Nel testo del decreto Gdpr pubblicato la scorsa settimana, noto tre disposizioni sensibilmente migliorate rispetto allo schema di decreto approvato dal Consiglio dei Ministri, grazie al lavoro svolto in sede consultiva dalle commissioni parlamentari.
Consenso del minore in relazione ai servizi della società dell’informazione
Lo schema di decreto ripercorreva pedissequamente quanto previsto dall’art. 8, par. 1, del Regolamento senza avvalersi della possibilità di deroga consentita dal par. 2 della medesima norma (“Gli Stati Membri possono stabilire per legge un’età inferiore a tali fini purché non inferiore a 13 anni”).
L’Italia rischiava una sorta di isolamento sul punto, considerato che Austria e Lituania avevano abbassato il limite d’età a 14 anni, Repubblica Ceca, Slovenia e Francia a 15, Spagna, Svezia, Inghilterra, Danimarca, Estonia, Lettonia, Finlandia e Portogallo a 13.
Già in sede di redazione della proposta di regolamento, alcune organizzazioni per la tutela dei minori in Spagna, Gran Bretagna, Danimarca, Italia e Svezia avevano sollevato perplessità rispetto alla scelta che si andava operando, in considerazione delle sue conseguenze psico-sociali.
Secondo tali associazioni, infatti, il tipo d’incoraggiamento che gli adolescenti avrebbero ricevuto dalla fissazione dell’età minima a 16 anni sarebbe stato quello a mentire sulla propria età in modo da continuare o iniziare a utilizzare comunque la rete e le sue piattaforme, anche nella fascia 13-15.
Dello stesso avviso si è mostrata Janice Richardson, esperta dell’ITU (International Telecommunications Union) e del Consiglio d’Europa e Coordinatore dell’European Safer Internet network, secondo la quale fino ad oggi i ragazzi dai 13 anni in su sono stati abituati ad accedere ai servizi online, a prescindere dalle norme più o meno restrittive nei vari Paesi. Un irrigidimento della legislazione, secondo l’esperta, determinerebbe con molta probabilità una produzione di false dichiarazioni da parte degli under 16, che tenderebbero ad adottare questo metodo pur di non chiedere il consenso ai genitori. In effetti, nel report redatto alla fine del 2014 da Net Children Go Mobile è emerso che in diversi paesi europei – tra cui l’Italia – l’utilizzo di internet è diffuso sin dai nove anni e un terzo degli utenti globali di Internet sono di età inferiore ai 18 anni, con il 68% di loro ha un’età compresa tra i 9 e i 16 anni.
Il testo pubblicato in Gazzetta Ufficiale ha opportunamente previsto che il minore che abbia compiuto i quattordici anni può esprimere il consenso al trattamento dei propri dati personali in relazione all’offerta diretta di servizi della società dell’informazione. Con riguardo a tali servizi, il trattamento dei dati personali del minore di età inferiore a quattordici anni è lecito a condizione che sia prestato da chi esercita la responsabilità genitoriale.
Modalità di nomina dei componenti dell’Autorità Garante per la protezione dei dati personali
Qui la novità è di particolare interesse: in linea con quanto già previsto per la nomina dei componenti del consiglio di amministrazione della Rai designati dal Parlamento, si prevede una procedura di evidenza pubblica per la raccolta delle candidature a componente della Autorità Garante.
I componenti dell’Autorità dovranno essere eletti, infatti, tra coloro che presentano la propria candidatura nell’ambito di una procedura di selezione il cui avviso dovrà essere pubblicato nei siti internet della Camera, del Senato e dell’Autorità almeno sessanta giorni prima della nomina. Le candidature dovranno pervenire almeno trenta giorni prima della nomina e i curricula dovranno essere pubblicati negli stessi siti internet. Le candidature potranno essere avanzate da persone che assicurino indipendenza e che risultino di comprovata esperienza nel settore della protezione dei dati personali, con particolare riferimento alle discipline giuridiche o dell’informatica.
Nuove fattispecie penali
Il decreto introduce due nuove fattispecie penali: il reato di comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala e quello di acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala.
Va salutata con favore la revisione operata in sede di stesura finale del decreto: come noto, la formulazione presente nello schema di decreto originariamente approvata dal Consiglio dei Ministri utilizzava, per entrambe, la locuzione “dati personali riferibili ad un rilevante numero di persone”, correndo così il rischio del mancato rispetto del principio di tassatività della fattispecie.
Si evidenzia, a tal proposito, che nel 2004 il GIP del Tribunale di Bari aveva rimesso alla Corte Costituzionale la questione di legittimità costituzionale dell’articolo 53-bis della legge 93/2001 avendo rilevato che l’elemento dell’ “ingente quantitativo di rifiuti” poteva essere incompatibile con i principi di tassatività della fattispecie penale e del diritto di difesa. Sul punto la Corte non aveva avuto modo di pronunciarsi per questioni formali relative all’ordinanza di rimessione.
La fattispecie sopra descritta presenta punti di contatto con quella originariamente contenuta nello schema di decreto, essendo evidente l’indeterminabilità del parametro ponderale di riferimento.
Per questo è stata quanto mai opportuna la sostituzione dell’espressione “rilevante numero di persone” con l’espressione “oggetto di trattamento su larga scala”, giacché si tratta di un parametro normativamente previsto dall’art. 37 del Regolamento UE e che ha trovato una sua specificazione nelle linee guida elaborate dal WP29 sul Data Protection Officer.
