COMMISSIONE EUROPEA Bruxelles, 24.6.2020 SWD(2020) 115 final DOCUMENTO DI LAVORO DEI SERVIZI DELLA COMMISSIONE […] che accompagna il documento COMUNICAZIONE DELLA COMMISSIONE AL PARLAMENTO EUROPEO E AL CONSIGLIO La protezione dei dati come pilastro dell'autonomia dei cittadini e dell'approccio dell'UE alla transizione digitale: due anni di applicazione del regolamento generale sulla protezione dei dati {COM(2020) 264 final}



Indice 1 Contesto 2 Applicazione del regolamento generale sulla protezione dei dati e funzionamento dei meccanismi di cooperazione e coerenza 2.1 Esercizio di poteri rafforzati da parte delle autorità di protezione dei dati Questioni specifiche per il settore pubblico Cooperazione con altre autorità di regolamentazione 2.2 Il meccanismo di cooperazione e coerenza Sportello unico Assistenza reciproca Meccanismo di coerenza Sfide da affrontare 2.3 Consulenza e orientamenti Attività di sensibilizzazione e consulenza da parte delle autorità di protezione dei dati Orientamenti del comitato europeo per la protezione dei dati 2.4 Risorse delle autorità di protezione dei dati 3 Norme armonizzate, tuttavia persiste un certo grado di frammentazione e approcci divergenti 3.1 Attuazione del regolamento generale sulla protezione dei dati da parte degli Stati membri Principali questioni relative all'attuazione nazionale

Conciliazione del diritto alla protezione dei dati personali con la libertà di espressione e di informazione 3.2 Clausole di specificazione facoltative e loro limiti Frammentazione legata all'uso di clausole di specificazione facoltative 4 Dare alle persone gli strumenti d'azione per controllare i propri dati 5 Opportunità e sfide per le organizzazioni, in particolare per le piccole e medie imprese Insieme di strumenti per le imprese 6 Applicazione del regolamento generale sulla protezione dei dati alle nuove tecnologie 7 Trasferimenti internazionali e cooperazione globale 7.1 Tutela dei dati personali: una questione avente natura globale 7.2 Gli strumenti del regolamento generale sulla protezione dei dati relativi ai trasferimenti Decisioni di adeguatezza Garanzie adeguate Deroghe Decisioni da parte di organi giurisdizionali o autorità stranieri: non costituiscono motivo di trasferimento 7.3 Cooperazione internazionale nel settore della protezione dei dati La dimensione bilaterale La dimensione multilaterale Allegato I: clausole di specificazione facoltative stabilite dalla legislazione nazionale Allegato II: panoramica delle risorse delle autorità di protezione dei dati





1Contesto Il regolamento generale sulla protezione dei dati è il risultato di otto anni di preparazione, redazione e negoziati interistituzionali ed è entrato in vigore il 25 maggio 2018 dopo un periodo transitorio di due anni (maggio 2016 - maggio 2018). L'articolo 97 del regolamento generale sulla protezione dei dati impone alla Commissione di riferire in merito alla valutazione e al riesame del regolamento stesso, a partire da una prima relazione dopo due anni di applicazione e successivamente ogni quattro anni. Tale valutazione rientra anche nel contesto di un approccio multidisciplinare che la Commissione ha già seguito prima dell'entrata in vigore del regolamento e ha continuato ad attuare in maniera attiva da allora. Nel quadro di tale approccio, la Commissione si è impegnata in dialoghi bilaterali attualmente in corso con gli Stati membri in merito alla conformità della legislazione nazionale rispetto al regolamento generale sulla protezione dei dati, ha contribuito attivamente ai lavori del comitato europeo per la protezione dei dati (di seguito "il comitato") mettendo a disposizione le proprie esperienze e competenze, ha sostenuto le autorità di protezione dei dati e mantenuto stretti contatti con un'ampia serie di parti interessate sull'applicazione pratica del regolamento. La valutazione si basa sull'esercizio di valutazione svolto dalla Commissione nel primo anno di applicazione del regolamento, riepilogato nella comunicazione pubblicata nel luglio del 2019. Essa dà inoltre seguito alla comunicazione sull'applicazione del regolamento generale sulla protezione dei dati, pubblicata nel gennaio del 2018. La Commissione ha inoltre adottato le linee guida sull'uso dei dati personali nel contesto elettorale, pubblicate nel settembre del 2018, e le linee guida sulle app a sostegno della lotta alla pandemia di Covid-19, pubblicate nell'aprile del 2020. Nonostante l'attenzione sia incentrata sulle due questioni evidenziate dall'articolo 97, paragrafo 2, del regolamento generale sulla protezione dei dati, ossia i trasferimenti internazionali e i meccanismi di cooperazione e coerenza, la presente valutazione adotta un approccio di più ampio respiro per affrontare anche questioni sollevate da vari soggetti nel corso degli ultimi due anni. Per preparare la valutazione, la Commissione ha tenuto conto dei contributi: ·del Consiglio; ·del Parlamento europeo (commissione per le libertà civili, la giustizia e gli affari interni); ·del comitato e delle singole autorità di protezione dei dati, sulla base di un questionario inviato dalla Commissione; ·del riscontro ottenuto dai membri del gruppo multilaterale di esperti a sostegno dell'applicazione del regolamento generale sulla protezione dei dati, anch'esso basato su un questionario inviato dalla Commissione; ·dei contributi ad hoc ricevuti dalle parti interessate. 2Applicazione del regolamento generale sulla protezione dei dati e funzionamento dei meccanismi di cooperazione e coerenza Il regolamento generale sulla protezione dei dati ha istituito un sistema di governance innovativo e ha creato le fondamenta per una cultura autenticamente europea della protezione dei dati, che mira a garantire non soltanto un'interpretazione armonizzata, ma anche un'applicazione e un controllo armonizzati delle norme in materia di protezione dei dati. I suoi pilastri sono costituiti dalle autorità indipendenti nazionali di protezione dei dati e dal comitato di nuova costituzione. Dato che le autorità di protezione dei dati sono fondamentali per il funzionamento dell'intero sistema di protezione dei dati dell'UE, la Commissione sta monitorando attentamente la loro effettiva indipendenza, anche per quanto riguarda l'adeguatezza delle risorse finanziarie, umane e tecniche. È ancora troppo presto per valutare appieno il funzionamento dei meccanismi di cooperazione e coerenza, data la breve esperienza acquisita fino a questo momento. Inoltre le autorità di protezione dei dati non hanno ancora utilizzato tutti gli strumenti previsti dal regolamento generale sulla protezione dei dati a sostegno del rafforzamento ulteriormente della loro cooperazione. 2.1Esercizio di poteri rafforzati da parte delle autorità di protezione dei dati Il regolamento generale sulla protezione dei dati istituisce autorità di protezione dei dati indipendenti conferisce loro poteri di esecuzione armonizzati e rafforzati. Sin da quando si applica il regolamento generale sulla protezione dei dati, tali autorità stanno esercitando un'ampia serie di poteri correttivi previsti nel regolamento generale sulla protezione dei dati, quali sanzioni amministrative (22 autorità UE/SEE), avvertimenti e ammonimenti (23), provvedimenti che intimano di ottemperare alle richieste dell'interessato (26), provvedimenti che intimano di conformare i trattamenti alle disposizioni del regolamento generale sulla protezione dei dati (27) nonché provvedimenti che intimano la rettifica, la cancellazione di dati personali o la limitazione del trattamento (17). Circa la metà delle autorità di protezione dei dati (13) ha imposto limitazioni provvisorie o definitive al trattamento, inclusi divieti di trattamento. Ciò dimostra un uso consapevole di tutte le misure correttive previste nel regolamento generale sulla protezione dei dati; le autorità di protezione dei dati non hanno esitato ad imporre sanzioni amministrative pecuniarie in aggiunta o in sostituzione di altre misure correttive, a seconda delle circostanze dei singoli casi. Sanzioni amministrative pecuniarie Tra il 25 maggio 2018 e il 30 novembre 2019 sono state 22 le autorità di protezione dei dati dell'UE/del SEE che hanno inflitto approssimativamente 785 sanzioni pecuniarie. Soltanto un numero esiguo di autorità non ha ancora imposto sanzioni amministrative pecuniarie, anche se i procedimenti attualmente in corso potrebbero comportare tali sanzioni. La maggior parte delle sanzioni pecuniarie ha riguardato violazioni in relazione ai seguenti aspetti: il principio di liceità; il consenso valido; la protezione di dati sensibili; l'obbligo di trasparenza, i diritti degli interessati; nonché violazioni dei dati.

Esempi di sanzioni pecuniarie imposte dalle autorità di protezione dei dati comprendono: - 200 000 EUR per il mancato rispetto del diritto di opposizione alla commercializzazione diretta in Grecia; - 220 000 EUR nei confronti di un'impresa di intermediario di dati in Polonia per non aver informato le persone fisiche del trattamento in corso dei loro dati; - 250 000 EUR nei confronti del campionato di calcio spagnolo LaLiga, per mancanza di trasparenza nella progettazione della sua applicazione per smartphone; - 14,5 milioni di EUR per la violazione di principi di protezione dei dati, in particolare per la conservazione illecita da parte di una società immobiliare tedesca; - 18 milioni di EUR per il trattamento illecito di categorie particolari di dati da parte dei servizi postali austriaci; - 50 milioni di EUR nei confronti di Google in Francia, in ragione delle condizioni per l'ottenimento del consenso degli utenti. Il buon esito del regolamento generale sulla protezione dei dati non dovrebbe essere misurato attraverso il numero di sanzioni pecuniarie imposte, dato che tale regolamento prevede una gamma più ampia di poteri correttivi. A seconda delle circostanze, l'effetto deterrente di un divieto di trattamento o della sospensione di flussi di dati può essere ad esempio molto più rilevante. Questioni specifiche per il settore pubblico Il regolamento generale sulla protezione dei dati consente agli Stati membri di stabilire se e in quale misura possano essere imposte sanzioni amministrative pecuniarie alle autorità e agli organismi pubblici. Qualora gli Stati membri si avvalgano di tale possibilità, ciò non priva le autorità di protezione dei dati della possibilità di esercitare tutti gli altri poteri correttivi nei confronti di autorità ed organismi pubblici. Un'ulteriore questione specifica è il controllo degli organi giurisdizionali: sebbene il regolamento generale sulla protezione dei dati si applichi anche alle attività degli organi giurisdizionali, questi ultimi sono esonerati dal controllo da parte delle autorità di protezione dei dati nell'esercizio delle loro funzioni giurisdizionali. Tuttavia la Carta e il TFUE impongono agli Stati membri l'obbligo di incaricare un organismo indipendente all'interno dei loro rispettivi sistemi giudiziari affinché vigilino in merito a tali operazioni di trattamento. Cooperazione con altre autorità di regolamentazione Come annunciato nella propria comunicazione del luglio del 2019, la Commissione sostiene l'interazione con altre autorità di regolamentazione, nel pieno rispetto delle rispettive competenze. Settori promettenti di cooperazione comprendono la tutela dei consumatori e la concorrenza. Il comitato ha espresso la propria intenzione di collaborare con altre autorità di regolamentazione, in particolare per quanto riguarda la concentrazione nei mercati digitali. La Commissione ha riconosciuto l'importanza della protezione della vita privata e dei dati come parametro qualitativo della concorrenza. I membri del comitato hanno partecipato a seminari congiunti con la rete di cooperazione per la tutela dei consumatori in materia di cooperazione per una migliore applicazione della legislazione dell'UE in materia di protezione dei dati e tutela dei consumatori. Tale approccio sarà perseguito per promuovere una comprensione comune e sviluppare modalità pratiche per affrontare problemi concreti incontrati dai consumatori, in particolare nell'economia digitale. Al fine di garantire un approccio coerente alla tutela della vita privata e alla protezione dei dati, e in attesa dell'adozione del regolamento sulla vita privata e le comunicazioni elettroniche, è indispensabile una stretta cooperazione con le autorità competenti per l'applicazione della direttiva relativa alla vita privata e alle comunicazioni elettroniche, la lex specialis nel settore delle comunicazioni elettroniche. Una cooperazione più stretta con le autorità competenti ai sensi della direttiva NIS e del gruppo di cooperazione NIS sarebbe reciprocamente vantaggiosa per tali autorità e le autorità di protezione dei dati. 2.2Il meccanismo di cooperazione e coerenza Il regolamento generale sulla protezione dei dati ha creato il meccanismo di cooperazione (un sistema di sportello unico per gli operatori, operazioni congiunte e assistenza reciproca tra le autorità di protezione dei dati) e il meccanismo di coerenza al fine di promuovere un'applicazione uniforme delle norme in materia di protezione dei dati, attraverso un'interpretazione coerente e la risoluzione di un eventuale disaccordo tra le autorità ad opera del comitato. Il comitato, che riunisce tutte le autorità di protezione dei dati, è stato istituito come organismo dell'UE dotato di personalità giuridica ed è pienamente operativo, sostenuto da un segretariato ed è fondamentale per il funzionamento dei due meccanismi di cui sopra. Entro la fine del 2019 il comitato aveva adottato 67 documenti tra i quali 10 orientamenti e 43 pareri nuovi. Il ruolo importante del comitato è emerso nel caso in cui era necessario fornire rapidamente un'interpretazione coerente del regolamento generale sulla protezione dei dati e trovare soluzioni immediatamente applicabili a livello UE. Ad esempio, nel contesto della pandemia di Covid-19, nel marzo 2020 il comitato ha adottato una dichiarazione sul trattamento dei dati personali che tratta, tra l'altro, della liceità del trattamento e dell'uso dei dati mobili relativi all'ubicazione in tale contesto, mentre nell'aprile del 2020 ha adottato linee guida sul trattamento dei dati relativi alla salute a fini di ricerca scientifica nel contesto dell'emergenza legata al Covid-19 nonché linee-guida sull'uso dei dati di localizzazione e degli strumenti per il tracciamento dei contatti nel contesto dell'emergenza legata al Covid-19. Il comitato ha inoltre contribuito in maniera significativa alla progettazione dell'approccio dell'UE alle applicazioni di tracciamento da parte della Commissione e degli Stati membri. La cooperazione quotidiana tra le autorità di protezione dei dati, indipendentemente dal fatto che esse agiscano a proprio nome o in veste di membri del comitato, si basa su scambi di informazioni e notifiche di casi aperti dalle autorità. Al fine di agevolare la comunicazione tra le autorità, la Commissione ha fornito un sostegno significativo mettendo a loro disposizione un sistema di scambio di informazioni. La maggior parte delle autorità lo considera adeguato alle esigenze dei meccanismi di cooperazione e coerenza, anche se potrebbe essere ulteriormente perfezionato ad esempio rendendolo più semplice da utilizzare.

Sebbene sia ancora presto, è già possibile individuare diversi risultati e una serie di sfide che sono presentati in appresso. Tali aspetti dimostrano che, finora, le autorità garanti della protezione dei dati hanno fatto un uso efficace degli strumenti di cooperazione, privilegiando soluzioni più flessibili. Sportello unico Come norma generale, nei casi transfrontalieri, l'autorità di protezione dei dati di uno Stato membro può essere coinvolta: i) in quanto autorità capofila quando lo stabilimento principale dell'operatore è ubicato in tale Stato membro; oppure ii) come autorità coinvolta quando l'operatore ha uno stabilimento nel territorio di tale Stato membro, quando le persone fisiche in tale Stato membro sono interessate in maniera sostanziale o quando è stato promosso un reclamo presso tale autorità. Tale stretta cooperazione è diventata una pratica quotidiana: dalla data di applicazione del regolamento generale sulla protezione dei dati, le autorità di protezione dei dati in tutti gli Stati membri ad un certo punto, sono state individuate come autorità capofila o come autorità interessate nel contesto di casi transfrontalieri, anche se in misura diversa. Dal maggio 2018 fino alla fine del 2019, l'autorità irlandese di protezione dei dati ha agito in qualità di autorità capofila nel maggior numero di casi transfrontalieri (127), seguita da Germania (92), Lussemburgo (87), Francia (64) e Paesi Bassi (45). Tale classificazione riflette in particolare la situazione specifica dell'Irlanda e del Lussemburgo, che ospitano diverse imprese multinazionali di grandi dimensioni appartenenti al settore tecnologico. La classificazione varia per quanto concerne il coinvolgimento in veste di autorità di protezione dei dati; l'autorità che risulta essere coinvolta nel maggior numero di casi (435) è infatti quella tedesca, seguita da quella spagnola (337), da quella danese (327), da quella francese (332) e da quella italiana (306). Tra il 25 maggio 2018 e il 31 dicembre 2019 sono stati presentati 141 progetti di decisione attraverso la procedura dello sportello unico, 79 dei quali hanno portato a decisioni definitive. Alla data di pubblicazione della presente relazione, sono in corso varie decisioni importanti aventi una dimensione transfrontaliera e soggette al meccanismo dello sportello unico. Tra queste, alcune riguardano imprese multinazionali di grandi dimensioni appartenenti al settore tecnologico. Si prevede che forniscano chiarimenti e contribuiscano a una maggiore armonizzazione nell'interpretazione del regolamento generale sulla protezione dei dati. Assistenza reciproca Le autorità di protezione dei dati hanno fatto ampio uso dello strumento di assistenza reciproca. Alla fine del 2019 risultavano essere state istituite 115 procedure di assistenza reciproca, in particolare per lo svolgimento di indagini, la maggior parte delle quali condotte da autorità di protezione dei dati di Spagna (26), Germania (20), Danimarca (13), Polonia (12) e Repubblica ceca (10). L'Irlanda (19), la Francia (11), l'Austria (10), la Germania (10) e il Lussemburgo (9) hanno invece ricevuto la maggior parte delle richieste. La grande maggioranza delle autorità ritiene che l'assistenza reciproca sia uno strumento molto utile per la cooperazione e non ha incontrato particolari ostacoli all'applicazione della procedura di assistenza reciproca. Lo strumento cui le autorità hanno fatto ricorso con maggiore frequenza (ossia in 2 427 procedure) è lo scambio volontario di assistenza reciproca, che non prevede un termine legale o un obbligo rigoroso di risposta. L'autorità di protezione dei dati dell'Irlanda ha inviato e ricevuto il maggior numero di richieste di assistenza reciproca (527 inviate e 359 ricevute), seguita dalle autorità tedesche (260 inviate/356 ricevute). Al contrario, non sono ancora state condotte operazioni congiunte che consentirebbero alle autorità di protezione dei dati di Stati membri diversi di essere coinvolte già nella fase di indagine in merito a casi transfrontalieri. È in corso una riflessione in seno al comitato sull'attuazione pratica di questo strumento e su come promuoverne l'uso. Meccanismo di coerenza Finora è stata utilizzata soltanto la prima parte del meccanismo di coerenza, ossia l'adozione di pareri del comitato. Non è stata invece ancora avviata alcuna procedura di risoluzione delle controversie a livello di comitato o procedura d'urgenza. Tra il 25 maggio 2018 e il 31 dicembre 2019, il comitato ha emesso 36 pareri nel contesto dell'adozione di misure da parte di uno dei suoi membri. La maggior parte di tali pareri (31) riguardava l'adozione di elenchi nazionali di trattamenti che richiedono una valutazione d'impatto sulla protezione dei dati. Due pareri riguardavano le norme vincolanti d'impresa, altri due riguardavano progetti di criteri per l'accreditamento per un organismo di monitoraggio del codice e uno riguardava le clausole contrattuali tipo. Inoltre, il comitato ha adottato sei pareri, su richiesta. Tre di tali pareri riguardavano elenchi nazionali che identificavano trattamenti che non richiedevano una valutazione d'impatto sulla protezione dei dati. Gli altri riguardavano rispettivamente, un accordo amministrativo per il trasferimento di dati personali tra autorità di controllo finanziario del SEE e non appartenenti al SEE, l'interazione tra la direttiva relativa alla vita privata e alle comunicazioni elettroniche e il regolamento generale sulla protezione dei dati nonché la competenza di un'autorità di controllo in caso di mutamento delle circostanze relative allo stabilimento principale o unico. Sfide da affrontare Sebbene le autorità di protezione dei dati collaborino attivamente in seno al comitato e utilizzino già in modo intensivo lo strumento di cooperazione dell'assistenza reciproca, la creazione di una cultura comune veramente incentrata sulla protezione dei dati è ancora un processo in corso. In particolare la gestione dei casi transfrontalieri richiede un approccio maggiormente efficiente e armonizzato nonché l'uso efficace di tutti gli strumenti di cooperazione previsti dal regolamento generale sulla protezione dei dati. Esiste un ampio consenso su questo aspetto dal momento che è stato sollevato in modi diversi dal Parlamento europeo, dal Consiglio, dal garante europeo della protezione dei dati, dalle parti interessate (all'interno del gruppo multilaterale e più in generale) e dalle autorità di protezione dei dati. Le principali questioni da affrontare in tale contesto comprendono differenze in relazione a:

·procedure amministrative nazionali riguardanti in particolare: le procedure di trattamento dei reclami, i criteri di ammissibilità per i reclami, la durata dei procedimenti dovuti a scadenze diverse o all'assenza di termini, il momento della procedura in cui è concesso il diritto di essere ascoltati o di informazione e la partecipazione, durante il procedimento; ·interpretazioni di concetti relativi al meccanismo di cooperazione, quali le informazioni pertinenti, i concetti di "senza indugio" e "reclamo", il documento che è definito come il "progetto di decisione" dell'autorità di protezione dei dati capofila, la composizione amichevole (in particolare la procedura per giungere a una composizione amichevole e la forma giuridica di tale composizione); e ·l'approccio in merito al momento per l'avvio della procedura di cooperazione, per il coinvolgimento delle autorità di protezione dei dati competenti e per la comunicazione di informazioni a tali autorità. I reclamanti non dispongono di chiarezza in merito alle modalità di gestione dei loro casi in situazioni transfrontaliere, come è stato sottolineato da diversi membri del gruppo multilaterale. Inoltre le imprese indicano che in alcuni casi le autorità nazionali di protezione dei dati non hanno deferito i casi all'autorità di protezione dei dati capofila, ma li hanno gestiti come casi locali. La Commissione accoglie con favore l'annuncio del comitato nel quale informa di aver avviato una riflessione su come affrontare tali preoccupazioni. Il comitato ha indicato in particolare che chiarirà le fasi procedurali previste dalla cooperazione tra l'autorità di protezione dei dati capofila e le autorità di protezione dei dati coinvolte, analizzerà il diritto processuale amministrativo nazionale, si adopererà per definire un'interpretazione comune dei concetti fondamentali e rafforzerà la comunicazione e la cooperazione (comprese le operazioni congiunte). La riflessione e l'analisi del comitato dovrebbero condurre all'elaborazione di modalità di lavoro più efficienti nei casi transfrontalieri, anche basandosi sulle competenze dei suoi membri e rafforzando la partecipazione del suo segretariato. Occorre inoltre osservare che l'incarico affidato al comitato di garantire un'interpretazione coerente del regolamento generale sulla protezione dei dati non può essere soddisfatto semplicemente individuando il denominatore comune più basso. Infine, trattandosi di un organismo dell'UE, il comitato deve applicare il diritto amministrativo dell'UE e garantire la trasparenza del processo decisionale. 2.3Consulenza e orientamenti Attività di sensibilizzazione e consulenza da parte delle autorità di protezione dei dati Diverse autorità di protezione dei dati hanno creato strumenti nuovi, quali linee telefoniche di assistenza dedicate alle persone fisiche e alle imprese nonché strumentari per le imprese. Numerosi operatori accolgono con favore il pragmatismo dimostrato da tali autorità nel fornire assistenza nell'applicazione del regolamento generale sulla protezione dei dati. In particolare numerose di tali autorità hanno collaborato e comunicato attivamente e strettamente con i responsabili della protezione dei dati, anche attraverso associazioni di responsabili della protezione dei dati. Numerose autorità hanno inoltre pubblicato orientamenti riguardanti il ruolo e gli obblighi dei responsabili della protezione dei dati a sostegno di questi ultimi durante le loro attività quotidiane e hanno organizzato seminari specificamente concepiti per loro. Tuttavia ciò non vale per tutte le autorità di protezione dei dati. I riscontri ricevuti dalle parti interessate richiamano l'attenzione anche su una serie di questioni riguardanti gli orientamenti e la consulenza: ·la mancanza di un approccio e di orientamenti coerenti tra le autorità nazionali di protezione dei dati su talune questioni (ad esempio in materia di cookie, applicazione dell'interesse legittimo, notifiche di violazioni dei dati o valutazioni d'impatto sulla protezione dei dati) o anche tra autorità di protezione dei dati all'interno di uno stesso Stato membro (ad esempio in Germania sui concetti di titolare del trattamento e responsabile del trattamento); ·l'incoerenza degli orientamenti adottati a livello nazionale rispetto a quelli adottati dal comitato; ·l'assenza di consultazioni pubbliche su determinati orientamenti adottati a livello nazionale; ·livelli diversi di coinvolgimento con le parti interessate tra le autorità di protezione dei dati; ·ritardi nella ricezione di risposte a richieste di informazioni; ·difficoltà nell'ottenere una consulenza pratica e preziosa da parte delle autorità di protezione dei dati; ·la necessità di aumentare il livello delle competenze settoriali presso talune autorità di protezione dei dati (ad esempio nel settore sanitario e in quello farmaceutico). Numerose di queste questioni sono legate anche alla mancanza di risorse presso diverse autorità di protezione dei dati (cfr. in appresso). Prassi divergenti per quanto concerne la notifica di violazioni dei dati Sebbene il comitato sottolinei l'onere causato da tali notifiche, vi sono notevoli discrepanze nelle notifiche tra gli Stati membri: sebbene da maggio 2018 a fine novembre 2019 nella maggior parte degli Stati membri il numero totale di notifiche di violazioni dei dati sia stato inferiore a 2 000 e in 7 Stati membri compreso tra il 2 000 e 10 000, le autorità di protezione dei dati di Paesi Bassi e Germania hanno riferito rispettivamente 37 400 e 45 600 notifiche. Ciò potrebbe indicare una mancanza di coerenza nell'interpretazione e nell'attuazione, nonostante l'esistenza di orientamenti a livello UE in materia di notifiche delle violazioni dei dati.

Orientamenti del comitato europeo per la protezione dei dati Ad oggi il comitato ha adottato più di 20 orientamenti riguardanti aspetti fondamentali del regolamento generale sulla protezione dei dati. Gli orientamenti costituiscono uno strumento essenziale per un'applicazione coerente del regolamento generale sulla protezione dei dati e sono stati pertanto accolti in larga misura con favore dalle parti interessate. Le parti interessate hanno apprezzato la consultazione pubblica sistematica (da 6 a 8 settimane), chiedono tuttavia un dialogo più intenso con il comitato. In tale contesto la pratica di organizzare seminari su temi mirati prima di redigere orientamenti dovrebbe essere proseguita e ampliata per garantire la trasparenza, l'inclusività e la pertinenza dei lavori del comitato. Le parti interessate chiedono inoltre che l'interpretazione delle questioni più controverse sia affrontata negli orientamenti, dal momento che sono oggetto di una consultazione pubblica, e non nel contesto di pareri di cui all'articolo 64, paragrafo 2, del regolamento generale sulla protezione dei dati. Talune parti interessate chiedono inoltre orientamenti più pratici che specifichino l'applicazione di concetti e disposizioni del regolamento generale sulla protezione dei dati. I membri del gruppo multilaterale sottolineano la necessità di fornire esempi più concreti in maniera da ridurre il più possibile le interpretazioni divergenti tra autorità di protezione dei dati. Allo stesso tempo, le richieste di chiarimenti in merito alle modalità di applicazione del regolamento generale sulla protezione dei dati e di fornitura di certezza giuridica non dovrebbero comportare prescrizioni aggiuntive o ridurre i vantaggi dell'approccio basato sul rischio e del principio di responsabilizzazione. I temi sui quali le parti interessate auspicano ulteriori orientamenti del comitato comprendono: la portata dei diritti degli interessati (anche nei rapporti di lavoro); aggiornamenti in merito al parere sul trattamento basato sull'interesse legittimo; i concetti di titolare del trattamento, contitolari del trattamento e responsabile del trattamento nonché gli accordi necessari tra le parti; l'applicazione del regolamento generale sulla protezione dei dati alle nuove tecnologie (quali la blockchain e l'intelligenza artificiale); il trattamento nel contesto della ricerca scientifica (anche in relazione alla collaborazione internazionale); il trattamento di dati relativi a minori; la pseudonimizzazione e l'anonimizzazione; nonché il trattamento di dati relativi alla salute. Il comitato ha già riferito che pubblicherà orientamenti su numerosi di questi temi e che i lavori sono già stati avviati in relazione a numerosi di essi (ad esempio sull'applicazione dell'interesse legittimo come base giuridica per il trattamento). Le parti interessate chiedono al comitato di aggiornare e rivedere gli orientamenti esistenti, se del caso, tenendo conto dell'esperienza acquisita dalla loro pubblicazione e cogliendo l'opportunità per approfondirli se necessario. 2.4Risorse delle autorità di protezione dei dati Fornire a ciascuna autorità di protezione dei dati le risorse umane, tecniche e finanziarie, nonché i locali e le infrastrutture necessari costituisce un presupposto per l'efficace svolgimento dei loro compiti e l'esercizio dei loro poteri e rappresenta di conseguenza una condizione essenziale per la loro indipendenza. La maggior parte delle autorità di protezione dei dati ha beneficiato di un aumento del personale e delle risorse dall'entrata in vigore del regolamento generale sulla protezione dei dati nel 2016. Tuttavia numerose di esse segnalano ancora di non disporre di risorse sufficienti. Numero di membri del personale che lavorano per le autorità nazionali di protezione dei dati Tra il 2016 e il 2019 il numero totale di dipendenti delle autorità di protezione dei dati del SEE considerate congiuntamente è aumentato del 42 % (del 62 % se si considerano le previsioni del 2020). Il numero di membri del personale è aumentato nella maggior parte delle autorità durante questo periodo e il maggior incremento (in percentuale) è stato registrato per le autorità di Irlanda (+ 169 %), Paesi Bassi (+ 145 %), Islanda (+ 143 %), Lussemburgo (+ 126 %) e Finlandia (+ 114 %). Al contrario il personale è diminuito presso diverse autorità di protezione dei dati e le diminuzioni più marcate sono state osservate in Grecia (- 15 %), Bulgaria (- 14 %), Estonia (- 11 %), Lettonia (- 10 %) e Lituania (- 8 %). Presso talune autorità la diminuzione del personale è dovuta anche al fatto che gli esperti in materia di protezione dei dati hanno lasciato le autorità preferendo il settore privato che offre loro condizioni più interessanti. In generale le previsioni per il 2020 prevedono un aumento del personale rispetto al 2019, fatta eccezione per le autorità di Austria, Bulgaria, Italia, Svezia e Islanda (presso le quali il personale dovrebbe rimanere stabile), Cipro e Danimarca (presso le quali è prevista una riduzione del personale). Le autorità di protezione dei dati tedesche presentano congiuntamente il numero più elevato di membri del personale (888 nel 2019/previsione di 1002 nel 2020), seguite dalle autorità di protezione dei dati in Polonia (238/260), Francia (215/225), Spagna (170/220), Paesi Bassi (179/188), Italia (170/170) e Irlanda (140/176). Le autorità di protezione dei dati con il minor numero di membri del personale sono quelle di Cipro (24/22), Lettonia (19/31), Islanda (17/17), Estonia (16/18) e Malta (13/15). Bilancio delle autorità nazionali di protezione dei dati Tra il 2016 e il 2019 il bilancio totale delle autorità di protezione dei dati del SEE considerate congiuntamente è aumentato del 49 % (del 64 % se si considerano le previsioni del 2020). Il bilancio della maggior parte delle autorità è aumentato durante questo periodo, facendo registrare il maggior incremento (in percentuale) per le autorità di Irlanda (+ 223 %), Islanda (+ 167 %), Lussemburgo (+ 165 %), Paesi Bassi (+ 130 %) e Cipro (+ 114 %). Al contrario alcune autorità hanno registrato soltanto un lieve aumento del bilancio e tra di esse gli aumenti di entità minore sono stati registrati per le autorità di protezione dei dati di Estonia (7 %), Lettonia (4 %), Romania (3 %) e Belgio (1 %), mentre in Francia l'autorità ha registrato una diminuzione (- 2 %). In generale le previsioni per il 2020 prevedono un aumento del bilancio rispetto al 2019, fatta eccezione per le autorità di Austria, Bulgaria, Estonia e Paesi Bassi (i cui bilanci dovrebbero rimanere stabili). Le autorità di protezione dei dati che presentano il bilancio più elevato sono quelle di Germania (76,6 milioni di EUR nel 2019/85,8 milioni di EUR nelle previsioni per il 2020), Italia (29,1/30,1), Paesi Bassi (18,6/18,6), Francia (18,5/20,1) e Irlanda (15,2/16,9).

Le autorità con il bilancio più basso sono quelle di Croazia (1,2 milioni di EUR nel 2019/1,4 milioni di EUR nel 2020), Romania (1,1/1,3), Lettonia (0,6/1,2), Cipro (0,5/0,5) e Malta (0,5/0,6). La tabella di cui all'allegato II fornisce una panoramica delle risorse umane e di bilancio delle autorità nazionali di protezione dei dati. Oltre a incidere sulla loro capacità di applicare le norme a livello nazionale, la mancanza di risorse limita anche la capacità delle autorità di protezione dei dati di partecipare e contribuire ai meccanismi di cooperazione e coerenza, nonché al lavoro svolto in seno al comitato. Come sottolineato dal comitato, il successo del meccanismo dello sportello unico dipende dal tempo e dallo sforzo che le autorità di protezione dei dati possono dedicare al trattamento e alla cooperazione di singoli casi transfrontalieri. La questione delle risorse è aggravata dal maggiore ruolo svolto dalle autorità nel controllo di sistemi informatici su larga scala attualmente in fase di sviluppo. Le autorità di protezione dei dati in Irlanda e Lussemburgo necessitano altresì di risorse specifiche, dato il loro ruolo di autorità capofila per l'applicazione del regolamento generale sulla protezione dei dati nei confronti di imprese tecnologiche di grandi dimensioni ubicate principalmente in tali Stati membri. Sebbene il comitato menzioni l'impatto del meccanismo di cooperazione e le sue scadenze per quanto concerne il lavoro delle autorità di protezione dei dati, il regolamento generale sulla protezione dei dati impone agli Stati membri di fornire alle autorità nazionali di protezione dei dati risorse umane, finanziarie e tecniche adeguate. La segreteria del comitato, fornita dal garante europeo della protezione dei dati, è attualmente composta da 20 persone, tra cui esperti giuridici, informatici e di comunicazione. Occorre valutare se tale dato debba evolvere in futuro alla luce dell'effettivo adempimento della sua funzione di sostegno analitico, amministrativo e logistico al comitato e ai suoi sottogruppi, anche attraverso la gestione del sistema di scambio di informazioni. 3Norme armonizzate, tuttavia persiste un certo grado di frammentazione e approcci divergenti Il regolamento generale sulla protezione dei dati definisce un approccio coerente alle norme in materia di protezione dei dati in tutta l'UE, che sostituisce i diversi regimi nazionali esistenti ai sensi della direttiva del 1995 sulla protezione dei dati. 3.1Attuazione del regolamento generale sulla protezione dei dati da parte degli Stati membri Il regolamento generale sulla protezione dei dati è direttamente applicabile in tutti gli Stati membri dal 25 maggio 2018. Ha imposto agli Stati membri di legiferare in particolare per istituire autorità nazionali di protezione dei dati e definire le condizioni generali per i loro membri, al fine di garantire che ciascuna autorità agisca in maniera pienamente indipendente nello svolgimento dei suoi compiti e nell'esercizio dei suoi poteri conformemente al regolamento generale sulla protezione dei dati. Gli obblighi giuridici e i compiti pubblici possono costituire una base giuridica per il trattamento di dati personali soltanto se sono previsti dal diritto (dell'Unione o) nazionale. Inoltre gli Stati membri devono stabilire norme in materia di sanzioni, in particolare per le violazioni non soggette a sanzioni amministrative pecuniarie e devono conciliare il diritto alla protezione dei dati personali con il diritto alla libertà di espressione e di informazione. Il diritto nazionale può oltre prevedere una base giuridica per l'esenzione dal divieto generale di trattare categorie speciali di dati personali ad esempio per motivi di interesse pubblico rilevante nel settore della sanità pubblica, compresa la protezione da gravi minacce per la salute a carattere transfrontaliero. Inoltre gli Stati membri devono garantire l'accreditamento degli organismi di certificazione. La Commissione sta monitorando l'attuazione del regolamento generale sulla protezione dei dati nella legislazione nazionale. Al momento della stesura della presente relazione, tutti gli Stati membri fatta eccezione per la Slovenia, hanno adottato una nuova legislazione in materia di protezione dei dati o hanno adattato la propria legislazione in questo settore. La Commissione ha pertanto chiesto alla Slovenia di fornire chiarimenti sui progressi compiuti finora e la ha esortata a portare a termine tale processo. Inoltre la conformità della normativa nazionale rispetto alle norme in materia di protezione dei dati per quanto riguarda l'acquis di Schengen è valutata anche nel contesto del meccanismo di valutazione Schengen coordinato dalla Commissione. La Commissione e gli Stati membri valutano congiuntamente le modalità con cui i paesi attuano e applicano l'acquis di Schengen in numerosi settori; per la protezione dei dati, ciò riguarda sistemi informatici di larga scala quali il sistema d'informazione Schengen e il sistema informativo Via e comprende il ruolo delle autorità di protezione dei dati nel controllo del trattamento di dati personali nel contesto di tali sistemi. I lavori per l'adeguamento delle normative settoriali sono ancora in corso a livello nazionale. In seguito all'integrazione del regolamento generale sulla protezione dei dati nell'accordo sullo Spazio economico europeo, la sua applicazione è stata estesa alla Norvegia, all'Islanda e al Liechtenstein. Anche tali paesi hanno adottato le proprie normative nazionali in materia di protezione dei dati. La Commissione utilizzerà tutti gli strumenti a sua disposizione, comprese le procedure di infrazione, per garantire che gli Stati membri rispettino il regolamento generale sulla protezione dei dati. Principali questioni relative all'attuazione nazionale Le principali questioni individuate finora nel quadro della valutazione in corso della legislazione nazionale e degli scambi bilaterali con gli Stati membri comprendono: ·restrizioni all'applicazione del regolamento generale sulla protezione dei dati: taluni Stati membri escludono ad esempio del tutto le attività del parlamento nazionale; ·differenze nell'applicabilità delle normative nazionali specifiche. Taluni Stati membri collegano l'applicabilità del loro diritto nazionale al luogo in cui i beni o i servizi sono offerti, altri al luogo di stabilimento del titolare del trattamento o del responsabile del trattamento. Ciò è in contrasto con l'obiettivo di armonizzazione perseguito dal regolamento generale sulla protezione dei dati; ·normative nazionali che sollevano interrogativi sulla proporzionalità dell'ingerenza nel diritto alla protezione dei dati. La Commissione ad esempio ha avviato una procedura di infrazione nei confronti di uno Stato membro che aveva adottato una normativa che imponeva ai giudici di divulgare informazioni specifiche sulle loro attività non professionali, una circostanza incompatibile con il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali; ·l'assenza di un organismo indipendente per il controllo del trattamento dei dati da parte degli organi giurisdizionali che agiscono nell'esercizio delle loro funzioni giurisdizionali;

·la legislazione in settori pienamente regolamentati dal regolamento generale sulla protezione dei dati al di là del margine per specificazioni o limitazioni. Si tratta, in particolare, del caso in cui le disposizioni nazionali stabiliscono condizioni per il trattamento sulla base di un interesse legittimo, prevedendo la definizione di un equilibrio tra i rispettivi interessi del titolare del trattamento e delle persone fisiche interessate, mentre il regolamento generale sulla protezione dei dati impone a ciascun titolare del trattamento di definire tale equilibrio caso per caso e di avvalersi di tale base giuridica; ·specifiche e prescrizioni aggiuntive che vanno al di là del trattamento per il rispetto di un obbligo giuridico o dell'adempimento di una funzione pubblica (ad esempio per la videosorveglianza nel settore privato o per il marketing diretto); nonché per i concetti utilizzati nel regolamento generale sulla protezione dei dati (ad esempio "su larga scala" o "cancellazione"). Talune di queste questioni possono essere chiarite dalla Corte di giustizia in casi ancora pendenti. Conciliazione del diritto alla protezione dei dati personali con la libertà di espressione e di informazione Una questione specifica riguarda l'attuazione dell'obbligo per gli Stati membri di conciliare, per legge, il diritto alla protezione dei dati personali con la libertà di espressione e di informazione. La questione è molto complessa in quanto una valutazione dell'equilibrio tra tali diritti fondamentali deve tenere conto anche delle disposizioni e delle garanzie previste dalla normativa in materia di stampa e mezzi d'informazione. La valutazione della legislazione degli Stati membri mostra approcci diversi alla conciliazione del diritto alla protezione dei dati personali con quello alla libertà di espressione e di informazione: ·taluni Stati membri stabiliscono il principio del primato della libertà di espressione o esentano in linea di principio dall'applicazione di interi capi di cui all'articolo 85, paragrafo 2, del regolamento generale sulla protezione dei dati in caso di trattamento per finalità giornalistiche e di espressione accademica, artistica e letteraria. In una certa misura la normativa sui media prevede alcune garanzie per quanto riguarda i diritti degli interessati; ·taluni Stati membri stabiliscono il principio della priorità della libertà di espressione, mentre altre stabiliscono quella della protezione dei dati personali ed esentano dall'applicazione delle norme in materia di protezione dei dati soltanto in situazioni specifiche, come nel caso in cui si tratti di un soggetto pubblico; ·altri Stati membri prevedono un certo equilibrio da parte del legislatore e/o una valutazione caso per caso per quanto riguarda le deroghe a talune disposizioni del regolamento generale sulla protezione dei dati. La Commissione proseguirà la propria valutazione della legislazione nazionale sulla base delle prescrizioni di cui alla Carta. La conciliazione deve essere prevista dalla legge, rispettare il contenuto essenziale di tali diritti fondamentali ed essere proporzionata e necessaria (articolo 52, paragrafo 1, della Carta). Le norme in materia di protezione dei dati non dovrebbero pregiudicare l'esercizio della libertà di espressione e di informazione, in particolare creando un effetto dissuasivo o essendo interpretate come un modo per esercitare pressioni sui giornalisti affinché divulghino le loro fonti.

3.2Clausole di specificazione facoltative e loro limiti Il regolamento generale sulla protezione dei dati lascia agli Stati membri la possibilità di specificare ulteriormente la sua applicazione in un numero limitato di settori. Tale margine per la legislazione nazionale deve essere distinto dall'obbligo di attuare talune altre disposizioni del regolamento generale sulla protezione dei dati di cui sopra. Le clausole di specificazione facoltative sono elencate nell'allegato I. I margini per il diritto degli Stati membri sono soggetti alle condizioni e ai limiti stabiliti dal regolamento generale sulla protezione dei dati e non consentono un regime nazionale parallelo di protezione dei dati. Gli Stati membri sono tenuti a modificare o abrogare le leggi nazionali in materia di protezione dei dati, compresa la legislazione settoriale contenente aspetti relativi alla protezione dei dati. Inoltre il diritto nazionale degli Stati membri in materia non deve includere disposizioni che potrebbero creare confusione per quanto riguarda l'applicazione diretta del regolamento generale sulla protezione dei dati. Di conseguenza laddove il regolamento generale sulla protezione dei dati preveda specificazioni o limitazioni delle sue norme ad opera del diritto degli Stati membri, questi ultimi possono integrare nel loro diritto nazionale elementi di tale regolamento, nella misura necessaria a garantire la coerenza e rendere le disposizioni nazionali comprensibili per le persone alle quali esse si applicano. Le parti interessate ritengono che gli Stati membri dovrebbero ridurre o astenersi dall'utilizzare clausole di specificazione facoltative, in quanto non contribuiscono all'armonizzazione. Le divergenze nazionali nell'attuazione delle normative e nella loro interpretazione da parte delle autorità di protezione dei dati aumentano notevolmente il costo della conformità giuridica in tutta l'UE. Frammentazione legata all'uso di clausole di specificazione facoltative ·Limiti di età per il consenso da parte di minori per servizi della società dell'informazione Taluni Stati membri si sono avvalsi della possibilità di prevedere un'età inferiore a 16 anni per il consenso in relazione ai servizi della società dell'informazione (articolo 8, paragrafo 1, del regolamento generale sulla protezione dei dati). Mentre nove Stati membri applicano il limite di 16 anni, otto Stati membri hanno optato per 13 anni, sei per 14 anni e tre per 15 anni. Di conseguenza un'impresa che fornisce servizi della società dell'informazione a minori in tutta l'UE deve distinguere tra i limiti di età dei potenziali utenti, a seconda dello Stato membro in cui risiedono. Ciò è in contrasto con l'obiettivo fondamentale del regolamento generale sulla protezione dei dati di garantire un livello omogeneo di protezione alle persone fisiche e di opportunità commerciali in tutti gli Stati membri.

Tali differenze determinano situazioni nelle quali lo Stato membro in cui è stabilito il titolare del trattamento prevede un limite di età diverso dagli Stati membri nei quali risiedono gli interessati.



·Salute e ricerca Nell'applicare deroghe al divieto generale di trattare categorie particolari di dati personali, la legislazione degli Stati membri segue approcci diversi per quanto concerne il livello di specificazione e le garanzie, anche per finalità sanitarie e di ricerca. La maggior parte degli Stati membri ha introdotto o mantenuto ulteriori condizioni per il trattamento di dati genetici, biometrici o relativi alla salute. Ciò è vero anche per le deroghe relative ai diritti degli interessati per finalità di ricerca, per quanto concerne tanto la portata delle deroghe quanto le relative garanzie. Gli orientamenti futuri del comitato sull'uso dei dati personali nel settore della ricerca scientifica contribuiranno a un approccio armonizzato in tale contesto. La Commissione fornirà un contributo al comitato, in particolare per quanto concerne la ricerca sanitaria, anche sotto forma di domande concrete e analisi di scenari effettivi che le sono pervenute dalla comunità scientifica. Sarebbe utile che tali orientamenti possano essere adottati prima dell'avvio del programma quadro Orizzonte Europa al fine di armonizzare le pratiche di protezione dei dati e facilitare la condivisione dei dati in merito ai progressi della ricerca. Anche orientamenti del comitato in merito al trattamento di dati personali nel settore della salute potrebbero essere utili. Il regolamento generale sulla protezione dei dati prevede un quadro solido per la legislazione nazionale nel settore della sanità pubblica e include esplicitamente le minacce sanitarie transfrontaliere e il controllo delle epidemie e della loro diffusione, un aspetto rilevante nel contesto della lotta contro la pandemia di Covid-19. A livello UE, l'8 aprile 2020 la Commissione ha adottato una raccomandazione relativa a un insieme di strumenti per l'uso di tecnologia e dati in questo contesto, comprese le applicazioni mobili e l'uso di dati di mobilità resi anonimi, mentre il 16 aprile 2020 ha pubblicato orientamenti sulle app a sostegno della lotta alla pandemia di Covid-19 relativamente alla protezione dei dati. Il comitato ha pubblicato una dichiarazione sul trattamento di dati in tale contesto il 19 marzo 2020, seguita il 21 aprile 2020 da linee guida sul trattamento di dati per finalità di ricerca e sull'uso dei dati di localizzazione e degli strumenti per il tracciamento dei contatti in tale contesto. Tali raccomandazioni e linee guida chiariscono in che modo i principi e le norme in materia di protezione dei dati personali si applicano nel contesto della lotta alla pandemia. ·Limitazioni di ampia portata dei diritti dell'interessato La maggior parte delle normative nazionali in materia di protezione dei dati che limitano i diritti degli interessati non specificano gli obiettivi di interesse pubblico generale tutelati da tali limitazioni e/o non soddisfano in misura sufficiente le condizioni e le garanzie richieste dall'articolo 23, paragrafo 2, del regolamento generale sulla protezione dei dati. Diversi Stati membri non lasciano spazio per la verifica della proporzionalità o estendono le limitazioni persino oltre l'ambito di applicazione dell'articolo 23, paragrafo 1, del regolamento generale sulla protezione dei dati. Talune normative nazionali negano il diritto di accesso per motivi di sforzo sproporzionato da parte del titolare del trattamento per dati personali conservati sulla base di un obbligo di conservazione o connessi allo svolgimento di compiti di servizio pubblico senza circoscrivere tale limitazione agli obiettivi di interesse pubblico generale. ·Prescrizioni aggiuntive per le imprese Sebbene l'obbligo di disporre di un responsabile della protezione dei dati si basi sull'approccio basato sul rischio, uno Stato membro lo ha esteso sulla base di criteri quantitativi, obbligando le imprese che hanno 20 o più dipendenti, coinvolte in maniera permanente nel trattamento automatizzato di dati personali, a designare tale figura, indipendentemente dai rischi connessi alle attività di trattamento. Ciò ha determinato oneri aggiuntivi. 4Dare alle persone gli strumenti d'azione per controllare i propri dati Il regolamento generale sulla protezione dei dati rende efficaci i diritti fondamentali, in particolare il diritto alla protezione dei dati personali, ma anche gli altri diritti fondamentali riconosciuti dalla Carta, tra i quali il rispetto della vita privata e della vita familiare, la libertà di espressione e di informazione, la non discriminazione, la libertà di pensiero, di coscienza e di religione, nonché la libertà d'impresa e il diritto a un ricorso effettivo. Tali diritti devono essere esercitati in maniera equilibrata tra loro conformemente al principio della proporzionalità. Il regolamento generale sulla protezione dei dati fornisce alle persone fisiche diritti azionabili, quali il diritto di accesso, rettifica, cancellazione, opposizione, portabilità e maggiore trasparenza; conferisce altresì alle persone fisiche il diritto di proporre reclamo presso un'autorità di protezione dei dati, anche mediante azioni rappresentative, e il diritto al ricorso giurisdizionale. Le persone fisiche sono sempre più consapevoli dei loro diritti, come dimostrato dai risultati dell'Eurobarometro del luglio 2019 e dall'indagine condotta dall'Agenzia dell'Unione europea per i diritti fondamentali. Secondo l'indagine sui diritti fondamentali condotta dall'Agenzia dell'Unione europea per i diritti fondamentali: ·il 69 % della popolazione di età pari o superiore a 16 anni nell'UE ha sentito parlare del regolamento generale sulla protezione dei dati; ·il 71 % dei partecipanti nell'UE ha sentito parlare della propria autorità nazionale di protezione dei dati; tale dato varia dal 90 % della Repubblica ceca al 44 % del Belgio; ·il 60 % dei partecipanti nell'UE è a conoscenza di una legge che consente loro di accedere ai propri dati personali detenuti dalla pubblica amministrazione; tale percentuale scende tuttavia al 51 % per le imprese private; ·più di un partecipante su cinque (23 %) nell'UE non vuole condividere dati personali (quali indirizzo, cittadinanza o data di nascita) con la pubblica amministrazione, mentre il 41 % non vuole condividere tali dati con imprese private.

Le persone fisiche esercitano sempre più spesso il loro diritto di proporre reclamo presso le autorità di protezione dei dati, individualmente o tramite azioni rappresentative. Soltanto alcuni Stati membri hanno consentito alle organizzazioni non governative di avviare azioni senza un mandato, in linea con la possibilità prevista dal regolamento generale sulla protezione dei dati. Una volta adottata, la proposta di direttiva sulle azioni rappresentative a tutela degli interessi collettivi dei consumatori dovrebbe rafforzare il quadro per le azioni rappresentative anche nel settore della protezione dei dati. Reclami Il numero totale di reclami promossi tra il mese di maggio del 2018 e la fine di novembre del 2019, come riferito dal comitato, si attesta a circa 275 000. Tuttavia tale dato va considerato con molta cautela, dato che la definizione di reclamo non coincide esattamente tra le autorità. Il numero assoluto di reclami ricevuti dalle autorità di protezione dei dati è molto diverso da uno Stato membro all'altro. I numeri più elevati di reclami sono stati registrati in Germania (67 000), nei Paesi Bassi (37 000), in Spagna e in Francia (18 000 ciascuno), in Italia (14 000), in Polonia e in Irlanda (12 000 ciascuno). Due terzi delle autorità hanno segnalato un numero di reclami compreso tra 8 000 e 600. I numeri più bassi di reclami sono stati registrati in Estonia e in Belgio (circa 500), a Malta e in Islanda (meno di 200 ciascuno). Il numero di reclami non è necessariamente correlato alle dimensioni della popolazione o al PIL, ad esempio in Germania è stato registrato un numero di reclami pari a quasi il doppio di quello nei Paesi Bassi e a quasi il quadruplo rispetto a Spagna e Francia. Dal riscontro ricevuto dal gruppo multilaterale emerge che le organizzazioni hanno messo in atto una serie di misure volte a facilitare l'esercizio dei diritti degli interessati, compresi processi di attuazione che garantiscono il riesame individuale delle richieste e una risposta da parte del titolare del trattamento, l'uso di canali diversi (posta, indirizzo di posta elettronica dedicato, sito web, ecc.), politiche e procedure interne aggiornate in materia di trattamento interno tempestivo delle richieste nonché la formazione del personale. Talune imprese hanno messo in atto portali digitali accessibili tramite il sito web dell'impresa (o l'intranet aziendale per i dipendenti) per facilitare l'esercizio dei diritti da parte degli interessati. Sono necessari tuttavia ulteriori progressi in merito ai seguenti aspetti: ·non tutti i titolari del trattamento sono tenuti a rispettare l'obbligo di agevolare l'esercizio dei diritti degli interessati. Devono garantire che gli interessati dispongano di un punto di contatto efficace cui possano spiegare i loro problemi. Può trattarsi del responsabile della protezione dei dati, i cui recapiti devono essere forniti proattivamente all'interessato. Le modalità di contatto non devono limitarsi alla posta elettronica, ma devono consentire all'interessato altresì di rivolgersi al titolare del trattamento con altri mezzi; ·le persone fisiche che chiedono di accedere ai loro dati continuano a incontrare difficoltà, ad esempio nel caso di piattaforme, intermediari di dati e imprese di tecnologie pubblicitarie; ·il diritto alla portabilità dei dati non viene sfruttato appieno. La strategia europea per la protezione dei dati (in appresso "la strategia in materia di dati"), adottata dalla Commissione il 19 febbraio 2020, ha sottolineato la necessità di agevolare tutti gli usi possibili di tale diritto [ad esempio mediante l'obbligo di installare interfacce tecniche e formati leggibili da un dispositivo automatico in maniera da consentire la portabilità dei dati (pressoché) in tempo quasi reale]. Gli operatori osservano che talvolta vi sono difficoltà nel fornire i dati in un formato strutturato, di uso comune e leggibile da un dispositivo automatico (a causa della mancanza di standard). Soltanto le organizzazioni di settori specifici, quali quello bancario, delle telecomunicazioni, dei contatori per l'acqua e il riscaldamento, segnalano di aver messo in atto le interfacce necessarie. Sono stati sviluppati nuovi strumenti tecnologici per facilitare l'esercizio, da parte delle persone fisiche, dei loro diritti ai sensi del regolamento generale sulla protezione dei dati, non limitato alla portabilità dei dati (ad esempio spazi per la conservazione di dati personali e servizi di gestione di informazioni personali); ·diritti dei minori: numerosi membri del gruppo multilaterale sottolineano la necessità di fornire informazioni ai minori e il fatto che numerose organizzazioni ignorano che i minori possono subire ripercussioni dal trattamento dei dati che li riguardano. Il Consiglio ha sottolineato che si potrebbe prestare particolare attenzione alla protezione dei minori in sede di elaborazione dei codici di condotta. La protezione dei minori è altresì una priorità delle autorità di protezione dei dati; ·diritto all'informazione: talune imprese hanno adottato un approccio molto legalistico, considerando un esercizio giuridico le notifiche in materia di protezione dei dati, fornendo informazioni piuttosto complesse, difficili da comprendere o incomplete, mentre il regolamento generale sulla protezione dei dati impone che le informazioni siano concise e impieghino un linguaggio semplice e chiaro. Sembra che talune imprese non seguano le raccomandazioni del comitato, ad esempio per quanto riguarda l'elenco dei nomi delle entità con le quali condividono i dati; ·diversi Stati membri hanno limitato ampiamente i diritti degli interessati attraverso il diritto nazionale e per taluni si sono spinti persino oltre i margini di cui all'articolo 23 del regolamento generale sulla protezione dei dati; ·l'esercizio dei diritti delle persone fisiche è talvolta ostacolato dalle pratiche di pochi attori digitali importanti che rendono difficile a tali persone scegliere le impostazioni che tutelano maggiormente la loro vita privata (in violazione della prescrizione della protezione dei dati fin dalla progettazione e per impostazione predefinita). Le parti interessate attendono con impazienza orientamenti del comitato sui diritti degli interessati. 5Opportunità e sfide per le organizzazioni, in particolare per le piccole e medie imprese Opportunità per le organizzazioni Il regolamento generale sulla protezione dei dati promuove la concorrenza e l'innovazione. Unitamente al regolamento sulla libera circolazione dei dati non personali, il regolamento generale sulla protezione dei dati garantisce la libera circolazione dei dati all'interno dell'UE e crea parità di condizioni rispetto alle imprese non stabilite nell'UE. Creando un quadro armonizzato per la protezione dei dati personali, il regolamento generale sulla protezione dei dati garantisce che tutti gli attori del mercato interno siano vincolati dalle medesime norme e beneficino delle medesime opportunità, indipendentemente dal fatto che abbiano uno stabilimento e indipendentemente dal luogo in cui avviene il trattamento. La neutralità tecnologica del regolamento generale sulla protezione dei dati fornisce il quadro per la protezione dei dati per quanto concerne i nuovi sviluppi tecnologici. I principi della protezione dei dati fin dalla progettazione e per impostazione predefinita incentivano soluzioni innovative che comprendono fin dall'inizio considerazioni concernenti la protezione dei dati e possono ridurre i costi del rispetto delle norme in tale contesto. Inoltre la tutela della vita privata diventa un importante parametro competitivo che le persone fisiche tengono sempre più in considerazione nella scelta dei loro servizi. Coloro che sono più informati e sensibili alle considerazioni in materia di protezione dei dati cercano prodotti e servizi che garantiscono un'efficace protezione dei dati personali. L'attuazione del diritto alla portabilità dei dati può ridurre gli ostacoli all'ingresso per le imprese che offrono servizi innovativi e rispettosi della protezione dei dati. Occorre monitorare gli effetti di un uso potenzialmente più ampio di tale diritto sul mercato in diversi settori. Il rispetto delle norme in materia di protezione dei dati e la loro applicazione trasparente creeranno fiducia nell'utilizzo dei dati personali delle persone e quindi nuove opportunità per le imprese. Come tutti i regolamenti, le norme in materia di protezione dei dati comportano costi di conformità intrinseci per le imprese. Le opportunità e i vantaggi di una maggiore fiducia nell'innovazione digitale e i benefici sociali derivanti dal rispetto di un diritto fondamentale superano tuttavia tali costi. Garantendo parità di condizioni e dotando le autorità di protezione degli strumenti dei quali necessitano per applicare le norme in maniera efficace, il regolamento generale sulla protezione dei dati impedisce alle imprese non conformi di trarre profitto dalla fiducia sviluppata da coloro che rispettano le norme. Sfide specifiche per le piccole e medie imprese (PMI)

Le parti interessate, ma anche il Parlamento europeo, il Consiglio e le autorità di protezione dei dati, condividono una percezione generale secondo la quale l'applicazione del regolamento generale sulla protezione dei dati è particolarmente complicata in particolare per le microimprese, le piccole e medie imprese e le piccole organizzazioni di volontariato e di beneficenza. Secondo l'approccio basato sul rischio, non sarebbe opportuno prevedere deroghe in base alle dimensioni degli operatori, poiché le loro dimensioni non costituiscono di per sé un'indicazione dei rischi che il trattamento dei dati personali che essi intraprendono possa comportare per le persone fisiche. L'approccio basato sul rischio associa la flessibilità a una protezione efficace. Tiene conto delle esigenze delle PMI per le quali il trattamento dei dati non costituisce la loro attività principale e ne calibra gli obblighi in particolare in base alla probabilità e alla gravità dei rischi connessi allo specifico trattamento da loro svolto. I trattamenti di piccole dimensioni e a basso rischio non dovrebbero essere trattati allo stesso modo dei trattamenti ad alto rischio e svolti di frequente, indipendentemente dalle dimensioni dell'impresa che li effettua. Di conseguenza, come concluso dal comitato, "in ogni caso, l'approccio basato sul rischio promosso dal legislatore nel testo dovrebbe essere mantenuto, dato che i rischi per gli interessati non dipendono dalle dimensioni dei titolari del trattamento". Le autorità di protezione dei dati dovrebbero tenere pienamente conto di tale principio in sede di applicazione del regolamento generale sulla protezione dei dati, preferibilmente nell'ambito di un approccio europeo comune, al fine di non creare ostacoli al mercato unico. Le autorità di protezione dei dati hanno sviluppato diversi strumenti e hanno sottolineato la loro intenzione di migliorarli ulteriormente. Talune autorità hanno avviato campagne di sensibilizzazione e organizzano persino eventi di formazione sul regolamento generale sulla protezione dei dati rivolti alle PMI. Esempi di orientamenti e strumenti forniti dalle autorità di protezione dei dati in particolare a favore delle PMI ·pubblicazione di informazioni rivolte alle PMI; ·seminari per i responsabili della protezione dei dati ed eventi rivolti alle PMI che non sono tenute a designare un responsabile della protezione dei dati; ·guide interattive per fornire assistenza alle PMI; ·linee telefoniche dirette per consultazioni; ·modelli di contratti per il trattamento e registri dei trattamenti. Una descrizione delle attività svolte dalle autorità di protezione dei dati è presentata nel contributo del comitato. Numerose delle azioni che sostengono in maniera specifica le PMI hanno ricevuto finanziamenti dell'UE. La Commissione ha fornito sostegno finanziario attraverso tre ondate di sovvenzioni, per un importo totale di 5 milioni di EUR, nel contesto delle quali le due più recenti sono state specificamente destinate a sostenere le autorità nazionali di protezione dei dati nei loro sforzi per raggiungere le persone fisiche e le PMI. Di conseguenza, nel 2018, sono stati assegnati 2 milioni di EUR a nove autorità di protezione dei dati per attività da svolgere nel periodo 2018-2019 (Belgio, Bulgaria, Danimarca, Ungheria, Lituania, Lettonia, Paesi Bassi, Slovenia e Islanda); mentre nel 2019 è stato assegnato 1 milione di EUR a quattro autorità di protezione dei dati per attività da svolgere nel 2020 (Belgio, Malta, Slovenia e Croazia in collaborazione con l'Irlanda) . Nel 2020 sarà stanziato un ulteriore milione di EUR. Nonostante queste iniziative, le PMI e le start-up segnalano spesso di incontrare difficoltà in relazione all'attuazione del principio di responsabilizzazione previsto dal regolamento generale sulla protezione dei dati. Tali soggetti riferiscono in particolare di non ottenere sempre orientamenti e consulenza pratici sufficienti da parte delle autorità nazionali di protezione dei dati o che i tempi necessari per ottenere tali orientamenti e tale consulenza sono troppo lunghi. Vi sono stati anche casi nei quali le autorità si sono dimostrate restie a farsi coinvolgere in merito a questioni giuridiche. Di fronte a situazioni di questo tipo, spesso le PMI si rivolgono a consulenti e avvocati esterni per gestire l'attuazione del principio di responsabilizzazione e dell'approccio basato sul rischio (nonché delle prescrizioni in materia di trasparenza, registri dei trattamenti e notifiche di violazioni dei dati). Ciò può altresì comportare ulteriori costi per tali soggetti. Una questione specifica è costituita dai registri delle attività di trattamento, considerati dalle PMI e dalle piccole associazioni un onere amministrativo gravoso. L'esenzione da tale obbligo di cui all'articolo 30, paragrafo 5, del regolamento generale sulla protezione dei dati è in effetti molto limitata. Tuttavia gli sforzi corrispondenti per rispettare tale obbligo non dovrebbero essere sovrastimati. Laddove l'attività principale delle PMI non comporti il trattamento di dati personali, tali registri possono essere semplici e non gravosi. Lo stesso vale per le associazioni di volontariato e di altro tipo. Tali registri semplificati sarebbero facilitati da modelli di registri, come già avviene nella pratica per talune autorità di protezione dei dati. In ogni caso tutti coloro che trattano dati personali dovrebbero disporre di un quadro generale del loro trattamento dei dati come requisito di base per il principio di responsabilizzazione. Lo sviluppo di strumenti pratici a livello UE da parte del comitato, quali moduli armonizzati per le violazioni dei dati e registri semplificati delle attività di trattamento, possono aiutare le PMI e le piccole associazioni le cui attività principali non si concentrano sul trattamento di dati personali ad adempiere ai loro obblighi. Varie associazioni di categoria hanno compiuto sforzi per sensibilizzare e informare i propri membri ad esempio attraverso conferenze e seminari, fornendo alle imprese informazioni sugli orientamenti disponibili o sviluppando un servizio di assistenza in materia di protezione dei dati a favore dei loro membri. Tali associazioni segnalano altresì un numero crescente di seminari, riunioni ed eventi organizzati da gruppi di riflessione e associazioni di PMI su questioni relative al regolamento generale sulla protezione dei dati. Al fine di migliorare la libera circolazione di tutti i dati all'interno dell'UE e di istituire un'applicazione coerente del regolamento generale sulla protezione dei dati e il regolamento sulla libera circolazione dei dati non personali, la Commissione ha pubblicato altresì una guida pratica sulle norme che disciplinano il trattamento di serie miste di dati, composte da dati personali e non personali e rivolta in particolare alle PMI. Insieme di strumenti per le imprese Il regolamento generale sulla protezione dei dati prevede strumenti che contribuiscono a dimostrare la conformità, quali codici di condotta, meccanismi di certificazione e clausole contrattuali tipo.

·Codici di condotta Il comitato ha emanato linee guida volte a sostenere e agevolare i "titolari dei codici" nella redazione, nella modifica o nell'estensione di codici nonché a fornire orientamenti pratici e assistenza interpretativa. Tali linee guida chiariscono inoltre le procedure per la presentazione, l'approvazione e la pubblicazione dei codici a livello nazionale e UE stabilendo i criteri minimi richiesti. Le parti interessate ritengono che i codici di condotta siano strumenti decisamente utili. Sebbene a livello nazionale siano attuati numerosi codici, molti codici di condotta a livello UE sono attualmente in fase di preparazione (ad esempio in materia di applicazioni mobili per la salute, ricerca sanitaria nel settore della genomica, cloud computing, marketing diretto, assicurazione, trattamento da parte di servizi di prevenzione e consulenza rivolti a minori). Gli operatori ritengono che i codici di condotta a livello UE debbano essere promossi in maniera più evidente in quanto favoriscono un'applicazione coerente del regolamento generale sulla protezione dei dati in tutti gli Stati membri. Tuttavia i codici di condotta richiedono altresì tempo e investimenti da parte degli operatori tanto per il loro sviluppo quanto per la creazione degli organismi di controllo indipendenti richiesti. I rappresentanti delle PMI sottolineano l'importanza e l'utilità di codici di condotta adattati alla loro situazione e che non comportano costi sproporzionati. Di conseguenza le associazioni di numerosi settori hanno attuato altri tipi di strumenti di autoregolamentazione, quali codici di buone pratiche od orientamenti. Sebbene tali strumenti possano fornire informazioni utili, non beneficiano dell'approvazione da parte delle autorità di protezione dei dati e non possono fungere da strumento per contribuire a dimostrare la conformità rispetto al regolamento generale sulla protezione dei dati. Il Consiglio sottolinea che i codici di condotta devono prestare particolare attenzione al trattamento dei dati relativi a minori e dei dati sanitari. La Commissione sta sostenendo i codici di condotta destinati ad armonizzare l'approccio in materia di sanità e ricerca e a facilitare il trattamento transfrontaliero di dati personali. Il comitato sta per approvare un progetto di requisiti di accreditamento per i codici di condotta degli organismi di controllo, proposti da varie autorità di protezione dei dati. Quando i codici di condotta transnazionali o UE sono pronti per essere sottoposti all'approvazione da parte delle autorità di protezione dei dati, vengono sottoposti a consultazione da parte del comitato. Fare in modo che i codici di condotta siano messi in atto rapidamente è particolarmente importante per i settori che comportano il trattamento di quantità significative di dati (ad esempio il cloud computing) o di dati sensibili (ad esempio, sanità/ricerca). ·Certificazione La certificazione può essere uno strumento utile per dimostrare il rispetto di prescrizioni specifiche del regolamento generale sulla protezione dei dati. Può aumentare la certezza del diritto per le imprese e promuovere il regolamento generale sulla protezione dei dati a livello mondiale. Come sottolineato nello studio sulla certificazione pubblicato nell'aprile del 2019, l'obiettivo dovrebbe essere quello di facilitare l'adozione di regimi pertinenti. Lo sviluppo di regimi di certificazione nell'UE sarà sostenuto dalle linee guida pubblicate dal comitato sui criteri di certificazione e sull'accreditamento degli organismi di certificazione. La sicurezza e la protezione dei dati fin dalla progettazione sono elementi chiave da considerare nei sistemi di certificazione nel quadro del regolamento generale sulla protezione dei dati che trarrebbero vantaggio da un approccio comune e ambizioso in tutta l'UE. La Commissione continuerà a sostenere i contatti attuali tra l'agenzia dell'Unione europea per la cibersicurezza (ENISA), le autorità di protezione dei dati e il comitato. Per quanto riguarda la cibersicurezza, a seguito dell'adozione del regolamento sulla cibersicurezza, la Commissione ha chiesto all'ENISA di preparare due sistemi di certificazione, di cui uno per i servizi cloud. Sono attualmente all'esame ulteriori sistemi riguardanti la cibersicurezza di servizi e prodotti destinati ai consumatori. Sebbene tali sistemi di certificazione istituiti a norma del regolamento sulla cibersicurezza non riguardino esplicitamente la protezione dei dati e la tutela della vita privata, contribuiscono ad accrescere la fiducia dei consumatori nei servizi e nei prodotti digitali. Tali sistemi possono comprovare il rispetto dei principi di sicurezza fin dalla progettazione e l'attuazione di misure tecniche e organizzative adeguate in materia di sicurezza del trattamento dei dati personali. ·Clausole contrattuali tipo La Commissione sta lavorando a clausole contrattuali tipo tra i titolari del trattamento e i responsabili del trattamento, anche alla luce della modernizzazione delle clausole contrattuali tipo per i trasferimenti internazionali (cfr. sezione 7.2). Un atto dell'Unione, adottato dalla Commissione, avrà un effetto vincolante a livello UE e garantirà la piena armonizzazione e la certezza del diritto. 6Applicazione del regolamento generale sulla protezione dei dati alle nuove tecnologie Un quadro tecnologicamente neutro, aperto a tecnologie nuove Il regolamento generale sulla protezione dei dati è neutro sul piano tecnologico, in grado di creare fiducia e basato sui principi. Tali principi, compresi il trattamento lecito e trasparente, la limitazione della finalità e la minimizzazione dei dati, forniscono una base solida per la protezione dei dati personali, indipendentemente dai trattamenti e dalle tecniche applicate. I membri del gruppo multilaterale segnalano che, nel complesso, il regolamento generale sulla protezione dei dati ha un impatto positivo sullo sviluppo di tecnologie nuove e fornisce una buona base per l'innovazione. È considerato uno strumento essenziale e flessibile per garantire che lo sviluppo di tecnologie nuove in conformità con i diritti fondamentali. L'attuazione dei suoi principi fondamentali è particolarmente importante per il trattamento intensivo di dati. L'approccio basato sul rischio e tecnologicamente neutro del regolamento generale sulla protezione dei dati garantisce un livello di protezione dei dati adeguato per far fronte al rischio del trattamento, anche utilizzando tecnologie emergenti. Le parti interessate rilevano in particolare che i principi della limitazione della finalità e dell'ulteriore trattamento compatibile, della minimizzazione dei dati, della limitazione della conservazione, della trasparenza, della responsabilizzazione e le condizioni per il ricorso lecito in larga misura a processi decisionali automatizzati rispondono alle preoccupazioni legate all'uso dell'intelligenza artificiale. L'approccio basato sul rischio e a prova di futuro del regolamento generale sulla protezione dei dati sarà applicato anche nell'eventuale quadro futuro per l'intelligenza artificiale e nell'attuazione della strategia in materia di dati. Quest'ultima strategia mira a promuovere la disponibilità dei dati e la creazione di spazi comuni europei di dati sostenuti da servizi di infrastrutture cloud federati. Per quanto concerne i dati personali, il regolamento generale sulla protezione dei dati fornisce il quadro giuridico principale entro il quale si possono elaborare soluzioni efficaci caso per caso in funzione della natura e del contenuto di ciascuno degli spazi di dati. Il regolamento generale sulla protezione dei dati ha accresciuto la consapevolezza in merito alla protezione dei dati personali tanto all'interno quanto all'esterno dell'UE e ha indotto le imprese ad adattare le loro pratiche per tener conto dei principi di protezione dei dati nello svolgimento di attività innovative. Tuttavia le organizzazioni della società civile osservano che, sebbene l'impatto del regolamento generale sulla protezione dei dati sullo sviluppo di tecnologie nuove sembri positivo, le pratiche dei principali attori digitali non sono ancora cambiate radicalmente a favore di un trattamento maggiormente rispettoso della vita privata. L'applicazione rigorosa ed efficace del regolamento generale sulla protezione dei dati nei confronti delle piattaforme digitali e delle imprese integrate di grandi dimensioni, anche in settori quali la pubblicità online e il micro-targeting, è un aspetto essenziale ai fini della protezione delle persone fisiche.

La Commissione sta analizzando le questioni più generali relative ai comportamenti di mercato dei grandi attori digitali nel contesto del pacchetto relativo alla legge sui servizi digitali. Per quanto concerne la ricerca nel settore dei media sociali, la Commissione ricorda che il regolamento generale sulla protezione dei dati non può essere utilizzato come scusa dalle piattaforme dei media sociali per limitare l'accesso da parte di ricercatori e verificatori di fatti a dati non personali, quali statistiche in merito a quali annunci mirati sono stati inviati a quali categorie di persone, i criteri per la definizione di tale attività mirata, informazioni su account falsi, ecc. L'approccio tecnologicamente neutro e a prova di futuro del regolamento generale sulla protezione dei dati è stato sottoposto a prova durante la pandemia di Covid-19 e si è dimostrato efficace. Le sue norme basate su principi hanno sostenuto lo sviluppo di strumenti per contrastare e monitorare la diffusione del virus. Sfide da affrontare Lo sviluppo e l'applicazione di tecnologie nuove non mettono in discussione tali principi. Si prospettano sfide future per chiarire come applicare i principi comprovati all'uso di tecnologie specifiche quali l'intelligenza artificiale, la blockchain, l'Internet delle cose, il riconoscimento facciale o l'informatica quantistica. In tale contesto il Parlamento europeo e il Consiglio hanno sottolineato la necessità di un monitoraggio continuo per chiarire in che modo il regolamento generale sulla protezione dei dati si applica alle nuove tecnologie e alle imprese tecnologiche di grandi dimensioni. Inoltre le parti interessate avvertono che anche la valutazione della continua adeguatezza del regolamento generale sulla protezione dei dati alle sue finalità richiede un monitoraggio costante. Le parti interessate dell'industria sottolineano che l'innovazione richiede un'applicazione del regolamento generale sulla protezione dei dati basata su principi, in linea con la sua progettazione, piuttosto che in maniera rigida e formale. Ritengono che orientamenti del comitato in merito all'applicazione dei principi, dei concetti e delle norme del regolamento generale sulla protezione dei dati alle nuove tecnologie, quali l'intelligenza artificiale, la blockchain o l'Internet delle cose, che tengano conto dell'approccio basato sul rischio, contribuirebbero a fornire chiarimenti e una maggiore certezza del diritto. Tali strumenti normativi non vincolanti sono particolarmente idonei ad accompagnare l'applicazione del regolamento generale sulla protezione dei dati alle nuove tecnologie, in quanto garantiscono una maggiore certezza del diritto e possono essere rivisti in linea con gli sviluppi tecnologici. Talune parti interessate suggeriscono inoltre che potrebbe essere utile fornire orientamenti settoriali sulle modalità di applicazione del regolamento generale sulla protezione dei dati alle nuove tecnologie. Il comitato ha dichiarato che continuerà a considerare l'impatto delle tecnologie emergenti sulla protezione dei dati personali. Le parti interessate sottolineano inoltre l'importanza del fatto che le autorità di regolamentazione acquisiscano una conoscenza approfondita delle modalità di utilizzo della tecnologia e avviino un dialogo con il settore industriale sullo sviluppo delle tecnologie emergenti. Ritengono che un approccio che prevede "contesti di sperimentazione normativa", come mezzo per ottenere orientamenti sull'applicazione delle norme, potrebbe essere un'opzione interessante per testare le nuove tecnologie e aiutare le imprese ad applicare la protezione dei dati fin dalla progettazione e la protezione per impostazione predefinita nelle nuove tecnologie. In termini di ulteriori azioni politiche, le parti interessate raccomandano che le future proposte politiche in materia di intelligenza artificiale si basino sui quadri giuridici esistenti e siano allineate con il regolamento generale sulla protezione dei dati. Occorre valutare con attenzione le potenziali questioni specifiche, sulla base di prove pertinenti, prima di proporre norme prescrittive nuove. Il Libro bianco della Commissione sull'intelligenza artificiale presenta una serie di opzioni strategiche in merito alle quali sono stati richiesti i pareri delle parti interessate fino al 14 giugno 2020. Per quanto concerne il riconoscimento facciale, una tecnologia che può avere un impatto significativo sui diritti delle persone fisiche, il Libro bianco ha ricordato l'attuale quadro legislativo e ha aperto un dibattito pubblico sulle circostanze specifiche, se presenti, che potrebbero giustificare l'uso dell'intelligenza artificiale per finalità di riconoscimento facciale e per altre finalità di identificazione biometrica a distanza in luoghi pubblici, nonché sulle garanzie comuni. 7Trasferimenti internazionali e cooperazione globale 7.1Tutela dei dati personali: una questione avente natura globale La richiesta di protezione dei dati personali non conosce frontiere, dato che le persone fisiche in tutto il mondo tengono in gran conto e apprezzano sempre di più la tutela della vita privata e la sicurezza dei loro dati. Nel contempo, l'importanza dei flussi di dati per le persone fisiche, i governi, le imprese e, più in generale, la società nel suo complesso, è inevitabile nel nostro mondo interconnesso. Tali flussi di dati costituiscono parte integrante del commercio, della cooperazione tra autorità pubbliche e delle interazioni sociali. A tale riguardo, l'attuale pandemia di Covid-19 evidenzia altresì la criticità del trasferimento e dello scambio di dati personali per numerose attività essenziali, tra le quali la garanzia della continuità delle operazioni governative e aziendali, consentendo il telelavoro e altre soluzioni che si basano ampiamente sulle tecnologie dell'informazione e della comunicazione, sviluppando la cooperazione nella ricerca scientifica in materia di diagnostica, cure e vaccini nonché contrastando forme nuove di criminalità informatica, come ad esempio i sistemi di frode online che offrono medicinali contraffatti che si sostiene prevengano o curino la Covid-19. In questo contesto, più che mai prima d'ora, tutelare la vita privata e facilitare i flussi di dati sono attività che devono procedere di pari passo. L'UE, con il suo sistema di protezione dei dati, che combina l'apertura ai trasferimenti internazionali a un elevato livello di protezione delle persone fisiche, si trova nella posizione ideale per promuovere flussi di dati sicuri e affidabili. Il regolamento generale sulla protezione dei dati si è già rivelato un punto di riferimento a livello internazionale e ha svolto un ruolo di catalizzatore per numerosi paesi in tutto il mondo al fine di prendere in considerazione l'introduzione di norme moderne sulla tutela della vita privata. Si tratta di una tendenza realmente universale che, per menzionare soltanto alcuni esempi, va dal Cile alla Corea del Sud, dal Brasile al Giappone, dal Kenya all'India, dalla Tunisia all'Indonesia e dalla California a Taiwan. Tali sviluppi sono notevoli non soltanto da un punto di vista quantitativo, ma anche qualitativo: numerose delle leggi in materia di tutela della vita privata recentemente adottate o in fase di adozione si basano su un nucleo centrale di garanzie, diritti e meccanismi di attuazione comuni condivisi dall'UE. In un mondo troppo spesso caratterizzato da approcci normativi diversi, se non persino divergenti, tale tendenza alla convergenza globale costituisce uno sviluppo molto positivo che crea nuove opportunità per una maggiore protezione delle persone fisiche in Europa, facilitando nel contempo i flussi di dati e riducendo i costi di transazione per gli operatori economici. Per cogliere tali opportunità e attuare la strategia illustrata nella sua comunicazione del 2017 dal titolo "Scambio e protezione dei dati personali in un mondo globalizzato", la Commissione ha notevolmente intensificato i propri lavori sulla dimensione internazionale della tutela della vita privata sfruttando appieno gli strumenti di trasferimento disponibili, come spiegato in appresso. Ciò ha incluso la collaborazione attiva con partner importanti al fine di pervenire a un "accertamento di adeguatezza" e ha portato a risultati importanti, quali la creazione del più grande spazio al mondo di libera e sicura circolazione di dati tra l'UE e il Giappone. Oltre alle proprie attività sull'adeguatezza, la Commissione ha lavorato in stretta collaborazione con le autorità di protezione dei dati in seno al comitato, nonché con altre parti interessate, per sfruttare appieno il potenziale offerto dalle norme flessibili del regolamento generale sulla protezione dei dati in materia di trasferimenti internazionali. Ciò riguarda la modernizzazione di strumenti quali le clausole contrattuali tipo, lo sviluppo di sistemi di certificazione, codici di condotta o accordi amministrativi per lo scambio di dati tra autorità pubbliche, nonché il chiarimento di concetti chiave relativi ad esempio all'ambito di applicazione territoriale delle norme dell'UE in materia di protezione dei dati o al ricorso alle cosiddette "deroghe" per il trasferimento di dati personali. Infine la Commissione ha intensificato il proprio dialogo in una serie di consessi bilaterali, regionali e multilaterali al fine di promuovere una cultura globale di rispetto della vita privata e di sviluppare elementi di convergenza tra sistemi diversi di tutela della vita privata. Nei suoi sforzi, la Commissione ha potuto fare affidamento sul sostegno attivo del servizio europeo per l'azione esterna e della rete delle delegazioni dell'UE in paesi terzi e delle missioni presso organizzazioni internazionali. Ciò ha consentito inoltre coerenza e una maggiore complementarità tra i diversi aspetti della dimensione esterna delle politiche dell'UE, dal commercio al nuovo partenariato Africa-UE.

7.2Gli strumenti del regolamento generale sulla protezione dei dati relativi ai trasferimenti Dato che sempre più operatori privati e pubblici si affidano a flussi internazionali di dati nel contesto delle loro operazioni abituali, vi è una crescente necessità di strumenti flessibili che possano essere adattati a settori modelli imprenditoriali e situazioni di trasferimento diversi. Rispecchiando tali esigenze, il regolamento generale sulla protezione dei dati mette a disposizione una serie di strumenti modernizzati che facilita il trasferimento di dati personali dall'UE verso un paese terzo o un'organizzazione internazionale, garantendo nel contempo che i dati continuino a beneficiare di un livello elevato di protezione. Tale continuità di protezione è importante, dato che nel contesto attuale i dati si muovono facilmente a livello transfrontaliero e che le tutele garantite dal regolamento generale sulla protezione dei dati sarebbero incomplete se fossero limitate al trattamento all'interno dell'UE. Con il capo V del regolamento generale sulla protezione dei dati, il legislatore ha confermato l'architettura delle norme sui trasferimenti già esistente ai sensi della direttiva 95/46: i trasferimenti di dati possono avvenire qualora la Commissione abbia effettuato un accertamento di adeguatezza nei confronti di un paese terzo o di un'organizzazione internazionale oppure, in assenza di tale accertamento, qualora il titolare del trattamento o il responsabile del trattamento nell'UE ("esportatore di dati") abbia fornito garanzie adeguate, ad esempio mediante la stipula di un contratto con il destinatario ("importatore di dati"). Inoltre rimangono disponibili i presupposti di legge per i trasferimenti (le cosiddette deroghe) per situazioni specifiche per le quali il legislatore ha deciso che l'equilibrio degli interessi consente il trasferimento di dati a determinate condizioni. Nel contempo la riforma ha chiarito e semplificato le norme esistenti ad esempio stabilendo nel dettaglio le condizioni per un accertamento di adeguatezza o norme vincolanti d'impresa, limitando i requisiti di autorizzazione a pochissimi casi specifici e abolendo completamente gli obblighi di notifica. Sono stati inoltre introdotti nuovi strumenti di trasferimento, ad esempio codici di condotta o sistemi di certificazione, e sono state ampliate le possibilità di utilizzare gli strumenti esistenti (ad esempio clausole contrattuali tipo). L'economia digitale odierna consente agli operatori stranieri di partecipare (a distanza ma) direttamente al mercato interno dell'UE e di competere per acquisire clienti europei e i loro dati personali. Quando si rivolgono specificamente ai cittadini europei mediante l'offerta di beni o servizi o il monitoraggio del loro comportamento, tali operatori stranieri sono tenuti a rispettare il diritto dell'UE allo stesso modo degli operatori dell'UE. Tale aspetto si riflette nell'articolo 3 del regolamento generale sulla protezione dei dati, che estende l'applicabilità diretta delle norme dell'UE in materia di protezione dei dati a taluni trattamenti condotti da titolari e responsabili del trattamento al di fuori dell'UE. Ciò assicura le garanzie necessarie nonché parità di condizioni per tutte le imprese che operano sul mercato dell'UE. La sua ampia portata è una delle ragioni per le quali gli effetti del regolamento generale sulla protezione dei dati sono stati avvertiti anche in altre parti del mondo. Gli orientamenti dettagliati emanati dal comitato sull'ambito di applicazione territoriale del regolamento generale sulla protezione dei dati, a seguito di una consultazione pubblica di ampio respiro, sono quindi importanti per aiutare gli operatori stranieri a stabilire se e quali trattamenti siano direttamente soggetti alle garanzie previste in tale atto legislativo, anche fornendo esempi concreti. L'estensione dell'ambito di applicazione del diritto dell'UE in materia di protezione dei dati non è tuttavia di per sé sufficiente a garantirne il rispetto nella pratica. Come sottolineato anche dal Consiglio, è fondamentale garantire il rispetto delle norme da parte degli operatori stranieri così come un'applicazione rigorosa delle norme nei loro confronti. La nomina di un rappresentante nell'UE (articolo 27, paragrafi 1 e 2, del regolamento generale sulla protezione dei dati), al quale le persone fisiche e le autorità di controllo possono rivolgersi in aggiunta a o in sostituzione dell'impresa responsabile che agisce dall'estero, dovrebbe svolgere un ruolo chiave in tal senso. Tale approccio, adottato sempre più spesso anche in altri contesti, dovrebbe essere perseguito con maggiore vigore al fine di inviare un messaggio chiaro che la mancanza di uno stabilimento nell'UE non esonera gli operatori stranieri dalle loro responsabilità ai sensi del regolamento generale sulla protezione dei dati. Qualora tali operatori non rispettino l'obbligo di nominare un rappresentante, le autorità di controllo dovrebbero ricorrere a tutti gli strumenti di applicazione della legge di cui all'articolo 58 del regolamento generale sulla protezione dei dati (ad esempio, avvisi pubblici, divieti temporanei o definitivi di trattamento nell'UE, applicazione della legge nei confronti di contitolari del trattamento stabiliti nell'UE). Infine è molto importante che il comitato finalizzi il proprio lavoro chiarendo ulteriormente la relazione tra l'articolo 3 sull'applicazione diretta del regolamento generale sulla protezione dei dati e le norme in materia di trasferimenti internazionali di cui al capo V. Decisioni di adeguatezza I contributi ricevuti dalle parti interessate confermano che le decisioni di adeguatezza continuano a costituire uno strumento essenziale per consentire agli operatori dell'UE di trasferire in maniera sicura i dati personali verso paesi terzi. Tali decisioni mettono a disposizione la soluzione più completa, semplice ed efficace sotto il profilo dei costi per i trasferimenti di dati in quanto tali attività sono assimilate alle trasmissioni all'interno dell'UE, garantendo così la libera circolazione dei dati personali senza ulteriori condizioni o la necessità di un'autorizzazione. Di conseguenza le decisioni di adeguatezza aprono canali commerciali per gli operatori dell'UE e facilitano la cooperazione tra le autorità pubbliche, offrendo nel contempo un accesso privilegiato al mercato unico dell'UE. Basandosi sulla prassi a norma della direttiva del 1995, il regolamento generale sulla protezione dei dati prevede esplicitamente la possibilità di una decisione sull'adeguatezza con riferimento a un particolare territorio di un paese terzo o a un settore specifico all'interno di un paese terzo (la cosiddetta adeguatezza "parziale"). Il regolamento generale sulla protezione dei dati si basa sull'esperienza degli ultimi anni e sui chiarimenti forniti dalla Corte di giustizia che ha definito un catalogo dettagliato di elementi che la Commissione deve considerare nella sua valutazione. Il criterio dell'adeguatezza richiede un livello di protezione comparabile (o "sostanzialmente equivalente") a quello garantito all'interno dell'UE. Ciò comporta una valutazione globale del sistema del paese terzo nel suo complesso, tra cui la sostanza delle tutele della vita privata, la loro effettiva attuazione e applicazione, nonché le norme in materia di accesso ai dati personali da parte delle autorità pubbliche, in particolare per finalità di contrasto e sicurezza nazionale. Ciò si riflette anche negli orientamenti adottati dall'ex gruppo di lavoro Articolo 29 (e omologati dal comitato), in particolare i cosiddetti "criteri di riferimento per l'adeguatezza", il che chiarisce ulteriormente gli elementi di cui la Commissione deve tenere conto nell'effettuare una valutazione dell'adeguatezza, anche fornendo una panoramica delle "garanzie sostanziali" per l'accesso ai dati personali da parte delle autorità pubbliche. Quest'ultimo aspetto si basa in particolare sulla giurisprudenza della Corte europea dei diritti dell'uomo. Sebbene non implichi una replica da punto a punto ("fotocopia") della normativa dell'UE, dal momento che i mezzi per garantire un livello di protezione comparabile possono variare tra i diversi sistemi di tutela della vita privata, spesso rispecchiando le diverse tradizioni giuridiche, il criterio della "protezione sostanzialmente equivalente" richiede tuttavia un livello di protezione elevato. Tale criterio è giustificato dal fatto che una decisione di adeguatezza estende sostanzialmente a un paese terzo i vantaggi del mercato unico in termini di libera circolazione dei dati. Ciò significa tuttavia anche che talvolta vi saranno differenze significative tra il livello di protezione garantito nel paese terzo in questione rispetto al regolamento generale sulla protezione dei dati, che occorre vengano appianate ad esempio attraverso la negoziazione di garanzie aggiuntive. Tali garanzie dovrebbero essere considerate positivamente, in quanto rafforzano ulteriormente le tutele a disposizione delle persone fisiche nell'UE. Al tempo stesso la Commissione concorda con il comitato in merito all'importanza di monitorare costantemente la loro applicazione nella pratica, compresa la loro applicazione efficace da parte dell'autorità di protezione dei dati del paese terzo. Il regolamento generale sulla protezione dei dati chiarisce che le decisioni di adeguatezza sono "strumenti viventi" che dovrebbero essere oggetto di un monitoraggio continuo e di un riesame periodico. In linea con queste prescrizioni, la Commissione ha scambi regolari con le autorità competenti al fine di dare un seguito proattivo a nuovi sviluppi. Ad esempio, dall'adozione della decisione sullo scudo UE-USA per la privacy nel 2016, la Commissione, insieme a rappresentanti del comitato, ha effettuato tre riesami annuali per valutare tutti gli aspetti del funzionamento del quadro. Tali riesami si sono basati su informazioni ottenute tramite scambi con le autorità statunitensi nonché sul contributo di altre parti interessate, quali le autorità di protezione dei dati, la società civile e associazioni di categoria dell'UE. Tali riesami hanno consentito di migliorare il funzionamento pratico di vari elementi del quadro. In una prospettiva di più ampio respiro, i riesami annuali hanno contribuito a stabilire un dialogo più ampio con l'amministrazione statunitense in materia di tutela della vita privata in generale, nonché di limitazioni e garanzie relative in particolare alla sicurezza nazionale. Nel quadro della sua prima valutazione del regolamento generale sulla protezione dei dati, la Commissione è altresì tenuta a riesaminare le decisioni di adeguatezza adottate in conformità con la direttiva del 1995. I servizi della Commissione hanno avviato un dialogo intenso con ciascuno degli 11 territori e paesi interessati al fine di v