IT Gazzetta ufficiale dell'Unione europea C 14/6

Sintesi del parere del Garante europeo della protezione dei dati sulle garanzie e deroghe previste dall’articolo 89 RGPD nell’ambito di una proposta di regolamento relativo alle statistiche integrate sulle aziende agricole

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2018/C 14/06)

Il progetto di regolamento relativo alle statistiche integrate sulle aziende agricole, proposto dalla Commissione europea previa consultazione del Garante europeo della protezione dei dati, solleva, di per sé, poche questioni in termini di protezione dei dati. Tuttavia, dalle modifiche proposte nel contesto delle discussioni in seno al Consiglio emergono questioni nuove, inizialmente non presenti nella proposta della Commissione. In particolare, se tali modifiche dovessero essere incluse nel testo finale, il progetto di regolamento diventerebbe il primo strumento legislativo dell’UE a prevedere una deroga ai diritti di accesso e di rettifica, nonché al diritto di limitazione e al diritto di opporsi al trattamento dei dati personali a fini statistici ai sensi dell’articolo 89 del regolamento generale sulla protezione dei dati. Pertanto, il GEPD accoglie con favore il fatto che il Consiglio lo abbia consultato in merito a questo nuovo sviluppo, fornendo in tal modo al GEPD l’opportunità di formulare un parere in questa fase della procedura.

Il presente parere pone l’accento sulla verifica della necessità per le deroghe di cui all’articolo 89 del RGPD, letto alla luce della Carta. Il GEPD sottolinea, in particolare, che i diritti di accesso e di rettifica sono stabiliti all’articolo 8, paragrafo 2, della Carta stessa e sono considerati componenti essenziali del diritto alla protezione dei dati personali. Qualsiasi deroga a tali diritti deve limitarsi a quanto strettamente necessario a conseguire il suo obiettivo e deve rispondere agli elevati requisiti previsti dall’articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea e dall’articolo 89 del RGPD.

Oltre a mettere in luce l’esigenza di una valutazione approfondita della necessità, il parere sottolinea altresì l’esigenza di ridurre al minimo la portata di eventuali limitazioni ed esamina la natura delle garanzie previste. Il parere prende inoltre in esame l’articolo 11 del RGPD, che potrebbe potenzialmente contribuire a rispondere ad alcune preoccupazioni degli istituti nazionali di statistica sollevate dal Consiglio, senza la necessità di deroghe ai sensi dell’articolo 89 del RGPD. In particolare, conformemente all’articolo 11, nei casi in cui un titolare del trattamento possa dimostrare di non essere in grado di identificare l’interessato, i diritti degli interessati di cui agli articoli da 15 a 20 non si applicano.

Alla luce di quanto precede, il GEPD raccomanda che il Consiglio rivaluti la necessità delle deroghe proposte, sotto il profilo del criterio stabilito all’articolo 89 del RGPD, letto alla luce della Carta. A meno che il legislatore europeo possa fornire ulteriori giustificazioni alla necessità di tali deroghe e adeguare il campo di applicazione delle disposizioni in senso più restrittivo, il GEPD raccomanda di considerare piuttosto in quale misura l’articolo 11 del RGPD potrebbe contribuire a rispondere ai timori legittimi degli istituti nazionali di statistica. Ciò può essere rilevante nelle fasi del trattamento dei dati in cui sono già state cancellate le chiavi che collegano gli individui alle serie di dati che li riguardano e sono state adottate altre misure tecniche e organizzative per assicurare che gli individui non possano essere identificati nuovamente dagli istituti di statistica o da qualsiasi altra parte.

Il GEPD evidenzia, tuttavia, che durante il periodo iniziale, spesso necessario per la preparazione delle statistiche e nel corso del quale gli individui devono rimanere direttamente o indirettamente identificabili, continuano ad applicarsi le norme generali esposte nel RGPD. Il fatto che la messa in atto di misure tecniche e organizzative per fornire alle persone l’accesso e altri diritti potrebbe richiedere risorse finanziarie e umane non costituisce, di per sé, una valida giustificazione per derogare ai diritti degli individui ai sensi del RGPD. Ciò vale per tutti i diritti degli interessati ai sensi del RGPD ed è particolarmente importante per i diritti di accesso e di rettifica espressamente previsti dalla Carta, che costituiscono elementi essenziali del diritto fondamentale alla protezione dei dati personali.

1. INTRODUZIONE E CONTESTO

Il 9 dicembre 2016 la Commissione europea («Commissione») ha adottato una proposta di regolamento del Parlamento europeo e del Consiglio relativo alle statistiche integrate sulle aziende agricole e che abroga i regolamenti (CE) n. 1166/2008 e (UE) n. 1337/2011 («proposta») (1). La proposta è intesa a creare un sistema più coerente, flessibile e interconnesso di statistiche sulle aziende agricole e a delineare il quadro legislativo per un programma di indagini sulle aziende agricole, a partire da un censimento dell’agricoltura previsto per il 2020.

Il progetto di regolamento in sé, proposto dalla Commissione previa consultazione del Garante europeo della protezione dei dati («GEPD»), ha sollevato solo poche questioni relative alla protezione dei dati, che sono state trattate in modo adeguato nella proposta. Il GEPD si compiace del fatto di essere stato consultato dalla Commissione prima dell’adozione della proposta e che le sue osservazioni informali siano state prese in considerazione. In particolare, condivide i riferimenti, nel considerando 16, alla legislazione applicabile in materia di protezione dei dati, la direttiva 95/46/CE del Parlamento europeo e del Consiglio (2) e le rispettive disposizioni nazionali di attuazione, nonché il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio (3), a seconda dei casi. Accoglie inoltre con favore il riferimento, nel considerando 16, al fatto che il GEPD è stato consultato. Dal momento che la proposta, pubblicata il 9 dicembre 2016, non sollevava significative preoccupazioni per quanto riguarda la protezione dei dati, il GEPD ha deciso, in quella fase, di non emettere un parere formale.

Tuttavia, da alcune delle modifiche esaminate nel contesto dei negoziati in seno al Consiglio dell’Unione europea («Consiglio») nel corso del processo legislativo emergono nuove questioni, inizialmente non presenti nella proposta della Commissione. Se tali modifiche dovessero essere incluse nel testo finale, il progetto di regolamento diventerebbe il primo strumento dell’UE a prevedere espressamente una deroga ai diritti di accesso e di rettifica, nonché al diritto di limitazione e al diritto di opporsi ai sensi dell’articolo 89 del regolamento generale sulla protezione dei dati («RGPD»).

Questo nuovo elemento significativo giustifica un parere del GEPD in questa fase della procedura. Il GEPD accoglie pertanto con favore il fatto che il Consiglio abbia deciso di consultarlo in merito a questo nuovo sviluppo e che gli abbia specificamente richiesto, il 26 settembre 2017, di esaminare tali modifiche proposte nel contesto dei negoziati in seno al Consiglio (4).

Lo scopo del presente parere è fornire raccomandazioni specifiche sul progetto di regolamento, con particolare riguardo ai progetti di modifica pertinenti in discussione in seno al Consiglio. Il punto centrale del presente parere, alla sezione 2, è esaminare e contribuire a valutare se le deroghe proposte soddisfino o meno il criterio di necessità per le deroghe a fini statistici di cui all’articolo 89 del RGPD e all’articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea («Carta»). Inoltre, nella sezione 3 il GEPD fornisce raccomandazioni per quanto riguarda le disposizioni proposte sulle garanzie.

4. CONCLUSIONI

Se le modifiche proposte dovessero essere incluse nel testo finale, il progetto di regolamento diventerebbe il primo strumento legislativo dell’UE a prevedere una deroga ai diritti di accesso e di rettifica, nonché al diritto di limitazione e al diritto di opporsi al trattamento dei dati personali a fini statistici ai sensi dell’articolo 89 del RGPD. In considerazione della novità e dell’importanza di questo argomento, il GEPD accoglie con favore e apprezzamento la consultazione del Consiglio e le preoccupazioni di quest’ultimo circa l’impatto che questa proposta potrebbe avere sulla protezione dei dati personali.

— Il GEPD raccomanda che il Consiglio rivaluti la necessità delle deroghe proposte sotto il profilo del criterio stabilito all’articolo 89 del RGPD, letto alla luce della Carta.

— A meno che il legislatore europeo possa fornire ulteriori giustificazioni alla necessità di tali deroghe e adeguare il campo di applicazione delle disposizioni in senso più restrittivo, il GEPD raccomanda di considerare piuttosto in quale misura l’articolo 11 del RGPD potrebbe contribuire a rispondere ai timori legittimi degli istituti nazionali di statistica. In particolare, ciò può essere rilevante nelle fasi del trattamento dei dati in cui sono già state cancellate le chiavi che collegano gli individui alle serie di dati che li riguardano e sono state adottate altre misure tecniche e organizzative per assicurare che gli individui non possano essere identificati nuovamente dagli istituti di statistica o da qualsiasi altra parte.

Qualora in un momento successivo la necessità di deroghe specifiche risultasse giustificata, il GEPD intende formulare le seguenti raccomandazioni supplementari per quanto riguarda l’articolo 12 bis in materia di condizioni e garanzie:

— il GEPD accoglie con favore la chiara affermazione che i dati personali non sono utilizzati per adottare misure o decisioni concernenti un determinato interessato;

— il GEPD si compiace altresì della disposizione che prevede che i dati personali siano utilizzati solo a fini statistici;

— il GEPD raccomanda una revisione del testo, affinché preveda chiaramente che il trattamento dei dati personali sia sottoposto a pseudonimizzazione e (anziché o) ad altre garanzie adeguate di cui all’articolo 89, paragrafo 1.

Bruxelles, 20 novembre 2017 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) COM(2016) 786 final - 2016/0389 (COD).

(2) Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281 del 23.11.1995, pag. 31).

(3) Regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GU L 8 del 12.1.2001, pag. 1).

(4) Cfr. la nota della presidenza alle delegazioni concernente «il considerando 16 bis e l’articolo 12 bis nel testo della presidenza (protezione dei dati)» (rif. n. 12351/17) datata Bruxelles, 21 settembre 2017. Questo documento è anche disponibile al pubblico nel registro del Consiglio all’indirizzo http://data.consilium.europa.eu/doc/document/ST-12351-2017-INIT/en/pdf