Garante europeo: privacy ai tempi del Covid-19, richiamo cruciale sul principio di necessità
Dal Garante Europeo della protezione dei dati (Edps, European data protection supervisor) arrivano utili strumenti per l’attività del responsabile della protezione dei dati e del consulente della privacy. La relazione annuale per il 2019 dell’Edps mette in fila, a consuntivo, una serie di strumenti che vanno al di là degli stretti compiti istituzionali del Supervisor europeo (garantire che le istituzioni e gli organi dell'UE rispettino il diritto protezione dei dati) e sfociano in veri e propri tool per chi deve applicare la protezione dei dati in azienda e negli enti pubblici.
In primo piano, in questo periodo storico, caratterizzato da una emergenza sanitaria a fronte della pandemia da Covid, si pongono le Linee guida, adottate nel 2019, sull’applicazione del principio di proporzionalità.
Proprio combinando la lettura e l’applicazione delle Linee Guida sulla proporzionalità con il Tool kit sul principio di necessità (anch’esso di fonte Edps, seppur risalente al 2017), i legislatori europei ed anche tutte le autorità impegnate nel fronteggiare il Covid-19 e nel predisporre le regole contingibili e urgenti, possono trovare equilibrate direttive per bilanciare le opposte esigenze (salute e sicurezza pubblica, da un lato, e riservatezza individuale e protezione dei dati, dall’altro).
Temi come il rapporto tra privacy e uso di device di geolocalizzazione ed anche come il rapporto tra riservatezza e diritti dei lavoratori alla protezione dei dati ed esigenza di salvaguardia della salute collettiva sul luogo di lavoro devono essere affrontati e portati a sintesi a partire dai principi di proporzionalità e di necessità. È evidente la possibilità di avvalersi dei risultati dell’Edps, che in prima battuta si rivolge ai legislatori, ma ha sviluppato flussi logici e argomentativi di portata universale.
Le Linee Guida per la valutazione della proporzionalità offrono una vera e propria check list, articolata in quattro passaggi: 1) valutazione della legittimità degli scopi, nel quadro di un esame costi-benefici; 2) valutazione dell’impatto della legislazione sui diritti fondamentali; 3) giudizio di bilanciamento; 4) analisi delle conclusioni; in caso di valutazione di “non proporzione” identificare misure di contenimento e rimedio.
Le Linee guida sono generose anche nell’offrire al lettore un’ampia casistica esemplificativa.
La procedura per l’assessment della proporzionalità deve essere associata all’utilizzo del kit, predisposto dallo stesso Edps, per la valutazione della “necessità”. L’Edps, anzi, ha elaborato un vero e proprio “test della necessità”, disegnando quattro step: 1) descrizione della misura proposta; 2) identificazione dei diritti e delle libertà individuali in gioco; 3) definizione della finalità della misura pianificata; 4) scelta dell’opzione efficace e meno impattante.
Nel presentare la Relazione annuale, peraltro, l’Edps constata che molto spesso nella stesura degli atti legislativi non si tiene ancora conto dei risvolti attinenti il trattamento dei dati e la protezione delle informazioni.
Al contrario, e mai come nel periodo attuale il richiamo dell’Edps è cruciale, la disciplina del trattamento del dato è immanente e, anzi, aggiungiamo, a volte risolutiva anche in senso sostanziale.
Gli strumenti di assessment della proporzionalità e della necessità rivestono un rilievo per tutti i titolari di trattamenti chiamati a osservare i relativi principi in molti frangenti di applicazione del Gdpr (dalle condizioni di liceità alle misure di sicurezza, al rispetto dei principi di cui all’articolo 5).
Nella relazione per il 2019, l’Edps dà conto anche di un altro importante elaborato cioè delle Linee Guida 2019 sui ruoli e concetti di titolare e contitolari e responsabili del trattamento.
I dubbi interpretativi su come individuare queste figure sono all’ordine del giorno, così come la ripartizione di obblighi e responsabilità soprattutto in relazione al possibile esercizio dei diritti degli interessati.
Le Linee guida si caratterizzano per la abbondanza di esempi, lista controlli e tabelle esplicative, anche per la contitolarità. In dettaglio alle Linee guida sono allegati un flowchart per scoprire, in un determinato trattamento, se si riveste il ruolo di titolare, responsabile o di contitolare, una check list per l’individuazione dei doveri del titolare del trattamento e, infine, una check list per l’individuazione dei doveri del responsabile del trattamento.
La relazione dell’Edps dà, infine, ovviamente conto dei vari campi di attività del Garante Europeo, informazioni sulla operatività dei singoli uffici e una utile lista di tutti i DPO delle istituzioni europee.
