Data Protection: prospettive europee di riforma

Agli inizi di novembre, il Commissario alla Giustizia dell’Unione Europea Viviane Reding ha annunciato una nuova strategia nell’ambito della protezione dei dati personali, che punta a riformare la Direttiva 95/46/CE. L’obiettivo è quello di tendere alla modernizzazione e alla applicazione uniforme delle norme di protezione poste dall’UE, nell’ottica del rafforzamento del “mercato interno” e del miglioramento della disciplina del trasferimento all’estero dei dati. Il traguardo cui si aspira è quello di raggiungere un quadro giuridico coerente e tendenzialmente uniforme tra i vari Stati Membri, tenendosi conto delle dimensioni internazionali assunte dal fenomeno della circolazione dei dati e delle nuove forme di trattamento cui gli stessi possono essere sottoposti.

Il maggior difetto riscontrato a distanza di anni dalla emanazione della Direttiva, oltre alla arretratezza della normativa rispetto alle nuove tecnologie (15 anni fa Google era agli inizi e Facebook inesistente), è la sua incapacità di imporre una uniforme applicazione dei principi da essa espressi nei vari Stati. Essenziale appare oggi alla UE la necessità di promuovere una tutela effettiva e paritaria nei vari paesi dell’Unione.

Nella comunicazione della Commissione al Parlamento dello scorso 4 novembre, i mezzi esplicitamente individuati per conseguire tale risultato sono l’adozione di moduli standard europei per la raccolta dei dati e per le notificazioni da parte degli utilizzatori, l’enunciazione di principi universali e linee guida precise nei confronti degli Stati membri, una maggiore efficacia delle sanzioni nei confronti degli Stati inadempienti e l’incoraggiamento delle iniziative di autoregolamentazione da parte degli organismi deputati al trattamento dei dati, attraverso l’adozione di codici di comportamento da parte dei responsabili dei trattamenti.

Consenso al trattamento e controllo dei dati. Uno degli aspetti più qualificanti del progetto di riforma è il proposito di rafforzare i diritti delle persone fisiche, sia con riguardo al momento che precede la comunicazione dei propri dati, sia a quello successivo del controllo della gestione dei medesimi.

Si vuole quindi promuovere l’effettività di un consenso libero e informato al trattamento dei dati (requisiti già previsti della Direttiva 95/46/CE, art 2), a fronte delle difformità di interpretazione nei diversi sistemi normativi di recepimento (si spazia infatti dalla necessità di un consenso scritto alla possibilità di individuare un consenso esplicito). Per questo, l’Unione ritiene necessario garantire la piena consapevolezza dei diritti da parte delle persone fisiche, da un lato promuovendo vaste campagne di sensibilizzazione, dall’altro prevedendo che i detentori di dati, primi fra tutti i fornitori di servizi Internet e i motori di ricerca, rendano note le modalità e gli scopi della raccolta, per consentire una completa conoscenza della destinazione delle informazioni fornite.

Con riguardo al secondo aspetto, vi è l’intento di rafforzare la tutela dei dati già inseriti nel sistema, contro l’eventualità di gestioni incontrollate. Anche qui i progetti seguono la via già tracciata in passato dall’UE (art. 8 della Carta dei Diritti Fondamentali), con il proposito di fornire più ampie garanzie riguardo alle facoltà di accesso, rettifica, blocco e cancellazione dei propri dati, per cui si parla di un “diritto all’oblio” o “diritto ad essere dimenticati”, consistente nella possibilità di ottenere una rimozione completa dei propri dati.

In quest’ambito è importante segnalare il progetto del “Data Liberation Front“, un team di ingegneri di Google che intende fornire agli utenti informazioni complete e dettagliate circa le modalità per gestire, rimuovere, spostare i propri dati presenti all’interno dei prodotti di Google (tra i quali YouTube, AdWords e Maps).

Diversi sono gli ostacoli che si possono frapporre alla piena realizzazione dei propositi di modernizzazione e di uniformazione della normativa degli Stati Membri, avuti di mira dal progetto di riforma. Tra questi, la difficoltà di tradurre le enunciazioni di principio in linee guida chiare e stringenti, al fine di impedire le attuali diverse interpretazioni da parte dei vari Stati (alcuni dei quali hanno peraltro già adottato discipline avanzate nel settore; si segnala il Data Protection Act inglese, che impedisce la trasmissione a terzi dei dati forniti alle imprese in mancanza di autorizzazione scritta degli interessati, ed il progetto tedesco in materia di privacy, rivolto a limitare l’uso di dati trovati nei social network da datori di lavoro interessati ad acquisire informazioni sui propri dipendenti), o il rischio che l’elaborazione di direttive troppo specifiche non consenta l’adattamento delle norme di recepimento alle sempre nuove problematiche connesse al continuo ed imprevedibile sviluppo delle tecnologie; o ancora, si possono ipotizzare tentativi delle grandi aziende di bloccare riforme garantiste per i privati ma penalizzanti per il mercato.

A ciò si aggiunga che, per la realizzazione degli scopi prefissati, deve essere ancora raggiunto un accordo con gli Stati Uniti, necessario per ottenere standard normativi coerenti e armonizzati. Le difficoltà in questo caso possono essere date dalle differenze del concetto di privacy e protezione dei dati nei due sistemi normativi.