Privacy e protezione dei dati personali: il Regolamento UE 2016/679

Il diritto alla privacy è un diritto relativamente recente, nato infatti dalla necessità di vedere tutelata la riservatezza della propria vita e dei propri dati personali in un’epoca moderna nella quale sono sempre maggiori gli scambi e i rapporti [...]

A cura dell'Avv. Augusto Careni

1. Brevi cenni sulle origini della privacy

Il diritto alla privacy è un diritto relativamente recente, nato infatti dalla necessità di vedere tutelata la riservatezza della propria vita e dei propri dati personali in un’epoca moderna nella quale sono sempre maggiori gli scambi e i rapporti di tipo commerciale ma anche sociale (si pensi ai social network).

A livello normativo si ha la prima codificazione del diritto alla privacy con la dichiarazione universale dei diritti dell’uomo approvata dall’Assemblea Generale delle Nazioni Unite il 10 dicembre 1948.

Si tratta di una dichiarazione che seppur non vincolante per i paesi membri rappresenta comunque un primo importante passo verso il riconoscimento dell’importante dei diritti dell’uomo in senso lato.

Nel 1950 con l’approvazione della Convenzione europea dei diritti dell’uomo (CEDU) viene posto un altro tassello verso il riconoscimento dei diritti dell’uomo con una già maggiore attenzione alla vita privata e familiare nonché all’importanza di statuire regole al fine di garantire l’individuo da ingerenze da parte dell’autorità o di terzi nella propria sfera privata.

La Convenzione n. 108 sulla protezione delle persone rispetto al trattamento automatizzato da dati di carattere personale, approvata a Strasburgo nel 1981 dal Consiglio d’Europa, ha costituito il passo decisivo verso il concetto di privacy e tutela dei dati personali, in un’epoca nella quale la comunità internazionale si è resa conto che il progressivo accrescimento di scambi e di apertura del mercato rendevano non più rinviabile una più organica disciplina di tali diritti.

E si giunge agli anni più vicini a quelli attuali, con l’emanazione delle direttiva 95/46/CE da parte del Parlamento Europeo avente ad oggetto la tutela delle persone fisiche con riguardo al trattamento dei dati personali nonchè alla libera circolazione dei dati.

Tale direttiva è stata recepita dall’Italia solo nel 1996 con la Legge n. 675 del 31 dicembre 1996, che costituisce a tutti gli effetti il cardine in materia di protezione dei dati personali nella legislazione italiana, che ha sancito per la prima volta che il diritto alla privacy è un diritto assoluto e inviolabile, stabilendo anche le eventuali sanzioni di carattere civile, perale e amministrativo in caso di mancato rispetto.

Si giunge infine al Codice della Privacy approvato con il d.lgs. n. 196 del 30 giugno 2003 che costituisce ad oggi la normativa nazionale di riferimento in tema di disciplina e tutela dei dati personali.

Il codice contiene le norme applicabili a tutti i casi in cui si debba attuare il trattamento dei dati personali operato sia da privati che da enti pubblici, ma anche disposizioni particolari da porre in essere in casi specificamente previsti e gli strumenti a cui l’individuo può ricorrere per tutelarsi e le sanzioni previste in caso di inottemperanza alle disposizioni contenute nel codice.

2. Il Regolamento UE 2016/79

Con la pubblicazione in Gazzetta Ufficiale dell’UE avvenuta il 4 maggio 2016, sono stati ufficializzati il Regolamento Europeo in materia di protezione dei dati personali e la direttiva che regola i trattamenti di dati personali nei settori di prevenzione, contrasto e repressione dei crimini, quest’ultima è entrata in vigore il 5 maggio 2016 e dovrà essere recepita dagli stati membri entro due anni.

Il Regolamento è entrato invece ufficialmente in vigore il 24 maggio 2016 e diverrà applicabile in modo definitivo in tutti i paesi membri UE a partire dal 18 maggio 2018, senza necessità di alcun recepimento.

Con l’emanazione del Regolamento 2016/79 l’UE sancisce in modo definitivo l’importanza di una materia quale quella della privacy e della protezione dei dati personali troppo spesso sottovalutata nei decenni passati, ed introduce una regolamentazione piena e completa nelle suddette materie.

• Ma quali sono sinteticamente le principali novità introdotte dal regolamento?

Il Regolamento introduce un innovativo principio rappresentato dall’applicazione delle norme contenute nello stesso anche a soggetti posti al di fuori dell’UE, prevedendo in sostanza che se i trattamenti dei dati vengono svolti da soggetti al di fuori dell’UE, anche questi devono rispettare la normativa europea, mentre in passato vigeva la regola per cui la normativa applicabile era quella del luogo in cui ha la sede il titolare dei trattamento.

Il cambiamento non è di poco conto se si tiene presente ad esempio i siti internet e i social network che operano in paesi extra-UE e che con l’entrata in vigore del nuovo regolamento dovranno fare riferimento a tale normativa.

Il nuovo criterio dell’accountability, ovvero il principio della corretta organizzazione e della documentazione e tracciabilità obbligatoria delle attività di trattamento.

Chi tratta i dati quindi dovrà elaborare un adeguato sistema per gestire in modo corretto ed adeguato tutti i dati dei quali venga in possesso.

L’informativa sul trattamento dei dati personali rivestirà un ruolo centrale e non meramente formale come avvenuta fino ad oggi.

In sostanza l’informativa dovrà essere resa in modo chiaro, preciso e facilmente comprensibile e accessibile, in forma scritta (anche attraverso l’uso del formato elettronico) ma anche orale purchè con gli adeguati accorgimenti previsti dalla norma.

L’interessato dovrà inoltre essere informato sull’origine dei dati trattati e sul tempo di conservazione.

L’accesso, la rettifica, e la cancellazione dei dati trattati sarà molto semplificato rispetto alle attuali modalità e sarà onere del titolare al trattamento dei dati porre in essere un sistema adeguato per dare veloce e chiara risposta alle richieste dell’interessato.

Prevista una specifica analisi dei rischi e la valutazione di impatto del trattamento dei dati personali che sarà a carico di chi raccoglierà i dati fin da momento della progettazione del processo aziendale e degli applicativi informatici di supporto, in modo particolare laddove il trattamento comporti specifici rischi per i diritti e le libertà degli interessati.

Abolito l’obbligo di notificazione di specifici trattamenti al Garante per la protezione dei dati personali, mentre saranno attuate delle procedure maggiormente efficaci soprattutto a tutela di alcuni trattamenti che potrebbero, anche solo potenzialmente, presentare rischi per i diritti e le libertà degli interessati.

Viene introdotto l‘obbligo di autodenuncia per le violazioni di dati subite dal soggetto o l’ente che li trattiene, sia qualora subisca la perdita, la distruzione, la modifica o la rivelazione non autorizzata dei dati trattati.

Appare evidente quindi che, anche al fine di evitare inevitabili sanzioni correlate, chi si troverà a trattare i dati personali dovrà necessariamente dotarsi di software adeguati che vadano a monitorare la gestione dei dati stessi.

Modifiche sostanziali sono introdotte anche in merito al consenso dell’interessato al trattamento dei dati personali, il quale dovrà manifestare il consenso mediante un’azione positiva con la quale l’interessato manifesta in modo inequivocabile la libera, specifica e informata intenzione di accettare che i propri dati personali siano oggetto di trattamento.

Il consenso potrà essere manifestato ovviamente in forma scritta, anche in forma elettronica, ma anche orale, ma non quello tacito.

Le sanzioni previste dal Regolamento saranno molto più pesanti di quelle fino ad oggi applicate, infatti potranno arrivare fino a 20.000.000 di euro per i privati e le imprese non facenti parte di gruppi e fino al 4% del fatturato (consolidato) su base mondiale per i gruppi societari multinazionali.

L’introduzione della figura del responsabile per la protezione dei dati il c.d. Data Privacy Officer (DPO) che avrà certamente un ruolo centrale nella nuova disciplina prevista dal Regolamento UE.

Il DPO sarà in primis una figura professionale alle quali le aziende (pubbliche e private) dovranno rivolgersi e che sarà da supporto per il corretto adeguamento alle previsioni del Regolamento e sarà in referente del Garante della protezioni dei dati personali, ma opererà con piena autonomia rispetto a chi effettivamente trattiene i dati.

Potrà essere sia un soggetto interno che esterno e avrà un mandato revocabile e rinnovabile delle durata di quattro anni.

3. Il Regolamento UE e-privacy

Un ultimo ma inevitabile cenno anche sul Regolamento c.d. e-privacy pubblicato il 10 gennaio 2017 dalla Commissione Europea ed inerente il rispetto della vita privata e la protezione dei dati personali nell’ambito delle comunicazioni elettroniche che modifica la direttiva 2002/58/CE, c.d. “direttiva e-privacy”.

Visti i notevoli sviluppi tecnologici e del mercato digitale tale iniziativa appare certamente quantomai opportuna per garantire il corretto trattamento dei dati personali anche nel commercio elettronico e in generale nelle comunicazioni elettroniche.

In tale Regolamento sono previste le disposizioni finalizzate a garantire la riservatezza delle comunicazioni elettroniche, il consenso degli utenti finali, la gestione di elenchi pubblici nei quali vengono inseriti gli utenti finali, le autorità di controllo sulla corretta applicazione del Regolamento stesso ed infine i rimedi che gli utenti finali avranno a disposizione per tutelare i propri diritti se risulteranno lesi e le relative sanzioni a carico di chi non avrà ottemperato a quanto previsto dal regolamento.