Convenzione 108+, le novità sulla protezione dei dati a livello internazionale
In data 8 Luglio 2021 l’Italia ha ratificato il protocollo di emendamento alla Convenzione per la protezione delle persone in materia di trattamento dei dati personali (c.d. Convenzione 108+) sottoscritto il 05 marzo 2019. Si tratta, ad oggi, dell'unico strumento sulla protezione dei dati vincolante a livello internazionale.
(Nella foto: l'Avv. Marco Soffientini, Data Protection Officer di Federprivacy)
Con la ratifica da parte dell’Italia del protocollo di emendamento alla Convenzione 108 è stato compiuto un ulteriore, importante, passo in avanti verso la piena applicazione della c.d. Convenzione 108 modernizzata (Convenzione 108+).
Come noto il 10 Ottobre 2018 a Strasburgo ha preso forma il Trattato n.223 denominato Protocollo di emendamento alla Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personali.
Si tratta di un quadro giuridico che si propone di modernizzare e migliorare la Convenzione 108 facilitando il flusso transfrontaliero dei dati, tra diverse parti del mondo e le varie normative, compreso in particolare il nuovo Regolamento dell’Unione europea, pienamente applicabile dal 25 maggio 2018, che fa riferimento alla Convenzione 108 nel contesto del flusso transfrontaliero dei dati (vedi Considerando n.105).
Di rilievo tra le novità del Protocollo si annoverano:
- Esigenze più rigorose riguardanti i principi di proporzionalità e di minimizzazione dei dati e la liceità dell’elaborazione degli stessi;
- Ampliamento delle categorie di dati noti come “sensibili”, che comprenderanno d’ora in poi i dati genetici e biometrici, quelli indicanti l’adesione a sindacati e l’origine etnica;
- L’obbligo di notificare la violazione dei dati;
- Una maggiore trasparenza relativa all’elaborazione dei dati;
- Nuovi diritti delle persone riguardo a processi decisionali basati su algoritmi, che assumono una particolare rilevanza nell’ambito dello sviluppo dell’Intelligenza artificiale;
- Rafforzamento della responsabilità degli addetti al controllo dei dati;
- Obbligo dell’applicazione del principio della “tutela della vita privata fin dalla fase di progettazione”;
- Applicazione dei principi relativi alla protezione dei dati a tutte le attività di trattamento dei dati, comprese quelle effettuate per motivi di protezione della sicurezza nazionale, con eventuali eccezioni e restrizioni, fatte salve le condizioni enunciate nella Convenzione, in ogni caso con la garanzia di un controllo e di una sorveglianza efficaci e indipendenti;
- Istituzione di un chiaro sistema di norme per disciplinare il flusso transfrontaliero dei dati;
- Rafforzamento dei poteri e dell’indipendenza delle autorità preposte alla protezione dei dati e delle basi giuridiche necessarie per la cooperazione internazionale.
Come osserva la nostra Autorità Garante: “L'adozione del Protocollo segna la conclusione del processo di modernizzazione della Convenzione 108, ad oggi l'unico strumento sulla protezione dei dati vincolante a livello internazionale. La Convenzione modernizzata, detta anche “Convenzione 108+”, risponde alle molte sfide dettate dallo sviluppo delle nuove tecnologie e della globalizzazione, assicura la tenuta dei principi della Convenzione e ne rafforza i meccanismi di effettiva implementazione.
Come l'originaria Convenzione, il Protocollo garantisce standard elevati di protezione in una cornice normativa flessibile, che facilita l'adozione da parte di un ampio numero di Paesi, inclusi quelli che non fanno parte del Consiglio d'Europa e ai quali il Protocollo è aperto. Costituisce, inoltre, un punto di raccordo importante tra i diversi approcci regionali, incluso il Regolamento (UE) 2016/679, che colloca l'adesione da parte di Paesi terzi alla Convenzione 108 tra i criteri da considerare nella valutazione di adeguatezza di tali Paesi nel contesto dei trasferimenti di dati extra-Ue (considerando 105).
Molte le novità contenute nella nuova Convenzione: da una parte il rafforzamento degli obblighi del titolare tra cui il principio di accountability, una maggiore trasparenza nei trattamenti, la valutazione preventiva dei rischi del trattamento, i principi di privacy by design e by default, la notifica dei data breach. Dall'altra, l'ampliamento dei diritti degli interessati, compreso il diritto a non essere soggetto a decisioni puramente automatizzate e a conoscere la logica del trattamento.
Il Protocollo rafforza, inoltre, i compiti delle autorità di protezione dati e del Comitato della Convenzione, chiamato a svolgere un ruolo specifico nel processo di valutazione dell'effettivo rispetto dei principi della Convenzione, che deve essere assicurato dai Paesi che intendono aderire ad essa, nonché dei Paesi che, pur essendo già parti, saranno comunque sottoposti ad una verifica riguardo l'osservanza della Convenzione. (Fonte: www.garanteprivacy.it [doc. web n. 9088792] del 06.03.2019.
Con la firma di ratifica dell’Italia salgono a 12 gli Stati che hanno ratificato il Protocollo emendativo che potrà entrare in vigore qualora venga ratificato da tutti gli attuali Stati facenti parte della Convenzione n.108 (attualmente 55), o anche qualora nei 5 anni successivi all’apertura (e quindi entro l’11 Ottobre 2023) alla firma del protocollo si raggiunga la ratifica di almeno 38 Stati.
