IT Gazzetta ufficiale dell'Unione europea C 248/123

Parere del Comitato economico e sociale europeo in merito alla comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni — Un approccio globale alla protezione dei dati personali nell'Unione europea

COM(2010) 609 definitivo

2011/C 248/21

Relatore: MORGAN

La Commissione europea, in data 4 novembre 2010, ha deciso, conformemente al disposto dell'articolo 304 del Trattato sul funzionamento dell'Unione europea, di consultare il Comitato economico e sociale europeo in merito alla:

Comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni - Un approccio globale alla protezione dei dati personali nell'Unione europea

COM(2010) 609 definitivo.

La sezione specializzata Occupazione, affari sociali, cittadinanza, incaricata di preparare i lavori del Comitato in materia, ha formulato il proprio parere in data 27 maggio 2011.

Alla sua 472a sessione plenaria, dei giorni 15 e 16 giugno 2011 (seduta del 16 giugno), il Comitato economico e sociale europeo ha adottato il seguente parere con 155 voti favorevoli, 9 voti contrari e 12 astensioni.

1. Conclusioni e raccomandazioni

1.1 La legislazione dell'UE in materia di protezione dei dati è basata sulla direttiva 95/46/CE del 1995, che fissa i seguenti due obiettivi generali:

(1) Gli Stati membri garantiscono la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.

(2) Gli Stati membri non possono restringere o vietare la libera circolazione dei dati personali tra Stati membri, per motivi connessi alla tutela garantita a norma del paragrafo 1.

È essenziale raggiungere un equilibrio tra questi obiettivi per evitare che entrino in conflitto. Il fine principale di una nuova normativa deve essere la creazione di un quadro giuridico che contribuisca a realizzarli entrambi.

1.2 Il CESE accoglie con favore la comunicazione in esame, in cui viene presentato l'approccio che la Commissione intende adottare per aggiornare la direttiva 95/46/CE sulla protezione dei dati. Lo sviluppo travolgente di nuove tecnologie sta creando un aumento esponenziale del trattamento di dati on-line, il che richiede un rafforzamento corrispondente della protezione dei dati personali, se si vuole evitare un'intrusione su larga scala nella vita privata dei cittadini. La rilevazione, la collazione e la gestione dei dati provenienti da molteplici fonti devono essere attentamente circoscritte. Il settore pubblico detiene molti fascicoli su diversi aspetti del rapporto tra i cittadini e lo Stato. I dati raccolti dovrebbero essere il minimo necessario per ciascun fine, e andrebbe vietata l'operazione di riunirli tutti in una banca dati globale stile «grande fratello».

1.3 Nello stesso tempo, tuttavia, il CESE invita alla prudenza. Le normative che disciplinano le attività imprenditoriali devono continuare ad essere stabili e prevedibili. Il CESE è pertanto favorevole a una revisione adeguata della direttiva sulla protezione dei dati.

1.4 La Commissione riconosce che una delle preoccupazioni ricorrenti delle parti interessate, in particolare delle società multinazionali, sia l'insufficiente armonizzazione delle norme di protezione dei dati vigenti negli Stati membri, nonostante l'esistenza di un quadro giuridico comune dell'Unione. Il CESE propone che le nuove normative offrano una protezione più coerente dei dati personali dei lavoratori in tutta l'UE, creando un quadro europeo inteso a rafforzare la chiarezza e la certezza giuridica. A questo proposito il CESE accoglie con particolare favore l'intenzione di rendere obbligatoria la nomina di un responsabile della protezione dei dati indipendente e di armonizzare le regole sulle sue funzioni e competenze.

1.5 Considerato il possibile conflitto tra la vita privata del singolo individuo e lo sfruttamento commerciale dei dati che lo riguardano, nonché l'importanza della posta in gioco, i cittadini devono diventare sempre più consapevoli delle finalità per cui i loro dati vengono raccolti e dei poteri che hanno poi di controllarli. Per questo motivo il CESE ritiene che, per una proposta veramente «globale», un'applicazione efficace e un'effettiva possibilità di ricorso siano un presupposto imprescindibile. Inoltre occorre coprire anche la dimensione transfrontaliera.

1.6 Per quanto riguarda i cittadini dell'UE, nell'Unione europea dovrebbe essere applicata la normativa vigente nello Stato membro del responsabile del trattamento, ovunque tali dati siano conservati. Nel caso di soggetti vulnerabili, in particolare i lavoratori e i consumatori, dovrebbe essere applicata la normativa in materia di protezione dei dati del loro luogo di residenza abituale.

1.7 Nella comunicazione il riferimento ai minori è solo sommario, mentre occorre prestare particolare attenzione alle questioni legate alla loro vita privata. Grazie al diritto all'oblio, si potrebbero eliminare le tracce di bravate infantili e di piccoli reati compiuti nell'adolescenza, ma tale diritto rischia di non essere attuabile nella pratica.

1.8 La definizione attuale di «dati sensibili» deve essere chiarita man mano che le categorie di dati elettronici sugli individui continuano ad aumentare. A giudizio del CESE, l'utilizzo ampio e indiscriminato della videosorveglianza può costituire un problema. È essenziale applicare la legge che limita l'abuso di queste immagini. I dati GPRS relativi all'ubicazione di un individuo rappresentano un'altra questione controversa, ed è in aumento la rilevazione di dati biometrici. Pertanto, la definizione di cui sopra dovrebbe comprendere anche queste nuove tecnologie e metodologie, e tenere conto degli ulteriori sviluppi tecnologici. Potrebbe essere necessario stabilire dei principi da applicare nei diversi contesti. Il CESE raccomanda che queste nuove tecnologie vengano impiegate in modo appropriato.

1.9 Pur riconoscendo il carattere sensibile della cooperazione di polizia tra gli Stati, il CESE ritiene essenziale che i diritti fondamentali, tra cui la protezione dei dati personali, siano tenuti nella massima considerazione in ogni momento.

1.10 Il CESE sostiene l'intento generale della Commissione di assicurare un'applicazione più coerente delle norme UE di protezione dei dati in tutti gli Stati membri. Il Comitato teme infatti che non tutti i dodici «nuovi» Stati membri abbiano pienamente ed effettivamente recepito la direttiva 95/46.

1.11 A giudizio del CESE, le autorità nazionali di protezione dei dati sono generalmente prive di strumenti efficaci e sovraccariche di lavoro, e la loro indipendenza deve essere rafforzata. Qualsiasi nuova direttiva dovrebbe prevedere che tali autorità nazionali abbiano lo status, i poteri e le risorse necessarie per svolgere il loro ruolo.

1.12 In considerazione del contributo dato finora dal Gruppo di lavoro articolo 29 alla protezione degli individui per quanto riguarda il trattamento dei dati personali, il CESE ritiene che tale gruppo debba continuare a svolgere il suo ruolo prezioso.

1.13 Nel quadro dell'Agenda digitale dell'UE, il CESE chiede alla Commissione di valutare la possibilità di istituire un'autorità UE incaricata di esaminare le più ampie ramificazioni di Internet nella società su un periodo da dieci a vent'anni. Le disposizioni vigenti in materia di protezione dei dati personali e cibersicurezza in generale stanno diventando sempre meno adeguate, e la società cerca di recuperare il ritardo accumulato. In materia di protezione dei dati, il CESE raccomanda di nominare un garante della protezione dei dati a livello UE. L'attuale garante si occupa solo delle istituzioni europee, mentre ce ne vorrebbe uno responsabile del coordinamento tra Stati membri e delle norme operative. Questa nomina coprirebbe però soltanto una parte delle competenze dell'autorità generale proposta dal Comitato.

2. Introduzione

2.1 Il CESE continua a condividere i principi su cui era basata la direttiva del 1995. Seguono alcuni brani sintetizzati tratti dalla direttiva, da cui si evincono chiaramente i principi su cui essa è basata:

— Articolo 6 Gli Stati membri dispongono che i dati personali devono essere: a) trattati lealmente e lecitamente, b) rilevati per finalità determinate, esplicite e legittime, c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati, d) esatti e, se necessario, aggiornati; e) conservati in modo da consentire l'identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati.

— Articolo 7 Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando: a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, oppure b) è necessario all'esecuzione del contratto concluso con la persona interessata, oppure c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure d) è necessario per la salvaguardia dell'interesse vitale della persona interessata, oppure e) è necessario per l'esecuzione di un compito di interesse pubblico, oppure f) è necessario per il perseguimento dell'interesse legittimo del responsabile del trattamento.

— Articolo 8 Gli Stati membri vietano il trattamento di dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, nonché il trattamento di dati relativi alla salute e alla vita sessuale.

2.2 Nell'ultimo decennio la situazione è notevolmente mutata a seguito delle nuove disposizioni dell'articolo 16 del Trattato di Lisbona e dell'articolo 8 della Carta dei diritti fondamentali.

2.3 Obiettivo della comunicazione è definire l'approccio della Commissione per modernizzare il quadro giuridico dell'UE che disciplina la protezione dei dati personali in tutti i settori di attività dell'Unione, tenendo conto in particolare delle sfide generate dalla globalizzazione e dalle nuove tecnologie in modo da continuare a garantire un livello elevato di protezione delle persone fisiche con riguardo al trattamento dei dati personali in tutti i settori di attività dell'Unione.

2.4 Oggigiorno è diventato più semplice e rapido scambiare informazioni in tutto il mondo. Ad esempio, i dati personali di un individuo - e-mail, fotografie e agende elettroniche - possono essere creati nel Regno Unito utilizzando un software ospitato in Germania, trattati in India, conservati in Polonia e consultati in Spagna da un cittadino italiano. Tale rapido aumento dei flussi di informazione nel mondo rappresenta un'importante sfida per il diritto dei cittadini alla privacy dei dati personali. Le questioni relative alla protezione dei dati, tra cui la loro dimensione transfrontaliera, condizionano la vita quotidiana delle persone: al lavoro, nei contatti con le autorità pubbliche, nell'acquisto di beni o servizi, in viaggio oppure «navigando» su Internet.

2.5 Nel 2011 la Commissione proporrà un atto legislativo per la revisione del quadro giuridico sulla protezione dei dati, con l'intento di consolidare la posizione dell'UE nei confronti della protezione dei dati personali in tutte le politiche europee, anche nelle attività di contrasto e prevenzione della criminalità, considerate le specificità di questi settori. In parallelo saranno messe a punto misure non legislative come la promozione dell'autoregolazione e lo studio della fattibilità di marchi europei di certificazione della privacy (o privacy seals).

2.6 La Commissione continuerà poi ad assicurare un adeguato controllo della corretta applicazione del diritto dell'Unione in questo ambito, perseguendo una politica attiva contro le infrazioni ogni qualvolta non siano correttamente attuate e applicate le norme europee di protezione dei dati.

2.7 L'approccio globale alla protezione dei dati si prefigge i seguenti obiettivi chiave:

— rafforzare i diritti delle persone

— rafforzare la dimensione «mercato interno»

— rivedere le norme di protezione dei dati nell'ambito della cooperazione di polizia e giudiziaria in materia penale

— tenere conto della dimensione globale della protezione dei dati

— rafforzare l'assetto istituzionale per un'applicazione effettiva delle norme di protezione dei dati.

Le seguenti sezioni da 3 a 7 sintetizzano tali obiettivi e presentano il punto di vista del CESE sulle proposte. I titoli in neretto seguono la struttura della comunicazione. Il testo in corsivo è una sintesi di brani della comunicazione.

3. Rafforzare i diritti delle persone

3.1 Garantire una protezione adeguata in ogni circostanza

La Carta dei diritti fondamentali comprende il diritto alla protezione dei dati personali. La definizione di «dati personali» intende coprire qualsiasi informazione concernente una persona fisica identificata o identificabile. Si valuterà in che modo assicurare l'applicazione coerente delle norme di protezione dei dati, tenendo conto delle ripercussioni delle nuove tecnologie sui diritti e sulle libertà delle persone e dell'obiettivo di garantire la libera circolazione dei dati personali nel mercato interno.

3.1.1 La libera circolazione dei dati personali nel mercato interno è necessaria per garantire il pieno funzionamento di quest'ultimo; tuttavia essa può rappresentare anche una minaccia alla protezione dei dati conservati dalle società in merito ai loro dipendenti. Occorre introdurre garanzie specifiche, come la responsabilità dell'addetto al trattamento di dati per lo scambio multinazionale e l'utilizzo della criptazione per i dati più sensibili.

3.1.2 Il CESE sottolinea che il settore dell'occupazione è praticamente escluso non soltanto dalla comunicazione in esame, ma dall'intero dibattito sulla protezione dei dati in Europa. I lavori già effettuati a livello europeo andrebbero utilizzati come punto di partenza, in particolare le proposte presentate dal Gruppo di lavoro articolo 29.

3.2 Migliorare la trasparenza per gli interessati

La trasparenza è una condizione fondamentale per permettere alle persone di esercitare un controllo sui propri dati e per assicurare una protezione efficace dei dati personali. Saranno presi in considerazione un principio generale di trasparenza del trattamento dei dati, obblighi specifici per i responsabili del trattamento, in particolare in relazione ai minori, avvisi informativi standard sulla privacy e l'obbligo di comunicare le violazioni di dati personali.

3.2.1 Gli avvisi standard sono preferibili poiché evitano i conflitti di interesse. Il loro utilizzo dovrebbe avere carattere volontario.

3.2.2 L'obbligo di trasparenza non risolve necessariamente il problema delle clausole contrattuali unilaterali. È importante mettere a punto norme più rigorose per fornire una protezione maggiore dalle clausole inique.

3.2.3 Nella comunicazione il riferimento ai minori è sommario, mentre occorre prestare un'attenzione specifica alle questioni legate alla loro vita privata. Grazie al diritto all'oblio, si potrebbero eliminare le tracce di bravate infantili e di piccoli reati compiuti nell'adolescenza, ma tale diritto rischia di non essere attuabile nella pratica (cfr. punto 3.3.2).

3.2.4 La nuova normativa deve chiarire il ruolo del responsabile del trattamento dei dati e quello del responsabile della rilevazione dei dati, in modo che non vi sia alcuna confusione in merito alla loro identità e ai rispettivi diritti e doveri.

3.2.5 Il CESE approva la proposta di imporre l'obbligo di comunicare le violazioni di dati personali, ma ritiene che esso non possa essere applicabile a tutte le situazioni, tutti i settori e tutte le circostanze.

3.3 Rafforzare il controllo dei propri dati

Premesse importanti sono che il trattamento dati sia limitato al minimo necessario in relazione alle sue finalità (principio di minimizzazione dei dati) e che l'interessato mantenga un controllo effettivo dei propri dati. Saranno esaminati i mezzi per rafforzare il principio di minimizzazione dei dati, migliorare le modalità per l'esercizio dei diritti di accesso, rettifica e cancellazione o blocco dei dati, chiarire il cosiddetto «diritto all'oblio», assicurare il diritto di «data portability».

3.3.1 In linea di massima, il Comitato appoggia ogni iniziativa volta a rafforzare la protezione della vita privata. Gli individui dovrebbero avere diritto ad accedere liberamente ad ogni tipo di dati raccolti su di loro. Un esempio potrebbe essere il libero accesso ai dati relativi alla propria posizione creditizia. La possibilità di ritirare il consenso senza motivazione e un effettivo diritto all'oblio sono essenziali, ma la protezione della vita privata sarebbe ulteriormente rafforzata se, come prima cosa, venissero raccolti meno dati. Pertanto il CESE esorta la Commissione a dare effettiva applicazione alla proposta di rafforzare il principio di minimizzazione dei dati.

3.3.2 Anche se il diritto all'oblio è un concetto attraente, sarà difficile da realizzare data la natura virale dei dati che circolano su Internet e l'esistenza di tecnologie che cancellano ma non dimenticano.

3.4 Iniziative di sensibilizzazione

Le iniziative di sensibilizzazione andrebbero incoraggiate, fornendo informazioni chiare sui siti web e chiare specificazioni dei diritti dell'interessato e degli obblighi del responsabile del trattamento. La scarsa sensibilizzazione dei giovani rappresenta un problema particolare.

3.4.1 Sarà difficile realizzare la necessaria trasformazione dei comportamenti, specialmente se si considera che il rapido sviluppo delle reti sociali non è stato accompagnato da una sensibilizzazione degli utenti alle conseguenze della grande quantità di dati che essi mettono in rete. Infatti, mentre in linea di principio sarebbe opportuno che ogni servizio Internet fornisse messaggi obbligatori di informazione, ciò potrebbe creare dei problemi alle imprese. Andrebbe esaminata la possibilità di definire protocolli di questo tipo per ciascuna categoria di servizio: commercio elettronico, fornitori di servizi Internet, motori di ricerca, reti sociali, ecc.

3.4.2 Il CESE accoglie con favore l'intenzione della Commissione di mettere a disposizione dei finanziamenti UE per sostenere le attività di sensibilizzazione, e vorrebbe che questa idea venisse estesa al cofinanziamento di attività di sensibilizzazione svolte dalle parti sociali e dalle organizzazioni della società civile a livello europeo e nazionale.

3.5 Garantire un consenso libero e informato

La Commissione esaminerà come rendere più chiare e rafforzare le norme sul consenso.

3.5.1 Il tipo di consenso richiesto continua ad essere legato al tipo di dati trattati e non alla tecnologia utilizzata. Tuttavia, il CESE esprime preoccupazione per il fatto che, nella maggior parte dei casi, quando il consenso viene dato in ambiente Internet, l'applicazione non dà alcuna conferma di tale accordo, né vi sono meccanismi efficaci per registrare il ritiro del consenso. Inoltre, l'accordo può prevedere un semplice clic per approvare tutta una serie di clausole e condizioni, delle quali il consenso potrebbe rappresentare una componente minima. Sarebbe logico che il consenso relativo al controllo dei dati costituisse un documento semplice e separato, in modo da essere ragionato, informato e specifico.

3.5.2 Per le organizzazioni e le imprese che operano su Internet, il trattamento dei dati personali è essenziale. L'opzione automatica è chiaramente vantaggiosa per l'operatore ma, se non correttamente applicata, può andare a svantaggio del cliente. Il suo utilizzo andrebbe circoscritto, in modo che tutti gli operatori siano tenuti a offrire automaticamente la privacy ai loro clienti se questi ultimi lo desiderano.

3.5.3 Affinché il consenso venga dato liberamente, anche il contratto deve essere equo. Bisogna fissare dei principi che consentano di evitare le prassi commerciali scorrette.

3.6 Proteggere i dati sensibili

Si studierà come ampliare la definizione di «dati sensibili» per includere, ad esempio, i dati genetici, e l'ulteriore armonizzazione delle condizioni per il trattamento delle categorie di dati sensibili.

3.6.1 Occorre chiarire la definizione attuale dei dati sensibili man mano che le categorie di dati elettronici sugli individui continuano ad aumentare. A giudizio del CESE, l'utilizzo ampio e indiscriminato della videosorveglianza può costituire un problema. È essenziale applicare la legge che limita l'abuso di queste immagini. I dati GPRS relativi all'ubicazione di un individuo rappresentano un'altra questione controversa, ed è in aumento la rilevazione di dati biometrici. Pertanto, la definizione di cui sopra dovrebbe comprendere anche queste nuove tecnologie e metodologie, e tenere conto degli ulteriori sviluppi tecnologici. Potrebbe essere necessario stabilire dei principi da applicare nei diversi contesti. Il CESE raccomanda che queste nuove tecnologie vengano impiegate in modo appropriato.

3.6.2 Bisogna fornire anche una protezione rafforzata per i dati sensibili. Per alcune categorie di essi, la criptazione dovrebbe essere obbligatoria. Si dovrebbe fare ricorso alle migliori tecniche disponibili, e i responsabili del trattamento dovrebbero rispondere delle violazioni della sicurezza.

3.7 Rendere più efficaci i mezzi di ricorso e le sanzioni

Sarà considerata la possibilità di ampliare le competenze per avviare un'azione legale dinanzi al giudice nazionale e la possibilità di includere sanzioni penali nel caso di violazione grave.

3.7.1 Considerato il possibile conflitto tra la vita privata del singolo individuo e lo sfruttamento commerciale dei relativi dati, nonché l'importanza della posta in gioco, i cittadini devono diventare sempre più consapevoli delle finalità per cui i loro dati vengono raccolti e dei poteri che hanno poi di controllarli. Per questo motivo il CESE ritiene che, per formulare una proposta veramente «globale», un'applicazione efficace e un'effettiva possibilità di ricorso siano un presupposto imprescindibile. Va inoltre coperta la dimensione transfrontaliera.

3.7.2 La possibilità di un'azione collettiva dovrebbe essere presa in considerazione come mezzo di ricorso per violazioni molto gravi. Bisognerebbe valutare la possibilità che siano le organizzazioni di imprese, di categoria ed i sindacati a rappresentare i singoli e ad avviare un'azione legale.

4. Rafforzare la dimensione «mercato interno»

4.1 Accrescere la certezza giuridica e assicurare condizioni eque ai responsabili del trattamento

La protezione dei dati nell'UE ha una forte dimensione «mercato interno». Saranno esaminati i mezzi per conseguire una maggiore armonizzazione delle norme di protezione dei dati a livello dell'UE.

4.1.1 Il CESE teme che il margine decisionale concesso agli Stati membri dalla direttiva 95/46 abbia creato un problema di attuazione. A questo proposito, l'adozione di un regolamento avrebbe potuto apportare una maggiore certezza. L'armonizzazione dovrebbe essere attuata su un corpus di norme sufficiente per soddisfare i requisiti della direttiva.

4.1.2 Nell'intero testo della comunicazione non vi è alcun riferimento ai lavoratori dipendenti e all'accesso ai loro dati personali di cui dispongono i datori di lavoro. Per quanto riguarda i dipendenti delle imprese multinazionali, che possono centralizzare i registri all'interno o anche al di fuori dell'UE, è necessario che la nuova normativa preveda dei diritti di accesso chiaramente definiti.

4.2 Ridurre gli oneri amministrativi a carico dei responsabili del trattamento

Saranno esaminati diversi modi per semplificare e armonizzare l'attuale sistema di notificazione, compresa l'eventualità di introdurre un modulo di registrazione uniforme per tutta l'UE. Le notificazioni potrebbero essere pubblicate su Internet.

4.2.1 Il CESE accoglierebbe con grande favore queste iniziative.

4.3 Chiarire le norme relative al diritto applicabile e alle competenze degli Stati membri

I responsabili del trattamento e le autorità di protezione dei dati non sempre sanno qual è lo Stato membro competente e quale il diritto applicabile quando più Stati membri sono coinvolti. Il problema è reso più grave dalla globalizzazione e dagli sviluppi tecnologici. Saranno esaminate le modalità per rivedere e chiarire le disposizioni vigenti in materia di diritto applicabile al fine di migliorare la certezza giuridica e chiarire le competenze degli Stati membri.

4.3.1 Per quanto riguarda i cittadini dell'UE, nell'Unione europea dovrebbe essere applicata la normativa vigente nello Stato membro del responsabile del trattamento, ovunque tali dati siano conservati. Nel caso di soggetti vulnerabili, in particolare i lavoratori e i consumatori dell'UE, dovrebbe essere applicata, rispettandone il contenuto e la procedura, la normativa in materia di protezione dei dati del luogo di residenza abituale di tali soggetti.

4.4 Ampliare la responsabilità dell'addetto al trattamento

La Commissione studierà i mezzi per garantire che i responsabili del trattamento mettano in atto politiche e meccanismi efficaci al fine di assicurare il rispetto delle norme di protezione dei dati. Saranno esaminate le modalità per rendere obbligatoria la nomina di un responsabile della protezione dei dati ed armonizzare le regole sulle sue funzioni e competenze, in modo da creare l'obbligo di realizzare una valutazione d'impatto della protezione dei dati. Inoltre, la Commissione intende promuovere ulteriormente l'uso delle tecnologie di rafforzamento della tutela della vita privata (PET) e le possibilità di attuazione concreta del concetto «privacy by design».

4.4.1 Le PET e la «privacy by design» possono eliminare qualunque discrezionalità dal comportamento dei responsabili del trattamento, i quali altrimenti rischiano di trovarsi in conflitto con le priorità commerciali delle loro organizzazioni. Il CESE invita la Commissione ad avviare ulteriori attività di studio e sviluppo di questi strumenti, poiché essi sono in grado di rafforzare la protezione dei dati eliminando al tempo stesso i conflitti di interessi. Idealmente, essi potrebbero diventare obbligatori.

4.4.2 Per fugare ogni dubbio, i responsabili del trattamento dovrebbero rispondere di ogni aspetto del trattamento dei dati di loro competenza. Pertanto, laddove vi siano subappaltatori e/o attività in altri paesi, gli obblighi relativi alla protezione dei dati personali dovrebbero essere espressamente indicati nel contratto.

4.4.3 Il CESE ritiene che ogni Stato membro debba istituire un organo professionale responsabile delle competenze e delle certificazioni dei responsabili della protezione dati.

4.4.4 L'attuazione delle disposizioni previste in questo punto dovrebbe essere coerente con l'obiettivo di ridurre gli oneri amministrativi a carico dei responsabili del trattamento, menzionato al punto 4.2.

4.5 Incoraggiare le iniziative di autoregolamentazione ed esplorare regimi di certificazione dell'UE

La Commissione esaminerà le possibilità di incoraggiare ulteriormente le iniziative di autoregolamentazione, tra cui i codici di condotta, e studierà la fattibilità di regimi europei di certificazione.

4.5.1 Cfr. punto 3.7.1: l'applicazione delle disposizioni e la possibilità di ricorso sono aspetti a cui il CESE attribuisce un'importanza fondamentale. Tali proposte sono interessanti nella misura in cui possono aiutare a ridurre l'enorme onere regolamentare sostenuto dalle imprese. Un compendio o una guida delle migliori pratiche dovrebbero essere realizzati in ogni Stato membro.

5. Rivedere le norme di protezione dei dati nell'ambito della cooperazione di polizia e giudiziaria in materia penale

Lo strumento dell'UE che disciplina la protezione dei dati personali nei settori della cooperazione di polizia e giudiziaria in materia penale è la decisione quadro 2008/977/GAI. Essa presenta numerose carenze che possono avere conseguenze dirette sulla possibilità delle persone di esercitare i propri diritti alla protezione dei dati che li riguardano in questo settore (ad esempio il diritto di sapere quali dati sono trattati e scambiati, chi compie tali operazioni e per quale fine, come esercitare diritti come il diritto di accesso ai propri dati).

La Commissione intende valutare se estendere l'applicazione delle norme generali di protezione dei dati ai settori della cooperazione di polizia e giudiziaria in materia penale e se introdurre nuove disposizioni in settori quali il trattamento dei dati genetici, avviare una consultazione sulla revisione degli attuali sistemi di controllo in questo campo e valutare l'esigenza di allineare, a lungo termine, le numerose norme settoriali vigenti al nuovo quadro giuridico.

5.1 Pur riconoscendo il carattere sensibile della cooperazione di polizia tra gli Stati, il CESE ritiene essenziale che i diritti fondamentali, tra cui la protezione dei dati personali, siano tenuti nella massima considerazione in ogni momento. Il CESE esprime preoccupazione per il fatto che le istanze in materia di sicurezza, anche se pretestuose, portano spesso a ignorare i diritti fondamentali. I cittadini devono disporre di maggiori informazioni sui metodi con cui le autorità rilevano dati personali e sui motivi per cui lo fanno, a partire dalle bollette telefoniche fino ai conti bancari, ai controlli aeroportuali, ecc.

6. La dimensione globale della protezione dei dati

6.1 Chiarire e semplificare le norme applicabili ai trasferimenti internazionali di dati

La Commissione intende valutare le possibilità di:

— migliorare e semplificare le attuali procedure per i trasferimenti internazionali di dati al fine di assicurare un approccio dell'UE più uniforme e coerente nei confronti dei paesi terzi e delle organizzazioni internazionali;

— specificare meglio i criteri e i requisiti per valutare il livello di protezione dei dati offerto da un paese terzo o da un'organizzazione internazionale;

— definire gli elementi essenziali di protezione dei dati che potrebbero figurare in tutti i tipi di accordi internazionali.

6.1.1 Il CESE sostiene queste valide iniziative e auspica che la Commissione riesca a raggiungere l'ampio accordo internazionale senza il quale le proposte risulterebbero poco efficaci.

6.2 Promuovere principi universali

L'Unione europea deve rimanere una forza trainante per lo sviluppo e la promozione di norme internazionali di protezione dei dati personali, sia giuridiche che tecniche. A questo fine la Commissione sarà attiva sul piano delle norme tecniche internazionali e in cooperazione con paesi terzi e organizzazioni internazionali come l'OCSE.

6.2.1 Anche in questo caso il CESE approva la proposta. Data la natura globale di Internet è essenziale che le norme e gli orientamenti siano compatibili da un continente all'altro. I dati personali devono godere di una protezione transfrontaliera. Il CESE osserva che già esistono direttive OCSE in materia, così come già esiste la convenzione 108 del Consiglio d'Europa, che è attualmente in corso di revisione. La Commissione dovrebbe garantire che la nuova direttiva sia compatibile con la convenzione.

7. Rafforzare l'assetto istituzionale per un'applicazione effettiva delle norme di protezione dei dati

La Commissione intende esaminare:

— come rafforzare, chiarire e armonizzare lo status e i poteri delle autorità nazionali di protezione dei dati;

— come migliorare la cooperazione e il coordinamento tra le autorità di protezione dei dati;

— come assicurare un'applicazione più coerente delle norme europee di protezione dei dati nel mercato interno. Seguono alcuni possibili esempi di tali misure: — rafforzare il ruolo delle autorità nazionali di protezione dei dati, — coordinare meglio le loro attività attraverso il Gruppo di lavoro articolo 29, — creare un meccanismo per la coerenza nel mercato interno, posto sotto l'autorità della Commissione europea.

7.1 Queste proposte riguardano questioni chiave per il CESE, considerata l'importanza che esso attribuisce all'applicazione delle norme e alle possibilità di ricorso. Il CESE condivide l'idea di «rafforzare, chiarire e armonizzare» e «migliorare la cooperazione e il coordinamento», così come l'intento generale della Commissione di assicurare un'applicazione più coerente delle norme UE di protezione dei dati in tutti gli Stati membri. Teme tuttavia che non tutti i dodici «nuovi» Stati membri abbiano pienamente ed effettivamente recepito la direttiva 95/46.

7.2 A giudizio del CESE, le autorità nazionali di protezione dei dati sono generalmente prive di strumenti efficaci e sovraccariche di lavoro, e la loro indipendenza deve essere rafforzata. Qualsiasi nuova direttiva dovrebbe prevedere che tali autorità nazionali abbiano lo status, i poteri e le risorse necessarie per svolgere il loro ruolo. I loro compiti e le risorse loro assegnate dovrebbero essere definiti a livello dell'UE, e si dovrebbe valutare la possibilità di nominare un garante UE della protezione dei dati.

7.3 Sulla base del contributo dato finora dal Gruppo di lavoro articolo 29 alla protezione degli individui per quanto riguarda il trattamento dei dati personali, il CESE ritiene che esso debba continuare a svolgere il suo ruolo prezioso.

Bruxelles, 16 giugno 2011 Il presidente del Comitato economico e sociale europeo Staffan NILSSON