Il diritto alla protezione dei dati personali è sancito dalla Carta dei diritti fondamentali dell’Unione Europea, all’art. 8, ove è definito e individuato come diritto diverso dal diritto alla riservatezza, cardine nel sistema dei diritti e delle libertà fondamentali. Esso dunque è ormai da tempo parte del patrimonio giuridico europeo e non soltanto italiano.
Il diritto alla protezione dei dati personali è stato disciplinato in Europa dalla cosiddetta “direttiva madre” in materia di trattamento dei dati personali, la dir. 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
Da questa direttiva, a cui si sono aggiunte poi molte altre disposizioni normative, storicamente proviene il Codice per la protezione dei dati personali italiano.
La direttiva, di oltre venti anni fa, recepiva un dibattito culturale e un pensiero dottrinale sviluppatosi nei decenni precedenti e delineava un modello statico di trattamento dei dati personali, ormai superato. Basti pensare quanto fosse diversa all’epoca la tecnologia disponibile: era, ad esempio, un mondo privo di smart phone e social network.
Il Regolamento europeo 679/2016 “relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione dei dati e che abroga la direttiva 1995/46/CE”, preso atto del mutamento tecnologico e sociale, detta una nuova disciplina e dunque segna una significativa svolta in un percorso iniziato oltre venti anni fa. Abroga, infatti, la “direttiva-madre”, fin dal titolo.
La filosofia del Regolamento europeo è radicalmente differente. La direttiva è fondata su un approccio autorizzatorio, il Regolamento sul principio dell’accountability.
Il termine accountability significa, come è noto, responsabilità e, insieme, prova della responsabilità. Il titolare del trattamento deve essere in grado di dimostrare che ha adottato un processo complessivo di misure giuridiche, organizzative, tecniche, per la protezione dei dati personali, anche attraverso l’elaborazione di specifici modelli organizzativi.
L’adeguamento al GDPR
Il Regolamento europeo è direttamente applicabile dal 25 maggio 2018. Considerato lo strumento scelto dal legislatore europeo, regolamento e non direttiva, sotto il profilo strettamente tecnico-giuridico non sarebbe stato necessario un intervento del legislatore. Esso è stato, tuttavia, ritenuto utile in moltissimi Paesi europei, per raccordare al Regolamento la normativa nazionale. In Italia analoga scelta è stata operata l’anno scorso per raccordare il Regolamento E-Idas (910/2014) sull’identità digitale, le firme elettroniche e i trust service, con il Codice dell’amministrazione digitale.
Dunque, benché con grande ritardo, in Italia è stata nominata presso il Ministero della giustizia la Commissione incaricata di adeguare la normativa italiana in materia di dati personali al Regolamento Ue 679/2016.
La Commissione ha potuto incominciare i lavori solo in gennaio e ha dovuto concluderli a metà marzo. Mentre, in altri Paesi, analoghi lavori sono iniziati nel 2016. Della Commissione hanno fatto parte, oltre a chi scrive, autorevoli esperti della materia, quali Franco Pizzetti, Oreste Pollicino, Giorgio Resta, Alessandro Mantelero, Giovanni Guerra e, per gli aspetti penali, Vittorio Manes e Francesco Caprioli. Ha partecipato costantemente ai lavori il Garante per la protezione dei dati personali, rappresentato dal Segretario generale e da alcuni funzionari.
L’adeguamento della normativa italiana a quella europea serve a coordinare la legislazione nazionale vigente con il Regolamento e ad anticipare quella verifica di compatibilità altrimenti rimessa all’interprete, al Garante per la protezione dei dati personali e al giudice. Vedi a proposito l’attuale “schema di decreto Gdpr” (per adeguare il quadro normativo nazionale alle disposizioni del regolamento UE 2016/679 GDPR).
La tecnica normativa
Sotto il profilo della tecnica normativa, il Regolamento deve restare testo a sé stante e non può essere incorporato in un testo normativo nazionale. In questo senso, fra l’altro, sono le chiare indicazioni della Commissione europea.
Si sono dunque prese le mosse dal Regolamento europeo per verificare quali norme dell’ordinamento vigente italiano siano compatibili con esso.
Si è proceduto, muovendo dal Regolamento, ad esaminare quali disposizioni nazionali sono sostituite direttamente dalle disposizioni del Regolamento europeo. Ove la materia è disciplinata dal Regolamento, le disposizioni del Codice sono ovviamente sostituite da quelle del Regolamento, che prevalgono.
Nella mutata filosofia di fondo del GDPR si possono individuare, in sintesi, due tipologie di norme.
In primo luogo, le disposizioni del Regolamento che non modificano radicalmente i contenuti della direttiva o della legge italiana, ma innovano parzialmente oppure precisano. Alcuni contenuti sono simili, calati ovviamente in un contesto differente. In questi casi, non possono coesistere due insiemi di norme (quelle italiane e quelle europee) e ovviamente il Regolamento prevale.
Quindi, ad esempio, i corpi di disposizioni su informativa, consenso, diritti dell’interessato, trasferimento dei dati all’estero sono completamente sostituiti dal Regolamento.
In questo caso, non ci saranno grandi differenze sostanziali per gli operatori ma un riferimento chiaro ad una fonte diversa, quella del Regolamento, prevalente.
In secondo luogo, si possono individuare disposizioni del Regolamento completamente innovative sotto il profilo sostanziale.
Ad esempio, nella materia della sicurezza ci sono radicali modificazioni introdotte dal GDPR e quindi ovviamente cambia la fonte e cambia completamente anche la disciplina sostanziale.
Ancora, le sanzioni amministrative introdotte dal Regolamento innovano completamente rispetto alle disposizioni del Codice e le sostituiscono. Non è ammessa l’introduzione di minimi, ancora una volta conformemente alle indicazioni della Commissione europea. I criteri per la determinazione delle sanzioni amministrative sono elencate dal Regolamento all’art. 83 (ad es.: natura , gravità e durata della violazione, carattere dolo o colposo, ecc.).
Conseguentemente, all’esito della verifica di compatibilità, la parte generale del Codice risultava quasi interamente sostituita. Si sarebbe potuta mantenere la parte speciale, modificando numerose disposizioni, sostituite dal Regolamento. Ad esempio, quelle in materia di sanità, dal momento che l’art. 9, comma 2, lett. h) del GDPR non prevede più il consenso come base giuridica del trattamento dei dati effettuato per finalità di diagnosi, assistenza o terapia sanitaria.
Se si fosse seguita questa strada, l’interprete avrebbe avuto tre testi normativi di riferimento: il Regolamento, il decreto di adeguamento, e ciò che restava del Codice, all’evidenza non più tale. Per ragioni di semplificazione e di chiarezza si è scelto di trasferire le disposizioni rimanenti del Codice nel decreto.
Ciò nel rispetto della delega che prevede l’abrogazione delle disposizioni del Codice privacy incompatibili con il Regolamento europeo, la modifica del Codice, nonché il coordinamento del quadro normativo, in osservanza del principio generale di semplificazione e riassetto normativi.
La continuità con il Codice Privacy
Per non creare incertezza fra gli operatori, si è scelto di mantenere la continuità, ove possibile.
Dunque sono fatti salvi i provvedimenti del Garante (si pensi, per esempio a quello in materia di biometria) e le autorizzazioni, che saranno oggetto di successivo riesame.
Sono stati mantenuti anche i Codici deontologici vigenti (ad esempio, quello dei giornalisti) che resteranno fermi nei settori in cui il Regolamento lascia agli Stati competenza, mentre negli altri settori potranno essere avviate le procedure per i codici di settore.
Consultazioni pubbliche e semplificazioni
Il meccanismo delle consultazioni pubbliche e il coinvolgimento delle categorie interessate è stato rafforzato in molteplici casi. Ad esempio, per l’adozione delle regole deontologiche e per la riassunzione delle autorizzazioni generali. Ciò è necessario per raccogliere le istanze dello specifico settore, assicurare la conoscenza allo stato dell’arte e verificare l’efficacia delle soluzioni che si prospettano.
Per le micro, piccole e medie imprese si è previsto che il Garante promuova modalità semplificate di adempimento degli obblighi del titolare del trattamento.
Sanzioni penali
Il Regolamento precisa che l’imposizione di sanzioni penali non deve essere in contrasto con il principio del ne bis in idem quale interpretato dalla Corte di Giustizia, che vieta, come ribadito recentemente, un sistema a doppia sanzione e a doppio processo. Dal momento che il Regolamento europeo prevede gravi sanzioni amministrative (fino a 20 milioni di euro o fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore), che gli Stati membri non possono modificare e per le quali non è consentito introdurre un minimo, si sono eliminate le corrispondenti norme penali.
Questa è la proposta elaborata dalla Commissione. Ma la scelta è ovviamente di tipo politico, anche per la forte emotività connessa al tema.
E-privacy
Non si poteva intervenire in materia di e-privacy in attesa dell’emanando Regolamento in materia che sostituirà la direttiva 2002/58. Dunque le disposizioni del Codice in materia di comunicazioni elettroniche non sono state modificate.
Conclusioni
Abrogare o non abrogare il Codice per la protezione dei dati personali non significa elevare o diminuire la tutela giuridica. Il diritto alla protezione dei dati personali, si è scritto all’inizio di questo pezzo, è patrimonio giuridico europeo.
Il Codice è comunque sostituito dal Regolamento europeo per la maggior parte dei suoi articoli. Mantenere ciò che resta è una questione di tecnica normativa. La scelta più razionale sembra quella di avere due testi normativi e non tre. Ed è la scelta che rende il coordinamento più semplice per tutti gli interpreti e gli operatori. Ma che resti un Codice in gran parte abrogato non comporta di per sé una maggiore protezione, né il contrario.
