Paola Marsocci

Prof.ssa di Diritto costituzionale Sapienza Università di Roma

Privacy e protezione dei dati personali.

Nozioni, norme e garanzie giurisdizionali nell’era digitale: il caso italiano

INDICE Premessa. il caso italiano: fondamenti

costituzionali e normativi

Giurisdizione e dialogo tra le Corti nel diritto di Internet (in particolare in tema di privacy):

• Giurisprudenza italiana. Corte costituzionale e Corte di Cassazione. Altre Corti costituzionali

La nozione di riservatezza e la sua evoluzione

L’identità personale ed il diritto alla autodeterminazione informativa

La normativa italiana:

nozione di dato personale e di trattamento

codice privacy del 2003 in sintesi

codice delle comunicazioni elettroniche 2003

trattamento dei dati personali: le deroghe per i giornalisti

privacy e sicurezza

L’attuale quadro normative europeo La società degli algoritmi (pro e contro) La profilazione degli utenti Casi giurisprudenziali italiani: riservatezza e anonimato privacy e trasparenza pubblica protezione dei dati, autodeterminazione

e diritto all’oblio Corte di Cassazione civile sent. 5525 del

2012 Sentenza nella causa C-131/12 - Google

Spain SL, Google Inc. / Agencia Española de Protección de Datos / Mario Costeja González

CONCLUSIONI. Cittadinanza elettronica e

“costituzionalizzazione” della rete

Premessa. il caso italiano: fondamenti costituzionali e normativi

Nessun riferimento esplicito alla riservatezza (privacy) né alla protezione dei dati personali

Nessun riferimento alla Rete Internet

I fondamenti costituzionali sono nella interpretazione di alcuni principi fondamentali e di altri diritti di libertà

Italia - Spagna

Costituzione italiana del 1948 • Art. 2 “La Repubblica riconosce e

garantisce i diritti inviolabili dell'uomo, sia come singolo, sia nelle formazioni sociali ove si svolge la sua personalità, e richiede l'adempimento dei doveri inderogabili di solidarietà politica, economica e sociale”

• Art. 3, comma 1. “Tutti i cittadini hanno pari dignità sociale e sono eguali davanti alla legge, senza distinzione di sesso, di razza, di lingua, di religione, di opinioni politiche, di condizioni personali e sociali”

Constitución española de 1978

El Art. 18 de la establece:

1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen.

2. El domicilio es inviolable. Ninguna entrada o registro podrá hacerse en el sin consentimiento del titular o resolución judicial, salvo en caso de flagrante delito.

3. Se garantiza el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas, salvo resolución judicial.

4. La Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.

La connessione con altre libertà

libertà personale (art. 13) l’inviolabilità del domicilio (art. 14) libertà e segretezza della comunicazione (art. 15) libertà di culto religioso (art. 19) libertà di manifestazione del pensiero (art. 21) diritto al nome (art. 22) diritto alla inviolabilità del diritto di difesa (art. 24) diritto alla formazione familiare (art. 29) diritto alla salute, anche come rispetto della

persona circa l’assoggettamento ai trattamenti sanitari obbligatori (art. 32)

Dichiarazione universale dei diritti dell’uomo (UDHR) delle Nazioni Unite (ONU) del 1948

“Nessun individuo potrà essere sottoposto ad interferenze arbitrarie nella sua vita privata, nella sua famiglia, nella sua casa, nella sua corrispondenza, né a lesione del suo onore e della sua reputazione. Ogni individuo ha diritto ad essere tutelato dalla legge contro tali interferenze o lesioni”

la Convenzione europea dei diritti dell’uomo (art. 8) del 1950

Articolo 8: “Diritto al rispetto della vita privata e familiare

• 1. Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza.

• 2. Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui”

.

la Convenzione n. 108 sulla protezione delle persone

rispetto al trattamento automatizzato di dati di carattere personale, adottata dal Consiglio

d’Europa nel 1981

la Carta dei diritti fondamentali dell’Unione europea del 2000 (artt. 7 e 8)

• Art. 7. Rispetto della vita privata e della vita familiare.

Ogni individuo ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle sue comunicazioni.

• Articolo 8. Protezione dei dati di carattere personale 1. Ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano. 2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni individuo ha il diritto di accedere ai dati raccolti che lo riguardano e di ottenerne la rettifica. 3. Il rispetto di tali regole Ł soggetto al controllo di un’autorità indipendente”

il Trattato sul funzionamento dell’Unione europea, come riscritto dal Trattato di Lisbona del 2007

Art. 16 • “1. Ogni persona ha diritto alla protezione dei dati di carattere

personale che la riguardano.

• 2. Il Parlamento europeo e il Consiglio, deliberando secondo la procedura legislativa ordinaria, stabiliscono le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte delle istituzioni, degli organi e degli organismi dell'Unione, nonché da parte degli Stati membri nell'esercizio di attività che rientrano nel campo di applicazione del diritto dell'Unione, e le norme relative alla libera circolazione di tali dati. Il rispetto di tali norme è soggetto al controllo di autorità indipendenti”

Il confronto è tra Corte EDU (di Strasburgo) e Corte di giustizia Ue (di Lussemburgo). quando iniziano ad occuparsene: la Corte di Lussemburgo nel 1999 (caso Zanetti su uso del web ed esercizio libertà economiche: la rete permette il superamento o l’elusione delle barriere normative a protezione del mercato interno). la Corte di Strasburgo nel 2004 (caso governo francese sul tema del diritto all’oblio).

Giurisdizione e dialogo tra le Corti nel diritto di Internet (in particolare in tema di privacy)

La Corte Costituzionale con sentenza n. 38 del 1973 per la prima volta colloca il diritto in esame tra quelli inviolabili dell’uomo garantiti costituzionalmente La sent. 139 del 1990, in materia di segreto statistico (i dati personali devono essere comunicati solo in forma aggregata); la sent. 163 del 2005, in materia di intercettazioni indirette e casuali dei parlamentari (la tutela della privacy dei parlamentari è diminuita dall’interesse a che si formi la prova di un reato); la sent. 271 del 2005, che da ragione allo stato contro una legge regionale che non aveva rispettato la competenza in materia in materia di protezione dei dati personali.

Giurisprudenza italiana.

Corte costituzionale e Corte di Cassazione

Contemperare la tutela dell’immagine, della reputazione e della riservatezza con il diritto di cronaca

Caso Soraya

Corte Suprema di Cassazione Sent. 2129 del 1975

Accoglie la richiesta di risarcimento per danno all’immagine avanzata dall’ex imperatrice dell’Iran Soraya Esfandiary, per pubblicazioni di foto intime. Aveva perso perso l’appannaggio garantitole dall’ex marito, l’ultimo Scià di Persia.

La sentenza è motivata sull’articolo 8 della CEDU.

Concetto di “interesse sociale alla informazione”

Che differenza c’è fra l’art. 15 Cost. e l’art. 21 Cost?

Corte Costituzionale sent. n. 1030 del 1988 (in tema di legittimità di

alcune disposizioni del codice postale)

«L'essenziale distinzione tra i diritti di libertà garantiti dagli artt. 15 e 21 Cost. si incentra effettivamente [...] sull'essere la comunicazione, nella prima ipotesi, diretta a destinatari predeterminati e tendente alla segretezza e, nell'altra, rivolta invece ad una pluralità indeterminata di soggetti».

IDONEITA’ del MEZZO e

FUNGIBILITA’ DEL WEB

Altre Corti costituzionali

In germania il Bundesverassungsgericht è molto sensibile al tema dei rapporti tra nuovi diritti e sviluppo tecnologico.

Nel 1983 (Volkszählungsurteil, Bundesverfassungsgericht 15-12-1983, 1 BvR 209/83) sanciva il diritto all’autodeterminazione informativa (informationelle Selbstbestimmung), definibile come il diritto del singolo a decidere in prima persona sulla cessione e l’uso dei dati che lo riguardano

Nel 2008 (Bundesverfassungsgericht 27-02-2008, 1 BvR 370/07), il diritto all’integrità informatica

Nel 2012 (Bundesverfassungsgericht 24-01-2012, 1 BvR 1299/05) il bilanciamento tra il diritto all’autodeterminazione informativa e le esigenze dell’autorità di pubblica sicurezza nella lotta contro crimine e terrorismo

La nozione di riservatezza e la sua evoluzione

Nel 1890, due avvocati a quel tempo molto famosi e stimati a Boston, Samuel D. Warren e Louis D. Brandéis, pubblicarano sulla Harvard Law Review, un saggio dal titolo “The Right to Privacy”, scritto per affermare la tesi che la vita private sia un bene da proteggere giuridicamente: "La stampa sta sconfinando, in tutte le aree, ai limiti della proprietà e della decenza. Il pettegolezzo ha cessato di essere l'occupazione di persone pigre e depravate per diventare una merce, ricercata con impazienza e, anche, con impudenza ... Per intrattenere gli indolenti, colonna dopo colonna sono pieni di pettegolezzi inconsistenti, ottenuti, solo , attraverso l'interferenza nella sfera privata. »

La riservatezza nasce come tutela della sfera personale e intima dalle aggressioni esterne ed in particolare come limite al diritto di cronaca. Oggetto del diritto, ossia bene da tutelare, è la volontà di rimanere distaccato da altri (sia in senso fisico-materiale, sia in senso psicologico), mantenere quindi la propria sfera di intimità. Con il progresso tecnologico legato ai mezzi di diffusione del pensiero e della comunicazione interpersonale (che porta fino al web) si è aggiunto il profilo della protezione dei dati personali, intesa come controllo che ciascuno di noi può esercitare sui dati che lo riguardano.

Dato personale e valore di mercato

Il suo scambio produce ricchezza. Ma per chi?

La dottrina anglosassone ha parlato di habeas data e

alcune Costituzioni dell’America latina hanno accolto questo concetto (Argentina, Messico, Panama, Colombia, Ecuador e Brasile)

Habeas corpus, letteralmente "che tu abbia il corpo", è una locuzione latina utilizzata nei

sistemi giuridici di common law, per indicare l'ordine emesso da un giudice di

portare un prigioniero al proprio cospetto, per verificarne le condizioni personali ed

evitare una detenzione senza concreti elementi di accusa

Così oggi si parla di Habeas data «tenere presente I propri dati», intendendo il dirito alla

autodeterminazione informativa.

L’habeas data riguarda la smaterializzazione e la parcellizzazione della nostra identità in

Internet. Le tracce che noi lasciamo in Rete sono frammenti della nostra personalità,

che può essere interpretata e divulgata da altri. Si parla di tutela del «corpo

elettronico» degli individui.

LA NORMATIVA ITALIANA (in ritardo…)

La legge sulla protezione dei dati personali n. 675/1996

Oggi decreto legislativo n. 196 del 2003 (cd. Codice privacy), testo unico a carattere generale e trasversale

Principi fondamentali: necessità, finalità, proporzionalità, liceità, ecc.

Disciplinato i diritti: accesso, cancellazione, aggiornamento, opposizione, ecc

Istituti di garanzia: informativa, consenso, sistema delle autorizzazioni, ecc.

Autorità di vigilanza sull’effettiva tutela di questo diritto fondamentale: il Garante per la protezione dei dati personali.

NOZIONE DI DATO PERSONALE E DI TRATTAMENTO

Trattamento Dato personale Dato personale

sensibile

REGOLAMENTO UE 2016/679 (IN ViGORE DAL 25.05-18) Dato personale = «qualsiasi informazione

riguardante una persona fisica, identificata o identificabile». Più precisamente, «si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale».

Privacy e sicurezza:

DIRETTIVA (UE 2016/680) ESEMPIO: DATAGATE

Trattamento dei dati personali:

le deroghe per i giornalisti

Regolamento generale in materia di protezione dei dati personali (Ue) 2016/679

Il 25 maggio 2018 è entrato in vigore e ha sostitutuito le vecchie direttive, innovando significativamente la disciplina.

Finalità del Regolamento Ue è garantire il diritto fondamentale sancito dall’art. 8 della Carta dei diritti fondamentali dell’Unione europea e ribadito dall’art. 16 TFUE, concernente la protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale

Presupposto politico su cui si basa l’impianto del regolamento

intrinseca rischiosità dell’immissione di dati personali online, perché:

è praticamente impossibile inibire la circolazione di un dato personale una volta immesso in Internet

è difficile evitare che esso venga incrociato con altre informazioni (personali e non), con modalità di trattamento e per finalità diverse da quelle previste originariamente.

QUINDI: il titolare/responsabile del trattamento deve fare una

valutazione sistematica, dei rischi attuali e potenziali del trattamento

Il regolamento però lascia ampi spazi all’autodisciplina, attraverso frequenti rinvii a codici di condotta

TITOLARE del trattamento: «la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali». RESPONSABILE del trattamento «la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento» Eccezione domestica (household exemption): il regolamento «non si applica al trattamento di dati personali effettuato da una persona fisica nell'ambito di attività a carattere esclusivamente personale o domestico PRINCIPIO DELL’ OPT-IN la protezione dei dati personali in principio sia assicurata al massimo livello dal gestore della piattaforma informatica, a meno che non sia l’utente stesso a scegliere una tutela meno rigida

Qualunque tipo di provider, compresi i gestori dei social network Il Reg. parla di data controller La distinzione tra titolare e responsabile può avere rilevanza nel caso del provider che affida ad un altro soggetto la responsabilità del trattamento dei dati (si pensi, ad esempio al rapporto fra la società “madre” Google e la controllata YouTube, oppure fra Facebook e le controllate Instagram e WhatsApp) la corrispondenza e gli indirizzari o l'uso dei socialnetwork e attività online intraprese nel quadro di tali attività Non vale mai per I provider, compreso il social network provider perché la loro attività è sempre di tipo professionale

LA SOCIETÀ DEGLI ALGORITMI (pro e contro)

Un caso concreto: un falso profilo Facebook LA PROFILAZIONE DEGLI UTENTI

«qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di detta persona fisica».

Obblighi del titolare del trattamento dei dati:

- fornire all’interessato l’informativa relativa alla profilazione (notizie precise sulla logica utilizzata, sulle conseguenze e sull’importanza di tale trattamento)

- effettuare una valutazione di impatto delle pratiche di profilazione degli utenti

•

Diritti delle persone fisiche interessate:

accedere a queste informazioni

opporsi al trattamento in qualsiasi momento, soprattutto se la profilazione ha finalità di marketing diretto

non essere soggetto a decisioni che si basano automaticamente sul trattamento automatizzato dei suoi dati

CASI GIURISPRUDENZIALI ITALIANI

• Riservatezza e anonimato in un caso di adozione - sentenza n. 278 del 2013 la Corte costituzionale

• Privacy e trasparenza pubblica nel caso degli stipendi ai dipendenti P.A. - Ordinanza TAR Lazio n. 9828 del 19 settembre 2017

PROTEZIONE DEI DATI, AUTODETERMINAZIONE E DIRITTO ALL’OBLIO Corte di Cassazione civile sent. 5525 del 2012

IL FATTO: Un politico è imputato per corruzione nel 1993. La notizia è correttamente riportata nei giornali dell’epoca. Successivamente il politico viene assolto. A distanza di molti anni digitando il nome del politico nei motori di ricerca si trova la notizia dell’imputazione, ma non anche quella dell’assoluzione.

LA DECSIONE: Il ricorrente ha il diritto di conoscere in ogni momento chi possiede i suoi dati personali e come li adopera, nonché di opporsi al trattamento dei medesimi, ancorché pertinenti allo scopo della raccolta, ovvero di ingerirsi al riguardo, chiedendone la cancellazione, la trasformazione, il blocco, ovvero la rettificazione, l’aggiornamento, l’integrazione. Ha diritto a che non vengano ulteriormente divulgate notizie che per il trascorrere del tempo risultano ormai dimenticate o ignote alla generalità dei consociati. Solo se un fatto di cronaca assume rilevanza quale fatto storico, ciò può giustificare la permanenza del dato, ma mediante la conservazione in archivi diversi (es., archivio storico) da quello in cui esso è stato originariamente collocato

COMMENTO: Anche se la notizia data allora è vera, oggi rappresenta una verità parziale, una rappresentazione falsa della realtà, che può ledere profondamente il diritto all’identità personale. Si impone, dunque, di contestualizzare la notizia. Per tutelare l'identità sociale del soggetto cui afferisce la notizia di cronaca, bisogna garantire il suo aggiornamento e cioè il collegamento di quella notizia con altre informazioni successivamente pubblicate concernenti l’evoluzione della vicenda, che possano completare o addirittura mutare il quadro sorto a seguito della notizia originaria

Sentenza nella causa C-131/12 Google Spain SL, Google Inc. / Agencia Española de Protección

de Datos, Mario Costeja González

IL FATTO: Gonzales chiedeva alla Agenzia spagnola di protezione dei dati, AEPD che fosse ordinato (sia

a La Vangardia, sia a Google) di eliminati i dati identificativi o modificata la notizia perché era ormai priva di qualsiasi rilevanza. AEPD non ha accolto nei confronti del quotidiano, perché il diritto di cronaca era stato esercitato correttamente. Ha invece chiesto a Google Spain e Google Inc. di rimuovere i dati dai motori di ricerca. Ha interpellato la Corte di giustizia con un rinvio pregiudiziale.

LA DECISIONE CORTE GIUSTIZIA UE: Il motore di ricerca «raccoglie» dati ai sensi della direttiva 95/46, ma anche li «tratta»

perché «estrae», «registra» e «organizza» tali dati nell’ambito dei suoi programmi di indicizzazione, li conserva nei suoi server e, eventualmente, li mette a disposizione dei propri utenti sotto forma di elenchi di risultati. Questo vale anche nell’ipotesi in cui riguardino esclusivamente informazioni già pubblicate tali e quali nei media.

• Si può chiedere ed ottenere la cancellazione, se un trattamento inizialmente lecito di dati esatti può divenire, con il tempo, incompatibile con la direttiva suddetta nel caso in cui, tali dati risultino inadeguati, non pertinenti o non più pertinenti ovvero eccessivi in rapporto alle finalità per le quali sono stati trattati e al tempo trascorso.

COMMENTI: Si afferma il diritto alla contestualizzazione dell’informazione e alla verità

attuale. La sentenza di fatto, ha trasformato Google e gli altri motori di ricerca in "arbitri" chiamati a decidere circa la rimozione - dai rispettivi indici - dei link facenti riferimento

«l'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali» A differenza del diritto alla riservatezza, il diritto all’oblio non è rivolto a cancellare il passato, ma a proteggere il presente. Nel web serve a richiede all’intermediario digitale – motore di ricerca, host provider o content provider – di cancellare quelli scorretti, distorti o non più rilevanti, NON a garantire l’assoluta irreperibilità del dato.

Condizioni: dati divenuti non più necessari rispetto alle

finalità per le quali erano stati raccolti o trattati;

dati trattati illecitamente; revoca del consenso o opposizione al

trattamento da parte dell’interessato; obbligo giuridico di cancellazione derivante

dal diritto dell’Unione europea o di uno Stato membro;

dati relativi a minori Non si può chiedere se le informazioni riguardano: l’esercizio del diritto alla libertà di

espressione e di informazione; l’adempimento di obblighi giuridici imposti

al titolare del trattamento dalla legge nazionale o europea o nell’esercizio di pubblici poteri di cui il titolare del trattamento è investito a norma di legge;

motivi di interesse pubblico nel settore della sanità pubblica;

archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici; l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria

Il diritto all’oblio nel Reg. Ue 2016

CONCLUSIONI. Cittadinanza elettronica e “costituzionalizzazione” della rete

Chi decide la lex digitalis? A CHI spetta farlo? Necessità (antica) di disciplinare un fenomeno sociale Il web come espressione della cittadinanza globale? Distanza dal costituzionalismo moderno? Il web è uno spazio nuovo per esercitare nuovi e inusitati

diritti? O solo per esercitarli diversamente? Il controllo democratico è potenziato?