Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento che istituisce un quadro comune per i servizi di media nell’ambito del mercato interno (legge europea per la libertà dei media) e modifica la direttiva 2010/13/UE

(2022/C 487/07)

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD https://edps.europa.eu)

Il 16 settembre 2022 la Commissione europea ha presentato una proposta di regolamento che istituisce un quadro comune per i servizi di media nell’ambito del mercato interno (legge europea per la libertà dei media) e modifica la direttiva 2010/13/UE.

La proposta intende migliorare il funzionamento del mercato interno dei media, in particolare promuovendo l’attività e gli investimenti transfrontalieri nei servizi di media, aumentando la cooperazione e la convergenza normativa, agevolando la fornitura di servizi di media di qualità e garantendo un’allocazione trasparente ed equa delle risorse economiche nel mercato interno dei media.

Il GEPD accoglie con favore l’obiettivo della proposta di proteggere la libertà e il pluralismo dei media, quale prerequisito per il funzionamento del mercato interno dell’UE dei servizi di media e, altrettanto importante, fattore chiave per la preminenza del diritto e la responsabilità democratica nell’Unione.

Il GEPD raccomanda tuttavia di chiarire in primis la portata del regolamento futuro, in senso sia personale sia materiale. In particolare, rileva che, nonostante l’intenzione della Commissione, chiaramente espressa nella proposta, di stabilire norme che garantiscano la protezione a livello dell’UE delle fonti di giornalisti, compresi i freelance, l’ambito di applicazione della proposta, così come attualmente definito, comprende solo i fornitori di servizi di media, e non tutti i giornalisti. Il GEPD raccomanda di aggiungere un riferimento esplicito ai giornalisti nelle pertinenti disposizioni del futuro regolamento, in modo da chiarire che qualsiasi giornalista, anche freelance o libero professionista, rientri nell’ambito di applicazione del futuro regolamento e possa quindi anche poter contare su una solida protezione delle fonti e delle comunicazioni giornalistiche. In aggiunta, raccomanda di chiarire i criteri per determinare quando un giornalista manca nella giurisdizione di uno Stato membro. Il GEPD raccomanda inoltre di chiarire orizzontalmente che il futuro regolamento lascia impregiudicata e non condiziona negativamente la legislazione dell’UE in materia di protezione dei dati personali e della vita privata, in particolare il regolamento generale sulla protezione dei dati (RGPD) (1), la direttiva (2) relativa alla vita privata e alle comunicazioni elettroniche e la direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie (3).

In secondo luogo, sebbene il GEPD sostenga pienamente l’obiettivo della proposta di fornire garanzie specifiche per la libertà e il pluralismo dei media, nutre dubbi sull’efficacia pratica delle misure proposte per conseguire l’obiettivo perseguito. In particolare, il GEPD ritiene che, nella sua forma attuale, l’articolo 4, paragrafo 2, lettere b) e c) della proposta, in particolare per quanto riguarda le eccezioni al divieto di intercettazione, soggette ai fornitori di servizi di media di sorveglianza, anche mediante l’impiego di software spia sui loro dispositivi, non fornisca garanzie sufficienti e manchi di chiarezza giuridica. Il GEPD invita i colegislatori a definire ulteriormente e limitare la possibilità di rinunciare alla protezione delle fonti e delle comunicazioni giornalistiche, in linea con i principi di rigorosa necessità e proporzionalità quali interpretati nella giurisprudenza della CGUE e della Corte europea dei diritti dell’uomo. In particolare, resta convinto che l’unica opzione praticabile ed efficace per proteggere i diritti e le libertà fondamentali nell’Unione, compresa la libertà dei media, da software spia di tipo militare altamente avanzati, sia un divieto generale di sviluppo e diffusione con eccezioni molto limitate ed esaustivamente definite, integrate da solide garanzie, come quelle suggerite nelle osservazioni preliminari del GEPD sui moderni software spia.

In terzo luogo, per quanto riguarda l’autorità o l’organismo nazionale indipendente incaricato di trattare i reclami in relazione a violazioni dell’articolo 4, paragrafo 2, lettere b) e c), della proposta, il GEPD raccomanda di garantire che il futuro regolamento stabilisca esplicitamente garanzie specifiche di indipendenza e fornisca una base giuridica esplicita per la cooperazione tra le autorità di controllo competenti, ciascuna delle quali agisce nei rispettivi settori di competenza. Inoltre, il GEPD consiglia che il futuro regolamento richieda una cooperazione strutturata tra le autorità di controllo competenti, comprese le autorità di protezione dei dati, e faccia esplicito riferimento alle autorità di controllo nazionali competenti coinvolte nella cooperazione e identifichi le circostanze in cui dovrebbe avere luogo la cooperazione. In particolare, il GEPD raccomanda di garantire che le autorità competenti indipendenti designate a norma del futuro regolamento abbiano il potere e il dovere di consultare le altre autorità di controllo nazionali competenti, comprese le autorità per la protezione dei dati, nel quadro delle loro indagini e delle loro valutazioni di conformità. Per quanto riguarda le autorità nazionali per la protezione dei dati, il GEPD raccomanda specificatamente di chiarire che le autorità competenti indipendenti di cui al futuro regolamento debbano essere in grado di fornire alle autorità di controllo competenti ai sensi del RGPD e della direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie, su richiesta o di propria iniziativa, tutte le informazioni ottenute nel contesto di audit e indagini sul trattamento di dati personali e includere una base giuridica esplicita a tal fine.

Inoltre, per quanto riguarda la pubblicazione di informazioni riguardanti i fornitori di servizi di media, in particolare i loro titolari e titolari effettivi, il GEPD raccomanda di specificare esplicitamente nella proposta l’obiettivo, o gli obiettivi, di interesse pubblico perseguiti e di garantire che l’elenco delle categorie di informazioni da rendere disponibili a norma dell’articolo 6, paragrafo 1, della proposta sia chiaramente definito ed esplicitamente elencato nel futuro regolamento.

Infine, il GEPD raccomanda di chiarire se i dati personali saranno trattati nel corso della cooperazione o dell’assistenza reciproca tra autorità o organismi nazionali di regolamentazione previsti nella proposta e, in caso affermativo, di stabilire esplicitamente le finalità del trattamento, le categorie specifiche di dati personali da trattare, il periodo di conservazione dei dati e l’individuazione dei ruoli e delle responsabilità delle autorità e degli organismi nazionali di regolamentazione ai sensi della normativa in materia di protezione dei dati.

1. INTRODUZIONE

1. Il 16 settembre 2022 la Commissione europea ha presentato una proposta di regolamento del Parlamento europeo e del Consiglio che istituisce un quadro comune per i servizi di media nell’ambito del mercato interno (legge europea per la libertà dei media) e modifica la direttiva 2010/13/UE («la proposta») (4).

2. La proposta si articola intorno a quattro obiettivi specifici, vale a dire: 1) promuovere l’attività e gli investimenti transfrontalieri nei servizi di media armonizzando alcuni aspetti dei divergenti quadri nazionali per il pluralismo dei media, in particolare al fine di agevolare la fornitura di servizi transfrontalieri; 2) aumentare la cooperazione e la convergenza normativa attraverso strumenti transfrontalieri di coordinamento, nonché pareri e orientamenti a livello di UE; 3) agevolare la fornitura di servizi di media di qualità riducendo il rischio di ingerenze indebite, pubbliche e private, nella libertà editoriale e 4) garantire un’allocazione trasparente ed equa delle risorse economiche nel mercato interno dei media aumentando la trasparenza e l’equità nella misurazione dell’audience e nell’allocazione della pubblicità statale (5).

3. Il presente parere del GEPD è emesso in risposta a una consultazione della Commissione europea del 16 settembre 2022, ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 (6). Il GEPD accoglie con favore il riferimento a tale consultazione nel considerando 54 della proposta. A tale riguardo, il GEPD rileva altresì con soddisfazione di essere già stato consultato informalmente in precedenza, a norma del considerando 60 del regolamento (UE) 2018/1725.

4. CONCLUSIONI

46. Alla luce di quanto sopra, il GEPD formula le seguenti raccomandazioni: (1) aggiungere un riferimento esplicito ai «giornalisti» nelle pertinenti disposizioni del futuro regolamento, in modo che qualsiasi giornalista, anche freelance o libero professionista, rientri nell’ambito di applicazione del futuro regolamento e possa quindi anche poter contare su una solida protezione delle fonti e delle comunicazioni giornalistiche e chiarire i criteri per determinare quando rientra nella giurisdizione di uno Stato membro; (2) chiarire orizzontalmente che il futuro regolamento lascia impregiudicata e non condiziona negativamente la legislazione dell’UE in materia di protezione dei dati personali e della vita privata, in particolare il regolamento generale sulla protezione dei dati (RGPD), la direttiva relativa alla vita privata e alle comunicazioni elettroniche e la direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie; (3) definire ulteriormente e limitare la possibilità di rinunciare alla protezione delle fonti e delle comunicazioni giornalistiche ai sensi dell’articolo 4, lettere b) e c), della proposta, in linea con i principi di rigorosa necessità e proporzionalità. In particolare, il GEPD resta convinto che l’unica opzione praticabile ed efficace per proteggere i diritti e le libertà fondamentali nell’Unione, compresa la libertà dei media, da software spia di tipo militare altamente avanzati, sia un divieto generale di sviluppo e diffusione con eccezioni molto limitate ed esaustivamente definite, integrate da solide garanzie, come quelle suggerite nelle osservazioni preliminari del GEPD sui moderni software spia (7); (4) assicurare che il futuro regolamento stabilisca esplicitamente garanzie specifiche di indipendenza per le autorità o gli organismi incaricati di trattare i reclami in relazione a violazioni dell’articolo 4, paragrafo 2, lettere b) e c) della proposta; (5) assicurare che il futuro regolamento: 1) offra una base giuridica esplicita per la cooperazione tra le autorità di controllo competenti, ciascuna delle quali agisce nei rispettivi settori di competenza; 2) richieda una cooperazione strutturata tra le autorità di controllo competenti, comprese le autorità per la protezione dei dati; 3) faccia esplicito riferimento alle autorità nazionali di controllo competenti coinvolte nella cooperazione e individui le circostanze in cui dovrebbe avere luogo la cooperazione. In particolare, il GEPD raccomanda di garantire che le autorità competenti indipendenti designate ai sensi del futuro regolamento abbiano il potere e il dovere di consultare le altre autorità nazionali di controllo competenti, comprese le autorità per la protezione dei dati, nel contesto delle loro indagini e delle loro valutazioni di conformità. Per quanto riguarda le autorità nazionali per la protezione dei dati, il GEPD raccomanda specificatamente di chiarire che le autorità competenti indipendenti di cui al futuro regolamento debbano essere in grado di fornire alle autorità di controllo competenti ai sensi del RGPD e della direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie, su richiesta o di propria iniziativa, tutte le informazioni ottenute nel contesto di audit e indagini sul trattamento di dati personali e includere una base giuridica esplicita a tal fine; (6) specificare esplicitamente nel futuro regolamento l’obiettivo, o gli obiettivi, di interesse pubblico perseguiti con l’articolo 6, paragrafo 1, sulle informazioni che i fornitori di servizi di media dovrebbero rendere accessibili per quanto riguarda i loro titolari e titolari effettivi e garantire che l’elenco delle categorie di informazioni da rendere disponibili a norma dell’articolo 6, paragrafo 1, della proposta sia chiaramente definito ed esplicitamente elencato nel futuro regolamento; (7) chiarire esplicitamente se i dati personali saranno trattati nel contesto della cooperazione tra organismi nazionali di regolamentazione ai sensi dell’articolo 13 della proposta e, in caso affermativo, specificare anche la finalità del trattamento, le categorie specifiche di dati personali da trattare, il periodo di conservazione dei dati e l’individuazione dei ruoli e delle responsabilità delle autorità e degli organismi nazionali di regolamentazione ai sensi della normativa in materia di protezione dei dati.

Bruxelles, 11 novembre 2022 Wojciech Rafał WIEWIÓROWSKI

(1) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 dell’4.5.2016, pag. 1.).

(2) Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU L 201 dell’31.7.2002, pag. 37.).

(3) Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU L 119 dell’4.5.2016, pag. 89.).

(4) COM(2022) 457 final.

(5) COM(2022) 457 final, pag. 3.

(6) Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 dell’21.11.2018, pag. 39.).

(7) Osservazioni preliminari del GEPD sui moderni software spia, pubblicate il 15 febbraio 2022.