A due anni dall’entrata in vigore del Regolamento UE 679/2016 (25 maggio 2018) sono state affrontate, di recente, due importanti sfide politiche e sociali, tali da impattare in modo differente sull’applicabilità dello stesso.
Avendo riguardo all’ambito geo-politico è necessario rivolgere particolare attenzione al caso della Gran Bretagna. L’uscita del Regno Unito dall’Unione europea, nota anche come Brexit, è stata il processo che ha posto fine all’adesione all’Unione europea, secondo le modalità previste dall’articolo 50 del Trattato sull’Unione europea, come conseguenza del referendum sulla permanenza del Regno Unito nell’Unione europea il governo britannico ha formalmente annunciato il ritiro del paese a marzo 2017, avviando i negoziati Brexit.
La Gran Bretagna, a seguito di ciò potrà essere annoverata tra le nazioni non facenti parte dell’Unione Europea: la Brexit ha dominato le notizie europee negli ultimi anni e le autorità di regolamentazione del Regno Unito e dell’UE dovranno creare un quadro normativo alternativo sulla protezione dei dati per il futuro.
Tuttavia, ciò avrà un impatto relativamente scarso sul 2020, almeno per quanto riguarda la protezione dei dati. Nonostante l’uscita ufficiale dall’UE il 31 gennaio 2020, il Regno Unito continuerà ad aderire a tutte le norme e i regolamenti dell’UE per tutto l’anno. Ciò significa che il GDPR sarà ancora applicabile nel Regno Unito.
Si precisa, comunque, che già nel 2012, con l’impact assessement della Commissione Europea (EU IA) non aveva trovato il consenso da parte del Ministero della Giustizia britannico che, nel valutare i costi e i benefici della proposta di Regolamento sulla protezione dei dati, riteneva i primi di gran lunga superiori ai secondi (l’IA britannico ha calcolato i costi di nomina dei responsabili della protezione dei dati, l’esecuzione delle valutazioni di impatto sulla protezione dei dati e la notifica all’autorità di controllo delle violazioni dei dati). Ha sostenuto inoltre che le PMI nel Regno Unito, in particolare, avrebbero dovuto sostenere costi di conformità maggiori a causa della mancanza di competenze interne nella gestione di ulteriori oneri di conformità.
Per i possibili scenari post-Brexit la Commissione dovrà valutare il rispetto di un adeguato livello di protezione dei dati personali da parte del Regno Unito, in rispondenza ed in linea con quello adoperato da parte dell’Unione europea, così da poter adottare una decisione di adeguatezza (art. 45 GDPR) e, dal canto suo, il Regno Unito lavorerà ad un piano di regolamentazione sul trasferimento dei dati all’estero.
Qualora non dovesse poi giungersi ad una decisione di adeguatezza, il trasferimento dei dati all’estero potrà avvenire nel rispetto di quanto predisposto dagli artt. 46 e 47 del GDPR.
L’ulteriore sfida cui il GDPR è stato sottoposto riguarda il rapporto tra Regolamento e Coronavirus: dopo due anni dall’entrata in vigore, la pandemia di coronavirus ha senza alcun dubbio modificato il dibattito su come costruire app mobili e altre tecnologie. Le tecniche che una volta erano considerate invasive in Europa, come la raccolta di dati sulla posizione e sulla salute, fanno invece adesso parte dei piani del governo per contenere il virus.
Il GDPR fornisce “motivi legali per consentire ai datori di lavoro e alle autorità sanitarie competenti di trattare i dati personali nel contesto di epidemie, senza la necessità di ottenere il consenso” degli interessati, secondo quanto affermato in una recente dichiarazione dall’European Data Protection Board, che aiuta a coordinare l’applicazione della legge. Ciò si applica ad esempio quando il trattamento dei dati personali è necessario per i datori di lavoro per motivi di interesse pubblico nel settore della salute pubblica o per proteggere interessi vitali (articoli 6 e 9 del GDPR) o per ottemperare a un altro obbligo legale. La Commissione europea ha quindi rimandato a giugno il rilascio di una revisione completa del GDPR a causa del virus.
