Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di un regime pilota per le infrastrutture di mercato basate sulla tecnologia di registro distribuito

(Il testo integrale del parere è disponibile in inglese, francese e tedesco sul sito del GEPD www.edps.europa.eu)

(2021/C 229/04)

Il 24 settembre 2020 la Commissione europea ha adottato la sua proposta di regolamento del Parlamento europeo e del Consiglio relativa a un regime pilota per le infrastrutture di mercato basate sulla tecnologia di registro distribuito [COM(2020)594 final]. La proposta stabilisce obblighi armonizzati a carico di taluni operatori di mercato per chiedere e ottenere l’autorizzazione a gestire infrastrutture di mercato basate sulla tecnologia di registro distribuito (DLT).

Il Garante europeo della protezione dei dati (GEPD) sottolinea che la protezione dei dati personali non costituisce un ostacolo all’innovazione in particolare allo sviluppo di nuove tecnologie nel settore finanziario. Contestualmente, ricorda che le misure adottate a livello dell’UE in materia di tecnologie innovative che prevedono il trattamento di dati personali devono rispettare i principi generali di necessità e proporzionalità. Inoltre, in assenza di una visione completa di come queste nuove tecnologie incidano sulla nostra società, il GEPD ritiene che occorra seguire un approccio basato sul principio di precauzione.

Il GEPD osserva che, in base alla configurazione della DLT, i metadati o i dati sulle transazioni ivi memorizzati possono essere considerati dati personali se si riferiscono a una persona fisica identificata o identificabile. I titolari del trattamento devono pertanto analizzare attentamente e documentare la configurazione della DLT al fine di determinare se essa comporti o meno il trattamento di dati personali e se, di conseguenza, le operazioni siano soggette a obblighi in materia di protezione dei dati.

Il GEPD evidenzia che la tecnologia alla base di alcuni registri digitali, in particolar modo quelli che sono pubblici e senza autorizzazione, solleva dubbi di importanza cruciale in merito alla sua compatibilità con i requisiti di protezione dei dati.

A parere del Garante, è necessario che si svolga una discussione sulla compatibilità dei sistemi DLT in generale con il quadro sulla protezione dei dati prima che la proposta entri in vigore.

Il GEPD constata che, nel caso di DLT contenenti dati personali on-chain, le relative operazioni di trattamento saranno probabilmente conformi ai criteri in base ai quali tali operazioni sono classificate nella categoria a rischio elevato. Prima di effettuare il trattamento dei dati personali, pertanto, il titolare del trattamento deve eseguire una valutazione d’impatto sulla protezione dei dati per le operazioni di trattamento previste. Inoltre, potrebbe essere necessaria l’approvazione preventiva dell’autorità competente in materia di protezione dei dati.

Il GEPD raccomanda che la proposta richieda, nell’ambito delle informazioni relative alla domanda di gestione di un’infrastruttura di mercato DLT, ove applicabile, le informazioni principali riguardanti le operazioni di trattamento previste. In aggiunta, raccomanda che i gestori di infrastrutture di mercato basate sulla DLT pubblichino l’informativa sulla privacy nello stesso luogo delle relative informazioni di esercizio, come richiesto dalla proposta.

Il GEPD sottolinea che i dispositivi informatici e cibernetici previsti dalla proposta per la gestione delle infrastrutture di mercato basate sulla DLT devono altresì essere conformi agli obblighi di cui agli articoli 22 e 32 del regolamento generale sulla protezione dei dati (RGPD). (1)

Infine, nel contesto della segnalazione di problemi operativi da parte di gestori di infrastrutture di mercato basate sulla DLT, il Garante raccomanda di ricordare in un considerando che, in caso di violazioni dei dati personali, il gestore deve notificarle all’autorità competente per la protezione dei dati, in conformità dell’articolo 33 del RGPD e, ove applicabile, agli interessati, ai sensi dell’articolo 34 del medesimo regolamento.

3. CONTESTO DI RIFERIMENTO

1. Il 24 settembre 2020 la Commissione europea ha adottato la sua proposta di regolamento del Parlamento europeo e del Consiglio relativa ad un regime pilota per le infrastrutture di mercato basate sulla tecnologia di registro distribuito [COM(2020)594 final] (la « proposta »). La proposta stabilisce obblighi armonizzati per operatori di mercato specifici, segnatamente imprese di investimento, gestori del mercato o depositari centrali di titoli, per chiedere e ottenere l’autorizzazione a gestire infrastrutture di mercato basate sulla tecnologia di registro distribuito (« infrastruttura di mercato DLT ») in un ambiente sottoposto a vigilanza con l’applicazione di esenzioni specifiche dal rispetto dei regolamenti finanziari. In particolare, la proposta ha quattro obiettivi: garantire certezza del diritto per le cripto-attività, assicurare la stabilità finanziaria, tutelare consumatori e investitori e favorire l’innovazione per consentire di utilizzare la blockchain, la tecnologia di registro distribuito e le cripto-attività.

2. regolamento MICA »), una proposta relativa alla resilienza operativa digitale regolamento DORA ») e una proposta volta a chiarire o modificare determinate norme dell’UE in materia di servizi finanziari Questa proposta fa parte di un pacchetto che comprende una proposta di regolamento per la creazione di mercati delle cripto-attività ( 2 ) (il «»), una proposta relativa alla resilienza operativa digitale ( 3 ) (il «») e una proposta volta a chiarire o modificare determinate norme dell’UE in materia di servizi finanziari ( 4 ) . Il GEPD si attende di essere consultato anche in merito agli altri regolamenti del pacchetto conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725.

3. Il 26 febbraio 2021 la Commissione europea ha richiesto al GEPD di emettere un parere sulla proposta, ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725. Le presenti osservazioni sono limitate alle disposizioni della proposta che sono pertinenti dal punto di vista della protezione dei dati.

5. CONCLUSIONI

Alla luce di quanto precede, il GEPD:

— ricorda che la protezione dei dati personali non costituisce un ostacolo all’innovazione, in particolare allo sviluppo di nuove tecnologie, segnatamente nel settore finanziario;

— evidenzia che la tecnologia alla base di alcuni registri digitali, in particolar modo di quelli che sono pubblici e senza autorizzazione, solleva dubbi concettuali di importanza cruciale in merito ai requisiti di protezione dei dati; raccomanda pertanto che la discussione su come si possa garantire la compatibilità dei sistemi DLT con il quadro sulla protezione dei dati si svolga prima che la proposta entri in vigore;

— sottolinea che le cripto-attività negoziate nelle infrastrutture di mercato DLT contemplate dalla proposta dovrebbero essere esclusivamente quelle che utilizzano una configurazione DLT conforme al quadro sulla protezione dei dati;

— consiglia inoltre di includere, nell’ambito delle informazioni richieste al gestore nel contesto della sua domanda di gestione di un’infrastruttura di mercato DLT, ove applicabile, l’elenco delle operazioni di trattamento previste che coinvolgono dati personali, la ripartizione dei ruoli e delle responsabilità di ciascun gestore ai sensi del RGPD all’interno dell’infrastruttura di mercato DLT, nonché i rischi principali previsti e le strategie di attenuazione per quanto riguarda la protezione dei dati;

— sottolinea che i dispositivi informatici e cibernetici previsti dalla proposta per la gestione delle infrastrutture di mercato DLT devono altresì essere conformi agli obblighi di cui agli articoli 22 e 32 del RGPD;

— raccomanda di ricordare in un considerando, nel contesto della segnalazione di problemi operativi da parte di gestori di infrastrutture di mercato DLT, che, in caso di violazioni dei dati personali, il gestore deve notificarle all’autorità di controllo per la protezione dei dati competente, in conformità dell’articolo 33 del RGPD e, ove applicabile, agli interessati, ai sensi dell’articolo 34 del medesimo regolamento.

Bruxelles, 23 aprile 2021. Wojciech Rafał WIEWIÓROWSKI

(1) () Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).

(2) Proposta di regolamento del Parlamento europeo e del Consiglio relativo ai mercati delle cripto-attività e che modifica la direttiva (UE) 2019/1937, COM/2020/593 final. Consultabile all’indirizzo EUR-Lex - 52020PC0593 - IT - EUR-Lex (europa.eu).

(3) Proposta di regolamento del Parlamento europeo e del Consiglio relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014 e (UE) n. 909/2014, COM/2020/595 final, consultabile all’indirizzo EUR-Lex - 52020PC0595 - IT - EUR-Lex (europa.eu).

(4) Proposta di direttiva del Parlamento europeo e del Consiglio che modifica le direttive 2006/43/CE, 2009/65/CE, 2009/138/UE, 2011/61/UE, UE/2013/36, 2014/65/UE, (UE) 2015/2366 e UE/2016/2341, COM/2020/596 final. Consultabile all’indirizzo EUR-Lex - 52020PC059 - IT - EUR-Lex (europa.eu).