Privacy, Reding: “Più tutela e meno burocrazia”

Rafforzare la tutela dei dati personali dei cittadini europei, rendere più facile la vita delle imprese che operano nella Ue attraverso la sburocratizzazione delle procedure e l’eliminazione di inuti oneri. E armonizzare il rispetto delle regole a livello continentale rafforzando il potere delle Authority nazionali in ottica “one-stop-shop”. Sono queste le principali novità della Riforma della normativa sulla protezione dei dati personali annunciata dalla Commissione europea. “Stiamo lavorando per rendere molto più semplice il controllo dei dati personali da parte dei cittadini, prima di tutto attraverso una maggiore trasparenza”, spiega al Corriere delle Comunicazioni il vice presidente della Commissione europea e Commissario alla Giustizia Viviane Reding.
Siamo di fronte a una svolta: cosa cambierà in concreto?
Ogni individuo sarà in grado di sapere molto più facilmente e in maniera comprensibile quali dati vengono utilizzati da altre persone e organizzazioni. Grazie ad un rafforzamento del “diritto di essere dimenticati”, sarà molto più semplice ottenere la cancellazione dei propri dati soprattutto in ambiente online. E la recente introduzione del “diritto alla portabilità dei dati” consentirà a ciascun cittadino di migrare facilmente i propri dati personali da un fornitore all’altro, quando i dati sono trattati in formato elettronico e strutturato.
Le nuove regole mirano a rendere più semplice anche l’operatività da parte delle aziende. In che senso?
In Europa ad oggi ci sono 27 diverse leggi sulla protezione dei dati personali e ciò significa che le aziende devono interfacciarsi con 27 Autorità di regolamentazione, a seconda del Paese in cui operano. In futuro ci sarà invece un unico riferimento normativo, una sola Autorità di riferimento a e quindi uno “one-stop-shop” per le imprese. Ciò comporterà la riduzione degli oneri amministrativi a carico delle aziende, per un risparmio stimato nell’ordine dei 2,3 miliardi di euro l’anno. E saranno eliminati inutili obblighi di notifica che non apportano benefici in termini di tutela delle persone fisiche e che pesano per circa 130 milioni di euro all’anno. La riforma oltre ad avvantaggiare le grandi imprese sortirà benefici anche per quelle di medie e piccole dimensioni che potranno contare su norme più semplici e coerenti. Per le piccole imprese sarà ad esempio più facile espandersi a livello transfrontaliero.
Come si potranno conciliare le esigenze dei cittadini con quelle delle imprese?
Il principio alla base delle nuove regole è migliorare la protezione dei dati personali e facilitare il business delle aziende all’interno della Ue, con meno burocrazia e più certezza del diritto.
Le nuove regole saranno in grado di sostenere la crescita della Internet economy?
Le nuove norme mirano a “liberare” tutto il potenziale del mercato unico digitale. È ampiamente dimostrato che l’economia digitale è frenata se le persone non si fidano delle aziende che operano online. Le questioni relative alla privacy rappresentano ad oggi la principale motivazione alla base della reticenza da parte dei cittadini ad acquistare beni e servizi online da parte dei cittadini. Il problema, dunque, non sono le regole ma la mancanza di fiducia. Un elevato livello di protezione dei dati è quindi essenziale per promuovere la fiducia dei cittadini nei servizi online e nell’economia digitale in generale.
Stesse regole per tutte le aziende che operano in Europa e che trattano i dati dei cittadini europei: sarà davvero possibile mettere a segno questo obiettivo?
Recenti casi di violazioni, che hanno compromesso i dati personali di milioni di utenti, hanno evidenziato la necessità di sanzioni dissuasive per garantire il rispetto delle regole da parte delle aziende. Ma ovviamente è necessario che esse siano equilibrate in modo da non svantaggiare le piccole imprese. La nostra proposta è molto chiara anche in merito al rispetto delle regole da parte di aziende extra-Ue. Non è una questione di nazionalità e in questo senso non facciamo distinguo. La protezione dei cittadini europei deve essere garantita da tutte le aziende che offrono servizi all’interno della Ue. E saranno le Autorità nazionali di protezione dei dati a dover garantire il rispetto delle regole del gioco da parte di tutti i player in campo. La protezione dei dati è un problema globale, quindi dobbiamo trovare soluzioni globali. Il cloud, ad esempio, è apolide. E Ue e Usa hanno preoccupazioni simili per quanto riguarda i rischi per la privacy derivanti dall’avvento delle nuove tecnologie. Ecco perché il dialogo Ue-Usa è essenziale per affrontare i problemi e per rafforzare la protezione dei consumatori. Nell’era della globalizzazione dei dati abbiamo bisogno di un approccio comune da parte dei Paesi che condividono gli stessi valori. Altrimenti c’è il rischio che qualcuno si imponga sull’altro. L’accordo Ue-Usa “Safe Harbour” è ad esempio un buon punto di partenza. Dobbiamo procedere tenendolo in alta considerazione.
L’avvento del cloud sta modificando lo scenario. Ci saranno regole specifiche in tal senso?
Oggi i nostri dati archiviati nella “nuvola” vengono processati ed elaborati nei Caraibi e resi accessibili in Europa. I dati personali sono globalizzati, e il cloud è apolide. Per fronteggiare la questione stiamo semplificando le norme in materia di trasferimento internazionale dei dati. Quindi ci saranno regole chiare e affidabili per quanto riguarda nuove applicazioni e servizi il cui modello di business è basato sul trasferimento veloce dei dati internazionali, come nel caso del cloud computing. I fornitori di servizi cloud dovranno sottostare alle regole esattamente alla stregua delle altre aziende e fare i conti con l’Authority del Paese i cui dati vengono trattati. Le regole saranno le stesse in tutti gli Stati membri della UE e ciò garantirà certezza giuridica alle imprese e spingerà la fiducia dei clienti nei servizi cloud. Più concretamente, stiamo facilitando l’utilizzo delle cosiddette “regole vincolanti d’impresa”, codici di protezione dei dati intra-aziendali approvati dalle autorità che devono applicarsi a tutte le aziende, che sia europee o extra-europee. Si tratta di uno strumento molto utile a garanzia dei servizi di cloud computing.
Per le aziende un’unica Autorità di riferimento: cioè?
La riforma rafforzerà l’indipendenza e il potere delle autorità nazionali di protezione dei dati in tutti gli Stati membri. Le autorità nazionali saranno in grado di svolgere indagini, prendere decisioni vincolanti e di imporre sanzioni efficaci e dissuasive. Di fatto agiranno come uno “one-stop shop”: l’azienda dovrà dunque fare i conti con un’unica Authority, quella del Paese in cui l’azienda ha la sua sede principale. In aggiunta potremo migliorare la cooperazione e assistenza reciproca tra le autorità nazionali a livello europeo. L’obiettivo è di garantire l’applicazione coerente delle norme sulla protezione dei dati in tutti gli Stati membri. Le autorità nazionali di protezione dei dati hanno bisogno di risorse adeguate per svolgere il loro ruolo poiché hanno il compito di far rispettare le regole. Se gli Stati membri non riusciranno a garantire la completa indipendenza e risorse adeguate, non escludiamo di avviare procedure di infrazione.
Il Garante italiano, Francesco Pizzetti, si è detto scettico in merito alle nuove regole e ha evidenziato i rischi legati ad una regolamentazione troppo rigida che potrebbe minare la gestione della futura evoluzione del contesto tecnologico. Cosa ne pensa?
Norme più specifiche e dettagliate si rendono necessarie per garantire la effettiva armonizzazione a livello europeo. E questo obiettivo non è perseguibile con l’attuale Direttiva che lascia un ampio margine di manovra agli Stati membri e porta alla frammentazione, all’incertezza giuridica generando costi per le imprese. Il regolamento sulla protezione dei dati rimane tecnologicamente neutrale – come prevede la Direttiva – e può essere aggiornato e adattato all’evoluzione delle nuove tecnologie, ove necessario.
Quale sarà la roadmap? Ci vorranno circa due anni per l’entrata in vigore delle nuove regole considerando i passaggi formali ossia l’approvazione della proposta da parte di Parlamento e Consiglio Ue. Lo scenario digitale nel frattempo potrebbe evolversi nuovamente: come farete a stare al passo con i cambiamenti?
La Commissione Ue confida nel fatto che i legislatori – Parlamento europeo e Consiglio dei Ministri – daranno la massima priorità alla discussione della proposta e che i negoziati procederanno dunque rapidamente e senza intoppi. Il nostro obiettivo è di raggiungere un accordo sulla nuova legislazione entro l’estate 2013.
Google ha deciso di procedere con l’aggiornamento delle proprie regole sulla privacy rifiutando la richiesta da parte del gruppo di lavoro Articolo 29 di esaminare le novità per verificare la congruità delle nuove policy con le regole europee. Cosa ne pensa in merito?
Ho apprezzato la decisione di Articolo 29, che rappresenta tutte le 27 autorità nazionali di regolamentazione di protezione dei dati ed è il “cane da guardia” a livello europeo, di scrivere a Google. È necessario che le norme Ue sulla protezione dei dati vengano applicate in maniera adeguata in tutta l’Unione europea, affinché sia garantita la certezza del diritto per cittadini e imprese. Invitiamo quindi le autorità europee di protezione dei dati a garantire la piena applicazione delle regole Ue e a verificare che la nuova policy sulla privacy di Google sia coerente con la normativa europea.