Al bando i software spia (1/2)

Il Gruppo dei Garanti della privacy europei ha approvato lo scorso 30 maggio un documento di lavoro nel quale si fa il punto sull'applicazione della direttiva europea sulla protezione dei dati (n. 95/46/CE) ai trattamenti effettuati da siti Web che siano situati in un Paese non appartenente all'UE.

Nel documento, del quale ha dato notizia la newsletter del Garante italiano per la privacy, si sottolinea il principio secondo il quale la direttiva dell'UE sulla protezione dei dati personali si applica ai trattamenti di dati personali effettuati per scopi specifici da titolari extra-UE che utilizzino strumenti situati nel territorio di uno Stato membro.
Questo principio prescinde dalla cittadinanza della persona i cui dati sono oggetto di trattamento: quello che conta è il luogo geografico in cui sono situati gli strumenti che il titolare utilizza per trattare i dati personali dell'individuo considerato.

I Garanti hanno inoltre fornito alcuni esempi concreti dell'applicazione di questo principio, ad esempio in merito all'impiego dei cookies da parte di un sito Web, di applicazioni tipo JavaScript, banner o degli ''spyware'', cioè i programmi installati in modo occulto sul PC dell'utente (ad esempio durante il download di un file).

Numerosi sono i siti web che utilizzano i cookies, file di testo memorizzati nel disco rigido del PC dell'utente quando visita il sito Web. Il cookie permette al sito Web di identificare il PC dell'utente, attraverso le informazioni in esso memorizzate, ad esempio le pagine visitate, ogniqualvolta si ha un nuovo contatto fra il PC e quel sito Web.

In questo caso, il titolare del sito Web, situato in un Paese terzo, decide di utilizzare il PC dell'utente (lo strumento) situato nel territorio di un paese UE attraverso i cookies, che realizzano un trattamento di dati personali che sfugge al controllo dell'interessato nell'UE.
Il titolare dunque dispone degli strumenti informatici dell'utente; pertanto, a questi trattamenti si applica la legge nazionale dello Stato Membro in cui è situato il PC dell'utente.
Ciò significa che l'utente deve essere informato dal titolare del sito Web sul fatto che verranno utilizzati cookies, sulle informazioni che verranno memorizzate e sulle finalità di tale memorizzazione.
L'utente deve avere la facoltà di accettare o meno i cookies nel loro complesso. Inoltre nel caso accetti deve poter decidere quali informazioni debbano essere inserite nel cookie in rapporto, ad esempio, al periodo di validità del cookie stesso (esistono infatti anche i cosiddetti 'cookie di sessione', la cui durata ha termine con l'uscita dell'utente dalla connessione in rete).

Per quanto riguarda JavaScript, si tratta di una serie di istruzioni che vengono inviate da un sito Web al computer dell'utente per consentire l'esecuzione di determinate operazioni su tale computer.
''Se il titolare decide di fare uso di queste applicazioni per raccogliere dati personali memorizzati nel computer dell'utente, si può affermare che egli ricorra a strumenti automatizzati secondo la definizione della direttiva, e dovrà dunque adeguarsi alla normativa nazionale in materia.

Lo stesso vale per i banner, ossia gli annunci pubblicitari che compaiono sulla pagina Web dopo che ci si è collegati ad un sito. In questo caso il meccanismo di funzionamento è tale per cui il PC dell'utente, una volta collegatosi al sito di interesse, viene 'costretto' a connettersi anche ad un altro server – quello della società pubblicitaria dalla quale viene inviato il banner.
Inoltre, per personalizzare l'invio dei messaggi pubblicitari, alcune società pubblicitarie profilano gli utenti attraverso cookies che sono inviati al PC dell'utente utilizzando il legame ipertestuale invisibile fra il sito Web visitato e la società pubblicitaria.
In tutti questi casi è indubbio che il titolare situato in un Paese terzo utilizzi il PC dell'utente senza che questi possa controllarne le modalità, e che pertanto si ricada nell'ambito di applicazione della legge nazionale (ai sensi della direttiva).''

Scaricando file dalla rete, in particolare file musicali, puo' accadere che sul PC dell'utente, senza il suo consenso, siano installati degli 'spyware' per raccogliere dati personali come, per esempio, i file musicali ascoltati più di frequente.
Sono applicazioni definite ''applicazioni ET'' perché ''una volta entrate nel PC dell'utente e apprese le informazioni necessarie, fanno quello che faceva l'extraterrestre di Spielberg: telefonano a casa.''
Anche per gli ''spyware'' vale quanto detto per i banner.

Il documento dei Garanti contiene inoltre le raccomandazioni che i Garanti rivolgono ai titolari extra-UE per i quali valgono i principi della direttiva rispetto al trattamento di dati personali via Internet. Un sunto di queste indicazioni sarà presentato sul numero di domani.