Premessa e contesto normativo

Il Regolamento (UE) 2016/679, comunemente noto come GDPR (General Data Protection Regulation), ha segnato un cambio di paradigma nella disciplina della protezione dei dati personali nell’Unione Europea. Pubblicato sulla Gazzetta Ufficiale dell’Unione Europea il 4 maggio 2016 ed entrato in vigore il 24 maggio dello stesso anno, il Regolamento ha trovato piena applicazione a decorrere dal 25 maggio 2018, abrogando contestualmente la Direttiva 95/46/CE che per oltre vent’anni aveva costituito il riferimento normativo principale in materia.

L’esigenza di una nuova regolamentazione è emersa progressivamente con l’evoluzione tecnologica e il fenomeno della globalizzazione. La Direttiva del 1995, pur avendo rappresentato un intervento pionieristico, mostrava limiti strutturali legati principalmente alla sua natura di direttiva, che richiedeva il recepimento da parte degli Stati membri con inevitabili difformità applicative. Il GDPR, in quanto regolamento, è invece direttamente applicabile in tutti gli Stati membri senza necessità di trasposizione, garantendo un’armonizzazione normativa che era divenuta indispensabile in un contesto economico caratterizzato dalla libera circolazione dei dati.

In Italia, il processo di adeguamento si è completato con il Decreto Legislativo n. 101/2018, pubblicato in Gazzetta Ufficiale il 4 settembre 2018, che ha novellato il D.lgs. 196/2003 (Codice Privacy) nelle parti incompatibili con il Regolamento europeo. È opportuno precisare che il GDPR contiene clausole di flessibilità che consentono agli Stati membri margini di intervento su specifiche materie, quali la ricerca scientifica, l’ambito sanitario e il trattamento di dati in contesti particolari.

Il principio di accountability: dalla conformità formale alla responsabilizzazione sostanziale

Il principio di accountability, tradotto in italiano come “responsabilizzazione”, costituisce l’architrave concettuale dell’intero impianto del GDPR e rappresenta la più significativa innovazione rispetto al previgente assetto normativo. L’art. 5, paragrafo 2, del Regolamento stabilisce che il titolare del trattamento è competente per il rispetto dei principi applicabili al trattamento dei dati personali e deve essere in grado di comprovarlo.

Questa formulazione segna il passaggio da un modello di compliance formale, fondato sul rispetto di adempimenti predeterminati dal legislatore, a un modello di compliance sostanziale in cui il titolare deve autonomamente individuare le misure più appropriate per garantire la protezione dei dati e deve poter dimostrare la conformità delle proprie scelte. Non si tratta più soltanto di rispettare la norma, ma di provare attivamente tale rispetto attraverso documentazione, procedure ed evidenze concrete.

È fondamentale comprendere che l’osservanza del principio di accountability non genera una presunzione legale di conformità né sostituisce i principi sostanziali enunciati dal Regolamento. In altri termini, un titolare che abbia diligentemente implementato e documentato le proprie misure di protezione può comunque trovarsi coinvolto in irregolarità o violazioni. Tuttavia, l’aver predisposto un sistema documentato di gestione della protezione dei dati incide significativamente sulla valutazione della responsabilità e, conseguentemente, sulla determinazione delle eventuali sanzioni.

I principi fondamentali del trattamento dei dati

L’art. 5 del GDPR enuncia i principi che devono governare ogni attività di trattamento di dati personali. Questi principi non sono mere enunciazioni programmatiche, ma costituiscono parametri vincolanti la cui violazione può comportare l’applicazione delle sanzioni amministrative più severe previste dal Regolamento.

Il principio di liceità, correttezza e trasparenza impone che i dati siano trattati in modo lecito, secondo le basi giuridiche tassativamente previste dall’art. 6 del Regolamento, in modo corretto nei confronti dell’interessato e con piena trasparenza circa le finalità e le modalità del trattamento.

Il principio di limitazione della finalità richiede che i dati siano raccolti per finalità determinate, esplicite e legittime, e che non siano successivamente trattati in modo incompatibile con tali finalità. La valutazione della compatibilità deve essere condotta tenendo conto dei criteri indicati dall’art. 6, paragrafo 4, del Regolamento.

Il principio di minimizzazione dei dati stabilisce che i dati trattati debbano essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite. Questo principio richiede una valutazione attenta in fase di progettazione del trattamento, evitando la raccolta di dati eccedenti o non strettamente funzionali.

Il principio di esattezza impone che i dati siano accurati e, ove necessario, aggiornati. Il titolare deve adottare tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per cui sono trattati.

Il principio di limitazione della conservazione prevede che i dati siano conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità del trattamento. La definizione dei tempi di conservazione rappresenta uno degli aspetti più complessi della compliance, richiedendo un’analisi delle diverse normative settoriali applicabili.

Il principio di integrità e riservatezza richiede che i dati siano trattati in maniera da garantire un’adeguata sicurezza, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o danno accidentali, mediante misure tecniche e organizzative appropriate.

Gli obblighi specifici del titolare del trattamento

Privacy by design e privacy by default

L’art. 25 del GDPR introduce i principi di protezione dei dati fin dalla progettazione (privacy by design) e protezione per impostazione predefinita (privacy by default). Il titolare del trattamento, tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, deve mettere in atto misure tecniche e organizzative adeguate volte ad attuare in modo efficace i principi di protezione dei dati e a integrare nel trattamento le garanzie necessarie.

La privacy by design richiede che la protezione dei dati sia considerata fin dalla fase di progettazione di qualsiasi sistema, servizio, prodotto o processo che comporti un trattamento di dati personali. Non si tratta di un adempimento successivo o correttivo, ma di un approccio metodologico che deve permeare l’intera organizzazione.

La privacy by default impone che, per impostazione predefinita, siano trattati solo i dati personali necessari per ciascuna specifica finalità del trattamento. Questo principio si applica alla quantità dei dati raccolti, alla portata del trattamento, al periodo di conservazione e all’accessibilità. In particolare, i dati personali non devono essere resi accessibili a un numero indefinito di persone fisiche senza l’intervento della persona fisica interessata.

Il Registro delle attività di trattamento

L’art. 30 del GDPR impone al titolare del trattamento (e, con contenuti parzialmente diversi, al responsabile del trattamento) l’obbligo di tenere un registro delle attività di trattamento svolte sotto la propria responsabilità. Il registro deve contenere informazioni quali il nome e i dati di contatto del titolare, le finalità del trattamento, la descrizione delle categorie di interessati e delle categorie di dati personali, le categorie di destinatari, gli eventuali trasferimenti verso paesi terzi, i termini di cancellazione e una descrizione generale delle misure di sicurezza.

L’obbligo di tenuta del registro non si applica alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento possa presentare un rischio per i diritti e le libertà dell’interessato, non sia occasionale, o includa categorie particolari di dati o dati relativi a condanne penali. Nella prassi, tuttavia, la tenuta del registro è fortemente raccomandata anche per le organizzazioni di minori dimensioni, rappresentando uno strumento essenziale per dimostrare la conformità al principio di accountability.

La valutazione d’impatto sulla protezione dei dati (DPIA)

L’art. 35 del GDPR prevede che, quando un tipo di trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare debba effettuare, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. La DPIA (Data Protection Impact Assessment) è obbligatoria in particolare nei casi di valutazione sistematica e globale di aspetti personali basata su un trattamento automatizzato (compresa la profilazione), di trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali, e di sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

La valutazione deve contenere almeno una descrizione sistematica dei trattamenti previsti e delle finalità, una valutazione della necessità e proporzionalità dei trattamenti, una valutazione dei rischi per i diritti e le libertà degli interessati, e le misure previste per affrontare i rischi. Qualora dalla DPIA emerga che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare per attenuarlo, il titolare è tenuto a consultare l’autorità di controllo prima di procedere al trattamento.

Le misure di sicurezza

L’art. 32 del GDPR stabilisce che il titolare e il responsabile del trattamento debbano mettere in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio. Il Regolamento non prescrive misure specifiche, adottando un approccio basato sul rischio che lascia al titolare la responsabilità di individuare le misure più appropriate.

La norma indica, a titolo esemplificativo, alcune misure che possono essere considerate: la pseudonimizzazione e la cifratura dei dati personali; la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico; una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative.

La notifica delle violazioni dei dati (data breach)

Gli artt. 33 e 34 del GDPR disciplinano gli obblighi di notifica in caso di violazione dei dati personali. Per violazione si intende la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

In caso di violazione, il titolare del trattamento deve notificare la violazione all’autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica non sia effettuata entro 72 ore, deve essere corredata dei motivi del ritardo.

Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare deve comunicare la violazione all’interessato senza ingiustificato ritardo. La comunicazione non è richiesta se il titolare ha messo in atto misure tecniche e organizzative di protezione adeguate (ad esempio la cifratura), se ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato, o se la comunicazione richiederebbe sforzi sproporzionati.

Il Data Protection Officer (DPO)

Gli artt. 37-39 del GDPR disciplinano la figura del Responsabile della protezione dei dati (DPO – Data Protection Officer). La designazione del DPO è obbligatoria quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, quando le attività principali del titolare o del responsabile consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala, o quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali.

Il DPO deve essere designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati. Può essere un dipendente del titolare o del responsabile oppure assolvere i suoi compiti in base a un contratto di servizi. I suoi compiti comprendono l’informazione e la consulenza, la sorveglianza sull’osservanza del Regolamento, la consulenza in materia di DPIA, la cooperazione con l’autorità di controllo e la funzione di punto di contatto per l’autorità stessa.

L’approccio basato sul rischio

L’intero impianto del GDPR è permeato da un approccio basato sul rischio (risk-based approach). L’art. 24 del Regolamento stabilisce che il titolare, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al Regolamento.

Questo approccio comporta che non esistano soluzioni universalmente valide: le misure appropriate per una grande multinazionale che tratta dati sanitari su larga scala saranno necessariamente diverse da quelle adeguate per una piccola impresa artigianale. Il titolare deve condurre una valutazione del rischio che tenga conto della probabilità e della gravità dei potenziali impatti sui diritti e le libertà degli interessati, calibrando di conseguenza le proprie misure di protezione.

Le Linee Guida sull’applicazione delle sanzioni amministrative emanate dal Gruppo di lavoro Art. 29 (ora sostituito dal Comitato europeo per la protezione dei dati) chiariscono che le autorità di controllo, nel valutare il grado di responsabilità del titolare, terranno conto delle misure tecniche e organizzative messe in atto. In particolare, saranno oggetto di valutazione l’implementazione di misure tecniche per attuare il principio di privacy by design e by default, l’implementazione di misure organizzative corrispondenti, l’adeguatezza del livello di sicurezza dei dati, e l’effettiva conoscenza e applicazione delle procedure interne sul trattamento dei dati personali all’interno dell’organizzazione.

Il sistema sanzionatorio

Il GDPR ha introdotto un sistema sanzionatorio significativamente più severo rispetto alla disciplina previgente, con sanzioni amministrative pecuniarie che possono raggiungere importi tali da costituire un effettivo deterrente anche per le organizzazioni di maggiori dimensioni.

L’art. 83 del Regolamento prevede due fasce sanzionatorie. Per le violazioni degli obblighi del titolare e del responsabile, degli obblighi dell’organismo di certificazione e degli obblighi dell’organismo di controllo, le sanzioni possono arrivare fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Per le violazioni dei principi di base del trattamento, delle condizioni relative al consenso, dei diritti degli interessati, delle disposizioni sul trasferimento di dati verso paesi terzi, e per l’inosservanza di un ordine dell’autorità di controllo, le sanzioni possono arrivare fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

L’art. 83, paragrafo 2, elenca i criteri che le autorità di controllo devono considerare nel decidere se infliggere una sanzione e nel determinarne l’importo. Tra questi criteri figurano la natura, la gravità e la durata della violazione, il carattere doloso o colposo della violazione, le misure adottate dal titolare o dal responsabile per attenuare il danno subito dagli interessati, il grado di responsabilità del titolare o del responsabile tenendo conto delle misure tecniche e organizzative messe in atto, eventuali precedenti violazioni pertinenti, il grado di cooperazione con l’autorità di controllo, le categorie di dati personali interessate dalla violazione, la maniera in cui l’autorità di controllo ha preso conoscenza della violazione, l’adesione a codici di condotta o a meccanismi di certificazione, e ogni altro fattore aggravante o attenuante applicabile.

È importante sottolineare che la dimostrazione di aver adottato misure adeguate in una logica di accountability può costituire un elemento attenuante significativo nella determinazione della sanzione. Al contrario, l’assenza di documentazione, la mancata adozione di procedure formalizzate e l’incapacità di dimostrare le scelte compiute possono rappresentare elementi aggravanti.

Oltre alle sanzioni amministrative pecuniarie, l’art. 84 del GDPR demanda agli Stati membri la definizione delle sanzioni per le violazioni non coperte dall’art. 83 e per le violazioni delle disposizioni nazionali adottate in virtù delle clausole di flessibilità. In Italia, il Decreto legislativo n. 101/2018 ha mantenuto alcune fattispecie penali già previste dal Codice Privacy, tra cui il trattamento illecito di dati, l’acquisizione fraudolenta di dati, la falsità nelle dichiarazioni al Garante, l’inosservanza dei provvedimenti del Garante e la violazione delle disposizioni in materia di controlli a distanza dei lavoratori.

Conclusioni

Il principio di accountability ha trasformato radicalmente l’approccio alla protezione dei dati personali, spostando l’onere della conformità dal legislatore al titolare del trattamento. Non è più sufficiente attendere indicazioni puntuali dalla norma: il titolare deve proattivamente analizzare i propri trattamenti, valutare i rischi, adottare le misure appropriate e documentare le proprie scelte.

Questo nuovo paradigma richiede un investimento significativo in termini di risorse, competenze e organizzazione. La compliance non può essere ridotta a un adempimento burocratico, ma deve tradursi in un sistema di gestione effettivo, integrato nei processi aziendali e sottoposto a revisione periodica. La tenuta del registro dei trattamenti, l’effettuazione delle DPIA, la formalizzazione delle procedure di data breach, la nomina del DPO ove obbligatoria o opportuna, l’adozione di misure di sicurezza adeguate e la loro documentazione non sono formalità, ma strumenti attraverso i quali il titolare può dimostrare la propria conformità e, in caso di contestazione, mitigare le conseguenze sanzionatorie.

Il sistema sanzionatorio del GDPR, con sanzioni che possono raggiungere il 4% del fatturato mondiale, rende evidente che il costo della non conformità può essere enormemente superiore all’investimento necessario per costruire un sistema di protezione dei dati adeguato. Ma al di là del profilo sanzionatorio, la corretta gestione dei dati personali rappresenta oggi un elemento di competitività e di reputazione che nessuna organizzazione può permettersi di trascurare.