Come disse Lao Tzu, fa più rumore un albero che cade di una foresta che cresce. È il problema delle buone notizie, solitamente numerose ma soffocate dal chiasso delle cattive. È accaduto con le modifiche apportate dall’articolo 9 del Decreto Legge 139/2021 (“Decreto Capienze”) al Codice Privacy italiano, in sede di sua conversione in legge, nell’iter parlamentare ormai concluso. Si scorgono alcune luci che meritano un plauso al legislatore.
DL Capienze, perché indebolire la privacy? I dubbi di forma e di sostanza
Le novità più apprezzabili
Per esempio, il potenziamento della disciplina di contrasto al revenge porn, ma anche – novità comparsa nella versione approvata dal Senato il 18 novembre scorso – il pur minimo e, tuttavia, felicemente simbolico incremento di risorse per il Garante Privacy. Ero e sono convinto che, per l’assoluta rilevanza e pervasività del tema “protezione dati” (tutti i progetti digitali pubblici e privati, così come i loro impatti sulle persone, saranno sempre più determinati dall’elaborazione di dati, in breve data-driven) l’Autorità in pochi anni dovrà passare ad assumere migliaia di unità come già normale per Ministeri e altre istituzioni. C’è da chiedersi soltanto “quando”, e non “se” questo avverrà.
Le sanzioni, finalmente
La luce più calda e apprezzabile, nella versione del D.L. Capienze partorita dal Senato e cristallizzata definitivamente alla Camera, è la modifica del comma 7 dell’art. 166 del Codice Privacy, cioè l’articolo, per intenderci, relativo alle sanzioni amministrative. Il risultato dell’integrazione del comma 7 è questo che potete leggere di seguito (in corsivo la novità): “Nell’adozione dei provvedimenti sanzionatori nei casi di cui al comma 3 si osservano, in quanto applicabili, gli articoli da 1 a 9, da 18 a 22 e da 24 a 28 della legge 24 novembre 1981, n. 689; nei medesimi casi può essere applicata la sanzione amministrativa accessoria della pubblicazione dell’ordinanza-ingiunzione, per intero o per estratto, sul sito internet del Garante o dell’ingiunzione a realizzare campagne di comunicazione istituzionale volte alla promozione della consapevolezza del diritto alla protezione dei dati personali, sulla base di progetti previamente approvati dal Garante e che tengano conto della gravità della violazione. Nella determinazione della sanzione ai sensi dell’articolo 83, paragrafo 2, del Regolamento, il Garante tiene conto anche di eventuali campagne di comunicazione istituzionale volte alla promozione della consapevolezza del diritto alla protezione dei dati personali, realizzate dal trasgressore anteriormente alla commissione della violazione”. Evito, per ragioni di sintesi, di riportare la parte rimanente e invariata del comma 7 e, più in generale, dell’articolo 166.
La protezione dei dati personali in ottica di responsabilità sociale
Da anni, personalmente, mi auguravo e invocavo in dibattiti e convegni pubblici una norma nazionale che – sfruttando nobilmente i margini di manovra consentiti dal Regolamento europeo – spingesse le imprese e gli enti verso un’interpretazione della protezione dei dati personali in ottica di responsabilità sociale (CSR, a tutti gli effetti), essendo la tutela dei diritti fondamentali e inviolabili delle persone, obiettivo servito da ciò che chiamiamo sbrigativamente “privacy”, una componente irrinunciabile di qualsiasi forma di sostenibilità. A volte, i desideri – specialmente se manifestati con precisione e competenza – vengono esauditi. Sta succedendo ora.
I rovi spinosi di una norma sanzionatoria – che rimanda al temutissimo art. 83 del GDPR – stanno generando i petali di una splendida rosa: il tutto, in piena compatibilità con l’articolo 84, relativo alle sanzioni nazionali diverse da quelle pecuniarie, e con i Considerando 122 e 132 del GDPR. Questi ultimi contemplano espressamente che, tra i compiti delle Autorità, vi sia “la promozione della sensibilizzazione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali“ e che “le attività di sensibilizzazione delle autorità di controllo nei confronti del pubblico dovrebbero comprendere misure specifiche per i titolari del trattamento e i responsabili del trattamento, comprese le micro, piccole e medie imprese, e le persone fisiche in particolare nel contesto educativo”.
Gli effetti balsamici della novella
La novella, confermata definitivamente nella legge di conversione, comporterà due effetti potenzialmente ottimi e “balsamici” per lo spirito della compliance privacy in Italia: in primo luogo, il Garante potrà irrogare sanzioni non solo pecuniarie o d’impatto reputazionale negativo (questo è, in sostanza, l’obbligo di pubblicazione del provvedimento a spese del contravventore) ma anche, in positivo, al fine di imporre a imprese ed enti l’investimento in campagne di sensibilizzazione, formazione e informazione in materia di privacy e protezione dei dati personali; in secondo luogo, l’Autorità terrà conto di eventuali campagne già attuate in precedenza dai trasgressori, per commisurare le sanzioni amministrative pecuniarie in senso, ovviamente, attenuante. Come dire: cari Titolari e Responsabili del trattamento di dati personali, se sostenete oggi – come promotori diretti o sponsor a favore di terzi – iniziative di sensibilizzazione dedicate ai temi della privacy e della tutela dei dati, queste “buone azioni” varranno come sconto per eventuali multe a vostro carico, un domani. Un cambio culturale straordinario, che incidentalmente farà – di necessità, virtù – arrivare risorse a tante realtà non profit seriamente impegnate nello studio di queste materie, nella loro divulgazione e nella difesa dei diritti digitali delle persone.
