[ddlpres]

Ratifica ed esecuzione del Protocollo di emendamento alla Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale, fatto a Strasburgo il 10 ottobre 2018. Onorevoli Senatori . – Premessa Il Protocollo d'emendamento della Convenzione per la protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale è stato adottato il 18 maggio 2018, durante la centoventottesima sessione del Comitato dei ministri del Consiglio d'Europa, tenutasi ad Elsinore, in Danimarca. Il Protocollo è stato aperto alla firma il 10 ottobre 2018. Entro tre anni dall'apertura alla firma del Protocollo di emendamento gli Stati firmatari saranno tenuti ad adottare le misure necessarie per consentire la sua entrata in vigore. Sulla base della decisione con cui è stato adottato il Protocollo, gli Stati membri saranno altresì incaricati di effettuare una revisione semestrale dei progressi compiuti in materia di trattamento automatizzato di dati personali, conformemente al contenuto normativo del Protocollo stesso. L'Italia ha firmato il Protocollo il 5 marzo 2019. L'adozione del Protocollo d'emendamento della Convenzione per la protezione delle persone rispetto al trattamento automatizzato di dati personali rappresenta un traguardo significativo che fa seguito ad un lungo e complesso processo negoziale. Il lavoro di ammodernamento della Convenzione 108 – adottata a Strasburgo nel 1981 – è nato dalla necessità di adeguare la stessa alle emergenti minacce alla privacy , derivanti dal crescente uso di nuove informazioni e comunicazioni tecnologiche, dalla crescente globalizzazione delle operazioni di trattamento dei dati e dal sempre maggiore flusso di dati personali. Il lavoro negoziale è stato svolto nel più ampio contesto delle riforme degli strumenti internazionali di protezione dei dati personali, parallelamente alla riforma della legislazione sulla protezione dei dati dell'Unione europea, entrata in vigore il 25 maggio ultimo scorso. Il recente regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, in materia di protezione dei dati personali, ha la finalità di superare i disallineamenti legislativi, generati dalla precedente direttiva (cosiddetta « direttiva madre »). In particolare esso: amplia la definizione di dato personale, introducendo nuove categorie di dati, quali quelli genetici e biometrici; consolida le garanzie e i diritti azionabili dall'interessato per il controllo delle proprie informazioni e l'esercizio dell'autodeterminazione, ereditati dalla direttiva, riaffermandone molti (diritto all'accesso, rettifica, cancellazione, limitazione, revoca ed opposizione), rafforzandone altri (in primis la disciplina del consenso e della trasparenza), introducendone di nuovi (diritto alla portabilità, all'oblio, all'opposizione verso il trattamento di profilazione); accresce la responsabilità del titolare e del responsabile del trattamento con la positivizzazione del principio di accountability , che comporta una sostanziale assunzione di rischio, atteso che il titolare deve essere in grado di mettere in atto misure per garantire la conformità del trattamento al regolamento; introduce la valutazione di impatto del trattamento, che necessariamente lo precede; centralizza la governance e il controllo sul rispetto e la conformità dei trattamenti alla normativa, tramite la cooperazione e la valorizzazione delle autorità di controllo nazionali, incoraggiando meccanismi di certificazione, ampliando il sistema di vigilanza, rafforzando quello sanzionatorio. Il recente decreto legislativo 10 agosto 2018, n. 101, in attuazione di quanto previsto dal regolamento, reca modifiche al codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno 2003, n. 196. Tra le principali novità si segnalano quelle in materia di trattamento per motivi di interesse pubblico rilevante, consenso del minore in relazione ai servizi della società di informazione, misure di garanzia per il trattamento di dati genetici, biometrici e relativi alla salute, di dati relativi a condanne penali e reati, disposizioni in materia di diritti dell'interessato, trattamenti a fini statistici o di ricerca scientifica, disposizioni sanzionatorie. Il presente Protocollo risulta in linea con le disposizioni del suddetto regolamento, ne discende che il disegno di legge di ratifica non necessita di norme di adattamento. La Convenzione si propone di proteggere l'individuo dagli abusi che possono accompagnare la raccolta e il trattamento di dati personali, nonché di regolare il flusso transfrontaliero di questi ultimi (ad esempio, imponendo delle restrizioni ai flussi transfrontalieri di dati personali verso Stati in cui la corrispondente normativa non offre una tutela equivalente). Oltre a fornire garanzie in relazione alla raccolta e al trattamento di dati personali, vieta il trattamento di dati « sensibili » sulla razza, sulla politica, sulla salute, sulla religione, sulla vita sessuale, sul casellario giudiziario, in assenza di adeguate garanzie legali. La Convenzione, inoltre, sancisce il diritto dell'individuo a conoscere le informazioni a suo riguardo che sono memorizzate e, se necessario, a correggerle. La limitazione dei diritti stabiliti nella Convenzione è possibile solo quando sussistono interessi prevalenti, come ad esempio la sicurezza dello Stato e la difesa. Contenuto del Protocollo II Protocollo d'emendamento della Convenzione per la protezione delle persone rispetto al trattamento automatizzato di dati personali è strutturato in 40 articoli. È composto, inoltre, da un Preambolo in apertura e da un'Appendice in chiusura. Il Preambolo del Protocollo sancisce l'emergere di nuove sfide alla protezione delle persone rispetto al trattamento dei dati personali, da quando è stata adottata la Convenzione. Considera, inoltre, la necessità di garantire che la Convenzione continui a svolgere il suo ruolo preminente di protezione delle persone in relazione al trattamento dei dati personali e, più in generale, nella protezione dei diritti umani e delle libertà fondamentali. A tal fine, gli Stati membri del Consiglio d'Europa e le altre Parti della Convenzione hanno convenuto quanto segue. L'articolo 1 del Protocollo modifica il preambolo della Convenzione e, più precisamente, i suoi consideranda. L'articolo 2 del Protocollo sostituisce l'articolo 1 della Convenzione (Oggetto e scopo) , secondo quanto segue: « Lo scopo di questa Convenzione è proteggere ogni individuo, indipendentemente dalla sua nazionalità o residenza, in relazione al trattamento dei suoi dati personali, contribuendo in tal modo al rispetto dei suoi diritti umani e delle sue libertà fondamentali, in particolare del diritto alla privacy ». L'articolo 3 del Protocollo modifica l'articolo 2 della Convenzione (Definizioni) . Più precisamente, lascia inalterata la lettera a) mentre modifica le lettere successive, introducendo le seguenti definizioni: lettera b) « trattamento dei dati » significa qualsiasi operazione o insieme di operazioni eseguite su dati personali, quali raccolta, conservazione, alterazione, reperimento, divulgazione, messa a disposizione, cancellazione o distruzione di, o esecuzione di logiche e operazioni aritmetiche su tali dati; lettera c) dove non viene utilizzato il trattamento automatizzato, « elaborazione dei dati » significa un'operazione o una serie di operazioni eseguite su dati personali all'interno di un insieme strutturato di tali dati che sono accessibili o recuperabili in base a criteri specifici; lettera d) « titolare del trattamento »: