Source: https://www.unidpo.it/index.php/contributi/85-la-convenzione-di-strasburgo-madre-nobile-del-gdpr
Timestamp: 2020-07-05 00:36:03+00:00
Document Index: 47459087

Matched Legal Cases: ['art. 6', 'art. 9', 'art. 7', 'art. 8', 'art. 13', 'art. 14', 'art. 15', 'art. 16', 'art. 77', 'art. 22', 'art. 25']

All’art. 6 viene previsto un divieto generale di elaborazione automatica di "categorie speciali di dati" (special categories of data, che in Italia saranno meglio conosciuti quali "dati sensibili" e che il GDPR all’art. 9 definisce ora quali "categorie particolari di dati") che comprende quelli "che rivelano l’origine razziale, le opinioni politiche, le convinzioni religiose o altre convinzioni, nonché i dati a carattere personale relativi alla salute o alla vita sessuale"; tale divieto viene mitigato mediante il riconoscimento della possibilità offerta al diritto interno di prevedere "garanzie appropriate" per il trattamento.
Vengono, quindi, prescritte misure di sicurezza "idonee" volte a contrastare i possibili data breach quali "la distruzione accidentale o non autorizzata, o la perdita accidentale [perdita di integrità o disponibilità], nonché contro l’accesso, la modificazione o la diffusione non autorizzati [perdita di riservatezza]" (art. 7). Tali misure saranno poi descritte come "minime" nell’Allegato B al D. Lgs. 196/2003 (oggi abrogato dal D. Lgs. 101/2018) e successivamente "adeguate" nell’ottica di una (matura) accountability della quale è permeato il GDPR.
Una previsione lungimirante è quella che riconosce all’interessato un elenco di diritti, definiti "garanzie supplementari" (art. 8), tra i quali:
conoscere l’esistenza di una collezione automatizzata di dati a carattere personale, i suoi fini principali, nonché l’identità e la residenza abituale o la sede principale del responsabile della collezione (cfr. "Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato" di cui all’art. 13 GDPR e "Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato" di cui all’art. 14 GDPR);
ottenere a ragionevoli intervalli e senza eccessivo ritardo o spesa la conferma dell’esistenza o meno, nella collezione automatizzata, di dati a carattere personale che la riguardano e la comunicazione di tali dati in forma intellegibile (cfr. "diritto di accesso" di cui all’art. 15 GDPR);
ottenere, all’occorrenza, la rettifica di tali dati o la loro cancellazione qualora essi siano stati elaborati in violazione delle disposizioni di diritto interno che danno attuazione ai principi fondamentali enunciati negli articoli 5 e 6 della presente Convenzione (cfr. "diritto di rettifica" di cui all’art. 16 GDPR);
disporre di un ricorso se non viene dato seguito ad una domanda di conferma o, a seconda dei casi, di comunicazione, di rettifica o di cancellazione ai sensi delle lettere b e c (cfr. "Diritto di proporre reclamo all’autorità di controllo" di cui all’art. 77 GDPR).
La Convenzione, inoltre, impedisce di "proibire o sottoporre a una autorizzazione speciale" i trasferimenti dei dati personali all’estero, qualora la regolamentazione dell’altro Paese fornisca una protezione equivalente: tal circolazione senza necessità di autorizzazioni costituisce, forse, l’aspetto maggiormente confliggente con il quadro normativo che sarà poi delineato dalla Direttiva 95/46/CE.
Infine, occorre segnalare come il 18 maggio 2018, in occasione della Ministeriale di Elsinore, sia stato adottato un Protocollo di aggiornamento della Convenzione che si è reso necessario per continuare a rendere effettiva la tutela già prevista a fronte dell’avvento delle nuove tecnologie – nel frattempo sono trascorsi ben ventisette anni – ed anzi rafforzarne i meccanismi.
Sono state previste diverse novità, ed in particolare: il rafforzamento degli obblighi di trasparenza a carico dei titolari del trattamento; l’ampliamento dei diritti degli interessati, che ora racchiudono anche il diritto a non essere soggetto a decisioni puramente automatizzate (cfr. art. 22 GDPR) e a conoscere la logica del trattamento; maggiori garanzie per la sicurezza dei dati, incluso l’obbligo di notificare i data breach (artt. 33 e 34 GDPR), e di assicurare un approccio di privacy by design (art. 25 GDPR).
Il Comitato della Convenzione è chiamato a svolgere un ruolo nella valutazione dell’effettivo rispetto dei principi della stessa.
Sin da una prima lettura è, dunque, possibile osservare come il successivo sviluppo della protezione dei dati personali (o, più precisamente, della protezione delle persone fisiche con riguardo al trattamento dei dati personali) sia largamente debitore alla Convenzione in esame.
Si può notare, inoltre, come i criteri dettati in ordine alla qualità dei dati, mentre costituiscono un vincolo giuridico al trattamento, sono altresì espressione di una notevole "vocazione etica" degli estensori e dei firmatari: in particolare valori quali la liceità, la correttezza e la trasparenza costituiscono dei forti richiami ad un recupero valoriale che doveva – e continua tutt’oggi a dovere – mirare ad un aumento di consapevolezza ed un recupero di fiducia nel trattamento dei dati personali.
Forte è, ovviamente, la suggestione portata dalla 40a Conferenza Internazionale delle Autorità Garanti per la protezione dei dati personali, che si è svolta a Bruxelles, con un richiamo ad un nuovo "umanesimo digitale" al quale non si è sottratto nemmeno Tim Cook, CEO di Apple, il quale ha esortato anche gli USA a seguire la strada intrapresa in Europa mediante il GDPR con l’utilizzo della Privacy by Design, vale a dire la protezione dei dati sin dalla progettazione.
A tal proposito, UNIDPO crede fermamente nel valore etico della normativa, tanto nazionale quanto sovranazionale, che appronta una tutela ai diritti delle persone per il tramite della protezione dei dati personali ed è fortemente impegnata in tal senso; mostra, dal pari, una naturale vocazione verso la sensibilizzazione della coscienza collettiva in tal senso.