LA PROTEZIONE DEI DATI PERSONALI IN UCRAINA NEL CONTESTO DELLA LEGGE MARZIALE

Le raccomandazioni del Commissario per i diritti umani della Verchovna Rada pongono l’attenzione sull’autodeterminazione dei cittadini ucraini

A seguito delle aggressioni da parte della Federazione Russa, dal 24 febbraio in Ucraina vige la legge marziale, e la stessa è stata prorogata dal Parlamento di Kiev fino al 23 agosto. In tale regime speciale, sono molte le preoccupazioni relative alla sicurezza dei cittadini ucraini, primi diretti interessati dalle ripercussioni del conflitto bellico.

Le questioni relative alla sicurezza dei civili, tuttavia, non sono limitate all’integrità fisica di persone e cose. E ciò poiché, nella società globalizzata dell’informazione e delle connessioni in cui viviamo, la guerra non si combatte più soltanto sul fronte, ma altresì attraverso operazioni politiche, economiche e sociali che, come abbiamo avuto modo di constatare, si riverberano sulla vita quotidiana di ognuno.

Sotto questa luce, la questione della sicurezza dei cittadini ucraini passa anche attraverso la loro identità (digitale e non) e, quindi, attiene anche alla data protection. E poiché la legge marziale imposta incide anche sulla protezione dei dati personali, il Commissario per i diritti umani della Verchovna Rada dell’Ucraina ha emanato delle raccomandazioni con l’intento di guidare l’operato dei diversi stakeholders nei molteplici contesti critici che la situazione bellica potrebbe ingenerare.

Contesto normativo rilevante

Una prima parte di tale documento è dedicata alla compressione dei diritti umani e alle basi giuridiche nell’ambito del trattamento di dati da parte delle autorità pubbliche, e affronta il tema partendo dalla Carta costituzionale. Nel sancire un generale divieto di interferenza nella vita privata e familiare, infatti, l’art. 32 della Costituzione dell’Ucraina proibisce raccolta, conservazione, utilizzo e diffusione di informazioni riservate relative a una persona senza il suo consenso, “tranne nei casi previsti dalla legge e solo nell’interesse della sicurezza nazionale, del benessere economico e dei diritti umani”. Contestualmente, il successivo art. 64 stabilisce che, in caso di guerra o stato di emergenza, alcuni diritti e libertà possono essere limitati per una durata specifica.

Il Par. 3 del Decreto presidenziale n. 64/2022, che ha imposto la legge marziale in Ucraina, ha disposto che il regime costituzionale e legale del Paese può essere sospeso per la durata dello stato di legge marziale, con conseguente compressione dei diritti e delle libertà costituzionali delle persone fisiche. Ciò, peraltro, è coerente con il combinato disposto degli artt. 8 e 15 della Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali che prevedono la possibilità di deroghe agli obblighi di cui alla stessa Convenzione, “in tempo di guerra o in caso di altro pericolo pubblico che minacci la vita della nazione (…) nella stretta misura in cui la situazione lo richieda e a condizione che tali misure non siano in conflitto con gli altri obblighi derivanti dal diritto internazionale”.

Si aggiunga quanto previsto all’art. 9 della Convenzione 108 sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale, che non ammette deroghe alle disposizioni di cui agli artt. 5 (“Qualità dei dati”), 6 (“Categorie speciali di dati”) e 8 (“Garanzie supplementari per la persona interessata”), salvo che siano previste dalla legge dello Stato Parte e costituiscano una misura necessaria, in una società democratica:

1. per la protezione della sicurezza dello Stato, per la sicurezza pubblica, per gli interessi monetari dello Stato o per la repressione dei reati;
2. per la protezione della persona interessata e dei diritti e delle libertà di altri.

Trattamento di dati personali nei settori pubblico e privato

La legge ucraina “Sul regime giuridico della legge marziale” stabilisce che gli Organi competenti del potere statale e locale, nonché i comandanti e le amministrazioni militari, “hanno l’autorità necessaria per eliminare il pericolo di aggressione militare, garantire la sicurezza nazionale ed eliminare le minacce all’indipendenza sovrana dell’Ucraina e alla sua integrità territoriale”. Allo stesso tempo, tuttavia, l’art. 19 della Costituzione ucraina dispone che gli Organi statali e di autogoverno locale e i loro funzionari sono tenuti ad agire solo sulla base e nei limiti dei loro poteri e secondo le modalità prescritte dalla Costituzione e dalle leggi dell’Ucraina.

Alla luce del quadro normativo di cui sopra, il Commissario per i diritti umani raccomanda che i trattamenti di dati personali operati da autorità e amministrazioni pubbliche siano governati da specifiche policy e procedure. Le finalità del trattamento, inoltre, devono essere stabilite in leggi, regolamenti, statuti o altri documenti che regolano l’attività del titolare del trattamento in maniera conforme alla legge dell’Ucraina “Sulla protezione dei dati personali”.

In particolare, l’art. 25 di tale legge prevede alcune ipotesi di deroga, laddove previste da legge e nella misura necessaria, in una società democratica, al perseguimento di interessi di sicurezza nazionale, del benessere economico o della protezione dei diritti e delle libertà degli interessati o di altre persone. Tuttavia, la norma dispone espressamente che simili deroghe attengono agli articoli 6 (sui requisiti generali per il trattamento dei dati), 7 (sui requisiti speciali) e 8 (sui diritti degli interessati) della medesima legge.

Inderogabile, pertanto, resterebbe il principio di liceità sancito al successivo art. 11: i trattamenti operati di autorità e amministrazioni pubbliche all’interno del contesto marziale dovranno comunque fondarsi su almeno una delle basi giuridiche enucleate nel suddetto articolo e, in particolare, su quelle di cui ai paragrafi 2 e 5, rispettivamente: “autorizzazione” al trattamento concessa per legge e adempimento di obblighi di legge.

Oltre a ricordare la necessità che anche i trattamenti di dati operati da privati si fondino su di una delle basi giuridiche disposte dalla normativa applicabile (in questo caso, esecuzione di un contratto, salvaguardia di interessi vitali, e consenso dell’interessato che sia informato, in buona fede e inequivocabile), il Commissario pone l’accento sulle garanzie di integrità dei dati personali.

Chiarisce l’autorità che le misure di sicurezza da adottare devono essere, innanzitutto, di tipo organizzativo. A partire da quanto stabilito nella Standard Procedure, varata con Ordine del Commissario n. 1/02-14, che sancisce l’onere per titolari e responsabili del trattamento di dotarsi di policy e istruzioni ad hoc per i trattamenti di dati posti in essere. Misure organizzative in tal senso includono procedure di accesso ai dati, permessi e autorizzazioni a specifiche operazioni di trattamento, piani di emergenza, accordi di non divulgazione e formazione periodica del personale.

Frodi informatiche, cybercrime e altre minacce per gli individui

Le Raccomandazioni si concentrano infine sui possibili rischi di sicurezza derivanti dal massiccio impiego di soluzioni tecnologiche e telematiche. “A causa del considerevole volume di informazioni nei mass media – spiega il Commissario – i cittadini ucraini sono costantemente esposti ad attacchi di hackeraggio da parte di criminali. Le e-mail e i messaggi inviati da autorità statali, banche, servizi di sicurezza, ecc. potrebbero raccomandare di seguire alcune istruzioni fornite attraverso messaggi/notifiche. Dopo aver scaricato i file allegati, i malintenzionati possono accedere ai dati personali memorizzati sul dispositivo elettronico dell’utente (contatti della rubrica telefonica, file del PC, ecc.)”.

L’Autorità, pertanto, raccomanda alla popolazione di evitare comunicazioni provenienti da mittenti sconosciuti e, soprattutto, di non scaricare alcun file allegato alle stesse e non cliccare su collegamenti sospetti. Sarà sempre opportuno utilizzare fonti di informazione verificate, come i siti internet ufficiali delle Autorità ucraine, che forniscono ogni informazione utile e i link a servizi per la ricerca di persone scomparse, richiedere aiuti, effettuare evacuazioni e così via. È altresì raccomandata la conservazione in un luogo sicuro di copie di backup di documenti, elementi multimediali, recapiti (e, nel contesto critico in questione, si consiglia finanche di annotare su carta i numeri di telefono dei contatti più stretti).

Il Commissario osserva inoltre la massiccia presenza di azioni fraudolente, condotte sotto forma di offerte di aiuto economico ai cittadini ucraini durante la situazione di conflitto. Tali immonde pratiche di sciacallaggio si sostanziano in tentativi di phishing online, perpetrati da truffatori che, fingendosi referenti delle autorità statali o di fondazioni di beneficienza (c.d. ID spoofing) e sfruttando lo stato di necessità e crisi della popolazione, chiedono e ottengono accesso a dati finanziari delle vittime con la scusa di utilizzarli per fornire aiuti economici.

Infine, come se non bastasse, i rischi per la popolazione potrebbero riguardare anche l’integrità fisica degli individui, soprattutto quella dei cittadini ucraini che vivono in territori temporaneamente occupati. Il Centro per la lotta alla disinformazione dell’Ucraina ha infatti constatato l’adozione di nuovi approcci da parte dell’occupante, che includono la raccolta di dati personali della popolazione a fini di “censimento” o “distribuzione di aiuti umanitari”, onde raccogliere – e trattare per scopi illeciti – informazioni sugli individui e su possibili bersagli strategici. Nelle parole del Commissario, “ciò potrebbe riguardare in particolare il personale militare, i membri delle loro famiglie, nonché gli attivisti della comunità, i giornalisti e gli operatori culturali. Dovete quindi essere responsabili e consapevoli della sicurezza dei vostri dati personali e di quelli dei vostri parenti e conoscenti”.

Jacopo Purificati