Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di deroghe temporanee alla direttiva 2002/58/CE ai fini della lotta contro gli abusi sessuali sui minori online

[Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu]

(2021/C 102/04)

Sintesi

Il 10 settembre 2020 la Commissione ha pubblicato una proposta di regolamento relativo a una deroga temporanea a talune disposizioni della direttiva 2002/58/CE («direttiva e-privacy») per quanto riguarda l’uso di tecnologie da parte dei fornitori di servizi di comunicazione interpersonale indipendenti dal numero per il trattamento di dati personali e di altro tipo ai fini della lotta contro gli abusi sessuali sui minori online. La deroga riguarda l’articolo 5, paragrafo 1, e l’articolo 6 della direttiva e-privacy in relazione al trattamento dei dati personali connesso alla fornitura di «servizi di comunicazione interpersonale indipendenti dal numero» necessario per l’uso della tecnologia al solo scopo di rimuovere materiale pedopornografico e di individuare o segnalare gli abusi sessuali sui minori online alle autorità.

Nel presente parere il Garante europeo della protezione dei dati (GEPD) formula le proprie raccomandazioni relative alla proposta in risposta a una consultazione formale della Commissione ai sensi dell’articolo 42 del regolamento (UE) 2018/1725.

In particolare, rileva che le misure previste dalla proposta costituiscono un’interferenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati di tutti gli utenti di servizi di comunicazione elettronica di uso diffuso, come le piattaforme e le applicazioni di messaggistica istantanea. La riservatezza delle comunicazioni è una pietra angolare dei diritti fondamentali al rispetto della vita privata e familiare. Anche le misure volontarie delle imprese private costituiscono un’interferenza in tali diritti quando le misure comportano il monitoraggio e l’analisi del contenuto delle comunicazioni e il trattamento dei dati personali.

Il GEPD desidera sottolineare che gli aspetti in esame non riguardano specificamente la lotta contro l’abuso dei minori, ma qualsiasi iniziativa a fini di contrasto che si avvalga della collaborazione del settore privato. Se adottata, la proposta inevitabilmente costituirà un precedente per la futura legislazione in questo campo. A parere del GEPD, è pertanto essenziale che la proposta, anche sotto forma di deroga temporanea, non sia adottata finché non saranno integrate tutte le necessarie garanzie descritte nel presente parere.

In particolare, a fini di certezza del diritto, il GEPD ritiene necessario chiarire se la proposta stessa sia destinata a costituire la base giuridica per il trattamento, ai sensi del regolamento generale sulla protezione dei dati. In caso contrario, il GEPD raccomanda di precisare espressamente nella proposta la base giuridica, a norma del regolamento generale sulla protezione dei dati, applicabile in questo caso particolare. A questo proposito, il GEPD sottolinea che gli orientamenti delle autorità competenti per la protezione dei dati personali non possono sostituire il rispetto del requisito di legalità. Non è sufficiente prevedere che la deroga temporanea sia adottata «fatto salvo» il regolamento generale sulla protezione dei dati e prescrivere la consultazione preventiva delle autorità competenti per la protezione dei dati personali. I colegislatori devono assumersi la propria responsabilità e garantire che la deroga proposta sia conforme alle disposizioni di cui all’articolo 15, paragrafo 1, come interpretate dalla Corte di giustizia dell’Unione europea.

Per soddisfare il requisito di proporzionalità, una normativa deve prevedere regole chiare e precise che disciplinino la portata e l’applicazione delle misure in questione e impongano requisiti minimi in modo che le persone i cui dati personali sono interessati dispongano di garanzie sufficienti che permettano di proteggere efficacemente tali dati contro il rischio di abusi.

Infine, considerata l’assenza di a) una previa dimostrazione della proporzionalità della misura prevista e b) garanzie sufficienti nel testo dell’atto legislativo, il GEPD è del parere che il periodo proposto di cinque anni non sia proporzionato. Il GEPD ritiene che una misura transitoria non dovrebbe avere un periodo di validità superiore a due anni.

I. INTRODUZIONE

1.1 Contesto di riferimento

1. Strategia dell’UE per una lotta più efficace contro gli abusi sessuali sui minori Il 24 luglio 2020 la Commissione ha adottato una comunicazione, ( 1 ) , nella quale rileva che dal dicembre 2020 la direttiva 2002/58/CE del Parlamento europeo e del Consiglio («la direttiva e-privacy») ( 2 ) avrà un ambito di applicazione più ampio a seguito dell’adozione, già avvenuta, del codice delle comunicazioni elettroniche («il codice») ( 3 ) . Il codice estende l’ambito di applicazione della direttiva e-privacy ai servizi di comunicazione interpersonale «al di sopra delle reti» (OTT, over the top), quali i servizi di messaggistica e di posta elettronica. Secondo la comunicazione, ciò impedirà a determinate imprese (in assenza di misure legislative nazionali adottate conformemente all’articolo 15, paragrafo 1, della direttiva e-privacy) di continuare ad applicare le proprie misure di individuazione, rimozione e segnalazione volontarie di abusi sessuali su minori online ( 4 )

2. servizi di comunicazione interpersonale indipendenti dal numero » Il 10 settembre 2020 la Commissione ha pubblicato ( 5 ) una proposta di regolamento provvisorio relativo al trattamento di dati personali e di altro tipo ai fini della lotta contro gli abusi sessuali sui minori, che prevede una deroga temporanea all’articolo 5, paragrafo 1, e all’articolo 6 della direttiva e-privacy («la proposta»). La Commissione ritiene che tale deroga sia necessaria per consentire il proseguimento delle attuali attività volontarie dopo il mese di dicembre 2020. La deroga riguarda il trattamento dei dati personali connesso alla fornitura di « ( 6 ) (ad esempio il Voice over IP, i servizi di messaggistica e i servizi di posta elettronica basati sul web) strettamente necessario per l’uso della tecnologia al solo scopo di rimuovere materiale pedopornografico e di individuare o segnalare gli abusi sessuali sui minori online alle autorità di contrasto e alle organizzazioni che agiscono nell’interesse pubblico contro gli abusi sessuali sui minori. La proposta contiene un elenco di condizioni per l’applicazione della deroga che sono analizzate nel seguito del presente parere.

3. Il GEPD è stato formalmente consultato dalla Commissione il 16 settembre 2020. Il 30 settembre la Commissione ha avviato una consultazione pubblica sollecitando osservazioni sulla proposta.

1.2 Relazione con la direttiva 2011/93/UE

4. In precedenza l’UE aveva adottato uno strumento giuridico con un approccio globale per la lotta contro l’abuso e lo sfruttamento sessuale dei minori e la pornografia minorile, ossia la direttiva 2011/93/UE del Parlamento europeo e del Consiglio («la direttiva contro gli abusi sessuali sui minori») ( 7 )

5. La direttiva contro gli abusi sessuali sui minori istituisce norme minime relative alla definizione dei reati e delle sanzioni in materia di abuso e sfruttamento sessuale dei minori e di materiale pedopornografico. Essa impone agli Stati membri di assicurare, fra l’altro, che le seguenti condotte intenzionali, allorché non giustificate, siano punite ( 8 ) — l’accesso intenzionale e consapevole, a mezzo di tecnologie dell’informazione e della comunicazione, a materiale pedopornografico; — la distribuzione, la diffusione o la trasmissione di materiale pedopornografico; — l’offerta, la fornitura o la messa a disposizione di materiale pedopornografico (9).

6. La direttiva contro gli abusi sessuali sui minori impone inoltre agli Stati membri di adottare le misure necessarie affinché siano punite alcune condotte che costituiscono adescamento di minori per scopi sessuali, anche a mezzo di tecnologie dell’informazione e della comunicazione.

7. rimozione delle pagine web che contengono o diffondono materiale pedopornografico ospitate nel loro territorio e si adoperano per ottenere la rimozione di tali pagine ospitate al di fuori del loro territorio nonché per sequestrare e confiscare gli strumenti e i proventi derivanti da tali reati bloccare l’accesso alle pagine web che contengono o diffondono materiale pedopornografico agli utenti internet sul loro territorio Detta direttiva stabilisce che gli Stati membri adottano le misure necessarie per assicurare la tempestivache contengono o diffondono materiale pedopornografico ospitate nel loro territorio e si adoperano per ottenere la rimozione di tali pagine ospitate al di fuori del loro territorio nonché per sequestrare e confiscare gli strumenti e i proventi derivanti da tali reati ( 10 ) . Gli Stati membri possono inoltre adottare misure perche contengono o diffondono materiale pedopornografico agli utenti internet sul loro territorio ( 11 )

8. Nel 2010 il GEPD ha formulato un parere di iniziativa sulla proposta di direttiva relativa alla lotta contro l’abuso e lo sfruttamento sessuale dei minori e la pedopornografia ( 12 ) . Tale parere contiene considerazioni e raccomandazioni pertinenti anche alla proposta di regolamento provvisorio. Ove opportuno, il GEPD ribadisce e/o fa riferimento al suo parere del 2010.

III. CONCLUSIONI

52. Le misure previste dalla proposta costituiscono un’interferenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati di tutti gli utenti di servizi di comunicazione elettronica molto diffusi, come le piattaforme e le applicazioni di messaggistica istantanea. Anche le misure volontarie delle imprese private costituiscono un’interferenza in tali diritti, quando le misure comportano il monitoraggio e l’analisi del contenuto delle comunicazioni e il trattamento dei dati personali.

53. Gli aspetti in esame non riguardano specificamente la lotta contro l’abuso dei minori, ma qualsiasi iniziativa a fini di contrasto che si avvalga della collaborazione del settore privato. Se adottata, la proposta inevitabilmente costituirà un precedente per la futura legislazione in questo campo. A parere del GEPD, è pertanto essenziale che la proposta, anche sotto forma di deroga temporanea, non sia adottata finché non saranno integrate tutte le necessarie garanzie descritte nel presente parere.

54. A fini di certezza del diritto, il GEPD ritiene necessario chiarire se la proposta stessa sia destinata a costituire la base giuridica per il trattamento, ai sensi del regolamento generale sulla protezione dei dati. In caso contrario, il GEPD raccomanda di precisare espressamente nella proposta la base giuridica applicabile in questo caso particolare, a norma del regolamento generale sulla protezione dei dati. A questo proposito, il GEPD sottolinea che gli orientamenti delle autorità competenti per la protezione dei dati personali non possono sostituire il rispetto del requisito di legalità. Non è sufficiente prevedere che la deroga temporanea sia adottata «fatto salvo» il regolamento generale sulla protezione dei dati e prescrivere la consultazione preventiva delle autorità competenti per la protezione dei dati personali. I colegislatori devono assumersi la propria responsabilità e garantire che la deroga proposta sia conforme alle disposizioni di cui all’articolo 15, paragrafo 1, come interpretate dalla Corte di giustizia dell’Unione europea.

55. Per soddisfare il requisito di proporzionalità, una normativa deve prevedere regole chiare e precise che disciplinino la portata e l’applicazione delle misure in questione e impongano requisiti minimi in modo che le persone i cui dati personali sono interessati dispongano di garanzie sufficienti che permettano di proteggere efficacemente tali dati contro il rischio di abusi.

56. La mancata individuazione precisa delle misure soggette alla deroga può compromettere la certezza del diritto.

57. Infine, considerata l’assenza di a) una previa dimostrazione della proporzionalità della misura prevista e b) garanzie sufficienti nel testo dell’atto legislativo, il GEPD è del parere che il periodo proposto di cinque anni non sia proporzionato. Il GEPD ritiene che una misura transitoria non dovrebbe avere un periodo di validità superiore a due anni.

Bruxelles, 10 novembre 2020 Wojciech WIEWIOROWSKI

(1) () COM(2020) 607 final, https://ec.europa.eu/home-affairs/sites/homeaffairs/files/what-we-do/policies/european-agenda-security/20200724_com-2020-607-commission-communication_en.pdf.

(2) () Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche), (GU L 201 del 31.7.2002, pag. 37).

(3) () Direttiva (UE) 2018/1972 del Parlamento europeo e del Consiglio, dell’11 dicembre 2018, che istituisce il codice europeo delle comunicazioni elettroniche (rifusione), (GU L 321 del 17.12.2018, pag. 36).

(4) COM(2020) 607 final, pag. 4. Nella comunicazione si rileva che, poiché la direttiva e-privacy non contiene una base giuridica per il trattamento volontario dei dati di contenuto e di traffico ai fini dell’individuazione degli abusi sessuali su minori, i prestatori possono applicare tali misure solo in base a una misura legislativa nazionale conforme alle prescrizioni di cui all’articolo 15 della direttiva e-privacy che limiti il diritto alla riservatezza. In assenza di tali misure legislative, le misure per individuare gli abusi sessuali su minori adottate da tali prestatori, che trattano i dati di contenuto o di traffico, sono prive di base giuridica.

(5) () COM(2020) 568 final, 2020/0259 (COD), Proposta di regolamento del Parlamento europeo e del Consiglio relativo a una deroga temporanea a talune disposizioni della direttiva 2002/58/CE del Parlamento europeo e del Consiglio per quanto riguarda l’uso di tecnologie da parte dei fornitori di servizi di comunicazione interpersonale indipendenti dal numero per il trattamento di dati personali e di altro tipo ai fini della lotta contro gli abusi sessuali sui minori online, https://ec.europa.eu/digital-single-market/en/news/interim-regulation-processing-personal-and-other-data-purpose-combatting-child-sexual-abuse.

(6) () L’articolo 2, paragrafo 5, del codice definisce un «servizio di comunicazione interpersonale» come «un servizio di norma a pagamento che consente lo scambio diretto interpersonale e interattivo di informazioni tramite reti di comunicazione elettronica tra un numero limitato di persone, mediante il quale le persone che avviano la comunicazione o che vi partecipano ne stabiliscono il destinatario o i destinatari e non comprende i servizi che consentono le comunicazioni interpersonali e interattive esclusivamente come elemento accessorio meno importante e intrinsecamente collegato a un altro servizio». Un «servizio di comunicazione interpersonale indipendente dal numero» è un servizio di comunicazione interpersonale che non si connette a risorse di numerazione assegnate pubblicamente – ossia uno o più numeri che figurano in un piano di numerazione nazionale o internazionale – o che non consente la comunicazione con uno o più numeri che figurano in un piano di numerazione nazionale o internazionale (articolo 2, paragrafo 7, del codice).

(7) () Direttiva 2011/93/UE del Parlamento europeo e del Consiglio, del 13 dicembre 2011, relativa alla lotta contro l’abuso e lo sfruttamento sessuale dei minori e la pornografia minorile, e che sostituisce la decisione quadro 2004/68/GAI del Consiglio, (GU L 335 del 17.12.2011, pag. 1).

(8) () L’espressione «allorché non giustificate» consente agli Stati membri di limitare la punibilità in relazione ad alcune condotte di pornografia minorile, quali ad esempio quelle aventi finalità mediche o scientifiche. Consente inoltre attività svolte nell’ambito di poteri giuridici nazionali, come il legittimo possesso di materiale pedopornografico da parte delle autorità al fine di condurre procedimenti penali o di prevenire reati, individuarli e indagare su di essi. Inoltre, tale espressione non esclude difese legali o principi analoghi che possano esentare una persona dalla responsabilità in determinate circostanze, come nel caso, ad esempio, di linee dirette telefoniche o su Internet che svolgono attività per segnalare questi casi. Considerando 25 della direttiva 2011/93/UE.

(9) () Articolo 5, paragrafi 3, 4 e 5, della direttiva 2011/93/UE.

(10) () Articolo 11 e articolo 25, paragrafo 1, della direttiva 2011/93/UE.

(11) () Articolo 25, paragrafo 2, della direttiva 2011/93/UE.

(12) () Parere del Garante europeo della protezione dei dati sulla proposta di direttiva del Parlamento europeo e del Consiglio relativa alla lotta contro l’abuso e lo sfruttamento sessuale dei minori e la pedopornografia, che abroga la decisione quadro 2004/68/GAI, 10 maggio 2010, https://edps.europa.eu/sites/edp/files/publication/10-05-10_child_abuse_en.pdf..