Con il Gdpr la trasparenza non è limitabile alle sole informative sulla privacy
Il regolamento europeo sulla protezione dei dati dedica numerosi articoli alla “trasparenza”, e ciò testimonia il carattere multiforme di questo istituto, non limitabile alle sole “informative”. Così, se in prima battuta, si riflette sulle finalità della trasparenza, si arriverà a concludere che la trasparenza ha uno scopo di agevolazione del controllo da parte di soggetti terzi. Questi soggetti terzi potrebbero essere le autorità amministrative di controllo oppure le istituzioni legislative oppure le autorità giudiziaria e, non ultimo, l’interessato stesso. Quest’ultimo dispone di strumenti di verifica e di controllo in ordine alle circostanze che lo riguardano personalmente.
(Nella foto: Antonio Ciccia Messina, legale esperto di protezione dati e presidente di Persone & Privacy)
Continuando lo studio del Gdpr si nota che la trasparenza interessa le informazioni e comunicazioni a seguito di esercizio dei diritti, e che, quindi, è una materia che riguarda la posizione soggettiva dell’interessato.
Peraltro, proseguendo l’analisi degli adempimenti imposti ai titolari e responsabili del trattamento, si rinviene che le esigenze di trasparenza sono altresì interpretabili come un quadro nel quale devono essere realizzati i trattamenti stessi.
La trasparenza è un concetto più ampio che modella il trattamento dei dati nel suo complesso.
Si prenda, ad esempio, l'accordo sulla contitolarità e si scoprirà che l'articolo 26 Rgpd indica in maniera espressa che il contenuto essenziale di tale accordo deve essere messo a disposizione dell'interessato.
Altro esempio riguarda la valutazione di impatto privacy, disciplinata all'articolo 35 Rgpd, nel quale si prescrive al titolare o al responsabile del trattamento di verificare se sia conveniente la raccolta delle opinioni degli interessati o dei loro rappresentanti a riguardo della valutazione di impatto stessa: anche questo è un momento nel quale si realizza una trasparenza, che va al di là degli adempimenti specifici di informazioni e comunicazioni all’interessato.
Quest’ultimo aspetto della trasparenza è, in effetti, intrinsecamente collegato alla ratio stessa dell’intera disciplina della protezione dei dati; la trasparenza si inserisce nel quadro delle attività che hanno una rilevanza sociale di interesse generale e che supera le esigenze dei singoli attori e protagonisti delle singole operazioni di trattamento.
L’attività di trattamento dei dati ha una rilevanza economico-sociale e viene regolamentata attraverso gli strumenti che l'ordinamento predispone a prevenzione del possibile verificarsi di eventi pericolosi o dannosi per i diritti e le libertà delle persone.
Nel quadro della regolamentazione delle attività che hanno rilevanza sociale, la trasparenza assume un ruolo di primaria importanza, almeno pari a quello delle modalità di tutela dei diritti degli interessati.
La trasparenza ha una rilevanza trasversale, che si manifesta non solo in adempimenti e obblighi da rispettare nei confronti degli interessati, ma altresì attraverso obblighi e adempimenti nell’interesse generale e nei confronti dell'autorità di controllo. L'autorità di controllo infatti può chiedere in via bonaria, ma anche in via coattiva, documentazione e informazione sulla organizzazione delle misure organizzative e tecniche messe in atto dai titolari ed ai responsabili del trattamento.
A proposito della trasparenza quale fonte di obblighi nell’interesse generale, si evidenzia, infine, che le misure data subject-oriented di salvaguardia della trasparenza sono misure tecniche organizzative integrative dei modelli di compliance.
Alla luce di queste premesse, si possono dare indicazioni specifiche in relazione ad alcuni adempimenti che devono fare i conti con la disciplina della trasparenza. (Per approfondimenti, si veda la Circolare 7-2020 di Federprivacy)
Della trasparenza bisogna preoccuparsi negli atti di informazione (vedasi la meticolosità richiesta per le informative relative alle decisioni automatizzate); nella valutazione dei rischi e nelle DPIA; negli accordi di contitolarità.
In un prossimo futuro la trasparenza sarà un capitolo portante dei codici di condotta e dei requisiti delle certificazioni.
Da ultimo si sottolinea la posizione delicata del Data Protection Officer, che non può sostituirsi al titolare del trattamento, ma che deve svolgere, da un lato, il ruolo di facilitatore e agevolatore della trasparenza nel senso di oggetto dei diritti dell’interessato e, dall’altro lato, il ruolo catalizzatore dell’adeguamento al Rgpd e, quindi, anche della trasparenza intesa come modalità di svolgimento dei trattamenti. (Vedasi facsimile di sollecito del DPO al Titolare del trattamento)
