Privacy nuovi adempimenti per professionisti ed imprese nel regolamento UE
Il regolamento UE sulla protezione dei dati, approvato il 14 aprile 2016 dal Parlamento Europeo e in attesa di pubblicazione sulla Gazzetta Ufficiale Europea, delinea un nuovo quadro normativo che dovrebbe portare maggiore uniformità e, soprattutto, dovrebbe essere più adatto alla rivoluzione portata dalle tecnologie digitali.
Il regolamento è un documento complesso, che riunisce in un unico corpus temi eterogenei tra loro. Vi saranno nuovi adempimenti per professionisti ed imprese? E’ necessario pensare ad una riorganizzazione di studi e imprese più “privacy-centrica”?
A vent’anni esatti dalla prima legge italiana sulla privacy, la n. 675 del 1996, poi sostituita dal Codice Privacy nel 2003, il tema della protezione dei dati sembra vivere una seconda giovinezza proprio in questi giorni a causa di un’improvvisa accelerazione, a livello di Unione Europea, nell’approvazione di un nuovo quadro normativo che dovrebbe portare maggiore uniformità e, soprattutto, che dovrebbe essere più adatto alla rivoluzione portata dalle tecnologie digitali.
Regolamento UE sulla protezione dei dati
Al centro della discussione c’è un Regolamento che, finalmente, è stato approvato il 14 aprile 2016 dal Parlamento Europeo dopo diversi anni di discussione e non poche polemiche e circa una settimana dopo che anche il Consiglio dell’Unione Europea aveva deliberato in tal senso.
Già definito dagli esperti come il Regolamento UE sulla protezione dei dati, o “regolamento privacy europeo”, si presenta come un documento assai complesso, di quasi trecento pagine tra premesse e articoli veri e propri, che è stato pensato per abrogare una vecchia Direttiva, la n. 46 del 1995, che ebbe però il merito di disciplinare per prima il delicato tema del trattamento dei dati personali.
Armonizzazione delle norme europee
Ora, circa l’impatto che avrà questo nuovo quadro normativo e, soprattutto, i tempi e i modi d’implementazione sul nostro tessuto nazionale, sono sorti alcuni dubbi.
I dubbi che interessano l’interprete riguardano, in particolare, il passato, il presente e il futuro.
Circa il passato, i primi problemi saranno di armonizzare un nuovo quadro con le norme esistenti.
In Italia, si diceva, è dal 1996 che esiste una normativa sulla protezione dei dati personali che, però, ha avuto una vita abbastanza complessa e travagliata e non sempre lineare. È stata spesso “emendata” in corsa, poi sostituita dal Codice Privacy, poi “affiancata” da provvedimenti del Garante che hanno meglio specificato alcuni settori e, infine, è stata cesellata anche da diverse pronunce della giurisprudenza di merito.
Questo per dire che, pur con tutti i difetti (si pensi al mancato aggiornamento delle disposizioni sulle misure minime di sicurezza), in due decenni si è creata una stratificazione molto solida nella disciplina italiana che si dovrà per forza adeguare, armonizzare e coordinare con le novità che saranno introdotte.
Nessuno può sapere, ora, se tale adattamento sarà indolore e quasi automatico o se richiederà interventi “in corsa” di dettaglio per evitare conflitti o aporie.
Il presente, invece, riguarda il testo del Regolamento che è stato approvato in questi giorni e che è disponibile anche in una versione in lingua italiana sul sito dell’Unione Europea.
Due anni per adeguarsi al regolamento
Una prima lettura lo presenta come un documento estremamente complesso, che riunisce in un unico corpus temi assai eterogenei tra loro (la tutela del privato ma anche dell’impresa, l’attenzione alla società dell’informazione ma anche alle banche di dati tradizionali, un richiamo ai principi fondamentali e alla dignità della persona ma anche un confronto costante con ciò che la società tecnologica oggi domanda in un’ottica di apertura, circolazione e interoperabilità dei dati).
Gran parte dei principi indicati nel testo si potranno valutare solo quando vi sarà la messa alla prova, in concreto, nel prossimo futuro.
E circa il futuro, appunto, in attesa di una prossima pubblicazione sulla Gazzetta Ufficiale Europea auspicata già entro maggio, è stato previsto un termine di 24 mesi dall’entrata in vigore per l’applicazione dei principi in ogni singolo Stato membro. Ciò è interessante: è stato lasciato un termine abbastanza ampio (anche se due anni passano in fretta…) per cercare di coordinare il nuovo quadro normativo sia con l’esistente, sia per raggiungere posizioni comuni sui vari dubbi che già si stanno prospettando.
Si aggiunga, al quadro fumoso appena descritto, l’esistenza d’innumerevoli provvedimenti di vario tipo, ormai, del Garante italiano e i lavori in corso su una nuova direttiva europea sulla e-privacy.
Impatti per il professionista e per l’impresa
Come comportarsi, quindi, in un quadro così fluido? Posto che le sorprese possono essere, nei prossimi mesi, all’ordine del giorno, sicuramente è opportuno, in primo luogo, uno studio accurato delle varie parti del Regolamento, concentrandosi sui punti d’immediato interesse per il singolo o per il professionista e l’impresa.
L’analisi andrebbe fatta tenendo sempre a mente il quadro italiano e l’attuale disciplina. Ciò permette di comprendere se vi saranno nuovi adempimenti o se le prassi sinora utilizzate potranno ancora essere considerate valide.
Lo studio accurato dovrebbe, poi, iniziare a far pensare (nel caso ce ne fosse bisogno) a una nuova riorganizzazione del tessuto imprenditoriale che sia più “privacy-centrica” e a prevedere, se del caso, nuove figure professionali in questo ambito.
Questo è un tema molto spinoso, dato che ruota attorno alla figura del cosiddetto “privacy officer” (ma non solo) che sta creando non pochi problemi di interpretazione (anche etimologica).
La previsione di nuove unità di personale o di consulenti ad hoc (che siano interni o esterni) è sempre stato un punto dolente di tutto il sistema, soprattutto in periodo di crisi generalizzata dell’economia (dove i primi tagli sono di solito fatti, proprio, sulla sicurezza).
Siamo in un periodo storico, in definitiva, di profondo mutamento che però richiede molta calma e accortezza nell’approccio.
Da un lato occorre un aggiornamento costante, quasi quotidiano, su ciò che accadrà nei prossimi mesi senza, però, prendere già decisioni drastiche organizzative o tecniche (vi sono due anni di tempo).
Dall’altro occorre, per certi versi, prevedere che impatto avrà la nuova normativa sulla realtà concreta che ci interessa: se avrà bisogno solo di piccoli aggiustamenti o se richiederà, invece, un mutamento organizzativo radicale.
