Perché nasce il Regolamento Europeo per la Protezione dei Dati Personali (GDPR)? Lo dice il Considerando n. 10 dello stesso GDPR:
“[…] È opportuno assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione. […]”
oltre che il Considerando n. 13:
“Per assicurare un livello coerente di protezione delle persone fisiche in tutta l’Unione e prevenire disparità che possono ostacolare la libera circolazione dei dati personali nel mercato interno, è necessario un regolamento che garantisca certezza del diritto e trasparenza agli operatori economici, […]”
Quindi, il legislatore europeo ha preso atto che la direttiva 95/46/CE era stata applicata dagli Stati Membri con modalità che, spesso, frenavano la libera circolazione dei dati (iperlegislazione) oppure non garantivano una sufficiente difesa dei diritti e delle libertà delle persone fisiche (ipolegislazione).
E qual è il principio sul quale è imperniato il GDPR? La dottrina si è orientata, ormai, sulla centralità del principio di responsabilizzazione (accountability) esposto al comma 2 dell’art. 5:
“Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»)”
La maggior parte degli esperti, nella spiegazione di questo principio, si è concentrata sul refrain secondo il quale il titolare del trattamento “deve applicare il GDPR e deve essere in grado di comprovarlo”. Ovvero, il titolare deve garantire un ciclo continuo di impegno nell’applicazione del GDPR e deve documentare il suo percorso. Questo è certamente vero, ma quasi tutti i commentatori trascurano l’aggettivo competente (responsible nella versione inglese) che, invece, è centrale nell’interpretazione del singolo articolo oltre che dell’intero GDPR. L’aggettivo competente, in italiano, ha una doppia semantica: vuol dire “capace, esperto, professionale, adeguato” ma anche “che ne ha il compito esclusivo, che rientra nella sua peculiare sfera d’azione”. Quindi, il titolare del trattamento dei dati personali è il dominus nell’applicazione del GDPR secondo una professionalità da acquisire direttamente (molto di rado) o indirettamente (affidandosi a specialisti della materia).
Su queste basi si può dire che il GDPR fornisce molte indicazioni metodologiche (privacy by desgin, privacy by default, valutazione d’impatto, ecc.) e poche prescrizioni pratiche, induce a comportamenti virtuosi e scoraggia la pedissequa applicazione di formalismi. Spetta al titolare autovalutare i propri processi di trattamento ed autodefinire le misure di sicurezza adeguate al fine di garantire agli interessati i diritti e le libertà previsti dalla Carta dei diritti fondamentali dell’Unione Europea.
L’approccio, quindi, sembra molto diverso da quello previsto dalla precedente normativa italiana che, invece, regolava in modo molto dettagliato sia l’avvio di alcuni processi di trattamento sia le modalità con le quali i processi dovevano essere condotti. In realtà, a guardare il nuovo testo del Codice privacy italiano (D.Lgs. 196/2003 così come modificato dal D.Lgs. 101/2018) sembra che il titolare del trattamento continui ad essere davvero poco autonomo e che debba affrontare un percorso molto accidentato per inseguire tutto quello che il quadro normativo prevede.
Infatti, oltre al GDPR ed al Codice privacy, emerge una molteplicità di disposizioni regolatorie secondarie alle quali il titolare deve adeguarsi:
Com’è facile osservare, gli unici documenti esplicitamente previsti dal GDPR, sono i codici di condotta. Il resto proviene dalla necessità, tutta italiana, di assicurare una transizione che, tuttavia, potrebbe essere molto difficile da gestire.
A questi documenti, si devono aggiungere le linee guida ed i pareri (opinions) prodotte dal vecchio WP29 ed dal nuovo Comitato Europeo per la Protezione dei Dati (EDPB) e che, ad onor del vero, si caratterizzano sempre per la grande utilità esplicativa ed esemplicativa.
Proviamo, quindi, ad approfondire i caratteri della regolazione da applicare in Italia.
I codici di condotta, previsti dall’art. 40 del GDPR, sono documenti attraverso i quali una pluralità di titolari (o responsabili), che svolgono trattamenti omogenei, decidono di autovincolarsi per assicurare la conformità al GDPR; i codici diventano operativi solo quando sono approvati dall’Autorità di controllo competente (nel caso italiano dal Garante per la Protezione dei Dati Personali). Tuttavia, se i trattamenti di cui si occupa il codice di condotta non sono esclusivi di un solo Stato membro, l’approvazione avviene da parte della Commissione Europea e prevede il preventivo parere del Comitato Europeo per la Protezione dei Dati.
Finora non sono stati approvati codici di condotta validi in tutta l’Unione Europea né sono stati approvati codici di condotta dal Garante per la Protezione dei Dati Personali. Questi documenti, tuttavia, costituiscono l’approdo finale previsto dall’art. 20 del D.Lgs. 101/2018. Nel frattempo, però, cosa fare dei codici di deontologia e di buona condotta che facevano parte integrante del vecchio testo del Codice privacy?
In attesa dell’iter di approvazione dei codici di condotta corrispondenti, sempre l’art. 20 del D.Lgs. 101/2018 stabilisce che il Garante per la Protezione dei Dati Personali trasformi i codici di deontologia e di buona condotta (in particolare quelli riportati negli allegati A.1, A.2, A.3, A.4 e A.6 del Codice privacy) in regole deontologiche. Quindi, le regole deontologiche sono documenti di transizione per consentire un adattamento on fly dei vecchi codici deontologici.
Per la verità, l’art. 20 stabilisce una procedura snella solo per trasformare in regole deontologiche i vecchi codici deontologici. La procedura ordinaria per varare le regole deontologiche è contenuta nell’art. 2‑quater nel Codice privacy e prevede che un eventuale schema, proposto da un’associazione di categoria (o da un’altra pluralità rappresentativa di titolari o responsabili) sia posto in consultazione pubblica dal Garante per almeno sessanta giorni per, poi, essere pubblicate in Gazzetta Ufficiale.
Questa procedura ha carattere permanente e ciò fa pensare che, a regime, le regole deontologiche si affiancheranno ai codici di condotta. Con quale differenza? Lo dice l’ultimo comma dello stesso art. 2‑quater del nuovo Codice privacy
“[…] Il rispetto delle disposizioni contenute nelle regole deontologiche di cui al comma 1 costituisce condizione essenziale per la liceità e la correttezza del trattamento dei dati personali.”
Quindi, le regole deontologiche hanno un carattere fortemente prescrittivo: violarle significa trattare i dati illecitamente. Invece, i codici di condotta nascono per indurre i titolari (o i responsabili) a comportamenti virtuosi nel trattamento dei dati personali.
In ogni caso, nel giorni scorsi il Garante per la Protezione dei Dati Personali ha approvato le regole deontologiche[i] corrispondenti ai vecchi codici di deontologia e buona condotta secondo la procedura snella prevista dall’art. 20 del D.Lgs. 101/2018. In particolare, sono state inviate alla pubblicazione in Gazzetta Ufficiale le seguenti regole deontologiche:
Il vecchio Codice privacy prevedeva, all’art. 40 (oggi abrogato), che il Garante potesse procedere a formulare autorizzazioni generali per determinate categorie di titolari o di trattamenti. Alla fine del 2016 il Garante ha provveduto a rinnovare molte autorizzazioni generali già prodotte in passato, in attesa che il Codice privacy fosse adeguato al GDPR; questo è avvenuto, come già detto, con il D.Lgs. 101/2018 che, all’art. 21, ha inteso trasformare le autorizzazioni generali in prescrizioni. Il processo di trasformazione è caratterizzato da una preventiva consultazione pubblica che il Garante ha avviato con provvedimento del 13 dicembre 2018[iii] con il quale sono state pubblicate le prescrizioni riguardanti
È evidente che alcune prescrizioni riguardano gli stessi ambiti considerati dalle regole deontologiche e, anche in questo caso, costituiscono norme vincolanti per i titolari ed i responsabili visto che, l’art. 21 del D.Lgs. 101/2018, al comma 5, stabilisce che
“[…] Salvo che il fatto costituisca reato, le violazioni delle prescrizioni contenute nelle autorizzazioni generali di cui al presente articolo e nel provvedimento generale di cui al comma 1 sono soggette alla sanzione amministrativa di cui all’articolo 83, paragrafo 5, del Regolamento (UE) 2016/679.”
Le prescrizioni, sempre secondo l’art. 21 del D.Lgs. 101/2018, saranno sostituite dalle misure di garanzia previste dall’art. 2‑septies del nuovo Codice privacy. Le misure di garanzia
Per il momento, tuttavia, non c’è alcuna ipotesi di adozione delle misure di garanzia.
Coerenza, omogeneità e responsabilizzazione: tre parole chiave del GDPR alle quali la regolazione secondaria, almeno in Italia, sembra contrapporre specificità e complessità che, certamente, non sono quello che titolari e responsabili auspicavano.
Articolo a cura di Francesco Maldera
Arrestato a Parigi il CEO di Telegram: cosa significa in termini di responsabilità delle piattaforme…
Introduzione In un contesto in cui la digitalizzazione sta crescendo costantemente, è importante sapere come…
Casi come Cellebrite Ufed v. Signal pongono in luce come la cybersecurity sia un fattore…
I Big Data stanno cambiando le regole del commercio online. Finalmente le aziende possono comprendere…
Dal punto di vista tecnico-operativo, le indagini di digital forensics vengono svolte utilizzando specifici strumenti…
Nell’ambito dell’email security esistono diversi protocolli volti a garantire l'autenticità, l'integrità e la riservatezza delle…