Direttiva 2002/58

Direttiva 2002/58/CE sulla vita privata e le comunicazioni elettroniche

La direttiva disciplina, con regole specifiche e tecnologicamente neutrali, la tutela della riservatezza e dei dati personali nel settore delle comunicazioni elettroniche accessibili al pubblico. Essa nasce per adeguare la disciplina precedente agli sviluppi del mercato e delle tecnologie digitali, sostituendo la direttiva 97/66/CE e integrando la direttiva 95/46/CE.

Finalità e quadro sistematico

La direttiva persegue un duplice obiettivo: garantire un livello equivalente di tutela dei diritti e delle libertà fondamentali, soprattutto del diritto alla vita privata, e assicurare la libera circolazione dei dati, delle apparecchiature e dei servizi di comunicazione elettronica nell'Unione. Il testo ribadisce il rilievo degli articoli 7 e 8 della Carta dei diritti fondamentali e colloca la disciplina nel solco della protezione dei dati personali già riconosciuta dalla direttiva 95/46/CE.

La direttiva, in quanto atto di armonizzazione minima/settoriale, opera come specialità rispetto alla disciplina generale della protezione dei dati: dove non interviene con regole specifiche, continua ad applicarsi la direttiva 95/46/CE. Rimane inoltre fermo il margine degli Stati membri in materia di sicurezza pubblica, difesa, sicurezza dello Stato e attività penali, con possibilità di misure nazionali appropriate e proporzionate.

Ambito di applicazione e definizioni rilevanti

L'articolo 3 delimita l'ambito ai trattamenti di dati personali connessi alla fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche nella Comunità. La disciplina si estende anche, per alcuni articoli, alle linee analogiche solo se l'applicazione è tecnicamente possibile e non comporta oneri sproporzionati.

L'articolo 2 chiarisce nozioni essenziali per l'operatore pratico:

• dati relativi al traffico: dati trattati per la trasmissione o la fatturazione;
• dati relativi all'ubicazione: dati che indicano la posizione geografica del terminale;
• comunicazione: scambio di informazioni tra soggetti tramite servizio accessibile al pubblico, con esclusione delle trasmissioni radiodiffuse salvo identificabilità del destinatario;
• consenso: corrispondente al consenso della persona interessata ai sensi della direttiva 95/46/CE;
• servizio a valore aggiunto: servizio che richiede trattamento ulteriore di traffico o ubicazione;
• posta elettronica: messaggi di testo, voce, suono o immagini trasmessi via rete pubblica e memorizzabili fino alla presa conoscenza.

Riservatezza delle comunicazioni e sicurezza

L'articolo 5 sancisce il principio della segretezza delle comunicazioni: è vietato ascoltare, captare, memorizzare o intercettare comunicazioni e dati di traffico da parte di soggetti diversi dagli utenti, salvo consenso o autorizzazione legale. Sono ammesse solo la memorizzazione tecnica necessaria alla trasmissione e, in ambito commerciale legittimo, la registrazione di comunicazioni a fini probatori, se legalmente autorizzata.

L'articolo 4 impone ai fornitori l'adozione di misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dell'arte e dei costi di attuazione. In caso di rischio particolare, gli abbonati devono essere informati, con indicazione dei possibili rimedi e dei costi presumibili, se il rischio eccede le misure adottate dal fornitore.

Dati di traffico, fatturazione e servizi a valore aggiunto

L'articolo 6 stabilisce che i dati di traffico devono essere cancellati o resi anonimi quando non più necessari alla trasmissione. La conservazione è ammessa per la fatturazione e i pagamenti di interconnessione fino alla fine del periodo di contestazione, nonché per marketing e servizi a valore aggiunto solo con consenso revocabile in ogni momento.

Il trattamento è ristretto al personale che opera sotto l'autorità del fornitore e solo per attività tassativamente indicate: fatturazione, gestione del traffico, indagini per conto dei clienti, accertamento delle frodi, commercializzazione e servizi a valore aggiunto. Restano salve le facoltà degli organismi competenti di ottenere i dati per la risoluzione delle controversie, in particolare in materia di interconnessione e fatturazione.

Dati di ubicazione e identificazione della linea

Per i dati di ubicazione diversi dai dati di traffico, l'articolo 9 richiede anonimizzazione oppure consenso preventivo dell'utente o dell'abbonato, oltre a informativa su natura, finalità, durata e possibile trasferimento a terzi. Anche in questo caso il consenso può essere revocato in qualsiasi momento e il trattamento deve essere limitato al minimo necessario.

L'articolo 8 regola l'identificazione della linea chiamante e collegata. Il fornitore deve offrire, gratuitamente e con modalità semplice, la soppressione della presentazione del numero chiamante, il rifiuto di chiamate entranti anonime, la soppressione dell'identificazione della linea collegata e, per quanto pertinente, la possibilità di respingere chiamate in cui il numero sia stato occultato. Le regole si applicano anche nei rapporti con paesi terzi per le chiamate in entrata e in uscita. L'articolo 10 introduce deroghe procedurali per chiamate malintenzionate e per i servizi di emergenza.

Terminali, cookies e accesso alle informazioni archiviate

L'articolo 5, paragrafo 3, disciplina l'uso di reti di comunicazione elettronica per archiviare informazioni o accedere a informazioni già archiviate nel terminale dell'utente. È necessario che l'utente sia informato in modo chiaro e completo, anche sugli scopi, e che abbia la possibilità di rifiutare il trattamento. Sono escluse le memorizzazioni o gli accessi strettamente necessari alla trasmissione della comunicazione o a un servizio della società dell'informazione espressamente richiesto.

I considerando chiariscono che tale regola copre anche i cosiddetti cookies e dispositivi analoghi, consentendone l'uso solo per scopi legittimi e con adeguata trasparenza; l'accesso al contenuto di un sito può però essere subordinato all'accettazione informata di un cookie necessario a fini legittimi.

Fatturazione, pagamenti e tutela della privacy

L'articolo 7 riconosce all'abbonato il diritto a ricevere fatture non dettagliate. Gli Stati membri devono adottare misure per conciliare le esigenze di dettaglio della fatturazione con il diritto alla vita privata dei chiamanti e dei chiamati, anche favorendo opzioni di pagamento o di fatturazione alternative e più riservate.

La direttiva, nei considerando, incoraggia strumenti di pagamento che consentano accesso anonimo o strettamente privato ai servizi, come carte telefoniche o carte di credito, e ammette fatture con cifre occultate per tutelare gli utenti.

Elenchi di abbonati

L'articolo 12 impone un sistema di trasparenza e controllo dell'inclusione negli elenchi pubblici. Prima dell'inserimento, l'abbonato deve essere informato gratuitamente sulle finalità dell'elenco e sugli eventuali usi ulteriori delle funzionalità di ricerca elettronica. Deve inoltre poter scegliere se figurare nell'elenco e quali dati rendere pubblici, nonché verificarli, rettificarli o ritirarli senza oneri.

Gli Stati membri possono richiedere un consenso ulteriore per usi diversi dalla semplice ricerca per nome. Per gli abbonati che non siano persone fisiche, deve comunque essere garantita un'adeguata tutela degli interessi legittimi.

Comunicazioni indesiderate e marketing diretto

L'articolo 13 adotta un modello rigoroso di consenso preventivo per l'uso di sistemi automatici di chiamata, telefax e posta elettronica a fini di marketing diretto. Esiste una deroga per i clienti già acquisiti: il medesimo soggetto può usare le coordinate elettroniche ottenute nel contesto di una vendita per offrire prodotti o servizi analoghi, purché l'interessato sia informato in modo chiaro e abbia un diritto di opposizione gratuito e semplice.

Per le altre forme di comunicazioni indesiderate, gli Stati membri possono scegliere tra regime di consenso o sistema di opposizione, ma deve comunque essere garantita tutela effettiva. È inoltre vietato mascherare l'identità del mittente o utilizzare indirizzi o numeri di risposta falsi.

Deroghe per sicurezza, repressione e emergenze

L'articolo 15 consente agli Stati membri di limitare alcuni diritti e obblighi della direttiva quando ciò sia necessario, appropriato e proporzionato per sicurezza nazionale, difesa, sicurezza pubblica, prevenzione e repressione dei reati, o per contrastare l'uso non autorizzato dei sistemi di comunicazione elettronica. La norma permette anche la conservazione limitata dei dati per tali scopi.

Le misure nazionali devono restare conformi ai principi generali del diritto dell'Unione e della Convenzione europea dei diritti dell'uomo, come richiamato anche nei considerando. Restano applicabili i rimedi, le responsabilità e le sanzioni previsti dalla direttiva 95/46/CE per le violazioni della normativa nazionale di attuazione.

Disposizioni tecniche, transitorie e finali

L'articolo 14 preserva la neutralità tecnologica e impedisce l'imposizione di standard tecnici inderogabili che ostacolino il mercato interno, salvo il ricorso alle procedure di notifica per specifiche tecniche di rete e salvo misure compatibili con la tutela del controllo degli utenti sui propri dati personali.

L'articolo 16 contiene regole transitorie per gli elenchi già prodotti o immessi sul mercato prima del recepimento: tali elenchi restano fuori dall'articolo 12; i dati già pubblicati in conformità alle direttive previgenti possono rimanere negli elenchi, salvo scelta diversa dell'abbonato informato adeguatamente.

L'articolo 17 impone il recepimento entro il 31 ottobre 2003 e la comunicazione alla Commissione delle misure nazionali, mentre l'articolo 18 prevede un riesame della Commissione entro tre anni dalla data di cui all'articolo 17, paragrafo 1. L'articolo 19 abroga la direttiva 97/66/CE con effetto dalla data di applicazione della nuova disciplina. La direttiva entra in vigore alla pubblicazione nella Gazzetta ufficiale delle Comunità europee ed è destinata agli Stati membri.