Source: http://europrivacy.info/it/2018/01/11/privacy-laws/
Timestamp: 2018-04-27 00:38:59+00:00

Document:
LE NORMATIVE PRIVACY – Europrivacy
By Giancarlo Butti | 11 gennaio 2018
La mia attività mi porta a frequentare diversi gruppi di lavoro sul GDPR ed a partecipare a numerosi eventi sullo stesso tema. L’impressione che ne ricavo è che la maggior parte di chi partecipa a tali avvenimenti non abbia in realtà mai letto il testo di una normativa privacy, sia che si tratti di quella attualmente in vigore, sia che si tratti del GDPR.
Questo stato di cose è molto deleterio in quanto spesso vengono posti quesiti assolutamente inutili (tipico quello sul diritto all’oblio ed i dati personali trattati in base ad un adempimento contrattuale…) o vengono fatte affermazioni che denotano una conoscenza della materia molto superficiale (c’è chi ancora confonde la PROTEZIONE con la SICUREZZA o che dichiara che si è passati dalla PRIVACY alla PROTEZIONE dei dati personali, dimenticando che anche l’attuale normativa italiana è un Codice sulla PROTEZIONE dei dati personali) e molto altro ancora.
La lettura del testo di legge è invece fondamentale per tutti coloro che si occupano o che dovranno occuparsi di privacy nella propria azienda in quanto la materia è troppo articolata e complessa e richiede una sinergia fra le diverse figure professionali presenti in azienda. Ad esempio la definizione di una policy sui tempi di conservazione dei dati deve tener conto della specifica architettura informatica presente in azienda (si veda al riguardo il mio post Il periodo di conservazione dei dati personali). Decidere ad esempio di conservare un dato in funzione della sola finalità che prevede il tempo più elevato è formalmente scorretto, in quanto devono essere messe in atto misure tecniche/organizzative per impedire che lo stesso dato possa essere utilizzato anche per altre finalità che abbiano tempi di conservazione più limitati, ovvero che lo stesso sia cancellato se presente in più archivi dedicati a finalità con tempi di conservazione diversificati.
La definizione della policy deve essere una attività collegiale che coinvolga da subito legali, organizzativi ed informatici. In tale contesto è tuttavia indispensabile che anche chi si occupa di organizzazione e di informatica attui un’attenta, personale e diretta lettura della normativa.
Solo così è possibile avere una corretta e completa visione delle implicazioni di ogni singolo adempimento evitando i rischi dell’effetto PowerPoint[1].
In tale contesto non va inoltre dimenticato che si deve avere una visione complessiva della normativa privacy, mentre ci si è troppo concentrati sul GDPR, dimenticando che una buona parte del D.Lgs 196/03 non è direttamente impattato da tale normativa.
Ad esempio, pur essendo corretto formalmente preoccuparsi in sede di mappatura finalizzata alla realizzazione del registro delle attività di trattamento dei dati dei soli interessati, ai fini del rispetto della normativa privacy sarebbe più opportuno considerare anche altri soggetti, quali ad esempio i contraenti e utenti, che rivestono un ruolo molto importante nelle attività di marketing e il cui trattamento è regolato da altre normative (si veda al riguardo il mio post Marketing e GDPR).
In Italia siamo abituati a confrontarci con un unico testo normativo che racchiude adempimenti previsti da diverse Direttive europee. Dobbiamo invece abituarci a ragionare in termini europei e leggere direttamente i testi di tali Direttive.
Questo può risultare molto utile anche per comprendere la valenza dell’attuale GDPR, che in diversi punti è molto più simile alla Direttiva 95/46/CE che non al testo del nostro D.Lgs 196/03.
Tale confronto può essere una guida alla corretta interpretazione della reale volontà del legislatore.
Consideriamo ad esempio l’articolo 22 del GDPR Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione e confrontiamolo con l’originale articolo 15 della Direttiva 95/46:
Direttiva 95/46/CE – Articolo 15 Decisioni individuali automatizzate
1 Gli Stati membri riconoscono a qualsiasi persona il diritto di non essere sottoposta ad una decisione che produca effetti giuridici o abbia effetti significativi nei suoi confronti fondata esclusivamente su un trattamento automatizzato di dati destinati a valutare taluni aspetti della sua personalità, quali il rendimento professionale, il credito, l’affidabilità, il comportamento, ecc.
2 Gli Stati membri dispongono, salve le altre disposizioni della presente direttiva, che una persona può essere sottoposta a una decisione di cui al paragrafo 1, qualora una tale decisione:
b) sia autorizzata da una legge che precisi i provvedimenti atti a salvaguardare un interesse legittimo della persona Interessata
GDPR – Articolo 22 Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione
I due articoli sono molto simili e francamente la formulazione utilizzata nella Direttiva del comma 1 appare più esplicativa della generica e criptica formulazione dell’articolo 14 del D.Lgs 196/03 che presumo pochi conoscano (anche perché, come spesso accade nella normativa attuale, non vi alcuna sanzione per il mancato rispetto di tale prescrizione).
1 Nessun atto o provvedimento giudiziario o amministrativo che implichi una valutazione del comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato.
2 L’interessato può opporsi ad ogni altro tipo di determinazione adottata sulla base del trattamento di cui al comma 1, ai sensi dell’articolo 7, comma 4, lettera a), salvo che la determinazione sia stata adottata in occasione della conclusione o dell’esecuzione di un contratto, in accoglimento di una proposta dell’interessato o sulla base di adeguate garanzie individuate dal presente codice o da un provvedimento del Garante ai sensi dell’articolo 17.
Analogamente l’articolo 8 della Direttiva 95/46/CE nella formulazione dei dati particolari[2] appare molto più lineare e simile, salvo qualche integrazione innovativa al GDPR che non l’articolata formulazione dei dati sensibili presenti nel D.Lgs 196/03.
Direttiva 95/46/CE – Articolo 8 Trattamenti riguardanti categorie particolari di dati
2 Il paragrafo 1 non si applica qualora:
c) il trattamento sia necessario per salvaguardare un interesse vitale della persona Interessata o di un terzo nel caso ln cui la persona interessata è nell’incapacità fisica o giuridica di dare il proprio consenso; o
GDPR – Articolo 9 Trattamento di categorie particolari di dati personali
In conclusione quindi, come spesso ripeto agli allievi dei miei corsi, invito tutti a leggere con attenzione il testo delle normative e non limitarsi ad assistere a convegni o a leggere articoli.
[1] Le semplificazioni di norma introdotte nel corso delle presentazioni possono portare a reiterare messaggi ed interpretazioni errate della normativa.
[2] Da notare quindi che la definizione di dato particolare in luogo di dato sensibile non è una novità, ma è una semplice riconferma del termine usato nella normativa di riferimento.
← WP art. 29 ha pubblicato un documento sulla Trasparenza e sull’Informativa Il “Poliziotto buono” che controlla i nostri dati. Ecco come nominarlo →

References: articolo 15
 Articolo 15
 Articolo 22
 Articolo 8
 Articolo 9
 art. 29