Source: https://www.ryadel.com/gdpr-genesi-sviluppo-privacy-data-protection-dpo-2018/
Timestamp: 2019-08-22 01:25:16+00:00

Document:
GDPR - Genesi e Sviluppo dalla Carta di Nizza al 25 Maggio 2018
14 Luglio 2018 14 Luglio 2018 - by Ryan - Leave a Comment 360
La Direttiva 2006/24/CE
Il ruolo della Corte di Giustizia dell’Unione Europea
Sentenza “Digital Rights Ireland” e Principio di Proporzionalità
Sentenza “Google Spain” e Diritto all’Oblio
Il 25 maggio 2018 è entrato in vigore il Regolamento Europeo per la Protezione dei Dati UE 2016/679, più noto come GDPR: una riforma del diritto alla privacy sviluppata dagli stati membri della comunità europea con l’intento di fornire maggiori diritti ai cittadini dell’EuroZona.
L’introduzione esecutiva del GDPR arriva a due mesi di distanza dallo scoppio del caso Cambridge Analytica, una delle più vaste violazioni di dati dell’epoca digitale: oltre 87 milioni di profili Facebook violati, contenenti dati sensibili utilizzati per finalità elettorali. Questo incredibile e inatteso evento ha provocato, se non altro, un aumento considerevole del livello di attenzione sui temi principali legali alla privacy: tra questi vi è certamente l’importanza di dotarsi di normative in grado di regolamentare in modo efficace l’enorme e crescente flusso di informazioni personali che vengono quotidianamente acquisite, trasmesse e ricevute in ogni parte del pianeta.
Lo scopo che il GDPR si propone, al netto delle importanti modifiche introdotte, è esattamente questo. Per maggiori dettagli sulle sue caratteristiche principali e sugli oneri legati all’adeguamento per Titolari, Responsabili e interessati rimandiamo all’articolo GDPR: Cosa è, cosa cambia, come agire, pubblicato alcune settimane fa; in questo articolo cercheremo di approfondire il percorso che ha portato alla genesi e allo sviluppo dell’attuale quadro normativo, a partire dalle prime formulazioni europee in materia di Privacy.
Il punto da cui è opportuno far partire questa retrospettiva è la Carta dei diritti fondamentali dell’Unione europea, nota anche in Italia come Carta di Nizza in virtù del luogo della sua prima proclamazione, avvenuta il 7 dicembre 2000. Il testo, in conseguenza dell’entrata in vigore del Trattato di Lisbona, assume il medesimo valore giuridico dei trattati (ex art. 6) ed è quindi pienamente vincolante per tutti gli Stati membri.
La Carta di Nizza è stata redatta per rispondere alla necessità, emersa durante il Consiglio europeo di Colonia (3 e 4 giugno 1999), di definire un gruppo di diritti e libertà fondamentali che fossero garantiti a tutti i cittadini dell’Unione Europea. Di particolare rilevanza per la nostra analisi è l’Articolo 8 – Protezione dei dati di carattere personale, che riportiamo di seguito in forma integrale:
Il diritto alla protezione dei dati personali viene dunque riconosciuto come autonomo e indipendente rispetto a tutti gli altri diritti, ivi compreso il diritto al rispetto della propria vita privata (art. 7). E’ inoltre importante sottolineare come già in questa formulazione sia previsto il controllo delle regole da parte di una autorità indipendente: tale ruolo viene affidato al Garante della Privacy, già presente in Italia dal 1996 in virtù della legge n. 675 del 31 dicembre 1996 (nota anche come legge sulla privacy).
La Carta di Nizza non è la prima normativa a introdurre il concetto di diritto alla privacy: al contrario, si potrebbe dire che il suo testo abbia raccolto e integrato una serie di regolamentazioni adottate da molti stati europei nel corso degli anni 70, 80 e 90 a seguito dell’esperienza dei regimi totalitari del Novecento e al timore che i governi si dotassero di strumenti di controllo eccessivamente invasivi. Il limite comune a tutte queste formulazioni, come detto poc’anzi, consisteva nel concepire il diritto alla protezione dei dati personali come una fattispecie del rispetto della vita privata: a questa impostazione la Carta di Nizza oppone nuovo paradigma concettuale, volto a superare tale relazione gerarchica creando un diritto distinto e separato. Il nuovo approccio ha il principale vantaggio di garantire agli individui un livello superiore di tutela nel momento in cui diventano i diretti interessati di una attività di trattamento dei loro dati personali.
Un’altra direttiva che ha giocato un ruolo estremamente importante per il conseguimento di questo importante risultato è la Data Protection Directive (CE 95/46), entrata in vigore nel dicembre 1995 e rimasta in vigore fino all’arrivo del GDPR: si tratta di un interessante esperimento, operato dalla comunità europea, di declinare il concetto, estremamente vago, espresso nell’articolo 8 dell’ European Convention on Human Rights (ECHR):
La Data Protection Directive rappresenta bene le difficoltà della comunità europea di tutelare i dati personali nel corso del tempo, parallelamente ai progressi tecnologici raggiunti da una società sempre più orientata allo sviluppo delle tecnologie delle informazioni e delle comunicazioni: il progressivo avvento di Internet rese evidente l’inadeguatezza del testo normativo nel giro di pochi anni, spingendo l’UE ad ampliare l’ambito di applicazione ai nuovi sistemi di comunicazione elettronica nel luglio 2002, con la Direttiva 2002/58/CE. Tale direttiva coincide con la presa di coscienza del legislatore rispetto alla necessità di adeguare periodicamente le leggi poste a tutela dei diritti degli interessati rispetto al trattamento dei dati personali in un contesto reso mutevole dalla costante e progressiva creazione, introduzione ed evoluzione delle nuove tecnologie.
La tutela dei dati personali si complica ulteriormente a seguito dei gravissimi fatti dell’11 settembre 2001, che portano gli Stati UE a interrogarsi sulla necessità impellente di dotarsi di misure atte a prevenire e combattere i crimini terroristici. Lo scenario mondiale, dominato dalla paura e da ulteriori attacchi, favorisce la rapida promulgazione di nuove leggi dal contenuto altamente restrittivo, a cominciare dall’Anti-Terrorism, Crime and Security Act approvato dal parlamento inglese nel dicembre 2001 (il testo completo è consultabile qui). E’ a partire da questo documento che comincia a farsi strada il concetto di Data Retention, menzionato all’interno della Part 11 – Retention of Communications Data:
(1) The Secretary of State shall issue, and may from time to time revise, a code of practice relating to the retention by communications providers of communications data obtained by or held by them.
(5) A code of practice or agreement under this section which is for the time being in force shall be admissible in evidence in any legal proceedings in which the question arises whether or not the retention of any communications data is justified on the grounds that a failure to retain the data would be likely to prejudice national security, the prevention or detection of crime or the prosecution of offenders.
Il concetto di Data Retention, inteso come l’obbligo alla conservazione di dati personali per finalità di contrasto di reati gravi, trova un’ulteriore formalizzazione normativa nel 2006, in conseguenza dell’approvazione della controversa Data Protection Directive (2006/24/CE). Tale Direttiva, rimasta in vigore fino all’8 aprile 2014 (vedi sotto), integra e modifica la precedente e summenzionata 2002/58/CE negli aspetti inerenti la conservazione di dati generati ovvero trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione. Il testo introduce un principio di obbligatorietà della Data Retention per i provider di servizi nell’Articolo 3 – Obbligo di conservazione dei dati:
L’accesso ai suddetti dati viene regolamentato nell’Articolo 4, ampliando di fatto le prerogative delle autorità nazionali competenti:
Il periodo di conservazione dei suddetti dati e le misure di sicurezza da applicare per la protezione degli stessi sono normati dagli articoli 7 e 8, che introducono una serie di aspetti di Data Security di chiara influenza anglosassone ponendo l’accento sulla necessità di dotarsi di adeguate misure tecniche e organizzative, di una access control list e di un rudimentale concetto di data destruction al termine del periodo di conservazione – benché non ancora inquadrato in un contesto procedurale adeguato.
In estrema sintesi, la Direttiva 2006/24/CE introduce l’obbligo da parte dei fornitori di servizi di comunicazione elettronica di conservare i dati raccolti per un periodo da sei mesi a due anni. Una esigenza fortemente voluta dalle autorità investigative, ma che appare fin da subito in aperto contrasto con i diritti dei cittadini.
La sostanziale inadeguatezza della Direttiva 2006/24/CE fu prontamente notata dalla Corte di Giustizia dell’Unione Europea, che trovò non poche difficoltà a conciliare quanto previsto dalla direttiva con i diritti sanciti dalla Carta di Nizza: al tempo stesso, furono proprio le interpretazioni date dalla CGUE a quanto previsto dalla 2006/24/CE a mettere il legislatore Europeo in condizione di individuare un percorso che consentisse alle autorità degli Stati membri di svolgere le opportune attività di controllo sulle comunicazioni, tutelando nel contempo i diritti e le libertà individuali: in altre parole, la CGUE giocò un ruolo fondamentale nell’elaborazione della normativa attuale.
Tra gli episodi più emblematici che mostrano il fondamentale contributo apportato dalla CGUE all’evoluzione dei diritti civili nell’era digitale è dato dal ricorso effettuato nel 2012 dalla ONG irlandese Digital Rights Ireland contro le misure di adeguamento della Data Retention Directive adottate dal governo irlandese. Il caso si è chiuso l’8 aprile 2014 con una sentenza sorprendente, nella quale la CGUE ha dichiarato illegittima la Data Retention Directive, sancendone di fatto l’abrogazione. I rilievi effettuati dalla CGUE evidenziarono come la direttiva costituisse una minaccia per i diritti alla vita privata e alla protezione dei dati personali da parte delle forze dell’ordine degli Stati membri: nello specifico, le modalità di trattamento non erano effettuate in presenza di garanzie sufficienti a tutela dell’interessato, violando così il principio di proporzionalità. Un ulteriore tassello, dunque, che sarebbe di lì a poco andato ad aggiungersi al nuovo regolamento.
Un’altra pietra portante dell’attuale GDPR è stata messa sempre dalla CGUE il 13 maggio 2014 con la sentenza Google Spain, all’interno della quale si fa riferimento per la prima volta a quello che poi diventerà noto come diritto all’oblio, ovvero la possibilità di richiedere a un provider di servizi (in questo caso un motore di ricerca) la cancellazione dei propri dati nel caso in cui la loro conservazione non sia più ritenuta necessaria o in caso di revoca del consenso al trattamento:
Il 1 dicembre 2009 entra in vigore il Trattato di Lisbona, che – tra le altre cose – attribuisce alla Carta di Nizza il medesimo valore giuridico dei trattati a livello comunitario: in conseguenza di questo, la tutela dei diritti fondamentali – tra cui quello alla protezione dei dati personali – diventa un principio autonomo e giuridicamente applicabile presso tutti gli stati membri. Questo importante traguardo convince il legislatore europeo della necessità di adottare un regolamento comune, abbandonando la prassi precedente che prevedeva l’attuazione delle direttive UE mediante leggi ad-hoc stabilite entro i confini singoli paesi.
Intorno al 2012 ha così inizio un lungo progetto di riforma, che si pone l’obiettivo di fornire una base normativa comunitaria che tuteli i diritti degli interessati in materia di protezione dei dati personali secondo principi e attraverso modalità uguali in tutta l’Unione Europea. Il processo, fortemente influenzato dalla bocciatura della Direttiva 2006/24/CE da parte della CGUE e dalle successive sentenze della Corte a tutela delle libertà individuali e dei dati personali degli interessati, termina il 14 aprile 2016 con l’approvazione del Regolamento UE 2016/679, noto anche come General Data Protection Regulation o GDPR.
Per un elenco approfondito dei cambiamenti introdotti dalla nuova normativa rimandiamo all’articolo GDPR: cos’è, cosa cambia, come agire: in questa sede, per ragioni di spazio, ci limiteremo a riassumere i quattro ambiti principali:
Nuovi diritti per l’interessato: vengono finalmente codificati il diritto all’oblio, il diritto all’accesso e il diritto alla portabilità dei dati; viene inoltre maggiormente chiarito il diritto di informazione rispetto alle azioni intraprese e alle garanzie poste in atto da chi raccoglie ed elabora i dati, con possibilità da parte dell’interessato di poter limitare o revocare il proprio consenso al trattamento. A tal proposito, il regolamento chiarisce che la revoca del consenso deve poter essere effettuata con le medesime modalità e con la stessa semplicità con la quale questo è stato fornito in precedenza.
Nuovi obblighi per Titolari e Responsabili: a questi ultimi viene richiesto di mettere in atto una serie di misure volte a proteggere i dati attraverso misure tecniche adeguate e appositi registri, assumendo su se stessi l’onere della prova – ovvero la necessità di dover dimostrare di operare in modo conforme alla normativa in caso di controlli o segnalazioni.
Istituzione della figura del Data Protection Officer (DPO): al fine di assistere il Titolare nell’espletamento delle sue nuove funzioni è prevista, per i casi dove sussistono trattamenti su larga scala, la nomina obbligatoria di una nuova figura professionale, il Responsabile della Protezione dei Dati (RDP o DPO): una figura contraddistinta da un elevato livello di indipendenza e che non può ricoprire altri ruoli aziendali che possano metterlo in una condizione di conflitto di interesse, alla quale spetta il compito di controllare le attività effettuate in ambito privacy, fornire consigli sulle strategie da adottare e interagire con il Garante nei casi previsti dal Regolamento (es. Data Breach). Per maggiori dettagli sulla figura del DPO, consigliamo di leggere l’articolo DPO: Mansioni, Tariffe e Calcolo dei Compensi.
Rafforzamento delle Autorità Nazionali: il Garante della Privacy degli stati membri, in qualità di Autorità di Controllo (art. 51), sarà dotato di poteri più specifici, potrà comminare delle sanzioni anche molto elevate in caso di mancato rispetto del Regolamento e potrà essere contattato direttamente dagli interessati in caso di violazione dei propri diritti; potrà inoltre contare su un nuovo organo di coordinamento comunitario, il Comitato Europeo per la Protezione dei Dati (art. 60), che avrà il compito di risolvere eventuali controversie tra le autorità di controllo nazionali mediante l’applicazione del Consistency Mechanism o Meccanismo di Coerenza (art. 64).
Il GDPR è lungi dall’essere perfetto, specialmente in mancanza di un decreto di armonizzazione volto a integrare quanto previsto nei suoi articoli chiave con la ricca e articolata normativa pre-vigente del nostro paese. Al tempo stesso può essere considerato un apprezzabile esperimento, da parte del legislatore europeo, volto alla creazione di una serie di meccanismi di tutela e difesa del diritto alla protezione dei dati personali coerenti e uniformi a livello comunitario, cercando di restare al passo con i tempi in termini di innovazione tecnologica e responsabilizzando maggiormente governi, imprese e pubbliche amministrazioni.
TaggedCambridge AnalyticaCarta di NizzaCGUEData Protection DirectiveData Protection OfficerData RetentionDigital Rights IrelandDPOGarante PrivacyGDPRGoogle SpainPrivacy
2-Factor Authentication (2FA): cos’è, come funziona, perché utilizzarla Cosa si intende per autenticazione a due fattori (2FA, MFA) perché dovremmo utilizzarla ovunque possibile per rendere la nostra esperienza online (e non) più sicura
3 Marzo 2019 27 Aprile 2019
Previous Article Generatore di Password casuali in C# per ASP.NET Core & ASP.NET MVC Identity
Next Article Business Continuity: Requisiti, Modelli, Controlli, Policy, Standard e Linee Guida nel 2018
Utility & Tool (46)
Server e Servizi (111)
Sicurezza Informatica (47)
Archivio Seleziona il mese Agosto 2019 (7) Luglio 2019 (10) Giugno 2019 (18) Aprile 2019 (8) Marzo 2019 (5) Febbraio 2019 (4) Gennaio 2019 (3) Novembre 2018 (3) Ottobre 2018 (11) Agosto 2018 (7) Luglio 2018 (20) Giugno 2018 (10) Maggio 2018 (8) Aprile 2018 (2) Marzo 2018 (16) Febbraio 2018 (8) Gennaio 2018 (4) Dicembre 2017 (7) Novembre 2017 (4) Ottobre 2017 (5) Settembre 2017 (3) Agosto 2017 (12) Luglio 2017 (5) Giugno 2017 (1) Maggio 2017 (4) Aprile 2017 (10) Febbraio 2017 (11) Gennaio 2017 (20) Dicembre 2016 (2) Novembre 2016 (9) Ottobre 2016 (15) Settembre 2016 (5) Agosto 2016 (20) Luglio 2016 (12) Maggio 2016 (3) Aprile 2016 (2) Febbraio 2016 (1) Gennaio 2016 (2) Dicembre 2015 (6) Novembre 2015 (4) Ottobre 2015 (21) Settembre 2015 (8) Agosto 2015 (9) Luglio 2015 (12) Giugno 2015 (1) Maggio 2015 (6) Aprile 2015 (10) Marzo 2015 (15) Febbraio 2015 (4) Gennaio 2015 (5) Dicembre 2014 (9) Novembre 2014 (4) Ottobre 2014 (7)
.NET Core Android Angular ASP.NET ASP.NET Core ASP.NET MVC C# CentOS CounterStrike CS:GO GDPR GitHub Google IIS iOS Javascript JQuery Linux Malware Microsoft MVC MySQL Notizie Objective-C Office Office 2013 Outlook PHP PowerShell Privacy SEO SQL Server SSL TLS Visual Studio Visual Studio 2015 VS2015 Windows Windows 7 Windows 8 Windows 8.1 Windows 10 WordPress XCode XML
Ieri mi sono trovato con la necessità di creare un certo numero di password casuali in C#. Prima di implementare...

References: Sentenza 

Sentenza 
 art. 6
 CGUE 
 CGUE 
 CGUE 
 sentenza 
 CGUE 
 CGUE 
 CGUE 
 sentenza 
 CGUE