Certificazioni Gdpr: così i Garanti Ue indicano la via alle Autorità di controllo nazionali

Le linee guida del Comitato europeo per la protezione dei dati (EDPB) forniscono suggerimenti e consigli sull’interpretazione e l’attuazione delle disposizioni contenute negli articoli 42 e 43 del GDPR, per aiutare gli Stati membri, le Autorità di controllo e gli organismi nazionali di accreditamento a realizzare un approccio più coerente e armonico per l’attuazione dei meccanismi di certificazione.

Le Linee guida, giunte alla versione 3.0 del 4 giugno 2019, dopo aver inquadrato i meccanismi di certificazione nel contesto del Regolamento, si concentrano sul ruolo delle Autorità di controllo e degli organismi di certificazione, e sull’approvazione e lo sviluppo dei criteri di certificazione, fornendo indirizzi per la definizione dei criteri stessi.

La valorizzazione delle certificazioni all’interno del dettato regolamentare

Il legislatore europeo incoraggia nel Considerando 100 del Regolamento UE 2016/679, con la finalità di migliorare la trasparenza e il rispetto della normativa regolamentare, l’istituzione di meccanismi di certificazione, sigilli e marchi di protezione dei dati che consentano agli interessati di valutare il livello di protezione dei dati fornito da quei servizi e prodotti che abbiano ottenuto tali certificazioni.

La previsione è ribadita all’art. 42, par. 1, con l’ulteriore duplice indicazione del fatto che:

1. nel contesto dei meccanismi di certificazione sono da tenersi in considerazione le esigenze delle micro, piccole e medie imprese;
2. la conformità al Regolamento, che con tali strumenti si intende avvalorare, è quella dei trattamenti effettuati dai titolari e dai responsabili del trattamento.

L’art. 42, par. 6 è ulteriormente chiaro nel prevedere che è il trattamento effettuato dal titolare o dal responsabile ciò che viene sottoposto al meccanismo di certificazione.

Anche il Considerando 77 prevede il ricorso alle certificazioni per individuare gli orientamenti necessari per mettere in atto misure opportune e per dimostrare la compliance del titolare o del responsabile con particolare riferimento «all’individuazione del rischio connesso al trattamento, la sua valutazione in termini di origine, natura, probabilità e gravità, e l’individuazione di migliori prassi per attenuare il rischio». In simil modo il Considerando 81 stabilisce che l’applicazione da parte del responsabile di un meccanismo di certificazione può essere utilizzata da parte del titolare come elemento per dimostrare il rispetto degli obblighi regolamentari.

Quest’ultima previsione deve essere letta alla luce del dettato contenuto nell’art. 28, par. 1 che prevede per il titolare il dovere di ricorrere unicamente a responsabili che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate, affinché il trattamento soddisfi i requisiti del Regolamento e garantisca la tutela dei diritti dell’interessato. Allo stesso modo, in virtù dell’art. 28, par. 4, anche il responsabile del trattamento dovrà verificare la sussistenza delle garanzie sufficienti da parte del sub-responsabile, nella misura in cui vi faccia ricorso.

Il Regolamento prevede il contesto in cui possono essere utilizzati meccanismi di certificazione come elemento per dimostrare la conformità agli obblighi da parte dei titolari e dei responsabili del trattamento con riferimento all’adozione e all’adeguatezza delle misure tecniche e organizzative di cui agli artt. 24, par. 1, 25, par. 1 e 2, 32, par. 1 e alle garanzie richieste dall’art. 28, par. 1 e 4.

All’interno del dettato normativo regolamentare, infatti, ricorre più volte il riferimento al meccanismo delle certificazioni, al quale sono dedicati espressamente gli artt. 42 e 43 della Sezione 5 del Capo IV, e specificamente:

• l’art. 24, par. 3 prevede che l’adesione a un meccanismo di certificazione può essere utilizzata al fine di dimostrare il rispetto degli obblighi del titolare relativamente al dovere, su di lui gravante, di porre in essere le misure tecniche e organizzative adeguate per garantire, e poter dimostrare, che il trattamento è effettuato conformemente al Regolamento;
• l’art. 25, par. 3 presenta il meccanismo di certificazione come possibile elemento per attestare la conformità dei trattamenti posti in essere dal titolare ai requisiti previsti dalla privacy by design e dalla privacy by default;
• l’art. 32, par. 3 contempla l’adesione a un meccanismo di certificazione come elemento per il titolare o il responsabile per provare di aver posto in essere a misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio.

Le Linee guida del Comitato europeo per la protezione dei dati

Già precedentemente all’adozione del Regolamento, nel parere n. 3 del 13 luglio 2010 sul principio di responsabilità, il Gruppo di lavoro articolo 29 aveva affermato che i sistemi di certificazione potevano svolgere un ruolo importante nel contesto più generale dell’accountability e aveva sottolineato come, affinché la certificazione potesse fornire prove affidabili della conformità alla protezione dei dati, dovevano stabilirsi regole chiare che prevedessero i requisiti per il rilascio della certificazione^[1].

Il Comitato europeo per la protezione dei dati  ha adottato il 23 gennaio 2019, dopo l’adozione nel maggio 2018 e la fase di consultazione pubblica, le Linee guida 1/2018 relative alla certificazione e all’individuazione dei criteri di certificazione, al fine di «individuare requisiti e criteri generali che possono essere attinenti a tutti i tipi di meccanismi di certificazione rilasciati in conformità agli articoli 42 e 43 del Regolamento»^[2].

La versione 3.0 delle linee guida EDPB, come abbiamo detto, si concentra sul ruolo delle Autorità di controllo e degli organismi di certificazione, e sull’approvazione e lo sviluppo dei criteri di certificazione, fornendo indirizzi per la definizione dei criteri stessi^[3].

Nello specifico, l’intento dichiarato nel documento è quello di:

• esplorare la logica della certificazione come strumento di accountability;
• spiegare i concetti chiave delle disposizioni in materia di certificazione;
• spiegare la portata di ciò che può essere certificato e lo scopo della certificazione;
• facilitare un esito finale della certificazione che sia significativo, non ambiguo, il più riproducibile possibile e comparabile, indipendentemente dal certificatore.

Il Comitato, fin dai primi paragrafi del documento, precisa che la certificazione:

1. non dimostra ex se la conformità al Regolamento da parte del titolare o del responsabile ma rappresenta un elemento che può essere utilizzato per dimostrare la conformità^[4];
2. deve essere adottata secondo una modalità trasparente; previsione, quest’ultima, contenuta espressamente nell’art. 42, par. 3.

L’assenza di elementi definitori nel Regolamento

Nel documento viene sottolineato che il Regolamento non definisce il termine “certificazione” e che l’International Standards Organization (ISO) fornisce una definizione universale di certificazione come «la fornitura da parte di un organismo indipendente di una garanzia scritta (un certificato) che il prodotto, il servizio o il sistema in oggetto soddisfa specifici requisiti».

Nella norma EN-ISO/IEC 17000:2004 – Valutazione della conformità – Vocabolario e principi generali la certificazione è definita come “un’attestazione di terza parte relativa a prodotti, processi, sistemi e persone” (5.5) e l’attestazione è «l’emissione di una dichiarazione, basata su una decisione che fa seguito al riesame, che il soddisfacimento di requisiti specificati è stato soddisfatto» (5.2). Alla EN-ISO/IEC 17000:2004 fa riferimento la norma EN-ISO/IEC 17065:2012 – Valutazione della conformità – Requisiti per organismi che certificano prodotti, processi e servizi – richiamata dall’art. 43, par. 1, lett. b) del Regolamento per l’accreditamento degli organismi di certificazione da parte dell’organismo nazionale di accreditamento – che stabilisce i requisiti che un organismo di certificazione deve soddisfare per dimostrare di operare in modo competente, coerente e imparziale. Nel contesto del Regolamento, pertanto, la certificazione ai sensi degli artt. 42 e 43 dovrà fare riferimento all’attestazione di terza parte relativa alla conformità delle operazioni di trattamento da parte dei titolari e dei responsabili^[5].

In simil modo il Comitato ricorda che il Regolamento non contiene la definizione di “meccanismi di certificazione, marchi e sigilli” e rileva che così come un certificato è una dichiarazione di conformità, un sigillo o un marchio può essere utilizzato per indicare la conclusione con esito positivo della procedura di certificazione: la presenza del marchio o del sigillo indica che l’oggetto della certificazione è stato valutato in modo indipendente in una procedura di certificazione ed è risultato conforme a requisiti specificati, contenuti in documenti normativi come regolamenti, standard o specifiche tecniche. Prosegue, inoltre, il documento spiegando che «questi requisiti, nel contesto della certificazione ai sensi del Regolamento europeo, sono stabiliti nei requisiti aggiuntivi che integrano le regole per l’accreditamento degli organismi di certificazione nella norma EN-ISO/IEC 17065:2012 e i criteri di certificazione approvati dall’Autorità di controllo competente o dal Comitato»^[6]. Ne consegue che «un certificato, un sigillo o un marchio ai sensi del Regolamento può essere rilasciato solo in seguito a una valutazione indipendente da parte di un organismo di certificazione accreditato o da parte dell’Autorità di controllo competente, attestante che i criteri di certificazione sono stati soddisfatti»^[7].

I criteri di certificazione

I criteri di certificazione costituiscono parte integrante di qualsiasi meccanismo di certificazione e le Linee guida rimarcano come il Regolamento stabilisce il quadro di riferimento per lo sviluppo dei criteri di certificazione stessi, mettendo in evidenza che, mentre i requisiti fondamentali relativi alla procedura di certificazione sono contenuti negli artt. 42 e 43, il fondamento per sviluppare i criteri di certificazione deve essere mutuato ​​dai principi e dalle regole contenute nel Regolamento e deve contribuire a garantire che siano soddisfatte.

L’art. 42, par. 5 prevede che la certificazione è rilasciata dagli organismi di certificazione di cui al successivo art. 43 o dall’Autorità di controllo competente, stabilendo che l’approvazione dei criteri di certificazione avvenga da parte della stessa Autorità di controllo come previsto dell’art. 58, par. 3, lett. f), o da parte del Comitato in ossequio all’art. 70, par. 1, lett. o). A tal proposito, si segnala che in virtù della Rettifica del Regolamento pubblicata nella Gazzetta Ufficiale dell’Unione Europea del 23 maggio 218, il nuovo dettato dell’art. 70, par. 1, lett. o) prevede espressamente, tra i compiti del Comitato, quello dell’approvazione dei criteri di certificazione di cui all’art. 42, par. 5^[8]. I criteri di certificazione dovranno anche, come previsto dall’art. 43, par. 6, essere resi pubblici dall’Autorità di controllo in una forma che sia facilmente accessibile.

Il Comitato ribadisce che l’approvazione dei criteri di certificazione abbia come finalità quelle di riflettere i requisiti e i principi stabiliti nel Regolamento e di contribuirne alla coerente applicazione. Lo sviluppo dei criteri di certificazione dovrebbe, pertanto, concentrarsi sulla verificabilità, significatività e idoneità dei criteri di certificazione a dimostrare la conformità con il Regolamento: in quest’ottica, i criteri di certificazione debbono essere formulati in modo da essere chiari e comprensibili e tali da consentire un’applicazione pratica.

Alla luce delle Linee guida, nella stesura dei criteri di certificazione dovranno essere presi in considerazione, tra gli altri, i seguenti aspetti di conformità, come ausilio per la valutazione delle operazioni di trattamento:

• la liceità del trattamento (art. 6);
• i principi applicabili al trattamento (art. 5);
• i diritti degli interessati (artt. 12-23);
• l’obbligo di notificare una violazione dei dati personali all’Autorità di controllo (art. 33);
• l’obbligo di protezione dei dati by design e by default (art. 25);
• se sia stata effettuata, ove applicabile, una valutazione d’impatto sulla protezione dei dati (art. 35);
• le misure tecniche e organizzative poste in essere per garantire un livello di sicurezza adeguato al rischio (art. 32).

I criteri di certificazione, inoltre, devono essere:

• uniformi e verificabili;
• controllabili, al fine di facilitare la valutazione delle operazioni di trattamento nell’ambito del Regolamento, specificando in particolare gli obiettivi e gli indirizzi per perseguire tali obiettivi;
• pertinenti rispetto al proprio target di riferimento (B2B o B2C);
• interoperabili con altri standard (e.g. ISO);
• flessibili e scalabili per l’applicazione a organizzazioni di diverse tipologie e dimensioni, comprese le micro, piccole e medie imprese, conformemente all’art. 42 e all’approccio basato sul rischio.

Il Comitato raccomanda, infine, che nonostante i criteri di certificazione debbano essere durevoli nel tempo, essi non vengano considerati immutabili; ed anzi, potranno essere soggetti a revisione alla luce delle giurisprudenza della Corte di giustizia dell’Unione Europea o di mutazioni del quadro normativo, così come in considerazione dell’evoluzione tecnologica.

Conclusioni

Il legislatore europeo, che non introduce alcun obbligo di adesione a un meccanismo di certificazione, essendo questa su base volontaria, ha voluto fornire uno strumento prezioso per rafforzare e far crescere l’affidamento da parte degli interessati nei confronti delle imprese e degli operatori che rivestono il ruolo di titolari e responsabili del trattamento e che – pur in presenza di certificazioni, sigilli o marchi – non sono in nessun caso esonerati dagli obblighi e dai compiti previsti dal Regolamento.

Spetta ora all’Autorità di controllo, nel suo ruolo di “accompagnamento all’adeguamento”, individuare i criteri di certificazione conformemente all’art. 42 par. 5 affinché il meccanismo del delle certificazioni possa trovare applicazione nel contesto nazionale e contribuire a «creare il clima di fiducia che consentirà lo sviluppo dell’economia digitale in tutto il mercato interno»^[9].

__________________________________________________________________

1. Cfr. Gruppo di lavoro articolo 29, Parere 3/2010 sul principio di responsabilità, WP173, 13 luglio 2010, nn. 69-71. ↑
2. European Data Protection Board, Guidelines 1/2018 on certification and identifying certification criteria in accordance with Art. 42 and 43 of the Regulation, v. 3.0, 4 giugno 2019, n. 7. Le Linee guida precisano di fare riferimento ai meccanismi di certificazione della protezione dei dati, ai sigilli e ai marchi con l’espressione cumulativa “meccanismi di certificazione”. ↑
3. Di particolare interesse e utilità è l’Allegato 2, incorporato nelle Linee guida dopo l’adozione del 4 giugno 2019, che attraverso una serie di quasi settanta quesiti suddivisi tematicamente fornisce orientamenti pratici per la revisione e la valutazione dei criteri di certificazione e «identifica le tematiche che un’Autorità di controllo e il Comitato prenderanno in considerazione e applicheranno ai fini dell’approvazione dei criteri di certificazione di un meccanismo di certificazione» (Linee guida 1/2018, Allegato 2, p. 24, n. 1). ↑
4. Le Linee guida sottolineano che «la dimostrazione di conformità richieda documentazione di supporto, in particolare resoconti scritti che non si limitino a ripetere ma descrivano in che modo i criteri vengono soddisfatti e, se non erano stati inizialmente soddisfatti, descrivano anche le azioni correttive e la loro adeguatezza, fornendo così le motivazioni per la concessione e il mantenimento della certificazione». ↑
5. Le Linee guida segnalano che, alla luce della stessa EN-ISO/IEC 17000:2004, la certificazione è anche definibile come “valutazione della conformità di terza parte” e gli organismi di certificazione possono anche essere denominati “organismi di valutazione della conformità”. ↑
6. Ibid., n. 18. ↑
7. Ibidem. ↑
8. Cfr. Rettifica del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016), in GU L 127 del 23.5.2018, p. 16: «[…] Pagina 77, articolo 70, paragrafo 1, lettera o): anziché: «o) effettua l’accreditamento di organismi di certificazione e il suo riesame periodico a norma dell’articolo 43 e tiene un registro pubblico di organismi accreditati a norma dell’articolo 43, paragrafo 6, e dei titolari o responsabili del trattamento accreditati, stabiliti in paesi terzi a norma dell’articolo 42, paragrafo 7;» leggasi: «o) approva i criteri di certificazione a norma dell’articolo 42, paragrafo 5, e tiene un registro pubblico di meccanismi di certificazione e di sigilli e marchi di protezione dei dati a norma dell’articolo 42, paragrafo 8, e dei titolari o responsabili del trattamento certificati, stabiliti in paesi terzi a norma dell’articolo 42, paragrafo 7;». ↑
9. Regolamento UE 2016/679, Considerando 7. ↑