A poco pi\u00f9 di due anni dalla sua entrata in vigore, il Regolamento generale UE 2016\/679 sulla protezione dei dati personali ha trovato applicazione in tutti gli Stati membri a far data dal 25 maggio scorso. Il Regolamento abroga la precedente disciplina contenuta nella Direttiva 95\/46\/CE intervenendo in maniera innovativa sotto molteplici profili. L\u2019obiettivo dell\u2019intervento di riforma \u00e8 quello di dettare una normativa che sappia rispondere alle sfide poste dall\u2019innovazione tecnologica e che possa realizzare, allo stesso tempo, una disciplina uniforme a livello europeo.<\/p>\n
Inedita rispetto al passato \u00e8 la volont\u00e0 di estendere l\u2019ambito di applicazione del Regolamento al di fuori dei confini dell\u2019Unione. La nuova disciplina, infatti, risulta applicabile anche a quei soggetti che, pur non essendo stabiliti in uno degli Stati membri, svolgono attivit\u00e0 di trattamento all\u2019interno del contesto europeo. Ci\u00f2 acquisisce rilievo poich\u00e9 risulta possibile assoggettare alle disposizioni regolamentari societ\u00e0 come Facebook o Google che, sino ad ora, potevano legittimamente operare senza essere sottoposte alle prescrizioni europee in tema di protezione dei dati personali.<\/p>\n
Nel Regolamento, inoltre, vengono introdotti nuovi diritti a tutela della persona, con particolare riferimento al diritto all\u2019oblio e al diritto alla portabilit\u00e0 dei dati. Nel primo caso, \u00e8 riconosciuta la possibilit\u00e0 di richiedere ad un motore di ricerca la deindicizzazione dei risultati ottenuti partendo dal proprio nome e cognome, garantendo in tal modo una pi\u00f9 limitata rintracciabilit\u00e0 dell\u2019interessato. Il diritto alla portabilit\u00e0 dei dati, invece, consente di trasferire da un titolare del trattamento ad un altro i propri dati personali, assicurando in tal modo al soggetto una maggiore capacit\u00e0 di controllo del proprio patrimonio informativo.<\/p>\n
Oltre a rafforzare i diritti dell\u2019interessato, il Regolamento individua nel principio di accountability<\/em> l\u2019elemento centrale della nuova architettura normativa. La responsabilizzazione dei soggetti dediti al trattamento di dati personali \u00e8 realizzata attraverso la formulazione di un sistema di obblighi e adempimenti posti in capo al titolare e al responsabile del trattamento e da calibrare in base alla specifica attivit\u00e0 posta in essere. In tal modo, l\u2019affermazione del principio di accountability<\/em> tende a realizzare un rilevante mutamento nelle modalit\u00e0 di gestione dei dati, consentendo il passaggio da una concezione di adempimento formale, che rischia di concretizzarsi in meri procedimenti burocratici, ad un approccio sostanziale di protezione del dato, legato alla natura delle attivit\u00e0 svolte in concreto, all\u2019analisi dei rischi e alle misure di sicurezza che risultino adeguate alle singole fattispecie.<\/p>\n La logica di responsabilizzazione dei titolari e dei responsabili \u00e8 ulteriormente rafforzata dalla previsione dei principi di privacy by default<\/em> e privacy by design<\/em> che devono essere tenuti in considerazione in qualsiasi ipotesi di trattamento di dati personali.<\/p>\n In particolare, il principio della privacy by default<\/em> interessa la modalit\u00e0 tecnica e organizzativa con cui si procede all\u2019utilizzo, all\u2019archiviazione e alla protezione dei dati. Tale principio stabilisce come impostazione predefinita quella di trattare e di rendere disponibili i dati personali solamente nella misura necessaria per le finalit\u00e0 previste e per il periodo strettamente necessario a tali fini. Parallelamente, il principio di privacy by design<\/em> contempla l\u2019adozione di modalit\u00e0 organizzative che tengano conto in partenza dei rischi connessi all\u2019attivit\u00e0 svolta. In sostanza, tale principio richiede un\u2019attenta riflessione in tema privacy sin dal momento della progettazione del processo di raccolta e di utilizzo dei dati, affinch\u00e9 il trattamento risulti sin da subito strutturato in modo tale da preservare al meglio l\u2019autodeterminazione informativa della persona. Simile impostazione, dunque, anzich\u00e9 delineare un assetto reattivo basato su interventi ex post<\/em>, mira a realizzare un approccio proattivo che attraverso interventi ex ante<\/em> tuteli la privacy dell\u2019individuo sin dalle fasi iniziali del trattamento.<\/p>\n Complessivamente possiamo rilevare che a seguito della diretta applicabilit\u00e0 del Regolamento la tutela assicurata alla persona possa intendersi fortemente implementata, sia in via diretta, attraverso il riconoscimento di ulteriori diritti, sia in via mediata, tramite una maggiore responsabilizzazione di chi tratta i dati personali e, inoltre, per mezzo di un pi\u00f9 intenso coinvolgimento delle Autorit\u00e0 di controllo.<\/p>\n \u00c8 opportuno osservare che nell\u2019intervento di riforma anche la tipologia di atto normativo utilizzato assume rilevanza. La diretta applicabilit\u00e0 del Regolamento, infatti, assicura un\u2019applicazione uniforme in tutti gli Stati membri, consente di delineare una disciplina omogenea all\u2019interno dell\u2019Unione e, laddove risultino necessarie previsioni interne per l\u2019effettiva attuazione del dettato europeo, permette d\u2019individuare gli ambiti in cui l\u2019intervento degli Stati nazionali risulta obbligatorio.<\/p>\n Nonostante ci\u00f2, il Regolamento si presenta in talune parti quale \u201cregolamento di principi\u201d che riconosce ai singoli Stati la facolt\u00e0 di predisporre una normativa di dettaglio. In primo luogo, agli Stati membri \u00e8 accordata la facolt\u00e0 d\u2019intervento in settori specifici laddove sussista l\u2019interesse di mantenere o introdurre disposizioni ulteriori rispetto a quelle contenute nel Regolamento. Simili interventi hanno natura eventuale e rimangono nella piena discrezionalit\u00e0 dello singolo Stato, senza che l\u2019inattivit\u00e0 interna ostacoli la piena attuazione della nuova disciplina. Ulteriore margine di elasticit\u00e0 a favore dei singoli Stati \u00e8 costituito dall\u2019attivit\u00e0 di coordinamento generale da porre in essere affinch\u00e9 la normativa nazionale si adegui al meglio al disciplina sovranazionale. In questo senso, se da un lato la diretta applicabilit\u00e0 del Regolamento non esige di per s\u00e9 l\u2019adozione di atti interni di recepimento, dall\u2019altro lato \u00e8 indispensabile un ruolo attivo del legislatore nazionale affinch\u00e9 il Regolamento possa risultare pienamente operativo.<\/p>\n L\u2019adeguamento alla nuova disciplina \u00e8 stato avviato in Italia avvalendosi della Legge di delegazione europea 2017 (articolo 13 della L. 163\/2017) attraverso cui il Parlamento ha conferito al Governo un\u2019apposita delega semestrale. La delega riconosce la possibilit\u00e0 di abrogare le disposizioni del Codice per la protezione dei dati personali (D.lgs. 196\/2003) che risultino incompatibili con il Regolamento, consente la modifica del Codice limitatamente a quanto necessario per l\u2019attuazione delle disposizioni regolamentari non direttamente applicabili e, inoltre, autorizzata una pi\u00f9 ampia attivit\u00e0 di coordinamento alla nuova disciplina.<\/p>\n Il legislatore delegato, in virt\u00f9 della complessit\u00e0 della materia affrontata, ha affidato l\u2019elaborazione del decreto di adeguamento ad una Commissione di esperti che in data 21 marzo ha presentato al Governo un primo schema di decreto il quale ha accolto un approccio volto all\u2019abrogazione totale del Codice italiano e ha escluso l\u2019introduzione di sanzioni penali in caso di violazione del Regolamento. Simile impostazione, tuttavia, ha suscitato rilevanti critiche riguardanti un possibile eccesso di delega da parte dell\u2019Esecutivo, essendo stato riconosciuto a quest\u2019ultimo unicamente il potere di abrogare le disposizioni incompatibili al Regolamento e non anche di operare attraverso un intervento radicale.<\/p>\n Per tale ragione il Governo ha elaborato un secondo schema di decreto che, diversamente dalla bozza iniziale, prevede un intervento di novellazione del Codice attraverso congiunti interventi modificativi, integrativi e di abrogazione parziale ed individua specifiche fattispecie penali in caso di violazione del Regolamento. Lo schema di decreto \u00e8 stato poi trasmesso in data 10 maggio dal Governo al Parlamento e al Garante per la protezione dei dati personali al fine di acquisire i relativi pareri, per poter procedere successivamente alla definitiva approvazione del decreto delegato.<\/p>\n A seguito del parere favorevole, sebbene piuttosto articolato, trasmesso dal Garante il 22 maggio ed in attesa di ricevere le valutazioni delle Commissioni speciali della Camera e del Senato, si rileva come non si sia riusciti a concludere l\u2019intervento di adeguamento entro la data di diretta applicabilit\u00e0 della normativa europea e che, in ragione della proroga di novanta giorni concessa all\u2019Esecutivo ai sensi dell\u2019articolo 31, comma 3, della Legge Moavero (L. 234\/2012), vi sar\u00e0 tempo fino al 21 agosto per esercitare la delega parlamentare ed approvare in via definitiva il decreto di adeguamento.<\/p>\n Giungere al 25 maggio 2018 con una situazione attuativa chiara e determinata, tuttavia, sarebbe stato opportuno per assicurare sin da subito un quadro definito entro cui operare, garantendo quella certezza giuridica essenziale affinch\u00e9 i titolari del trattamento possano conformarsi agli obblighi introdotti della normativa europea. Non solo, arrivare puntuali alla diretta applicabilit\u00e0 del Regolamento sarebbe stata un\u2019ottima opportunit\u00e0 per diffondere tra i cittadini una maggiore consapevolezza sulla gestione dei propri dati all\u2019interno del mondo digitale e soprattutto per promuovere sin da subito una nuova \u201ccultura della privacy\u201d.<\/p>\n Il processo di adeguamento interno, che poteva essere un momento particolarmente significativo per affermare il cambiamento culturale imposto dal Regolamento, si \u00e8 risolto in un\u2019occasione colta non per intero. Bisogner\u00e0 dunque attendere ancora qualche settimana per definire la cornice normativa entro cui si svilupper\u00e0 nei prossimi anni la tutela dell\u2019autodeterminazione informativa dell\u2019individuo all\u2019interno del mondo digitale, e attraverso la quale si dar\u00e0 formalmente avvio alla rivoluzione culturale promessa dal Regolamento.<\/p>\n","protected":false},"excerpt":{"rendered":" Alessandro Moretti si occupa del Regolamento UE 2016\/679 sulla protezione dei dati personali, soffermandosi in particolare sulle aree d\u2019intervento riconosciute al legislatore nazionale. Dopo aver illustrato gli aspetti centrali della nuova normativa, Moretti esamina come procede l\u2019attivit\u00e0 di adeguamento del diritto interno alla disciplina europea e sostiene che bisogner\u00e0 aspettare ancora qualche tempo prima che la rivoluzione culturale prospettata dal Regolamento possa trovare piena affermazione.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_jet_sm_ready_style":"","_jet_sm_style":"","_jet_sm_controls_values":"","_jet_sm_fonts_collection":"","_jet_sm_fonts_links":"","footnotes":""},"categories":[18],"tags":[],"autore":[793],"acf":[],"yoast_head":"\n