IT Gazzetta ufficiale dell'Unione europea C 67/13

Sintesi esecutiva del parere del Garante europeo della protezione dei dati: «La risposta alle sfide dei megadati: richiesta di trasparenza, controllo da parte degli utilizzatori, protezione dei dati fin dalla progettazione e responsabilità»

(Il testo integrale del presente parere è disponibile in EN, FR e DE sul sito web del GEPD www.edps.europa.eu)

(2016/C 67/05)

«Il diritto di essere lasciati in pace è di fatto l’inizio di ogni libertà» (1).

I megadati, se gestiti in modo responsabile, possono offrire notevoli benefici e maggiore efficienza alla società e alle persone, non solo nei settori della sanità, della ricerca scientifica, dell’ambiente e in altri settori specifici. Sussistono, tuttavia, gravi preoccupazioni quanto all’impatto attuale e potenziale del trattamento di enormi quantità di dati sui diritti e le libertà delle persone, compreso il loro diritto alla vita privata. Le sfide e i rischi associati ai megadati richiedono, pertanto, una protezione dei dati più efficace.

Non può essere la tecnologia a determinare i nostri valori e diritti, ma nemmeno possono essere percepiti come incompatibili la promozione dell’innovazione e la tutela dei diritti fondamentali. I nuovi modelli commerciali che sfruttano nuove funzionalità per la raccolta massiccia, la trasmissione istantanea, la combinazione e il riutilizzo di dati personali per finalità non previste, hanno esposto i principi della protezione dei dati a nuove pressioni, che richiedono un esame approfondito quanto al modo in cui vengono applicati.

La normativa europea sulla protezione dei dati è stata elaborata per proteggere i diritti e i valori fondamentali, tra cui il nostro diritto alla vita privata. La questione non è se applicare le norme sulla protezione dei dati ai megadati, ma piuttosto come applicarle in modo innovativo in ambienti nuovi. I nostri attuali principi di protezione dei dati, inclusi la trasparenza, la proporzionalità e la limitazione delle finalità, forniscono la linea di base necessaria per proteggere in modo più dinamico i nostri diritti fondamentali nel mondo dei megadati. Essi devono, tuttavia, essere integrati dai «nuovi» principi sviluppatisi nel corso degli anni, quali la responsabilità, la protezione della privacy fin dalla progettazione e la protezione della privacy per default. Il pacchetto di riforma dell’UE in materia di protezione dei dati dovrebbe rafforzare e modernizzare il quadro normativo (2).

L’UE intende ottimizzare la crescita e la competitività attraverso lo sfruttamento dei megadati. Ma il mercato unico digitale non può importare acriticamente le tecnologie basate sui dati e i modelli commerciali diventati pratica economica corrente in altre zone del mondo. Deve invece assumere un ruolo guida nell’elaborazione di un trattamento dei dati personali affidabile. Internet si è evoluto in modo tale per cui il controllo — il monitoraggio del comportamento delle persone — è considerato un modello di reddito indispensabile per alcune delle società più influenti. Questa evoluzione rende necessaria una valutazione critica e la ricerca di altre alternative.

In ogni caso, e a prescindere dai modelli commerciali prescelti, le organizzazioni che trattano grandi volumi di dati personali sono tenute a rispettare la normativa sulla protezione dei dati applicabile. Il garante europeo della protezione dei dati (GEPD) ritiene che uno sviluppo responsabile e sostenibile dei megadati debba basarsi su quattro elementi fondamentali:

— le organizzazioni devono essere di gran lunga più trasparenti riguardo al modo in cui trattano i dati personali,

— garantire agli utilizzatori un maggiore controllo sul modo in cui i loro dati vengono utilizzati,

— integrare nei prodotti e servizi una protezione dei dati facilmente comprensibile fin dalla fase di progettazione, e

— responsabilizzarsi ulteriormente rispetto a quello che fanno.

Con riferimento alla trasparenza, le persone devono ricevere informazioni chiare su quali dati sono oggetto di trattamento, compresi i dati osservati o dedotti che le riguardano, e devono ricevere informazioni più precise sull’uso e sullo scopo di utilizzazione di tali dati, compresa la logica utilizzata negli algoritmi per determinare le presunzioni e le ipotesi che le riguardano.

Il controllo da parte degli utilizzatori contribuirà a garantire che gli individui siano in condizione di meglio rilevare le pratiche sleali, per contestare gli errori. Esso contribuirà ad impedire l’uso secondario dei dati per fini che non corrispondono alle loro legittime aspettative: con una nuova generazione di controllo da parte degli utilizzatori, le persone potranno, se del caso, scegliere in maniera più informata e approfondita e avere esse stesse maggiori possibilità di un migliore utilizzo dei dati che le riguardano.

Ampi diritti di accesso e portabilità dei dati ed efficaci meccanismi di accesso-recesso potrebbero fungere da requisito per assicurare agli utilizzatori un maggiore controllo sui propri dati e contribuire altresì allo sviluppo di modelli commerciali e ad un utilizzo più efficiente e trasparente dei dati personali.

Integrando la protezione dei dati nella progettazione dei loro sistemi e processi e adeguando la protezione dei dati in modo da garantire una reale trasparenza e controllo da parte degli utilizzatori, gli addetti al controllo responsabili potranno, inoltre, beneficiare dei vantaggi dei megadati, assicurando al contempo il rispetto della dignità e della libertà degli individui.

Ma la protezione dei dati è solo parte della risposta. L’UE deve utilizzare in modo più coerente i moderni strumenti a disposizione, anche nella sfera della protezione dei consumatori, dell’antitrust, della ricerca e dello sviluppo, per garantire misure di salvaguardia e una scelta nel mercato, dove possono prosperare servizi rispettosi della vita privata.

Per poter rispondere alle sfide dei megadati dobbiamo lasciar spazio all’innovazione e tutelare al contempo i diritti fondamentali. Spetta ora alle società e alle altre organizzazioni che investono nella ricerca di modi innovativi di trattamento dei dati personali, avere la stessa mentalità innovativa quando si tratta di applicare la normativa in materia di protezione dei dati.

Prendendo le mosse da precedenti contributi del mondo accademico e di numerosi organismi di regolamentazione e parti interessate, il GEPD intende promuovere un nuovo dibattito aperto e informato fuori e dentro l’UE, coinvolgendo maggiormente la società civile, designer, aziende, accademici, autorità e organismi di regolamentazione pubblici, sul modo migliore per utilizzare il potenziale creativo dell’industria di applicare la legge e salvaguardare la nostra vita privata e altri diritti fondamentali nel miglior modo possibile.

6. Le fasi successive: mettere in pratica i principi

Per poter rispondere alle sfide dei megadati dobbiamo lasciar spazio all’innovazione e tutelare al contempo i diritti fondamentali. Per raggiungere questo obiettivo, i principi consolidati della normativa europea sulla protezione dei dati devono essere mantenuti, ma applicati in modi nuovi.

6.1. Norme orientate al futuro

I negoziati per la proposta di regolamento generale sulla protezione dei dati sono alle fasi finali. Abbiamo esortato i legislatori dell’UE ad adottare un pacchetto di riforma in materia di protezione dei dati, che rafforzi e modernizzi il quadro normativo affinché mantenga la propria efficacia nell’era dei megadati, rafforzando la fiducia e la sicurezza degli individui online e nel mercato unico digitale (3).

Nel parere 3/2015, accompagnato da raccomandazioni per un testo integrale della proposta di regolamento, abbiamo precisato che gli attuali principi di protezione dei dati, compresi la necessità, la proporzionalità, la minimizzazione dei dati, la limitazione delle finalità e la trasparenza, devono rimanere i principi chiave. Essi forniscono la linea di base necessaria per proteggere i nostri diritti fondamentali in un mondo di megadati (4).

Al contempo, questi principi devono essere rafforzati e applicati con maggiore efficacia e in modo più moderno, flessibile, creativo e innovativo. Devono altresì essere integrati da nuovi principi, come la responsabilità e la privacy dalla progettazione e per default.

Maggiore trasparenza, ampi diritti di accesso e portabilità dei dati, ed efficaci meccanismi di accesso-recesso potrebbero fungere da requisiti per assicurare agli utilizzatori un maggiore controllo sui propri dati e contribuire altresì a mercati più efficienti per i dati personali, a vantaggio sia dei consumatori, sia delle aziende.

Infine, estendere l’ambito di applicazione della normativa dell’UE sulla protezione dei dati alle organizzazioni che si rivolgono agli individui nell’UE e conferire alle autorità preposte alla protezione dei dati il potere di applicare misure correttive, comprese sanzioni efficaci, come prevederebbe la proposta di regolamento, sarà a sua volta un requisito fondamentale per applicare efficacemente le nostre leggi in un contesto globale. Il processo di riforma svolge un ruolo fondamentale in questo senso.

Per garantire che le regole siano applicate in modo efficace, le autorità indipendenti preposte alla protezione dei dati devono disporre non solo di poteri giuridici e strumenti efficaci, ma anche delle risorse necessarie per allineare la loro capacità alla crescita delle attività commerciali basate sui dati.

6.2. Come il GEPD intende portare avanti il dibattito

Una buona regolamentazione, se pur essenziale, non è sufficiente. Le società e le altre organizzazioni che investono nella ricerca di modi innovativi di trattamento dei dati personali devono avere la stessa mentalità innovativa quando si tratta di applicare i principi di protezione dei dati. A loro volta, le autorità preposte alla protezione dei dati dovrebbero esigere e premiare l’effettiva osservanza ed evitare di imporre superflui oneri burocratici.

Come annunciato nella Strategia del GEPD 2015-2019, il GEPD si propone di contribuire ad incoraggiare questi sforzi.

Intendiamo istituire un gruppo consultivo esterno di etica, composto da personalità distinte e indipendenti ed esperienze condivise in diverse discipline, capace di «studiare le relazioni tra diritti umani, tecnologia, mercati e modelli commerciali nel XXI secolo», analizzare più approfonditamente l’impatto dei megadati, valutare i conseguenti cambiamenti nelle nostre società, e contribuire ad individuare le problematiche che dovrebbero essere oggetto di un processo politico (5).

Svilupperemo, inoltre, un modello di politiche informative veritiere per gli organismi dell’UE, che offra servizi online in grado di contribuire alla migliore pratica per tutti gli addetti al controllo.

Infine, intendiamo altresì agevolare i dibattiti con lo scopo, ad esempio, di individuare, incoraggiare e promuovere le migliori pratiche per aumentare la trasparenza e rafforzare il controllo da parte degli utilizzatori, esaminare le opportunità per le basi di dati personali e la portabilità dei dati. Il GEPD intende organizzare un workshop sulla protezione dei megadati destinato ai responsabili politici, alle persone che gestiscono grandi volumi di dati personali nelle istituzioni dell’UE e agli esperti esterni, nonché per individuare le aree in cui sono necessari ulteriori orientamenti ed agevolare il lavoro dell’Internet Privacy Engineering Network («IPEN») [rete di ingegneria per la tutela della vita privata su Internet] come polo di conoscenze interdisciplinari per ingegneri ed esperti di privacy.

Fatto a Bruxelles, il 19 novembre 2015 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) Public Utilities Commission contro Pollak, 343 U.S. 451, 467 (1952) (giudice William O. Douglas, dissenziente).

(2) Il 25 gennaio 2012, la Commissione europea ha adottato un pacchetto di misure per la riforma del quadro giuridico europeo in materia di protezione dei dati. Tale pacchetto comprende: i) una «comunicazione» [COM(2012) 9 def.]; ii) una proposta di «regolamento generale sulla protezione dei dati» («proposta di regolamento») [COM(2012) 11 def.]; e iii) una proposta di «direttiva» sulla protezione dei dati nel campo dell’applicazione del diritto penale [COM(2012) 10 def.].

(3) Parere del GEPD 3/2015.

(4) Quando si tratta di megadati, dobbiamo resistere alla tentazione di ridurre la portata dell’attuale livello di protezione nel tentativo di soddisfare l’avvertita necessità di un approccio normativo meno rigoroso. La protezione dei dati deve continuare ad essere applicata al trattamento nella sua interezza e deve comprendere non solo l’utilizzo dei dati, ma anche la loro raccolta. Non vi è giustificazione nemmeno per eccezioni globali concernenti il trattamento di dati «pseudonimizzati» o di dati accessibili al pubblico. La definizione di dati personali deve rimanere intatta, ma potrebbe beneficiare di ulteriori chiarimenti nel testo del regolamento stesso. Di fatto, deve comprendere tutti i dati che si riferiscono a qualsiasi individuo che sia identificato, individuato, o che possa essere identificato o individuato, dal responsabile del trattamento dei dati o da qualsiasi altra parte.

(5) Parere del GEPD 4/2015