GDPR, ecco il primo vademecum per legali basato sulla case law europea

In questo tumultuoso evolversi della tecnologia e con essa delle questioni giuridiche che nascono dalla vita 4.0, ogni tanto sentiamo il bisogno di fermarci e fare il punto su quanto è accaduto o sta accadendo. Non lo sentite anche voi?
 Non è sempre facile, però, trovare dei novelli Virgilio che sappiano accompagnarci nell’analisi delle questioni, nel trovare le risposte utili e anche pratiche ai tanti dubbi, forniscano  coordinate, illuminino zone in penombra. E, in definitiva, contribuiscano ad avere un quadro, se non chiaro, almeno sistematizzato allo “stato dell’arte”.
Per questo consiglio ai giuristi la lettura del Manuale di Diritto europeo sulla Protezione dei dati personali, predisposto dall’Agenzia della Commissione europea per la tutela dei diritti fondamentali e di recente aggiornato e oggetto di questo approfondimento per highlights di Teresa Pittelli.
L’analisi delle norme per problemi e la illustrazione dei case law affrontati fino a questo momento da Corte di Giustizia dell’Unione europea e dalla Corte europea dei diritti dell’Uomo consentiranno di tenersi al passo e approfondire i temi della data protection in ogni sua sua “possibile declinazione.
Ottima anche la lettura del capitolo sulle “Sfide moderne nella protezione dei dati personali” dedicato a megadati, Intelligenza artificiale e algoritmi”. Ci serve a ricordare che il GDPR non permette le decisioni basate unicamente su procedure automatizzate che producano effetti giuridici; che possiamo chiedere conto della logica utilizzata, che possiamo opporci, ma che i nostri diritti incontrano un limite quando l’utilizzo di big data e algoritmi nel trattamento dei nostri dati risulta particolarmente complesso e la “disclosure” da parte del titolare del trattamento implichi uno “sforzo sproporzionato”…c’è materia per giuristi.
Buona lettura! ClaMor

I dati finanziari non sono considerati sensibili ma il loro trattamento e trasferimento necessita di precise garanzie, sia nell’ambito della corrispondenza con il proprio legale (legal privilege) che nell’ambito di inchieste giudiziarie; no alla conservazione illimitata nel tempo di dati biometrici e profilazioni del DNA degli imputati, se poi questi vengono assolti, perché ne risulterebbe violata la loro sfera privata. Sarà Facebook a rispondere di eventuali violazioni del diritto alla riservatezza dei dati personali da parte di utenti esenti dalla normativa europea sulla protezione dei dati, perché il social network è il titolare del trattamento ai sensi di quella stessa normativa.

Sommario
Il vademecum della Agenzia dell’Unione europea per i diritti fondamentali
Nuove norme e case law in data protection
Data protection al tempo di social e search
Data protection e dati finanziari
Data protection e sicurezza 

Ecco alcune delle questioni più suggestive in materia di protezione dei dati affrontate e risolte negli ultimi anni dai giudici sovra-nazionali (Corte europea dei diritti umani e Corte di Giustizia europea), in virtù di una normativa in evoluzione e sempre più stringente.

Il vademecum della Agenzia dell’Unione europea per i diritti fondamentali

Difendere il diritto alla protezione dei dati personali comporta nuove e significative sfide di pari passo con i progressi tecnologici che espandono le frontiere di aree come la sorveglianza, le intercettazioni nelle comunicazioni, il trattamento e la conservazione dei dati. Ecco quindi che appare necessaria, quando non indispensabile, una guida per i legali che si confrontano sempre di più con questo settore emergente del diritto. A rispondere a questa esigenza ci ha pensato l’Agenzia dell’Unione Europea per i diritti fondamentali (Fra), che ha da poco diffuso l’aggiornamento al manuale sul diritto europeo in materia di protezione dei dati. Una guida rivolta in particolare ai professionisti del settore legale non specializzati, avvocati, giudici o operatori del diritto, che si trovano spesso a gestire questioni relative alla protezione dei dati nello svolgimento dei loro compiti.

Nuove norme e case law in data protection

La guida dell’Agenzia europea offre una panoramica del quadro giuridico entro il quale muoversi, delineato sia dalla Ue che dal Coe, con i rispettivi ambiti di applicazione (i 28 paesi dell’Unione nel primo caso, i 47 stati membri del Consiglio nel secondo caso, ndr). E offre anche una prima rassegna di casi giurisprudenziali significativi, riassumendo i maggiori orientamenti della Corte di Giustizia Europea e della Corte Europea dei diritti dell’uomo. Il vademecum presenta poi esempi pratici connessi a scenari ipotetici, in modo da aiutare avvocati e giuristi a districarsi tra le tante e diverse questioni emergenti in questo campo in costante evoluzione, anche in assenza di giurisprudenza specifica. Sia la normativa che la giurisprudenza sono distinte per sezioni a seconda che provengano dall’ambito Ue o dal Coe per agevolare l’avvocato nel reperire informazioni sul proprio caso particolare.

Ovviamente i professionisti Ue devono consultare entrambe le sezioni, in quanto vincolati a entrambi gli ordinamenti giuridici. Da notare che le riforme e la modernizzazione delle norme di protezione dei dati in Europa, intraprese nel quadro sia del Consiglio d’Europa (Convenzione n. 108 modernizzata come emendato dal Protocollo CETS n. 223, adottato dal Comitato dei Ministri del Consiglio d’Europa il 18 aprile 2018) sia dell’UE (Regolamento generale sulla protezione dei dati e direttiva 2016/680/UE), sono state effettuate in parallelo. I legislatori di entrambi gli ordinamenti giuridici hanno posto molta attenzione nell’assicurare la coerenza e la compatibilità tra i due quadri normativi, che grazie all’handbook si possono ora cogliere con precisione.

DIRITTO EUROPEO IN MATERIA DI DATA PROTECTION

> Ai sensi dell’articolo 8 della CEDU, il diritto alla protezione per quanto riguarda il trattamento dei dati personali è parte del diritto al rispetto della vita privata e familiare, del domicilio e della corrispondenza.

> La Convenzione n. 108 del CdE è il primo, e ad oggi l’unico, strumento internazionale giuridicamente vincolante che tratta della protezione dei dati. La Convenzione è stata oggetto di un processo di modernizzazione, completato con l’adozione del Protocollo di modifica il 18 aprile 2018.

> Il diritto dell’UE ha riconosciuto la protezione dei dati come un diritto fondamentale distinto. Ciò è sancito dall’articolo 16 del trattato sul funzionamento dell’Unione europea nonché dall’articolo 8 della Carta dei diritti fondamentali dell’UE.

> Il diritto dell’UE ha disciplinato per la prima volta la protezione dei dati attraverso la direttiva sulla tutela dei dati nel 1995.

> Alla luce dei rapidi sviluppi tecnologici, nel 2016 l’UE ha adottato una nuova legislazione per adeguare le norme in materia di protezione dei dati all’era digitale. Il regolamento generale sulla protezione dei dati è diventato applicabile nel maggio 2018, abrogando la direttiva sulla tutela dei dati.

> Contestualmente al regolamento generale sulla protezione dei dati, l’UE ha adottato una legislazione sul trattamento dei dati personali da parte delle autorità statali a fini di contrasto alla criminalità. La direttiva (UE) 2017/680 stabilisce norme e principi in materia di protezione dei dati che disciplinano il trattamento dei dati personali a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali.

Data protection al tempo di social e search

I temi affrontati dalla giurisprudenza, così come gli scenari aperti in base alla normativa in vigore e a quella in itinere a Bruxelles (si veda il regolamento e-privacy sulle comunicazioni elettroniche), sono molto vasti. Tra questi balza agli occhi la protezione dei dati personali all’interno dei social network e dei motori di ricerca, anche con riguardo alla profilazione dei megadati a scopo pubblicitario, nella quale punto fermo appare la responsabilità del fornitore dei servizi in quanto titolare del trattamento dei dati ai sensi della normativa europea (CGEU C-131/12, Google Spain contro Agencia Espanola de proteccion de datos).

Data protection e dati finanziari

Un argomento trattato con sempre maggiore frequenza è poi la gestione dei dati finanziari nei pagamenti on line o nelle inchieste giudiziarie, sia nazionali che internazionali; in questo contesto i giudici riconoscono ampia portata al legal privilege, vale a dire alla riservatezza della comunicazione tra il cliente e il proprio legale, salvo i casi tassativi stabiliti dalla legge a garanzia dell’ordine pubblico. Una persona non coinvolta in un’indagine giudiziaria, inoltre, ha diritto alla tutela rispetto a operazioni di sequestro e trattamento della documentazione elettronica contenente i propri dati finanziari, anche se in generale questi ultimi non sono considerati dati sensibili (Cedu 28005/12, M.N. contro S. Marino).

Data protection e sicurezza

Altra questione assai delicata, all’attenzione del legislatore europeo e delle Corti, è la cooperazione transfrontaliera per prevenire gravi reati, ad esempio in ambito Europol, Eurojust e Procura europea, sempre più intensa dopo la creazione dell’area Schengen di libera circolazione delle persone. Il limite della sicurezza nazionale in questo contesto segna ancora uno spartiacque tra tutela della privacy e conservazione dei dati nei sistemi di informazione relativi ai rifiuti di ingresso e soggiorno di cittadini extracomunitari (Cedu /07, Dalea contro Franciacooperazione giudiziaria in ambito penale e rimpatri di cittadini di paesi terzi con soggiorno irregolare, mirate a stabilire  salvaguardie aggiuntive per limitare la raccolta e il successivo trattamento dei dati a quanto strettamente indispensabile dal punto di vista operativo, come contrappeso alle tecniche sempre più raffinate di rilevazione dei dati biometrici necessari all’identificazione. Una questione che resta ancora aperta, dunque, così come molte altre. In proposito ricorre speso nella giurisprudenza il concetto di “approdo sicuro” dei dati in presenza di trasferimenti massicci verso paesi non soggetti alla legislazione Ue o Coe, come gli Stati Uniti. Un esempio? Una società di global service che si occupi di prenotazioni aeree e alberghiere, e trasferisca a questo scopo dati personali di cittadini europei verso il proprio server americano e da qui in tutto il mondo, non soddisfa i parametri del Gdpr europeo.

Come si evince da questo breve e limitatissimo elenco, la lista di key issue con le quali fare i conti ormai a tutti i livelli da parte di uno studio legale, quando si parla di protezione dei dati, è davvero ampia. Conviene quindi cominciare ad attrezzarsi conoscendo almeno i fondamentali legislativi, e la loro applicazione, illustrati nel vademecum dell’Agenzia viennese.