IT Gazzetta ufficiale dell'Unione europea C 378/16

Sintesi del parere preliminare del Garante europeo della protezione dei dati sulla revisione della direttiva e-privacy (2002/58/CE)

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2016/C 378/09)

SINTESI

Il presente parere illustra la posizione del GEPD sulle questioni chiave inerenti alla revisione della direttiva 2002/58/CE relativa alla tutela della vita privata e alle comunicazioni elettroniche (direttiva e-privacy), in risposta a una richiesta della Commissione europea.

Occorre un nuovo quadro giuridico per l’e-privacy, che sia tuttavia più intelligente, più chiaro e più solido: vi è il bisogno di una maggiore chiarezza, ma anche di una migliore applicazione. Tale quadro è necessario per garantire la riservatezza delle nostre comunicazioni, un diritto fondamentale sancito dall’articolo 7 della Carta dei diritti fondamentali dell’Unione europea. Inoltre, occorrono disposizioni per integrare e, se necessario, specificare più in dettaglio le tutele previste dal regolamento generale sulla protezione dei dati (RGPD). Vi è altresì l’esigenza di preservare l’attuale, più elevato livello di protezione, laddove la direttiva e-privacy prevede garanzie più specifiche rispetto all’RGPD. Le definizioni dell’RGPD, il suo campo di applicazione territoriale, i meccanismi di cooperazione tra le autorità incaricate dell’applicazione della legge e quelli di coerenza, così come la possibilità di offrire flessibilità e orientamento, sono aspetti che dovrebbero essere disponibili per l’e-privacy.

Il campo di applicazione del nuovo quadro giuridico deve essere ampliato per tenere conto dei cambiamenti tecnologici e sociali e per garantire che alle persone sia assicurato lo stesso livello di protezione per tutti i servizi funzionalmente equivalenti, indipendentemente dal fatto che vengano forniti, ad esempio, da compagnie telefoniche tradizionali, da servizi VoIP (voice over IP) o tramite applicazioni di messaggistica su cellulare. In effetti, vi è la necessità di andare ancora oltre e proteggere non solo i servizi «funzionalmente equivalenti», ma anche quelli che offrono nuove opportunità di comunicazione. Le nuove norme dovrebbero inoltre continuare, senza ambiguità, a coprire le comunicazioni da macchina a macchina nel contesto dell’Internet delle cose, a prescindere dal tipo di servizio di rete o di comunicazione utilizzato. Dovrebbero altresì assicurare che la riservatezza delle comunicazioni degli utenti sia protetta in futuro su tutte le reti accessibili al pubblico, ivi inclusi i servizi Wi-Fi presso hotel, bar, negozi e aeroporti nonché le reti messe a disposizione dei pazienti dagli ospedali o degli studenti dalle università e i punti di accesso creati dalle pubbliche amministrazioni.

Il consenso dovrebbe essere autentico e offrire una libera scelta agli utenti, come richiesto dall’RGPD. Non ci dovrebbero essere più «barriere create da cookie». Al di là di una chiara serie di eccezioni (come analisi di prima parte), nessuna comunicazione dovrebbe essere soggetta a controllo e monitoraggio, in assenza di un consenso liberamente espresso, né mediante cookie né tramite funzionalità di raccolta di informazioni a scopo di identificazione (device fingerprinting) o altri mezzi tecnologici. Gli utenti devono altresì avere a disposizione efficaci meccanismi di facile utilizzo per fornire e revocare il loro consenso all’interno del browser (oppure di un altro software o sistema operativo).

Al fine di meglio tutelare la riservatezza delle comunicazioni elettroniche, si deve anche mantenere e rafforzare l’attuale obbligo di consenso per i dati di traffico e localizzazione. Il campo di applicazione di questa disposizione dovrebbe essere esteso a tutti gli operatori e non comprendere solo le compagnie telefoniche tradizionali e i fornitori di servizi Internet.

Inoltre, le nuove norme dovrebbero consentire in modo chiaro agli utenti di utilizzare la codifica da un’estremità all’altra (senza «scappatoie»), in modo da proteggere le loro comunicazioni elettroniche. Si dovrebbero vietare la decrittazione, l’ingegneria inversa o il monitoraggio di comunicazioni protette da crittografia.

Infine, le nuove norme in materia di tutela della vita privata nel settore delle comunicazioni elettroniche dovrebbero fornire protezione contro comunicazioni non richieste e dovrebbero essere aggiornate e rafforzate, richiedendo il consenso previo dei destinatari per tutti i tipi di comunicazioni elettroniche non sollecitate, indipendentemente dai mezzi utilizzati.

I. INTRODUZIONE E CONTESTO

Il presente parere preliminare (parere) è stato formulato in risposta a una richiesta con la quale la Commissione europea (Commissione) ha invitato il Garante europeo della protezione dei dati (GEPD), in qualità di autorità di vigilanza indipendente e organo consultivo, a fornire un parere sulla revisione della direttiva e-privacy (1).

La consultazione del GEPD è stata condotta in parallelo a una consultazione pubblica organizzata dalla Commissione, che è rimasta aperta fino al 5 luglio 2016 (2). La Commissione ha inoltre richiesto il parere del gruppo dell’articolo 29 per la tutela dei dati (WP29), al quale il GEPD ha contribuito come membro a pieno titolo (3).

Il presente parere illustra la posizione preliminare del GEPD sulla revisione della direttiva e-privacy, con particolare riguardo alle questioni in merito alle quali la Commissione lo ha specificatamente interpellato. Il parere rappresenta inoltre il contributo del GEPD alla consultazione pubblica e, in quanto tale, può altresì affrontare altre questioni non espressamente indicate dalla Commissione nella sua richiesta. Il GEPD può anche fornire ulteriore consulenza in fasi successive della procedura legislativa.

La revisione della direttiva e-privacy è una delle iniziative chiave della strategia per il mercato unico digitale (4), volta a rafforzare la fiducia e la sicurezza nei servizi digitali nell’Unione europea, con particolare attenzione a garantire un elevato livello di protezione per i cittadini e la parità di condizioni per tutti gli operatori di mercato nell’intera UE.

La revisione mira a modernizzare e aggiornare la direttiva e-privacy, nell’ambito dello sforzo più ampio di fornire un quadro giuridico coerente e armonizzato per la protezione dei dati in Europa. La direttiva e-privacy precisa e integra la direttiva 95/46/CE (5), che sarà sostituita dal regolamento generale sulla protezione dei dati (RGPD) (6) di recente adozione. La direttiva e-privacy stabilisce norme specifiche, con l’obiettivo principale di garantire la riservatezza e la sicurezza delle comunicazioni elettroniche. Inoltre, protegge gli interessi legittimi degli abbonati che sono persone giuridiche.

XI. CONCLUSIONI

L’importanza della riservatezza delle comunicazioni, conformemente al disposto dell’articolo 7 della Carta, sta aumentando, data la crescente rilevanza delle comunicazioni elettroniche nella nostra società ed economia. Le garanzie delineate nel presente parere svolgeranno un ruolo fondamentale nell’assicurare il conseguimento degli obiettivi strategici a lungo termine della Commissione definiti nella strategia per il mercato unico digitale.

Fatto a Bruxelles, il 22 luglio 2016 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) Rif. Ares(2016)2310042 - 18.5.2016.

(2) Cfr. https://ec.europa.eu/digital-single-market/en/news/public-consultation-evaluation-and-review-eprivacy-directive. Il questionario è disponibile al seguente indirizzo: https://ec.europa.eu/eusurvey/runner/EPRIVACYReview2016.

(3) Parere 3/2016 del WP29 relativo alla valutazione e alla revisione della direttiva relativa alla vita privata e alle comunicazioni elettroniche (2002/58/CE) (WP240) adottato il 19 luglio 2016.

(4) Una strategia per il mercato unico digitale in Europa, comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni del 6 maggio 2015 (COM(2015) 192 final), disponibile all’indirizzo: http://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:52015DC0192&from=IT.

(5) Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281 del 23.11.1995, pag. 31).

(6) Regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).