Privacy

Privacy (AFI: /'praivasi/)^[1][2], termine dell'inglese, traducibile in italiano con riservatezza^[3] o privatezza,^[4] indica, nel lessico giuridico-legale, il diritto alla riservatezza della vita privata di una persona.^[5]

Il diritto a non essere soggetto a violazioni non autorizzate della parte più privata della propria esistenza da parte del governo, delle società o degli individui fa parte delle leggi sulla privacy di molti Stati del mondo e, in alcuni casi, delle costituzioni.

Il concetto si sviluppa fin dell’Antica Grecia, quando, in una serie di trattati filosofici si inizia a far riferimento ad un “senso di riservatezza”. Aristotele, nella sua Politica, distingue tra Polis, sfera pubblica dell'individuo, correlata alle attività cittadine, ed Oikos, sfera privata, associata alla vita domestica. Viene così stabilito l’ambito personale, distinto da pubblico e politico. Per gli antichi greci il coinvolgimento da parte degli uomini nella vita pubblica era di fondamentale importanza; parallelamente, però, riconoscevano al singolo la necessità di una sfera propria e riservata, da intendersi come luogo in cui occuparsi dei propri bisogni. L’affermarsi di città-stato significa per l’uomo ricevere una personale vita activa, marcando il discrimine tra ciò che è proprio contro ciò che è comune. La vita privata è rispettata in quanto considerata elemento necessario a far scaturire uno stimolo d’interesse cittadino. Ogni uomo che ha proprietà nella città sarà interessato al suo corretto funzionamento.

Durante l’età feudale si espande l’ideale di libertà personale e, successivamente, grazie allo Stato assoluto, ciò che separa privato e pubblico viene delineato al punto da originare la sfera del privato. Riforme religiose e diffusione dell’alfabetizzazione sono tra gli elementi che condizionano fortemente la società occidentale del XVI e XVII secolo. Tali elementi portano proprio ad un mutamento radicale della mentalità sociale, diffondendo un nuovo costume d’appartenenza.

La connotazione odierna di privacy, però, si afferma proprio a seguito della caduta del feudalesimo. XVIII e XIX rappresenterebbero un'era prolifica per il diritto. Nel 1890, due giuristi statunitensi, Louis Brandeis e Samuel Warren, pubblicarono “The Right of Privacy”^[6] sulla Harward Law Review, prima monografia giuridica a riconoscere “the right to be let alone”, “diritto ad essere lasciato da solo”. Esprimendo in queste parole il desiderio di una propria ed inviolabile intimità^[7][8].

Ciononostante, le prime accezioni del termine si riferiscono ad una casistica tendente al negativo, la libertà ottenuta con il concetto di privacy non è associata ad una possibilità “di”, quanto ad una liberazione “da” un qualcosa/qualcuno. Il periodo storico è quello della rivoluzione industriale, ciò è quindi da intendere non in ottica universale, quanto riferito al ceto borghese. È già qui evincibile quanto il concetto di privacy si riscopra in ogni contesto storico, dovendosi interfacciare con una serie di nuove necessità personali che in esso si affermano. Il sancire un’impossibilità di ingresso in uno spazio altrui, come sottolineato da Rodotà, funge da snodo culturale fondamentale nell'affermazione della privacy odierna.

In ottica europea si ha una prima formazione del concetto di privato tra XVIII e XIX secolo. In Germania origina la discussione su una serie di possibilità individuali originanti dal “diritto naturale”, elemento d’influenza della filosofia giuridica tedesca.

Nel 1954 una sentenza del Bundesgerichtshof determina, per la prima volta, un basilare diritto alla personalità.

La discussione d’origine germanica si estese così per il continente, fintanto che nel 1909, in Francia, si giunge alla legittimazione dei diritti della personalità.

Parallelamente, nel Bel paese, il concetto viene portato avanti da Adolfo Ravà, docente di Filosofia del diritto. I punti sollevati da Ravà, seppur paralleli al pensiero tedesco, hanno origine indipendente. Analizzando il Tractatus de potestate in seipsum di Baldassarre Gomez de Amescua, giurista spagnolo del XVI secolo, ne coniuga un “diritto sulla propria persona”, che esclude però una lunga serie d’elementi per noi correlati, quali: diritto d’autore, sul nome, sul marchio. Successivamente sarà sempre Ravà a determinare per analogia legis il “diritto alla riservatezza”.

I primi casi di violazione si presentano tra gli anni ’50 e ’60^[9][10]. Caso particolarmente significativo è la sentenza emessa dalla Corte di Cassazione nel 1963. Il settimanale italiano “Tempo” ottenne attenzione popolare diffondendo una serie di particolari inerenti alla vita intima di Claretta Petacci, amante di Benito Mussolini. A seguito della constatazione ne scaturì una denuncia da parte della sorella minore della Petacci, Miria di San Servolo.

Nel 1975 anche il Supremo Collegio italiano si adeguò alle controparti europee affermando l’esistenza di un diritto alla riservatezza. Il tutto scaturì a seguito di controversie con Soraya Esfandiari che fu fotografata, nelle proprie mura domestiche, in atteggiamenti intimi con un uomo^[11].

Tornando all'ottica comunitaria, una serie di provvedimenti fu ribadita: direttive 95/46/CE, 97/66/CE, e 2002/58/CE.

In Italia, consecutivamente alla 95/46/CE si ha l’istituzione di una figura di garante per la protezione dei dati personali. Seguì l’emanazione del decreto legislativo 30 giugno 2003 n.196, il quale introdusse nell'ordinamento italiano un autonomo diritto alla protezione dei dati personali, indipendente rispetto alla tutela della sfera intima dell’individuo. L’estensione europea di questa visione entra in vigore il 7 dicembre 2000, con l’art. 8, comma I della Carta dei diritti fondamentali dell’Unione Europea, detta anche Carta di Nizza, che fa esplicito riferimento al diritto alla protezione dei dati personali.

Nel 2016 esce il Regolamento generale sulla protezione dei dati che sostituisce la vecchia direttiva, la sua attuazione è avvenuta a distanza di due anni, quindi a partire dal 25 maggio 2018. È composto da 99 articoli e 173 considerando, questi ultimi con solo valore interpretativo. Trattandosi di un regolamento, non necessita di recepimento da parte degli Stati dell'Unione ed è attuato allo stesso modo in tutti gli Stati dell'Unione senza margini di libertà nell'adattamento, tranne per le parti per le quali si prevede espressamente delle possibilità di deroga.

Prima di entrare nel merito, è opportuno ricordare che la privacy non ha nulla a che fare con la segretezza. Spesso le due discipline sono erroneamente scambiate. La prima tratta unicamente dati personali di persone fisiche; la seconda riguarda le informazioni confidenziali in materia di diritto industriale: in pratica, le conoscenze e la proprietà intellettuale di un soggetto, tipicamente un'azienda (il know-how è il patrimonio di conoscenze originali che devono rimanere riservate in quanto non pubbliche come i brevetti). Invocare le norme sulla privacy per difendere la segretezza è inutile e infondato.

In pratica, ad esempio:

• il codice fiscale, i gusti di una persona, la fotografia del volto, il casellario giudiziario => privacy;
• i processi, la rete di clienti/fornitori, le specifiche tecniche di prodotto, le strategie e i dati di controllo di gestione => segretezza.

Nel caso di imprese registrate alla camera di commercio, per non parlare di quelle quotate in borsa, i dati di bilancio sono pubblici, quindi qui la segretezza non è applicabile.

Il concetto di privacy individuale universale è un concetto moderno, principalmente associato alla cultura occidentale, britannica e nordamericana in particolare, ed è rimasto praticamente sconosciuto in alcune culture fino a tempi recenti. La maggior parte delle culture, tuttavia, riconosce la capacità degli individui di nascondere alcune parti delle proprie informazioni personali.

Il significato nel tempo, si è evoluto anche in relazione all'evoluzione tecnologica che dai tempi di Warren e Brandeis (fine XIX secolo) è intercorsa. Inizialmente riferito alla sfera della vita privata, negli ultimi decenni ha subito un'evoluzione estensiva, arrivando ad indicare il diritto al controllo sui propri dati personali.^[12] Quindi, il significato odierno, di privacy, comunemente, è relativo al diritto della persona di controllare che le informazioni che la riguardano vengano trattate o guardate da altri solo in caso di necessità.

La privacy non va confusa nemmeno con la solitudine, e questa non va confusa con l'abbandono, in quanto sussiste una profonda differenza, infatti, tra «l'esser soli», «l'esser lasciati soli» e «l'esser lasciati in condizioni di non-autosufficienza» con handicap senza essere capaci né di intendere né di volere. Il termine avrebbe anche un'accezione culturale: secondo alcuni ricercatori il concetto di privacy distingue la cultura Anglo-americana da quella Europea occidentale, come quella Italiana, Tedesca o Francese. Tuttavia si hanno troppi punti in comune tra le due soprattutto dal punto di vista del ruolo delle informazioni personali all'interno della società.^[13]

Il diritto alla privacy non va confuso con il diritto al segreto, anch'esso finalizzato a tutelare un'area riservata della vita privata ma che per qualche motivo comprenda elementi comunque conosciuti da alcune persone: il medico, ad esempio, è sicuramente consapevole dello stato di salute del proprio paziente, ma ha il dovere di mantenere il segreto professionale sulle notizie di cui è a conoscenza.^[14]

Il diritto alla privacy non è nemmeno interamente sovrapponibile al diritto alla protezione dei dati personali (cioè alla protezione da monitoraggio continuo, previsione dei comportamenti, profilazione degli individui) che nasce come corollario del diritto alla riservatezza.^[15]

La diffusione delle nuove tecnologie a partire dal XXI secolo ha contribuito ad un assottigliamento della barriera della privacy, ad esempio la tracciabilità dei cellulari o la relativa facilità a reperire gli indirizzi di posta elettronica delle persone, che può dar luogo, ad esempio, al fenomeno dello spamming, pubblicità indesiderata. Anche la geolocalizzazione degli smartwatch, combinata con funzioni in questi contenute, come il cardiofrequenzimetro, può impattare in modo significativo sulla privacy, permettendo ad aziende di marketing di monitorare l'utente nelle sue abitudini di consumo e gusti personali attraverso tecniche di pubblicità comportamentale, cioè una raccolta delle informazioni personali degli utenti come mezzo di marketing per proporre pubblicità targetizzate, come evidenziato da Federprivacy nel 2015, e confermato da uno studio condotto dall'Università di Pisa in collaborazione con l'Università dell'Essex, e l'Harvard Medical School.^[16][17][18]

La digitalizzazione delle immagini contribuisce ad una continua e progressiva riduzione della riservatezza e dà difficoltà nella sua tutela: condividere un'immagine o un video on-line su internet comporta la perdita di controllo sul materiale inserito. Ad esempio il sexting - condivisione di fotografie a carattere erotico prevalentemente sui social network - comporta la totale impossibilità di nasconderla potendo essere scaricata da altri utenti e reimmessa in Rete in qualunque altro momento. Analoghi problemi sorgono allorché vi siano video che in qualche modo siano lesivi della privacy o in qualche modo lesivi di altre persone, soprattutto se di minore età.

Col regolamento europeo del 2016 si passa da una visione proprietaria del dato, ad una visione di controllo del dato, che porta a favorire una maggior libertà nella circolazione dello stesso rafforzando nel contempo i diritti dell'interessato, il quale deve poter sapere se i suoi dati sono usati e come vengono usati per tutelare lui e l'intera collettività dai rischi che si trovano nel trattamento dei dati.

Le nuove norme prevedono:

• per i cittadini un facile accesso alle informazioni che riguardano i loro dati, le e modalità di trattamento e le finalità degli stessi;
• un diritto alla portabilità dei dati;
• l'istituzionalizzazione del diritto all'oblio, come previsto dalla Corte di Giustizia europea, che consentirà di chiedere ed ottenere la rimozione dei dati quando viene meno l'interesse pubblico alla notizia;
• l'obbligo di notifica da parte delle aziende delle gravi violazione dei dati dei cittadini;
• le aziende dovranno rispondere alla sola autorità di vigilanza dello Stato;
• sanzioni amministrative fino al 4% del fatturato globale delle aziende in caso di violazioni delle norme.

Il 28 gennaio è celebrata da diversi paesi nel mondo la Giornata europea della protezione dei dati personali, istituita dal Consiglio d'Europa.

Il rapporto fra diritto di cronaca e privacy è molto complesso ed è regolato da una serie di norme, stratificatesi nel tempo, che hanno cercato di stabilire un corretto compromesso fra i diversi interessi messi in campo. Ci sono norme volte a proteggere la privacy dei cittadini alle quali i giornalisti devono attenersi durante l'adempimento del proprio lavoro.

Per quanto riguarda l'Italia, in particolare:

• l'8 luglio del 1993 è stata approvata, da parte del Consiglio nazionale dell'Ordine dei giornalisti e dalla Federazione nazionale della Stampa, la Carta dei doveri dei giornalisti italiani. Il documento è significativo in quanto si propone di tutelare la libertà di informazione intesa anche come diritto passivo della collettività. La carta è suddivisa in quattro punti fondamentali: i diritti della persona, l'obbligo di rettifica, la presunzione di innocenza e le incompatibilità professionali. La parte concernente i diritti della persona, oltre a vietare qualsiasi tipo di discriminazione per razza, religione, sesso ecc., afferma che non si possono pubblicare notizie sulla vita privata delle persone. In questa sezione vengono poi ripresi i contenuti della Carta di Treviso (1990) per quanto riguarda la tutela dei minori e dei soggetti deboli. In particolare si sottolinea l'obbligo di tutelare l'anonimato del minore e l'impegno ad evitare la presenza di minori in trasmissioni televisive che possano ledere la sua personalità. Viene poi stabilito il divieto di rendere identificabili tre tipologie di soggetti:
  1. le vittime di violenze sessuali,
  2. i membri delle forze di pubblica sicurezza e dell'autorità giudiziaria,
  3. i congiunti di persone coinvolte in fatti di cronaca.

La Carta introduce inoltre un Comitato nazionale per la correttezza e la lealtà dell'informazione, organismo che ha la funzione di raccogliere e valutare le segnalazioni dei cittadini che ritengono di essere stati offesi da un articolo di giornale.

• La legge del 31 dicembre 1996, n. 675, Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali, garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti, delle libertà fondamentali e della dignità delle persone fisiche^[19]. Inoltre, l'articolo 25 di tale legge si intitola Trattamento di dati particolari nell'esercizio della professione giornalistica, e vieta di trattare senza consenso dati idonei a rivelare lo stato di salute e la vita sessuale dei cittadini, e affida al Garante il compito di promuovere l'adozione, da parte del Consiglio nazionale dell'Ordine, di un codice deontologico relativo al trattamento dei dati personali.
• Il Codice deontologico sulla privacy (il cui nome per esteso è Codice di deontologia relativo al trattamento dei dati personali nell'esercizio dell'attività giornalistica) è stato consegnato al Garante nella sua versione definitiva il 29 luglio 1998, ai sensi dell'art. 25 della l. 675/96. Il punto chiave del codice è la distinzione fra la sfera privata e interesse pubblico. È composto da 13 articoli, nei quali si inserisce la tutela di alcuni diritti personali come il diritto alla riservatezza sulle origini etniche, il pensiero politico, le abitudini sessuali, le convinzioni religiose, le condizioni di salute delle persone, il diritto alla dignità degli imputati durante i processi e dei malati. Molto importante è l'art. 6 del Codice, che parla di essenzialità dell'informazione^[20] e chiarisce che una notizia può essere divulgata, anche in maniera dettagliata, se è indispensabile in ragione dell'originalità del fatto, della relativa descrizione dei modi particolari in cui è avvenuto, nonché della qualificazione dei protagonisti. Anche nel codice, all'art. 7, viene ripresa la necessità, espressa nella Carta di Treviso, di una tutela rafforzata dei minori. Nel caso di minori scomparsi o rapiti, in particolare, è necessario il consenso dei genitori. L'art. 8 stabilisce invece, sempre nella sfera del rispetto per la dignità delle persone, il divieto di pubblicazione di immagini impressionanti.
• Il decreto legislativo n. 196 del 2003 (noto anche come «Codice di protezione dei dati personali»), in vigore dal 1º gennaio 2004 (che ha abrogato e sostituito la legge n. 675/96), dedica il titolo XII, «Giornalismo ed espressione letteraria ed artistica», alla disciplina del rapporto fra diritto di cronaca e diritto alla privacy.

Il codice suddivide i dati personali in quattro categorie:

1. dati sensibili: quelli idonei a rivelare "l'origine etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni o organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale".
2. dati semisensibili: sono informazioni i cui trattamenti possono causare danni all'interessato, sono dati di sospettati di frode o dati relativi a situazioni finanziarie
3. dati comuni: sono tutte quelle informazioni, come nome, cognome, partita I.V.A., codice fiscale, indirizzo, numeri di telefono, numero patente, targa auto, carta di credito…, che consentono di individuare una persona fisica o giuridica, sia essa anche un ente o associazione.
4. dati giudiziari: sono quelle informazioni idonee a rivelare provvedimenti in materia di casellario giudiziale, anagrafe delle sanzioni amministrative dipendenti da reati o carichi pendenti.

Nel caso dei dati sensibili, si prescinde dal consenso dell'interessato, tuttavia il giornalista deve rispettare il già citato limite dell'essenzialità dell'informazione, oltre a quello della rilevanza del dato per il caso trattato nell'articolo.
Il riferimento al Codice deontologico sulla privacy di cui sopra è stato inserito nell'art. 139.

La Cassazione, con sentenza n.18980 del 01.08.2013, ha stabilito che non è consentito al datore di lavoro diffondere a terzi la notizia che il lavoratore è assente per malattia, anche se omette di specificare di quale malattia è affetto perché costituisce diffusione di dati sensibili, in quanto attinente alla salute del soggetto. Tale comportamento viola le regole espressamente stabilite dall’art. 22 del D.lgs. n. 196 del 2003^[21].

Di crescente rilievo è il tema della sicurezza informatica che riguarda sia i privati cittadini, sia le imprese: esso coinvolge tutti gli aspetti che riguardano la protezione dei dati sensibili archiviati digitalmente ma in particolare è noto al grande pubblico con riferimento all'utilizzo di Internet. Con lo sviluppo e la diffusione dei social network, c'è stato un aumento della prevalenza dei social, causando polarizzazione politica e molestie. Sono aumentate le molestie online, in particolare tra gli adolescenti, il che ha conseguentemente portato molteplici violazioni della privacy. L'utilizzo di Facebook e Instagram, con l'utilizzo di tecnologie di localizzazione e l'uso di annunci pubblicitari e dei vari metodi di tracciamento, rappresentano una minaccia per la privacy digitale e non.

A livello software programmi spyware che, installandosi spesso in maniera fraudolenta nel personal computer delle vittime, provvede ad inviare dati personali (pagine visitate, account di posta, gusti ecc) ad aziende che successivamente li rielaboreranno e rivenderanno. Esiste anche un metodo, chiamato social engineering, tramite cui i truffatori riescono a ottenere informazioni personali sulle vittime attraverso le più disparate tecniche psicologiche: si tratta di una sorta di manipolazione che porta gli utenti a fornire spontaneamente i propri dati confidenziali.

La legge sulla privacy (Art. 167 d.lgs. n. 196/2003^[22]) punisce con la reclusione fino a due anni chi compie un illecito trattamento di dati personali tramite internet, ad esempio pubblicando la fotografia del volto di un altro soggetto senza il suo consenso. Quando le immagini hanno natura intima (soggetto nudo, compimento di un atto sessuale, ecc.), può scattare il reato più grave di stalking (Cass. sent. n. 12203/2015^[23]). La legge richiede che lo scopo della pubblicazione sia quello di trarne profitto e di arrecare un danno alla vittima, ma questa espressione è stata interpretata in senso ampio dalla giurisprudenza, secondo cui è sufficiente, ai fini del reato, un semplice fastidio o un turbamento alla vittima. Per chiedere il risarcimento del danno è necessario agire in via civile.^[24]

A tutela dell'individuo, possono essere impiegati alcuni accorgimenti, a cura dell'utente interessato, come:

• Utilizzare password non banali e con codici alfanumerici.
• Evitare il più possibile di comunicare la propria password.
• Installare e configurare bene firewall e antivirus tenendoli in seguito costantemente aggiornati.
• Procurarsi un antispyware in grado di ripulire efficacemente il sistema operativo.
• Non aprire allegati di e-mail inviate da sconosciuti.
• Configurare il livello della privacy del nostro browser almeno a livello medio.
• Leggere attentamente le licenze e le disposizioni riguardo alla privacy prima di installare un qualsiasi software.
• Ricorrere a strategie di offuscamento.

Esistono inoltre soluzioni meno immediate ma più efficaci come l'utilizzo della crittografia, che ci permette di criptare un messaggio privato attraverso particolari software facendo sì che solo l'utente destinatario possa leggerlo in chiaro, unito all'implementazione della firma digitale.

Con il diffondersi del Voice over IP e della chat (anche se paiono più difficili da intercettare), si spera non si creino altri settori di potenziale violazione della privacy.

L'utilizzo di internet costituisce anch'esso un impedimento - in potenza - alla riservatezza della vita privata degli utenti, ed in particolar modo alla navigazione nella rete telematica: in particolare i cookie HTTP sono i dati memorizzati sul computer di un utente che in generale facilitano l'accesso automatizzato a siti e/o funzionalità web, tenendo traccia delle impostazioni utente sul sito, e permettono il tracciamento dell'utente sia nei suoi spostamenti su un singolo sito, sia nella navigazione su siti differenti, in caso i cookie vengano impostati dai siti di terze parti.^[25] I cookie rappresentano una preoccupazione comune in materia di privacy su Internet. Sebbene gli sviluppatori di siti web utilizzino i cookie per scopi tecnici legittimi, possono verificarsi casi di abuso. Nel 2009, due ricercatori, Balachander Krishnamurthy e Craig Wills, hanno dimostrato che i profili di social networking possono essere collegati ai cookie, ovvero che è possibile per le terze parti, per esempio network pubblicitari, collegare le varie informazioni che identificano l'utente per risalire alle abitudini di navigazione dell'utente,^[26] una pratica che è alla base della pubblicità comportamentale.

In passato, la maggior parte degli utenti di internet non era a conoscenza dell'esistenza dei cookie, ma attualmente i loro possibili effetti negativi sono largamente riconosciuti: un recente studio ha di fatto dimostrato che il 58% degli utenti ha, almeno una volta, eliminato i cookie dal proprio computer, e che il 39% degli utenti li elimina abitualmente dal proprio computer ogni mese. Dal momento che i cookie rappresentano il modo principale degli inserzionisti di individuare i potenziali clienti, e data la presa di coscienza di molti utenti che hanno cominciato ad eliminarli, alcuni inserzionisti hanno iniziato ad utilizzare i cookie persistenti Flash cookies^[27] (che possono gestire un quantitativo di dati maggiore, non scadono, e sono memorizzati in più locazioni nella stessa macchina) e gli zombie cookie^[28] (cookies che vengono ricreati dopo la loro eliminazione, grazie a backup esterni alla memoria dedicata ai cookie classici), ma i browser moderni e i software anti-malware possono rilevarli e rimuoverli.

Uno dei vantaggi attribuibili all'uso dei cookie è che, per i siti web visitati di frequente che richiedono una password all'accesso, questi fanno in modo di non dover inserire ogni volta i propri dati personali. Un cookie può anche monitorare le proprie preferenze per mostrare i siti di maggiore interesse. Alcuni di questi benefici sono anche visti come negativi: ad esempio, uno dei modi più comuni di furto di dati sensibili utilizzati dagli cracker (informatica) è proprio quello di "rubare" i dati di accesso a siti salvati a causa dei cookie. Molti siti, essendo gratuiti, traggono profitto vendendo il loro spazio agli inserzionisti. Questi annunci, che vengono personalizzati a seconda dei gusti dell'utente, spesso possono essere causa di fastidio durante la navigazione. I cookie sono per lo più innocui ad eccezione dei cookie di terze parti. Questo genere di cookie, infatti, non vengono implementati dal sito stesso, ma da società di web banner pubblicitari e risultano più pericolosi perché forniscono i dati di navigazione degli utenti ad aziende estranee al sito dal quale sono stati registrati, e molto spesso, ad insaputa dell'utente.

I cookie sono spesso associati alle finestre pop-up, perché queste finestre sono spesso, ma non sempre, costruite su misura per la persona. Queste finestre risultano molto irritanti durante la navigazione perché sono spesso difficili da chiudere poiché il pulsante di chiusura è strategicamente nascosto in una parte dello schermo improbabile. Nel peggiore dei casi, questi annunci pop-up possono riempire interamente lo schermo e durante il tentativo di chiuderli, possono causare l'apertura di siti indesiderati.

Alcuni utenti scelgono di disabilitare i cookie nel proprio browser web. Tale azione può ridurre alcuni rischi per la privatezza, ma possono gravemente limitare o impedire la funzionalità di molti siti. Tutti i principali browser web hanno questa capacità di disattivazione al loro interno, con nessun programma esterno richiesto. In alternativa, gli utenti possono spesso eliminare tutti i cookie memorizzati. Alcuni browser (come Mozilla Firefox e Opera) offrono la possibilità di cancellare i cookies automaticamente ogni volta che l'utente chiude il browser. Una terza opzione prevede l'attivazione di cookie in generale, ma impedendo il loro abuso. Nonostante ciò, si teme che l'eliminazione manuale della cache di navigazione come arma a favore della privacy sia stata sopravvalutata.^[29]

Il processo di profilatura (noto anche come "tracking") assembla e analizza diversi eventi, ognuno attribuibile ad un unico soggetto originario, al fine di ottenere informazioni (in particolare modelli di attività) relative alla persona di origine. Alcune organizzazioni si occupano della profilatura di navigazione web delle persone, raccogliendo gli URL dei siti visitati. I profili risultanti possono potenzialmente creare un collegamento con le informazioni che identificano personalmente l'individuo che ha effettuato la navigazione.

Alcune organizzazioni di mercatistica di ricerca web-oriented possono utilizzare questa pratica legittimamente, ad esempio per costruire i profili tipici degli utenti di Internet. Tali profili, che descrivono in media le tendenze di grandi gruppi di utenti, piuttosto che di individui reali, possono rivelarsi utili per l'analisi di mercato.

Il tracking diventa un problema di privacy quando il matching dei dati associa il profilo di un individuo con le informazioni di identificazione personale dell'individuo.

Una forma particolarmente grave di violazione della privacy su Internet è il cosiddetto "revenge porn", che consiste nella condivisione pubblica di materiale erotico senza il permesso del protagonista dello stesso per vendetta o estorsione. Diversi stati hanno emanato leggi e provvedimenti atti a contrastare questa pratica.^[30]

La protezione dei dati relativi alla privacy è minacciata da social network come Facebook poiché molti datori di lavoro li utilizzano per scovare informazioni relative ai candidati che presentano il loro CV. D'altra parte, sempre nel campo del lavoro, i social network rappresentano un pericolo anche dopo l’assunzione all'interno di un’azienda.

In Québec, ad esempio, una compagnia di assicurazioni avrebbe raccolto informazioni su Facebook per determinare se una dipendente assente dal lavoro per malattia avesse diritto a ricevere il sussidio. In effetti la dipendente, in congedo da un anno a causa di una grave depressione, aveva pubblicato foto che sarebbero state scattate in un bar durante una vacanza. L'assicuratore in questione ha quindi interrotto il pagamento di qualsiasi indennità di malattia valutando la dipendente idonea a ritornare al lavoro.^[31] Inoltre, molti siti sono integrati con Facebook per scopi di Behavioral retargeting concedendo al social network i dati di navigazione^[32] dei propri utenti.

L'uso di Internet fa sorgere un problema di equilibrio tra protezione della privacy e libertà di espressione online. Casi in cui l'utente ha manifestato un proprio pensiero sul web possono essere ricondotti a casi di diffamazione. La Cassazione ha stabilito che i social network sono da considerarsi quali luoghi pubblici, quindi se un dipendente di un’azienda scrive sul suo profilo privato un parere negativo rivolto all’azienda stessa, esso può trasformarsi in diffamazione e ad un conseguente licenziamento per giusta causa.^[33] È stato inoltre affermato dalla Cassazione (2014) che è possibile ricondurre a diffamazione anche affermazioni in cui non sono stati fatti nomi propri, fintanto che il soggetto la cui reputazione è lesa sia individuabile da parte di un numero limitato di persone, indipendentemente dalla indicazione nominativa.^[34]

Questi esempi illustrano i pericoli dei social network per la protezione della privacy.

L'utilizzo di uno smartphone negli anni passati rappresenta una potenziale minaccia alla privacy degli utenti; i sistemi operativi installati sui cellulari mettono da parte la privatezza degli utenti in modo da ottimizzare i servizi offerti in cambio di dati che riguardo l'utente stesso.

Un primo esempio di dato che viene raccolto in continuazione è la posizione del dispositivo, ovvero dell'utente che lo sta portando. La posizione può essere individuata sia grazie al GPS che grazie agli scan passivi delle reti senza fili circostanti. Il sistema del cellulare può essere configurato in modo tale da segnare tutte le posizioni in cui l'utente si trovava, oppure tale opzione può essere disabilitata o limitata.^[35]

In caso di utilizzo del sistema Android collegato ad un account Google le informazioni che vengono raccolte riguardo all'utente durante l'utilizzo del dispositivo comprendono: query di ricerca, siti visitati, video visti, pubblicità cliccate, la propria posizione, informazioni sul dispositivo, indirizzo IP, contatti aggiunti, eventi nel calendario, foto e video caricati, documenti ed email.^[36] Un insieme simile di dati viene raccolto anche da Apple.^[37] Oltre alla raccolta di questi dati vi è anche una loro analisi, che può portare anche ad avviare indagini legali nei confronti di chi realizza determinati contenuti e che possono essere erroneamente associati ad attività illecite^[38]

Anche nel sistema sanitario si pone un problema della tutela dei dati sensibili che riguardano la salute degli utenti. Generalmente gli Stati del mondo si son dotati di disposizioni generali sul trattamento dei dati, specie nel caso di trattamento di dati sensibili sullo stato di salute degli interessati, riguardano:

• La protezione dei dati personali: finalità, necessità, oggetto, soggetti, Operazioni
• Le modalità del trattamento dei dati personali.
• Il diritto di accesso e le modalità di esercizio.
• L'informativa all'interessato ed il consenso.
• La definizione delle responsabilità interne all'organizzazione che opera dati sensibili.
• Gli adempimenti, i termini di scadenza.
• Gli adempimenti tecnici, obblighi e sanzioni e le misure minime di sicurezza da adottare per la sicurezza nel trattamento dei dati (trattati attraverso comunicazioni verbali, con documenti cartacei e con strumenti informatici).

Vi sono situazioni, previste dalle leggi italiane, per le quali un soggetto è tenuto a fornire un documento di riconoscimento. La norma principale è il TULPS che prevede 5 casi. Secondariamente, altri casi sono: acquisto di una carta SIM, acquisto di biglietti aerei, check in di biglietti di pubblico trasporto o operazioni simili, contratti di pubblici servizi o procedure di servizi regolamentati (anche quelli gestiti da aziende private), operazioni e attività svolte da enti o imprese e intermediari che devono applicare la norma antiriciclaggio cioè il DL n. 231/2007, delega al ritiro di corrispondenza presso le Poste o referti medici, accettazione in hotel o simili, sottoscrizione di dichiarazione sostitutiva di atto notorio fornita nei casi regolamentati da legge, adempimenti verso la pubblica amministrazioni, richieste da parte delle forze di polizia (Testo Unico delle Leggi di Pubblica Sicurezza), imbarco su aeromobile o accesso ad aree ristrette delle stazioni ferroviarie o similari, registrazione presso il seggio elettorale, altre responsabilità, in capo a determinati soggetti, esplicitamente previste da Legge e/o dai Regolamenti)^[39].

D'altra parte le specifiche operazioni successive, a capo del soggetto che ha richiesto il documento ad una persona, sono diverse a seconda che:

• il documento è solamente consultato "a vista" e restituito immediatamente;
• in realtà non serve visionare il documento intero ma unicamente acquisire gli estremi (numero, data di rilascio, data di scadenza), ivi compreso quello del delegato in situazioni di delega;
• il documento è consegnato e trattenuto dal richiedente;
• il documento è fotocopiato (o scansionato/fotografato) e il risultato è archiviato;
• sono registrati gli estremi del documento.

A parte il rispetto delle norme privacy è importante sottolineare che il trattamento del documento d'identità è estremamente critico in relazione al furto di dati (personali) e ai relativi potenziali effetti devastanti per l'interessato nonché l'eventuale carico penale per il titolare del trattamento.

Il garante della privacy italiano ha emanato, nel 2005, un provvedimento a riguardo^[40]. C'è da notare che, in generale, trattenere e/o conservare un documento d'identità (anche la copia) ma pure l'apparente innocua registrazione del numero, sono tutte operazioni a rischio da parte di chi le esegue (smarrimento, sottrazione, uso criminale o illecito) e, pertanto, da eseguire solamente quando lecito e solo se strettamente necessario. In quella prescrizione il Garante ricorda altre opzioni per identificare una persona.

Per il garante italiano sono solo due i trattamenti della carta d'identità legittimi^[41]:

1. acquisto di una scheda SIM (art. 6, comma 2, della Legge 31 luglio 2005, n. 155);
2. procedure della PA (art. 45 del D.P.R. del 28 dicembre 2000, n. 445).

In nessun altro caso vi è un obbligo di esibizione, consegna (e tanto meno dell'immagine) di un documento di identità. Anche perché, a parte l'uso come mezzo di identificazione, in molte procedure burocratiche (ad esempio il pagamento di prestazioni rese alla PA o a privati che erogano servizi pubblici) sono sufficienti numero, data emissione e data scadenza, non serve avere l'intero documento né tantomeno conservarlo.

Ne consegue che, all'infuori dei casi previsti per legge, e pure con il consenso dell'interessato, per il principio di pertinenza e non eccedenza, non è legittimo né trattenere il documento (carta d'identità, passaporto, ecc.) né, tanto meno, farne una copia e conservarla. La mera esibizione della carta d'identità ai fini dell'identificazione di un soggetto (si pensi al caso della portineria di un'azienda per il controllo degli accessi), finalizzata a scopi pre contrattuali, contrattuali o di sicurezza ambientale (procedure di evacuazione per emergenza) potrebbe essere legittima^[42] ma non lo sarebbe la tracciatura sul registro visitatori, specie se è richiesta la firma autografa che è un elemento personale critico (uso eccessivo e non pertinente). E comunque, all'interessato va fornita l'informativa che espliciti le finalità e le operazioni del trattamento dei dati personali contenuti nel documento di riconoscimento.

Per quanto concerne il trattamento dei dati di persone defunte, ci si riferisce alla norma riportata nell’Art. 2-terdecies del codice per la protezione dei dati personali (d.lgs. 101/2018)^[43]. I principali commi sono elencati di seguito:

• Comma 1: i diritti di cui agli articoli da 15 a 22 del Regolamento^[44] riferiti ai dati personali concernenti persone decedute possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell'interessato, in qualità di suo mandatario, o per ragioni familiari meritevoli di protezione.
• Comma 2: l'esercizio dei diritti di cui al comma 1 non è ammesso nei casi previsti dalla legge o quando, limitatamente all'offerta diretta di servizi della società dell'informazione, l'interessato lo ha espressamente vietato con dichiarazione scritta presentata al titolare del trattamento o a quest'ultimo comunicata.
• Comma 3: la volontà dell'interessato di vietare l'esercizio dei diritti di cui al comma 1 deve risultare in modo non equivoco e deve essere specifica, libera e informata; il divieto può riguardare l'esercizio soltanto di alcuni dei diritti di cui al predetto comma.
• Comma 5: in ogni caso, il divieto non può produrre effetti pregiudizievoli per l'esercizio da parte dei terzi dei diritti patrimoniali che derivano dalla morte dell'interessato nonché del diritto di difendere in giudizio i propri interessi.

Una situazione particolare è la gestione dei dati di terzi collegati al profilo di un social network. In questi casi, qualora venga fatta richiesta da parte degli eredi di visionare il materiale presente sul profilo, contestualmente si avrebbe l’accesso anche a dati di terzi. Tale evento, sempre più diffuso ha indotto alcuni social network a bloccare queste richieste, mentre altri hanno provveduto, offrendo l’opportunità all’utente in vita di scegliere impostazioni ad hoc del profilo (per esempio indicare un utente-erede o cancellare l’account).^[45]

Il Privacy Act 1988 è amministrato dall'Office of the Australian Information Commissioner. La legge sulla privacy si è evoluta in Australia per diversi anni. L'introduzione iniziale della legge sulla privacy nel 1998 si è estesa al settore pubblico, in particolare ai dipartimenti del governo federale, ai sensi dei Principi sulla privacy delle informazioni. Anche le agenzie governative statali possono essere soggette alla legislazione statale sulla privacy.

Nel 2008 l'Australian Law Reform Commission (ALRC) ha condotto una revisione della legge australiana sulla privacy e ha prodotto un rapporto intitolato "For Your Information".[35] Le raccomandazioni sono state accolte e attuate dal governo australiano tramite la legge 2012 sulla modifica della privacy (Enhancing Privacy Protection).[36]

Nel 2015 è stato approvato il Telecommunications (Interception and Access) Amendment (Data Retention) Act 2015, che ha suscitato alcune controversie sulle sue implicazioni sui diritti umani e sul ruolo dei media.

A causa dell'introduzione del progetto Aadhaar, gli abitanti dell'India temevano che la loro privacy potesse essere invasa. Per affrontare la paura tra la gente, la corte suprema indiana ha messo in atto una nuova sentenza che ha affermato che la privacy da quel momento in poi è considerato come un diritto fondamentale.

Per quanto riguarda la Costituzione Italiana, non vi è un riconoscimento specifico per il diritto alla riservatezza, ma è frutto di un’elaborazione giurisprudenziale, ricavato per via interpretativa dagli articoli 2 e 3 della Costituzione che permettono di incorporare la riservatezza nei diritti inviolabili dell’uomo^[46][47]; ma anche dagli articoli 13, 14 e 15 Cost., nei quali si può cogliere la tutela della riservatezza in ambiti riguardanti la libertà personale^[48], il domicilio^[49], la libertà e la segretezza della corrispondenza e di ogni forma di comunicazione^[50].

La prima fonte di diritto in materia era costituita dalla giurisprudenza della Suprema Corte di Cassazione. Questa, con la sentenza n. 4487 del 1956, nega inizialmente la presenza di un diritto alla riservatezza^[51].Nel 1973 la corte costituzionale riconosce l'esistenza di un diritto alla riservatezza discendendo dalla costituzione e dai principi della CEDU: "non contrastano con le norme costituzionali ed anzi mirano a realizzare i fini dell’art. 2 affermati anche negli art.3, comma 2 e art. 13, comma 1, che riconoscono e garantiscono i diritti inviolabili dell’uomo, fra i quali rientra quello del proprio decoro, del proprio onore, della propria rispettabilità, riservatezza, intimità e reputazione, sanciti espressamente negli art. 8 e 10 della convenzione Europea sui diritti dell’uomo, gli art. 10 c.c. , 96 e 97 L.22/04/1941 n.633.” (Corte Costituzionale con sentenza 12/04/1973 n.38).

Il riferimento all'art. 2 Cost. di cui sopra arriva invece solo nel 1975, con la sentenza della Corte di Cassazione n. 2129 del 27 maggio 1975, con cui la stessa Corte identifica tale diritto nella tutela di quelle situazioni e vicende strettamente personali e familiari, le quali, anche se verificatesi fuori dal domicilio domestico, non hanno per i terzi un interesse socialmente apprezzabile contro le ingerenze che, sia pure compiute con mezzi leciti, per scopi non esclusivamente speculativi e senza offesa per l'onore, la reputazione o il decoro, non sono giustificati da interessi pubblici preminenti.^[52] Questa affermazione è fondamentale per il bilanciamento col diritto di cronaca (vedi "Privacy e giornalismo"). La casistica in materia è ampia; in particolare, il Tribunale di Roma, nella sentenza del 13 febbraio 1992, aveva notato che chi ha scelto la notorietà come dimensione esistenziale del proprio agire, si presume abbia rinunciato a quella parte del proprio diritto alla riservatezza direttamente correlato alla sua dimensione pubblica.

La linea di demarcazione tra il diritto alla riservatezza e il diritto all'informazione di terzi sembrava quindi essere la popolarità del soggetto. Tuttavia, anche soggetti molto popolari conservano tale diritto, limitatamente a fatti che non hanno niente a che vedere con i motivi della propria popolarità.

Un ulteriore passo avanti nella formazione di una normativa adeguata, anche se notevolmente in ritardo, viene fatto per rispetto di obblighi internazionali: con la legge n. 98 del 21 febbraio 1989^[53], è infatti ratificata la Convenzione di Strasburgo (adottata nel 1981), sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale.

Una norma vera e propria venne emanato soltanto con la legge 31 dicembre 1996, n. 675^[54], poi abrogata e superata dal nuovo codice normativo, ossia il D.lgs 30 giugno 2003, n. 196^[55] che è il codice della privacy, le cui norme sono applicate tutt' oggi insieme al Regolamento 2016/679/UE, avente un'applicazione diretta nei confronti dei cittadini.

In questo senso si parla di privacy come "autodeterminazione e sovranità su di sé" (Stefano Rodotà) e "diritto a essere io" (avvocato Giuseppe Fortunato), riconoscersi parte attiva e non passiva di un sistema in evoluzione, che deve portare necessariamente ad un diverso rapporto con le istituzioni, declinato attraverso una presenza reale, un bisogno dell'esserci, l'imperativo del dover contare, nel rispetto reciproco delle proprie libertà. La normativa italiana assume tuttavia il principio del pari rango, per il quale qualora il trattamento di alcuni dati sensibili di un soggetto sia necessario al fine di tutelare diritti "di pari rango" in capo ad altro soggetto.

Nella Costituzione italiana il <<pieno sviluppo della persona umana>> è valore sancito dall’art. 3 della Costituzione.

La protezione del dato personale è protezione della persona in ogni suo aspetto. Chi lede il diritto della persona rispetto ad un suo dato offende la persona nella sua integrità. E proteggere la persona, in ogni suo dato personale, è permetterle così lo sviluppo “pieno” cioè in ogni suo singolo aspetto.

Privacy non è soltanto il diritto a stare solo ma è il diritto all’estrinsecazione di ogni propria potenzialità senza interferenze esterne.

Il diritto alla privacy è non solo il diritto a non comparire ma anche il diritto a comparire, qualora lo si voglia, e a chiedere completezza e correttezza rispetto a ciascun dato. È, insomma, il diritto a esprimersi fino in fondo. Per favorire il pieno esercizio per ciascuno della “sovranità su di sé”, il 18 novembre 2006 è stato istituito Il Laboratorio Privacy Sviluppo, istituito con lo scopo di sviluppare e promuovere il messaggio "Il Cittadino protagonista" nei suoi 3 ambiti: privato, sociale ed istituzionale.

Tra i reati penalmente punibili, in termini di Internet e privacy, vi sono:

• la violazione, sottrazione e soppressione di corrispondenza informatica
• la rivelazione del contenuto di corrispondenza telematica
• l'intercettazione di comunicazioni informatiche o telematiche
• installazioni abusive di apparecchiature per le intercettazioni informatiche
• la falsificazione, alterazione e sottrazione di comunicazioni informatiche
• rilevazione del contenuto di documenti informatici segreti
• l'accesso non autorizzato ad un sito
• lo spionaggio informatico.

In un complesso iter di innovazione legislativo, risulta sicuramente basilare la promulgazione della legge 547/1993 che introduce, tra gli altri, l'importantissimo concetto di frode informatica definita dall'art. 10 all'art. 640ter c.p. secondo cui:

^[56]

Estremamente rilevante risulta anche la già citata legge 675/1996 che, sebbene non si occupi in modo specifico del contesto informatico, ricopre un ruolo fondamentale per ciò che concerne il trattamento e la protezione dei dati personali.

Dal 1º gennaio 2004 è inoltre in vigore il decreto legislativo n. 196 che ha puntato l'attenzione su tematiche importanti come le modalità con cui devono essere trattati i dati confidenziali nell'ambito dei servizi di comunicazione elettronica accessibili al pubblico e l'obbligo, da parte dei fornitori, di rendere l'utente più consapevole su come le loro informazioni riservate verranno trattate e utilizzate. Le direttive UE 95/46CE e 97/66/CE si applicano sul trattamento dei dati su internet, infatti quando si accede ad Internet, vengono registrati dai providers in un file, la data l'ora, l'inizio e la fine del collegamento, oltre che l'indirizzo IP dell'utente. C'è da fare una distinzione, la direttiva 95/46/CE si applica a qualsiasi trattamento di dati personali indipendentemente dal mezzo tecnico adoperato, mentre la direttiva 97/66/CE, si applica al trattamento dei dati personali in relazione alla fornitura di servizi di telecomunicazione accessibili al pubblico, tra cui rientrano anche i servizi Internet. Secondo la 95/46 CE il trattamento dei dati è legittimo se è consentito dall'individuo e ne deve essere a conoscenza. Per quanto riguarda l'utilizzo dei dati personali l'art. 6 § 1, lett. e) della direttiva 95/46/CE dispone l'obbligo di non tenere i dati personali per un tempo maggiore di quello necessario per la finalità per i quali sono stati presi. L'articolo 6 della direttiva 97/66/CE: “impone che i dati sul traffico debbano essere cancellati o resi anonimi quando non sono più necessari ai fini della trasmissione di una comunicazione”. L'art. 12 della direttiva impone che i dati vengano comunicati all'individuo.

In ambito sanitario definiscono al proprio interno modalità operative in riferimento alla normativa vigente attraverso:

• La redazione del Documento programmatico per la sicurezza.
• Attribuzione delle responsabilità da parte del Titolare (incarichi formali).
• Disposizioni operative scritte per agli incaricati del Trattamento.

L'Ente comunica all'esterno le proprie modalità organizzative per il trattamento dei dati sensibili attraverso:

• L'informativa agli interessati.
• Regolamento sul trattamento dei dati sensibili e giudiziari.

In sanità è fondamentale l'informativa sulle modalità di trattamento e i propri diritti di tutela. L'informativa deve contenere:

a) le finalità e le modalità del trattamento cui sono destinati i dati;

b) la natura obbligatoria o facoltativa del conferimento dei dati;

c) le conseguenze di un eventuale rifiuto di rispondere;

d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi;

e) i diritti di cui all'articolo 7;

f) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e del responsabile. Quando il titolare ha designato più responsabili è indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l'elenco aggiornato dei responsabili. Quando è stato designato un responsabile per il riscontro all'interessato in caso di esercizio dei diritti di cui all'articolo 7, è indicato tale responsabile.

2. L'informativa di cui al comma 1 contiene anche gli elementi previsti da specifiche disposizioni del presente codice e può non comprendere gli elementi già noti alla persona che fornisce i dati o la cui conoscenza può ostacolare in concreto l'espletamento, da parte di un soggetto pubblico, di funzioni ispettive o di controllo svolte per finalità di difesa o sicurezza dello Stato oppure di prevenzione, accertamento o repressione di reati.

3. Il Garante può individuare con proprio provvedimento modalità semplificate per l'informativa fornita in particolare da servizi telefonici di assistenza e informazione al pubblico.

4. Se i dati personali non sono raccolti presso l'interessato, l'informativa di cui al comma 1, comprensiva delle categorie di dati trattati, è data al medesimo interessato all'atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione.

5. La disposizione di cui al comma 4 non si applica quando:

a) i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;

b) i dati sono trattati ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;

c) l'informativa all'interessato comporta un impiego di mezzi che il Garante, prescrivendo eventuali misure appropriate, dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si riveli, a giudizio del Garante, impossibile.

Per il trattamento di dati in ambito sanitario sono previste modalità semplificate per informativa e consenso.

La riproduzione di elenchi di cose o persone su siti internet, carta stampata o altri media è legittima; chi lo fa non è querelabile per diffamazione se l'elenco in questione è già pubblico e si tratta della versione più recente rettificata a seguito di richieste di modifica o cancellazione dalla lista da parte di diretti interessati. L'accusa di diffamazione può essere rivolta verso il primo soggetto che ha reso pubblico l'elenco, non verso quanti l'hanno replicato.

• Se si vuole pubblicare una foto in cui si riconosce una persona non famosa, bisogna avere la sua autorizzazione (art. 96 legge 633/41^[57]).
• Se la foto che si vuole pubblicare ha un fine giornalistico e non risulta dannoso per l'individuo, l'autorizzazione dell'individuo non è necessaria. Le foto dei minori non possono essere in ogni caso pubblicate.
• Se l'individuo tratto nella foto è famoso e il fine è di tipo giornalistico, non serve l'autorizzazione dell'interessato.
• Se la foto che si vuole pubblicare può avere un fine lesivo bisogna chiedere l'autorizzazione del Garante (legge 633/41) o se fornisce indicazioni sullo stato di salute, sull'orientamento politico, sul credo religioso o sulla vita sessuale (dlgs 196/2003).
• Bisogna avere l'autorizzazione del Garante se le finalità della pubblicazione della foto sono promozionali, pubblicitarie, di merchandising o comunque non di prevalente informazione o gossip.
• Le foto di minori possono essere pubblicate se questi sono resi irriconoscibili o se si è in possesso dell'autorizzazione rilasciata da almeno uno dei due genitori (art. 320 Codice Civile^[58]). Tuttavia, se la pubblicazione dell'immagine avviene per finalità giornalistiche il Codice della Privacy prevede deroghe alla disciplina generale per consentire il corretto svolgimento dell'attività di informazione (art. 23-26 Codice della privacy^[59]).
• La persona ha il diritto di opporsi alla riproduzione dell'opera con il suo ritratto ad eccezione delle seguenti giustificazioni: notorietà od ufficio pubblico coperto, necessità di giustizia o di polizia, scopi scientifici, dibattiti o culturali, se la riproduzione è collegata a fatti, avvenimenti, cerimonie di interesse pubblico o svoltisi in pubblico ma non se la riproduzione causa pregiudizio all'onore, al decoro o alla reputazione della persona. Il ritratto comprende volto o elementi caratteristici della persona.

• Si possono scattare foto e fare video con i cellulari che lo permettono, se le immagini catturate sono per uso personale.
• Se i video o le foto catturate col cellulare sono destinati a più persone o su siti, bisogna chiedere l'autorizzazione alle persone ritratte prima di pubblicarli.
• L'art.10, “Abuso dell'immagine altrui”, e la legge sul diritto d'autore (legge n.633/1941^[60]) richiedono l'autorizzazione della persona che è stata ritratta, tranne se questa è una persona pubblica e nota. La legge sul diritto d'autore vieta in ogni caso l'esposizione o la messa in commercio di foto se recano pregiudizio all'onore, alla reputazione o al decoro della persona ritratta.

Per quanto riguarda le liste di numeri telefonici utilizzate dalle aziende di telemarketing, la normativa sulla privacy ha più volte regolamentato in senso restrittivo questo aspetto.

In base alla normativa in vigore fino al 2008, le aziende che operano mediante tale sistema commerciale non possono più servirsi liberamente dell'elenco telefonico. Possono essere contattati, infatti, solo i soggetti che hanno esplicitamente fornito il loro assenso esplicito all'opportunità di essere raggiunti da chiamate telefoniche di tipo commerciale; questo assenso può riguardare la singola azienda in questione, oppure in generale tutte le attività di tipo commerciale. Ciò ha posto fine all'utilizzo indiscriminato dell'elenco telefonico finora spesso effettuato dalle aziende operanti mediante telemarketing; le aziende, per approvvigionarsi in modo legale di contatti di potenziali clienti, hanno intrapreso campagne specifiche mediante concorsi a premi o raccolte punti.

Nel 2008, il telemarketing ha goduto di una completa liberalizzazione tramite l'autorizzazione alle chiamate pubblicitarie anche senza il consenso dell'utente, in deroga alle norme sulla privacy, fino al 31 dicembre 2009, introdotta dal decreto milleproroghe votato dal governo Berlusconi IV. Tale liberalizzazione potrebbe essere prorogata fino al maggio 2010 dall'emendamento Malan alla legge comunitaria 2009, che introdurrebbe un regime di "silenzio-assenso" a partire dal maggio 2010, quando chi non volesse più ricevere chiamate pubblicitarie dovrà registrarsi, tramite telefonata o mail, in un apposito registro^[61].

• Le intercettazioni di telefonate o di comunicazioni attraverso reti telematiche e informatiche sono permesse solo per determinati e gravi reati (artt. 266 e 266 bis c.p.p.)
• Il giudice autorizza le intercettazioni solo se è indispensabile per procedere con le indagini per tali reati e quindi necessarie (art. 267 c.p.p.).
• Ai sensi dell'articolo 114 c.p.p., è vietata la pubblicazione delle intercettazioni prima della fine della prima udienza preliminare, questo vale per le intercettazioni legittime.

Warren e Brandeis definirono il diritto alla riservatezza come "the right to be left alone" - "il diritto di essere lasciati in pace". Brandeis, autore principale dell'articolo, fu ispirato dalla lettura dell'opera del filosofo statunitense Ralph Waldo Emerson, che proponeva la solitudine come criterio e fonte di libertà. Si applica la logica del recinto: il cosiddetto ius excludendi alios.

Nell'introduzione all'articolo abbiamo la dichiarazione che l'individuo deve avere piena protezione della propria persona e delle proprietà. I primi tre paragrafi del saggio trattano del diritto alla vita e poi del “valore legale delle sensazioni”. Dal quarto paragrafo, Warren e Brandeis affermano la necessità della legge di adattarsi alle invenzioni recenti e ai metodi d'affari (ad esempio fotografia e giornali).

Successivamente, gli studiosi concentrarono nel sottolineare il fatto che l'abilità di prevenire la pubblicazione non esisteva ancora chiaramente come un diritto di proprietà; tuttavia, trovarono nella sentenza del tribunale “Prince Albert v. Strange”^[62] il principio da invocare per proteggere il diritto alla privacy. Inoltre, essi suggerirono l'esistenza di un diritto alla privacy implicito nelle giustificazioni giurisdizionali utilizzate dal tribunale per proteggere del materiale dalla pubblicazione ("where protection has been afforded against wrongful publication, the jurisdiction has been asserted, not on the ground of property, or at least not wholly on that ground, but upon the ground of an alleged breach of an implied contract or of a trust or confidence." - "dove si è dovuti ricorrere ad una protezione contro pubblicazioni dannose, la giurisdizione ha compiuto affermazioni non sulla base della proprietà, o almeno non completamente su tale base, ma sulla base di una falla in un contratto implicito o in una mancanza di fiducia")^[63].

In conclusione, i due giuristi americani dichiarano che il diritto alla privacy è il principio che protegge gli scritti personali e ogni altra produzione dell'intelletto o delle emozioni. Tuttavia il diritto alla privacy:

1. non impedisce la pubblicazione di materiale di interesse pubblico o generale.
2. non impedisce la comunicazione di alcun materiale quando la pubblicazione sia svolta in circostanze che la rendono una comunicazione privilegiata.
3. La legge non garantisce rimedio per la violazione della privacy dovuta a pubblicazione orale in assenza di danni speciali.
4. vien a mancare se i fatti sono pubblicati dall'individuo stesso oppure da altri con il suo consenso.
5. Non garantisce difesa nei confronti della veridicità del materiale pubblicato.
6. Non garantisce difesa in caso di la dichiarata assenza di "malizia" da parte di chi ha pubblicato il materiale.

Come nota conclusiva, Warren e Brandeis affermano che andrebbero imposte sanzioni penali per chi viola il diritto alla privacy, ma rinviano questa decisione all'autorità dei legislatori.

Oggi il diritto alla privacy è protetto in modo particolare dal IV Emendamento, che tutela contro ispezioni e sequestri arbitrari nel proprio domicilio. A ogni modo, a partire dalla sentenza Katz v. United States, la giurisprudenza espande tale diritto fino a proteggere ogni informazione su cui vi sia un'aspettativa di segretezza riconosciuta come ragionevole dalla società.

Electronic Frontier Foundation è una organizzazione che si occupa di proteggere e di diffondere la conoscenza riguardo al diritto di privacy in rete, in particolare grazie al suo progetto Surveillance Self-Defense.^[64]

Privacy International è un ente di beneficenza, nato nel Regno Unito, che difende e promuove il diritto alla privacy in tutto il mondo. Dapprima formatasi nel 1990, registrata come società senza scopo di lucro nel 2002 e come ente di beneficenza nel 2012, PI ha sede a Londra.

Dalla fine del 1990, le campagne dell'organizzazione, l'attività e i progetti dei media si sono concentrati su un ampio spettro di questioni, tra cui la privacy su Internet, la cooperazione Internazionale, la legge sulla protezione dei dati, gli sviluppi anti-terrorismo, la libertà di informazione, la censura di Internet, la nomina delle autorità di regolamentazione sulla privacy, processi giudiziari, procedure di consultazione del governo, la sicurezza delle informazioni, la sicurezza nazionale, la criminalità informatica e gli aspetti di circa un centinaio di tecnologie e applicazioni che vanno dalla videosorveglianza al DNA profiling.

PI controlla le attività delle organizzazioni internazionali, tra cui l'Unione europea, il Consiglio d'Europa, e le agenzie delle Nazioni Unite. Ha condotto numerosi studi e fornisce analisi sulle questioni politiche e tecnologiche contemporanee.^[65]

Presso il Garante per la protezione dei dati personali è nato il "Laboratorio Privacy Sviluppo". Istituito il 18 novembre 2006, ha lo scopo di sviluppare e promuovere il messaggio "Il Cittadino protagonista" nei suoi 3 ambiti: privato, sociale ed istituzionale. È un’iniziativa internazionale a cui partecipano anche i Garanti di Spagna, Irlanda, Islanda, Malta, Israele, Polonia, Repubblica Ceca, Thailandia, Nuova Zelanda, Catalogna, Cipro, Croazia, Lettonia, Ungheria, Macedonia, Romania, Slovenia, Bulgaria, Grecia, Lituania, Estonia.

L’iniziativa muove dalla convinzione che il valore della privacy sia essenziale per l’estrinsecazione totale di ogni potenzialità della persona umana secondo gli obiettivi liberamente determinati.

Sul tema centrale della libera costruzione della sfera privata ed il pieno esercizio della “sovranità su di sé”, come anche è stata definita la privacy, il Laboratorio coordinato da Giuseppe Fortunato, componente dell’Autorità, intende dunque sviluppare riflessioni operando con un “meccanismo circolare”. Il Laboratorio approfondirà i sistemi delle persone per raggiungere pienamente i propri obiettivi.

Già la Convenzione europea dei diritti dell'uomo, all'art. 8^[66], stabiliva che non può esservi ingerenza di una autorità pubblica nell'esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria per la sicurezza nazionale, per la pubblica sicurezza, per il benessere economico del paese, per la difesa dell'ordine e per la prevenzione dei reati, per la protezione della salute o della morale, o per la protezione dei diritti e delle libertà altrui.

Oltre che negli Accordi di Schengen, il concetto è stato riportato nella Carta dei diritti fondamentali dell'Unione europea all'art. 8, che recita:

Le fonti del diritto dell'Unione Europea rilevanti sono contenute nella Direttiva del Parlamento europeo e del Consiglio del 24 ottobre 1995, contrassegnata dalla sigla 95/46/CE, pubblicata nella GUCE L 281 del 23.11.1995 (p. 31), che tratta in generale la tutela dei dati personali (ancora in vigore, ma è in corso di dibattito un nuovo regolamento che disciplinerà la tutela della privacy), e nella Direttiva del Parlamento europeo e del Consiglio del 12 luglio 2002, sigla 2002/58/CE. In quest'ultima si espone il trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche^[67].

La Corte europea dei diritti dell'uomo^[68] ha deciso che non è contrario all'art. 8 della Convenzione Europea il comportamento del datore di lavoro che monitora l'uso della e-mail aziendale da parte dei dipendenti in termini di tabulati, mentre non viene stabilita la legittimità di un controllo del traffico Internet né in particolare del contenuto delle comunicazioni via e-mail durante l'orario di lavoro e dalla propria postazione.

Con la sentenza Schrems I la Corte di Giustizia Europea ha dichiarato invalido l'accordo Safe Harbour fra UE e Stati Uniti, sul trattamento dei dati personali e sensibili di cittadini europei, principalmente per l'assenza di confini e deroghe ai poteri delle autorità che tutelano la sicurezza nazionale.

L'accordo è stato poi sostituito dal nuovo Scudo EU-USA per la privacy del 2 febbraio 2016, che riguarda dati di cittadini europei trasmessi via internet da UE a Stati Uniti, ovvero detenuti stabilmente in banche dati di società private o enti di intelligence residenti negli USA, e aziende USA che trattano i dati dei cittadini in Europa. L'accordo non specifica limiti ed eccezioni per le autorità di intelligence, mentre impone alle aziende USA (che operino sia in Europa che negli Stati Uniti), ad aderire e rispettare le normative UE sulla privacy nei confronti dei cittadini europei. È prevista una stretta collaborazione con Department of Commerce e la Federal Trade Commission, e la creazione di Ombudsman per le controversie con l'intelligence.

Il 4 maggio 2016 è stato pubblicato sulla Gazzetta Ufficiale dell’Unione Europea il Regolamento dell'Unione Europea n. 2016/679 Regolamento generale sulla protezione dei dati (GDPR) sulla protezione dei dati personali e la libera circolazione dei dati personali, che è entrato in vigore a decorrere dal 25 maggio 2018^[69]. Un dato personale è una qualsiasi informazione riguardante una persona fisica identificata e identificabile; si considera identificabile la persona fisica che può essere identificata direttamente o indirettamente, con particolare riferimento ad un identificativo come un nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale. I dati personali possono essere divisi in dati sensibili e dati giudiziari. Per quanto riguarda i primi è vietato trattare dati personali che rivelino l'origine raziale o l'etnia, le opinioni politiche, le convinzioni religiose o filosofiche. Nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute, alla vita sessuale o all'orientamento sessuale della persona.

Questi dati si possono trattare in casi specifici:

• L'interessato ha prestato il proprio consenso specifico.
• Il trattamento dei dati è necessario per assolvere obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale.
• Il trattamento è necessario per tutelare un interesse vitale dell'interessato o di un'altra persona fisica qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso.
• Il trattamento è effettuato nell'ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, un'associazione o altro organismo senza scopo di lucro
• Il trattamento riguarda dati personali resi manifestamente pubblici dall'interessato
• Nel caso di una causa
• Lo Stato in certi casi può trattare certi dati
• Motivi di sanità
• Trattamento nel caso di finalità di ricerca scientifica, storica o statistica

I dati giudiziari invece sono relativi a condanne penali e reati. Il trattamento dei dati, in questo caso, deve avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati.

Lo Scudo EU-USA per la privacy è stato invalidato il 16 Luglio 2020 dalla Sentenza Schrems II dalla Corte di Giustizia dell'Unione Europea, ponendo termine alla possibilità di trasferimenti di dati basati su tale accordo, La medesima sentenza ha riconosciuto invece la legalità delle ‘clausole contrattuali tipo’ (Standard Contractual Clauses, cd. SCC), che quindi continuano a mantenere validità per i trasferimenti di dati basati su di esse.

In seguito, il 10 Luglio 2023 con decisione di adeguatezza della Commissione Europea^[70] è entrato in vigore il nuovo Data Privacy Framework (DPF)^[71], l'accordo che di fatto sostituisce il precedente Scudo EU-USA per la privacy non più valido, che regola i trasferimenti di dati tra UE ed USA per quanto riguarda le società statunitensi che aderiscono a tale accordo (l'elenco è consultabile nel sito web ufficiale^[72]).

• Busnelli-Bianca, La protezione dei dati personali, Cedam, 2007.
• A. Mantelero, Il costo della privacy tra valore della persona e ragione d'impresa Il costo della privacy tra valore della persona e ragione d'impresa, Giuffrè, 2007.
• Stefano Rodotà, Intervista su privacy e libertà, Laterza, 2005.
• Santaniello, La protezione dei dati personali, Cedam, 2005.
• Vincenzo Zeno-Zencovich, Il codice dei dati personali. Temi e problemi, con Francesco Cardarelli e Salvatore Sica, collana Diritto dell'informatica, Giuffrè, 2004, pp. X-656 pp, ISBN 978-88-14-11404-5.
• William Faulkner, Privacy. Il sogno americano: che ne è stato?, Adelphi, Roma, 2003.

• Wikiquote contiene citazioni sulla privacy
• Wikizionario contiene il lemma di dizionario «privacy»
• Wikiversità contiene una lezione sulla privacy
• Wikimedia Commons contiene immagini o altri file sulla privacy

• (IT, DE, FR) Privacy, su hls-dhs-dss.ch, Dizionario storico della Svizzera.
• (EN) Privacy, su Stanford Encyclopedia of Philosophy.
• (EN) Opere riguardanti Privacy, su Open Library, Internet Archive.
• (EN) Electronic Frontier Foundation
• Internet Governance Forum (IGF), su intgovforum.org. URL consultato il 6 novembre 2015 (archiviato dall'url originale il 15 giugno 2009).
• "L'evoluzione del diritto alla privacy nella società dell'informazione" di C.Casi (PDF) L'evoluzione del diritto alla privacy nella società dell'informazione, dalla storia alla iperstoria | Chiara Casi - Academia.edu
• Regolamento 2016/679/UE [1]

Controllo di autorità	Thesaurus BNCF 16856 · GND (DE) 4123980-5 · J9U (EN, HE) 987007538706405171