Orientamenti della Commissione sull'applicazione del diritto dell'Unione in materia di protezione dei dati nel contesto elettorale

L'impegno nei confronti dell'elettorato è alla base del processo democratico. È prassi costante dei partiti politici adattare le proprie comunicazioni elettorali al pubblico dei destinatari, tenendo conto dei loro interessi specifici. È quindi naturale che i soggetti coinvolti nelle elezioni studino le possibilità di usare i dati per ottenere voti. La diffusione degli strumenti digitali e delle piattaforme online ha creato molte opportunità nuove per coinvolgere le persone nel dibattito politico.

Tuttavia, lo sviluppo del micro-targeting degli elettori basato sul trattamento illecito dei dati personali, come emerso dalle rivelazioni su Cambridge Analytica, è di natura diversa. Esso mette in luce le sfide poste dalle tecnologie moderne e nel contempo dimostra la grande importanza della protezione dei dati nel contesto elettorale. Il micro-targeting è diventato una questione fondamentale non solo per le persone fisiche, ma anche per il funzionamento delle nostre democrazie, in quanto costituisce una grave minaccia alla correttezza e alla democraticità del processo elettorale e può compromettere l'apertura, la correttezza e la trasparenza del dibattito, elementi essenziali di una democrazia. La Commissione ritiene che sia della massima importanza affrontare la questione, per ripristinare la fiducia dei cittadini nella correttezza del processo elettorale.

Le prime relazioni dell'autorità britannica per la protezione dei dati (Information Commissioner's Office - ICO) sull'uso delle tecniche di analisi dei dati nelle campagne politiche e il parere del garante europeo della protezione dei dati sulla manipolazione online e sui dati personali hanno confermato la crescente incidenza nel contesto elettorale del micro-targeting, inizialmente sviluppato per fini commerciali.

Più in generale, varie autorità per la protezione dei dati hanno affrontato la questione della protezione dei dati nel contesto elettorale.

Il regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio (regolamento generale sulla protezione dei dati), che è diventato direttamente applicabile in tutta l'Unione il 25 maggio 2018, fornisce all'Unione gli strumenti necessari per affrontare i casi di uso illecito dei dati personali nel contesto elettorale. Tuttavia, solo un'applicazione rigorosa e coerente delle norme contribuirà a proteggere l'integrità del quadro politico democratico. Poiché è la prima volta che saranno applicate nel contesto elettorale europeo in occasione delle prossime elezioni del Parlamento europeo, è importante fornire chiarezza ai soggetti coinvolti nei processi elettorali, quali le autorità elettorali nazionali, i partiti politici, gli intermediari di dati, gli analisti di dati, le piattaforme dei media sociali e le reti pubblicitarie online. L'obiettivo dei presenti orientamenti è pertanto sottolineare gli obblighi in materia di protezione dei dati che hanno pertinenza per le elezioni. Le autorità nazionali per la protezione dei dati, in quanto autorità incaricate di far rispettare il regolamento generale sulla protezione dei dati, devono esercitare appieno i loro poteri rafforzati per reagire ad eventuali violazioni, in particolare quelle riguardanti il micro-targeting degli elettori.

1.Il quadro dell'Unione in materia di protezione dei dati

La protezione dei dati personali è un diritto fondamentale sancito dalla Carta dei diritti fondamentali dell'Unione europea (articolo 8) e dai trattati (articolo 16 del TFUE). Il regolamento generale sulla protezione dei dati rafforza il quadro per la protezione dei dati, dotando l'Unione di mezzi più appropriati per trattare in futuro i casi di abuso di dati personali e facendo in modo che tutti i soggetti rendano maggiormente conto del loro operato e siano più responsabili in relazione alle modalità di trattamento dei dati personali.

Esso conferisce alle persone fisiche nell'Unione diritti aggiuntivi e rafforzati che sono particolarmente rilevanti nel contesto elettorale. Il sistema di protezione dei dati in vigore nell'Unione negli ultimi 20 anni ha risentito in particolare dell'applicazione frammentata delle norme da parte degli Stati membri, dell'assenza di meccanismi formali di cooperazione tra le autorità nazionali per la protezione dei dati e dei limitati poteri di esecuzione di tali autorità. Il regolamento generale sulla protezione dei dati colma tali lacune: basandosi sui principi collaudati in materia di protezione dei dati, armonizza concetti chiave come il consenso, rafforza il diritto delle persone fisiche a ricevere informazioni sul trattamento dei loro dati, chiarisce le condizioni alle quali i dati personali possono essere ulteriormente condivisi, introduce norme sulla violazione dei dati personali, istituisce un meccanismo di cooperazione tra le autorità per la protezione dei dati nei casi transfrontalieri e rafforza i loro poteri di esecuzione. In caso di violazione delle norme dell'UE sulla protezione dei dati, le autorità per la protezione dei dati hanno il potere di condurre indagini (ad esempio ordinando di fornire informazioni, effettuando ispezioni nei locali dei titolari del trattamento e dei responsabili del trattamento) e di correggere comportamenti (ad esempio rivolgendo avvertimenti e ammonimenti o disponendo la sospensione temporanea o definitiva del trattamento). Esse possono inoltre imporre sanzioni fino a 20 milioni di EUR o, nel caso delle imprese, fino al 4 % del fatturato mondiale dell'impresa interessata. Nel decidere in merito all'imposizione di sanzioni e al loro livello, le autorità per la protezione dei dati esamineranno le circostanze del caso e fattori quali la natura, la portata o la finalità del trattamento, il numero di persone interessate e l'entità dei danni subiti. Nel contesto elettorale è probabile che la gravità della violazione e il numero di persone interessate saranno elevati. Ciò potrebbe comportare l'imposizione di sanzioni elevate, tenuto conto in particolare dell'importanza della questione della fiducia dei cittadini nel processo democratico.

Il comitato europeo per la protezione dei dati di recente istituzione, che raggruppa tutte le autorità nazionali per la protezione dei dati e il garante europeo della protezione dei dati, svolge un ruolo fondamentale nell'applicazione del regolamento generale sulla protezione dei dati, pubblicando linee guida, raccomandazioni e migliori prassi. Le autorità nazionali per la protezione dei dati, in quanto autorità incaricate di far rispettare il regolamento generale sulla protezione dei dati e fungendo da punti di contatto diretto per le parti interessate, sono in una posizione idonea per assicurare ulteriore certezza giuridica in merito all'interpretazione del regolamento. La Commissione sostiene attivamente tale attività.

La direttiva 2002/58/CE del Parlamento europeo e del Consiglio (direttiva relativa alla vita privata e alle comunicazioni elettroniche o direttiva e-privacy) completa il quadro dell'Unione in materia di protezione dei dati ed è di rilievo nel contesto elettorale, poiché il suo ambito di applicazione comprende le norme sull'invio elettronico di comunicazioni indesiderate, anche a fini di marketing diretto. La direttiva e-privacy stabilisce inoltre norme in materia di archiviazione delle informazioni e di accesso alle informazioni già archiviate - ad esempio mediante cookie che possono essere utilizzati per tenere traccia del comportamento online degli utenti - nelle apparecchiature terminali, ad esempio smartphone o computer. La proposta di regolamento sulla vita privata e le comunicazioni elettroniche ("regolamento e-privacy"), presentata dalla Commissione e attualmente in fase di negoziazione, si basa sugli stessi principi della direttiva e-privacy. Il nuovo regolamento estenderà l'ambito di applicazione al di là degli operatori di telecomunicazione tradizionali per includere i servizi di comunicazione elettronica basati su internet.

2.Principali obblighi dei vari soggetti

Il regolamento generale sulla protezione dei dati si applica a tutti i soggetti attivi nel contesto elettorale, come i partiti politici europei e nazionali (di seguito: "partiti politici"), le fondazioni politiche europee e nazionali (di seguito: "fondazioni"), le piattaforme, le società di analisi dei dati e le autorità pubbliche responsabili del processo elettorale. Tali soggetti devono trattare i dati personali (ad esempio nomi e indirizzi) in modo lecito, corretto e trasparente e solo per finalità specifiche, e non possono servirsene successivamente in modo incompatibile con le finalità per le quali i dati sono stati inizialmente raccolti. In linea di principio il trattamento a scopi giornalistici rientra anch'esso nell'ambito di applicazione del regolamento generale sulla protezione dei dati ma, data l'importanza del diritto alla libertà di espressione e di informazione in una società democratica, può beneficiare delle esenzioni e deroghe previste dal diritto nazionale.

La nozione di dati personali ha un ampio significato. I "dati personali" sono tutti i dati riguardanti una persona fisica identificata o identificabile. I dati trattati nel contesto elettorale comprendono spesso categorie particolari di dati personali ("dati sensibili"), quali le opinioni politiche, l'appartenenza a un sindacato, l'origine etnica, la vita sessuale e così via, che beneficiano di un regime di maggiore tutela. Inoltre, le tecniche di analisi dei dati consentono di desumere "dati sensibili" (ad esempio le opinioni politiche, le convinzioni religiose o l'orientamento sessuale) da una serie di dati non sensibili. Anche il trattamento dei dati desunti rientra nell'ambito di applicazione del regolamento generale sulla protezione dei dati e dovrebbe pertanto essere effettuato nel rispetto di tutte le norme in materia di protezione dei dati.

In conclusione, il regolamento generale sulla protezione dei dati si applica praticamente a tutte le operazioni di trattamento dei dati nel contesto elettorale.

Tenendo conto della necessità di assicurare chiarezza ai soggetti coinvolti nel processo elettorale e considerate le prime risultanze nel caso Cambridge Analytica, le sezioni che seguono evidenziano gli obblighi in materia di protezione dei dati che risultano di particolare rilevanza nel contesto elettorale. Tali obblighi sono sintetizzati in allegato.

2.1Titolari del trattamento e responsabili del trattamento

La nozione di responsabilità per il proprio operato in relazione al titolare e al contitolare del trattamento è un elemento fondamentale del regolamento generale sulla protezione dei dati. Il titolare del trattamento è il soggetto che decide, da solo o in collaborazione con altri, le finalità e le modalità del trattamento dei dati personali; il responsabile del trattamento tratta i dati personali unicamente per conto del titolare del trattamento e secondo le sue istruzioni (e il rapporto tra questi due soggetti è stabilito in un contratto o altro atto giuridico vincolante). Il titolare del trattamento deve adottare sin dall'inizio misure adeguate ai rischi e attuare la protezione dei dati fin dalla progettazione ed essere in grado di comprovare il rispetto del regolamento generale sulla protezione dei dati (principio di responsabilizzazione).