Il 7 e 8 ottobre si è tenuto a Bonn, in Germania, l’incontro tra le Autorità garanti per la protezione dei dati personali dei Paesi del G7: Italia, Francia, Regno Unito, Germania, Stati Uniti, Giappone e Canada. La conferenza internazionale, intitolata “Promoting Data Free Flow with Trust (DFFT) and knowledge sharing about the prospects for International Data Spaces”, è stata l’occasione per rimettere al centro della discussione la necessità di trovare delle soluzioni comuni al trasferimento dei dati personali da un capo all’altro del mondo, offrendo una soluzione di facile adozione per le imprese, senza rinunciare alla tutela dei diritti fondamentali.
Il tema è particolarmente sentito in tutti quei Paesi a grande vocazione atlantista, le cui economie anzitutto ruotano sullo scambio di merci, persone e dati tra Europa e Stati Uniti d’America.
Il discorso del Garante Europeo
Preziose come sempre sono state le parole del Garante europeo della privacy, Wojciech Wiewiorowski, che ha manifestato la necessità di ricorrere a due concetti per raggiungere gli obiettivi del libero scambio di dati: la fiducia e la convergenza di intenti.
Meno privacy, più disinformazione coi nuovi modelli linguistici basati su AI
Solo se c’è fiducia reciproca i Paesi, non solo quelli del G7, accetteranno il libero scambio di dati personali dei propri cittadini, ma perché questo sia possibile sarà necessaria una amplia condivisione di intenti. Il meccanismo delle decisioni di adeguatezza europee del GDPR va in quella direzione e punta a creare un effetto network che possa spingere altri Paesi a fare lo stesso. L’EDPS cita a ragione il caso giapponese, evidenziando come l’accordo raggiunto nel 2019 non ha visto contrapporre la protezione dei dati personali alle esigenze commerciali, come fossero una merce di scambio. I due accordi, quello di adeguatezza e quello sul libero scambio di beni, “si devono completare ma devono seguire due percorsi differenti”.
Wiewiorowski, giustamente, sa che non ci sarà mai uno standard globalmente condiviso e anzi concede che, in alcuni casi specifici come per i dati sanitari, sia lecito imporre che i dati siano localizzati nel territorio dell’Unione. Ma in generale pensa sia possibile, come il recente pacchetto normativo europeo sul digitale sta dimostrando, creare un modello di data economy “aperto, giusto e democratico”, in opposizione a quello dominato dalla sorveglianza messa in atto da pochi attori privati.
Un modello che deve ambire ad essere faro e guida nel mondo della data economy e non già uno schema al ribasso volto a risolvere i problemi sul tavolo con meri formulari ed inutili clausole standard.
In assenza di un sistema internazionale che regoli i flussi con coerenza, fiducia ed adeguatezza, l’unica strada è quella dell’incremento del ricorso alle PET, Privacy-enhancing technologies, a volte unica soluzione possibile per un trasferimento di dati sicuro, lecito e in grado di conservare il valore intrinseco del dato stesso.
In assenza delle decisioni di adeguatezza resta sempre valido il ricorso alle altre valide alternative come le Standard Contractual Clauses e i meccanismi di certificazione.
Chi scrive ha avuto l’onore e l’onere, nei primi anni del 2000 di seguire a Brussels, in seno ai lavori dell’Art. 29 WP, proprio la nascita, la redazione e l’evoluzione delle SCC. All’epoca tale soluzione fortemente innovativa e pensata per semplificare la vita agli operatori economici, appariva quasi rivoluzionaria. L’assenza però di controlli seri da parte delle Autorità preposte, soprattutto sul fronte estero, ne ha causato la sostanziale banalizzazione e l’impoverimento della sua portata.
Qualche speranza in più si inizia ad intravvedere, invece, dietro all’istituto delle certificazioni: strumento innovativo, potente e che potrebbe rappresentare la vera svolta sui trasferimenti all’estero dei dati. Peccato che i meccanismi che portano al riconoscimento degli schemi di certificazione peccano al momento di una lentezza particolarmente importante, che rischia di vanificarne la portata e l’utilità. L’auspicio è che le Autorità garanti, assieme all’EDPB, imprimano una significativa accelerazione sul punto.
Il contributo del Garante italiano
Fa piacere, poi, vedere il nostro Garante in prima linea, in persona della vicepresidente, Ginevra Cerrina Feroni, che per il secondo anno consecutivo è protagonista indiscussa della conferenza del G7 e relatrice del documento finale, nella sezione che descrive il ruolo delle Autorità nella promozione di un modello etico e culturale per la governance dell’AI.
Nel documento si dice infatti che i Garanti “rifiutano l’uso indiscriminato dell’IA applicata ai dati personali che si traduce in metodologie di sorveglianza massiva con l’evidente scopo di controllare e manipolare la condotta degli individui – a partire dai dati personali, raccolti, analizzati e incrociati in grandi quantità, varietà e velocità”. Si pone l’accento poi proprio sulla necessità di lavorare ad un modello virtuoso per le pubbliche amministrazioni che useranno l’intelligenza artificiale che dovranno tenere conto dei “valori e dei principi dello stato di diritto dei governi democratici”.
È bene ricordare che nei programmi elettorali dei partiti in vista delle prossime elezioni del 25 settembre, più di uno, di ogni colore politico, ha fatto espresso riferimento alla necessità di fermare ogni tipo di sorveglianza di massa dimostrando come l’Italia resti uno dei baluardi a difesa dei diritti fondamentali.
La sintonia, sul tema, tra le posizioni espresse dal Garante ed i programmi politici di questa campagna elettorale mostrano una strada virtuosa che il nostro Paese sembrerebbe aver imboccato: in tal senso i tanti insegnamenti di Stefano Rodotà e di Giovanni Buttarelli e l’opera di quanti si sono formati e sono cresciuti con essi, non sembrano essere stati vani.
Altro punto rilevante del documento finale dei Garanti al G7 registra la tendenza emersa in diversi Paesi di una continua intersezione tra le Autorità per la protezione dei dati le Antitrust nazionali, trend diventato innegabile con lo svilupparsi della data economy e con il ruolo sempre più preminente delle grandi realtà tecnologiche che operano in regime di oligopolio.
Anche qui l’Italia si trova in posizione di avanguardia visto che risalgono al 2019 le linee guida sui Big Data redatte da Garante, AGCOM e AGCM insieme.
I prossimi passi
La conferenza di Garanti del G7 reca in sé numerose potenzialità ed è la prova della centralità delle politiche sul trattamento dei dati personali nell’attuale assetto economico, sociale e politico che rappresenta il c.d. ordine mondiale.
La buona notizia è che il tavolo di lavoro ha stabilito che gli incontri saranno permanenti, con almeno un incontro annuale tra le Autorità, a culmine di un lavoro di collaborazione continuativa tra i rispettivi uffici.
L’obiettivo è quello di fare leva sul proprio peso politico per creare quell’effetto network menzionato anche dal Garante europeo. Il prossimo appuntamento è fissato per il 2023 in Giappone e non resta che sposare l’augurio dei Garanti che i rispettivi governi li consultino più regolarmente sulle materie che riguardano l’uso e la tutela dei dati personali.
