La regolamentazione del fenomeno sportivo dall’angolo visuale del GDPR
Il periodo emergenziale che stiamo vivendo sta facendo affiorare molte problematiche che fino ad oggi non sono state avvertite come tali. Senz’altro il massivo utilizzo di nuove tecnologie e questa spasmodica ricerca della digitalizzazione pongono nuove sfide non solo per i legislatori, ma anche per gli stessi cittadini. In questa ottica privacy e protezione dei dati sono due aspetti che stanno acquisendo sempre più importanza, soprattutto nel mondo sportivo.
Sommario
1. Considerazioni introduttive
1.1. Privacy e protezione dei dati
2. L’importanza del GDPR per il mondo sportivo
2.1. Il Data Protection Officer
2.2. Il GDPR e i nuovi e-Sports
3. Conclusioni
1. Considerazioni introduttive
Il periodo emergenziale che stiamo vivendo sta facendo affiorare molte problematiche che fino ad oggi non sono state avvertite come tali. Senz’altro il massivo utilizzo di nuove tecnologie e questa spasmodica ricerca della digitalizzazione pongono nuove sfide non solo per i legislatori, ma anche per gli stessi cittadini. In questa ottica privacy e protezione dei dati sono due aspetti che stanno acquisendo sempre più importanza, soprattutto nel mondo sportivo.
La nascita del World Wide Web1 è stato un momento rivoluzionario che ha permesso a chiunque l’accesso a nuovi luoghi digitali che, nel corso degli anni, hanno sostituito luoghi “fisici”. La grande rivoluzione è che tutti oggi possono accedere a questi strumenti potentissimi. Pensiamo ad esempio ai tifosi di calcio, o di qualsiasi altro sport, che un tempo si incontravano al bar, ora s’incontrano sulle pagine social delle proprie squadre del cuore, o dei loro beniamini. Potrebbe sembrare un cambiamento da poco, ed invece rappresenta l’avvento di un nuovo mondo: quello c.d. digitale.
È innegabile l’importanza dell’innovazione tecnologica che ad oggi tende a migliorare la nostra vita in tanti modi diversi, però la “parità di accesso” sopracitata e descritta come una rivoluzione può anche assumere le sembianze del peggior “aguzzino”, visto e considerando i pericoli insiti nel mondo digitale. Di qui l’esigenza nel 2001 di disciplinare approfonditamente i crimini informatici con la Convenzione del Consiglio d’Europa sulla Criminalità Informatica. Conosciuta anche come Convenzione di Budapest: i quarantotto articoli avevano l’obiettivo di disciplinare e armonizzare le diverse legislazioni europee in tema di crimini informatici, e soprattutto incentivare tutti gli Stati firmatari a munirsi di tutele minime contro questi nuovi reati2.
Il tema non è esaurito, perché è ovvio che l’innovazione tecnologica porrà sempre nuove problematiche alle quali bisognerà dare risposte puntuali e celeri in termini di tutela. Questa attenzione verso i nuovi mezzi di comunicazione ha posto dei problemi in termini di protezione della privacy e dei dati personali. È indispensabile percorrere le tappe normative più significative sul tema.
Il d.lgs. del 30 giugno 2003, n. 196 introdusse per la prima volta un “Codice in materia di protezione dei dati personali”, riunendo tutta la normativa vigente in materia dal 1996. Si definirono molti aspetti che crearono il terreno fertile per la nascita di una nuova cultura della privacy3, che da li a pochi anni sarebbe diventata uno dei principali temi dibattuti in sede europea e nazionale. Tra le finalità del seguente codice4, vengono messi in risalto sostanzialmente tre diritti: alla riservatezza (c.d. privacy), all’identità personale e alla protezione dei dati personali. Il primo senz’altro assume un’importanza notevole, poiché ne troviamo il fondamento normativo nell’articolo 2 della Costituzione italiana e in tutte le sue possibili declinazioni5, nonché nell’articolo 8 della CEDU6, dove vi è un’ulteriore tutela dell’individuo da ingerenze arbitrarie dei pubblici poteri, sancendo il c.d. divieto di ingerenza degli Stati Membri, salvo nei casi previsti dalla legge7.
Il diritto alla riservatezza8 è riconosciuto sul piano costituzionale nonostante non se ne faccia alcuna menzione all’interno della Costituzione, ma è da capire quali siano i suoi limiti con riferimento all’articolo 21 Cost., ovvero alla libertà di manifestazione del pensiero, il quale assorbe anche i diritti di cronaca e critica. Sul tema si è espressa la Cassazione che con la sentenza n. 13161 del 24 giugno 20169 ha definito il confine tra diritto all’informazione e diritto alla riservatezza, affermando il carattere recessivo dell’esigenza informativa e conoscitiva degli utenti rispetto alla web reputation del soggetto e della sua attività, qualora la notizia fosse ormai “attempata”, impedendo quindi la fruizione facile e libera del contenuto incriminato. Alla stregua di questa lettura della Cassazione, ritengo che il diritto alla riservatezza (o privacy) sia il limite del diritto all’informazione, e non viceversa. Per cui si avrà un’accezione negativa del diritto in esame, ove l’unico bene tutelato è lo ius excludendi alios in quanto è volto ad evitare che chiunque possa rilevare, o diffondere, informazioni sul nostro conto a mezzo stampa o tramite i media, senza il consenso della persona interessata. Questa lettura del diritto alla riservatezza fa si che il suo momento genetico sia individuabile nel momento in cui vi è stata la necessità di porre un limite alla libertà di espressione e del diritto d’informazione, e quindi non è stato pensato come un diritto a sé stante10.
La questione è ancora aperta e dibattuta, e probabilmente non troverà mai una fine perché l’innovazione tecnologica è incessante, e con essa anche i problemi giuridici che ne derivano, pertanto ritengo che saranno proprio i giudici a giocare un ruolo fondamentale nel bilanciamento di questi diritti, ogni qualvolta si troveranno ad affrontare la c.d. dimensione digitale.
1.1. Privacy e protezione dei dati personali
È fondamentale definire cosa s’intenda per diritto alla protezione dei dati (o data protection), che molto spesso viene ritenuto un sinonimo del sopracitato diritto alla riservatezza. La protezione dei dati personali è un sistema di trattamento degli stessi che identifica direttamente o indirettamente una persona, ed è previsto dall’articolo 8 della CEDU del 1950 e dall’articolo 16 del TFUE. Tale diritto è un diritto fondamentale dell’uomo appartenente a qualsiasi persona fisica, e la principale differenza tra privacy e protezione dei dati è che nel primo parliamo di un diritto individuale che tutela il soggetto nella sua solitudine, mentre il secondo estende questa tutela alle sue relazioni sociali permettendo l’autodeterminazione decisionale e il controllo sulla circolazione dei propri dati11.
L’attenzione rivolta verso la protezione dei dati personali non è recente ma è stata prevista in innumerevoli normative internazionali, europee e nazionali, ma ci si soffermerà in particolare sul regolamento generale approvato dall’Unione Europea: il Regolamento europeo n. 679/2016, c.d. General Data Protection Regulation (GDPR)12. Il GDPR è nato con l’obiettivo di omologare e armonizzare la disciplina in materia di dati personali per tutti gli Stati Membri, in particolare determina i dettagli con la quale i dati debbano essere conservati, elaborati e cancellati sia dalle imprese che dagli enti pubblici13. Il punto sei del Preambolo14 esplica in maniera chiara che il GDPR si pone l’obiettivo primario di facilitare il trasferimento dei dati verso Paesi terzi esterni all’Unione Europea e soprattutto di far fronte ad una realtà tecnologica che ha trasformato sia l’economia, con nuove modalità di esercizio delle attività di imprese ed enti pubblici, e sia delle relazioni sociali che ormai si basano su nuove forme di comunicazione informatica globale. In entrambi casi si presuppone un’alta condivisione di dati personali che impone una tutela uniforme ed efficace. Il Regolamento è costruito su cinque principi fondamentali: 1) Privacy by Design, 2) Privacy by Default, 3) Accountability, 4) Data Breach, 5) Right to be Forgotten. Per quanto concerne i primi due, l’articolo 25 prevede che si predispongano tutte le misure tecniche organizzative affinché si possa garantire la protezione dei dati, con particolare riguardo alla pseudonimizzazione15 e minimizzazione16. Al secondo comma inoltre si ribadisce che il trattamento dei dati deve essere limitato sia da un punto di vista quantitativo, che da un punto di vista temporale, dando sostanza ad un’ulteriore sfumatura del principio di trasparenza17. Con l’introduzione del principio di accountability il GDPR responsabilizza e sancisce diritti e doveri dei soggetti titolari e responsabili del trattamento dei dati, i quali dovranno predisporre misure tecniche ed organizzative atte a garantire un sufficiente grado di protezione dei soggetti, in ottemperanza della disciplina dettata dal GDPR. L’accountability prevede quindi che il responsabile del trattamento sia anche in grado di provare i propri adempimenti, e si evidenzia che il Regolamento lascia comunque un’ampia discrezionalità ai titolari del trattamento in modo che possano adeguare l’applicazione delle norme alla realtà di riferimento, in un’ottica di coerenza e razionalità delle scelte. Quando parliamo di data breach invece intendiamo la violazione dei dati personali, cioè la violazione di sicurezze che comportano accidentalmente o in modo illecito la distruzione, la perdita, la modifica o la divulgazione non autorizzata, o l’accesso ai dati personali trasmessi, conservati o comunque trattati18. Infine, il GDPR conferma l’esistenza del diritto all’oblio, c.d. right to be forgotten19 affermando il diritto dell’interessato di richiedere la cancellazione dei dati personali che lo riguardano, e il titolare ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali.
Il Regolamento in esame avrà un impatto significativo in tutti i settori della società, ed è innegabile la difficoltà in Italia ad adeguarsi a tutta la normativa. Senz’altro queste nuove regole faranno ingresso nel settore sportivo che gestisce una mole di dati personali inimmaginabile, confermando la necessità per il mondo sportivo di studiare e comprendere la nuova normativa GDPR.
2. L’importanza del GDPR per il mondo sportivo
Il GDPR designa come destinatari del Regolamento “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi” estendendo molto la platea dei soggetti obbligati al rispetto di tali normative. È certo che in tale definizione rientrino tutte le realtà sportive, dalle società (professionistiche, dilettantistiche e amatoriali) alle Federazioni Sportive Nazionali e Discipline Sportive Associate20 considerando i volumi di dati personali che devono gestire in ogni loro attività.
Questo apre uno scenario interessante perché gli organismi sportivi, a partire da quelli di vertice fino a quelli base, dovranno necessariamente essere consapevoli e comprendere esattamente la normativa privacy per non incorrere in sanzioni che potrebbero essere molto pesanti per i movimenti sportivi dilettantistici e amatoriali, che sul piano del GDPR sono tenuti agli stessi doveri e obblighi della società professionistiche più ricche.
Dopo aver preso coscienza della normativa, qualsiasi società o Federazione dovrà individuare un preciso organigramma privacy, cioè una gerarchia interna di tutti i soggetti che andranno a gestire dati sensibili trattati dalle stesse. La questione è complessa, perché una stessa società sportiva acquisisce una doppia natura in base all’attività che svolge nel trattamento dei dati, ovvero sarà: 1) titolare del trattamento per tutte quelle attività poste in essere per finalità interne alla stessa società (es. marketing, pubblicità, etc.) e 2) responsabile del trattamento diventando un elemento di “raccordo” tra la società e, ad esempio, la Federazione nelle procedure di tesseramento poiché i dati verranno trattati per il conto di un altro titolare. In concreto è più frequente che le società operino in maniera autonoma poiché le finalità dei trattamenti dei dati personali delle società e delle Federazioni spesso non coincidono, e quindi cambieranno anche i metodi con la quale si tuteleranno i diritti dei loro consociati. Ad esempio, immaginiamo una società che deve effettuare le prenotazioni di mezzi per effettuare la trasferta, oppure delle strutture residenziali andando a svolgere il ruolo sia di responsabile che di titolare del trattamento.
Pertanto, la società dovrà redigere un’informativa privacy espressamente disciplinata dal Regolamento nel contenuto21, nella forma e nelle modalità di consegna della stessa. Il comma 2 dell’articolo 13 del Regolamento impone che i soggetti passivi del trattamento siano messi al corrente del periodo di conservazione dei dati, del diritto di accesso, rettifica, cancellazione e limitazione del trattamento e il diritto alla portabilità degli stessi. Quest’ultimo diritto è senz’altro riguarda un aspetto molto significativo, soprattutto per gli atleti che ormai risultano essere monitorati in qualsiasi aspetto nelle loro prestazioni, ed è frequente che tali soggetti abbiano l’interesse che questi dati siano forniti senza ostacoli ad altri titolari, favorendo il loro “mercato” inteso da un punto di vista lavorativo. Il diritto alla portabilità è uno strumento che aumenta la disponibilità dei propri dati e allo stesso tempo favorisce la libera circolazione dei dati, incrementando l’economia digitale e a sua volta anche la concorrenza tra aziende22. Tornando all’informativa dovrà essere specificato il diritto di revocare in ogni momento il consenso, a proporre reclamo all’autorità, nonché l’esistenza di un processo decisionale automatizzato23. La redazione e la somministrazione dell’informativa è l’estrinsecazione di uno dei principi fondamentali sulla quale è costruito il GDPR: il principio di trasparenza, che dovrà essere declinato sia dal punto di vista organizzativo che dell’attività.
Particolarmente importante è anche il registro delle attività di trattamento nella quale dovranno essere inserite tutte le attività inerenti al GDPR poste in essere dalla società per la tutela del trattamento dei dati personali. L’importanza di questo strumento documentale sta nel fatto che in caso di denunzia alle Autorità la società potrà dimostrare mediante il registro di aver adempiuto a tutti gli obblighi normativi scongiurando eventuali sanzioni. Il registro dovrà essere sempre aggiornato poiché è uno strumento “dinamico” che non può essere trascurato poiché ha una duplice funzione: ex ante per monitorare e aggiornare tutte le attività previste dal regolamento ed ex post per dimostrare quanto è stato fatto24.
2.1. Il Data Protection Officer
Una novità singolare del GDPR è la previsione del DPO (Data Protection Officer o responsabile della protezione dei dati) il quale dovrà essere nominato dal titolare e dal responsabile del trattamento ed essere messo al corrente di qualsiasi situazione inerente alla protezione dei dati personali. L’articolo 39, comma 1, enumera le funzioni minime che il DPO dovrà svolgere:
- Informare e fornire consulenza al titolare e al responsabile del trattamento nonché a tutti i dipendenti;
- Controllare l’osservanza del GDPR e delle normative nazionali, delle politiche adottate dai titolari e responsabili del trattamento, e provvedere ad un’adeguata formazione e responsabilizzazione del personale;
- Cooperare con le autorità di controllo, facendo da raccordo tra l’organizzazione e le autorità preposte al controllo dei dati personali.
Da premettere che l’articolo sottolinea che il responsabile “è incaricato almeno dei seguenti compiti” individuando uno standard minimo da rispettare, per cui si può immaginare che il DPO potrà porre in essere autonomamente delle misure di sicurezza ulteriori per rafforzare la tutela dei dati personali. Inoltre, il DPO è direttamente responsabile dei rischi derivanti dal trattamento, tenendo conto del contesto e delle finalità prefissate.
Mentre la nomina del titolare e del responsabile del trattamento è obbligatoria, quella del DPO risulta essere tale solo in alcune specifiche situazioni25: quando il trattamento è svolto da un’autorità pubblica o organismo pubblico, ad esclusione delle autorità giurisdizionali nell’esercizio delle loro funzioni; quando la platea di soggetti monitorata è molto vasta e vengono trattati una mole di dati “su larga scala” regolarmente e sistematicamente; quando le attività principali consistono nel trattamento “su larga scala” di categorie particolari di dati personali26 o di dati relativi a condanne penali e ad alcune categorie di reati27.
Possono essere nominati DPO sia soggetti interni alla società, cioè già legati a quest’ultima da un rapporto di lavoro, sia esterni. La differenza sostanziale è che nel caso in cui sia un soggetto interno la nomina deriverà da una delega, mentre nel caso inverso il rapporto si baserà su un contratto di prestazioni di servizi. Si evidenzia che l’ANAC28 ha precisato che l’affidamento esterno del servizio di “Data Protection Officer” si configura come un appalto di servizi e quindi soggiace al Codice dei Contratti Pubblici. Inoltre, si ribadisce nella stessa decisione che non si può non applicare il principio di rotazione degli affidamenti e degli inviti29, concludendo che l’eventuale affidamento o reinvito al contraente uscente ha carattere eccezionale e si richiede un onere motivazionale stringente30.
Il DPO non risponde personalmente in caso di inottemperanza del GDPR, in quanto l’onere di garantire e dimostrare che le attività di trattamento dei dati siano conformi al Regolamento spetta al Titolare e al Responsabile del trattamento, ed opera in completa indipendenza e autonomia poiché non solo non può ricevere alcuna istruzione dal titolare e dal responsabile del trattamento, ma non può nemmeno ricevere alcuna penalizzazione o rimozione dell’incarico.
Alla stregua della disciplina del GDPR, il DPO è sicuramente obbligatorio in ambito sportivo per le Federazioni Sportive Nazionali, ma è necessaria una precisazione. In dottrina è ancora controversa la natura giuridica delle FNS, o meglio vi sono diverse opinioni: alcuni riconoscono la natura pubblicistica delle Federazioni, mentre altri la escludono a priori. Ritengo che non vi sia ormai alcun dubbio sulla natura pubblica delle Federazioni Sportive in quanto spesso operano come organi del CONI (ente pubblico), e quindi si realizza una commistione di elementi pubblicistici e privatistici. Le Sezioni Unite31 hanno precisato che al fine del riconoscimento della natura giuridica pubblica di un ente non è indispensabile che il momento genetico e funzionale coincidano, poiché ricordiamo che le Federazioni nascono come associazioni private che acquisiscono carattere pubblico quando operano come organi del CONI. Pertanto, ritengo che sia innegabile che le Federazioni dovranno nominare un DPO in ottemperanza dell’articolo 37 comma 1, lettera a) in quanto autorità pubbliche. Si ritiene che il DPO non sarà obbligatorio nel caso in cui si aderisca alla tesi che nega la natura pubblica delle Federazioni, invece a mio parere rientrerebbero in ogni caso nella lettera b) in quanto è presente un monitoraggio regolare e sistematico degli interessati su larga scala32, e quindi dovranno nominare un DPO.
In conclusione, le novità della normativa e la lentezza di adeguamento degli organi sportivi hanno fatto si che ancora non si sia creato un orientamento univoco o maggioritario.
2.2. Il GDPR e i nuovi e-Sports
Il 19 ottobre del 1972 fu organizzata presso il Laboratory for Artificial Intelligence dell’Università di Stanford la prima competizione ludica di “sport elettronici”. Sicuramente i fautori di quella manifestazione non avrebbero mai potuto immaginare che circa 40 anni dopo vi sarebbe stata la diffusione massiva dei c.d. e-Sports, che avrebbero creato un indotto di 906 milioni di dollari nel 2018, e la creazione di una vera e propria industria. Quando parliamo di e-Sports facciamo riferimento a competizioni dove i partecipanti si sfidano giocando a videogiochi, dove solo nel 2018 si sono registrati quasi 2 miliardi di dollari, con un pubblico che si aggira sui 150 milioni di persone. Queste competizioni si tengono su piattaforme di gioco virtuali, dove il player può giocare contro il software, oppure gareggiare contro due o più players.
Il primo nodo da sciogliere è se effettivamente questi nuovi sport siano riconosciuti33 come tali, la risposta è affermativa se consideriamo che il CIO e il CONI riconoscono come sport anche attività non contraddistinte dallo sforzo fisico-atletico, come gli scacchi, la dama, il bridge contraddistinte da una componente strategica, oppure attività fondate su capacità di coordinazione mente-corpo come il tiro con l’arco o il tiro al volo. Pertanto, alla stregua di questo atteggiamento fortemente inclusivo delle istituzioni sportive è confermato il riconoscimento degli e-Sports34, quindi non meraviglia che il mondo del diritto si stia iniziando ad interessare alle implicazioni giuridiche che questi nuovi sport possono avere nella nostra società.
La questione è più attuale che mai, considerando che il fenomeno dei giochi elettronici si è amplificato con l’emergenza sanitaria Covid-19 che ha accelerato la diffusione di queste nuove attività, ma soprattutto si sta parlando di un’industria che registra l’investimento di miliardi di dollari e il coinvolgimento di numerosi sponsor.
Le questioni giuridiche sono diverse e piuttosto importanti considerando anche che la maggior parte degli utenti sono soggetti minorenni per la quale la legge appresta sempre una tutela più stringente. Ancor oggi, l’adeguamento normativo non è avvenuto, considerando l’altissima specificità di queste attività sportive, la quale rende impossibili analogie con normative già in vigore nel panorama nazionale35. Pertanto, è chiaro il vuoto normativo per gli e-Sports nella legislazione italiana.
L’aspetto che più interessa la seguente trattazione è come gli e-Sports si siano adeguati al GDPR a partire dal 2016, perché la stessa natura di queste attività pone l’obbligatorietà dell’utilizzo di piattaforme digitali e quindi di strumentazioni che inevitabilmente pongono il problema della tutela del trattamento dei dati personali. Il mondo degli e-Sports non si è posto il problema prima del GDPR, il quale ha rappresentato una sorta di “anno zero” per i player, poiché l’adeguamento alle normative privacy hanno fatto desistere i player medio-piccoli che non potevano adempiere alla normativa europea in esame.
Confermando l’obbligo di adeguare le attività ai principi regolatori del GDPR36, e a tutte le prescrizioni laddove sono previste (pensiamo ai tre casi in cui il DPO è obbligatorio), un ulteriore problema è dato dalla massiva partecipazione di soggetti minorenni per i quali il GDPR impone una maggiore tutela, perché meno consapevoli dei rischi derivanti da una cattiva gestione dei loro dati personali37. Il GDPR con l’articolo 8 da una specifica tutela ai minori nel caso in cui vi sia un’offerta relativa ai servizi della società dell’informazione direttamente al minore, ove l’accettazione è subordinata al necessario consenso esplicito dell’interessato. In questi casi, l’obiettivo è quello di assicurare al minore di sedici anni (o dall’età fissata dalle normative nazionali) una tutela rafforzata, ove non basterà solo il consenso dell’interessato ma anche di chi ne esercita la potestà genitoriale.
I servizi di cui parla l’articolo 8 sono tutti quei servizi prestati “dietro una retribuzione a distanza, per via elettronica, mediante apparecchiature elettronica di elaborazione e di memorizzazione di dati, e a richiesta individuale di un destinatario”38, le quali potrebbero essere, ad esempio, l’iscrizione a pagamento ad un torneo online di un e-Sports, e che quindi sarà necessario il consenso del soggetto avente la patria potestà del minore stesso.
Pertanto salvo diversi limiti di età (comunque non inferiore ad anni 13) rimane il divieto di prestare il consenso autonomamente per minori di 16 anni, e ciò ha creato un ulteriore problema per gli e-Sports che molti hanno risolto rendendo fruibili i loro servizi solo a utenti maggiori di 16 anni, mentre altri hanno elaborato sistemi di consenso espresso, con metodi poco convenzionali, tutelando la libertà di svago dei minori di 16 anni e assicurandosi introiti importanti considerando che i maggiori utenti sono proprio i minorenni.
3. Conclusioni
Senza ombra di dubbio, il legislatore europeo nel 2016 ha sconvolto numerosi settori della nostra vita che inevitabilmente si sono dovuti adeguare a delle normative che prima del GDPR non avevano molto presa sugli operatori dei vari settori coinvolti. Senz’altro il settore sportivo si è trovato investito da un ulteriore obbligo di adeguamento che ha imposto l’investimento in nuove risorse non solo finanziarie, ma anche tecnologiche ed umane. Il GDPR ha portato una visione moderna e contestualizzata del nuovo mondo, quello c.d. digitale che sta conquistando il mondo sportivo giorno dopo giorno, e che come tale ha avuto bisogno di una regolamentazione. Si è certi che questo sia solo un punto di partenza perché l’innovazione tecnologica è incessante e lo sport si sta rendendo uno dei principali autori di questo progresso: pensiamo al settore dei dispositivi indossabili (orologi, bracciali, etc.) o ai nuovi sistemi di controllo biometrici e di riconoscimenti facciali ideati per gli eventi sportivi, che inevitabilmente pongono nuove questioni giuridiche legate soprattutto alla tutela dei dati personali.
Il lockdown che abbiamo vissuto e che stiamo vivendo è la prova più evidente di questo cambiamento, che ci ha portati a spostare la nostra vita sportiva su piattaforme digitali ideando nuove modalità per continuare le nostre attività a distanza. Ma l’utilizzo massivo di queste nuove strumentazioni non è stato supportato da un’adeguata conoscenza e responsabilità in temi come la protezione dei dati. Il Covid-19 sta mettendo a dura prova il settore sportivo testando anche l’efficacia del GDPR, considerando i nuovi obblighi sanitari a cui devono adempiere le società sportive (autocertificazioni, referti medici inerenti ad eventuali contagi da Covid-19, etc.) dove il tema della privacy è assolutamente preponderante considerando le categorie particolari di dati personali trattati39. Infatti, ritengo che in questo periodi di emergenza la nomina del DPO sia necessaria per garantire una corretta gestione dei dati anche per le società sportive che non rientrano nei casi di obbligatorietà previsti dal Regolamento.
Dal punto di vista strettamente giuridico il mondo sportivo non potrà più prescindere dal controllo che le tecnologie utilizzate rispettino la normativa del GDPR, rispettando e collaborando fattivamente con le Autorità di controllo.
1 Conosciuto anche con l’acronimo WWW. Tim Berners-Lee inventa nel CERN di Ginevra il World Wide Web, grazie a tre componenti fondamentali: l’http, la URL e l’HTML. Il primo è un protocollo stateless (senza memoria) utilizzato per ricercare e recuperare le informazioni, effettuando rimandi ipertestuali. Grazie al protocollo stateless è possibile il passaggio da un server all’altro con molta versatilità e celerità. La URL invece è una sequenza di caratteri che identificano univocamente degli indirizzi di risorse su una rete computer (un’immagine, un video, etc.). L’HTML invece è un linguaggio di markup nato per la formattazione e l’impaginazione di documenti o pagine ipertestuali.
2 L’Italia ha reso esecutiva la Convenzione solo nel 2008 con la legge n.48/2008 con la quale si introdussero numerose condotte criminose. Da premettere che il nostro paese non si trovò completamente impreparata, perché già nel 1993 con la legge n. 547/1993, rubricata “Modificazioni ed integrazioni alle norme del codice penale e del codice di procedura penale in tema di criminalità organizzata”, si colmarono alcune lacune del nostro ordinamento introducendo alcuni reati, come: l’art. 615 ter c.p. (accesso abusivo a un sistema informatico), l’art. 615 quater (detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici), art. 640 ter c.p. (frode informatica), etc. Vedi A. C. Amato Mangiameli, G. Saraceni, I reati informatici. Elementi di teoria generale e principali figure criminose, Giappichelli, Torino, 2009
3 Prima del recepimento del GDPR, il d. lgs. N. 196/2003, all’articolo 1, rubricato “Diritto alla protezione dei dati personali”, sanciva che: “Chiunque ha diritto alla protezione dei dati personali che lo riguardano”. Con questa affermazione di portata generale si iniziava a prendere coscienza di un tema che avrebbe senz’altro preso piede all’interno dei diritti fondamentali dell’uomo.
4 D. lgs. N. 196/2003, art. 2, co. 1: “Il presente testo unico, di seguito denominato “codice”, garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali”.
5 Si fa riferimento agli articoli 13, 14, 15 della Costituzione, che fanno riferimento rispettivamente all’inviolabilità della libertà personale, all’inviolabilità del domicilio e alla segretezza delle corrispondenze.
6 CEDU, art. 8: “1) Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza. 2)Non può esservi ingerenza di un’autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui”.
7 M. G. P. Donati, Il diritto al rispetto della vita privata e familiare di cui all’art. 8 della CEDU, nell’interpretazione della Corte Edu: il rilievo del detto principio sul piano del diritto internazionale e su quello del diritto interno, europeanrights.eu
8 Il diritto alla riservatezza è presente anche nella Convenzione sui Diritti dell’Infanzia, precisamente nell’articolo 16: “Nessun fanciullo sarà oggetto di interferenze arbitrarie o illegali nella sua vita privata, nella sua famiglia, nel suo domicilio o nella sua corrispondenza, e neppure di affronti illegali al suo onore e alla sua reputazione. Il fanciullo ha diritto alla protezione della legge contro tali interferenze o tali affronti”.
9 Sent. n. 113161/16: “L’illecito trattamento di dati personali è stato dal Tribunale specificatamente ravvisato non già nel contenuto e nelle originarie modalità di pubblicazione e diffusione… né nella conservazione e archiviazione informatica di esso, ma nel mantenimento del diretto ed agevole accesso a quel risalente servizio giornalistico”
10 Il diritto alla riservatezza risulta limitata qualora ci trovassimo in un caso di un personaggio noto, quindi di comprovata notorietà pubblica. È da precisare che bisogna valutare caso per caso le categorie di soggetti coinvolti, e la Cassazione precisa che ciò sarà possibile solo al verificarsi di tre presupposti: utilità sociale dell’informazione, verità oggettiva (o soltanto putativa), forma civile dell’esposizione ovvero il rispetto di un minimo di dignità nel trattamento delle informazioni. Ad esempio, il Tribunale di Torino con la sentenza n. 940 del 27 febbraio 2019 sottolinea che la divulgazione, senza consenso, dell’immagine di un personaggio noto è lecito solo per esigenze di pubblica informazione e non per finalità commerciali o pubblicitarie.
11 B. Saetta, Diritto alla protezione dei dati personali, protezionedatipersonali.it, 22 luglio 2018
12 Consultabile al seguente link: https://eur-lex.europa.eu/eli/reg/2016/679/oj
13 Si ricorda che la direttiva 95/46/CE ha sortito l’effetto opposto rispetto a quello atteso, poiché la grande discrezionalità data agli Stati Membri ha determinato una disciplina disomogenea tra i vari Paesi. La direttiva viene citata nel Preambolo del Regolamento. La direttiva è consultabile al seguente link: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/432175
14 Punto 6, Preambolo del regolamento n. 679/2016: “La rapidità dell’evoluzione tecnologica e la globalizzazione comportano nuove sfide per la protezione dei dati personali. La portata della condivisione e della raccolta di dati personali è aumentata in modo significativo. La tecnologia attuale consente tanto alle imprese private quanto alle autorità pubbliche di utilizzare dati personali, come mai in precedenza, nello svolgimento delle loro attività. Sempre più spesso, le persone fisiche rendono disponibili al pubblico su scala mondiale informazioni personali che le riguardano. La tecnologia ha trasformato l’economia e le relazioni sociali e dovrebbe facilitare ancora di più la libera circolazione dei dati personali all’interno dell’Unione e il loro trasferimento verso paesi terzi e organizzazioni internazionali, garantendo al tempo stesso un elevato livello di protezione dei dati personali”.
15 La pseudonimizzazione è l’oscuramento o la sostituzione parziale dei dati rilasciati da un soggetto e ha l’obiettivo di impedire l’identificazione di quest’ultimo. Vedi M. Iaselli, Pseudonimizzazione, Altalex.it, 21/06/18, ISSN 1720-7886
16 Art. 5, GDPR: I dati personali trattati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“esattezza”)”.
17 Art. 25, co. 2, GDPR: “Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l’intervento della persona fisica”.
18 Garante della Privacy, Linee guida in materi di notifica delle violazioni di dati personali (data breach notification) – WP250, definite in base alle previsioni del Regolamento (UE) 2016/679, adottate dal Gruppo di lavoro art. 29 il 3 ottobre 2017, versione emendata e adottata il 6 febbraio 2018. Alcuni esempi pratici sono: il furto o la perdita di dispositivi informatici contenente dati personali, la deliberata alterazione di dati personali, l’impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, etc.
19 Art. 17, co. 1, GDPR: “L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti: a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento; c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2; d) i dati personali sono stati trattati illecitamente; e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento; REGOLAMENTO GENERALE SULLA PROTEZIONE DEI DATI Garante per la protezione dei dati personali f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1”.
20 Si da per certo che anche gli Enti di Promozione Sportiva, come ad esempio il CSI, e le associazioni amatoriali affiliate a Enti di Promozione Sportiva possano rientrare nei possibili destinatari di tali norme. Vedi F. De Stefani, A. Ortenzi, Sport e GDPR online e offline, ed. Hoepli, Milano, 2020
21 Art. 13, co. 1, GDPR: “In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni: a) l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante; b) i dati di contatto del responsabile della protezione dei dati, ove applicabile; c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento; d) qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi; e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali; f) ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all’articolo 46 o 47, o all’articolo 49, paragrafo 1, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali garanzie o il luogo dove sono state rese disponibili”.
22 B. Saetta, Portabilità dei dati, in protezionedatipersonali.it, 19 giugno 2018
23 Art. 22, co.1, GDPR: “L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona”.
24 F. De Stefani, A. Ortenzi, Sport e GDPR online e offline, ed. Hoepli, Milano, 2020
25 Art. 37, co. 1, GDPR
26 Art. 9, co. 1, GDPR: “È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati REGOLAMENTO GENERALE SULLA PROTEZIONE DEI DATI Garante per la protezione dei dati personali biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona”.
27 Art. 10, GDPR: “Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell’articolo 6, paragrafo 1, deve avvenire soltanto sotto il controllo dell’autorità pubblica o se il trattamento è autorizzato dal diritto dell’Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati. Un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell’autorità pubblica”.
28 Autorità Nazionale Anticorruzione
29 Il principio di rotazione si applica agli affidamenti di importo inferiore alla soglia comunitaria ed è contenuto nell’articolo 36 de d.lgs. N. 50/2016 (c.d. Codice dei Contratti Pubblici). Questo principio trova però una definizione più esaustiva nelle Linee Guida n. 4 dell’ANAC: “l principio di rotazione degli inviti e degli affidamenti si applichi alle procedure rientranti nel medesimo settore merceologico o categorie di opere o settore di servizi di quelle precedentemente indette/affidate, per un periodo di tre anni solari (…) Gli obiettivi principali di questo principio sono: garantire alternanza e fluidità tra gli operatori economici ed evitare la creazione di situazione di privilegio, mediante il consolidamento di “rendite di posizione”, derivanti dall’affidamento ripetuto di un certo servizio o prestazione al medesimo operatore economico”. Vedi Il principio di rotazione: previsione normativa e applicazione, pamercato.it, 2020
30 ANAC, delibera n. 421/2020
31 Cass. SS. UU., 12 luglio 1995, n. 7640; Cass. SS. UU., 9 luglio 1999, n. 390
32 Molto spesso anche attraverso tramite sistemi di profilazione
33 Se leggiamo l’articolo 2 della Carta Europea dello Sport ci accorgeremo che la definizione di sport è particolarmente inclusiva in modo da comprendere una vasta eterogeneità di attività sportive: “Si intende per “sport” qualsiasi forma di attività fisica che, attraverso una partecipazione organizzata o non, abbia per obiettivo l’espressione o il miglioramento della condizione fisica e psichica, lo sviluppo delle relazioni sociali o l’ottenimento di risultati in competizioni di tutti i livelli”. La Carta Europea dello Sport è consultabile al seguente link: https://www.coni.it/images/documenti/Carta_europea_dello_Sport.pdf
34 Il CIO in un comunicato del 28 ottobre 2017 ha confermato il riconoscimento degli e-Sports come attività sportiva al pari di quelle tradizionalmente riconosciute: “Competitive “eSports” could be considered as a sporting activity, and the players involved prepare and train with an intensity which may be comparable to athletes in traditional sports”. Il comunicato è consultabile al seguente link: https://www.olympic.org/news/communique-of-the-olympic-summit
35 Si è pensato addirittura di poter far confluire la disciplina normativa degli e-Sports, con insuccesso, nella legge che disciplinano il gioco d’azzardo o gambling (il decreto direttoriale del 20.11.2011 dell’ADM https://www1.adm.gov.it/files_monopoli/GIOCHI/GIOCHI-DI-ABILITA/NORMATIVA/20110110_Decreto_Direttoriale_2011_666_Giochi_GAD-04-02-11.pdf )
36 Vedi par. 1.1 e par. 2
37 Preambolo, punto 38, GDPR: “I minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali. Tale specifica protezione dovrebbe, in particolare, riguardare l’utilizzo dei dati personali dei minori a fini di marketing o di creazione di profili di personalità o di utente e la raccolta di dati personali relativi ai minori all’atto dell’utilizzo di servizi forniti direttamente a un minore. Il consenso del titolare della responsabilità genitoriale non dovrebbe essere necessario nel quadro dei servizi di prevenzione o di consulenza forniti direttamente a un minore”.
38 Art. 2, punto 2, Direttiva 98/34/CE consultabile al seguente link: https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CONSLEG:1998L0034:19980810:IT:PDF
39 Art. 9, co. 1, GDPR: “È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.
