31.8.2017   

IT

Gazzetta ufficiale dell’Unione europea

C 288/107

Relatore:

Jorge PEGADO LIZ

1.1

Con la proposta in oggetto, la Commissione provvede, in modo generalmente corretto e adeguato da un punto di vista strettamente tecnico e giuridico, al necessario adeguamento dell’attuale regime, stabilito con il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio  (1) e la decisione n. 1247/2002/CE del Parlamento europeo, del Consiglio e della Commissione  (2) , relativi alla protezione dei dati personali da parte delle istituzioni, degli organi e degli uffici dell’Unione, al nuovo regolamento generale sulla protezione dei dati (RGPD) (3), che sarà di applicazione in tutta l’UE a partire dal 25 maggio 2018.

1.2

Il CESE ricorda tuttavia il contenuto delle osservazioni e raccomandazioni a suo tempo formulate in merito alla proposta di RGPD, ora adottata, e si rammarica che la versione definitiva non ne abbia tenuto pienamente conto; il CESE teme altresì che i ritardi verificatisi nella sua adozione ed entrata in vigore, alla luce della rapida evoluzione tecnologica in questo settore, aumentino il rischio di appropriazione indebita e di abuso del loro trattamento e commercializzazione, e che il regolamento stesso diventi obsoleto ancor prima della sua attuazione. Poiché la proposta in oggetto costituisce un adattamento del RGPD al funzionamento delle istituzioni europee, questi timori valgono, mutatis mutandis, anche per il testo in esame, in particolare per quanto riguarda la mancanza di trasparenza del suo linguaggio, di difficile comprensione per il cittadino medio.

1.3

D’altro canto, il CESE ritiene che quanto avviene nelle istituzioni europee debba essere preso come esempio per le procedure a livello nazionale, e pertanto considera necessario prestare un’attenzione particolare nell’elaborazione della proposta.

1.4

A questo proposito, il CESE è dell’avviso che sarebbe stato opportuno trattare in modo esplicito aspetti quali il legame della proposta con lo statuto dei funzionari dell’Unione europea, il trattamento dei casi di molestie e cyberbullismo e delle denunce di irregolarità all’interno delle istituzioni dell’UE, la sua applicazione — per quanto riguarda l’internet degli oggetti — ai megadati e all’utilizzo di motori di ricerca a fini di accesso, creazione o utilizzo di dati personali, nonché le informazioni personali pubblicate sulle pagine delle singole istituzioni nelle reti sociali (Facebook, Twitter, Instagram, Linkedin, ecc.).

1.5

Allo stesso modo, il CESE avrebbe apprezzato che la proposta si fosse premurata di enunciare le condizioni della sicurezza dei sistemi informatici che saranno di sostegno al trattamento dei dati e le garanzie contro gli attacchi informatici e le violazioni o la fuga di tali dati, assicurandone la neutralità tecnologica, e non le avesse relegate tra le norme interne specifiche di ciascun servizio; sarebbe stato inoltre opportuno chiarire meglio il rapporto tra la protezione dei dati e la lotta alla criminalità e al terrorismo, che non deve comportare l’adozione di misure sproporzionate o eccessive di sorveglianza, misure che in ogni caso devono essere sempre soggette al controllo del Garante europeo della protezione dei dati (GEPD).

1.6

Apprezzerebbe inoltre che la proposta definisse le competenze e le caratteristiche di formazione e di idoneità necessarie per essere designato come responsabile della protezione dei dati, titolare del trattamento dei dati e responsabile del trattamento dei dati presso le istituzioni dell’UE, sempre sotto il controllo e il monitoraggio del GEPD.

1.7

Inoltre, secondo il CESE — data la specificità dei dati raccolti, che incidono direttamente sulla vita privata dei titolari in particolare in termini di salute — i dati fiscali e sociali dovrebbero essere limitati a quanto è strettamente necessario per le finalità a cui sono destinati; nel trattamento di tali dati personali particolarmente sensibili dovrebbero inoltre essere assicurate la massima protezione e le massime garanzie, sulla base delle norme internazionali e delle legislazioni nazionali più avanzate, nonché delle migliori pratiche di taluni Stati membri.

1.8

Il CESE sottolinea la necessità che la proposta preveda esplicitamente il rafforzamento dei mezzi del GEPD e l’assegnazione allo stesso di personale sufficiente e dotato di elevate conoscenze e competenze tecniche nel settore della protezione dei dati.

1.9

Il CESE sottolinea una volta di più la necessità che anche i dati delle persone giuridiche (imprese, ONG, società commerciali, ecc.) legalmente costituite siano oggetto di protezione nel quadro della loro raccolta e del loro trattamento.

1.10

Infine, il CESE segnala nelle sue osservazioni particolari una serie di modifiche a diverse disposizioni le quali, se adottate, contribuiranno a rendere più efficace la protezione dei dati personali all’interno delle istituzioni dell’UE, a beneficio non solo dei loro funzionari ma anche di migliaia di cittadini europei che entrano in contatto con esse, e pertanto esorta la Commissione, oltre che il Parlamento europeo e il Consiglio, a prenderle in considerazione per la stesura definitiva della proposta.

2.1

Come indicato dalla Commissione nella relazione allegata, l’obiettivo della proposta è quello di abrogare il regolamento (CE) n. 45/2001  (4) e la decisione n. 1247/2002/CE relativi alla protezione dei dati personali da parte delle istituzioni, degli organi e degli uffici dell’Unione, con due finalità:

2.2

Dopo una lunga e travagliata gestazione, il Consiglio e il Parlamento europeo hanno infine adottato il regolamento generale sulla protezione dei dati (5) (RGPD), che sarà di applicazione in tutta l’UE a partire dal 25 maggio 2018; il regolamento richiede un adattamento di vari strumenti legislativi (6), in particolare il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE.

2.3

Tenendo conto dei risultati delle inchieste e delle consultazioni delle parti interessate, nonché dello studio di valutazione sull’applicazione negli ultimi 15 anni, risultati che sono illustrati nel dettaglio, la Commissione ha concluso in particolare che:

2.4

Considerando la natura e la portata delle modifiche da apportare ai precedenti strumenti giuridici, la Commissione ha deciso di abrogarli in toto e di sostituirli con il regolamento in esame, che è in linea con le altre disposizioni citate, le quali entreranno in vigore contemporaneamente al regolamento (UE) 2016/679, come previsto all’articolo 98 di quest’ultimo.

3.1

Da un punto di vista strettamente tecnico-giuridico, il CESE è d’accordo in linea di principio per quanto riguarda:

3.2

Questo accordo di principio non pregiudica il contenuto delle proprie osservazioni e raccomandazioni in merito alla proposta di RGPD (8), ora trasformata nell’attuale RGPD (9), che non sono riprese nello loro integralità in questa versione finale, la cui adozione ed entrata in vigore tardive compromettono ulteriormente, tenuto conto della rapida evoluzione tecnologica in questo settore, che incrementa i rischi di appropriazione indebita dei dati e di abuso del loro trattamento e della loro commercializzazione, facendo sorgere il timore che diventi obsoleta ancor prima di essere attuata. Nella misura in cui la proposta in oggetto costituisce un adattamento del RGPD al funzionamento delle istituzioni europee, questi timori valgono, mutatis mutandis, anche per il testo in esame — in particolare per quanto riguarda la mancanza di trasparenza del suo linguaggio, di difficile comprensione per il cittadino medio — che sarebbe stato meglio presentare e discutere contemporaneamente a quella proposta.

3.3

D’altro canto, dato che quanto avviene nelle istituzioni europee deve valere come esempio per le procedure a livello nazionale, il CESE avrebbe apprezzato che alcuni temi fossero affrontati nella proposta in esame.

3.4

Non è poi chiaro se essa sia stata opportunamente messa in rapporto con lo statuto dei funzionari dell’Unione europea (regolamento n. 31 CEE (10)), data l’assenza di disposizioni normative specifiche volte a garantire che i dati personali dei funzionari e dei collaboratori delle istituzioni siano coperti da una garanzia di protezione più efficace per quanto riguarda la loro assunzione, la carriera, la durata del contratto e gli eventuali rinnovi, oltre che la relativa valutazione.

3.4.1

Anche se non nel testo in esame, dovrebbero essere previste disposizioni generali comprendenti norme riguardanti la documentazione sanitaria dei funzionari e dei loro familiari, la protezione dei dati creati o utilizzati dai funzionari e i rispettivi dati genetici, il trattamento e la protezione dei messaggi di posta elettronica (sia quelli inviati dai cittadini agli uffici dell’UE che quelli inviati o scambiati tra i funzionari di tali uffici e con l’esterno), il loro contenuto e le pagine Internet visitate (11).

3.4.2

Analogamente, avrebbero meritato un trattamento speciale i casi di molestie e cyberbullismo e le denunce di irregolarità all’interno delle istituzioni dell’UE, indipendentemente da quanto disposto all’articolo 68.

3.4.3

Il CESE si interroga inoltre sulle condizioni di applicazione della proposta in esame e del regolamento (UE) 2016/679 per quanto riguarda l’Internet degli oggetti, i megadati e l’utilizzo dei motori di ricerca a fini di accesso, creazione o utilizzo di dati personali, nonché le informazioni personali pubblicate sulle pagine delle singole istituzioni nelle reti sociali (Facebook, Twitter, Instagram, Linkedin, ecc.) anche senza l’esplicito consenso dell’interessato.

3.5

Il CESE avrebbe apprezzato che la proposta della Commissione, oltre al riferimento alla riservatezza delle comunicazioni elettroniche di cui all’articolo 34 della proposta di regolamento, si fosse premurata di enunciare le condizioni della sicurezza dei sistemi informatici che saranno di sostegno al trattamento e le garanzie contro gli attacchi informatici e le violazioni o le fughe di tali dati (12), assicurandone la neutralità tecnologica, e non le avesse relegate tra le norme interne specifiche di ciascun servizio; sarebbe stato inoltre opportuno chiarire meglio il rapporto tra la protezione dei dati e la lotta alla criminalità e al terrorismo, che non deve comportare l’adozione di misure sproporzionate o eccessive di sorveglianza, misure che, in ogni caso, devono essere sempre soggette al controllo del GEPD.

3.6

Il CESE sottolinea che l’interconnessione dei dati personali all’interno delle istituzioni dell’UE non può essere disciplinata solo dal principio della responsabilità di cui al considerando 16, e a tale proposito esorta la Commissione a introdurre una norma specifica secondo la quale l’interconnessione può essere effettuata solo una volta ottenuta l’autorizzazione del GEPD su richiesta de titolare del trattamento e/o del responsabile del trattamento.

3.7

Il Comitato preferirebbe inoltre che — fatte salve le disposizioni di cui al punto 51 del preambolo e all’articolo 44, paragrafo 3, della proposta — fossero state definite le competenze e le caratteristiche di formazione e idoneità necessarie per essere designato come responsabile della protezione dei dati, titolare del trattamento dei dati e responsabile del trattamento dei dati presso le istituzioni dell’UE (13); le eventuali violazioni dei loro obblighi operativi dovrebbero essere oggetto di sanzioni realmente dissuasive a livello disciplinare, civile e penale, enunciate nella proposta e sempre soggette al controllo e al monitoraggio del GEPD.

3.8

Pur riconoscendo che la proposta in esame rappresenta un miglioramento nel livello di protezione rispetto all’attuale regolamento (CE) n. 45/2001, il CESE ritiene che — data la specificità dei dati raccolti e il loro impatto diretto sulla vita privata degli interessati, in particolare in termini di salute e di dati fiscali e sociali — la proposta debba limitare tali dati a quanto strettamente necessario per le finalità a cui sono destinati e offrire la massima protezione e le massime garanzie nel trattamento dei dati personali, sulla base delle norme internazionali e delle legislazioni nazionali più avanzate, nonché delle migliori pratiche di taluni Stati membri (14).

3.9

Pur consapevole del fatto che il regolamento (UE) 2016/679 e la proposta in esame si applicano soltanto ai dati riguardanti le persone fisiche, il CESE sottolinea una volta di più la necessità che anche i dati delle persone giuridiche (imprese, ONG, società commerciali, ecc.) legalmente costituite siano oggetto di protezione nel quadro della loro raccolta e del loro trattamento.

4.1

L’esame particolareggiato del testo della proposta fa sorgere una serie di dubbi e riserve, in considerazione dei principi fondamentali di protezione della vita privata stabiliti nella Carta dei diritti fondamentali dell’UE e dei principi di proporzionalità e di precauzione.

4.3.1

Dato che il regolamento proposto si applica ai dati trattati all’interno delle istituzioni dell’UE, il CESE auspicherebbe un’introduzione esplicita del principio di non discriminazione, in considerazione della natura dei dati trattati.

4.3.2

Per quanto riguarda l’articolo 4, 1, lettera b), il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici deve essere soggetto a un’autorizzazione previa del Garante europeo della protezione dei dati, attualmente non prevista dall’articolo 58.

4.3.3

Il CESE ritiene infine che occorra inserire una disposizione esplicita, equivalente all’attuale articolo 7 del regolamento (CE) n. 45/2001, riguardante il trasferimento di dati tra le istituzioni dell’UE.

4.4.1

Non si capisce per quale motivo la lettera b) del paragrafo 1 dell’articolo 5 della proposta di regolamento non sia soggetta alle disposizioni di cui al paragrafo 2 dello stesso articolo, a differenza delle lettere c) ed e) dell’articolo 6, entrambe soggette alle disposizioni del paragrafo 3 del regolamento generale sulla protezione dei dati (RGPD).

4.4.2

Il CESE ritiene opportuno aggiungere alla lettera d) che il consenso deve essere soggetto a un principio di buona fede.

4.5.1

L’applicazione di questo articolo deve essere sempre soggetta a un’autorizzazione del Garante europeo della protezione dei dati.

4.5.2

In questi casi, l’interessato deve sempre essere informato in anticipo di tale eventualità nel momento in cui i dati sono raccolti o è adottata una nuova decisione, e deve avere la facoltà di chiedere la rettifica o la cancellazione dei dati, di opporsi a loro trattamento o di chiederne una limitazione.

4.6.1

Il CESE ritiene che l’eccezione alla regola sulla validità del consenso da parte dei minori di 16 anni (tra 13 e 16), già di per sé aberrante, sia ammissibile soltanto per gli Stati membri, per motivi culturali di diritto nazionale (articolo 8 del RGPD), ma questa non deve essere ammessa come regola per le istituzioni dell’UE (articolo 8, paragrafo 1), che stabilisce il limite a 13 anni.

4.6.2

D’altro canto non vengono specificate le modalità con cui il GEPD dovrebbe sviluppare l’«attenzione particolare» nei confronti dei minori di cui all’articolo 58, 1, lettera b), in particolare nel caso degli elenchi di utenti di cui all’articolo 36, quando i loro dati sono accessibili al pubblico.

4.7.1

Al paragrafo 1 devono essere incluse anche l’appartenenza a un partito (che non è sinonimo di opinione politica) e la vita privata.

4.7.2

Al paragrafo 2, lettera b), ai fini della conformità con gli obblighi e l’esercizio dei diritti specifici dell’interessato, occorre precisare che quest’ultimo deve essere sempre precedentemente informato.

4.7.3

Al paragrafo 2, lettera d), il trattamento deve essere possibile solo se vi è il consenso dell’interessato.

4.7.4

La lettera e) dovrà costituire un’eccezione solo qualora si possa ragionevolmente desumere dalle sue dichiarazioni il consenso al trattamento dei dati.

4.9.1

Per quanto concerne le informazioni complementari di cui all’articolo 15, paragrafo 2, si dovrà aggiungere il requisito che l’interessato sia informato della natura obbligatoria o facoltativa della risposta del titolare del trattamento, nonché delle possibili conseguenze di una mancata risposta.

4.9.2

Se i dati sono raccolti in reti aperte, l’interessato deve sempre essere informato della possibilità che i suoi dati personali circolino nelle reti senza sicurezza, con il rischio che siano visti e utilizzati da parte di terzi non autorizzati.

4.9.3

Il diritto di cui all’articolo 17, paragrafo 1, deve poter essere esercitato liberamente e senza limitazioni, a intervalli ragionevoli, in modo rapido o immediato e a titolo gratuito.

4.9.4

Secondo il CESE, l’interessato dovrebbe inoltre avere il diritto di ottenere la conferma che sia o meno in corso un trattamento di dati che lo riguardano.

4.9.5

Le informazioni fornite a norma dell’articolo 17, paragrafo 1, devono essere presentate in modo intellegibile, chiaro e comprensibile, in particolare quando riguardano i dati oggetto di trattamento e qualsiasi informazione sulla loro origine.

4.11.1

Il CESE raccomanda di aggiungere alla lettera c) del paragrafo 2 che tale consenso potrà essere dato soltanto dopo la fornitura di informazioni esplicite circa l’impatto delle decisioni sulla sfera giuridica dell’interessato, poiché solo in tal modo il consenso potrà dirsi debitamente informato.

4.11.2

Per quanto riguarda il paragrafo 3, il CESE ritiene che le misure adeguate debbano essere definite dal Garante europeo per la protezione dei dati anziché dal titolare del trattamento.

4.12.1

Il CESE teme che la formulazione dell’articolo 25 della proposta di regolamento costituisca un’interpretazione troppo ampia dell’articolo 23 del RGPD quanto alla portata delle limitazioni all’applicazione delle disposizioni che stabiliscono i diritti fondamentali degli interessati, e raccomanda di rivederla, con spirito critico, sulla base di un’analisi attenta ed eventualmente limitativa dei vari punti, in particolare per quanto riguarda la limitazione del diritto al rispetto della vita privata nelle reti di comunicazioni elettroniche prevista dall’articolo 7 della Carta dei diritti fondamentali dell’Unione europea, contemplata nell’attuale direttiva e-privacy e mantenuta nella proposta di regolamento oggetto di un altro parere del CESE.

4.12.2

Il CESE è fermamente contrario alla possibilità — prevista all’articolo 25, paragrafo 2 — di cui dispongono le istituzioni e gli uffici dell’Unione per limitare l’applicazione delle restrizioni ai diritti degli interessati che non siano autorizzate espressamente da atti giuridici. Lo stesso vale per l’articolo 34.

—

impedire a qualsiasi persona non autorizzata di accedere alle installazioni utilizzate per l’elaborazione di tali dati,

—

impedire che i supporti di dati possano essere letti, copiati, modificati o asportati da persone non autorizzate,

—

impedire che siano inseriti, senza autorizzazione, dei dati di natura personale e che di tali dati sia presa visione, o che siano modificati o cancellati senza autorizzazione,

—

impedire che persone non autorizzate utilizzino i sistemi di elaborazione automatizzata di dati mediante apparecchiature per la trasmissione di dati,

—

garantire la verifica delle entità a cui i dati personali possono essere trasmessi,

—

garantire che le persone autorizzate possano accedere esclusivamente ai dati oggetto di autorizzazione preliminare.

4.20.1

Fatto salvo quanto suindicato, in virtù della natura delle sue funzioni, il responsabile della protezione dei dati, qualora non sia un funzionario, deve poter essere destituito in qualsiasi momento, essendo sufficiente a tal fine il parere favorevole del GEPD (articolo 45, paragrafo 8, del regolamento).

4.20.2

La durata del suo mandato deve essere fissata in 5 anni ed essere rinnovabile una sola volta.

4.25

La proposta di regolamento è viziata da una serie di espressioni o concetti di carattere ambiguo e soggettivo, che sarebbe opportuno rivedere e sostituire. È il caso, ad esempio, di espressioni quali «per quanto possibile», «se possibile», «senza ritardo», «rischio elevato», «tenere in debito conto», «termine ragionevole», «particolare importanza».