• Non ci sono risultati.

La diversa natura giuridica tra Regolamento (UE) 2016/679 e Direttiva 95/46/CE Il Regolamento (UE) 2016/679, al quale d’ora in poi per comodità si farà riferimento con la

CAPITOLO III. ANALISI COMPARATIVA DEL REGOLAMENTO (UE) 2016/679 IN RIFERIMENTO AL CONTESTO NORMATIVO ATTUALE IN MATERIA DI PROTEZIONE DE

DATI PERSONALI, RAPPRESENTATO DALLA DIRETTIVA 95/

2. La diversa natura giuridica tra Regolamento (UE) 2016/679 e Direttiva 95/46/CE Il Regolamento (UE) 2016/679, al quale d’ora in poi per comodità si farà riferimento con la

locuzione “nuovo Regolamento” già in vigore ma per la cui piena attuazione bisognerà attendere un periodo di tempo fissato in due anni dalla sua entrata in vigore343, presenta sia elementi di continuità che elementi di discontinuità rispetto alla Direttiva 95/46/CE alla quale d’ora in poi per comodità si farà riferimento con la locuzione “Direttiva madre”;344 la principale differenza tra le due, ed anche la più evidente è di tipo giuridico: la direttiva, è un atto vincolante di diritto dell'Unione europea, che ha come obiettivo l’armonizzazione delle normative degli Stati membri. Viene descritta dall’ art. 288 comma 3 TFUE nei seguenti termini: «La direttiva vincola lo Stato membro cui è rivolta per quanto riguarda il risultato da raggiungere, salva restando la competenza degli organi nazionali in merito alla forma e ai mezzi»; a differenza del Regolamento non è obbligatoria in tutti i suoi elementi e questo perché essa detta solo un obbligo di risultato che dunque lascia spazio ai singoli Stati membri quanto ai mezzi.

Il Regolamento è anch’esso un atto di diritto dell'Unione europea vincolante diretto sia agli Stati membri che ai singoli, descritto dall’ art. 288 comma 2 TFUE nei seguenti termini: «Il regolamento ha portata generale. Esso è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri»; viene cosìdetto "self-executing" in quanto le sue disposizioni devono essere immediatamente applicate senza il bisogno di alcuna intermediazione intesa come atto nazionale di recepimento o di attuazione. Per questo motivo deve assicurare una maggiore completezza e chiarezza nei suoi contenuti normativi, qualità che si traducono fin da subito nell’articolazione interna del nuovo Regolamento, che risulta

343 Il considerando 171 recita «Il presente regolamento dovrebbe abrogare la direttiva 95/46/CE. Il trattamento già in corso alla data di applicazione del presente regolamento dovrebbe essere reso conforme al presente regolamento entro un periodo di due anni dall'entrata in vigore del presente regolamento»; l’articolo 99 distingue tra l’entrata in vigore del nuovo Regolamento e la sua applicazione: «Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. Esso si applica a decorrere da 25 maggio 2018»; anche l’articolo 94 al paragrafo 1 sancisce esplicitamente che «La direttiva 95/46/CE è abrogata a decorrere da 25 maggio 2018».

344 che per una espressa previsione sostituirà, ma che continuerà ad essere applicata fino a tale data: per un periodo di tempo non breve, le due normative coesisteranno: in questo arco temporale continuerà ad essere applicata la Direttiva madre pur essendo già in vigore il nuovo Regolamento, al fine di consentire ad ogni Stato membro, un passaggio graduale nell’aggiornamento della disciplina interna fino a darne piena attuazione alla scadenza del termine prefissato. A tal proposito risulta fondamentale mettere a punto strumenti di analisi del corpus iuris precedente al nuovo Regolamento - e dunque principalmente si tratta della Direttiva madre e delle Direttive c.d. “figlie” con riferimento alla Direttiva 2002/58/CE come modifica della Direttiva 2009/136/CE - che fungano da passerella tra il sistema precedente all’attuale Regolamento - ma pur sempre in fase di applicazione - e quest’ultimo. Si tratta di realizzare una “passerella” o un “ponte” che agevoli il passo verso una prospettiva futura, nell’ambito di un passaggio normativo molto complesso. Op. Cit. Supra note 6, Cfr. pp. 4-5

molto più ampia rispetto a quella della Direttiva madre, e soprattutto nell’estrema cura345 che esso pone in essere nel definire i concetti ed il significato dei termini in esso menzionati346. L’attenzione al dettaglio si riscontra non solo in relazione al significato dei termini ma anche rispetto alla definizione dei principi che fanno riferimento ai trattamenti dei dati e che vengono definiti in numerosi articoli347: se da un lato questo atteggiamento comporta il rischio di irrigidire i principi in definizioni fin troppo pedisseque348, dall’altra questo rischio è giustificato dalla natura del Regolamento che mira a dare risposte precise a problemi concreti, e della necessità di trovare elementi di equilibrio tra i diversi punti di vista in relazione ai temi di fondo349.

2.1. L’individuazione della legge applicabile

Dalla diversa natura giuridica delle due normative derivano anche diversi criteri per stabilire la legge applicabile ai trattamenti dei dati: la Direttiva infatti, avendo la funzione di armonizzare le legislazioni degli Stati membri350 deve individuare la legge applicabile anche all’interno dell’Unione oltre che al di fuori dei suoi confini, al contrario il problema del Regolamento è se si debba applicare o meno la normativa europea al caso di specie e quale sia l’Autorità tra quelle dei diversi Stati membri a dover garantirne l’applicazione.351 Quanto alla portata normativa la tendenza è quella di estendere l’applicabilità del Regolamento.352

345 In tal senso l’atteggiamento del nuovo Regolamento sembrerebbe “una quasi maniacale vocazione al dettaglio” che porta con se il rischio di “regolare il futuro con la testa girata all’indietro” in contrapposizione all’elasticità dimostrata dalla Direttiva madre relativamente ai problemi che è riuscita a risolvere, e definita per questa sua caratteristica di adattabilità come una “ricca cassetta degli attrezzi”. Id. Cit. pp.152, 153.

346 Basti guardare l’articolo 4 del nuovo Regolamento che si compone di 26 paragrafi alcuni dei quali a loro volta si articolano in più lettere -i paragrafi 16, 22 e 23 che si articolano rispettivamente in 2, 3 e 2 lettere- e porlo a confronto con il corrispettivo articolo 2 della Direttiva madre che per la definizione dei concetti in essa menzionati fa uso di 8 lettere dell’alfabeto. Id. Cfr p. 152.

347 Basti vedere ad esempio il Capitolo II del nuovo Regolamento, dove agli articoli 5, 6, 7 e 8 vengono riprese continuamente le norme relative al consenso, compreso quello dei minori e di chi ne ha la tutela, per finire con l’articolo 9 nel quale vengono individualizzati i trattamenti ai quali i principi richiamati dei precedenti articoli non trovano applicazione.

348 Il riferimento rischia di concentrarsi troppo meticolosamente sulla particolarità normativa tale da perdere di vista la concretezza dei problemi interpretativi ai quali la normativa dovrebbe dare direzione.

349 Temi di fondo quali ad esempio il diritto all’oblio che prende spazio all’interno dell’articolo 17 del nuovo Regolamento, o le condizioni applicabili al consenso dei minori in relazione ai servizi della società dell’informazione di cui all’articolo 8.

350 Sul punto si è espressa la CGUE.

351 L’articolo 3 che al paragrafo 1 recita: «Il presente regolamento si applica al trattamento dei dati personali effettuato nell’ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell’Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell’Unione» sancisce il superamento del principio di stabilimento previsto dalla Direttiva madre quale parametro di riferimento al fine della determinazione della legge applicabile, che all’articolo 4 paragrafo 1 lettera a) recita: «Ciascuno Stato membro applica le disposizioni nazionali adottate per l’attuazione della presente direttiva al trattamento dei dati personali: a) effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro (…)»; sul

2.2 L’ambito di applicazione territoriale

Per quanto riguarda l’ambito di applicazione territoriale, il nuovo Regolamento introduce una delle principali novità rispetto alla Direttiva madre che all’articolo 4, paragrafo 1, lettera a), prevede che la disciplina in materia di tutela di dati personali trovi applicazione, per il tramite delle disposizioni nazionali di ciascuno Stato membro, quando il trattamento dei dati personali è «effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro; qualora uno stesso responsabile del trattamento sia stabilito nel territorio di più Stati membri, esso deve adottare le misure necessarie per assicurare l'osservanza, da parte di ciascuno di detti stabilimenti, degli obblighi stabiliti dal diritto nazionale applicabile»; la disposizione normativa richiamata lasciava ampio spazio a talune ingiustizie in particolare nel caso di uno stesso tipo di violazione relativa ai dati personali, le parti lese dal trattamento degli stessi erano oggetto di ricorsi decisi diversamente a seconda del diritto nazionale applicabile.

Il nuovo Regolamento introduce in questo campo due importanti novità: innanzitutto rovescia la concezione tradizionale del principio di stabilimento, ed in secondo luogo estende l’ambito di applicazione della normativa anche a titolari e responsabili di trattamento non residenti nel territorio dell’Unione europea.353

Quanto alla modifica della concezione tradizionale del principio di stabilimento il nuovo Regolamento all’articolo 3 paragrafo 1, sancisce l’applicabilità delle disposizioni dettate «al trattamento dei dati personali effettuato nell'ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell'Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell'Unione» ed inoltre al paragrafo successivo stabilisce l’applicazione delle sue regole anche a titolari e responsabili non stabiliti nell’Unione europea qualora le attività di trattamento riguardino l'offerta di beni o la prestazione di servizi rivolti ad interessati che si trovino nell'Unione, indipendentemente punto il Gruppo articolo 29 chiarisce che «per quanto riguarda l'articolo 4, paragrafo 1, lettera a), il riferimento a «uno» stabilimento significa che l'applicabilità della legge di uno Stato membro sarà determinata dall'ubicazione di uno stabilimento del responsabile del trattamento in quello Stato membro, e che l'applicabilità delle leggi di altri Stati membri potrebbe essere determinata dall'ubicazione di altri stabilimenti di quel responsabile del trattamento in questi Stati membri», Parere 8/2010 (WP n. 179) sul diritto applicabile adottato il 16 dicembre 2010, documento disponibile online:

http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp179_it.pdf ;

interessante anche un semplice confronto tra i titoli dei due articoli citati: l’articolo 3 del nuovo Regolamento è intitolato “Ambito di applicazione territoriale” mentre non a caso l’articolo 4 della Direttiva madre è intitolato “Legge nazionale applicabile”.

352 Come specifica un autore: “guardando al contenuto della norma, si registra una chiarissima volontà, perfettamente in linea con i più recenti pronunciamenti della Corte di Giustizia (sentenza Google Spain) che con i pareri del Gruppo articolo 29, di ampliare quanto più possibile l’applicabilità del Regolamento” Op. Cit. Supra note 6, Cit. p. 160.

353 Si tratta di importanti novità che riflettono la volontà di rispondere alle esigenze della società digitale; sul punto il Garante per la protezione dei dati personali afferma che “Il Regolamento punta a rispondere alle sfide poste dagli sviluppi tecnologici e dai nuovi modelli di crescita economica, tenendo conto delle esigenze di tutela dei dati personali sempre più avvertite dai cittadini dei Paesi dell’Unione europea”, Guida al nuovo regolamento europeo in materia di protezione dei dati personali: Disponibile al sitoweb: http://194.242.234.211/documents/10160/5184810/Guida+al+nuovo+Regolamento+europ eo+in+materia+di+protezione+dati

dall'obbligatorietà di un pagamento da parte dell'interessato; oppure riguardino il monitoraggio del loro comportamento se tale comportamento ha luogo all'interno dell'Unione.

Le nuove disposizioni normative riflettono in maniera evidente la scelta del Legislatore europeo di aver tenuto conto degli orientamenti giurisprudenziali della Corte di giustizia europea a partire dalla nota sentenza Google Spain di cui si è trattato ampiamente nel capitolo precedente354.