Privacy: nuovi obblighi UE

Dal 25 maggio 2018 per numerosi soggetti pubblici e privati diventerà obbligatorio conformarsi alle norme del Regolamento UE n. 679/2016 e necessario dotarsi di un Responsabile del trattamento dei dati (DPO).

Il Regolamento UE (General Data Protection Regulation) andrà a sostituire i Codici Privacy dei singoli Stati membri ma dalle indagini compiute in proposito molti soggetti non hanno ancora compreso la portata di tale adeguamento e dunque i processi di compliance risultano lenti e talvolta percepiti come meri aggravamenti burocratici.

Il nuovo Regolamento Privacy impone obblighi stringenti e costituisce un importante baluardo nel sistema delle responsabilità e nell'implementazione delle misure di sicurezza a protezione dei dati personali.

Il testo riconosce importanti ed ampi diritti ai cittadini mentre impone alle imprese e alle P.A. una forte responsabilizzazione (accountability).

L'articolo 25, in particolare, introduce il principio di privacy by design e privacy by default, un approccio innovativo che impone alle P.A. e alle aziende l'obbligo di avviare un progetto prevedendo, fin da subito, gli strumenti a tutela dei dati personali. 

Il concetto di privacy by design risale al 2010 e, già presente negli Usa e Canada, fu poi adottato nel corso della trentaduesima Conferenza mondiale dei Garanti Privacy.

Il GDPR ha l'obiettivo di tutelare la vita privata dei cittadini di default, ovvero come impostazione predefinita dell’organizzazione aziendale e stabilisce che la protezione dei dati deve avvenire fin dal disegno o progettazione di un processo aziendale, ossia by design.

Prima di procedere al trattamento, dunque, è necessario effettuare una c.d. valutazione dell'impatto, con puntuale e documentata analisi dei rischi per i diritti e le libertà degli interessati.

I soggetti titolari del trattamento, infatti, devono dimostrare di aver adottato tutte le misure di sicurezza adeguate ed efficaci ed in proposito l'adesione ad un codice di condotta (art. 40) o di un meccanismo di certificazione (art. 42) può essere utilizzata come strumento per dimostrare il rispetto degli obblighi del titolare del trattamento.

Il Regolamento n. 679 introduce la figura del Responsabile del Trattamento dei Dati (detto DPO), un soggetto in possesso di specifici requisiti: competenza, esperienza, indipendenza, autonomia di risorse che deve presidiare i profili privacy attraverso la verifica della corretta applicazione del Regolamento, formazione del personale, sensibilizzazione, consulenza etc.

Il DPO può essere interno o esterno e dialoga direttamente con il vertice gerarchico del titolare del trattamento.

Si stima che ad oggi solo il 30% circa delle imprese italiane ha previsto un piano di adeguamento al GDPR.

Ma a meno di un anno dalla piena applicabilità della normativa è necessario che le imprese si attivino per mettere a punto un piano d’azione e soprattutto di adeguamento del “sistema privacy” aziendale.

La Corte Costituzionale bacchetta il legislatore del processo Pinto

Lo Stato italiano lavora con fatica e scarsi risultati per abbreviare la durata dei processi civili e limitare le condanne inflitte dalla Corte Europea dei Diritti dell'uomo per la violazione dell'art. 6 della CEDU[1], con il quale i Paesi aderenti si impegnano ad assicurare la definizione dei giudizi in tempi ragionevoli.

In ossequio all'impegno assunto con la Convenzione, nel 2001 e a complemento necessario dello sforzo riformatore, l'Italia ha adottato - sebbene con un ritardo di 46 anni - nel proprio sistema interno  un procedimento volto ad indennizzare il cittadino "vittima" di un processo eccessivamente ed irragionevolmente lungo, dirottando verso i giudici nazionali quei ricorsi prima rivolti alla Corte europea dei diritti dell'uomo.

Obiettivo primario della Convenzione è quello di assicurare che gli Stati aderenti, qualora non rispettosi del dettato dell'art. 6 anzidetto, adottino dei rimedi interni idonei a consentire agli interessati di conseguire un ristoro per l'eccessiva durata del giudizio, senza necessità di adire i giudici di Strasburgo.

Come detto, tale rimedio è stato introdotto nell'ordinamento nazionale con la legge n. 89 del 2001, nota come Legge Pinto dal nome del senatore primo firmatario del disegno di legge.

I risultati dell'auspicato intervento, tuttavia, si sono rivelati disastrosi.

Per la finanza pubblica: secondo i dati riportati dal Governo, nel 2015 il debito arretrato per liquidazioni ex legge Pinto era pari a 456 milioni di euro.

Per la giustizia: l'effetto immediato dell'adozione del rimedio è stata la devoluzione alle Corti d'Appello di un consistente contenzioso, con l'effetto di aggravare i tempi delle decisioni in appello ed il flusso dei ricorsi alla Corte di Strasburgo è persino aumentato avendo addirittura ampliato le occasioni per ricorrere.

Infatti un numero crescente di ricorsi alla Corte europea dei diritti dell'uomo riguarda proprio l'eccessiva durata del giudizio di riparazione e le lungaggini nella liquidazione dell'indennizzo riconosciuto dalla Corte d'Appello.

A causa delle dette criticità il legislatore è intervenuto prima nel 2012 modificando i presupposti per l'indennizzo e il procedimento e poi nel 2015 - per ridurre gli indennizzi- subordinando la tutela indennitaria alla dimostrazione della parte di avere esperito tutti i rimedi acceleratori consentiti nel giudizio presupposto.

Con la riforma del 2012 il legislatore ha definito tollerabile la durata di un giudizio, articolato su due gradi di merito ed uno di legittimità, che sia concluso entro sei anni, lasciando tuttavia irrisolta la valutazione di tollerabilità o meno di un processo strutturato in un unico grado e tra questi quella dello stesso procedimento indennitario ex legge Pinto.

L'intervento riformatore ha dunque posto ulteriori dubbi sulla legittimità della normativa nazionale, come rilevato in ben sei ordinanze di rimessione alla Corte Costituzionale sollevate dalla Corte d'Appello di Firenze che ha censurato l'art. 2 della legge 89/20011. 

Secondo la Corte fiorentina, le soglie stabilite dalla riforma del 2012 dovevano applicarsi a qualunque processo di cognizione e dunque anche allo stesso procedimento regolato dalla stessa legge Pinto. 

La Corte Costituzionale, con la sentenza n. 36 del 19 febbraio 2016, ha stabilito che:

- il termine di tollerabilità di sei anni debba intendersi riferito ai soli giudizi articolati in due gradi di merito ed uno di legittimità;

- i termini di durata ragionevoli devono intendersi fissati in tre anni per il primo grado, due per il secondo ed un anno per il giudizio di legittimità;

- al processo per equo indennizzo ex legge Pinto non può ritenersi applicabile il termine di tollerabilità di tre anni previsto dall'art.2 comma 2bis della stessa legge in quanto si vanificherebbe la sua finalità.

Con riguardo a tale ultimo aspetto la Consulta ha precisato che ritenere ragionevole la durata di tre anni per il giudizio di equo indennizzo contrasterebbe con l'art. 111, comma 2 e con l'art. 117, comma 1 Cost. con riferimento all'art. 6 della Cedu e  significherebbe vanificare ogni finalità della legge stessa.

La decisione della Corte Costituzionale relativamente alla durata del giudizio di equa riparazione impone alcune considerazioni che costituiscono anche un monito per il legislatore: se oggi la durata triennale è stata giudicata inadeguata per il giudizio regolato dalla legge Pinto, è possibile che in futuro il dubbio di costituzionalità possa investire altri procedimenti caratterizzati da analoghe esigenze di rapida definizione.

[1] art. 6, par. 1, Cedu prevede che ogni persona "ha diritto a che la causa sia esaminata equamente, pubblicamente ed entro un termine ragionevole da un tribunale indipendente ed imparziale, costituito per legge...".