Scarica Privacy e Protezione dei Dati Personali: Concetti Chiave e GDPR - Prof. Messinetti e più Schemi e mappe concettuali in PDF di Controllo digitale solo su Docsity!
I concetti di privacy e protezione dei dati sono strettamente interconnessi, al punto che spesso sono considerati come sinonimi anche se fondamentalmente diversi.
Il primo, fa riferimento al diritto alla riservatezza delle informazioni personali e della propria vita privata. Si tratta di un principio che usiamo come strumento per tutelare la sfera intima del singolo individuo volto ad impedire che le informazioni siano divulgate in assenza di specifica autorizzazione o a chiedere la non intromissione nella sfera privata da parte di terzi. Tanto che usiamo il termine privacy quando vogliamo rappresentare uno spazio personale che gli sconosciuti non possono oltrepassare.
La protezione dei dati personali, invece, è un sistema di trattamento degli stessi che identifica direttamente o indirettamente una persona. Nella sua definizione oltre al principio di riservatezza, troviamo quello della disponibilità e dell’integrità dei dati personali.
Vediamo come nascono i due concetti, come si sviluppano negli Usa e in Europa e cosa cambia col Gdpr.
Indice degli argomenti
Le origini della privacy La prima definizione di privacy proviene da un idea giuridica nord americana del 1890, fondata sul “diritto ad essere lasciato solo”[1] (to be let alone). Due giovani avvocati di Boston preparavano una causa contro le indiscrezioni sulla vita matrimoniale della moglie di uno di loro che un giornale locale, la Evening Gazette, specializzata in pettegolezzi, fece trapelare in alcuni articoli. La necessità di affermare un nuovo diritto provenne dalla testuale affermazione: “Questa faccenda dei giornali che si occupano troppo della vita mondana di mia moglie non può continuare”. I due avvocati si ritrovarono quindi a ragionare su quali informazioni riguardanti la vita personale di un individuo dovessero essere di pubblico dominio e quali, invece, meritassero una tutela dalla curiosa invadenza altrui.
Mentre il concetto americano di privacy nasce da un esigenza di sicurezza personale legata alla proprietà, quello europeo della protezione dei dati personali proviene dal timore che una profilazione dell’individuo possa essere potenzialmente discriminatoria.
Il diritto alla privacy in Italia
In Italia, la prima affermazione giurisprudenziale del diritto alla privacy si registra con la sentenza della Corte di Cassazione n. 4487 del 1956 a seguito del ricorso, dei figli e nipoti del grande tenore napoletano Enrico Caruso, ad una casa produttrice di un film che narrava in forma romanzata, episodi ed avvenimenti relativi all’infanzia, alla giovinezza ed ai primi passi, alquanto impacciati, della brillante carriera di Enrico Caruso. L’attenzione veniva richiamata su talune scene. Per significare la poverissima estrazione del tenore, vi si rappresentava un ufficiale giudiziario nell’atto di eseguire un pignoramento in casa Caruso. Si dava risalto all’incerta economia familiare attraverso la rappresentazione di una violenta reazione del padre verso il piccolo Enrico perché fece cadere accidentalmente a terra una brocca colma di latte.
I parenti, rivendicavano quindi, la tutela di situazioni e vicende strettamente personali e familiari anche se verificatesi fuori dal domicilio domestico perché non avevano per i terzi un interesse socialmente apprezzabile.
Affermazione questa, che divenne, successivamente nella normativa italiana, un punto di riferimento per il bilanciamento tra riservatezza e diritto di cronaca.
In Italia, il concetto di privacy, inteso come rispetto della vita privata e familiare, cominciò ad evolversi con una altra sentenza della Cassazione, la n. 990 del 1963 che condannò il settimanale “Tempo” (all’epoca uno dei più diffusi in Italia) a risarcire gli eredi di Claretta Petacci, amante di Benito Mussolini, per aver raccontato, in un articolo ed in modo offensivo vicende private in assenza di interesse pubblico.
E’ interessante leggere l’introduzione della sentenza: “Sebbene non sia ammissibile il diritto tipico alla riservatezza, si viola il diritto assoluto di personalità, inteso quale diritto erga omnes alla libertà di autodeterminazione nello svolgimento della personalità dell’uomo come singolo, la divulgazione di notizie relative alla vita privata, in assenza di un consenso almeno implicito, ed ove non sussista, per la natura dell’attività svolta dalla persona e del fatto divulgato, un preminente interesse pubblico di conoscenza”.
Nelle sentenze citate, non si riconosceva, ancora formalmente, il diritto alla privacy intesa come principio di riservatezza ma si ammetteva la necessità di una tutela in tale ambito.
Solo nel 1975, si riconobbe il diritto alla privacy nella sentenza n. 2129 del 27 maggio 1975, con la quale si tutelava il diritto alla riservatezza della moglie dello Scià di Persia che era stata ripresa in atteggiamenti molto intimi con un uomo tra le mura della sua abitazione.
La sentenza affermava che costituisce lesione della privacy la divulgazione di immagini o avvenimenti non direttamente rilevanti per l’opinione pubblica, anche quando tale divulgazione venga effettuata con mezzi leciti e per fini non esclusivamente speculativi.
Dunque, il concetto di privacy nasce, anche in Italia, nel momento in cui la sfera privata appare minacciata dalla crescente capacità di intrusione di chi osserva o ascolta e riporta al pubblico ciò che accade in ambito domestico.
Tuttavia, bisogna attendere la fine del ’96 per avere una legge che garantisce il trattamento dei dati personali nel rispetto dei diritti, delle libertà fondamentali e della dignità delle persone fisiche con particolare riferimento alla riservatezza ed all’identità personale nonché l’istituzione di un’Autorità amministrativa indipendente (garante). Normativa questa, prima consolidata in un decreto legge del 2001[6] poi abrogata dall’art. 183, comma 1, lettera a) del D.Lgs. 196/2003 noto anche come Codice in materia di protezione dei dati.
La privacy negli Usa Avendo citato in apertura di quest’articolo che il primo concetto di privacy è stato coniato, per la prima volta, da due avvocati di Boston, può essere utile, la lettura della diversa evoluzione rispetto alla legislazione europea.
In merito al comma 3 dell’art. 8 della Carta, a differenza del modello americano sulla privacy, quello europeo può contare sulla presenza di apposite Autorità indipendenti di controllo che ricoprono il ruolo di Garanti del rispetto della disciplina, in questo caso relativa alla protezione dei dati personali. La mancata presenza di specifiche autorità indipendenti nel modello americano trova una giustificazione nella ideologia liberista americana che ha portato il legislatore a riporre una straordinaria fiducia nell’autoregolamentazione.[10]
Oggi, nel cyberspazio, i trend di ricerca sul web della parola “privacy” sono nettamente superiori a quella di “protezione dati personali”. E’ significativo osservare che il numero di ricerche relative alle parole: “Privacy cos’è” registra, alla data di produzione di questo articolo, ben 46 milioni di istanze. Confermando, non solo la presenza di una diffusa ambiguità sui due vocaboli ma anche la necessità di conoscere in modo puntuale il significato.
Oggi, nel lessico comune, il termine privacy è utilizzato sia per far riferimento alla riservatezza di uno spazio fisico ed emotivo, essenzialmente individuale, sia alla protezione dati delle persone fisiche.
Nel segno della comunicazione ci concede una essenzialità anche utile ma sacrifica, quando è riferita all’esercizio di un diritto di libertà un concetto molto più nobile.
Anche il Garante della Protezione dei dati personali si è adattato, mantenendo, come identificativo in internet, la dizione di “Garante per la privacy” al fine restare meglio indicizzato dai motori di ricerca.
Tuttavia, ogni volta che usiamo la parola privacy per intendere protezione dati personali, alimentiamo la percezione da parte di imprenditori, liberi professionisti e dirigenti pubblici che il GDPR è una seccatura volta a complicare la vita ed aggiungere ulteriori costi a chi vuol fare impresa o deve erogare servizi ai cittadini.
Atteggiamento questo, forse imputabile ad una tiepida accoglienza della materia proveniente dal vecchio e forse poco controllato approccio al DLgs. 196/2003 più noto come Codice privacy e prima ancora alla Legge 675/1996.
Il dover adottare misure adeguate per poter dimostrare che i trattamenti dei dati personali sono conformi a quanto prescritto dal Regolamento UE 2016/679, dal DLgs. 101/ tenendo conto dei provvedimenti del Garante per la protezione dei dati personali, è cosa ben diversa da quelle misure minime previste dalla precedente legislazione.
Si tratta di un errore cognitivo sviluppato sulla base di un interpretazione delle informazioni acquisite in maniera più o meno effimera, anche se non logicamente o semanticamente connesse tra loro, che porta, inevitabilmente, ad una imprecisa valutazione giuridica, organizzativa, informatica e culturale. Ne deriva, un diffuso clima di superficialità proveniente da un approccio all’adempimento, come nel 2003, fondato, principalmente, sul fare un copia/incolla di documenti sfornati in serie per poter dimostrare di aver adempiuto, almeno in forma cartacea, all’ennesima norma ostacolo al business, invece di considerarla non solo un elemento distintivo dell’affidabilità aziendale verso i mercati di riferimento e quindi verso dipendenti, clienti, fornitori e collaboratori esterni ma una moderna concezione del diritto di
libertà delle persone fisiche in un contesto prevalentemente digitale da sottoporre ad una attenta analisi dei rischi a prescindere dalle dimensioni organizzative. Eppure, quando l’ex garante privacy e giurista Stefano Rodotà affermò che “noi siamo i nostri dati[11]” ben rappresentò che il trattamento illecito dei dati personali corrisponde alla violazione di un diritto fondamentale della persona punibile con una sanzione amministrativa e penale.
Privacy, disponibilità e integrità dei dati dell’interessato Dunque, con l’avvento della società digitale è stato necessario pensare alla sicurezza dei dati personali in quanto internet può essere il presupposto tanto di espansione quanto di limitazione delle libertà[12]. Ecco, che con il Regolamento Europeo 2016/679 vengono introdotti, in aggiunta alla riservatezza, altre due garanzie fondamentali poste a tutela della sicurezza del trattamento: la disponibilità e l’integrità dei dati dell’interessato. Queste le troviamo rappresentate nel contesto dell’art. 32 e C83 dove si sottolinea chiaramente che:
Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: la pseudonimizzazione e la cifratura dei dati personali; la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico; una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. Nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati. La protezione dei dati personali, intesa con le due garanzie aggiuntive, integrità e disponibilità è quindi un evoluzione della privacy intesa come diritto alla riservatezza.
Tanto che, il legislatore europeo si è preoccupato di fornire delle chiare indicazioni al titolare e responsabile del trattamento al fine di adottare “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”. Le motivazioni le ritroviamo nell’evoluzione tecnologica ed informatica registrata nelle organizzazioni pubbliche e private e nell’uso sempre più pervasivo dei social network che hanno portato ad un incremento del rischio che gli utenti oramai corrono quotidianamente attraverso la comunicazione e diffusione dei dati personali. Rischio questo, connesso ad una profilazione tuttora più spinta derivante dall’adozione sistematica di algoritmi sempre più sofisticati tanto da essere predittivi dei nostri comportamenti. Non solo negli acquisti o nelle vendite ma anche delle nostre performance lavorative.
La valutazione di impatto richiesta dal Gdpr Da qui, al necessità di effettuare una valutazione di impatto sulla protezione dei dati personali nota anche con l’acronimo di DPIA[13] che comporta, in particolare, nelle
non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri”.
Conclusione
Oggi, molti continuano a sostenere che la differenza tra privacy e protezione dati personali non ha più senso. In realtà, il senso c’è ed è correlato alle nostre radici storiche.
Aspetti caratteristici del GDPR Il GDPR è caratterizzato da due aspetti:
Privacy by design: sin dall’inizio del progetto, bisogna stabilire le misure e le procedure adeguate per garantire la tutela dei dati trattati. Privacy by default: i dati devono essere trattati con la massima chiarezza, indicando le finalità, le modalità e la durata del trattamento degli stessi. Principi del GDPR Il GDPR si fonda su 5 punti:
Liceità, correttezza e trasparenza: i dati personali dell’utente devono essere trattati in modo lecito, e con la massima correttezza e trasparenza, indicando in modo esplicito le finalità previste. Minimizzazione dei dati: deve essere raccolta e trattata la quantità di dati strettamente necessaria alle finalità previste. Esattezza: i dati personali devono essere esatti e aggiornati, in caso contrario bisogna provvedere a cancellare o a modificare i dati inesatti. Limitazione della conservazione: i dati personali devono essere archiviati solo per il periodo necessario al raggiungimento delle finalità previste. Integrità, sicurezza e riservatezza: devono essere eseguite tutte le misure adeguate per garantire la riservatezza, la sicurezza e l’integrità dei dati, in modo da proteggerli da furti o altri eventi accidentali.
GDPR garantisce una maggiore tutela dei diritti dei cittadini europei attraverso il rafforzamento dei seguenti diritti:
diritto alla trasparenza: l’informativa sulla privacy deve essere facilmente accessibile e con un linguaggio semplice e trasparente, indicando le finalità del trattamento, il periodo di conservazione dei dati, i nominativi e i contatti del responsabile del trattamento, le modalità per richiedere la cancellazione o la modifica; diritto di accesso: l’utente può chiedere l’accesso ai propri dati e chiederne informazioni; diritto di opposizione: l’interessato può opporsi al trattamento dei propri dati; diritto alla portabilità dei dati: i dati devono essere esportabili in un determinato formato, in modo da garantire all’utente la possibilità di poter trasferire i propri dati da un fornitore all’altro; diritto all’oblio o alla modifica dei dati: l’interessato può richiedere la cancellazione o la modifica dei propri dati in qualsiasi momento
