Sintesi del parere del Garante europeo della protezione dei dati sul pacchetto della Commissione volto ad assicurare elezioni europee libere e corrette

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2019/C 47/05)

Il funzionamento dell’Unione si fonda sulla democrazia rappresentativa. La comunicazione politica è essenziale per consentire la partecipazione dei cittadini, delle forze politiche e dei candidati alla vita democratica e garantire il diritto fondamentale alla libertà di espressione. Questi diritti e libertà sono correlati al diritto al rispetto della vita privata e familiare, del domicilio e delle comunicazioni e al diritto alla protezione dei dati di carattere personale. Nei primi mesi dell’anno, nel suo parere 3/2018 sulla manipolazione online, il GEPD ha evidenziato i rischi rappresentati dai mercati concentrati per i diritti fondamentali.

Nel contesto del discorso sullo stato dell’Unione del 2018, la Commissione ha presentato un pacchetto sulla sicurezza volto ad assicurare elezioni europee libere e corrette. Il pacchetto si compone di una comunicazione, un documento di orientamento sull’applicazione del diritto dell’Unione in materia di protezione dei dati nel contesto elettorale, una raccomandazione e una proposta di regolamento riguardante la procedura di verifica relativa alle violazioni delle norme in materia di protezione dei dati personali nel contesto delle elezioni del Parlamento europeo. Il GEPD riconosce il riferimento al ruolo svolto dalle piattaforme dei media sociali e come questa iniziativa sia coerente con il codice di buone pratiche sulla disinformazione online. In vista delle prossime elezioni del Parlamento europeo nel maggio del prossimo anno, e delle numerose elezioni nazionali previste nel 2019, il GEPD riconosce altresì le raccomandazioni relative all’istituzione di reti nazionali per le questioni elettorali e di una rete europea di coordinamento e coglie l’opportunità per manifestare la propria disponibilità a partecipare a tale rete europea. Essa integrerà l’azione del GEPD in questo ambito, in particolare il seminario che organizzerà nel febbraio del prossimo anno. Il GEPD riconosce inoltre la raccomandazione rivolta agli Stati membri di svolgere una valutazione globale dei rischi associati alle elezioni del Parlamento europeo al fine di individuare potenziali incidenti di cybersicurezza che possono compromettere l’integrità del processo elettorale e sottolinea l’urgenza della questione.

In generale, il GEPD ritiene che, a fini di maggiore chiarezza, si sarebbe potuto inserire un riferimento al trattamento dei dati personali da parte del Parlamento europeo, dell’Autorità per i partiti politici europei e le fondazioni politiche europee e del comitato di personalità indipendenti, precisando che tale trattamento rientra nell’ambito di applicazione del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) 45/2001 e la decisione n. 1247/2002/CE (1) [in precedenza, regolamento (CE) n. 45/2001]. Inoltre, e più specificamente, il GEPD formula alcune raccomandazioni in merito alla proposta di regolamento, tra cui chiarire l’ambito di applicazione delle misure e le finalità complementari delle sanzioni, includere le decisioni del GEPD relative alla constatazione di una violazione del regolamento (UE) 2018/1725, inserire un riferimento all’attuale quadro giuridico in materia di protezione dei dati per la cooperazione tra le autorità nazionali di controllo della protezione dei dati e il GEPD e garantire la riservatezza dello scambio di informazioni nel contesto della cooperazione tra le autorità di controllo della protezione dei dati e il comitato di personalità indipendenti.

1. Introduzione e contesto

1. Nel contesto del discorso sullo stato dell’Unione del 2018, il 12 settembre 2018 la Commissione ha presentato un pacchetto sulla sicurezza volto ad assicurare elezioni europee libere e corrette. Il pacchetto è costituito da una proposta legislativa accompagnata da tre misure non legislative: — una proposta di regolamento del Parlamento europeo e del Consiglio che modifica il regolamento (UE, Euratom) n. 1141/2014 per quanto riguarda la procedura di verifica relativa alle violazioni delle norme in materia di protezione dei dati personali nel contesto delle elezioni del Parlamento europeo [COM(2018) 636 final/2] (in appresso, la «proposta di regolamento»); — una comunicazione su come assicurare elezioni europee libere e corrette [COM(2018) 637 final] (in appresso, la «comunicazione»); — una raccomandazione relativa alle reti di cooperazione in materia elettorale, alla trasparenza online, alla protezione dagli incidenti di cibersicurezza e alla lotta contro le campagne di disinformazione nel contesto delle elezioni del Parlamento europeo [C(2018) 5949 final] (in appresso, la «raccomandazione») e — orientamenti sull’applicazione del diritto dell’Unione in materia di protezione dei dati nel contesto elettorale [COM(2018) 638 final] (in appresso, gli «orientamenti»).

2. Il pacchetto è stato adottato al fine di assicurare elezioni del Parlamento europeo libere e corrette nel maggio 2019, tenendo conto delle nuove sfide poste dalla comunicazione online e delle recenti rivelazioni, per esempio sul caso «Facebook/Cambridge Analytica» ( 2 ) . È presentato assieme a una proposta di regolamento del Parlamento europeo e del Consiglio che istituisce il Centro europeo di competenza industriale, tecnologica e di ricerca sulla cibersicurezza e la rete dei centri nazionali di coordinamento [COM(2018) 630 final] ( 3 )

3. Tale pacchetto è complementare alla comunicazione della Commissione del 26 aprile 2018«Contrastare la disinformazione online: un approccio europeo» [COM(2018) 236 final], che mira a promuovere un ambiente online più trasparente, affidabile e responsabile. Uno dei suoi principali obiettivi, il codice di buone pratiche sulla disinformazione in regime di autoregolamentazione, è stato pubblicato il 26 settembre 2018. La Commissione ha inoltre pubblicato il parere del gruppo di soggetti interessati del forum multilaterale sul codice di buone pratiche ( 4 ) . Le azioni previste in questa comunicazione, compreso il codice di buone pratiche, integrano l’attività in corso del SEAE. A seguito delle conclusioni del Consiglio europeo del 28 giugno 2018 ( 5 ) , la Commissione e l’Alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza, in collaborazione con gli Stati membri, presenteranno entro la fine dell’anno un piano di azione rivisto per contrastare la disinformazione ( 6 )

4. mira a consentire l’irrogazione di sanzioni pecuniarie nei confronti dei partiti politici europei o delle fondazioni politiche europee che utilizzano le violazioni delle norme in materia di protezione dei dati al fine di influenzare o di tentare di influenzare deliberatamente l’esito delle elezioni del Parlamento europeo » sarà aggiunta all’elenco delle violazioni che impediscono ai partiti politici europei o alle fondazioni politiche europee di chiedere un finanziamento a carico del bilancio generale dell’Unione europea nell’anno di irrogazione della sanzione » Autorità ») per influenzare le elezioni del Parlamento europeo » irrogare sanzioni adeguate » ( 12 ). Il regolamento proposto « ( 7 ) . Oltre alle sanzioni pecuniarie che possono essere inflitte ai partiti politici europei e alle fondazioni politiche europee, pari al 5 % del loro bilancio annuale ( 8 ) , una nuova motivazione « ( 9 ) . Nella raccomandazione, la Commissione incoraggia le autorità nazionali di controllo della protezione dei dati, istituite a norma del regolamento generale sulla protezione dei dati, a informare immediatamente e in modo proattivo l’Autorità per i partiti politici europei e le fondazioni politiche europee (in appresso, l’«») ( 10 ) delle loro decisioni relative alla constatazione di una violazione delle norme applicabili in materia di protezione dei dati, qualora la violazione sia collegata alle attività politiche svolte da un partito politico europeo o una fondazione politica europea « ( 11 ) . Nei casi riguardanti partiti politici europei o fondazioni politiche europee, la Commissione raccomanda inoltre agli Stati membri di «

5. [i]n tal modo potranno individuare rapidamente potenziali minacce per le elezioni del Parlamento europeo e intervenire rapidamente per far rispettare le norme vigenti, comprese le sanzioni finanziarie previste, quali la restituzione del contributo pubblico » ( 16 ). La raccomandazione incoraggia inoltre l’istituzione di una rete nazionale per le questioni elettorali in ciascuno Stato membro e di una rete europea di coordinamento ai fini delle elezioni del Parlamento europeo ( 13 ) . Quest’ultima darà seguito al primo scambio organizzato dalla Commissione fra i paesi dell’Unione sulle migliori pratiche elettorali nell’aprile 2018. Sarà costituita dai punti di contatto nazionali e dovrebbe riunirsi in gennaio e aprile 2019 ( 14 ) . È concepita in termini di procedura di allarme europea in tempo reale e di forum per lo scambio di informazioni. Le reti nazionali mireranno, fra l’altro, a favorire lo scambio di informazioni tra le autorità nazionali competenti in materia elettorale e di cybersicurezza, le autorità nazionali incaricate della protezione dei dati e le autorità o gli organismi nazionali di regolamentazione del settore audiovisivo su questioni che possono incidere sulle elezioni europee. La Commissione raccomanda che tali reti nazionali si consultino e cooperino con le autorità di contrasto nazionali competenti conformemente al diritto nazionale ( 15 ) e che, ove opportuno, la cooperazione a livello europeo tra le autorità di contrasto nazionali sia agevolata da Europol. Secondo la Commissione, «

6. La Commissione propone infine alcune raccomandazioni ( 17 ) per favorire la trasparenza nei messaggi pubblicitari di natura politica in vista delle elezioni del Parlamento europeo e incoraggia gli Stati membri ad adottare opportune misure nel settore della cybersicurezza del processo elettorale europeo, nonché a impegnarsi con i terzi, tra cui le piattaforme online e i fornitori di tecnologie dell’informazione, in attività di sensibilizzazione volte a migliorare la trasparenza e infondere fiducia nel processo elettorale.

7. devono esercitare pienamente i maggiori poteri loro attribuiti per reagire a possibili violazioni » ( 18 ). Gli orientamenti illustrano l’attuale quadro dell’Unione in materia di protezione dei dati e la sua applicazione nel contesto elettorale. Secondo la Commissione, poiché è la prima volta che il regolamento generale sulla protezione dei dati sarà applicato nel contesto elettorale europeo, è importante che tutti i soggetti coinvolti nel processo elettorale abbiano chiaro come applicare tali norme nel modo migliore. La Commissione sottolinea che le le autorità nazionali per la protezione dei dati «

8. proteggere i sistemi democratici dell’Unione e combattere la disinformazione, anche nell’ambito delle prossime elezioni europee, nel pieno rispetto dei diritti fondamentali. A tale riguardo, le misure proposte dalla Commissione concernenti le reti di cooperazione in materia elettorale, la trasparenza online, la protezione dagli incidenti di cybersicurezza, la manipolazione illecita di dati e la lotta contro le campagne di disinformazione, come pure l’inasprimento delle norme relative al finanziamento dei partiti politici europei, meritano un esame e un seguito operativo in tempi rapidi da parte delle autorità competenti Il 18 ottobre 2018 il Consiglio europeo ha chiesto misure tese a « ( 19 ) ».

9. le misure proposte dalla Commissione per garantire che le elezioni europee siano libere e regolari, in particolare la modifica legislativa intesa a rafforzare le norme sui finanziamenti dei partiti politici europei prevedendo la possibilità di imporre sanzioni finanziarie in caso di violazione delle norme sulla protezione dei dati con l’intento di influire sull’esito delle elezioni europee », che « il trattamento dei dati personali da parte dei partiti politici nell’UE è disciplinato dal regolamento generale sulla protezione dei dati e che la violazione dei principi, dei diritti e degli obblighi previsti da tale normativa comporterebbe ammende e sanzioni supplementari ». Il Parlamento europeo ritiene « l’interferenza elettorale un rischio enorme per la democrazia, da affrontare mediante uno sforzo congiunto che veda associati i fornitori di servizi, le autorità di regolamentazione nonché gli attori e i partiti politici » e accoglie con favore il pacchetto della Commissione Il 25 ottobre 2018 il Parlamento europeo ha adottato una risoluzione in cui rammenta «», che «». Il Parlamento europeo ritiene «» e accoglie con favore il pacchetto della Commissione ( 20 ) . Il 3 dicembre 2018 la commissione per le libertà civili, la giustizia e gli affari interni del Parlamento europeo ha adottato un parere sulla proposta di regolamento ( 21 ) . Il 6 dicembre 2018 la commissione per gli affari costituzionali ha adottato una relazione sulla proposta di regolamento ( 22 )

10. Il Garante europeo della protezione dei dati (in appresso, « GEPD ») si compiace della consultazione informale da parte della Commissione sulla proposta di regolamento, la raccomandazione e gli orientamenti prima della loro adozione e del fatto che le sue osservazioni informali siano state in parte prese in considerazione. Sottolinea tuttavia che, a causa del breve preavviso, si trattava di osservazioni preliminari. Il GEPD presenta pertanto le osservazioni formali seguenti. A questo proposito, desidera ricordare che, quando adotta una proposta legislativa relativa alla tutela dei diritti e delle libertà delle persone fisiche con riguardo al trattamento dei dati personali, come nel caso in esame, la Commissione è tenuta a consultare il GEPD.

3. Conclusione

36. Il GEPD riconosce che la comunicazione politica è essenziale per consentire la partecipazione dei cittadini, delle forze politiche e dei candidati alla vita democratica e garantire il diritto fondamentale alla libertà di espressione e che questi diritti e libertà sono correlati al diritto al rispetto della vita privata e familiare, del domicilio e delle comunicazioni, di cui all’articolo 7 della Carta, e al diritto alla protezione dei dati di carattere personale, di cui all’articolo 8 della Carta.

37. Riconosce il riferimento contenuto, in particolare, nella comunicazione e negli orientamenti al ruolo svolto dalle piattaforme dei media sociali e come questa iniziativa sia coerente con il codice di buone pratiche sulla disinformazione online.

38. In vista delle prossime elezioni del Parlamento europeo nel maggio del prossimo anno, e delle numerose elezioni nazionali previste nel 2019, il GEPD riconosce altresì le raccomandazioni relative all’istituzione di reti nazionali per le questioni elettorali e di una rete europea di coordinamento e coglie l’opportunità per manifestare la propria disponibilità a partecipare a tale rete europea. Essa integrerà l’azione del GEPD in questo ambito, in particolare il seminario che organizzerà nel febbraio del prossimo anno.

39. Il GEPD riconosce inoltre la raccomandazione rivolta agli Stati membri di svolgere una valutazione globale dei rischi associati alle elezioni del Parlamento europeo al fine di individuare potenziali incidenti di cybersicurezza che possono compromettere l’integrità del processo elettorale e sottolinea l’urgenza della questione.

40. In generale, il GEPD ritiene che, a fini di maggiore chiarezza, si sarebbe potuto inserire un riferimento al trattamento dei dati personali da parte del Parlamento europeo, dell’Autorità e del comitato, precisando che tale trattamento rientra nell’ambito di applicazione del regolamento (UE) 2018/1725 sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati [in precedenza, regolamento (CE) n. 45/2001].

41. Inoltre, e più specificamente, il GEPD formula alcune raccomandazioni in merito alla proposta di regolamento, tra cui: — chiarire l’ambito di applicazione delle misure e le finalità complementari delle sanzioni; — includere le decisioni del GEPD relative alla constatazione di una violazione del regolamento (UE) n. 2018/1725; — inserire un riferimento all’attuale quadro giuridico in materia di protezione dei dati per la cooperazione tra le autorità nazionali di controllo della protezione dei dati e il GEPD; e — garantire la riservatezza dello scambio di informazioni nel contesto della cooperazione tra le autorità di controllo della protezione dei dati e il comitato di personalità indipendenti.

Bruxelles, 18 dicembre 2018 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) GU L 295 del 21.11.2018, pag. 39.

(2) Comunicazione, pag. 2.

(3) http://europa.eu/rapid/press-release_IP-18-5681_it.htm

(4) Il codice e i relativi allegati, nonché il parere del gruppo di soggetti interessati, sono disponibili all’indirizzo: https://ec.europa.eu/digital-single-market/en/news/code-practice-disinformation.

(5) Disponibile all’indirizzo: https://www.consilium.europa.eu/media/35947/28-euco-final-conclusions-it.pdf

(6) Comunicazione, pag. 10.

(7) Relazione della proposta di regolamento, pag. 2.

(8) Cfr. articolo 27, paragrafo 4, lettera a), del regolamento n. 1141/2014 e la scheda informativa della Commissione «Elezioni europee libere ed eque», disponibile all’indirizzo: https://ec.europa.eu/commission/sites/beta-political/files/soteu2018-factsheet-free-fair-elections_it.pdf

(9) Relazione della proposta di regolamento, pag. 6.

(10) L’Autorità è stata istituita a norma del regolamento n. 1141/2014 (articolo 6).

(11) Raccomandazione 6. Inoltre, nella sua comunicazione (pag. 7), la Commissione «invita gli Stati membri a promuovere, a norma del diritto applicabile, nazionale e dell’Unione, la condivisione delle informazioni tra le autorità per la protezione dei dati e le autorità incaricate del monitoraggio delle elezioni e delle attività e del finanziamento dei partiti politici, qualora dalle loro decisioni consegua, o vi siano altrimenti ragionevoli motivi di ritenere, che la violazione sia legata ad attività politiche dei partiti politici nazionali o delle fondazioni politiche nazionali nel contesto delle elezioni del Parlamento europeo ». Sottolineatura aggiunta.

(12) Raccomandazione 11.

(13) Raccomandazioni da 1 a 5.

(14) Comunicazione, pagg. 7-8, e scheda informativa della Commissione «Elezioni europee libere ed eque», disponibile all’indirizzo: https://ec.europa.eu/commission/sites/beta-political/files/soteu2018-factsheet-free-fair-elections_it.pdf

(15) Comunicazione, nota 20: «[e]sse riguardano in particolare i casi in cui il processo elettorale è preso di mira con intento illecito, ivi compresi gli incidenti dovuti ad attacchi contro i sistemi di informazione. A seconda delle circostanze, possono risultare necessarie indagini penali che possono sfociare in sanzioni penali. Come osservato in precedenza, la direttiva 2013/40/UE ha armonizzato le definizioni dei reati e dei livelli massimi minimi delle sanzioni per gli attacchi contro i sistemi di informazione».

(16) Comunicazione, pag. 7.

(17) Raccomandazioni da 7 a 10 e da 12 a 19.

(18) Comunicazione, pag. 9, punto 3 «Applicare le norme sulla protezione dei dati nel processo elettorale».

(19) Le conclusioni sono disponibili al seguente indirizzo: https://www.consilium.europa.eu/media/36788/18-euco-final-conclusions-it.pdf

(20) Cfr. punti da 10 a 12 della risoluzione sull’utilizzo dei dati degli utenti Facebook da parte di Cambridge Analytica e l’impatto sulla protezione dei dati, P8_TA-PROV(2018)0433 [2018/2855(RSP)], disponibile all’indirizzo: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//NONSGML+TA+P8-TA-2018-0433+0+DOC+PDF+V0//IT, sottolineatura aggiunta.

(21) Disponibile all’indirizzo: http://www.europarl.europa.eu/sides/getDoc.do?type=COMPARL&reference=PE-630.530&format=PDF&language=IT&secondRef=02

(22) Disponibile all’indirizzo: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//NONSGML+REPORT+A8-2018-0435+0+DOC+PDF+V0//IT