IT Gazzetta ufficiale dell'Unione europea C 463/10

Sintesi esecutiva del parere del Garante europeo della protezione dei dati sui sistemi di gestione delle informazioni personali

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2016/C 463/10)

Il presente parere illustra il concetto di tecnologie ed ecosistemi volti a porre gli individui in condizione di controllare la condivisione dei propri dati personali («sistemi di gestione delle informazioni personali» o, più brevemente, «PIMS»).

La nostra visione è di creare una nuova realtà, in cui le persone gestiscono e controllano la propria identità online. Il nostro obiettivo è di trasformare l’attuale sistema incentrato sui fornitori in un sistema incentrato sull’individuo, in cui le persone sono protette dal trattamento illecito dei loro dati e da tecniche intrusive di monitoraggio e profilazione che mirano a eludere i principi fondamentali di protezione dei dati.

Questa nuova realtà sarà agevolata da un quadro normativo dell’UE modernizzato e dalle opportunità offerte da una rigorosa attuazione integrata, da parte di tutte le autorità di vigilanza e di regolamentazione competenti.

Il regolamento generale sulla protezione dei dati (RGPD) recentemente adottato consolida e modernizza il quadro normativo affinché mantenga la propria efficacia nell’era dei megadati, rafforzando la fiducia e la sicurezza degli utenti online e nel mercato unico digitale. Le nuove norme, comprese quelle in materia di maggiore trasparenza, ampi diritti di accesso e portabilità dei dati, hanno la funzione di assicurare agli utilizzatori un maggiore controllo sui propri dati e contribuire altresì a mercati più efficienti per i dati personali, a vantaggio di consumatori e aziende.

Recentemente abbiamo formulato un parere sull’applicazione efficace dei diritti fondamentali nell’era dei megadati. Questo mette in luce le attuali condizioni di mercato e le pratiche commerciali che creano ostacoli all’esercizio effettivo dei diritti delle persone alla protezione dei loro dati personali e di altri diritti fondamentali, e rende necessario rafforzare un’applicazione concertata e coerente della legislazione sulla concorrenza, sulla tutela dei consumatori e sulla tutela dei dati personali. È nostro auspicio che questo rafforzamento dell’applicazione delle norme servirà a creare condizioni di mercato favorevoli all’espansione di servizi rispettosi della vita privata. L’approccio espresso nel presente parere mira a rafforzare i diritti fondamentali nel nostro mondo digitale, offrendo al contempo alle imprese nuove opportunità di sviluppare servizi innovativi basati sui dati personali, fondati sulla fiducia reciproca. I PIMS promettono di offrire non solo una nuova architettura e organizzazione tecnica per la gestione dei dati, ma anche «trust frameworks» (quadri normativi che garantiscono la fiducia mediante programmi di certificazione) e, di conseguenza, modelli commerciali alternativi per la raccolta e il trattamento dei dati personali nell’era dei megadati in maniera più rispettosa della normativa europea in materia di protezione dei dati.

Nel presente parere, descriviamo brevemente cosa sono i PIMS, quali problemi sono destinati a risolvere e con quali modalità. Analizziamo quindi in che modo possono contribuire a una migliore protezione dei dati personali e a quali sfide sono confrontati. Infine, individuiamo soluzioni future per sfruttare le opportunità che questi offrono. Affinché i nuovi modelli commerciali per la protezione dei dati possano prosperare, potrebbero essere necessari ulteriori incentivi per i fornitori di servizi che li offrono. In particolare, occorre esaminare quali iniziative politiche potrebbero motivare i responsabili del trattamento dei dati ad accettare questa modalità di fornitura dei dati. Inoltre, un’iniziativa dei servizi pubblici per accettare come fonte di dati i PIMS, in luogo della raccolta diretta dei dati, potrebbe aumentare la massa critica dell’accettazione dei PIMS.

Il panorama emergente dei PIMS, intesi a consentire a individui e consumatori di riprendere il controllo dei loro dati personali, merita considerazione, sostegno e ulteriore ricerca, al fine di contribuire a un uso sostenibile ed etico dei megadati e all’effettiva attuazione dei principi del RGPD di recente adozione.

I. PIMS: CONDIVIDERE I DATI, CONDIVIDERE I VANTAGGI?

1. Le attuali condizioni per il trattamento dei dati personali sono spesso inique per le persone i cui dati vengono trattati. Presupposti legali e strumenti tecnici rendono difficile l’esercizio dei diritti da parte delle persone e permettono ai responsabili del trattamento dei dati di limitare la propria responsabilità. Intermediari che forniscono i dati, reti pubblicitarie, provider di social network ed altre società dispongono di archivi sempre più completi sulle persone che partecipano alla società digitale attuale, e gli individui stanno perdendo il controllo delle impronte digitali che si lasciano alle spalle. Oggetto di attenzione mirata, profilazione e valutazioni da parte di operatori, spesso al di là del loro controllo o perfino della loro conoscenza, gli individui possono sentirsi disarmati e devono essere messi in condizione di assumere il controllo della propria identità. Anche quando viene loro formalmente fornita una qualche forma di «informativa» e l’opportunità di esprimere il proprio «consenso» con riferimento ai termini e alle condizioni generali, gli individui si trovano spesso all’interno di un sistema progettato per massimizzare la monetizzazione dei dati personali, che non lascia loro né una scelta reale né il controllo.

2. La comunicazione della Commissione europea sui megadati (1) definisce un piano d’azione congiunto, volto alla protezione dei dati personali e alla tutela dei consumatori. Questo incoraggia specificamente l’utilizzo di «spazi di dati personali», quali luoghi incentrati sull’utente, sicuri e protetti, dove archiviare i dati personali ed eventualmente consentirne l’accesso ad altri. Condividiamo l’opinione secondo la quale strumenti digitali innovativi e modelli commerciali che potenziano il ruolo degli individui dovrebbero essere incoraggiati. Questi possono consentire agli individui di beneficiare di tale condivisione dei dati, vale a dire partecipare all’utilizzo e alla distribuzione delle loro informazioni personali.

3. Nel nostro parere «La risposta alle sfide dei megadati» (2) abbiamo sostenuto la necessità di integrare l’obbligo giuridico del consenso effettivo con un controllo concreto e pratico sulle informazioni personali. Abbiamo affermato che «anziché un onere amministrativo, la fornitura di diritti di accesso potrebbe diventare una caratteristica del servizio fornito ai clienti» e che le organizzazioni che sfruttano i megadati dovrebbero «essere disposte a condividere i profitti generati dal trattamento dei dati personali con le persone i cui dati vengono elaborati». In tale contesto abbiamo osservato che gli spazi di archiviazione dei dati personali potrebbero contribuire a dissipare alcune tra le perplessità concernenti la perdita del controllo individuale sui dati personali. Il regolamento generale sulla protezione dei dati (RGPD) recentemente adottato (3) ha rafforzato gli obblighi di legge per il consenso (4) e ha introdotto principi efficaci e moderni di protezione dei dati fin dalla progettazione e per impostazione predefinita (5), nonché un nuovo diritto alla portabilità dei dati (6). Affinché il nuovo quadro giuridico per la protezione dei dati possa mantener fede alla sua promessa, sono necessari strumenti pratici per permettere agli individui di esercitare i loro diritti in modo pratico e intuitivo.

4. Il presente parere esamina le nuove tecnologie e gli ecosistemi volti a mettere le persone in condizione di controllare la raccolta e la condivisione dei loro dati personali. A questo concetto faremo riferimento come «sistema di gestione delle informazioni personali» («PIMS») (7). Il concetto di PIMS propone un nuovo approccio, attraverso il quale gli individui sono titolari delle proprie informazioni personali. Questo potrebbe generare un cambiamento di paradigma nella gestione e nel trattamento dei dati personali, con conseguenze sociali ed economiche. Al contrario, l’attuale panorama dei servizi online è caratterizzato da un numero limitato di fornitori di servizi, che dominano il mercato monetizzando i dati personali degli utenti in cambio di servizi «gratuiti». Ciò è spesso accompagnato da uno squilibrio di potere, dove il cliente si trova dinanzi a un approccio del tipo «prendere o lasciare», e da un’asimmetria di informazioni tra fornitori di servizi e utenti, con poca o nessuna trasparenza per gli individui circa l’uso che viene fatto dei loro dati personali.

5. L’idea alla base del concetto di PIMS è quella di trasformare l’attuale sistema incentrato sui fornitori in un sistema incentrato su individui in grado di gestire e controllare la propria identità online (8). In linea di principio, gli individui dovrebbero poter decidere se e con chi condividere le loro informazioni personali, per quali scopi e per quanto tempo, e poterle tenere sotto controllo e ottenerne la restituzione quando lo desiderano. Vale la pena di approfondire come i PIMS potrebbero contribuire ad affrontare alcune delle preoccupazioni concernenti la perdita del controllo individuale sui dati personali, riconosciute tra i problemi chiave associati ai megadati (9).

6. Detto approccio mira a rafforzare i diritti fondamentali nel nostro mondo digitale, offrendo al contempo alle imprese nuove opportunità di sviluppare servizi innovativi basati sui dati personali, che si fondano sulla fiducia reciproca. I PIMS promettono di offrire una nuova architettura tecnica e un’organizzazione per la gestione dei dati, che sviluppino «trust frameworks». Essi intendono favorire la creazione di modelli commerciali alternativi per la raccolta e il trattamento dei dati personali nell’era dei megadati, in maniera più rispettosa della normativa europea sulla protezione dei dati.

7. Nel presente parere, descriviamo brevemente cosa sono i PIMS, quali problemi sono destinati a risolvere e con quali modalità (10). Analizziamo in che modo possono contribuire a una migliore protezione dei dati personali e a quali sfide sono confrontati. Infine, individuiamo soluzioni future per sfruttare le opportunità che essi offrono.

IV. CONCLUSIONI E PROSPETTIVE

4.1. Verso la piena applicazione del RGPD: opportunità

54. Come già accennato, il legislatore dell’UE ha recentemente adottato un pacchetto di riforme in materia di protezione dei dati, che rafforza e modernizza il quadro normativo, affinché mantenga la propria efficacia nell’era dei megadati.

55. Il nuovo RGPD, comprese le norme in materia di maggiore trasparenza, ampi diritti di accesso e portabilità dei dati, dovrebbe contribuire ad assicurare agli individui un maggiore controllo sui propri dati e contribuire altresì a mercati più efficienti per i dati personali, a vantaggio di consumatori e aziende.

56. I codici di condotta e i sistemi di certificazione previsti dal RGPD sono strumenti privilegiati per conferire visibilità e ruolo specifici a tecnologie e prodotti che, come i PIMS, potrebbero servire ad applicare in modo più efficace la legge sulla protezione dei dati a livello pratico.

57. Tuttavia, i PIMS si trovano ad affrontare la difficoltà generale di penetrare un mercato dominato da servizi online basati su modelli commerciali e architetture tecniche in cui le persone non hanno il controllo dei propri dati, come spiegato nella sezione 3.9. Il passaggio a una situazione in cui gli individui abbiano l’effettiva possibilità di consentire a un fornitore di servizi di accedere ad alcuni dati nei loro PIMS, anziché fornire direttamente i dati allo stesso, richiederà ulteriori incentivi per i fornitori di servizi. La Commissione può utilizzare le annunciate iniziative su flussi di dati e proprietà dei dati (11) per valutare quali iniziative politiche supplementari potrebbero motivare i responsabili del trattamento dei dati ad accettare questa modalità di fornitura dei dati. Inoltre, un’iniziativa dei servizi di pubblica amministrazione online (e-government) per accettare come fonte di dati i PIMS, in luogo della raccolta diretta dei dati, potrebbe aumentare la massa critica dell’accettazione dei PIMS.

58. Questa analisi potrebbe essere integrata da misure volte a porre le basi tecniche, sociali ed economiche, compresi gli sforzi di standardizzazione, gli incentivi economici e la promozione di progetti pilota e di ricerca.

59. Le amministrazioni pubbliche dell’Unione europea e degli Stati membri, e i progetti da essi cofinanziati, sono i primi luoghi in cui questo cambiamento di prospettiva dovrebbe essere sperimentato, promosso e idealmente realizzato.

4.2. Sostenere i PIMS e la tecnologia che ne sta alla base per garantire un’efficace protezione dei dati

60. Una buona regolamentazione, se pur essenziale, non è sufficiente. Come affermato nel nostro parere «La risposta alle sfide dei megadati» (12), le società e le altre organizzazioni che investono nella ricerca di modi innovativi di trattamento dei dati personali devono avere la stessa mentalità innovativa quando si tratta di applicare i principi di protezione dei dati.

61. Il contributo della tecnologia al modello dei PIMS è fondamentale. I PIMS possono essere utilizzati per sperimentare i metodi di protezione dei dati fin dalla progettazione e le tecnologie su cui si basano. Rientrano nei temi di ricerca pertinenti, dove sono necessari supporto e investimenti adeguati: la gestione dell’identità interoperabile e rispettosa della vita privata, i meccanismi di autorizzazione, l’interoperabilità dei dati, la sicurezza dei dati e i meccanismi per l’esecuzione automatica dei «contratti» stipulati tra le persone e altri soggetti. Tutto ciò è agevolato dalla crittografia e dalla crittazione, e sfrutta la disponibilità di potenza di calcolo a basso costo. Per non perdere le opportunità esistenti, in questa fase iniziale è necessario il sostegno determinante che i responsabili politici, come la Commissione, forniscono alla ricerca fondamentale e a quella applicata in questi settori tecnologici.

62. Al fine di promuovere la ricerca e lo sviluppo e la diffusione nel mercato nel settore dei PIMS, si raccomanda alla Commissione di pianificare possibili sinergie con altri settori della strategia per il mercato unico digitale, come il cloud computing e l’Internet degli oggetti. In questo modo, potrebbero prendere le mosse progetti pilota per progettare e valutare l’interazione dei servizi cloud e dell’Internet degli oggetti con i PIMS.

4.3. In che modo il GEPD intende portare avanti questo dibattito

63. Il GEPD mira a contribuire a promuovere gli sforzi pubblici e privati nella direzione sopra descritta. Continueremo ad agevolare i dibattiti, anche attraverso l’organizzazione di eventi/workshop, con lo scopo, ad esempio, di individuare, incoraggiare e promuovere le migliori pratiche per aumentare la trasparenza e rafforzare il controllo da parte degli utenti, ed esaminare le opportunità offerte dai PIMS. Continueremo, inoltre, ad agevolare il lavoro dell’Internet Privacy Engineering Network («IPEN») (rete di ingegneria per la tutela della vita privata su Internet) come polo di conoscenze interdisciplinari per ingegneri ed esperti di privacy. In questo contesto, continueremo a fornire una piattaforma per sviluppatori e promotori dei PIMS per arricchirsi negli scambi con specialisti in altre tecnologie e nella protezione dei dati.

Fatto a Marrakesh, il 20 ottobre 2016 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) Comunicazione COM(2014)442 «Verso una florida economia basata sui dati»: https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy

(2) Parere del GEPD 7/2015: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf Cfr. più specificamente la sezione 3.

(3) Regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4 maggio 2016, pag. 1)

(4) Cfr., tra l’altro, articoli 6, paragrafo 1, lettera a), 7 e 8 e i considerando 42-43, RGPD.

(5) Articolo 25, RGPD.

(6) Articolo 20, RGPD.

(7) Rientrano in questi concetti gli «spazi di archiviazione dei dati personali», gli «spazi di dati personali» o i «depositi di dati personali». In questo parere useremo il termine «PIMS», dal momento che sembra meglio descrivere il concetto in modo generale e facilmente comprensibile. Nel presente parere, l’abbreviazione «PIMS» può fare riferimento alla forma singolare o plurale: sistema di gestione delle informazioni personali o sistemi di gestione delle informazioni personali.

(8) Cfr. il considerando 7 RGPD: «È opportuno che le persone fisiche abbiano il controllo dei dati personali che li riguardano». Cfr. anche, per esempio, Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Cfr., ad esempio, Ira S. Rubinstein, Big Data: The End of Privacy or a New Beginning? International Data Privacy Law, 2013, Vol. 3, n. 2.

(10) Cfr., ad esempio, la relazione: «Personal Data Stores» (pazi di archiviazione dei dati personali), redatta dall’Università di Cambridge per la Commissione europea: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school

(11) Comunicazione: Digitising European Industry - Reaping the full benefits of a Digital Single Market http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm.

(12) Parere del GEPD 7/2015, supra.