Research | Projects

LE NUOVE PROSPETTIVE PREVENTIVA E PRECAUZIONALE DELLA PROTEZIONE DEI DATI PERSONALI NEL DIRITTO EUROPEO E COMPARATO

L’elemento nuovo introdotto dal principio di precauzione – che ne è al contempo il carattere distintivo –, si rinviene nell’incertezza che ricade sulla pericolosità della condotta (commissiva od omissiva). A tale riguardo è necessario innanzitutto evidenziare la differenza tra principio di precauzione e principio di prevenzione, al fine di evitare la sovrapposizione di due nozioni giuridicamente autonome e distinte. Nel primo caso infatti si discorre della probabilità che l’ipotesi sia esatta; nel caso della prevenzione, al contrario, la pericolosità è assodata, ciò che è incerto è l’accadimento del danno.Dinanzi all’inadeguatezza mostrata da un approccio essenzialmente riparatorio, posto al centro della direttiva 95/46/CE, la nuova disciplina sulla protezione dei dati personali accoglie un’impostazione maturata nell’ultimo decennio, fondata su una tutela preventiva, che utilizza gli strumenti della valutazione di impatto sulla protezione dei dati personali e della c.d. protezione fin dalla progettazione e per impostazione predefinita (nella terminologia inglese, privacy by design e privacy by default). La tutela, pertanto, è anticipata ad un momento anteriore al trattamento dei dati personali e prevede un impegno attivo dei titolari – in particolare quando si tratti di società di telecomunicazione – fin dalla progettazione dei prodotti e servizi il cui utilizzo incida sui dati degli utenti.La valutazione di impatto sulla protezione dei dati personali è una tecnica utilizzata già da tempo da parte delle imprese e può avere ad oggetto tanto i trattamenti individualmente considerati, che l’aggregazione – e interazione – nella loro globalità di differenti trattamenti relativi alle medesime informazioni. Il vantaggio di tale strumento consiste nel fatto che esso segue la vita del prodotto o del servizio, agevolando l’adeguamento da parte delle imprese ai livelli di tutela previsti dalla legge. Siffatta prospettiva si rinviene, altresì, nelle norme dell’art. 25, che introducono le nozioni di «protezione dei dati fin dalla progettazione» e di «protezione dei dati per impostazione predefinita», quali strumenti volti ad attuare i principi posti alla base della materia, enumerati dall’art. 4. Su tutti, il principio di minimizzazione dei dati personali, la cui nuova formulazione riflette l’intento del legislatore europeo di rendere assai più rigorosa la tutela: i dati dovranno essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per i quali sono trattati. Il principio di minimizzazione è richiamato espressamente nel paragrafo 1 della norma citata, che definisce la protezione fin dalla progettazione come quel complesso di misure che il titolare integra nel trattamento medesimo al fine di salvaguardare le persone interessate dalle violazioni di propri diritti e libertà fondamentali, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso.Se tali tecniche erano già conosciute e adottate dalle imprese, con il regolamento del 2016 esse sono accolte nella disciplina europea, nella sezione relativa agli obblighi generali posti in capo al titolare e al responsabile del trattamento. Ne discende un’impostazione al tempo stesso preventiva e promozionale della nuova normativa, volta ad attuare – seppure con qualche riserbo – i principi operanti nel diritto europeo. Tra questi, un ruolo sempre più importante sembra essere svolto dai principi di prevenzione e di precauzione, allorché la normativa, pur non richiamandoli, discorre dei rischi aventi «probabilità e gravità diverse» per i diritti e le libertà delle persone interessate o prevede l’obbligo della valutazione d’impatto quando il trattamento «può presentare» un rischio elevato per i diritti e le libertà fondamentali.