“Attuazione della direttiva 2006/24/CE riguardante la conservazione dei dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE”
pubblicato nella Gazzetta Ufficiale n. 141 del 18 giugno 2008
IL PRESIDENTE DELLA REPUBBLICA
Visti gli articoli 76 e 87 della Costituzione;
Vista la legge 6 febbraio 2007, n. 13, recante disposizioni per l’adempimento di obblighi derivanti dall’appartenenza dell’Italia alle Comunità europee – Legge comunitaria 2006, ed in particolare l’articolo 1 e l’allegato B;
Vista la direttiva 2006/24/CE del Parlamento europeo e del Consiglio, del 15 marzo 2006, riguardante la conservazione di dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE;
Visto il decreto legislativo 30 giugno 2003, n 196, e successive modificazioni, recante Codice in materia di protezione dei dati personali;
Visto il decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155, recante misure urgenti per il contrasto del terrorismo internazionale;
Sentito il Garante per la protezione dei dati personali;
Vista la preliminare deliberazione del Consiglio dei Ministri, adottata nella riunione del 27 febbraio 2008;
Acquisito il parere della competente Commissione della Camera dei deputati;
Considerato che la competente Commissione del Senato della Repubblica non si e’ espressa nel termine previsto;
Vista la deliberazione del Consiglio dei Ministri, adottata nella riunione del 21 maggio 2008;
Sulla proposta del Ministro per le politiche europee e del Ministro per la pubblica amministrazione e l’innovazione, di concerto con i Ministri degli affari esteri, della giustizia, dell’economia e delle finanze, dello sviluppo economico, dell’interno e della difesa;
E m a n a
il seguente decreto legislativo:
Art. 1.
Definizioni
1. Ai fini del presente decreto si intende:
a) per utente: qualsiasi persona fisica o giuridica che utilizza un servizio di comunicazione elettronica accessibile al pubblico, senza esservi necessariamente abbonata;
b) per dati relativi al traffico: qualsiasi dato sottoposto a trattamento ai fini della trasmissione di una comunicazione su una rete di comunicazione elettronica o della relativa fatturazione, ivi compresi i dati necessari per identificare l’abbonato o l’utente;
c) per dati relativi all’ubicazione: ogni dato trattato in una rete di comunicazione elettronica che indica la posizione geografica dell’apparecchiatura terminale dell’utente di un servizio di comunicazione elettronica accessibile al pubblico, ivi compresi quelli relativi alla cella da cui una chiamata di telefonia mobile ha origine o nella quale si conclude;
d) per traffico telefonico: le chiamate telefoniche, incluse le chiamate vocali, di messaggeria vocale, in conferenza e quelle basate sulla trasmissione dati, purche’ fornite da un gestore di telefonia, i servizi supplementari, inclusi l’inoltro e il trasferimento di chiamata, la messaggeria e i servizi multimediali, inclusi i servizi di messaggeria breve, servizi mediali avanzati e servizi multimediali;
e) per chiamata senza risposta: la connessione istituita da un servizio telefonico accessibile al pubblico, non seguita da un’effettiva comunicazione, in quanto il destinatario non ha risposto ovvero vi e’ stato un intervento del gestore della rete;
f) per identificativo dell’utente: l’identificativo unico assegnato a una persona al momento dell’abbonamento o dell’iscrizione presso un servizio di accesso internet o un servizio di comunicazione internet;
g) per indirizzo di protocollo internet (IP) univocamente assegnato: indirizzo di protocollo (IP) che consente l’identificazione diretta dell’abbonato o utente che effettua comunicazioni sulla rete pubblica.
2. Ai fini del presente decreto si applicano, altresì, le ulteriori definizioni, non ricomprese nel comma 1, elencate nell’articolo 4 del decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, recante codice in materia di protezione dei dati personali, di seguito denominato: «Codice».
Art. 2.
Modifiche all’articolo 132 del Codice
1. All’articolo 132 del Codice sono apportate le seguenti modificazioni:
a) al comma 1, dopo le parole: «ventiquattro mesi» sono inserite le seguenti: «dalla data della comunicazione», le parole: «, inclusi quelli concernenti le chiamate senza risposta,» sono soppresse e le parole: «sei mesi» sono sostituite dalle seguenti: «dodici mesi dalla data della comunicazione»;
b) dopo il comma 1 e’ inserito il seguente: «1-bis. I dati relativi alle chiamate senza risposta, trattati temporaneamente da parte dei fornitori di servizi di comunicazione elettronica accessibili al pubblico oppure di una rete pubblica di comunicazione, sono conservati per trenta giorni.»;
c) i commi 2, 4 e 4-bis sono abrogati;
d) il comma 5 e’ così modificato:
1) all’alinea, le parole: «ai commi 1 e 2» sono sostituite dalle seguenti: «al comma 1» e le parole: «volti anche a» sono sostituite dalle seguenti: «volti a garantire che i dati conservati possiedano i medesimi requisiti di qualità, sicurezza e protezione dei dati in rete, nonche’ a»;
2) le lettere b) e c) sono soppresse;
3) alla lettera d) le parole: «ai commi 1 e 2» sono sostituite dalle seguenti: «al comma 1».
Art. 3.
Categorie di dati da conservare per gli operatori di telefonia e di comunicazione elettronica
1. Le categorie di dati da conservare per le finalità di cui all’articolo 132 del Codice sono le seguenti:
a) i dati necessari per rintracciare e identificare la fonte di una comunicazione:
1) per la telefonia di rete fissa e la telefonia mobile:
1.1 numero telefonico chiamante;
1.2 nome e indirizzo dell’abbonato o dell’utente registrato;
2) per l’accesso internet:
2.1 nome e indirizzo dell’abbonato o dell’utente registrato a cui al momento della comunicazione sono stati univocamente assegnati l’indirizzo di protocollo internet (IP), un identificativo di utente o un numero telefonico;
3) per la posta elettronica:
3.1 indirizzo IP utilizzato e indirizzo di posta elettronica ed eventuale ulteriore identificativo del mittente;
3.2 indirizzo IP e nome a dominio pienamente qualificato del mail exchanger host, nel caso della tecnologia SMTP ovvero di qualsiasi tipologia di host relativo ad una diversa tecnologia utilizzata per la trasmissione della comunicazione;
4) per la telefonia, invio di fax, sms e mms via internet:
4.1 indirizzo IP, numero telefonico ed eventuale altro identificativo dell’utente chiamante;
4.2 dati anagrafici dell’utente registrato che ha effettuato la comunicazione;
b) i dati necessari per rintracciare e identificare la destinazione di una comunicazione:
1) per la telefonia di rete fissa e la telefonia mobile:
1.1 numero composto, ovvero il numero o i numeri chiamati e, nei casi che comportano servizi supplementari come l’inoltro o il trasferimento di chiamata, il numero o i numeri a cui la chiamata e’ trasmessa;
1.2 nome e indirizzo dell’abbonato o dell’utente registrato;
2) per la posta elettronica:
2.1 indirizzo di posta elettronica, ed eventuale ulteriore identificativo, del destinatario della comunicazione;
2.2 indirizzo IP e nome a dominio pienamente qualificato del mail exchanger host (nel caso della tecnologia SMTP), ovvero di qualsiasi tipologia di host (relativamente ad una diversa tecnologia utilizzata), che ha provveduto alla consegna del messaggio;
2.3 indirizzo IP utilizzato per la ricezione ovvero la consultazione dei messaggi di posta elettronica da parte del destinatario indipendentemente dalla tecnologia o dal protocollo utilizzato;
3) telefonia, invio di fax, sms e mms via internet:
3.1 indirizzo IP, numero telefonico ed eventuale altro identificativo dell’utente chiamato;
3.2 dati anagrafici dell’utente registrato che ha ricevuto la comunicazione;
3.3 numero o numeri a cui la chiamata e’ trasmessa, nei casi di servizi supplementari come l’inoltro o il trasferimento di chiamata;
c) i dati necessari per determinare la data, l’ora e la durata di una comunicazione:
1) per la telefonia di rete fissa e la telefonia mobile, data e ora dell’inizio e della fine della comunicazione;
2) per l’accesso internet :
2.1 data e ora (GMT) della connessione e della disconnessione dell’utente del servizio di accesso internet, unitamente all’indirizzo IP, dinamico o statico, univocamente assegnato dal fornitore di accesso internet a una comunicazione e l’identificativo dell’abbonato o dell’utente registrato;
3) per la posta elettronica:
3.1 data e ora (GMT) della connessione e della disconnessione dell’utente del servizio di posta elettronica su internet ed indirizzo IP utilizzato, indipendentemente dalla tecnologia e dal protocollo impiegato;
4) per la telefonia, invio di fax, sms e mms via internet:
4.1 data e ora (GMT) della connessione e della disconnessione dell’utente del servizio utilizzato su internet ed indirizzo IP impiegato, indipendentemente dalla tecnologia e dal protocollo usato;
d) i dati necessari per determinare il tipo di comunicazione:
1) per la telefonia di rete fissa e la telefonia mobile: il servizio telefonico utilizzato;
2) per la posta elettronica internet e la telefonia internet: il servizio internet utilizzato;
e) i dati necessari per determinare le attrezzature di comunicazione degli utenti o quello che si presume essere le loro attrezzature:
1) per la telefonia di rete fissa, numeri telefonici chiamanti e chiamati;
2) per la telefonia mobile:
2.1 numeri telefonici chiamanti e chiamati;
2.2 International Mobile Subscriber Identity (IMSI) del chiamante;
2.3 International Mobile Equipment Identity (IMEI) del chiamante;
2.4 l’IMSI del chiamato;
2.5 l’IMEI del chiamato;
2.6 nel caso dei servizi prepagati anonimi, la data e l’ora dell’attivazione iniziale della carta e l’etichetta di ubicazione (Cell ID) dalla quale e’ stata effettuata l’attivazione;
3) per l’accesso internet e telefonia, invio di fax, sms e mms via internet:
3.1 numero telefonico chiamante per l’accesso commutato (dial-up access);
3.2 digital subscriber line number (DSL) o un altro identificatore finale di chi e’ all’origine della comunicazione;
f) i dati necessari per determinare l’ubicazione delle apparecchiature di comunicazione mobile:
1) etichetta di ubicazione (Cell ID) all’inizio della comunicazione;
2) dati per identificare l’ubicazione geografica della cella facendo riferimento alle loro etichette di ubicazione (Cell ID) nel periodo in cui vengono conservati i dati sulle comunicazioni.
2. Con decreto del Presidente del Consiglio dei Ministri o del Ministro delegato per la pubblica amministrazione e l’innovazione, di concerto con i Ministri per le politiche europee, dello sviluppo economico, dell’interno, della giustizia, dell’economia e delle finanze e della difesa, sentito il Garante per la protezione dei dati personali, possono essere specificati, ove si renda necessario anche al fine dell’adeguamento all’evoluzione tecnologica e nell’ambito delle categorie di dati di cui alle lettere da a) ad f) del comma 1, i dati da conservare.
Art. 4.
Autorità di controllo ed informazioni di tipo statistico
1. All’articolo 154 comma 1, lettera a), del Codice, sono aggiunte, infine, le parole: «e con riferimento alla conservazione dei dati di traffico».
2. I fornitori di servizi di cui al presente decreto entro il 30 giugno, inviano annualmente al Ministero della giustizia, per il successivo inoltro alla Commissione europea, le informazioni relative:
a) al numero complessivo dei casi in cui sono state forniti i dati relativi al traffico telefonico o telematico alle autorità competenti conformemente alla legislazione nazionale applicabile;
b) al periodo di tempo trascorso fra la data della memorizzazione dei dati di traffico e quella della richiesta da parte delle autorità competenti;
c) ai casi in cui non e’ stato possibile soddisfare le richieste di accesso ai dati.
Art. 5.
Sanzioni
1. Dopo l’articolo 162 del Codice e’ inserito il seguente:
«Art. 162-bis. (Sanzioni in materia di conservazione dei dati di traffico). 1. Salvo che il fatto costituisca reato e salvo quanto previsto dall’articolo 5, comma 2, del decreto legislativo di recepimento della direttiva 2006/24/CE del Parlamento europeo e del Consiglio del 15 marzo 2006, nel caso di violazione delle disposizioni di cui all’art. 132, commi 1 e 1-bis, si applica la sanzione amministrativa pecuniaria da 10.000 euro a 50.000 euro, che può essere aumentata sino al triplo in ragione delle condizioni economiche dei responsabili della violazione.».
2. Salvo che il fatto costituisca reato, l’omessa o l’incompleta conservazione dei dati ai sensi dell’articolo 132, commi 1 e 1-bis, del Codice, e’ punita con la sanzione amministrativa pecuniaria da euro 10.000 ad euro 50.000 che può essere aumentata fino al triplo in ragione delle condizioni economiche dei responsabili della violazione. Nel caso di assegnazione di indirizzo IP che non consente l’identificazione univoca dell’utente o abbonato si applica la sanzione amministrativa pecuniaria da 5.000 euro a 50.000 euro, che può essere aumentata fino al triplo in ragione delle condizioni economiche dei responsabili della violazione. Le violazioni sono contestate e le sanzioni sono applicate dal Ministero dello sviluppo economico.
Art. 6.
Disposizioni transitorie e finali
1. Dall’attuazione del presente decreto non devono derivare nuovi o maggiori oneri a carico della finanza pubblica.
2. I soggetti pubblici interessati provvedono agli adempimenti derivanti dall’attuazione del presente decreto con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente.
3. La disposizione dell’articolo 132, comma 1-bis, del Codice, introdotta dall’articolo 2, comma 1, lettera b), ha effetto decorsi tre mesi dalla data di entrata in vigore del presente decreto.
4. L’articolo 6, comma 4, del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155, e’ abrogato.
5. I fornitori di servizi di comunicazione elettronica accessibili al pubblico che offrono servizi di accesso a internet (Internet Acces Provider) assicurano la disponibilità e l’effettiva univocità degli indirizzi di protocollo internet entro novanta giorni dalla data di entrata in vigore del presente decreto.