Il 7 e l’8 settembre 2021, l’Information Commissioner Office britannico (ICO) ha riunito in una tavola rotonda le Autorità per la protezione dei dati e la privacy dei Paesi membri del G7. In quanto Autorità della nazione ospitante e facendo seguito alla Roadmap for Cooperation on Data Free Flow with Trust, lanciata dai ministri del G7 Digital and Technology il 28 aprile 2021, il Commissario Elizabeth Denham CBE, peraltro uscente, ha colto l’occasione per proporre alle omologhe delle 7 più importanti potenze economiche del mondo una più stretta collaborazione nel contesto della crescente economia globale basata sui dati e dei cambiamenti provocati dalla pandemia in corso. È la prima volta che si riunisce ufficialmente un tavolo dei Garanti G7 e l’invito inglese sottintendeva anche l’eventualità di renderlo un appuntamento ricorrente e formalizzato.
Data Free Flow with Trust
L’incontro, intitolato Data Free Flow with Trust, originava dall’esigenza d’individuare insieme un ruolo da giocare per la costruzione di un clima di fiducia all’interno di un sistema economico ormai dipendente dai flussi di dati, per tale motivo inarrestabili. L’obiettivo è pertanto quello di riuscire a bilanciare, nell’economia digitale, la tutela dei diritti individuali con la salvaguardia delle libertà del mercato. Il volume globale di dati generati, raccolti e utilizzati nel 2022 sarà doppio rispetto a quello del 2018 e poi raddoppierà nuovamente tra il 2022 e il 2025. Gli sviluppi tecnologici sono al centro di questa crescita esponenziale, con progressi nelle aree dall’intelligenza artificiale, alla Big Data Analysis, all’Internet of Things (IoT), che confermano una ricchezza dell’innovazione basata sui dati. Centrali in questo inedito assetto, le Autorità per la protezione dei dati e la privacy devono diventare sempre più efficaci nell’anticipare, interpretare e influenzare tali progressi nell’utilizzo dei dati personali. In un contesto in cui i dati fluiscono senza soluzione di continuità attraverso i confini e le aziende digitali raggiungono i propri utenti a livello globale, realizzare questa ambizione, che concretamente significa creare fiducia e sicurezza, sostenute da elevati standard di protezione dei dati, richiede necessariamente una cooperazione normativa internazionale più profonda e rapida.
L’invito dell’ICO alle sue omologhe, Autorità di regolamentazione della protezione dei dati e della privacy delle economie digitali più avanzate del mondo, era rivolto ad una comune presa di coscienza della capacità di svolgere un ruolo di leadership nelle discussioni su questi temi e contribuire a influenzare l’adozione di standard elevati per la protezione dei dati a livello globale, in quanto uniche istituzioni in grado di identificare aree di interesse ed opportunità reciproche e rispondere con agilità agli sviluppi in corso, guidando approcci normativi collaborativi che cercano di creare coerenza e certezza giuridica ove possibile. In riconoscimento di questa sfida, la Denham ha chiesto ai rappresentanti di tutte le Autorità presenti di sottoporre all’attenzione delle altre una “provocazione” incentrata su una questione specifica ritenuta della massima urgenza nel momento attuale, per condividere competenze ed esperienze ed esplorare la possibilità di una cooperazione più stretta.
Privacy e concorrenza: collaborazione interdisciplinare per una solida economia digitale globale
Provocazione del Vice Commissario con delega alla compliance dell’Office of the Privacy Commissioner del Canada, Brent Homan.
I mercati digitali stanno trasformando la nostra economia e la nostra società, con aziende che hanno iniziato come start-up che si stanno rapidamente ridimensionando per fornire un cambiamento globale. Per molti versi questi cambiamenti sono positivi, con vantaggi per i consumatori, l’innovazione e la crescita economica, ma presentano anche serie sfide.
Esistono chiari incentivi per la raccolta e lo sfruttamento dei dati personali che vanno a scapito della privacy individuale e creano seri problemi di concorrenza. Di fronte a un tale cambiamento epocale del panorama, i regolatori della concorrenza e le Autorità per la protezione dei dati e la privacy devono collaborare per promuovere una solida economia digitale, generando fiducia tra i cittadini globali e promuovendo in modo olistico i diritti degli interessati e quelli dei consumatori.
Data la fase nascente dello studio di questa intersezione, è necessaria una stretta collaborazione tra le Autorità su questioni che includono: lo sviluppo di un lessico e un approccio comuni; identificare e mitigare potenziali conflitti tra la protezione della privacy e la promozione della concorrenza; valutare in che modo i fallimenti del mercato possono avere un impatto negativo sulla privacy dei cittadini o indurre le Autorità garanti della concorrenza a trascurare la privacy come fattore competitivo; e lavorare verso rimedi effettivi che raggiungano risultati positivi sia dal punto di vista della concorrenza che della privacy.
Obiettivi concordati dalle Autorità del G7:
• Rafforzare la collaborazione tra le Autorità per la protezione dei dati e la privacy del G7 e le loro controparti nazionali garanti della regolamentazione dei mercati digitali.
• Condividere esperienze e informazioni tra le Autorità per la protezione dei dati e la privacy del G7, con l’ambizione di promuovere il consenso, stabilire norme e facilitare azioni pratiche per servire reciprocamente gli obiettivi di tutela dei diritti degli individui e di preservazione di mercati digitali competitivi.
• Sostenere una maggiore collaborazione tra le Autorità per la protezione dei dati e la privacy e le Autorità di regolamentazione della concorrenza nei forum e nelle reti globali sulla privacy e sulla concorrenza, anche attraverso un dialogo più stretto tra la Global Privacy Assembly (GPA) e l’International Competition Network.
Plasmare il futuro del monitoraggio online
Provocazione del Direttore esecutivo per il futuro della regolazione e dell’innovazione dell’Information Commissioner Office del Regno Unito, Stephen Bonner.
I cookie e le tecnologie similari possono essere utilizzati al fine di raccogliere dati per una serie di scopi diversi. Mentre alcuni cookie sono essenziali per il corretto funzionamento di un sito Web, altri raccolgono dati per scopi che non sono tecnicamente necessari a fornire il servizio, ad esempio quelli che consentono la pubblicità mirata. La portata di tali tecnologie di tracciamento dovrebbe essere ridotta e gli utenti dovrebbero avere la possibilità di non essere tracciati affatto.
L’attuale sistema di procedure per il rilascio del consenso ai cookie ripetuti e frequenti (ad es. pop-up, banner) al momento della raccolta dei dati da parte dei siti Web porta ad una situazione in cui la maggior parte delle persone seleziona “Accetto” senza pensarci – nonostante nutrano legittime preoccupazioni su come vengono effettivamente utilizzati i loro dati. Inoltre, gli utenti segnalano di non avere il tempo di impegnarsi con meccanismi di consenso ai cookie complessi o fuorvianti e, pur desiderando un maggiore controllo su come vengono elaborati i propri dati, si sentono impotenti a interrompere la raccolta dei propri dati. Problemi come i “cookie wall” (attraverso i quali, se gli utenti non “accettano” di essere tracciati, potrebbe essere loro negato l’accesso al sito Web) e i “dark patterns” (mediante i quali l’architettura delle informative sulla privacy è progettata per indurre gli utenti a fornire il consenso) servono inoltre ad educare gli utenti alla possibilità di controllare i propri dati.
Spesso, tuttavia, non si ottiene un consenso significativo. È necessaria, pertanto, un’azione per garantire che gli utenti del Web siano in grado di controllare in modo effettivamente il trattamento dei propri dati personali durante la navigazione in Internet, insieme alla promozione di elevati standard di protezione dei dati da parte dei siti Web e all’azione per contrastare le pratiche dannose. I browser Web, le applicazioni software e le impostazioni del dispositivo hanno tutti un ruolo da svolgere nel consentire alle persone di impostare e aggiornare le proprie preferenze sulla privacy durature e garantire che queste siano rispettate dai siti web.
Obiettivi concordati dalle Autorità del G7:
• Avviare un dialogo strategico tra le Autorità per la protezione dei dati e la privacy del G7 e le aziende tecnologiche, gli organismi di normazione, i progettisti, gli sviluppatori web, gli utenti e la società civile per esaminare il ruolo che gli sviluppi tecnologici possono svolgere nella creazione di un Internet più orientato alla privacy, sostenendo e preservando il principio di un consenso preventivo informato e significativo online.
• Continuare a collaborare tra le Autorità per la protezione dei dati e la privacy del G7 su sforzi più ampi per migliorare gli standard di protezione dei dati da parte dei siti web, anche condividendo esperienze e buone pratiche.
Progettare l’intelligenza artificiale in linea con la protezione dei dati
Provocazione del Bundesbeauftragte für den Datenschutz und die Informationsfreiheit della Germania, Ulrich Kelber.
L’intelligenza artificiale (AI) promette di aiutarci a superare alcune delle più grandi sfide che affrontiamo oggi nel nostro mondo. Può, ad esempio, consentire ai medici di fare diagnosi migliori e perseguire nuovi percorsi terapeutici. Nel cogliere queste opportunità, si deve garantire che il diritto umano alla privacy, il diritto all’autodeterminazione informativa e altri diritti fondamentali non siano violati dall’uso dell’IA.
Le Autorità per la protezione dei dati e la privacy devono svolgere un ruolo guida nella governance dell’IA, che si basa sui dati. Dovrebbero influenzare in modo costruttivo gli sviluppi dei sistemi di intelligenza artificiale e creare un quadro che salvaguardi i diritti umani, la democrazia, il bene comune e le libertà individuali, creando al contempo spazio per l’innovazione e il progresso. Sono necessarie “linee rosse” per i sistemi di intelligenza artificiale che non sono compatibili con i nostri valori e diritti fondamentali. Per adempiere a questo compito, le Autorità per la protezione dei dati e la privacy hanno bisogno di risorse umane e materiali sufficienti.
La complessità delle catene di approvvigionamento globali implica la necessità di principi comuni per la governance dell’IA. La dignità umana deve essere centrale nella progettazione dell’IA; L’IA deve essere trasparente, comprensibile e spiegabile; e all’IA devono applicarsi i principi di protezione dei dati relativi alla limitazione delle finalità e alla minimizzazione dei dati. Sono necessari ulteriori lavori per promuovere lo sviluppo di approcci interoperabili alla regolamentazione dell’IA in tutte le giurisdizioni, nell’interesse delle persone e delle imprese.
Obiettivi concordati dalle Autorità del G7:
• Sostenere il ruolo centrale che le Autorità per la protezione dei dati e la privacy dovrebbero svolgere nella futura governance dell’intelligenza artificiale.
• Creare un dialogo tra le Autorità per la protezione dei dati e la privacy del G7 sui principi che dovrebbero governare lo sviluppo responsabile dell’intelligenza artificiale.
• Scambiare informazioni e competenze sulle nuove applicazioni dell’intelligenza artificiale e le implicazioni sulla privacy che ne derivano.
Ridisegnare i rimedi giuridici per l’era digitale
Provocazione del Presidente della Federal Trade Commission degli Stati Uniti, Lina Khan.
La rapida evoluzione dell’economia digitale costringe le Autorità per la protezione dei dati e la privacy a riflettere continuamente circa l’adeguatezza dei loro strumenti di applicazione della disciplina allo scopo e se le loro risposte istituzionali sono sufficienti ad impedire alle aziende di trarre vantaggio dalle violazioni ed a dissuadere gli altri dal commetterle.
È fondamentale che qualsiasi risposta normativa adottata dalle Autorità per la protezione dei dati e la privacy abbia al centro delle loro considerazioni i soggetti vittime di queste attività. Gli obiettivi dei rimedi giuridici dovrebbero includere il risarcimento per i consumatori e i cittadini interessati, la responsabilità per le organizzazioni, condizioni di parità per le imprese e la deterrenza di future non conformità.
I rimedi devono stare al passo con il cambiamento tecnologico e lo sviluppo di nuovi modelli di business. Data la natura globale dell’economia digitale, è importante che i rimedi a disposizione delle Autorità per la protezione dei dati e della privacy mantengano una condizione di parità ed equiparabilità sufficiente tra le giurisdizioni.
Obiettivi concordati dalle Autorità del G7:
• Condividere informazioni ed esperienze su quali rimedi normativi funzionano meglio in situazioni particolari.
• Sostenere i legislatori affinché garantiscano che i rimedi normativi stiano al passo con i cambiamenti tecnologici e mantengano una parità sufficiente tra le giurisdizioni.
Innovazione tecnologica indotta dalla pandemia: uno stress test per i diritti di protezione dei dati
Provocazione del Vice Presidente del Garante per la protezione dei dati personali, Ginevra Cerrina Feroni.
Negli ultimi 18 mesi, le nostre vite sono state dominate dalla pandemia di Covid-19. Le misure che i governi hanno adottato per combattere la pandemia, insieme alla proliferazione dell’elaborazione dei dati derivante da una rapida diffusione dei servizi digitali, hanno messo l’accento su molti dei diritti e delle libertà fondamentali che sono la pietra angolare delle moderne democrazie, compreso il diritto al rispetto per la vita privata.
L’applicazione delle normative sulla protezione dei dati e sulla privacy deve essere chiaramente equilibrata e contestuale quando si risponde a situazioni di emergenza o senza precedenti, come la pandemia. Tuttavia, è proprio in tali situazioni in cui vengono implementate soluzioni straordinarie che le Autorità per la protezione dei dati e la privacy devono garantire di agire sia come garanti che come facilitatori, assicurando che i diritti dei dati dei cittadini siano comunque rispettati anche al cospetto dell’implementazione di risposte adeguate all’emergenza sanitaria.
Lo sviluppo di approcci coerenti alle domande emergenti ci consentirà di continuare ad agire con vigore quali custodi dei valori fondanti delle nostre società, inclusa la protezione dei dati personali.
Obiettivi concordati dalle Autorità del G7:
• Dimostrare in modo proattivo il nostro impegno e la nostra capacità di agire rapidamente quando necessario, continuando a garantire gli elevati standard di protezione dei dati e della privacy dei nostri cittadini.
• Sostenere un’innovazione che soddisfi efficacemente le esigenze del pubblico e protegga la privacy dei cittadini, tenendo il passo con lo sviluppo di nuove tecnologie, prodotti e modelli di business e mantenendo la nostra rilevanza per questi problemi emergenti.
• Assicurare che la proliferazione di nuove tecnologie stimolate dalla pandemia sia sfruttata per il bene comune e garantisca la privacy individuale e i diritti di protezione dei dati.
Accesso governativo e flusso di dati a livello internazionale: quale ruolo per la cooperazione normativa nell’assicurare una vera fiducia
Provocazione del Presidente della Commission Nationale de l’Informatique et des Libertés, Marie-Laure Denis.
I governi e i servizi di intelligence hanno esigenze legittime di accedere ai dati personali. Tuttavia, la privacy degli individui e altri diritti umani devono essere rispettati e l’accesso del governo ai dati personali dovrebbe essere soggetto a garanzie e supervisione adeguata.
Norme differenti nei diversi Paesi e incertezza sulle pratiche delle Autorità pubbliche possono anche compromettere la fiducia nell’abilitazione di flussi di dati transfrontalieri. Al contrario, un comune accordo in ragione del quale le Autorità pubbliche possono avere accesso ai dati e sulle garanzie che dovrebbero essere messe in atto per proteggere gli individui possono aiutare a costruire la fiducia che è alla base dei flussi di dati transfrontalieri e quindi alleviare potenziali restrizioni sui flussi di dati.
Mentre i principi fondamentali comuni su come tale accesso dovrebbe essere regolamentato vengono discussi in altri consessi internazionali, la cooperazione tra le Autorità del G7 per la protezione dei dati e per la privacy su questo tema è importante per aiutare a formulare e supportare soluzioni. Tutto ciò con l’obiettivo di garantire protezioni e rimedi per gli individui quando i loro dati personali vengono trasferiti tra Paesi e sostenere il libero scambio di dati personali superando le sfide e le barriere attuali, con standard legali elevati che offrono una protezione reale per i diritti alla privacy dei cittadini di tutto il mondo.
Obiettivi concordati dalle Autorità del G7:
• Impegnarsi con i nostri rispettivi governi a sostegno delle iniziative in corso a livello internazionale, tra cui la GPA, il Consiglio d’Europa, il G20 e in particolare il lavoro dell’OCSE sull’accesso governativo ai dati personali detenuti dal settore privato, che offre un’opportunità chiave per fornire principi concordati che possano governare questo importante argomento.
• Condividere gli sviluppi rilevanti nella legislazione e nella pratica tra le Autorità per la protezione dei dati e la privacy del G7 e coordinare la nostra difesa nazionale e gli sforzi politici per promuovere principi ambiziosi applicabili all’accesso governativo ai dati personali.
• Sviluppare relazioni costruttive e appropriate con altri organi di controllo nazionali competenti nei rispettivi Paesi per garantire un approccio coerente alla privacy e alla protezione dei dati nel contesto dell’accesso governativo.
Sviluppo di un quadro per il trasferimento transfrontaliero di dati personali e cooperazione tra le Autorità G7
Provocazione del Presidente della Personal Information Protection Commission (個人情報保護委員会) del Giappone, Mieko Tanno.
Il ritmo dell’innovazione e dell’evoluzione tecnologica ha dato origine a un’economia digitale globale con massicci trasferimenti di dati, compresi dati personali, attraverso i confini e i sistemi politici. Ciò rappresenta una sfida per le Autorità per la protezione dei dati e di tutela della privacy. La cooperazione tra le Autorità di regolamentazione in diversi Paesi è essenziale per evitare l’arbitrarietà normativa e la protezione dei diritti a velocità e livelli diversi.
Le Autorità per la protezione dei dati e la privacy possono condividere competenze e migliori pratiche e cooperare su indagini di rilevanza intergiurisdizionale, in particolare laddove emergono tecnologie innovative e nuovi prodotti e servizi. Lo sviluppo di un quadro per politiche e pratiche di applicazione collaborative, coerenti e reattive può offrire una certezza per coloro che sono soggetti alla regolamentazione e consentire potenziali azioni normative collettive a beneficio della comunità globale.
Obiettivi concordati dalle Autorità del G7:
• Promuovere un dialogo più aperto e frequente tra le Autorità per la protezione dei dati e la privacy del G7, basato su reti condivise, riunioni regolari e discussioni in corso nelle nostre giurisdizioni.
• Scambiare esperienze e pratiche nella governance di tecnologie e innovazioni emergenti, con l’obiettivo di promuovere approcci normativi interoperabili tra le Autorità per la protezione dei dati e la privacy del G7.
• Identificare opportunità per una maggiore cooperazione tra le Autorità per la protezione dei dati e la privacy del G7, iniziando dallo sviluppo di una comprensione condivisa dei quadri legali e delle pratiche di applicazione tra le giurisdizioni, compreso l’ambito della loro applicazione extraterritoriale.
Gli interventi di OCSE e WEF
In tale occasione sono stati anche accolti gli interventi dell’OCSE e del World Economic Forum in merito alle questioni che, ad avviso di dette organizzazioni, trarrebbero beneficio dalla cooperazione tra le Autorità per la protezione dei dati e la privacy del G7. Questi interventi hanno fornito preziose prospettive da parte di soggetti esterni alla comunità della protezione dei dati e della privacy e sono state scambiate opinioni su molteplici questioni impegnative riguardanti i flussi di dati transfrontalieri.
L’OCSE ha rappresentato l’importanza di una buona governance dei dati e della cooperazione tra i Paesi per i flussi di dati transfrontalieri, in modo che ciò avvantaggi economicamente i cittadini e il lavoro che l’OCSE sta svolgendo per sostenerli.
Il World Economic Forum ha illustrato invece come la circolazione dei dati attraverso le frontiere sia cruciale per la moderna economia globale, come politiche ben intenzionate al riguardo possano dare luogo a conseguenze negative impreviste e il conseguente ruolo che i dati del G7 le Autorità di protezione e privacy potrebbero giocare nel plasmare l’economia globale.
Guardando al futuro
La tavola rotonda ha evidenziato i vantaggi di una prosecuzione della discussione a questo livello ed in questo formato dal momento che tutte le Autorità sono alle prese con le sfide sempre crescenti, all’interno delle rispettive giurisdizioni, della regolamentazione di un’economia dei dati che invece trascende i confini. Il BfDI tedesco ha già assunto l’onere di ospitare un’ulteriore tavola rotonda di questo tipo quando la Germania assumerà la presidenza del G7 il prossimo anno e così il Giappone per il 2023 e l’Italia per il 2024.
Nel frattempo, proseguirà l’impegno a livello operativo per sostenere i risultati concordati di questa tavola rotonda e per aiutare a costruire una fitta rete di esperti in contatto l’uno con l’altro presso le varie Autorità del G7.
Attraverso questo nuovo forum, che si aggiunge a quelli già esistenti, i Commissari del G7 hanno dato vita ad un ambiente flessibile in cui possono discutere questioni di reciproco interesse, cercare di creare una relazione a più lungo termine ed avere voce e influenza con le organizzazioni internazionali e gli altri principali attori internazionali interessati per promuovere valori e obiettivi condivisi come regolatori della protezione dei dati e della privacy delle sette economie digitali più avanzate
