Source: https://www.privacyitalia.eu/privacy-e-data-protection-tra-gdpr-e-nuovo-codice-privacy-il-complesso-quadro-normativo-italo-comunitario/8996/
Timestamp: 2019-08-18 18:11:41+00:00
Document Index: 106570956

Matched Legal Cases: ['art. 83', 'art.7', 'art.8', 'art.8', 'art. 25', 'art. 3', 'art. 22', 'art. 22']

Home | Privacy e data protection tra GDPR e nuovo Codice Privacy. Il complesso quadro normativo italo-comunitario
Il GDPR sta diventando un legal benchmark globale. Dopo Giappone, Canada, Brasile e Singapore, anche negli Stati Uniti si va consolidando il consenso politico per nuove regole protettive per gli utenti digitali.
Dal 25 maggio 2018 – data di piena applicazione del General Data Protection Regulation della UE – il mondo sta lentamente cambiando: in meglio, parrebbe, ad avviso di chi scrive, almeno per quanto riguarda la tutela della riservatezza e della protezione dei dati personali.
Il GDPR sta diventando, infatti – è diventato potremmo forse già dire – un legal benchmark globale: dopo Giappone, Canada, Brasile e Singapore, tra i primi ad essersi allineati al nuovo standard normativo globale sulla falsariga di quanto stabilito dal nuovo quadro regolatorio comunitario, anche negli Stati Uniti si va consolidando il consenso politico per la definizione di nuove regole – non solo a livello statale ma soprattutto federale – protettive per gli utilizzatori di servizi e prodotti digitali che utilizzano dati personali.
Scandalo che ha travolto il mondo politico occidentale in quanto tale analisi massiva dei dati personali e degli orientamenti parrebbe aver influenzato – il condizionale è d’obbligo – l’esito del referendum pro-Brexit e la campagna vittoriosa delle ultime elezioni americane.
Quello che, invece, parrebbe un dato di fatto – tra data breach in senso lato e breach of confidence – è che sarebbero stati oggetto di profilazione occulta a CA, in quanto non resa nota né tantomeno assentita dagli interessati i dati contenuti nei profili personali Facebook di almeno 50 milioni di utenti poi divenuti 87 milioni per espressa ammissione del social networkall’esito delle verifiche interne effettuate.
Segnalo, inoltre, che nei giorni scorsi Facebook è stata sanzionata dall’Autorità Inglese di protezione dei dati – Information Commissioner’s Office (ICO) – con la sanzione più elevata all’epoca dei fatti – anteriormente al GDPR quindi – di 500.000,00 sterline inglesi. In base all’apparato sanzionatorio introdotto dal GDPR Facebook oggi rischierebbe molto di più: una sanzione pecuniaria sino al 4% del fatturato globale (art. 83 GDPR).
Per una volta nel contesto della regolamentazione digitale è la vecchia Europa a indicare la strada, in questo caso con riferimento alla data protection, agli Stati Uniti, in particolare alla californiana Silicon Valley sede dei grandi player globali, gli Over The Top digitali: Google, Apple, Facebook, Amazon per citare i principali.
Particolarmente significativo è, quindi, in questo mutato scenario regolatorio la recente legge dello Stato della California ilCalifornia Consumer Privacy Act of 2018 – che, però, entrerà in vigore solamente il 1° gennaio del 2020; segno tangibile che anche negli Stati Uniti si è avviato un lento ma inesorabile processo di allineamento al GDPR in attesa dell’auspicata legge federale sulla privacy.
Legge federale evocata e caldeggiata anche da Tim Cook in occasione della 40ma Conferenza Internazionale delle Autorità di Data Protection e Privacy – che riunisce le Autorità di 115 Stati – quest’anno a Bruxelles coordinata dal Garante UE Giovanni Buttarelli; il CEO di Apple – novello paladino della privacy ed inatteso estimatore del GDPR – dichiara:“At Apple, we believe privacy is a fundamental human right”.
Certo, il percorso per una piena tutela della privacy a livello globale è appena iniziato e la strada irta di ostacoli: da ultimo, solo per citare alcuni fatti significativi, il furto dei token di Facebook, il bug di Google plus e l’annuncio della sua chiusura, infine, le denunce di Clusit sull’aumento del furto di credenziali usate per attacchi informatici.
“Contro questi abusi – osserva giustamente il Garante italiano Antonello Soro, sempre attento anche al contesto internazionale e non solo comunitario, in una recente intervista rilasciata a AGl 13 ottobre 2018 – il nuovo Regolamento europeo rappresenta oggi un formidabile strumento per costringere gli Over The Top a gestire con maggiore trasparenza i dati personali dei loro utenti, a proteggerli con misure adeguate e a limitare in un perimetro chiaro gli usi che di questi dati essi possono fare. Prova ne sia il fatto che – proprio in base alle disposizioni del Regolamento – nel recente gravissimo caso di data breach che ha coinvolto 50 milioni di utenti, Facebook si sia affrettata a darne – come doveroso – immediata comunicazione al pubblico e alle autorità di protezione dati.”
Non a caso il Garante Soro ha intitolato la Sua Relazione annuale del 10 luglio 2018 ‘Proteggere i dati per governare la complessità’ rilevando, fra l’altro, che: “Non possono essere i protocolli informatici o le condizioni generali di contratto, unilateralmente stabilite dai big tech, il codice normativo del digitale, su cui fondare diritti e doveri, nel contesto in cui più di ogni altro si dispiega la nostra esistenza.
(…) Fake news, hate speech, cyberbullismo, eterna memoria della rete, ma anche minacce cibernetiche, algoritmi predittivi, uso massivo dei big data, persuasione occulta e social engineering funzionale ad attacchi informatici. Questi ultimi in Italia, nel solo mese di maggio, hanno toccato la soglia di 140 al giorno. Dal 25 maggio sono aumentate di oltre il 500% le comunicazioni di data breach al Garante, che hanno interessato, assieme a quelli notificati a partire da marzo, oltre 330.000 persone”.
Dati ancora più aggiornati evidenziano che dal 25 maggio al 25 settembre sono giunte ben 2.547 segnalazioni, a fronte di 1.795 giunte nello stesso periodo dello scorso anno.
Crescente diffusione di prodotti e servizi ICT di nuova generazione basati sull’elaborazione massiva e sistematica di informazioni personali e non (Internet of Things, Big Data, Cloud computing e Smartphone), accrescono il ruolo strategico dei temi della privacy e della sicurezza dei dati raccolti con tali modalità pervasive.
a)la pseudonimizzazione e la cifratura dei dati personali;
b)la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
c)la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico;
d)una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
Privacy digitale: un vero e proprio ossimoro dei tempi moderni
E’ stato da tempo avviato anche il processo di riforma della Direttiva 2002/58/CE (c.d. “Direttiva ePrivacy”), che dovrebbe uniformare l’attuale quadro normativo continentale in materia di circolazione dei dati personali nelle comunicazioni elettroniche – con un tentativo di disciplinare anche le comunicazioni Machine to Machine del nuovo fenomeno IoT – con l’introduzione, anche in questo caso, di un Regolamento direttamente applicabile negli Stati UE.
Un pilastro fondamentale del DSM è, infatti, proprio quello costituito dalla costruzione europea di un nuovo quadro regolatorio armonizzato in materia di privacy e protezione di dati personali in attuazione del generale precetto contenuto nell’articolo 16, paragrafo 1, del Trattato sul funzionamento dell’Unione europea (TFUE) che poggia sulla duplice tutela della persona offerta dai seguenti referenti normativi contenuti nella Carta dei diritti fondamentali dell’Unione Europea:
– art.7 Diritto al rispetto della vita privata e familiare e
– art.8 Protezione dei dati di carattere personale
Un mercato efficiente, corretto e trasparente che non rinuncia, quindi, alla tutela dei diritti fondamentali della persona e dei soggetti più deboli dal punto di vista economico, informativo e negoziale. In particolare, si rammenta l’art.8 della Carta che statuisce: “Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica”.
La protezione prevista dal Regolamento Generale – a differenza dell’ePrivacy che si applicherà anche alle persone giuridiche – si applica esclusivamente alle persone fisiche, a prescindere dalla nazionalità o dal luogo di residenza, in relazione al trattamento dei loro dati personali.
Fra le tante novità del nuovo Regolamento – Valutazione Impatto Privacy, Data Protection Officer, Diritto all’oblio, Diritto alla portabilità dei dati e il robusto apparato sanzionatorio solo per fare alcuni cenni ex multis senza pretese di esaustività – si segnala l’art. 25 Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita,rafforzamento di princìpi già noti anche mediante meccanismi di certificazione indipendente, che testimonia lo sforzo di arginare la potenziale pervasività tecnologica digitale ab origine e non solo ex post.
Menzione particolare, infine, non certo per importanza, merita il principio di applicazione territoriale esteso statuito dal nuovo art. 3 del GDPR che – al fine di disciplinare l’attività di trattamento dati dei grandi player multinazionali ma con sede oltre oceano, nella Silicon Valley – stabilisce che: “Il presente regolamento si applica al trattamento dei dati personali effettuato nell’ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell’Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell’Unione”.
E ancora: “Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell’Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’Unione, quando le attività di trattamento riguardano:
Ecco allora che sino all’adozione dei corrispondenti provvedimenti generali di cui all’articolo 2-quinquiesdecies del nuovoCodice in materia di protezione dei dati personali, i trattamenti di cui al medesimo articolo, già in corso alla data di entrata in vigore del presente decreto, possono proseguire qualora avvengano in base a espresse disposizioni di legge o regolamento o atti amministrativi generali, ovvero nel caso in cui siano stati sottoposti a verifica preliminare o autorizzazione del Garante per la protezione dei dati personali, che abbiano individuato misure e accorgimenti adeguati a garanzia dell’interessato (art. 22, comma 3 nuovo Codice Privacy).
Infine, non certo per importanza, l’art. 22 comma 13 del nuovo Codice Privacy stabilisce che per i primi otto mesi dalla data di entrata in vigore del presente decreto, il Garante per la protezione dei dati personali tiene conto, ai fini dell’applicazione delle sanzioni amministrative e nei limiti in cui risulti compatibile con le disposizioni del Regolamento (UE) 2016/679, della fase di prima applicazione delle disposizioni sanzionatorie.
Non si tratta di una moratoria in senso stretto, come inizialmente ipotizzato, in quanto non vi è né sospensione delle attività ispettive né sospensione delle sanzioni. Più semplicemente si tratta in una circostanza attenuante ex lege fondata sulle difficoltà applicative del primo periodo successivo all’entrata in vigore – 8 mesi dal 19 settembre 2018 – di cui il Garante terrà conto.
Detta previsione, tuttavia, pare depotenziata in quanto il nuovo Codice novellato dal D.Lgs. 101/2018 non quantifica, come invece sarebbe stato forse opportuno per evitare conteziosi nella fase di applicazione inziale, la misura dell’attenuante applicabile.
Il nuovo Codice, interviene, inoltre, sull’apparato sanzionatorio penale delineando il seguente nuovo quadro:
– L’acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala
– Comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala
– Inosservanza dei provvedimenti del Garante
Si registra, inoltre, un rafforzamento dei poteri e dei compiti del Garante. In particolare, ai sensi dell’Art. 154–bis (Poteri) del nuovo Codice Privacy, il Garante ha il potere di:
a)adottare linee guida di indirizzo riguardanti le misure organizzative e tecniche di attuazione dei principi del Regolamento, anche per singoli settori e in applicazione dei principi di cui all’articolo 25 del Regolamento;
b)approvare le regole deontologiche.
Norma che si ritiene di particolare importanza perché l’impianto complessivo del GDPR tradisce una struttura complessa, ispirata alle strutture articolate delle grandi imprese, nazionali e multinazionali, in cui si può agevolmente osservare il principio di segregation of duties fra le varie figure soggettive della filiera privacy (Titolare, Responsabile, DPO) e si possono investire ingenti budget e risorse umane all’adempimento dei nuovi precetti sia sotto il profilo organizzativo che della sicurezza dei dati.
Occorre, invece, fermi restando i principi fondamentali introdotti dal GDPR, semplificare significativamente gli adempimenti richiesti dal nuovo quadro normativo in relazione a studi professionali, micro, piccole imprese e medie imprese, distinguendo con nettezza tra chi tratta dati esclusivamente per svolgere la propria attività professionale o d’impresa nell’ambito di rapporti contrattuali di fornitura di servizi e beni, rispetto a chi svolge un attività d’impresa che coincide con lo sfruttamento commerciale dei dati raccolti.
Tuttavia, nonostante l’importante sforzo normativo che il GDPR esprime – ulteriormente rafforzato dal nuovo Codice Privacy italiano e in attesa del completamento, in corso d’opera, del tassello relativo alla privacy digitale comunitaria – non si può negare che la tutela della privacy e della protezione dei dati personali siano ancora elementi di uno scenario strategico globale, complesso e mutevole, non ancora giunto a un assetto regolatorio definitivo.
Anche se attualmente non si può più disconoscere che il virtuoso processo di allineamento globale al legal benchmarkcostituito dal GDPR UE – anche da parte dei principali attori dei mercati multinazionali, gli over the top della Silicon Valley californiana e più in generale degli Stati Uniti – è ormai positivamente avviato.
Da tali premesse discende l’iniziativa dello scrivente – Direttore Esecutivo DNT “Diritto Nuove Tecnologie®-Studi Giuridici per l’innovazione” – di promuovere in occasione del ventennale della fondazione dell’Università di Milano Bicocca insieme all’Accademia della Guardia di Finanza di Bergamo e con il patrocinio del Garante per la Protezione dei Dati Personali, di American Chamber of Commerce e di Privacy Italia – mercoledì 31 ottobre p.v. ore 14.30 Aula Magna dell’Università di Milano Bicocca – il Convegno-Tavola Rotonda “Protezione dei dati personali tra GDPR UE e nuovo Codice Privacy: un primo bilancio applicativo” che vedrà la partecipazione – oltre al Dott. Antonello Soro Garante per la Protezione dei Dati Personali – di autorevolissimi Relatori che interverranno sui principali aspetti dell’importante riforma a quasi un semestre dalla sua piena applicazione.
Fonte: Privacy Italia | di Emilio Tosi, Professore di Diritto Privato e Diritto delle Nuove Tecnologie Università di Milano Bicocca