conservati esclusivamente per scopi determinati, legittimi e dichiarati esplicitamente, e che ogni ulteriore utilizzo sia sempre pertinente alla finalità originaria che ne ha determinato la raccolta e, dunque, l'inizio del trattamento. Inoltre, i dati personali oggetto di trattamento devono essere sempre esatti e aggiornati, in ossequio al principio di non eccedenza temporale, in base al quale una volta esauritasi l'attività per la quale il trattamento è iniziato, non sarà più lecito continuare a trattare i dati detenuti, salvo che non vi sia una nuova esigenza che configuri un nuovo trattamento, ovvero che non sussista un obbligo di legge che prescriva la conservazione dei dati per un determinato periodo. Qualora il titolare del trattamento contravvenga a tali principi, i dati in suo possesso non potranno essere validamente utilizzati. Inoltre, l'articolo 3 del Codice prescrive, in capo ai titolari del trattamento, l'obbligo di attenersi al rispetto del principio di necessità, in base al quale ciascun soggetto che tratti dati personali altrui dovrà configurare i propri sistemi informativi e i programmi informatici in maniera tale da ridurre al minimo essenziale l'uso di dati personali e di dati identificativi, ogni qualvolta con riguardo a un determinato trattamento le finalità che con lo stesso si vogliono perseguire possono essere realizzate mediante l'uso di dati anonimi, ovvero attraverso l'adozione di opportune modalità che permettano di identificare l'interessato solo in caso di necessità (password di protezione, cifrature). In caso di cessazione, poi, di un trattamento, i dati personali potranno essere, alternativamente, distrutti o ceduti ad altro titolare, purché destinati a un trattamento compatibile agli scopi per i quali i dati erano stati originariamente raccolti o conservati per fini esclusivamente personali e non destinati a una comunicazione sistematica o alla diffusione (articolo 16 del Codice). Nello specifico ambito del trattamento dei dati personali in azienda o negli studi professionali, un altro elemento di particolare importanza da tenere presente è l'adozione di idonee misure di sicurezza. In particolare incombe su ciascun titolare del trattamento l'obbligo di custodire e controllare i dati personali di terzi in modo da ridurre al minimo, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento vietato dalla legge o non conforme alle finalità originarie che hanno ispirato la raccolta, il tutto mediante l'adozione di idonee e preventive misure di sicurezza. Considerata l'eccessiva genericità e astrattezza di tale prescrizione di legge, volta a porre il principio dell'imprescindibilità dell'adozione di misure di sicurezza, il legislatore, forte dell'esperienza acquisita dal Garante negli ultimi anni, dopo l'entrata in vigore del primo regolamento sulle misure di sicurezza (il menzionato d.P.R. n. 318/1999), ha pensato bene di meglio circoscrivere la nozione di misura di sicurezza mediante l'indicazione di un ricco elenco di cosiddette misure minime, distinguendo tra chi effettui un trattamento di dati personali mediante l'uso di sistemi e strumentazioni elettroniche (art. 34) e chi invece si limiti a trattamenti cartacei di dati senza il supporto informatico (art. 35). Tra le misure minime spicca il Documento Programmatico per la Sicurezza (cosiddetto DPS), un adempimento che è stato oggetto di roventi polemiche. In breve: si tratta di un semplice documento ricognitivo con il quale il titolare del trattamento indica le misure di sicurezza che ha adottato a tutela dei dati personali altrui che tratta nell'esercizio della propria attività. Esso deve essere redatto una sola volta, ma deve essere aggiornato annualmente entro il 31 marzo. Tale obbligo è in vigore sin dal 1999. Il Codice originariamente aveva indicato, solo per quest'anno, il 30 giugno come data di aggiornamento del DPS. A seguito di una campagna lobbistica molto forte, il Governo ha posticipato il termine del 30 giugno al 31 dicembre 2004. Tuttavia, a ben vedere, ciò che è stato rinviato è solo il termine per l'aggiornamento annuale e non anche il termine ultimo per l'adozione della misura di sicurezza. Il paradossale risultato di tutto ciò si traduce in una pessima politica a svantaggio delle imprese, e non già a loro favore. Si ignora il fatto che l'adozione di privacy policy, l'introduzione di meccanismi di informazione e acquisizione dei consensi implicano una più efficiente organizzazione dei processi e dei flussi di comunicazione in e out dell'azienda. Una maggiore attenzione ai diritti del cliente si traduce in un'aumentata affidabilità e riconoscibilità dell'azienda e dei suoi prodotti sul mercato. Infine, un più alto livello di sicurezza informatica, orientato alla protezione dei dati personali, rappresenta il vero competitive advantage del presente e del futuro, l'asset vincente, idoneo ad avvicinare i consumatori alle nuove tecnologie, senza paura di perdere se stessi di fronte alle nuove sfide della comunicazione commerciale.
|
