Il Garante: “privacy non prerogativa per ricchi, ma presidio di democrazia”
Intervista a Pasquale Stanzione, Presidente del Garante per la protezione dei dati personali

(Di Egidio Lorito, Panorama, 18 settembre 2020)

La privacy permea la vita quotidiana di tutti, non solo delle persone note al pubblico o di quelle comuni, quanto soprattutto persone meno protette, cui dedicheremo massima attenzione”. Il neo Garante per la protezione dei dati personali, Pasquale Stanzione, uno dei massimi studiosi italiani di diritto privato, è chiamato a entrare nel merito di delicate questioni che spaziano dalla riservatezza sui dati personali e sensibili, alla libertà dell’informazione e della comunicazione. Senza dimenticare l’accesso all’universo telematico e il riconoscimento dei nuovissimi diritti che vengono a situarsi sul crinale complesso e spesso inquietante del tema a tutti più caro: quello della libertà. Professore emerito di Istituzioni di diritto privato all’Università degli Studi di Salerno, ha iniziato giovanissimo la carriera universitaria a Camerino, arricchendo il suo percorso con numerose esperienze a Parigi, Barcellona, Madrid, New York e in Germania. Oggi è professore straordinario di Diritto privato presso la Link Campus University di Roma. Panorama.it lo ha incontrato, toccando con mano i prossimi scenari della disciplina.

Professor Stanzione, è stato nominato garante della privacy: presiederà il Collegio chiamato a occuparsi di temi fondamentali per la vita di tutti i cittadini.
“L’Autorità è un’istituzione sempre più centrale nella società: spazio di garanzia di un irrinunciabile diritto fondamentale ma, allo stesso tempo, presidio di democrazia e di un governo sostenibile del digitale”.

Storicizziamo partendo proprio dalle radici: quando inizia la lunga vicenda della privacy come diritto contemporaneo?
“Questa straordinaria “costellazione di diritti” ha molte radici: il “right tobe let alone” dei giuristi statunitensi Samuel Warren e Louis Brandeis del 1890, la “constitutional privacy” delle pronunce americane degli anni Sessanta, quale libertà su essenziali scelte esistenziali, l’autodeterminazione informativa della sentenza costituzionale tedesca del 1983, la”protezione dati” vera e propria, nella sua evoluzione, dalla Convenzione 108/1981 del Consiglio d’Europa, alla direttiva 95/46, fino al Garante della protezione dei dati personali”.

Viste le origini, non le sembra che questo diritto sia stato, più che altro, appannaggio esclusivo della borghesia?
“No. L’emancipazione della privacy dalla dimensione originaria, in favore del “codice dell’eguaglianza”, avviene in Italia sin dagli anni Settanta, con le garanzie sancite dallo Statuto a tutela della libertà dei lavoratori “.

A proposito, la privacy, come nuovo diritto, giunge nel nostro Paese nel 1970…
“Giunge appunto con lo Statuto dei lavoratori, con una priorità che non è solo cronologica ma anche valoriale: l’immunità da ingerenze esterne, tradizionale presidio delle persone note, si afferma da noi come garanzia di libertà, eguaglianza, pari dignità sociale dei lavoratori, parti deboli di un rapporto strutturalmente asimmetrico”.

Utilizziamo le classiche categorie storico-politiche: la privacy vista da “destra” e da “sinistra”.
“Credo che le declinazioni più o meno politiche (o politiciste) debbano cedere il passo alla constatazione della straordinaria poliedricità di questo diritto, capace di coniugare libertà, eguaglianza, dignità. Ciascuno potrà, poi, secondo le proprie sensibilità, mettere l’accento più su uno o sull’altro aspetto, la cui sinergia determina l’innovatività di un diritto “inquieto””.

Al di là del dato prettamente giuridico, la gente comune come continua a vedere la privacy nella vita quotidiana?
“La privacy permea, come un’esigenza fortissima, la vita quotidiana di tutti: dalla difesa rispetto all’aggressività del mercato espressa dal telemarketing selvaggio alla protezione dei riders dal caporalato digitale; dalla tutela dei ragazzi dal cyberbullismo al diritto all’oblio”.

L’opinione pubblica ha spesso l’impressione che la tutela della privacy riguardi, sostanzialmente, la gente ricca e famosa…
“Impressione più che legittima, considerata anche l’immagine pubblica certamente più forte di una certa fascia sociale della popolazione, quella ricca e famosa cui si accenna. Il nuovo Garante ha intenzione di promuovere una vera “cultura della privacy”, a livello popolare, diretta a far comprendere il concetto, l’idea, la filosofia sottesa alla disciplina, soprattutto nei confronti delle categorie meno protette, minori, anziani, disagiati…”

Cioè, il Garante come pedagogista della privacy?
“In un certo senso! È questa la linea evolutiva che vorremmo imprimere, in considerazione del fatto che sia in corso un vero e proprio processo di reificazione del dato personale, un’allarmante monetizzazione della persona e della sua dignità, un’obsoleta mercificazione dei dati sensibili. Occorre invertire la rotta verso una visione, appunto, “personalistica” del concetto di cui stiamo discutendo. La “pedagogia della privacy” sarà indispensabile”.

E nella pratica?
“In caso di necessità, il cittadino potrà rivolgersi al Garante attraverso la procedura dell’accesso civico generalizzato: recepita una problematica, il Garante aprirà un’istruttoria che vaglierà tutte le situazioni in cui il suo “profilo sensibile” possa essere effettivamente stato violato, e se del caso, si procederà anche con l’irrogazione di sanzioni. Facendo cessare l’abuso denunciato, ovviamente”.

Oggi può valere la definizione di privacy come “diritto alla protezione dei dati personali”?
“Delle varie “anime” della privacy, quella espressa dal diritto alla protezione dati è senz’altro la più rilevante, in quanto capace di garantire un governo antropocentrico della tecnica, cui offrire un orizzonte di senso, non certo soggiacere”.

Da una ventina d’anni abbiamo a che fare con Internet…
“Internet ha rappresentato una delle più significative rivoluzioni dell’antropologia umana, annullando – come poi la pandemia avrebbe dimostrato plasticamente – le distanze fisiche, i limiti spazio-temporali e scardinando così le coordinate tradizionali entro cui si sviluppavano l’uomo e, con essa, la società”.

Il tema della privacy si lega indissolubilmente a quello dell’informazione e della comunicazione.
“La privacy, come rispetto della persona e della sua dignità, è la condizione necessaria di un’informazione che, per essere veramente indipendente e libera, deve essere anche responsabile e, come tale, attenta al valore della persona”.

La storia recente ci ha messo di fronte a eventi centrali della nostra vita quotidiana: la pandemia da Covid-19 non è che l’ultimo esempio…
“La pandemia ci ha dimostrato, ancora una volta, l’ambivalenza della tecnica: straordinaria risorsa capace di impedire che il distanziamento “fisico”divenisse “sociale”, ma anche fonte di rischi individuali e collettivi se non ben governata”.

Non le pare che si stia virando su un concetto di “privacy collettiva”?
“Le tecniche di profilazione si sono talmente affinate da prescindere, in molti casi, dall’identificazione del singolo, per costruire cluster, gruppi di “soggetti digitali” accomunati da determinate caratteristiche, non di rado appartenenti alle minoranze più fragili. La “group privacy”, in questo senso, rappresenta un potente strumento di contrasto delle discriminazioni, vecchie e nuove”.

Ha parlato di minori, disabili, anziani come obiettivi primari del Garante?
“La tutela accordata dal Garante è “universalistica”, ma non certo indifferente alle esigenze di protezione rafforzata dei gruppi soggettivi maggiormente vulnerabili ed esposti ai rischi della combinazione di tecnica, potere, intolleranza. È il personalismo cui accennavo”.

Stiamo vivendo, in presa diretta, una terribile emergenza sanitaria: il Garante come affronterà il rapporto tra protezione dei dati e tutela della salute pubblica?
“La pandemia ha, tra l’altro, dimostrato la funzione sociale della protezione dati: diritto non tiranno perché duttile e capace di inattese sinergie anche con interessi collettivi primari, quali appunto la salute pubblica”.

In merito alla recente vicenda del “Bonus-Covid”, il Garante ha appena aperto un’istruttoria riferita alla metodologia seguita dall’Inps rispetto al trattamento dei dati dei beneficiari e alle notizie al riguardo diffuse…
“L’istruttoria – di una qualche complessità – è tuttora in corso: ne riferirò, tra l’altro, al Parlamento in sede di audizione dinanzi alla Commissione lavoro della Camera dei deputati”.

Il primo Garante, l’indimenticato Stefano Rodotà – un civilista – definì la privacy come “il diritto di mantenere il controllo sulle proprie informazioni (…) come una dimensione della libertà esistenziale, costitutiva non solo della sfera privata, ma pure di quella pubblica”. E per il privatista Stanzione?
“La privacy, oggi, è il diritto di costruire liberamente la propria persona, di scrivere la propria biografia, ma è anche il presupposto necessario della democrazia in una società sempre più “datificata””.

Una domanda tipicamente giornalistica: come fa Pasquale Stanzione a difendere la sua privacy?
“Coniugando fiducia, attenzione e responsabilità: prestando il mio consenso in maniera consapevole, non disperdendo in maniera irriflessa i miei dati in rete, ma anche credendo nelle potenzialità di una tecnica sapientemente guidata dal pensiero democratico”.

Ci lasci una riflessione riassuntiva…
“Sono all’inizio di un percorso in cui il Garante si misurerà con un orizzonte amplissimo: dall’intelligenza artificiale ai “neurodiritti”, dalla gig economy (modello economico basato sul lavoro a chiamata, occasionale e temporaneo e non su prestazioni stabili econtinuative, nda) all’e-government. Affronteremo queste sfide con sguardo presbite ma contando su radici solide, per garantire che il progresso non smarrisca il suo senso più profondo: la tutela della persona e della sua dignità”

Fonte: Garante Privacy

• Comitato europeo per la protezione dei dati – Trentasettesima sessione plenaria: Linee-guida su titolare e responsabile del trattamento

• Linee-guida sul targeting  degli utenti dei social media; task force sui reclami presentati a seguito della sentenza Schrems II della CGUE

• Task force incaricata di fornire raccomandazioni su misure supplementari che gli esportatori  e gli importatori di dati possono essere tenuti ad adottare per garantire un’adeguata protezione in caso di trasferimento dei dati, alla luce della sentenza Schrems II della CGUE

Bruxelles, 3 settembre – Il comitato ha adottato linee-guida sui concetti di titolare del trattamento e responsabile del trattamento nel regolamento generale sulla protezione dei dati (RGPD) e linee-guida sul targeting degli utenti dei social media. Inoltre, il comitato ha creato una task force che si occuperà dei reclami pervenuti a seguito della sentenza Schrems II della CGUE, oltre a una task force dedicata alle misure supplementari che gli esportatori e gli importatori di dati possono essere tenuti ad adottare per garantire una protezione adeguata in caso di trasferimento dei dati, alla luce della sentenza Schrems II della CGUE.

Il comitato ha adottato Linee-guida sui concetti di titolare del trattamento e responsabile del trattamento nel RGPD. Dopo l’entrata in vigore del RGPD sono stati sollevati vari interrogativi in merito agli effetti del RGPD stesso su tali concetti, in particolare per quanto riguarda la nozione di contitolarità del trattamento (di cui all’articolo 26 del RGPD, anche alla luce di alcune sentenze della CGUE), nonché gli obblighi dei responsabili del trattamento (fissati, in particolare, all’articolo 28 del RGPD) di cui al capo IV del RGPD.

Nel marzo 2019 il comitato, insieme al suo segretariato, ha organizzato un evento pubblico con le parti interessate che ha segnalato chiaramente la necessità di orientamenti più pratici e ha consentito al comitato di comprendere meglio le esigenze e le preoccupazioni in tale ambito. Le nuove linee-guida si articolano in due sezioni principali: una prima sezione in cui sono illustrati i singoli concetti, e una seconda sezione contenente orientamenti dettagliati sulle principali conseguenze che ne derivano per i titolari e i responsabili del trattamento nonché per i contitolari del trattamento. Un diagramma di flusso fornisce ulteriori orientamenti pratici. Le linee-guida saranno oggetto di una consultazione pubblica.

Il comitato ha adottato Linee-guida sul targeting degli utenti dei social media. Le linee-guida mirano a fornire orientamenti pratici alle parti interessate e presentano esempi di situazioni diverse così da consentire di individuare rapidamente lo “scenario” più vicino all’attività di targeting che i singoli soggetti intendono mettere in pratica. L’obiettivo principale delle linee-guida è chiarire ruoli e  responsabilità del fornitore di social media e della persona interessata. A tal fine, vengono delineati, tra l’altro, i potenziali rischi per le libertà individuali, i principali attori e i rispettivi ruoli, l’applicazione dei requisiti fondamentali in materia di protezione dei dati, quali la liceità e la trasparenza dei trattamenti e la valutazione d’impatto sulla protezione dei dati, nonché gli elementi chiave degli accordi che disciplinano i rapporti tra i fornitori di social media e gli interessati. Inoltre, le linee-guida si concentrano sui diversi meccanismi di targeting, sul trattamento di categorie particolari di dati e sull’obbligo per i contitolari del trattamento di prevedere un accordo adeguato a norma dell’articolo 26 del RGPD. Le linee-guida saranno oggetto di una consultazione pubblica.

Il comitato ha creato una task force incaricata di esaminare i reclami presentati a seguito della sentenza Schrems II della CGUE. Sono stati presentati complessivamente 101 reclami identici alle autorità per la protezione dei dati del SEE nei confronti di diversi titolari del trattamento negli Stati membri del SEE, in merito al loro utilizzo di servizi di Google/Facebook che comportano il trasferimento di dati personali. In particolare, i reclamanti, rappresentati dall’ONG NOYB, sostengono che Google/Facebook trasferiscano dati personali negli Stati Uniti basandosi sullo scudo UE-USA per la privacy (Privacy Shield) o sulle clausole contrattuali tipo e che, alla luce della recente sentenza della CGUE nella causa C-311/18, il titolare del trattamento non sia in grado di garantire un’adeguata protezione dei dati personali dei reclamanti. La task force analizzerà la questione e garantirà una stretta cooperazione tra i membri del comitato.

A seguito della sentenza Schrems II della CGUE, e in aggiunta alle FAQ adottate il 23 luglio, il comitato ha creato una task force specifica con il compito di elaborare raccomandazioni per titolari e responsabili del trattamento nell’individuazione e nell’attuazione di adeguate misure supplementari finalizzate a garantire un’adeguata protezione in caso di trasferimento di dati verso paesi terzi.

Andrea Jelinek, la presidente del comitato europeo per la protezione dei dati, ha dichiarato: “Il comitato è ben consapevole del fatto che la sentenza Schrems II attribuisce ai titolari del trattamento una responsabilità importante. Oltre alla dichiarazione e alle FAQ pubblicate subito dopo la sentenza, elaboreremo raccomandazioni per supportare titolari e responsabili del trattamento nella necessaria individuazione e attuazione di adeguate misure supplementari di natura giuridica, tecnica e organizzativa al fine di soddisfare il requisito di « equivalenza sostanziale » nel trasferimento di dati personali verso paesi terzi. Tuttavia, la sentenza ha implicazioni di ampia portata e i contesti dei trasferimenti di dati verso paesi terzi sono molto diversi. Pertanto, non si può pensare a una soluzione unica e di immediata applicazione. Ciascun titolare o responsabile dovrà valutare i trattamenti svolti e i relativi trasferimenti, adottando le misure opportune.”

Nota editoriale: si osservi che tutti i documenti adottati durante la plenaria del comitato sono soggetti ai necessari controlli giuridici, linguistici e di formattazione e saranno messi a disposizione sul sito web del comitato una volta completati tali controlli.

Comunicato stampa EDPB_2020_14

Fonte:  Garante Privacy

16 Luglio 2020

Con la sentenza nella causa C-311/18 del 16 luglio 2020, la Corte di Giustizia dell’Unione europea ha invalidato il “Privacy Shield”, ovvero l’accordo largamente difuso con cui grandi organizzazioni e multinazionali potevano fino ad ora legittimare il trasferimento di dati personali tra Europa e Stati Uniti.

Secondo i giudici della Corte, il Privacy Shield non fornisce ai cittadini europei sufficienti garanzie contro le leggi statunitensi in materia di sorveglianza e sicurezza della privacy, e perciò ai sensi del Gdpr il trasferimento di dati dall’Ue verso un Paese terzo può avvenire, in linea di principio, “solo se tale Paese terzo garantisce un adeguato livello di protezione”.

Se l’annullamento del Privacy Shield rappresenta una vittoria per gli attivisti della privacy che da tempo accusavano gli Stati Uniti per le pratiche invasive e di sorveglianza inammissibili sui cittadini europei, la decisione dei giudici adesso creerà notevoli problemi alle multinazionali americane e europee che fanno business proprio sul trasferimento e l’utilizzo di dati personali. Società come Facebook, Apple, Google, ed Amazon, dovranno quindi ripensare le loro strategie industriali per adeguarsi alla decisione della Corte dell’Unione Europea.

Clicca qui per leggere la sentenza nella causa C-311/18 del 16 luglio 2020!

Fonte: Federprivacy

15 Luglio 2020

Il Senato ha eletto i componenti delle Autorità. Come ha riferito il presidente Casellati, per il collegio del Garante per la protezione dei dati personali (Privacy) si sono espressi 272 senatori e gli eletti sono Agostino Ghiglia con 123 voti e Pasquale Stanzione con 121. Riguardo all’Autorità per le garanzie nelle comunicazioni (Agcom), i senatori votanti sono stati 272 e gli eletti sono Laura Aria con 123 voti e Elisa Giomi con 110 voti.

Fonte: TGCOM24

Seminario Formativo Gratuito Online

Venerdì  17 Giugno 2020 – ore 09.00/11.00

ISCRIZIONE OBBLIGATORIA TRAMITE IL SEGUENTE LINK:
https://attendee.gotowebinar.com/register/4898981118144658191?source=Web

Clicca qui per visualizzare il programma!

Di fronte alle prese di posizione di rappresentanti politici e organizzazioni sindacali riguardo al recente parere adottato dal Garante per la privacy sulla fatturazione elettronica, l’Autorità ritiene doveroso precisare quanto segue.

Il parere del Garante non riguarda l’istituto della fattura elettronica – su cui l’Autorità si è, a suo tempo, e più di una volta espressa favorevolmente – ma le innovazioni con le quali il legislatore – e, conseguentemente, l’Agenzia delle entrate – ha esteso l’utilizzo, a fini di controllo, di ulteriori dati ricavati dalle fatture elettroniche, non fiscalmente rilevanti.

Con lo schema di provvedimento del Direttore dell’Agenzia delle Entrate si è infatti disposto, tra l’altro, l’utilizzo, a fini fiscali, dei c.d. “dati fattura integrati”, comprensivi di dati di dettaglio inerenti anche l’oggetto della prestazione del bene o del servizio. Molti di questi dati – quali ad esempio quelli contenuti negli allegati delle fatture – non rilevano a fini fiscali e possono invece rivelare dati di natura sanitaria o la sottoposizione dell’interessato a procedimenti penali, come nel caso di fatture per prestazioni in ambito forense o ancora specifiche informazioni su merci o servizi acquistati. La memorizzazione, a prescindere dall’eventuale utilizzo, delle fatture nella loro integralità comporta dunque l’acquisizione massiva di una mole rilevantissima dei dati contenuti nei circa 2 miliardi di fatture emesse annualmente, inerenti tra l’altro i rapporti fra cedente, cessionario ed eventuali terzi, fidelizzazioni, abitudini e tipologie di consumo, regolarità dei pagamenti, appartenenza dell’utente a particolari categorie.

Tale estensione del novero dei dati trattati dall’amministrazione fiscale contrasta con il principio di proporzionalità su ci si basano l’ordinamento interno ed  europeo, ingolfa le banche dati dell’Agenzia delle Entrate rendendole più vulnerabili, perché estese e interconnesse in misura tale da divenire assai più difficilmente presidiabili, e configura un sistema di controllo irragionevolmente pervasivo della vita privata di tutti i contribuenti, senza peraltro migliorare il doveroso contrasto dell’evasione fiscale.

E’ questo l’elemento di maggiore criticità delle recenti innovazioni normative, su cui il Garante ha chiesto un supplemento di riflessione sin dall’esame parlamentare del decreto fiscale: non è ammissibile, perché sproporzionata, l’estensione a dati rilevantissimi per la vita privata dei contribuenti, ma fiscalmente irrilevanti e, come tali, incapaci di apportare alcun minimo miglioramento all’azione di contrasto dell’evasione. Essa va resa più efficiente, non più orwelliana. per garantire quell’equità fiscale promessa dalla Costituzione.

Roma, 13 luglio 2020

Fonte: Garante Privacy