Privacy: dai principi giuridici al nuovo Regolamento europeo sulla protezione dei dati personali
IV. 4.7 – RICONOSCIMENTO NUOVI DIRITTI
Con il GDPR vengono a delinearsi tutta una serie di diritti che pongono il soggetto al centro di un sistema di tutela che non è più solo di ordine formale, ma bensì sostanziale, garantendogli in questo modo un maggior grado di controllo sui propri dati, sul loro utilizzo da parte di soggetti terzi e sulla loro circolazione, sia all’interno dell’Unione europea che all’esterno380. Dall’essere controllati, si passa alla libertà di poter controllare
376 Cfr. art. 5, 1, f). 377 Cfr. art. 9, 1. 378 Cfr. art. 10.
379 Decreto legislativo n. 196 del 30 giugno 2003 – Codice in materia di protezione dei dati personali, cfr. art. 4, 1, d), e).
380 Alcuni di questi diritti, già riconosciuti da normative precedenti, sono stati rivisti e meglio definiti, altri costituisco una novità.
(entro certi limiti) le proprie informazioni; è l’interessato a decidere in autonomia sulla cessione e l’uso dei dati che lo concernono. Fra questi i principali sono:
• Diritto a ricevere un’informativa che sia concisa, chiara e facilmente comprensibile:
«Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni […] relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro […]»381.
• Diritto di accesso:
«L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali […]»382.
L’interessato può accedere ai dati personali e alle informazioni che riguardano:
«a) le finalità del trattamento; b) le categorie di dati personali in questione; c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali; d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; e) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento; f) il diritto di proporre reclamo a un’autorità di controllo; g) qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine; h) l’esistenza di un processo decisionale automatizzato, compresa la profilazione […] e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato»383.
• Diritto di rettifica:
«L’interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l’interessato ha il diritto di ottenere l’integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa»384.
381 Cfr. art. 12. 382 Cfr. art. 15. 383 Ibidem. 384 Cfr. art. 16.
• Diritto alla cancellazione («diritto all’oblio»):
«L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo […]»385.
Ciò può avvenire se sussiste uno dei seguenti motivi:
«a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; b) l’interessato revoca il consenso su cui si basa il trattamento […], e se non sussiste altro fondamento giuridico per il trattamento; c) l’interessato si oppone al trattamento […] e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, […]; d) i dati personali sono stati trattati illecitamente; e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento; f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo1»386.
• Diritto alla limitazione del trattamento:
«L’interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento […]»387.
Si può ricorrere a tale diritto nei casi in cui:
«a) l’interessato contesta l’esattezza dei dati personali, […] b) il trattamento è illecito e l’interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l’utilizzo; c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati personali sono necessari all’interessato per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria; d) l’interessato si è opposto al trattamento […], in attesa della verifica in merito all’eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell’interessato»388
• Diritto alla portabilità dei dati:
«L’interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti […]»389.
385 Cfr. art. 17. 386 Ibidem. 387 Cfr. art. 18. 388 Ibidem. 389 Cfr. art. 20.
• Diritto di opposizione:
«L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano […] compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria»390.
• Diritto di venire a conoscenza di violazione dei dati personali:
«Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo»391.
Conclusa l’analisi dei punti del Regolamento generale sulla protezione dei dati reputati più interessanti ed utili al fine della nostra trattazione, riteniamo che a tale normativa debba essere affiancata una sempre più puntuale educazione culturale mirante ad un utilizzo consapevole della Rete, in modo da minimizzare i rischi che si possono incorrere attraverso un uso sconsiderato del mezzo, argomento oggetto del prossimo capitolo.
390 Cfr. art. 21.
391 Cfr. art. 34. Inoltre, sarà possibile imporre misure correttive, come avvertenze, ordini o multe, a imprese che violano le regole.
Riportiamo di seguito un elenco cronologico della documentazione presa in esame, in materia di diritti dell’uomo, privacy e tutela dei dati personali.
Ambito Comunitario ed Extracomunitario392:
• Dichiarazione Universale dei Diritti Umani (UDHR), Assemblea Generale delle Nazioni Unite (ONU), Parigi 10 dicembre 1948.
• Statuto del Consiglio d’Europa (Trattato di Londra) STCE 001, Londra 5 maggio 1949.
• Convenzione europea per la salvaguardia dei diritti dell’uomo e delle liberà fondamentali (CEDU), Roma 4 novembre 1950.
• Patto internazionale relativo ai diritti civili e politici, Nuova York, 16 dicembre 1966.
• Risoluzione del Consiglio (73) 22 sulla tutela della riservatezza delle persone in rapporto alle banche di dati elettroniche nel settore privato (Adottata dal Comitato dei Ministri il 26 settembre 1973).
• Risoluzione (74) 29 sulla “tutela della riservatezza delle persone in rapporto alle banche di dati elettroniche nel settore pubblico” (Adottata dal Comitato dei Ministri il 20 settembre 1974).
• Convenzione n. 108/1981 sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale, Strasburgo 28 gennaio 1981.
• Trattato sull’Unione Europea (TUE) - Trattato di Maastricht, 7 febbraio 1992. • Direttiva 95/46/CE del Parlamento Europeo e del Consiglio del 24 ottobre 1995 –
Tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
392 Nonostante la Comunità Economica Europea (CEE), divenuta con il Trattato di Maastricht Comunità Europea (CE), sia stata formalmente inglobata nell’Unione europea nel 2009 a seguito del Trattato di
Lisbona, abbiamo scelto di mantenere il termine “Comunitario”, in quanto la maggior parte del materiale
• Direttiva 97/66/CE del Parlamento Europeo e del Consiglio del 15 dicembre 1997 – trattamento dei dati personali e tutela della vita privata nel settore delle telecomunicazioni.
• Carta dei diritti fondamentali dell’Unione europea (2000/C 364/01), Nizza 18 dicembre 2000.
• Safe Harbour, 2000 (Riconosciuto in Europa con la Decisione della Commissione 2000/520/CE del 26 luglio 2000).
• Regolamento (CE) N. 45/2001 del Parlamento Europeo e del Consiglio del 18 dicembre 2000 – Tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati.
• Direttiva 2002/58/CE del Parlamento Europeo e del Consiglio del 12 luglio 2002 – Trattamento dei dati personali nel settore delle comunicazioni elettroniche.
• Quadro APEC Privacy, 2004.
• Trattato che adotta una Costituzione per l’Europa, Roma 29 ottobre 2004.
• Direttiva 2006/24/CE del Parlamento Europeo e del Consiglio del 15 marzo 2006 – Conservazione di dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione.
• Trattato di Lisbona, 13 dicembre 2007.
• Decisione quadro 2008/977/GAI del Consiglio, del 27 novembre 2008, sulla protezione dei dati personali trattati nell’ambito della cooperazione giudiziaria e di polizia in materia penale.
• Direttiva 2009/136/CE del Parlamento Europeo e del Consiglio del 25 novembre 2009 – recante modifica della direttiva 2002/22/CE relativa al servizio universale e ai diritti degli utenti in materia di reti e di servizi di comunicazione elettronica, della direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita
privata nel settore delle comunicazioni elettroniche e del regolamento (CE) n. 2006/2004 sulla cooperazione tra le autorità nazionali responsabili dell’esecuzione della normativa a tutela dei consumatori.
• Direttiva 2009/140/CE del Parlamento Europeo e del Consiglio del 25 novembre 2009 – recante modifica delle direttive 2002/21/CE che istituisce un quadro normativo comune per le reti ed i servizi di comunicazione elettronica, 2002/19/CE relativa all’accesso alle reti di comunicazione elettronica e alle risorse correlate, e all’interconnessione delle medesime e 2002/20/CE relativa alle autorizzazioni per le reti e i servizi di comunicazione elettronica.
• Resolution adopted by the General Assembly on 18 December 2013. 68/167. The right to privacy in the digital age.
• Resolution adopted by the General Assembly on 18 December 2014. 69/166. The right to privacy in the digital age.
• Rapporto alto commissariato ONU per i diritti umani – Diritto alla privacy nell’era digitale (2014).
• Privacy Shield, 2015.
• Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 – Protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).
• Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio.
Ambito nazionale:
• Costituzione della Repubblica italiana, promulgata il 27 dicembre del 1947 ed entrata in vigore il 1 gennaio 1948. Articoli: 2, 13, 14 e15.
• Sentenze della Corte di Cassazione: n. 4487 del 22 dicembre1956, n. 990 del 20 aprile 1963, n. 2129 del 27 maggio 1975, n. 139 del 7 marzo 1990, n. 366 del 11 luglio 1991, n. 81 del 26 febbraio 1993, n. 135 del 11 aprile 2002.
• Legge n. 675 del 31 dicembre 1996 – Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali.
• Decreto del Presidente della Repubblica n. 318 del 28 luglio 1999 – Regolamento recante norme per l’individuazione delle misure minime di sicurezza per il trattamento dei dati personali, a norma dell’articolo 15, comma 2, della legge 31 dicembre 1996, n. 675.
• Legge n. 325 del 3 novembre 2000 – Disposizioni inerenti all’adozione delle misure minime di sicurezza nel trattamento dei dati personali previste dall’articolo 15 della legge 31 dicembre 1996, n. 675.
• Decreto legislativo n. 467 del 28 dicembre 2001 – Disposizioni correttive ed integrative della normativa in materia di protezione dei dati personali a norma dell’art. 1 della legge n. 127 del 24 marzo 2001.
• Decreto legislativo n. 196 del 30 giugno 2003 - Codice in materia di protezione dei dati personali (abolisce la legge 675/1996). Abrogato con Regolamento (UE) 2016/679.
• Dichiarazione dei diritti di internet, Commissione per i diritti e doveri relativi ad internet, 28 luglio 2015.
• Decreto legislativo 10 agosto 2018, n. 108. Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016.
Legislazione USA:
• Privacy Act (1974).
• Video Privacy Protection (1988).
• Elettronic Communication Privacy Act (1986).
• Health Insurace Portability and Accountability Act (1996). • Identity Theft and Assumption Deterrence Act, 1998. • Computer Matching and Privacy Protection Act, (1988). • Patriot Act (2001) sostituito con il USA Freedom Act (2015). • CAN-SPAM Act (2003).
• Video Voyeurism Prevention Act (2004).