In realtà, il GDPR (o RGPD, che dir si voglia) semplifica l’impianto precedente, adattandosi elasticamente ai trattamenti effettuati all’interno delle diverse strutture. Ho pensato che potrebbe essere utile rispolverare i consigli su come prepararsi  al GDPR che avevo provato a dare due anni fa, abbassando un po’ il livello dell’asticella in modo da poterli adattare a chi si sente schiacciato dal Regolamento come da un incomprensibile gigantesco meteorite piovuto dal cielo per spazzare via la civiltà come la conosciamo ora.

1. Consapevolezza

La chiave di tutto l’impianto è la consapevolezza. Questo è l’unico vero sforzo che ci richiede il RGPD: imparare cos’è la protezione dei dati. 

Innanzi tutto partiamo da cosa non è, o, tradizionalmente, non era: non è esattamente la stessa cosa che definiamo privacy; la privacy trovava tutela per lo più in altri rami dell’ordinamento, che proteggono la riservatezza del domicilio o la segretezza della corrispondenza.  Possiamo rinunciare alla nostra riservatezza, nell’epoca dei social possiamo decidere cosa mostrare di noi e cosa tenere per noi, ma è una nostra scelta; e non è diritto dei fornitori di servizi ai quali affidiamo i nostri dati abusarne per lucrarci sopra a nostra insaputa: ed è questo che, in estrema sintesi, dice il Regolamento generale sulla protezione dei dati.

Come dobbiamo attenderci che gli altri proteggano i dati che gli affidiamo (anche se glieli affidiamo per pubblicarli sul web, rinunciando alla nostra privacy), così dobbiamo proteggere i dati che ci vengono affidati. Il mondo cambia e negli anni i dati personali sono diventati una “merce” di valore, e i criminali informatici, ad esempio, saccheggiano i siti web per “raccattare” dati personali da rivendere (qui un elenco delle violazioni di dati più importanti).

Non solo però, c’è anche un mercato legale delle informazioni personali, ed è su quello che il GDPR va a incidere, nel tentativo di regolamentare l’uso dei dati personali senza comprimere i diritti alla riservatezza e alla protezione dei dati personali, che sono diritti fondamentali per l’UE (cfr, artt. 7 e 8 della Carta).

E’ anche vero che la differenza tra riservatezza e privacy sfuma nel mondo tecnologico: assistenti domestici, giocattoli, persino lampadine sono in grado di percepire suoni o movimenti. Talvolta alscoltando e conservando anche conversazioni familiari.

La “tua  privacy è importante” è lo slogan con cui molti di noi aprono le informative con cui spiegano la protezione dei dati in riferimento ai trattamenti che opereranno: non è uno slogan vuoto ma una esortazione, l’invito ad averne consapevolezza: privacy e protezione dei dati si confondono sempre più con l’avvento dell’intelligenza artificiale e con l’analisi algoritmica e spesso predittiva che viene costantemente operata sulla nostre vite.

 In soldoni ciò si traduce: 

1. nel capire cosa sono i dati personali: e qui è importante capire che la definizione è più ampia del mero nome e cognome. Può essere d’aiuto la spiegazione semplice della Commissione  UE che si  trova qui, ma in generale consiglio la lettura di tutta la sezione dedicata al GDPR.
2. Capire quali dati personali “abbiamo”  (di quali trattamenti di dati siamo, cioè, Titolari o Responsabili) e qui passiamo al secondo step. La mappatura.

2. Mappare i dati e i trattamenti:

Una seconda domanda che ognuno dovrebbe farsi è: “perché tratto o conservo questi dati? 

A cosa mi servono?” Se conserviamo dati che non ci servono, o che non ci servono più, probabilmente stiamo sbagliando qualcosa e quei dati vanno cancellati.

Attenzione, perché i dati personali non sono qualcosa di astratto e scollegato dall’ordinamento giuridico: a volte è la legge che ne impone la conservazione, anche se, apparentemente, hanno esaurito la loro funzione, perché abbiamo raggiunto lo scopo per cui li avevamo raccolti.

Quindi: occorre anche chiedersi se c’è una norma di legge che impone la conservazione (come ad esempio per le fatture) o tra quanto tempo si prescriverà il diritto del cliente di citarci in giudizio per un inadempimento contrattuale, ad esempio.

Un’altra cosa a cui fare attenzione è la modalità con cui conserviamo i dati perché le norme di legge possono disciplinare la conservazione dei documenti che li contengono: ad esempio, per legge occorre conservare ordinatamente anche i contratti e le lettere commerciali.

Quando questi documenti sono archiviati con quelle regole, anche i dati personali eventualmente contenuti seguono le stesse regole e non possono essere cancellati.

Occorre quindi sapere quali dati abbiamo, dove e perché, e, se li conserviamo, se abbiamo un criterio di conservazione.

I dati possono essere trattati e conservati solo in stretta aderenza alla finalità (e alla base giuridica) per cui sono stati raccolti.

Tecnicamente si dice che devono essere pertinenti e non eccedenti, e che devono essere esatti ed aggiornati.

A questo punto possiamo passare alla fase successiva.

3. Analisi dei rischi

Quali rischi corrono i dati che trattiamo? Come li possiamo proteggere al meglio? Quali rischi corre l’interessato (cioè la persona fisica alla quale i dati si riferiscono) se non proteggiamo bene i suoi dati? 

Anche qui: buonsenso. Se i dati personali che tratta l’impresa non presentano particolari rischi, ovvero non rientrano nelle categorie descritte dall’articolo 9 del Regolamento generale sulla protezione dei dati (ex dati sensibili, dati biometrici o genetici ecc.), o non rientrano nell’articolo 10 de GDPR, ma sono i dati normalmente utilizzati in una transazione commerciale, l’analisi del rischio non dovrà portare all’adozione di misure spropositate. 

Se il trattamento è prevalentemente cartaceo, basterà probabilmente attenersi alle vecchie “misure minime” descritte dall’abrogando allegato B del Codice della privacy.

La stessa valutazione potrà essere fatta per trattamenti informatici che non presentino particolari rischi, magari mantenendo l’aggiornamento automatico dell’antivirus, come già si faceva nella prassi. L’analisi dei rischi non è disciplinata dal Regolamento che si limita a definire i parametri all’articolo 32 del RGPD.

La valutazione dei rischi non si limita alla valutazione del rischio informatico, ma tiene conto del “rischio privacy”; può essere utilità a capire che rischi corrono i dati provare a svolgere qualche considerazione:

1. che tipologia di dati trattiamo?

Qui bisogna capire se si trattano solo dati comuni, se si trattano dati già reperibili in pubblici elenchi o sul web, o se, invece, si trattano dati riferiti a credenziali di accesso, o carte di credito o dati riferiti a categorie svantaggiate o a minori o comunque dati appartenenti a particolari categorie oppure dati giudiziari.

2. I dati possono essere anche combinati tra loro: se ad esempio tratto dati comuni riferiti a minori  dovrò prestare maggiore attenzione al trattamento rispetto a dati di adulti appartenenti alla medesima categoria. Se tratto entrambe le tipologie di dati, dovrò applicare al trattamento le protezioni previste per la categoria a maggiore rischio.

Se tratto dati di minori che possono svelare l’orientamento sessuale e il minore appartiene a una categoria debole (magari perché oggetto di pregiudizi da parte della comunità dei consociati, e potrebbe essere vittima di marginalizzazione o discriminazioni, ed esposto a una forte pressione sociale ove i dati venissero diffusi a sua insaputa), è chiaro che dovrò prendere le precauzioni più elevate per evitare questo inconveniente.

A questo punto, infatti, bisogna domandarsi quali rischi corre la persona alla quale i dati si riferiscono se i dati venissero diffusi o appresi senza il suo consenso, o se venisse a mancare la disponibilità di quei dati o se venissero alterati o cancellati.

Più alte saranno le conseguenze sull’interessato più è alto il rischio:  le conseguenze possono andare dalla semplice seccatura per l’interessato, fino alla morte (immaginiamo l’indisponibilità di una cartella clinica elettronica che potrebbe comportare la somministrazione di un farmaco al quale il soggetto è allergico).

Il catalogo di conseguenze che si pone tra questi due estremi (danni alla salute, danni economici, furto di credenziali, furto di identità, ecc.) e che non riguarda solo gli aspetti patrimoniali ma anche la sfera psicologica dell’individuo mi darà, a spanne (perché non esistono metriche “fisiche” per la misurazione di questo tipo di effetti) la misura del rischio.

A questo punto dovrò misurare i rischi fisici e informatici ai quali è sottoposta le mia strumentazione e decidere la misura per farvi fronte.

Più i rischi saranno alti, più farò bene a rivolgermi a un professionista capace di indicarmi le misure di sicurezza necessarie e opportune in base ai rischi.

Chiaramente, al contrario,  se il “rischio privacy” è  davvero basso per il numero dei soggetti coinvolti e la tipologia dei dati e dei trattamenti, probabilmente basterà appoggiarsi al catalogo delle misure minime delle quali abbiamo recente memoria.

Con due precisazioni: non sempre le misure minime prendevano in considerazione gli strumenti del trattamento: ad esempio, non venivano presi in considerazione i siti web, che sono tra le aree a maggiore rischio di sottrazione o intrusione. Teniamo in considerazione anche questi aspetti.

Inoltre, teniamo presente che non sempre le informazioni presentano gli stessi rischi: ad esempio il nome di una persona, pur essendo un dato identificativo, dice poco se viene considerato a sé; abbinato al cognome dice di più; abbinato al codice di avviamento postale ancora di più, all’indirizzo di residenza di più ancora, e così via. Consideriamo quindi non i dati a sé, ma anche l’insieme delle informazioni disponibili (non solo a noi) e alle relazioni che le legano, prima di decidere se il rischio è alto, medio basso o massimo.

All’esito di queste valutazioni in ordine ai rischi relativi ai diritti e alle libertà dell’interessato e dello stato dell’arte -ovvero delle migliori soluzioni offerte dalla tecnologia si potranno prendere le misure più adeguate tenendo conto di tutti i parametri definiti dall’articolo 32 del Regolamento.

In genere è preferibile tenere traccia di questa valutazione, per tenere a mente il criterio seguito,  e rendere più facili le revisioni o la difesa in caso di controlli.

Ma non è obbligatorio, e se l’impresa è davvero piccola e i trattamenti sono a rischio davvero basso potrebbe essere superfluo.

Questa valutazione deve essere operata anche rispetto ai dati dei dipendenti o dei collaboratori, se ci sono.

Può essere utile a questo scopo il manuale pubblicato dall’ENISA, ne ho parlato in ordine ai tool gratuiti relativi alla sicurezza dei trattamenti.

4. Individuare il proprio “ruolo”

Il soggetto che decide le finalità (perché tratto questi dati?) e le modalità del trattamento (e, quindi, anche se esternalizzare un trattamento) è il titolare.

Se, io titolare, queste decisioni le prendo,  anche solo in parte, insieme a un altro soggetto, quello che decide insieme a me è contitolare.

Se, invece, delego il trattamento a un altro soggetto che non ha potere decisionale e devo dargli istruzioni, perché tratta i dati per mio conto, quello è il responsabile del trattamento. Il Responsabile del trattamento è un soggetto esterno e va vincolato con un contratto ai sensi dell’articolo 28 del RGPD.

Se invece il soggetto al quale ho esternalizzato il servizio non tratta i dati per mio conto, ma decide da solo le modalità e le finalità del trattamento, e non posso dargli istruzioni,  è un titolare come me, e per distinguerlo dalle altre figure a volte si indica come “autonomo” (ma è una convenzione di comodo, si tratta semplicemente di un soggetto che rientra nella definizione di titolare ex art. 4 del RGPD, che determina da solo finalità e mezzi del trattamento).

Degli obblighi del Responsabile del trattamento ho scritto qui.

Della differenza tra responsabile della protezione dei dati e responsabile del trattamento, invece, qui.

5. La base giuridica del trattamento

Il consenso è una delle basi giuridiche del trattamento, ma non è l’unica;

non ho bisogno di acquisire il consenso (e, a volte, se provassi ad acquisirlo non sarebbe valido) se il trattamento poggia su una diversa base giuridica e fintanto che resto aderente alla finalità connessa a quella base.

La base giuridica determina la liceità del trattamento (è lecito solo il trattamento sostenuto da una base giuridica) e mentre la finalità rappresenta lo scopo per cui tratto i dati, la base giuridica è la ragione o il motivo del trattamento. Ogni trattamento si radica su una base giuridica e da lì si proietta verso la finalità.

Ad esempio: se devo rispondere a una richiesta dell’interessato, o adempiere a un contratto del quale è parte l’interessato la base giuridica sarà rappresentata dal contratto o dalla necessità di dare seguito alla richiesta dell’interessato.

Una volta adempiuta la prestazione concordata, dovrò conservare il contratto e la fattura per legge. Questo trattamento (relativo alla conservazione)  si basa sulla necessità di adempiere a un obbligo di legge.

Se voglio invece fare marketing al mio cliente via sms, dovrò anche acquisire il suo consenso, che mi servirà solo per questo tipo di attività.

Le basi giuridiche sono descritte dall’articolo 6 del RGPD.

Quello che ci appare come un unico trattamento (contatto, preventivo, conclusione del contratto, erogazione della prestazione, fattura, conservazione, cancellazione dei dati, marketing via sms) in realtà è una concatenazione di azioni che si distinguono in diversi trattamenti, contraddistinti da diverse finalità e che poggiano su diverse basi giuridiche.

Se l’interessato mi domanda la cancellazione dei suoi dati e si oppone al trattamento per finalità di marketing via sms o mi revoca il consenso precedentemente prestato per quel tipo di trattamento, la sua richiesta non si estenderà (e non potrebbe) ai trattamenti che poggiano su altre basi giuridiche o miranti a conseguire diverse finalità: vale infatti anche la regola che il consenso , quando necessario (e abbiamo visto che non sempre lo è) si presta per singole finalità, secondo il rapporto: una finalità / un consenso.

6. L’informativa

Una volta che abbiamo individuato i dati, i trattamenti, i ruoli, le basi giuridiche e le finalità del trattamento siamo pronti a scrivere l’informativa.

Infatti, occorre obbligatoriamente dare alcune informazioni all’interessato, e quali sono queste informazioni ce lo dicono gli articoli 13 e 14 del RGPD.

Quali informazioni vanno rese?

Molto dipende dai trattamenti e dagli obblighi che gravano concretamente sull’impresa. Se l’impresa è piccola e non ha trattamenti “su larga scala”, potrà evitare alcuni adempimenti, come ad esempio la nomina del DPO e, se e non ha trattamenti particolarmente rischiosi da effettuare con nuove tecnologie, potrà evitarsi anche la valutazione di impatto sulla protezione dei dati (che è cosa diversa dalla valutazione dei rischi). 

Se l’impresa neppure trasferisce dati in Paesi che si trovano fuori dall’UE (qui attenzione a servizi cloud, servizi di email marketing, servizi email, siti web e plugin o altri strumenti usati per il sito web che potrebbero importare il trasferimento dei dati in server situati fuori dall’UE) e non fa profilazione e non prende decisioni con strumenti automatizzati, nell’informativa potrà limitarsi a indicare:

1. il suo nome o la sua denominazione (il titolare) e i dati di contatto;
2. le finalità del trattamento;
3. la base giuridica del trattamento, e nel caso di trattamento basato su legittimo interesse quale interesse sta soddisfacendo;
4. Le finalità del trattamento;
5. Eventuali destinatari o categorie di destinatari a cui comunicherà i dati (es. società di recupero credito, commercialisti e altri consulenti esterni, società di servizi ICT);
6. il periodo di conservazione o i criteri utilizzati per determinarlo;
7. nel caso in cui venga chiesto il consenso, che il consenso si può revocare in ogni momento e senza costi;
8. se fornire i dati è obbligatorio per legge o per contratto, o se sono necessari per concludere il contratto, e che succede se l’interessato non fornisce i dati;
9. I diritti dell’interessato: accesso, rettifica, cancellazione, limitazione del trattamento, diritto alla portabilità dei dati;
10. Il diritto di opporsi al trattamento che deve essere evidenziato e separato dal corpo del restante testo;
11. Il diritto di proporre reclamo all’autorità.

Il titolare può evitare di fornire all’interessato le informazioni che l’interessato possiede già.

Se invece i dati non sono raccolti direttamente presso l’interessato, ci sono degli elementi in più da fornire, e sono descritti dall’articolo 14 del RGPD.

Ovviamente, se invece si trasferiscono dati all’estero o si fanno altri trattamenti che comportano la nomina del DPO, l’informativa cambia un po’, perché occorrerà aggiungere anche questo tipo di informazioni.

Come si vede, però, è sufficiente, probabilmente, integrare la precedente informativa con i dati mancanti (e sempre che l’informativa fosse conforme alla precedente normativa e non fosse scritta troppo in “legalese”, perché il RGPD impone un lessico semplice)

7 I diritti dell’interessato

Qui è importante la consapevolezza: avere indirizzi dedicati a raccogliere le istanze facilita la loro gestione, comprendere quali sono i diritti che può esercitare l’interessato rispetto al trattamento effettuato (ad esempio la cancellazione, che non sempre è possibile)  e conoscere il termine per dare riscontro; una illustrazione del catalogo dei diritti riconosciuti all’interessato si può trovare qui: http://www.garanteprivacy.it/regolamentoue/diritti-degli-interessati

8. Accountability (o responsabilizzazione ) e data breach (o violazione di dati personali)

Per dimostrare l’adempimento, il titolare deve documentare gli adempimenti posti in essere, per garantire il rispetto dei principi (elencati all’articolo 5 del RGPD) che presiedono alla protezione dei dati.

In una struttura piccola e che non fa particolari trattamenti, a meno che il trattamento dei dati non sia occasionale (ma non bisogna avere nemmeno dipendenti perché sia occasionale), bisogna tenere il registro dei trattamenti.

Il responsabile, oltre il suo registro, deve tenere anche quello per il Titolare, descritto anch’esso all’articolo 30 del GDPR.

Il registro può consistere in un foglio di calcolo (deve essere in formato elettronico), in cui i campi vengono contrassegnati dagli elementi indicati dall’articolo 30 RGPD.

Quelli indicati dall’articolo sono i soli elementi tassativi.

Molte sono le soluzioni in commercio o gratuite disponibili in rete, è importante controllare che i campi corrispondano esattamente a quelli indicati dal detto articolo.

Possono essere aggiunti campi ulteriori, ma il nucleo minimo tassativo è quello indicato lì (nell’articolo 30 GDPR) e deve essere presente.

Uno degli argomenti più caldi del RGPD è la violazione dei dati personali. 

In che consiste?

In breve: la violazione di dati personali è “la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”. In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione al Garante privacy senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche.

Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo.

Quindi è importante che il titolare impari a riconoscere una violazione, e nel caso avvenga si ricordi di:

• conservare in ogni caso la documentazione relativa; questo è l’unico adempimento se è improbabile che dalla violazione derivi un rischio per i diritti e le libertà dell’interessato.
• fare la notifica al Garante negli altri casi entro 72 ore (poi ci sono eccezioni, ma la regola generale è questa): deve sapere cosa comunicare (è indicato dall’articolo 33 del GDPR) e come (nel  momento in cui scrivo non è disponibile una apposita piattaforma sul sito del garante e ogni titolare dovrà predisporre da sé idonea modulistica e conservarla in caso di necessità) e a quale recapito.
• fare la comunicazione anche all’interessato nel caso di rischi gravi (valgono le stesse considerazione operate sopra, con qualche problema in più in ordine alla necessità di fare la comunicazione a una pluralità di interessati e a volte con modalità “pubbliche” che vanno attentamente valutate.

Sarebbe bene scrivere una breve politica aziendale per fissare questi punti con allegata documentazione.

9. L’organizzazione interna

E’ importante che le imprese facciano attenzione anche all’organizzazione interna.

I soggetti che trattano i dati devono essere autorizzati e istruiti in tal senso.

Il Regolamento non dice come vadano fate le autorizzazioni e il titolare è libero di riconfermare i vecchi incarichi o predisporre di nuovi, con nuove modalità, lasciandone comunque traccia.

L’importante è vincolare dipendenti e collaboratori alla riservatezza, rispettare il principio di minimizzazione e in particolare di privacy sin dalla progettazione e per impostazione predefinita anche sotto il profilo organizzativo, per cui potranno trattare i dati personali solo i soggetti che è necessario che li trattino.

10. Aggiornamento e formazione

Il regolamento generale sulla protezione dei dati impone al Titolare di verificare periodicamente l’assetto che si è dato.

Questa sommaria analisi è partita dalla consapevolezza del titolare come elemento cardine della conformità alla normativa e si chiude con un richiamo alla formazione che ne è corollario.

Il titolare deve essere in grado di garantire la riservatezza e la sicurezza dei dati e deve poterlo fare anche confrontandosi con un mondo che subisce continua evoluzione sia sotto il profilo tecnologico che sotto il profilo normativo.

Restare aggiornati e preparati è un elemento fondamentale, e la formazione per sé e per i soggetti che operano per lui è un elemento di accountability imprescindibile per ogni imprenditore.

Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.

L'articolo Il GDPR per le piccole (e piccolissime) imprese sembra essere il primo su Cristina Vicarelli.

Tuttavia è vero che molte Autorità nazionali per la protezione dei dati hanno fornito non solo indicazioni ma anche strumenti gratuiti per aiutare i titolari e i responsabili a gestire il passaggio al meglio.

Se si consultano i siti delle principali Autorità per la protezione dei dati è possibile trovare strumenti, pensati per le piccole e medie imprese, che coprono quasi tutte le aree del Regolamento e che possono rivelarsi molto utili quantomeno per una prima fase di adeguamento.

Sono tutti gratuiti e di facile implementazione, anche se a volte subiscono l’influenza delle normative nazionali e possono richiedere qualche aggiustamento. Ne ho selezionati alcuni, che mi paiono particolarmente interessanti, sperando di poter aggiornare questo post se dovessero uscirne altri parimenti validi, sperando di poter essere d’ausilio a titolari e responsabili che non possono contare su ampie risorse.

Riporterò gli strumenti che ho reperito divisi per argomento, in modo da facilitare la loro collocazione nell’ambito del Regolamento, con l’avvertenza che molte aree restano scoperte, quindi l’uso di questi strumenti non soddisfa tutti gli adempimenti necessari per la compliance.

Designazione del Data protection officer (DPO o responsabile per la protezione dei dati o RPD)

La designazione del Data protection officer non è obbligatoria per tutti i titolari e i responsabili, ma solo per:

1. amministrazioni ed enti pubblici, fatta eccezione per le autorità giudiziarie;
2. tutti i soggetti la cui attività principale consiste in trattamenti che, per la loro natura, il loro oggetto o le loro finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
3. tutti i soggetti la cui attività principale consiste nel trattamento, su larga scala, di dati sensibili, relativi alla salute o alla vita sessuale, genetici, giudiziari e biometrici.

Ulteriori casi di designazione obbligatoria possono essere individuati dal legislatore statale.

Se non si è sicuri di ricadere nell’obbligo, il Gruppo di lavoro articolo 29 suggerisce di operare una valutazione seguendo i parametri dell’articolo 24 del Regolamento, che deve essere documentata e conservata per essere messa a disposizione dell’Autorità competente in caso di controlli.

Il Garante italiano  nelle Nuove Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico, ha precisato che il GDPR prevede all’art. 37, par. 1, che il titolare e il responsabile del trattamento designino il DPO; “da ciò deriva, quindi, che l’atto di designazione è parte costitutiva dell’adempimento”.

Ha successivamente evidenziato che occorrerà anche adeguata contrattualistica (sul punto si vedano le linee guida del Gruppo di lavoro ex art. 29), ma ha mostrato di ritenere essenziale l’atto di designazione e ha fornito un modello di designazione  e anche un modello di comunicazione al Garante. Si tratta di atti che, sebbene inseriti in delucidazioni destinate a soggetti pubblici, e pensati per i soggetti pubblici, con qualche necessario aggiustamento potranno essere facilmente utilizzati anche da soggetti privati, almeno sino a che non verrà fornito un modello speculare  e apposito anche per questi ultimi.

Registro dei trattamenti

L’Autorità belga ha fornito una serie di chiarimenti pratici (in francese) in ordine al Registro dei trattamenti ex art. 30 GDPR, per poi fornire direttamente il modello di registro in excel  disponibile in lingua francese.

Del modello su foglio di calcolo fornito dal Garante belga è possibile trovare online una traduzione non ufficiale in lingua inglese

Valutazione di impatto sulla protezione dei dati

La CNIL, che è l’autorità di protezione dei dati francese, ha fornito un software open source che aiuta i titolari a redigere una valutazione di impatto sulla protezione dei dati completa e congrua.

Il tool è disponibile in diverse lingue, tra cui l’italiano, ed è anche liberamente scaricabile in versione compatibile con diversi sistemi operativi (Linux, Windows e MacOS).

Protezione dei dati sin dalla progettazione

L’Autorità per la protezione dei dati norvegese (Il GDPR si applica anche alla Norvegia, dato che fa parte dello Spazio Economico Europeo) ha fornito una interessante guida sulla privacy by design . Si tratta di una guida destinata principalmente allo sviluppo di software, quindi destinata principalmente a sviluppatori, software architects ecc., ma non solo: spiega l’Autorità che è pensata anche per i data protection officer e gli esperti di sicurezza. La guida è disponibile in lingua inglese.

Sicurezza e GDPR

In occasione del Data protection day del 18 gennaio 2018 l’ENISA (Agenzia dell’Unione europea per la sicurezza delle reti e dell’informazione) ha  reso disponibili due pubblicazioni in lingua inglese dedicate alla sicurezza nei trattamenti di dati personali e alla privacy e protezione dei dati nelle app. Si tratta di utilità anch’esse destinate alle piccole e medie imprese, che attraverso esempi, casistica e buone pratiche aiutano districarsi nella gestione del rischio connesso all’utilizzo di apparecchiature informatiche.

Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.

L'articolo GDPR: le utilità gratuite per implementarlo sembra essere il primo su Cristina Vicarelli.

Ho già parlato dei problemi di traduzione, composti grazie all’intervento dell’Autorità Garante, e non mi dilungherò di nuovo su questo, se non per ricordare che le traduzioni di pareri del Gruppo di lavoro dei Garanti (WP29), precedenti al Regolamento, recano ancora i termini “responsabile” e “incaricato” per indicare il “controller” e il “processor” termini che oggi vengono tradotti come “titolare” e “responsabile”. Nel corso di questa breve disamina, trovandomi a richiamare il parere 1/2010 del WP29 renderò sempre con “titolare” e “responsabile” i termini  “controller” e “processor”, sostituendo direttamente la differente e confusoria terminologia utilizzata nelle traduzioni ufficiali.

Il “nuovo” responsabile del trattamento

Il Regolamento generale sulla protezione dei dati non muta di una virgola la definizione di titolare e responsabile del trattamento rispetto alla direttiva 95/45/CE che lo ha preceduto.

Il titolare (“controller”)  era definito nella direttiva come “la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali (.…)”

Il Responsabile (“processor”) invece era indicato come “la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che elabora dati personali per conto del responsabile del trattamento”.

Nel Regolamento generale queste figure sono definite rispettivamente come:

«titolare del trattamento» (controller): la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (…).

«responsabile del trattamento» (processor): la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento;

La novità del Regolamento, pertanto, non si annida nelle definizioni, pressoché identiche alle precedenti, ma nella rivoluzione copernicana che, nel suo complesso, il Regolamento fa compiere alla tutela dei dati personali, facendola passare da un approccio basato su adempimenti calati dall’alto a un approccio basato sul rischio, e consegna la protezione dei dati nelle mani del titolare, il quale, grazie al principio di responsabilizzazione, (“accountability”) potrà, nei limiti e dentro i parametri delineati dal Regolamento, adottare le misure che ritiene più opportune e comprovare il conseguimento degli obiettivi che ha raggiunto nel rispetto dei principi che presiedono il trattamento (lecito) dei dati personali.

Tale nuovo impianto lambisce anche il ruolo del responsabile del trattamento, il quale è insignito di nuovi compiti, condivide in certa misura le responsabilità del titolare in ordine al risarcimento del danno a terzi, ed è oggetto di autonome sanzioni amministrative, a differenza di quanto avveniva con il codice privacy, ove la sanzione amministrativa era sempre diretta contro il titolare.

Non solo: la nomina a responsabile è obbligatoria e non più facoltativa.

L’individuazione del responsabile non avviene più, quindi, a discrezione del titolare, ma è un atto dovuto. Non solo: la designazione del responsabile emerge ex se dallo stato di fatto: il titolare e il responsabile regoleranno i loro rapporti contrattualmente, ma non sarà possibile forzare l’assetto contrattuale per definire i reciproci ruoli: l’assetto contrattuale rispecchierà, invece, il concreto “potere” che questi soggetti eserciteranno sul trattamento dei dati personali, prendendo o meno decisioni in ordine alle finalità e ai mezzi del trattamento stesso.

Le garanzie di affidabilità del responsabile, ove si esternalizzi un servizio, pertanto, dovranno essere valutate attentamente già in fase di affidamento, dato che, come già avveniva con il codice privacy, il trattamento potrà essere affidato dal titolare solo a chi presenti “garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato”.

Responsabile interno o responsabile esterno?

I primi commentatori del Regolamento hanno evidenziato come il ruolo del responsabile del trattamento tratteggiato nel Regolamento sia cucito addosso al solo Responsabile esterno, notando come vi siano i talune indicazioni che non hanno senso se trasferite all’interno del rapporto di lavoro – su tutte, a titolo esemplificativo, si riporta l’obbligo di predisporre una idonea contrattualistica che preveda anche che il responsabile “metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato” (art. 28 c. 3 lett. h del Regolamento).

Nel tempo, però, questa posizione prima piuttosto uniforme si è frastagliata e oggi vi sono autorevoli commentatori che ritengono che sia possibile anche configurare un responsabile interno.

Tali argomentazioni poggiano sia sul fatto che la figura del responsabile interno non è espressamente esclusa dalla normativa europea, sia su alcune interpretazioni letterali, sia, infine, su talune annotazioni organizzative.

Il dato letterale

Per ricavare l’inquadramento del responsabile all’interno della struttura del titolare si può fare riferimento al tenore letterale della traduzione italiana del Regolamento, dandone una lettura aderente al diritto interno, risultato che si ottiene enfatizzando  i termini ’”organismo” o “servizio”, che nel nostro Paese possono, in effetti, richiamare un qualche affidamento all’interno della struttura del titolare. E’ lecito domandarsi però se sia opportuno interpretare il dato letterale di una sola traduzione senza interrogarsi sul senso di tali espressioni nelle altre lingue ufficiali, e senza valutare il significato che possano avere acquisito sul piano europeo.

Anzi sul piano europeo si è affermata l’interpretazione opposta: l’ICO, ad esempio, ha richiamato la precedente definizione di responsabile contenuta nel “Data Protection Act” (il codice privacy del Regno Unito, per intenderci, che escludeva espressamente che il ruolo potesse di responsabile essere affidato a dipendenti del titolare) sostenendo che la formulazione del Regolamento (che pure non riporta espressamente l’esclusione dei dipendenti)  nulla  muta rispetto all’individuazione di titolare e responsabile ivi contenute (cfr. ICO GDPR guidance: Contracts and liabilities between controllers and processors: “a processor is a natural or legal person or organisation which processes personal data on behalf of a controller.

If you are not sure whether you are a controller or a processor, please refer to our guidance Data controllers and data processors. Although it is based on the Data Protection Act 1998 (DPA), the parts of the guidance setting out how to determine who is the controller and who is the processor are still relevant under the GDPR.”

Fonte: https://ico.org.uk/media/about-the-ico/consultations/2014789/draft-gdpr-contracts-guidance-v1-for-consultation-september-2017.pdf)

Neppure il CNIL, che ad oggi presiede il WP29, pare sposare un simile orientamento: nella guida ai responsabili che ha pubblicato nel settembre 2017 per agevolare l’applicazione del Regolamento (GUIDE DU SOUS-TRAITANT EDITION SEPTEMBRE 2017) non solo si riferisce espressamente alla sola figura del responsabile esterno, inquadrando i rapporti tra titolare e responsabile più volte in termini di fornitore e cliente, ma richiama anche, espressamente, il Parere 1/2010 (WP 169)  sui concetti di titolare e responsabile del trattamento, dimostrando di ritenerlo ancora attuale.

Il Parere 1/2010 del Gruppo di lavoro Art. 29

Il Parere del WP29 richiamato dal CNIL aveva già affrontato il problema dell’inquadramento del responsabile come soggetto interno o esterno, in particolare indagando se quel trattare i dati “per conto” del titolare possa includere anche i soggetti interni alla sua struttura (argomento che potrebbe utilizzarsi anche oggi, per sostenere la compliance al Regolamento di un ruolo interno).

Ebbene, diceva il WP29 che l’esistenza di un responsabile del trattamento dipende da una decisione presa dal titolare del trattamento. Quest’ultimo può decidere o di trattare i dati all’interno della propria organizzazione – ad esempio attraverso collaboratori autorizzati a trattare i dati sotto la sua diretta autorità-, o di delegare tutte o una parte delle attività di trattamento a un’organizzazione esterna, cioè, come indica la relazione della proposta modificata della Commissione, a una “persona giuridicamente distinta dal titolare ma che agisce per conto di quest’ultimo“.

E’ chiara, quindi, l’intenzione del legislatore, esternata nella relazione della Commissione richiamata dal WP29, e la mera trasposizione della definizione dalla Direttiva al Regolamento non può autorizzare a presumere che l’intenzione del legislatore sia mutata.

Concludeva quindi il WP29 “Il presente parere analizza anche il concetto di “responsabile del trattamento“, la cui esistenza dipende da una decisione presa dal titolare del trattamento. Quest’ultimo può decidere o di trattare i dati all’interno della propria organizzazione o di delegare tutte o una parte delle attività di trattamento a un’organizzazione esterna. Per poter agire come responsabile del trattamento occorrono pertanto due requisiti: da un lato essere una persona giuridica distinta (rectius: entità giuridica distinta – nella versione francese è “une entité juridique distincte” n.d.r.) dal titolare del trattamento, e dall’altro elaborare i dati personali per conto di quest’ultimo. Questa attività di trattamento può essere limitata a un compito o a un contesto molto specifico, oppure può lasciar spazio a un certo margine di discrezionalità sul modo di servire gli interessi del titolare del trattamento, permettendo al responsabile del trattamento di scegliere i mezzi tecnici e organizzativi più adeguati” (riporto anche il testo in inglese, per dare modo al lettore di valutare come il riferimento alla “persona giuridica” non vada inteso in senso tecnico: “This opinion also analyzes the concept of processor, the existence of which depends on a decision taken by the controller, who can decide either to process data within his organization or to delegate all or part of the processing activities to an external organization. Therefore, two basic conditions for qualifying as processor are on the one hand being a separate legal entity with respect to the controller and on the other hand processing personal data on his behalf. This processing activity may be limited to a very specific task or context or may accommodate a certain degree of discretion about how to serve the controller’s interests, allowing the processor to choose the most suitable technical and organizational means.”)

A livello europeo, pertanto, l’interpretazione lascia poco margine ai dubbi: la figura del responsabile interno non è data.

L’esperienza italiana

Per contro, l’Italia ha sempre ammesso il ruolo di responsabile interno.

Un disallineamento, rispetto al WP29, che affondava le radici in epoca ben precedente al parere del 2010, e che si basava sull’ampio margine di discrezionalità concesso dalla direttiva.

Discrezionalità che non sussiste con il Regolamento: ove agli Stati è concesso operare deroghe e personalizzazioni è espressamente indicato (e non sono poche ipotesi), si guardi, in proposito la definizione di titolare. Tale deroga non è presente, però, nella definizione di responsabile.

Trarre la configurabilità di un responsabile interno (con il carico di oneri, -mi si passi il gioco di parole- responsabilità e sanzioni che questi reca con sé in base al Regolamento), in via interpretativa sulla sola assenza di un divieto in tal senso appare, quindi, piuttosto azzardato.

Senza considerare il noto brocardo “Ubi lex voluit dixit, ubi noluit tacuit”: quando il legislatore ha inteso assegnare un ruolo a soggetti sia interni che esterni alla struttura del titolare lo ha detto espressamente, come nel caso del data protection officer (cfr art. 37 comma 6).

La guida del Garante  

Quanto detto sin qui basta a escludere la  configurabilità di un ruolo interno del responsabile?

Ad avviso di chi scrive basterebbe, se avessimo la certezza che il parere 1/2010 reso dal WP29 sarà mantenuto fermo una volta insediatosi il Board; innanzi tutto, quindi, occorrerebbe sapere se il ridetto parere sopravviverà, negli stessi termini,  al 25 maggio 2018: certo, a guardare le indicazioni che provengono dall’ICO e dal CNIL si potrebbe optare per il sì, ma non possiamo ancora dirlo con assoluta certezza. Vi sono indizi sul piano nazionale che facciano propendere, invece, per il mantenimento di questa figura? A guardar bene, in effetti, qualche dubbio viene… vi sono delle indicazioni pratiche che possono indurre questa convinzione  e ciò per due ordini di ragioni:

• da un lato il Garante per la protezione dei dati personali ha annunciato di voler mantenere la figura dell’incaricato, e appare arduo a chi scrive immaginare strutture importanti composte di soli incaricati, senza responsabili. Dal punto di vista pratico, la figura di un soggetto sovraordinato agli incaricati potrebbe essere opportuna. E’ altamente probabile che, in assenza di “liberalizzazioni” sul punto (ad esempio lasciando libertà di assegnare ruoli di maggior o minore “responsabilità” agli incaricati, o eliminandoli del tutto, sulla scorta di altri paesi europei), l’esigenza di prevedere la figura del responsabile interno emerga dal basso, ovvero dalla presenza degli incaricati e dalle necessità organizzative che ne conseguono.

• Dall’altro lato il Garante nella sintetica “Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali”, che ha pubblicato sul proprio sito istituzionale, non ha evidenziato alcuna novità in ordine al ruolo del responsabile, e se l’Autorità avesse voluto prendere una posizione netta in merito avrebbe potuto farlo senza difficoltà: invece ha laconicamente affermato nel capitolo dedicato al titolare e al Responsabile, sotto il paragrafo “cosa non cambia” che “Il regolamento definisce caratteristiche soggettive e responsabilità di titolare e responsabile del trattamento negli stessi termini di cui alla direttiva 95/46/CE (e, quindi, al Codice italiano)”.  Eppure il Codice parlava di responsabili come di soggetti “preposti dal titolare”, ammettendo pacificamente l’esistenza del responsabile interno, e dichiarava espressamente che la nomina era facoltativa. Inoltre le responsabilità definite dal Regolamento, ad avviso di chi scrive, non appaiono affatto così facilmente sovrapponibili a quelle della direttiva.

Tuttavia, se il Garante suggerisce una certa continuità tra i ruoli, evidentemente dobbiamo attenderci una continuità tra i ruoli: significa dunque che verrà ritenuto ammissibile il responsabile negli stessi termini del Codice italiano? Ossia un ruolo anche interno e facoltativo?

Che fare?

Come abbiamo visto sopra vi sono ragioni sistematiche, di matrice europea, che indurrebbero a preferire di non forzare l’interpretazione delle norme, in favore di una figura di cui buona parte dell’Europa è riuscita a fare a meno sino ad oggi senza inficiare la protezione dei dati. Dall’altra parte, però occorrerebbe da un lato che il Board restasse ancorato all’interpretazione offerta dal WP29, dall’altra che l’Italia trovasse il coraggio di “abbandonare la strada vecchia per la nuova” cosa che non è mai stata troppo nelle corde del nostro Paese. Non è impossibile, quindi, che l’Italia  mantenga l’impianto che le è più noto, ammettendo la permanenza del responsabile interno (almeno fino a che qualcuno non domandi un intervento chiarificatore sovranazionale).

Invero, il fatto che non sia giunta alcuna netta indicazione dall’Autorità su un aspetto tanto importante dal punto di vista organizzativo, se non un laconico riferimento al mantenimento dell’impianto pregresso in un’ottica di continuità, spinge a ritenere che non vi saranno mutamenti di rilievo sul punto: il passaggio da una figura sia “interna” sia “esterna” ad una solo “esterna”, e il passaggio da una figura facoltativa ad una obbligatoria avrebbero meritato un certo rilievo nel paragrafo della guida dedicato al “che cosa cambia”, ma non ve n’è traccia. Sono invece evidenziati i subresponsabili e gli obblighi di nomina del DPO e del rappresentante nello Stato.

Sarà quindi prudente, per le imprese, controllare le nomine di responsabili e incaricati, adeguando la contrattualistica relativa alla designazione del responsabile alle indicazioni offerte dal Regolamento, anche se, ove tale adempimento si rivolgesse all’interno della struttura del titolare, meriterebbero attenzione alcuni punti, da valutare in chiave giuslavoristica, afferenti le autonome responsabilità che si assume il dipendente, i nuovi compiti e poteri decisionali che sono connessi al ruolo di responsabile e la loro compatibilità con l’inquadramento e le mansioni già svolte dal dipendente (nonché rispetto alla retribuzione)  e la possibilità di incorrere  in autonome sanzioni, nonché le responsabilità in ordine al risarcimento del danno, per condotte assunte in qualità di dipendente, che, probabilmente, verranno prese in considerazione dal legislatore nella sua opera di armonizzazione sul piano del diritto interno (AGGIORNAMENTO: la nuova formulazione dell’articolo 29 del Codice privacy pare superare molte di queste discrasie, si veda “aggiornamento” in calce).

Perdurando l’incertezza e facendosi strada il sospetto malizioso che il legislatore nazionale abbia in mente di prendersi qualche licenza sul responsabile del trattamento, sarà più facile per i titolari, nel brevissimo tempo che ci separa dall’applicazione del Regolamento, revocare o modificare secondo la propria discrezione le nomine interne (comunque possibili fin tanto resta in vigore il Codice della privacy) ove si rivelassero superflue, che approntarle ex novo alla vigilia del 25 maggio 2018.

Accountability e tendenza alla burocratizzazione

E’ evidente che l’accountability e l’approccio basato sul rischio vanno in senso opposto rispetto alla burocratizzazione della privacy, che è stata la maggiore accusa da sempre rivolta alla nostra normativa nazionale. L’esperienza italiana sul punto, specialmente in ordine ai ruoli interni, non ha avuto un buon esito: un gran numero di imprese ha percepito la protezione dei dati personali come una serie di oneri burocratici da assolvere e non come un elemento da valorizzare.

Se il resto d’Europa lascia il titolare libero di gestire la propria organizzazione interna come meglio crede, permette alle imprese di competere anche sotto questo profilo: tanto più l’impresa sarà brava a proteggere i dati, tanto più sarà avvantaggiata sulla concorrenza.

L’Italia sembrava avere un discreto vantaggio in ordine all’applicazione del GDPR, date le molteplici somiglianze del proprio pregresso impianto normativo con il Regolamento, soprattutto in ordine all’acquisizione del consenso e alla tutela dei diritti dell’interessato, ma se non supera il proprio approccio tradizionale, accordando maggior fiducia ai titolari, rischia di vanificare l’esperienza maturata. L’indagine comparativa recentemente condotta dall’Autorità olandese, restituisce un’Italia fanalino di coda nella tutela dei dati personali, accanto alla Romania, mentre, come sempre, a guidare la volata, ci sono Germania e Olanda (“With the group of countries compared in this research, Germany is frontrunner in most aspects and Italy and Romania are at the other end of the spectrum. The Netherlands perform above average in most aspects”). Sarà bene che il legislatore nazionale rifletta attentamente in ordine alle procedure che intende aggiungere all’impianto regolamentare europeo  (anche al di là della mera riproposizione dei ruoli interni),  mantenendosi quanto più possibile in armonia con il resto dell’Unione, in modo da non relegare l’accountabilty ad una scialba funzione di precostituzione di documenti con sola funzione probatoria, che, mutilando nettamente la discrezionalità del titolare, finirebbe col ricondurre la responsabilizzazione nell’alveo sterile di  una piatta e blanda sfaccettatura della  responsabilità.

AGGIORNAMENTO: La legge 20 novembre 2017, n. 167 Disposizioni per l’adempimento degli obblighi derivanti dall’appartenenza dell’Italia all’Unione europea – Legge europea 2017 pubblicata in GU Serie Generale n. 277 del 27.11.2017, entrata in vigore il 12.12.2017, all’articolo 28 ha apportato modifiche all’articolo 29 del Codice della privacy, modificando ed integrando il ruolo del responsabile. Ne ho parlato qui:  https://www.ictsecuritymagazine.com/articoli/poteri-obblighi-del-responsabile-del-trattamento-nel-regolamento-generale-sulla-protezione-dei-dati/

Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.

L'articolo Regolamento UE  2016/679: che fine fa il responsabile interno? sembra essere il primo su Cristina Vicarelli.

Il mio intervento era incentrato sulle linee guida sul responsabile per la protezione dei dati (che ho indicato sempre con l’acronimo inglese DPO, onde evitare confusioni con il Responsabile del trattamento, nell’esposizione orale) pubblicate dal Gruppo di lavoro Art. 29.

Non si tratta di una lettura completa ed organica, ma mi sono limitata  a evidenziare solo alcuni aspetti relativi alla nomina, alla posizione e ai compiti.

slide Data protection officer nomina posizione compiti

L'articolo La figura del DPO, nomina posizione e compiti sembra essere il primo su Cristina Vicarelli.

Pertanto, da tale data, sono tornati in vigore i termini generali previsti dal Codice della privacy, e i provider hanno dovuto cancellare i dati conservati per un tempo superiore a quello ivi fissato, conservando solo i dati che non eccedessero gli ordinari termini di legge, ovvero:

• traffico telefonico: 24 mesi dalla data della comunicazione (art. 132 comma 1 del Codice della privacy), ma attenzione: 6 mesi per le chiamate senza risposta (art. 123 comma 2 del Codice della privacy);

• traffico telematico: 12 mesi dalla data della comunicazione (art. 132 comma 1 del Codice della privacy).

Il 19 luglio 2017, tuttavia, è stata approvata dalla Camera dei deputati la legge di recepimento delle norme comunitarie, ove è stato inserito, ed è passato nell’indifferenza generale dell’Assemblea, un articolo (ART. 12-bis. -Disposizioni per l’integrale attuazione della direttiva 2014/33/UE relativa agli ascensori e ai componenti di sicurezza degli ascensori nonché per l’esercizio degli ascensori – sic!) relativo alla conservazione dei dati di traffico telefonico e telematico che porta a 72 mesi (6 anni!) indistintamente tutti i termini di conservazione, senza distinguere tra chiamate, chiamate senza risposta e traffico telematico.

La norma è stata prontamente denunciata dall’avvocato Stefano Aterno (qui è possibile leggere il commento a caldo sul suo blog), ed ha sortito subito un forte dibattito tra giuristi ed attivisti (qui una esaustiva raccolta operata da HERMES CENTER FOR TRANSPARENCY AND DIGITAL HUMAN RIGHTS, alla quale attingerò a piene mani nel prosieguo al fine di poter dare atto delle varie argomentazioni senza approfondirle direttamente), registrando anche l’intervento preoccupato dell’Autorità Garante per la protezione dei dati personali.

Aspre critiche si sono riversate sia sul merito del provvedimento che sul “metodo” (qui e qui, ad esempio), stigmatizzandone l’inopportuno inserimento in un articolato riferito a tutt’altra materia (ascensori) e per di più nel periodo estivo. Anche le ragioni di urgenza addotte a sostegno della proposta di legge sono state abilmente smontate dall’avvocato Aterno (nell’articolo già citato) sotto il profilo tecnico (sia in relazione allo strumento legislativo impropriamente impiegato, sia con riguardo alla successione di norme, che non impedisce la cancellazione dei dati raccolti sulla scorta della normativa già “scaduta”).

In ordine al merito, si solleva unanimemente il contrasto con la Giurisprudenza della Corte di giustizia, evidenziando per dirla con il Garante, che “per un verso la disciplina della data retention per fini commerciali è contenuta nel regolamento e-privacy attualmente in discussione, che regola tipologia di dati (e metadati) suscettibili di conservazione, modalità e condizioni.

Per altro verso, la conservazione dei dati di traffico per finalità investigative è legittima unicamente nel rispetto della direttiva 680/2016 e dei principi sanciti dalla Corte di giustizia con le sentenze Digital Rights del 2014 e Tele2 dello scorso dicembre: proporzionalità tra privacy ed esigenze investigative; limitazione delle categorie di dati, dei tempi di conservazione e dei soggetti interessati dalla misura a quanto strettamente necessario per esigenze di contrasto di gravi reati.

Con la sentenza Tele2, peraltro, la data retention è stata ritenuta illegittima proprio in quanto massiva, dovendo invece essere applicata, secondo la Corte, in modo da rivolgersi ad ambiti oggettivi, soggettivi (persino territoriali) caratterizzati da specifici fattori di rischio.

Da generalizzata e “a strascico” quale è sempre stata concepita, la conservazione dei dati di traffico dovrà dunque divenire mirata, selettiva.

Anche la parificazione della durata della conservazione dei dati di traffico telefonico e telematico (….), se non giustificata da specifiche esigenze investigative, potrebbe risultare incompatibile con l’interpretazione forte del principio di proporzionalità sancita dalla Corte”.

(Questo intervento del Garante, pertinente al tema anche se reso in diversa occasione, è stato opportunamente accostato alla materia da Dario Centofanti e può essere visto qui: https://popinga.it/dalla-sicurezza-degli-ascensori-alla-sorveglianza-di-massa-4eac2144c6d7?gi=dcf44f519448).

Per chi volesse approfondire la posizione della Corte di giustizia su data retention e sorveglianza di massa, consiglio la lettura dell’articolo dell’avvocato Bruno Saetta su “Valigia Blu” (compresi gli altri contenuti in esso linkati).

Le critiche all’operato del legislatore non finiscono qui: vi è un altro aspetto da considerare, e riguarda la normativa contro il terrorismo richiamata  e posta come base giuridica della novella sulla data retention; come nota l’avvocato Stefano Aterno (nell’articolo già citato): “il richiamo, che sostanzialmente giustifica l’emendamento nonché l’approvazione in quella sede, all’articolo 20 della direttiva (UE) 2017/541 del Parlamento europeo e del Consiglio del 15 marzo 2017 sulla lotta contro il terrorismo è assolutamente inconferente e inappropriato, visto che l’art. 20 nel parlare di strumenti di indagine e confisca dispone che gli Stati membri “adottino le misure necessarie affinché le persone, le unità o i servizi incaricati delle indagini o dell’azione penale per i reati di cui agli articoli da 3 a 12 dispongano di strumenti di indagine efficaci, quali quelli utilizzati contro la criminalità organizzata o altre forme gravi di criminalità”. Esso non cita assolutamente i dati di traffico telefonico e telematico sui quali, come dimostrano diverse pronunce della Corte Giustizia d’Europa e altre direttive europee, occorre una disciplina ad hoc proveniente dall’Europa con una espressa delega a legiferare sul tema.”

Si tratta di un rilievo importante, perché toglie ogni parvenza di legittimazione all’intervento del legislatore: la norma che si tenta di introdurre è pertanto priva di base giuridica ed in aperto contrasto, come hanno notato tanti autorevoli commentatori,  con il portato della Corte di giustizia, ovvero lesiva di diritti fondamentali sanciti agli articoli 7 e 8 della Carta Dei Diritti Fondamentali dell’Unione Europea.

Non è scopo del presente scritto tentare una disamina delle criticità della norma. Basti quanto scritto da altri (si segnala, a tal proposito, anche lo scritto preciso e puntuale dell’avvocato Monica A. Senor).

Dando, dunque, per assodato che sussista il rilevato contrasto con la giurisprudenza della Corte di Giustizia -e giocoforza sussista il contrasto con gli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea- è lecito domandarsi quale sorte avrebbe la norma sulla data retention ove venisse approvata così come è stata scritta.

Universi paralleli: se la norma sulla data retention entrasse in vigore

Se le critiche sollevate restassero inascoltate, il Senato confermasse il testo approvato alla Camera e la norma venisse promulgata ed entrasse in vigore così com’è, cosa accadrebbe?

Per rispondere a questa domanda occorre fare una breve introduzione, spiegando, seppure per sommi capi, cosa sia una pronuncia pregiudiziale della Corte di giustizia, e che valore abbia.

Il rinvio pregiudiziale

Il rinvio pregiudiziale è la procedura che consente ad una giurisdizione nazionale di interrogare la Corte di giustizia dell’Unione Europea sull’interpretazione o sulla validità del diritto europeo nell’ambito di un contenzioso in cui tale giurisdizione venga coinvolta. Questa procedura è aperta ai giudici nazionali degli Stati membri, i quali possono adire la Corte per interrogarla sull’interpretazione o sulla validità del diritto europeo nell’ambito di una causa pendente. Che la causa sia pendente è un requisito molto importante: si vuole infatti evitare che la Corte venga chiamata a pronunciarsi su questioni immaginarie o astratte: la Corte dunque partirà dal giudizio pendente, concreto, ma la sua pronuncia avrà una portata più generale e astratta; perciò da una parte, la sentenza pregiudiziale sarà certamente vincolante per il giudice del rinvio (ossia quello chiamato a giudicare la controversia nazionale e che ha chiesto l’intervento della Corte di giustizia) -questo effetto si chiama “efficacia endoprocessuale”-, ma, dall’altra, come vedremo, i suoi effetti non potranno restare confinati negli angusti limiti del caso che l’ha originata.

Si ribadisce che, comunque per ottenere una pronuncia pregiudiziale occorre, innanzi tutto, avere un caso concreto, pendente innanzi a un giudice nazionale, e che questo giudice disponga il rinvio.

In particolare, qualsiasi giurisdizione nazionale, investita di una controversia in cui l’applicazione di una norma di diritto europeo solleva dei quesiti (controversia principale), può decidere di rivolgersi alla Corte di giustizia per risolverli. Esistono due tipi di rinvio pregiudiziale:

•il rinvio per l’interpretazione della norma europea (diritto primario e diritto secondario): il giudice nazionale chiede alla Corte di giustizia di formulare un parere sull’interpretazione del diritto europeo per poter applicare la norma correttamente;

•il rinvio per l’esame di validità di una norma europea di diritto secondario: il giudice nazionale chiede alla Corte di giustizia di verificare la validità di un atto di diritto europeo.

Il rinvio pregiudiziale costituisce quindi un rinvio da giudice a giudice. Anche se può essere richiesto da una delle parti della controversia, spetta alla giurisdizione nazionale prendere la decisione di rimettersi alla Corte di giustizia

A differenza delle altre procedure giurisdizionali che competono alla Corte di giustizia, il rinvio pregiudiziale non è un ricorso contro un atto europeo o nazionale, bensì un quesito sull’applicazione del diritto europeo.

Il rinvio pregiudiziale favorisce quindi la cooperazione attiva tra le giurisdizioni nazionali e la Corte di giustizia, nonché l’applicazione uniforme del diritto europeo in tutta l’UE.

La decisione della Corte di giustizia (che è una sentenza passata in giudicato) sarà  obbligatoria, quindi, non solo per la giurisdizione nazionale che ha avviato il rinvio pregiudiziale, ma anche per tutte le giurisdizioni nazionali degli Stati membri.

Nel quadro del rinvio pregiudiziale per l’esame di validità, se l’atto europeo è dichiarato non valido  lo è anche l’insieme degli atti adottati sulla sua base (e questo è quello che è avvenuto con la  sentenza 8 aprile 2014, quando la CGUE ha dichiarato invalida l’intera direttiva Frattini – quella sulla data retention, per intenderci). Spetta quindi alle istituzioni europee competenti adottare un nuovo atto per porre rimedio alla situazione.

Poiché il rinvio pregiudiziale offre un mezzo per garantire la sicurezza giuridica tramite un’applicazione uniforme del diritto dell’Unione Europea, occorre, come abbiamo anticipato più sopra, che la pronuncia possa spiegare i propri effetti oltre gli angusti confini del caso concreto sottoposto al suo esame: in questo caso si parla di efficacia extraprocessuale.

Come ha chiarito la Corte Costituzionale (Corte cost., sentenza n. 113/1985) “La normativa comunitaria (…) entra e permane in vigore, nel nostro territorio, senza che i suoi effetti siano intaccati dalla legge ordinaria dello Stato; e ciò tutte le volte che essa soddisfa il requisito dell’immediata applicabilità. Questo principio (…) vale non soltanto per la disciplina prodotta dagli organi della C.E.E.  mediante regolamento, ma anche per le statuizioni risultanti, come nella specie, dalle sentenze interpretative della Corte di giustizia”.

L’effetto extraprocessuale non si dispiega solo sui giudici, ma avendo le pronunce efficacia erga omnes, grava anche sulle amministrazioni, concretandosi per entrambi nell’obbligo di disapplicare le norme in contrasto con la sentenza della Corte di giustizia e, infine, sul legislatore, il quale sarà tenuto non a disapplicare, ma ad abrogare e sostituire le predette norme, in modo da garantire la corretta applicazione del diritto dell’Unione.

Questo effetto si inscrive nella più ampia materia del primato del diritto dell’Unione sul diritto nazionale, e il meccanismo della disapplicazione (che non è l’unico rimedio che abbiamo per risolvere le antinomie, ce ne sono anche altri, ad esempio il criterio dell’interpretazione conforme, ma non è questa la sede per trattare la materia in modo troppo approfondito) si estende a tutti gli atti dotati di efficacia diretta, ovvero Trattati istitutivi, regolamenti, direttive d’immediata applicabilità e sentenze della Corte di giustizia.

Cosa succede se, però, siamo in presenza di un atto dell’Unione non dotato di efficacia diretta?

Secondo la Corte costituzionale (Corte cost. 28 gennaio 2010, n. 28), l’impossibilità di disapplicare la legge interna in contrasto con una direttiva comunitaria non munita di efficacia diretta non significa che questa sia immune dal controllo di conformità al diritto dell’Unione. In questo caso, il sindacato spetta alla Consulta, davanti alla quale il giudice può sollevare questione di legittimità costituzionale per violazione dell’art. 11 e 117, comma 1, Cost. Insomma “in caso di contrasto con una norma UE priva di efficacia diretta, nell’impossibilità di risolvere tale antinomia in via interpretativa, il giudice deve sollevare la questione di legittimità costituzionale, spettando alla Consulta valutare l’esistenza di un contrasto insanabile in via interpretativa e, eventualmente, annullare la legge incompatibile con il diritto dell’Unione” (così G. Grasso “La disapplicazione della norma interna contrastante con le sentenze della Corte di giustizia dell’U.E.” cui si rinvia per ulteriori approfondimenti).

Tanto premesso, vediamo dunque cosa accadrebbe se la normativa sulla data retention in commento entrasse in vigore così com’è.

Primo scenario: novella sulla data retention e rinvio pregiudiziale

Si è molto parlato del contrasto della normativa sulla data retention con le pronunce rese dalla Corte di giustizia, nonostante il periodo estivo e nonostante la norma sia stata generata in maniera del tutto sorprendente e inattesa.

Pare a chi scrive abbastanza scontato che il dibattito si andrà arricchendo e che non appena la norma farà la sua comparsa in tribunale, immediatamente i difensori si attiveranno per farla rimuovere (come è possibile che anche i giudici si attivino autonomamente in tal senso).

Ma come andrà rimossa?

Abbiamo visto che il principale motivo di censura, per la norma in commento, è il contrasto con gli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea, contrasto che ha portato la Corte di giustizia a rendere almeno due pronunce pregiudiziali in tema di data retention.

Abbiamo anche visto che la pronuncia pregiudiziale importa la disapplicazione delle norme in contrasto con i principi che statuisce, di per sé, senza bisogno di una nuova pronuncia, ma che nulla impedisce di sottoporre questioni simili alla C.G.U.E., se sorgono altri dubbi interpretativi.

Se riteniamo che tutte le sentenze pregiudiziali della Corte di giustizia siano dotate di efficacia diretta, potremmo già concludere che il giudice potrebbe disapplicare la norma in contrasto, e quindi la novella rimarrebbe lettera morta, e non rivestirebbe alcuna utilità.

Gli stessi provider, per sottrarsi in tempi brevi agli oneri di conservazione, potrebbero provocare giudizi al fine di chiedere che il giudice ne dichiari l’inapplicabilità.

Non tutti in realtà concordano con una tale impostazione, e il dibattito dottrinale sul punto meriterebbe più attenta disamina, pertanto basti qui dire che le statuizioni della Corte di giustizia dell’Unione Europea hanno, al pari delle norme comunitarie direttamente applicabili cui ineriscono, operatività immediata negli ordinamenti interni, ovvero hanno “la stessa immediata efficacia delle disposizioni interpretate”: sono quindi dotate di efficacia diretta solo le sentenze pregiudiziali della Corte di giustizia che hanno ad oggetto atti dell’U.E. dotati di efficacia diretta.

Qui si inserisce un nuovo tema: il contrasto della norma nazionale con articoli della Carta dei diritti fondamentali dell’Unione, il cui ambito di applicazione potrebbe essere circoscritto al solo ambito di applicazione del diritto dell’Unione Europea. Il diritto dell’Unione non abbraccia tutta la vita di una nazione, alcuni aspetti, ad esempio in tema di sicurezza nazionale, possono restarne fuori e i diritti fondamentali sanciti dalla Carta di Nizza dovrebbero, tuttavia, poter presidiare anche questi (sul punto potrebbe rivestire grande interesse questa pronuncia, se emessa).

Tale ultima argomentazione, tuttavia, in ragione della formulazione letterale della norma (si veda più sopra il rimando alle critiche mosse dall’avvocato Stefano Aterno) e della recente pronuncia sul caso Tele2 anch’essa richiamata più sopra, cade di lato: non sembrano sussistere ostacoli a una pronuncia della C.G.U.E. basata sulla Carta di Nizza.

Resterebbe semmai da stabilire, ma questo è appannaggio di interpreti ben più qualificati di chi scrive, se la Carta di Nizza, espressamente richiamata all’articolo 6 TUE che le conferisce efficacia pari a quella dei trattati, possa considerarsi atto dotato di efficacia diretta: in tal caso, infatti, al giudice nazionale sarebbe possibile, come detto, disapplicare direttamente la norma.

Nulla, comunque, impedisce di adire nuovamente la Corte di giustizia in via pregiudiziale.

E nulla fa dubitare che la Corte non seguirebbe la via già tracciata con le precedenti pronunce.

Infatti, per una curiosa alchimia del diritto, più o meno nello stesso periodo in cui il legislatore nazionale si avviava ad estendere il periodo di conservazione dei dati di traffico telefonico e telematico, la Corte di giustizia ribadiva il proprio orientamento in tema di data retention.

Si tratterebbe, allora, incardinati i processi, solo di attendere i tempi fisiologici del giudizio, affinché sia disposto il rinvio, ferma la discrezionalità di cui godono i giudici nazionali sul punto.

L’articolo 267 del trattato sul funzionamento dell’U.E. (TFUE) precisa, al riguardo, che le giurisdizioni nazionali di ultima istanza, le cui decisioni non possono essere oggetto di ricorso, hanno l’obbligo di adire la Corte di giustizia per la richiesta di un rinvio pregiudiziale, salvo nel caso in cui esista già una giurisprudenza della Corte in materia o nel caso in cui l’interpretazione della norma di diritto dell’U.E. in questione sia evidente.

Per contro, le giurisdizioni nazionali che non si pronunciano in ultima istanza non hanno l’obbligo di esercitare tale rinvio, anche se lo richiedesse una delle parti.

In qualsiasi caso, tutte le giurisdizioni nazionali possono spontaneamente adire la Corte di giustizia se nutrono dubbi sull’interpretazione di una disposizione europea. Per contro, esse devono obbligatoriamente rivolgere alla Corte una richiesta di decisione pregiudiziale nel momento in cui abbiano dei dubbi sulla validità di un atto che emana da un’istituzione, da un organo o da un organismo dell’Unione.

Attenzione però: la scelta discrezionale che si riconosce in capo ai giudici di ultima istanza non è se discostarsi o meno dalla corretta interpretazione del diritto dell’Unione offerta in precedenza dalla Corte di giustizia: non conformarsi al portato di una sentenza pregiudiziale espone a procedura di infrazione (v. oltre). La scelta per i giudici, in un caso come quello che ci occupa, sarebbe quindi tra disapplicare direttamente le norme in contrasto con il diritto dell’U.E. (e le indicazioni offerte dalla C.G.U.E.), provvedendo ad interpretarle da soli se l’interpretazione appare scontata, oppure rimettere il quesito nuovamente alla Corte di giustizia. Il dubbio non incide sulla sostanza (la norma, infatti, è in palese contrasto con il diritto dell’U.E.): esso riguarda solo il mezzo attraverso cui questa patologia potrà essere rimossa, ossia se sarà o meno necessario invocare nuovamente l’intervento della C.G.U.E.

Rinvio pregiudiziale e attuale disciplina della conservazione dei dati di traffico

C’è un altro aspetto da non sottovalutare: la novella si innesterebbe su una norma preesistente. Siamo sicuri che l’attuale formulazione dell’articolo 132 del Codice della Privacy sia immune da censure?

La risposta è negativa. Come si è notato da più parti, la formulazione attuale non soddisfa i parametri elaborati dalla Corte di giustizia, (oltre al fatto macroscopico che costituisce attuazione della direttiva sulla data retention, che la CGUE ha spazzato via).

Vi è, sul tema, un ottimo articolo di Roberto Flor, su Penale Contemporaneo, dal titolo DATA RETENTION ED ART. 132 COD. PRIVACY: VEXATA QUAESTIO; si tratta di una nota a Trib. Padova, ord. 15 marzo 2017, Pres. Marassi, ove si commenta un’ordinanza  che “merita di essere segnalata in quanto si tratta di uno dei rari casi, ad oggi noti, in cui l’avvocato della difesa ha chiesto al giudice (ex art. 121 c.p.p.) di dichiarare l’inutilizzabilità nel processo di tutti i dati esterni del traffico telefonico, a chiunque intestati, acquisiti in fase di indagini dalla pubblica accusa ex art. 132 d.lgs n. 196 del 2003 (Cod. priv.), a seguito della ormai nota sentenza della Corte di giustizia dell’Unione Europea sulla c.d. data retention.

In subordine, è stato chiesto al medesimo giudice di voler, ai sensi dell’art. 267 TFUE, sospendere il procedimento e sottoporre alla Corte di giustizia la seguente questione pregiudiziale: «se gli artt. 7, 8 e 52, par. 1 della Carta dei diritti fondamentali dell’Unione Europea ostino ad una normativa nazionale, quale l’art. 132 Cod. priv., che consente l’acquisizione e la conservazione dei dati esterni del traffico telefonico e telematico per qualsiasi tipo di reato»” (ibidem).

Il Tribunale ha rigettato le istanze, ma l’ordinanza presta il fianco a numerose critiche (in primis in ordine all’argomentazione che nega che l’art.132 del Codice della privacy abbia dato attuazione alla direttiva Frattini). Rilievi puntualmente sviluppati da Flor nel succitato articolo al quale, per economia, si rinvia, riportando qui solo alcuni spunti: “In primo luogo è vero che l’originaria formulazione dell’art. 132 Cod. priv. era antecedente alla direttiva 24/2006, ma non è assolutamente vero che esso non dia attuazione alla direttiva europea. Il decreto legislativo 30 maggio 2008, n. 109, infatti, “di attuazione della direttiva 2006/24/Ce riguardante la conservazione dei dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/Ce”, ha apportato modifiche all’art. 132 Cod. priv. proprio per attuare la disciplina europea.

In secondo luogo, è condivisibile sostenere che l’annullamento della direttiva potrebbe non aver effetto rispetto alla normativa interna, di attuazione o meno della stessa direttiva. Ciò varrebbe solo, però, se la disciplina nazionale non fosse caratterizzata dagli stessi “vizi” della direttiva, ovvero se il nostro legislatore avesse attuato la fonte europea adottando gli standard di garanzia ora richiesti dalla Corte di giustizia.”

Si riportano altresì le conclusioni di Flor, che chi scrive condivide in toto, per agevolare il lettore: “L’insanabile contrasto dell’art. 132 Cod. priv. con gli artt. 7, 8 e 52, par. 1 della Carta dei diritti fondamentali dell’Unione Europea non può certo essere sanato dal giudice, come pretende di fare il Tribunale di Padova, affermando che il reato per cui si procede deve ritenersi grave. Dalla sentenza della Corte si dovrebbe ricavare l’insegnamento, valido per ogni mezzo di indagine, secondo cui per incidere nella riservatezza della vita privata dei cittadini «occorre la previa fondamentale mediazione del legislatore, che stabilisca i contorni ed i limiti della [nuova] attività, nel cruciale rispetto del principio di proporzionalità». Pertanto l’attività prevista dall’odierno art. 132 Cod. priv., non dovrebbe essere compiuta e, se compiuta, dovrebbe essere considerata in contrasto con gli artt. 7, 8 e 52 della citata Carta dei diritti fondamentali ed «i suoi esiti non [potrebbero] essere utilizzati nel processo penale».

L’art. 132 Cod. priv. dovrebbe dunque essere disapplicato. Non essendovi precedenti diretti è evidente che, ove il giudice nazionale avesse dei dubbi sulla compatibilità della disposizione con il diritto europeo ed il rispetto dei diritti fondamentali, restano aperte le vie del vaglio di costituzionalità o del rinvio pregiudiziale alla Corte di giustizia ex art. 267 TFUE”.

La novella che si vorrebbe introdurre e che qui si commenta, quindi, non sposterebbe di una virgola questa impostazione dato che, da una parte, viene genericamente esteso il termine di conservazione per alcune tipologie di reato (ma senza rispettare i parametri fissati dalla C.G.U.E.), dall’altra non si intacca e non si emenda la traballante base su cui poggia l’intera struttura, ovvero la formulazione originaria dell’articolo 132 del Codice della Privacy, che resta inficiata dalle medesime criticità evidenziate da Flor.

Secondo scenario: data retention e inutilizzabilità

In ordine all’inutilizzabilità, varrà la pena spendere qualche altra parola.

Nel processo penale, l’inutilizzabilità è sancita dall’articolo 191 del Codice di procedura penale, il quale prevede che “Le prove acquisite in violazione dei divieti stabiliti dalla legge non possono essere utilizzate”.

Senza ripetere quanto già detto da Flor nell’articolo sopra citato, abbiamo già appurato che le prove assunte sulla base della conservazione ultra quinquennale dei dati come normata dalla novella in approvazione potrebbero incappare nell’inutilizzabilità, come già la precedente formulazione del Codice della Privacy sulla quale si innesta.

E la Cassazione ha già avuto modo di precisare che “Sono patologicamente inutilizzabili i dati relativi al traffico telefonico contenuti nei tabulati acquisiti dall’Autorità giudiziaria dopo i termini previsti dall’art. 132 d.l.vo 30 giugno 2003 n. 196, atteso il divieto di conservazione degli stessi da parte del gestore al fine di consentire l’accertamento dei reati oltre il periodo normativamente predeterminato. (Fattispecie in cui la richiesta di utilizzare i tabulati era stata formulata dalla difesa di un imputato)” Cass. Pen. n. 15613/2015.

Ciò sta a significare (al netto delle critiche mosse nel paragrafo che precede) che non dovrebbero verificarsi storture come quella prontamente rilevata dall’avvocato Carlo Blengino, e i dati conservati più a lungo per i reati individuati nella approvanda novella non dovrebbero poter essere acquisiti come prova per altre tipologie di reato, una volta che sia scaduto l’ordinario termine di conservazione.

Sarà compito dei difensori vigilare affinché nei processi le prove siano assunte ritualmente, sia ponendo attenzione ai tempi di conservazione in relazione alle fattispecie di reato, sia evidenziando, in ogni caso, il contrasto delle norme sulla conservazione dei dati con i diritti sanciti dagli articoli 7 e 8 della Carta di Nizza e con il portato della Corte di giustizia.

Terzo scenario: la procedura di infrazione

Vi è un ultimo aspetto da tenere in considerazione, sul quale si spenderanno pochissime parole, dato che non si vuole abusare della pazienza del lettore che abbia avuto la compiacenza di giungere sino a questo punto.

Non rispettare i trattati U.E., gli atti U.E. e le pronunce pregiudiziali espone lo Stato a procedure di infrazione.

La procedura di infrazione può essere sollecitata anche da cittadini e imprese i quali possono adire la Commissione compilando appositi moduli online, precisando se lo Stato sia venuto meno agli obblighi fissati dalla Carta di Nizza

Sebbene la Commissione non sia obbligata ad avviare la procedura dopo aver ricevuto la segnalazione, è facile immaginare che, in un caso come quello in commento, potrebbero essere innumerevoli le segnalazioni portate all’attenzione della Commissione da associazioni e privati, dato l’attivismo che contraddistingue le tematiche afferenti la privacy.

Lo Stato pertanto, adottando una norma come quella in commento, offre incautamente il fianco anche a questo tipo di procedure.

L’opportunità di adottare la novella

L’eventuale adozione della novella, come formulata, espone lo stato a diverse conseguenze negative, non solo in termini di utilità (la norma potrebbe essere direttamente disapplicata, oppure spazzata via attraverso un nuovo rinvio alla C.G.U.E., o, ancora, vanificata nell’applicazione processuale attraverso lo stigma dell’inutilizzabilità) ma anche perché espone lo Stato a procedure di infrazione, per il contrasto con gli articoli 7 e 8 della Carta di Nizza, oltre che con le precedenti pronunce pregiudiziali della Corte di giustizia dell’Unione Europea.

Non è dato sapere se il legislatore persevererà nell’adozione di una norma tanto criticata, ma certamente, più aumenta il dibattito intorno alla norma, più i rischi sopra segnati crescono esponenzialmente, senza contare che prima o poi, comunque, l’utilità che legislatore si attende di trarre dall’approvanda norma verrà incenerita sulla scorta della giurisprudenza della C.G.U.E.

Siamo sicuri che il gioco valga la candela?

AGGIORNAMENTO: Nella seduta dell’8 novembre, la Camera dei deputati ha approvato definitivamente, in seconda lettura, la legge europea 2017 (C.4505-B) L’articolo 24 fissa in settantadue mesi il termine di conservazione dei dati di traffico telefonico e telematico, nonché dei dati relativi alle chiamate senza risposta.

La norma è stata pubblicata in Gazzetta Ufficiale Serie Generale n. 277 del 27.11.2017, ed è entrata in vigore il 12 dicembre 2017.

Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.

L'articolo Possibili effetti dell’estensione della data retention a 6 anni sembra essere il primo su Cristina Vicarelli.

Eccezione delineata dall’articolo 5 del Codice della privacy

Al comma 3, l’articolo 5 D. Lgs. 196/03 dispone che “Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali è soggetto all’applicazione del presente codice solo se i dati sono destinati ad una comunicazione sistematica o alla diffusione. Si applicano in ogni caso le disposizioni in tema di responsabilità e di sicurezza dei dati di cui agli articoli 15 e 31.”

Significa, in concreto, che quando i trattamenti sono effettuati per scopi personali o domestici, ma sono destinati alla diffusione o alla comunicazione sistematica, come, ad esempio, se verranno pubblicati sul web, allora l’eccezione non opera e si applica il codice della privacy (anche con le mitigazioni previste per la manifestazione del pensiero o l’espressione artistica, se del caso). Si noti come alcune norme, in particolare quelle relative alle misure di sicurezza e quelle relative al risarcimento danni, trovino sempre applicazione, indipendentemente dallo scopo domestico o familiare nel quale si inscrive il trattamento.

Quindi, anche se pubblichiamo le foto dei nostri amici sui social network, poiché siamo di fronte alla diffusione dei dati personali che li riguardano, dobbiamo applicare il Codice della privacy, con particolare riguardo agli aspetti che disciplinano informativa e consenso.

E dato che il trattamento senza consenso è sanzionato sia sotto il profilo amministrativo che sotto quello penale (seppure a specifiche ulteriori condizioni), il trattamento illecito dei dati ha costituito spesso l’unico baluardo offerto dall’ordinamento contro la diffusione di dati personali sul web, sia che si fosse in presenza di numeri di telefono, sia che si fosse in presenza di fotografie o video, o, addirittura, di provvedimenti giudiziari.

Cosa cambia con il Regolamento europeo

Il Regolamento 679/2016 prevede, alla lettera c) del primo comma dell’articolo 2 “Ambito di applicazione materiale”  che il Regolamento stesso non si applichi ai trattamenti di dati personali:

“(…) effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico;”. Come si vede l’ambito di eccezione non è delimitato da trattamenti che comportino diffusione o comunicazione sistematica. Si tratta di una apertura del tessuto normativo molto più ampia di quella incisa nel Codice della privacy, ma si tratta anche di una formulazione non del tutto nuova, che ricalca quella utilizzata dal legislatore già nella Direttiva 95/46/CE.

Solo che al tempo della emanazione della Direttiva 95/46/CE l’uso di Internet non era così pervasivo e la diffusione capillare dei social network non era nemmeno immaginata.

Il problema dell’estensione al web dell’eccezione per attività di carattere esclusivamente personale e familiare si era posto, tuttavia, nel corso del tempo, ed era giunto sino al vaglio della Corte di Giustizia: nella sentenza resa nella Causa C-101/01 (Bodil Lindqvist), nel 2003, la Corte di Giustizia aveva escluso che il trattamento di dati personali operato sul web potesse essere ricondotto al perimetro di eccezione delineato per le attività esclusivamente personali e familiari, dato che, da un lato, la Direttiva non aveva prescrizioni specifiche per i trattamenti operati sul web, dall’altro  “il dodicesimo ‘considerando’ di questa, relativo a tale eccezione, menziona, a titolo di esempio di trattamento di dati effettuato da una persona fisica nell’esercizio di attività a carattere esclusivamente personale o domestico, la corrispondenza e la compilazione di elenchi di indirizzi.

Tale eccezione deve quindi interpretarsi nel senso che comprende unicamente le attività che rientrano nell’ambito della vita privata o familiare dei singoli, il che manifestamente non avviene nel caso del trattamento di dati personali consistente nella loro pubblicazione su Internet in modo da rendere tali dati accessibili ad un numero indefinito di persone.”.

L’interpretazione restrittiva dell’ambito di operatività dell’eccezione delle attività familiari e personali è stata successivamente ribadita dalla Corte di Giustizia nella sentenza resa nella causa C‑212/13 (Ryneš), seppure in tema di videosorveglianza.

Tuttavia nonostante il dettato normativo della Direttiva e quello del recente regolamento siano speculari, non è così per i considerata. E se la chiave di lettura per definire la portata dell’eccezione si trae dalle considerazioni espresse dal legislatore europeo, ha senso  tornare a chiedersi se la diffusione sul web di dati personali possa considerarsi attività che rientra nell’eccezione sopra riferita quando sia mossa da fini non professionali o commerciali, ma personali o familiari (attenzione: fini esclusivamente personali o familiari, quindi né professionali o commerciali, né “misti”: ove dei social network fosse fatto un impiego professionale o “misto” l’eccezione non opererebbe).

Al considerando n. 18 si legge infatti: “Il presente regolamento non si applica al trattamento di dati personali effettuato da una persona fisica nell’ambito di attività a carattere esclusivamente personale o domestico e quindi senza una connessione con un’attività commerciale o professionale. Le attività a carattere personale o domestico potrebbero comprendere la corrispondenza e gli indirizzari, o l’uso dei social network e attività online intraprese nel quadro di tali attività”.

Il legislatore, pertanto, ha inteso ampliare sensibilmente il campo dell’eccezione e non solo: prosegue infatti il considerando 18: “Tuttavia, il presente regolamento si applica ai titolari del trattamento o ai responsabili del trattamento che forniscono i mezzi per trattare dati personali nell’ambito di tali attività a carattere personale o domestico”.

La portata di quest’ultimo inciso pare spostare le responsabilità sui provider dei servizi di comunicazione.

L’intenzione del legislatore era, probabilmente, liberare i privati dalle pastoie e dagli oneri del Regolamento, al fine di rendere più facile la condivisione dei dati personali, ove riferiti ad attività prettamente “familiari o personali”, e agevolare la libertà di esprimersi e comunicare delle persone fisiche, assumendo che la normativa sulla protezione dei dati non ha il compito di reprimere ogni abuso perpetrato sul web, né potrebbe, e spetterebbe ad altri rami dell’ordinamento approntare la necessaria tutela contro comportamenti dannosi o, comunque, lesivi del corpo digitale altrui.

Tuttavia, la buona intenzione che pure si legge tra le righe (e nei lavori preparatori) rischia di innescare un devastante ritorno di fiamma, spostando sul provider il controllo, in prima battuta, sulle pubblicazioni degli utenti, e addossandogli responsabilità delle quali non è detto che gli convenga farsi carico.

Senza contare la peculiare soluzione italiana, che domanda una ricognizione e un ripensamento delle fattispecie oggi ricondotte al trattamento illecito.

Ho già parlato del rapporto tra la normativa sulla protezione dei dati personali e la responsabilità del provider delineata dalla direttiva e-commerce, e non mi ripeterò, ma certamente il considerando 18 del Regolamento generale sulla protezione dei dati aggiunge benzina sul fuoco, profilando una responsabilità del provider (che fornisca i mezzi per trattare dati personali) del tutto peculiare, seppure circoscritta alla materia della protezione dei dati. Come potrà il provider essere responsabile per le attività di carattere personale e domestico che non ricadono nell’ambito di applicazione del Regolamento stesso? Verso chi sarà responsabile? L’inciso si presta a molteplici letture: spetterà al provider garantire il diritto all’oblio, la correttezza, l’esattezza e l’aggiornamento dei dati trattati?

Come si coordinerà tale previsione con la libertà di espressione, la cui regolazione e il cui bilanciamento con la normativa posta a tutela dei dati personali resta prerogativa dei singoli Stati membri?

Che margine di azione avrà il legislatore nazionale per correggere le eventuali storture a cui potrebbe prestarsi il considerando 18 del Regolamento sulla protezione dei dati? E, davvero, si riuscirà a trovare un bilanciamento efficace tra l’esigenza di tutela da apprestare agli interessati, nel caso di diffusione dei loro dati sul web che ricada nell’ambito di eccezione dell’attività personale e familiare, e l’esigenza di non forzare la responsabilità del provider, per salvaguardare la libertà di espressione, e, non ultima, la libertà e il diritto di informazione?

Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.

L'articolo Eccezione per trattamenti a fini personali nel RGPD sembra essere il primo su Cristina Vicarelli.

Inoltre l’art. 136 del D. lgs. 196/03 contiene anche un importante intervento di attuazione della direttiva 95/46/CE, prevedendo che nell’ambito dei trattamenti effettuati per finalità di manifestazione del pensiero rientrano anche quelli nel campo dell’espressione artistica, nel caso in cui, ovviamente, abbiano ad oggetto dati personali (art. 9, dir. 95/46/CE).

Il legislatore, includendo nella tutela le finalità temporanee di pubblicazione o diffusione occasionale di articoli o altre manifestazioni del pensiero e artistiche, e distinguendole dalle pubblicazioni (pure tutelate) effettuate da giornalisti iscritti all’albo, pubblicisti e praticanti, ha consentito di estendere anche ai blog le specifiche garanzie e cautele previste dal Codice della Privacy, nel caso di trattamenti effettuati per finalità giornalistiche o ad esse equiparate, confermando la loro liceità, anche laddove essi si svolgano senza il consenso degli interessati, purché avvengano nel rispetto dei diritti, delle libertà fondamentali e della dignità delle persone alle quali si riferiscono i dati trattati (cfr. artt. 136 e ss. e art. 102, comma 2, lett. a), del Codice, nonché “Codice di deontologia relativo al trattamento dei dati nell’esercizio dell’attività giornalistica”, pubblicato in G. U. 3 agosto 1998, n. 179, Allegato A.1, doc. web n.  1556386) (cfr Provvedimento del 27 gennaio 2016 [4747581]).

Segreto sulla fonte della notizia

L’articolo 138 del Codice della Privacy si occupa del segreto professionale, e richiama laconicamente la normativa applicabile ai giornalisti.

Per comodità si riporta integralmente l’articolo: “Art. 138. Segreto professionale
1. In caso di richiesta dell’interessato di conoscere l’origine dei dati personali ai sensi dell’articolo 7, comma 2, lettera a) restano ferme le norme sul segreto professionale degli esercenti la professione di giornalista, limitatamente alla fonte della notizia.”

Ciò sta a significare che se, esercitando i diritti riconosciuti dall’articolo 7 del Codice della privacy, un interessato voglia conoscere l’origine dei dati, ovvero l’identità della fonte, potrà vedersi opporre un diniego, grazie alla norma sopra citata, che consente ai giornalisti di proteggere la fonte.

Ma come va interpretato questo richiamo? Le norme sul segreto professionale, seppure limitatamente alla fonte, saranno invocabili da chiunque rientri nel campo di applicazione del titolo XII del Codice privacy, o solo dagli “esercenti la professione di giornalista”? A ben guardare, un’interpretazione estensiva anche di questo articolo in favore di blogger o altri soggetti che si trovino a pubblicare occasionalmente notizie di interesse pubblico non appare del tutto preclusa dal tenore della norma.

Una parziale indicazione, in ordine all’esegesi della normativa, può essere rinvenuta nel provvedimento reso dal Garante il 12 gennaio 2017 [6085378]

Il caso

Il ricorrente domandava (tra l’altro) ad un blog, in ordine alla pubblicazione di contenuti che lo riguardavano, di conoscere gli estremi identificativi del giornalista, del titolare, del rappresentante legale e del direttore responsabile della testata che aveva pubblicato gli articoli, “nonché della persona che ha costituito la fonte dei dati personali illecitamente pubblicati”

Il blog non dava seguito all’istanza dell’interessato, giustificando il proprio diniego sulla base del fatto che la richiesta gli appariva più volta a intimidire i soggetti coinvolti che non a soddisfare una reale esigenza dell’interessato stesso.

Il Garante, all’esito dell’istruttoria avviata, ribadiva, innanzi tutto, come la disciplina in materia di trattamento dei dati per finalità giornalistiche risulti applicabile anche ai blog la cui attività e caratteristiche collocano gli stessi nell’ambito della fattispecie disciplinata dall’art. 136 del Codice privacy,  che estende l’applicazione delle disposizioni contenute nel relativo titolo anche ad ogni altra attività di manifestazione del pensiero implicante trattamenti di dati personali, pur se effettuata da “soggetti non esercitanti professionalmente detta attività”;

L’Autorità, però, rilevava anche che che il blog opponeva, nel corso del procedimento, un indebito rifiuto a fornire le informazioni richieste senza tuttavia addurre, con specifico riferimento all’istanza volta a conoscere l’origine dei dati, motivazioni fondate sulla necessità di preservare la segretezza della fonte come espressamente indicato nell’art. 138, comma 1, del Codice;

Pertanto il Garante invitava il blog a fornire riscontro alle istanze dell’interessato, salva la facoltà di avvalersi dell’eccezione di cui all’articolo 138 del Codice della privacy. Il Garante, nel corso del provvedimento, fa più volte riferimento a tale facoltà, ed ogni volta ribadisce che il blog potrà avvalersene ove ne ricorrano i presupposti, come indicato nella norma stessa.

Blog e segretezza della fonte della notizia

A quali presupposti fa riferimento il Garante? Alla qualifica di “esercente la professione giornalistica”? Se inteso in tal senso, il blog potrebbe non rivelare la fonte solo ove l’articolo fosse stato pubblicato da un giornalista (anche ove pubblicista o praticante).

Tuttavia, pare a chi scrive che il riferimento ai presupposti dell’articolo 138 del Codice della privacy -più volte operato nel provvedimento in commento (e riferito, per mero errore materiale, anche ad un insussistente secondo comma, nel dispositivo)- vada inteso nel senso espresso nella parte narrativa del provvedimento stesso, come accenno alle “motivazioni fondate sulla necessità di preservare la segretezza della fonte”, a prescindere cioè dalla qualifica di giornalista professionista. Tale interpretazione appare più coerente con l’estensione delle norme dell’intero titolo anche ai “soggetti non esercitanti professionalmente detta attività” richiamata dal Garante.

Una maggiore certezza ermeneutica in ordine dell’applicazione dell’articolo 138 del Codice della privacy è auspicabile; essa ha, infatti, una sua rilevanza pratica, e non è una mera ipotesi di scuola: si pensi all’impatto che essa avrebbe su blog che facilitano attività di segnalazione di illeciti (whistleblowing) o leak.

Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.

L'articolo Blog e segreto sulla fonte della notizia sembra essere il primo su Cristina Vicarelli.

Abbiamo deciso di metterle le nostre slide a disposizione in questo spazio, in modo da dare la la possibilità a chi volesse approfondire, di prelevarle e utilizzarle nel modo che riterrà più utile. Le slide possono essere scaricate anche cliccando sulla scritta “scarica questo articolo in PDF” presente in questa pagina subito sotto il titolo.

slide whistleblowing-ijf17

Per completezza inserirò di seguito anche il link alla pagina del IJF17 che ospita il nostro intervento e direttamente al video presente su YouTube, sempre sul canale di IJF17.

Whistleblowing: le garanzie giuridiche e tecniche per le fonti – video  e pagina del IJF17

Del difficile e non sempre chiaro rapporto tra whistleblowing e privacy avevo già parlato, in maniera più approfondita qui. Le slide dell’intervento del dottor Rodolfi (“Perché Whistleblowing?”) allo stesso evento, invece, si possono consultare qui.

L'articolo Whistleblowing: le garanzie giuridiche e tecniche per le fonti sembra essere il primo su Cristina Vicarelli.

Non è infrequente, infatti, che si tenti di ricomporre le normative, che nascono per offrire tutela in ambiti separati al fine di trovare un punto di equilibrio tra diritti fondamentali (libertà di espressione, riservatezza e trattamento dei dati personali), sovrapponendole ed intrecciandone arbitrariamente gli istituti, anche contro la stessa lettera della legge. È innegabile, tuttavia, che non sempre è agevole ricostruire il rapporto tra queste norme o mantenerle separate nella sostanza. Sarà pertanto utile, per comprendere l’interazione tra protezione dei dati personali e responsabilità del provider, ripercorrere i tratti principali della interpretazione offerta dagli organi comunitari e dal Gruppo di lavoro Art. 29.

La responsabilità del provider

Chi offre la possibilità agli utenti di esprimersi sul web non risponde, di regola, per i contenuti postati dagli utenti, come non ne risponde chi si limiti a “memorizzare” temporaneamente i contenuti altrui o chi offra la rete di comunicazione. Ovviamente, a seconda del servizio offerto, i presupposti per godere di queste esenzioni di responsabilità possono variare, ma, in soldoni, il principio generale è quello dell’irresponsabilità del provider per i contenuti immessi da altri, come non sussiste alcun obbligo di sorveglianza preventiva da parte dei provider su tali contenuti.

La responsabilità è declinata nello specifico dagli articoli 12, 13 e 14 della Direttiva 2000/31/CE  trasposti nel nostro ordinamento rispettivamente negli articoli 14,15 e 16 del D. Lgs. 70/03.

Inoltre, l’articolo  15 della Direttiva, dopo aver disposto l’assenza dell’obbligo generale di sorveglianza (“Nella prestazione dei servizi di cui agli articoli 12, 13 e 14, gli Stati membri non impongono ai prestatori un obbligo generale di sorveglianza sulle informazioni che trasmettono o memorizzano né un obbligo generale di ricercare attivamente fatti o circostanze che indichino la presenza di attività illecite”), poneva, per gli Stati membri, la possibilità di inserire un obbligo di informare le autorità di eventuali illeciti di cui fossero venute a conoscenza (“Gli Stati membri possono stabilire che i prestatori di servizi della società dell’informazione siano tenuti ad informare senza indugio la pubblica autorità competente di presunte attività o informazioni illecite dei destinatari dei loro servizi o a comunicare alle autorità competenti, a loro richiesta, informazioni che consentano l’identificazione dei destinatari dei loro servizi con cui hanno accordi di memorizzazione dei dati”), scelta operata in effetti dal legislatore nazionale.

La responsabilità dell’hosting provider

Il Decreto legislativo 70/03 in ordine alla responsabilità dell’host provider (la più frequente nella pratica) stabilisce che:

“1. Nella prestazione di un servizio della società dell’informazione consistente nella memorizzazione di informazioni fornite da un destinatario del servizio, il prestatore non è responsabile delle informazioni memorizzate a richiesta di un destinatario del servizio, a condizione che detto prestatore:

a) non sia effettivamente a conoscenza del fatto che l’attività o l’informazione è illecita e, per quanto attiene ad azioni risarcitorie, non sia al corrente di fatti o di circostanze che rendono manifesta l’illiceità dell’attività o dell’informazione;

b) non appena a conoscenza di tali fatti, su comunicazione delle autorità competenti, agisca immediatamente per rimuovere le informazioni o per disabilitarne l’accesso.”

Quindi non sussiste una responsabilità diretta del provider, a condizione che il provider non abbia conoscenza dell’illiceità dei contenuti: in ordine ad eventuali azioni risarcitorie per evitare responsabilità, il provider non deve essere al corrente di fatti che rendano manifesta l’illiceità dell’attività o dell’informazione.

Qualche problema interpretativo in più lo ha creato la lettera b),  con l’inciso riferito alla comunicazione delle autorità competenti. Ci si è domandati, cioè, se la rimozione delle informazioni illecite (che deve essere tempestiva) dovesse seguire la comunicazione delle autorità competenti o se l’obbligo di rimozione potesse derivare anche da una conoscenza circostanziata e non “qualificata”, anche a seguito di comunicazione inviata dalla persona offesa, come sembra suggerire il testo della Direttiva.

La Direttiva infatti non conteneva il riferimento alle autorità competenti, limitandosi a prevedere che il prestatore non avrebbe dovuto essere  “responsabile delle informazioni memorizzate a richiesta di un destinatario del servizio, a condizione che detto prestatore:

a) non sia effettivamente al corrente del fatto che l’attività o l’informazione è illecita e, per quanto attiene ad azioni risarcitorie, non sia al corrente di fatti o di circostanze che rendono manifesta l’illegalità dell’attività o dell’informazione, o

b) non appena al corrente di tali fatti, agisca immediatamente per rimuovere le informazioni o per disabilitarne l’accesso”,

sebbene la medesima Direttiva lasciasse impregiudicata la possibilità di prevedere per gli Stati membri la possibilità di prevedere che le autorità amministrative e giurisdizionali potessero ordinare la rimozione dei contenuti e procedure per inibire l’accesso alle informazioni. Possibilità che, comunque sembra accolta dal comma terzo dell’articolo 16 del D. Lgs. 70/03 il quale prevede che “L’autorità giudiziaria o quella amministrativa competente può esigere, anche in via d’urgenza, che il prestatore, nell’esercizio delle attività di cui al comma 1, impedisca o ponga fine alle violazioni commesse”.

In ordine all’obbligo generale di sorveglianza il legislatore nazionale ai commi 2 e 3 dell’articolo  17 del D. Lags 70/03 dopo aver ribadito l’assenza di tale obbligo, come stabilito dalla Direttiva e-commerce, ha disposto che:

“Fatte salve le disposizioni di cui agli articoli 14, 15 e 16, il prestatore è comunque tenuto:

a) ad informare senza indugio l’autorità giudiziaria o quella amministrativa avente funzioni di vigilanza, qualora sia a conoscenza di presunte attività o informazioni illecite riguardanti un suo destinatario del servizio della società dell’informazione;

b) a fornire senza indugio, a richiesta delle autorità competenti, le informazioni in suo possesso che consentano l’identificazione del destinatario dei suoi servizi con cui ha accordi di memorizzazione dei dati, al fine di individuare e prevenire attività illecite.

Il prestatore è civilmente responsabile del contenuto di tali servizi nel caso in cui, richiesto dall’autorità giudiziaria o amministrativa avente funzioni di vigilanza, non ha agito prontamente per impedire l’accesso a detto contenuto, ovvero se, avendo avuto conoscenza del carattere illecito o pregiudizievole per un terzo del contenuto di un servizio al quale assicura l’accesso, non ha provveduto ad informarne l’autorità competente”.

Senza soffermarsi troppo su alcune difficoltà interpretative che hanno riguardato la trasposizione italiana, soprattutto in ragione della difficoltà di individuare le autorità amministrative competenti e il ruolo che rivestono nella normativa in commento (polemiche non placate neppure con i poteri in tema di diritto d’autore dei quali è stata investita l’AGCOM), la responsabilità del provider sorge comunque solo in seguito alla conoscenza dell’illecito (il problema è comprendere, semmai, come si determini detta conoscenza, ma la questione meriterebbe apposita trattazione) e ciò ha portato a diversi approdi giurisprudenziali a seconda che si vertesse nel campo del diritto d’autore (o per intenderci, delle violazioni di copyright), dove l’assenza del diritto di riproduzione può apparire “manifesta”, e altre fattispecie, collegate al diritto di manifestazione del pensiero, che trovano limiti opinabili (nel senso che spesso non sono chiaramente individuabili, ma necessitano di valutazione caso per caso) nel diritto di cronaca, critica e satira. Senza considerare che l’attivazione del provider per informare le autorità dell’illecito è priva di sbocchi (e di senso) nel caso di compimento di reati non perseguibili d’ufficio ma solo a querela di parte, la cui procedibilità, cioè, è rimessa dall’ordinamento alla sola determinazione dell’offeso.

Questa forma di esenzione di responsabilità è molto efficace per chi offre uno spazio ad altri senza avere grande struttura o mezzi, come ad esempio i blog: porre un obbligo di controllo o una corresponsabilità del blogger o immaginare una strutturazione della responsabilità simile a quella prevista per il direttore responsabile nelle pubblicazioni a stampa rischierebbe di addossare oneri troppo gravosi in capo a soggetti spesso sforniti dei necessari mezzi, portandoli a limitare lo spazio offerto e paralizzandone l’attività per paura delle conseguenze che potrebbero scaturire dalla condotta altrui, con gravi ripercussioni sulla libertà di espressione.

Il content provider e l’host attivo

Il comma 2 dell’articolo 16 del D.Lgs 70/03 prevede che le disposizioni di cui al primo comma in tema di esenzione di responsabilità del provider “non si applicano se il destinatario del servizio agisce sotto l’autorità o il controllo del prestatore”. Cioè, se il provider ha un ruolo attivo della determinazione o scelta dei contenuti che pubblica, i limiti di responsabilità saltano e la sua responsabilità si riespande secondo le regole ordinarie.

Un’ipotesi frequente, tuttavia, è che il provider, specie se si tratta di un grande player,  intervenga sui contenuti determinandone il diverso grado di visibilità, aggregandoli in base alla richieste dell’utente o alla misura di condivisione sui social, in genere mediante l’impiego di algoritmi. In questi casi, nei quali  l’host provider incide nella fornitura dei contenuti al pubblico, ordinandoli, aggregandoli o compiendo altre operazioni, e magari lucrando sulle visualizzazioni, il provider può beneficiare dell’esenzione di responsabilità sopra descritta? Oppure dovremmo considerare le sue ingerenze e valutarle peculiarmente sul piano della responsabilità? La giurisprudenza, per gradare la responsabilità, in questi casi, ha fatto ricorso alla figura ibrida dell’”host attivo”, figura che, tuttavia, è molto controversa  in dottrina e alla quale qui si accenna solo per completare sommariamente il quadro.

La normativa sulla protezione dei dati personali.

La normativa sulla protezione dei dati personali, invece, parte da presupposti differenti.

Innanzi tutto c’è il titolare dei dati che è il soggetto al quale competono le scelte in ordine alle finalità e ai mezzi del trattamento, nonché , secondo il Dlgs 196/03, anche la scelta delle misure di sicurezza. Al titolare spetta tutta una serie di obblighi, tra cui: acquisire i consensi quando necessario, applicare le misure di sicurezza, fornire agli interessati le informazioni necessarie in ordine ai trattamenti. La scansione dei ruoli privacy prevede che i compiti e le istruzioni siano impartite dal titolare ai soggetti sottoposti, che vengono inquadrati in ruoli precisi, di responsabile o incaricato, a seconda del grado di autonomia di cui godono rispetto al titolare del trattamento.

Sul web questi obblighi vanno contemperati con i diritti connessi alla libertà di espressione, e subiscono delle facilitazioni e delle parziali deroghe.

In particolare nel Codice della Privacy sotto il Titolo XII – Giornalismo ed espressione letteraria ed artistica, l’Art. 136. “Finalità giornalistiche e altre manifestazioni del pensiero” recita:
“1. Le disposizioni del presente titolo si applicano al trattamento:

a) effettuato nell’esercizio della professione di giornalista e per l’esclusivo perseguimento delle relative finalità;

b) effettuato dai soggetti iscritti nell’elenco dei pubblicisti o nel registro dei praticanti di cui agli articoli 26 e 33 della legge 3 febbraio 1963, n. 69;

c) temporaneo finalizzato esclusivamente alla pubblicazione o diffusione occasionale di articoli, saggi e altre manifestazioni del pensiero anche nell’espressione artistica.”

Mentre l’articolo Art. 137 “Disposizioni applicabili” precisa che:
“1. Ai trattamenti indicati nell’articolo 136 non si applicano le disposizioni del presente codice relative:

a) all’autorizzazione del Garante prevista dall’articolo 26;

b) alle garanzie previste dall’articolo 27 per i dati giudiziari;

c) al trasferimento dei dati all’estero, contenute nel Titolo VII della Parte I.

2. Il trattamento dei dati di cui al comma 1 è effettuato anche senza il consenso dell’interessato previsto dagli articoli 23 e 26.

3. In caso di diffusione o di comunicazione dei dati per le finalità di cui all’articolo 136 restano fermi i limiti del diritto di cronaca a tutela dei diritti di cui all’articolo 2 e, in particolare, quello dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico. Possono essere trattati i dati personali relativi a circostanze o fatti resi noti direttamente dagli interessati o attraverso loro comportamenti in pubblico.”

Insomma, ci sono delle “deroghe” e delle facilitazioni in ordine al trattamento dei dati sul web, delle quali beneficiano non solo le testate giornalistiche registrate ma anche i blog e anche chi occasionalmente posti delle notizie o altri contenuti che attingono al bacino della libertà di espressione, ad esempio creazioni artistiche, a condizione che siano rispettati gli obblighi posti nella sezione dedicata del codice e che sia rispettato il principio dell’interesse pubblico che sostiene la pubblicazione e dell’essenzialità dell’informazione rispetto all’interesse pubblico del fatto.

In caso di violazione dei diritti, le norme impongono comunque di evidenziare il titolare del trattamento e rendere le informative in modo da consentire agli interessati un facile esercizio della tutela dei diritti che assumono lesi.

I diritti che possono essere esercitati e tutelati in tal senso sono solo quelli riferiti alla materia della protezione dei dati personali: più volte, ad esempio, il Garante Privacy si è trovato a ribadire la propria incompetenza ove il suo intervento era sollecitato per pubblicazioni che apparivano illecite solo perché potevano presentare profili diffamatori.

Sul web siamo tutti titolari?

Salvo quanto sopra, la gestione di spazi web va comunque oltre le ipotesi afferenti alla libertà di espressione, e in generale chiunque gestisce uno spazio sul web nel quale vengono trattati dati personali è tenuto a fornire l’informativa relativa al trattamento operato, anche se questo sia limitato ai dati di navigazione (in ossequio all’articolo 13 del Codice Privacy e alla raccomandazione WP43 del Gruppo di lavoro Articolo 29) ed eventualmente ad acquisire i consensi che si rendano necessari a seconda del trattamento operato.

Essere un privato cittadino non esonera: l’articolo 5 del Codice della privacy, infatti, dispone, al terzo comma, che:

“Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali è soggetto all’applicazione del presente codice solo se i dati sono destinati ad una comunicazione sistematica o alla diffusione. Si applicano in ogni caso le disposizioni in tema di responsabilità e di sicurezza dei dati di cui agli articoli 15 e 31.” dato che la pubblicazione sul web rientra nelle ipotesi di “comunicazione sistematica e diffusione”,

Sul web, chiunque si appresti a trattare dati altrui pubblicandoli, deve quindi applicare il D. Lgs. 196/03, ad esempio, acquisendo il consenso informato ove necessario.

Spesso sulla rete Internet si verifica una stratificazione di soggetti, si pensi ai trattamenti operati dagli utenti che pubblichino fotografie raffiguranti altre persone riconoscibili sui gruppi di un notissimo social network; e non sempre è immediato comprendere quali obblighi competano ai diversi soggetti coinvolti e quali obblighi ponga loro in capo il Codice della privacy.

Il provider è titolare del trattamento?

Interrogandosi sui problemi connessi all’individuazione del titolare del trattamento sul web,  il WP29 nel Parere 1/2010 – WP 169 in merito ai Provider di servizi di hosting su Internet ha evidenziato che un provider di servizi Internet (ISP) che fornisce servizi di hosting è in linea di principio un responsabile  del trattamento per i dati personali pubblicati on-line dai suoi clienti, che si rivolgono a lui per l’hosting e la manutenzione del loro sito web. Se tuttavia l’ISP tratta ulteriormente, per scopi propri, i dati contenuti nei siti web, diventa titolare per tale specifico trattamento. (si osservi che l’analisi operata dal WP ha condotto a diverse conclusioni per un ISP che fornisse servizi di posta elettronica o di accesso a Internet). L’elemento più importante è la condizione secondo cui il responsabile  del trattamento interviene “…per conto del titolare del trattamento…”. Intervenire “per conto di….” significa, per il WP,  servire gli interessi di un altro soggetto, e ciò richiama il concetto giuridico di “delega”. Nel caso della normativa sulla protezione dei dati, il responsabile del trattamento deve attuare le istruzioni ricevute dal titolare del trattamento almeno per quanto attiene alla finalità del trattamento stesso e agli aspetti fondamentali dei mezzi.

In tale ottica, la liceità dell’attività di trattamento dei dati da parte del responsabile è determinata dal mandato ricevuto dal titolare del trattamento. Se va al di là del proprio mandato e se acquisisce un ruolo rilevante nella determinazione delle finalità o degli aspetti fondamentali dei mezzi del trattamento, il responsabile diventa (con)titolare. La questione della liceità del trattamento operato in concreto dovrà poi, comunque, essere valutata alla luce degli articoli rilevanti della direttiva. La delega può tuttavia comportare un certo grado di discrezionalità sul modo in cui servire al meglio gli interessi del titolare del trattamento, consentendo al responsabile di scegliere gli strumenti tecnici ed organizzativi più adatti.

In generale il WP ha riconosciuto le difficoltà che presenta l’applicazione delle definizioni della direttiva in un contesto complesso, con vari scenari che possono vedere intervenire titolari e responsabili del trattamento, da soli o congiuntamente con altri, con vari gradi d’autonomia e di responsabilità. Tuttavia non ha ritenuto che la direttiva non fosse più idonea a garantire la protezione dei dati personali nel mutato e più complesso scenario dovuto, principalmente, all’evoluzione tecnologica. In particolare nella scissione tra determinazione delle finalità del trattamento e determinazione dei mezzi ha dato prevalenza alle prime in ordine all’individuazione della titolarità, ritenendo che i secondi da soli non fossero sufficienti, ma potessero essere delegati dal titolare al responsabile nel rispetto della normativa.

Una simile ricostruzione ha prestato il fianco a non poche critiche, data la sperequazione contrattuale che sussiste tra titolare dei dati (spesso un privato) e responsabile (si pensi a un social network), tuttavia appare idonea a non interferire con la separata, diversa impostazione normativa che presiede alla individuazione della responsabilità del provider sopra descritta, che opera in materie diverse dalla protezione dei dati.

La separazione degli ambiti

La tutela dei dati personali affonda le proprie radici in Europa nella Direttiva 95/46/CE. Nella direttiva non c’è spazio per l’armonizzazione con la disciplina in tema di responsabilità del provider.

La Direttiva e-commerce, infatti, è del 2001. E’ la direttiva e-commerce che si preoccupa di separare l’ambito di applicazione delle due normative.

All’articolo 1 comma 5 essa infatti dispone che  “La presente direttiva non si applica:

(…)

b) alle questioni relative ai servizi della società dell’informazione oggetto delle direttive 95/46/CE e 97/66/CE”.

In particolare il legislatore europeo si è preoccupato di specificare che “la protezione dei singoli relativamente al trattamento dei dati personali è disciplinata unicamente dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e dalla direttiva 97/66/CE del Parlamento europeo e del Consiglio, del 15 dicembre 1997, sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle telecomunicazioni, che sono integralmente applicabili ai servizi della società dell’informazione. Dette direttive già istituiscono un quadro giuridico comunitario nel campo della protezione dei dati personali e pertanto non è necessario includere tale aspetto nella presente direttiva per assicurare il buon funzionamento del mercato interno, in particolare la libera circolazione dei dati personali tra gli Stati membri. L’applicazione della presente direttiva deve essere pienamente conforme ai principi relativi alla protezione dei dati personali, in particolare per quanto riguarda le comunicazioni commerciali non richieste e il regime di responsabilità per gli intermediari. La presente direttiva non può impedire l’utilizzazione anonima di reti aperte quali Internet.”

Impostazione ricalcata dal legislatore nazionale il quale all’articolo 1 del D. Lgs. 70/03 ha delimitato l’ambito di applicazione in questo modo: “Il presente decreto è diretto a promuovere la libera circolazione dei servizi della società dell’informazione, fra i quali il commercio elettronico.

2. Non rientrano nel campo di applicazione del presente decreto:

a) (…)

b) le questioni relative al diritto alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle telecomunicazioni di cui alla legge 31 dicembre 1996, n. 675 e al decreto legislativo 13 maggio 1998, n. 171 e successive modifiche e integrazioni;”

Ma è possibile delegare le questioni relative alla riservatezza alla normativa di settore, mentendole separate rispetto alle questioni che disciplinano la responsabilità del provider? Come si è visto sopra, adottando l’impostazione suggerita dal WP29, le discipline non entrano in conflitto, quindi, teoricamente, potremmo dare una risposta affermativa alla domanda. Nella pratica, tuttavia, la distinzione non sempre appare così netta e i tentativi di offrire una lettura sistematica non sempre sono stati ineccepibili.

Il mutato quadro europeo: il Regolamento generale sulla protezione dei dati

La normativa europea in tema di protezione dei dati ha subito una significativa revisione, sulla spinta anche della necessità di uniformarla nei diversi stati membri  e adeguarla al mutato quadro tecnologico e alla diffusione sempre più capillare di trattamenti transfrontalieri.

In ordine al rapporto con la Direttiva e-commerce, il riferimento operato nella direttiva e-commerce alla direttiva sulla protezione dei dati, che abbiamo visto sopra, non muterà i suoi effetti, ma si intenderà operato al Regolamento UE 2016/679 [cfr. Articolo 94 del Regolamento 2016/679 “Abrogazione della direttiva 95/46/CE”:

“1.   La direttiva 95/46/CE è abrogata a decorrere da 25 maggio 2018.

2.   I riferimenti alla direttiva abrogata si intendono fatti al presente regolamento. (.…)”].

Il Regolamento, dal canto suo, contiene un riferimento alla Direttiva e-commerce: l’ultimo comma dell’articolo 2 “ambito di applicazione materiale” si legge:  “Il presente regolamento non pregiudica pertanto l’applicazione della direttiva 2000/31/CE, in particolare le norme relative alla responsabilità dei prestatori intermediari di servizi di cui agli articoli da 12 a 15 della medesima direttiva.”

Il legislatore Europeo sceglie una terminologia precisa (“non pregiudica” –“without prejudice” nella versione inglese, non ha usato “non si applica”), e intende probabilmente dire che il Regolamento stesso non ha effetti giuridici sull’applicazione della direttiva e-commerce, e, quindi, sui limiti di responsabilità che pone in capo i provider (per sevizi di hosting, memorizzazione temporanea o mere conduit).

Il rapporto tra le due normative non appare chiarissimo e la scelta terminologica operata dal legislatore europeo non è delle più felici, probabilmente, dato che la direttiva e-commerce esclude dal proprio ambito di applicazione la normativa sulla protezione europea, mentre una simile, limpida esclusione non è dichiarata nel Regolamento che sembra limitarsi a “non pregiudicare” l’applicazione della  direttiva e-commerce.

Tuttavia una lettura coerente con quanto elaborato sino ad oggi da dottrina e giurisprudenza in tema di responsabilità del provider spinge a ritenere che l’unica lettura congiunta e coerente possibile sia che la responsabilità del provider per gli illeciti commessi dagli utenti (che non riguardino la protezione dei dati personali) sarà devoluta alla normativa che discende dalla Direttiva e-commerce, mentre le altre questioni che possano insorgere e siano legate al trattamento dei dati personali -come ad esempio il diritto all’oblio o gli obblighi che discendano dal trattamento del dati del quali il provider sia titolare (o responsabile, in alcuni casi) – saranno risolte sulla base del Regolamento generale sulla protezione dei dati. Nel caso si verta in entrambe le ipotesi, ossia che la condotta posta in essere faccia emergere responsabilità che afferiscono a entrambe le normative (es. concorso tra diffamazione e trattamento illecito di dati personali) l’applicazione delle norme sulla protezione dei dati non precluderà l’applicazione delle norme che derivino dalla direttiva e-commerce.

Si tratta tuttavia di un punto che andrà chiarito, visto che, a differenza della normativa precedente, il Regolamento generale pone obblighi specifici e ipotesi di responsabilità autonoma e peculiare anche in capo al responsabile del trattamento ed è in questo ruolo, come abbiamo visto, che la maggior parte dei provider opera.

Inoltre, per semplicità, ho omesso anche l’incidenza sul punto della direttiva e-privacy, al momento in fase di revisione e che dovrebbe anche essa essere mutata in Regolamento. Non è escluso che nella determinazione della responsabilità del provider vengano ad incidere anche le nuove norme del Regolamento e-privacy di prossima emanazione e che gli interpreti saranno chiamati a un nuovo sforzo ermeneutico che valorizzi il punto di equilibrio (in concreto) tra libertà di espressione, riservatezza e protezione dei dati personali.

Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.

L'articolo Responsabilità del provider e protezione dei dati personali sembra essere il primo su Cristina Vicarelli.

Si tratta quindi di  misure che consistono nel “contrassegnare” i dati personali conservati dal titolare che, a fronte di una richiesta dell’interessato, si trovi a dover in qualche modo riconoscere e segregare quei dati che non potrà più trattare in futuro.

Il correlato diritto dell’interessato, “diritto di limitazione di trattamento”, è disciplinato dagli articoli 18 e 19 del Regolamento generale sulla protezione dei dati, mentre le misure da prendere sono descritte nel considerando 67.

Come si limita il trattamento?

 Le modalità per limitare il trattamento dei dati personali sono individuate nel predetto considerando in maniera esemplificativa e non tassativa e consistono:

1. nel trasferire temporaneamente i dati selezionati verso un altro sistema di trattamento,
2. nel rendere i dati personali selezionati inaccessibili agli utenti o
3. nel rimuovere temporaneamente i dati pubblicati da un sito web.

Nel medesimo considerando viene inoltre evidenziato che, negli archivi automatizzati, la limitazione del trattamento dei dati personali dovrebbe, in linea di massima, essere assicurata mediante dispositivi tecnici in modo tale che i dati personali non siano sottoposti a ulteriori trattamenti e non possano più essere modificati. Il sistema dovrebbe indicare chiaramente che il trattamento dei dati personali è stato limitato.

A voler trovare un parallelo, dal punto di vista dell’interessato, possiamo dire che le limitazione del trattamento si avvicina molto al blocco dei dati, presente nella nostra attuale normativa, dal quale tuttavia si discosta per l’obbligo imposto al titolare di provvedere al “contrassegno” dei dati il cui trattamento è stato limitato, volto a garantire che la restrizione operata su tali trattamenti sia rispettata anche in futuro.

Quando si può chiedere la limitazione del trattamento?

Il diritto di limitazione del trattamento può essere richiesto dall’interessato nei casi descritti dall’articolo 18 del Regolamento europeo, ovvero quando:

Quando il titolare proceda a limitare il trattamento, tali dati personali sono trattati solo per la conservazione, e ulteriori trattamenti saranno possibili soltanto con il consenso dell’interessato o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un’altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell’Unione o di uno Stato membro.

Informazione e comunicazioni

Inoltre quando l’interessato ha ottenuto la limitazione del trattamento, nel caso in cui la limitazione venga revocata egli deve essere informato dal titolare del trattamento prima che la revoca abbia effetto.

Infine, nel caso in cui i dati personali oggetto di limitazione siano stati comunicati ad altri soggetti, è onere del titolare del trattamento (esattamente come avviene nel caso di diritto all’oblio o alla rettifica) darne comunicazione a ciascuno dei destinatari, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. In ogni caso, il titolare del trattamento è tenuto a comunicare tali destinatari all’interessato che ne faccia richiesta.

Oblio, rettifica e limitazione del trattamento

Si noti come il diritto alla limitazione dei dati possa incidere su fattispecie che afferendo a dati inesatti, possono poi sfociare nel diritto di rettifica.

Nella nostra tradizione il diritto di rettificazione dei dati personali (ossia il diritto che l’interessato può far valere in ordine a dati inesatti o non aggiornati) spesso è confluito nell’ambito del diritto all’oblio, soprattutto in caso di pubblicazione o diffusione dei dati nel web. Ora questi due diritti vengono scissi in fattispecie distinte a dai contorni meglio definiti ma sia l’oblio sia la rettifica presentano profili di sovrapposizione con la limitazione dei dati personali (si pensi all’interessato che abbia diritto alla cancellazione perchè il trattamento era illecito, ma opti per  la limitazione), dato che essa appare funzionale a tutelare l’interessato in casi afferenti ad entrambe le fattispecie. Con una significativa differenza, però: mentre il diritto all’oblio arretra innanzi all’esercizio del diritto alla libertà di espressione e d’informazione, che è espressamente contemplato  quale limite dalla norma che disciplina il diritto alla cancellazione, in caso di diritto di rettifica e di limitazione del trattamento questo limite non è richiamato.

Varranno i limiti di operatività della normativa in materia di protezione dei dati personali rispetto alla libertà di espressione e informazione delineati dall’articolo 85 del Regolamento che lasciano ampio margine di discrezionalità al legislatore interno al fine di individuare il punto di bilanciamento, ma è possibile che molte delle polemiche già sollevate in ordine al rapporto tra oblio e libertà di espressione siano destinate a replicarsi sul terreno della rettifica e della limitazione del trattamento.

E intanto?

Come sappiamo, c’è tempo fino al maggio del 2018 per adeguarsi al Regolamento generale sulla protezione dei dati. Sarà bene che i titolari rivedano le privacy policy interne (e le soluzioni tecnologiche adottate) per poter comprendere se siano in grado di garantire la limitazione dei trattamenti,  qualora venisse loro richiesta, ed è bene che comincino a tener traccia dei destinatari ai quali vengono trasmessi i dati (se non lo fanno già), in modo da poter provvedere tempestivamente anche alle comunicazioni a terzi che la nuova normativa impone.

Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.

L'articolo Regolamento generale UE 2016/ 679: diritto di limitazione del trattamento sembra essere il primo su Cristina Vicarelli.