Regolamento Generale sulla tutela dei dati personali. Responsabilità e sanzioni

Il diritto alla protezione dei dati personali sorge come specificazione particolare del generale diritto alla privacy, oggi più che mai essenziale per la salvaguardia della libertà e della dignità della persona umana: ma nel mondo dematerializzato della connessione universale, tale diritto “decade” a diritto alla protezione dei dati, talché la disciplina della privacy si configura come law in action, poiché tutela un diritto che muta al mutare delle innovazioni tecnologiche e delle esigenze sociali. In accordo con tale ipotesi, la disciplina europea innovata nel Regolamento (UE) 2016/679 discorre di protezione dei dati personali, aggiungendo peraltro specificazione e concretezza alla nozione di privacy - così tuttavia necessariamente limitata -, all’insegna di un senso di praticità tutto latino o, se vogliamo, riscontrabile anche nell’essenzialità dei dettagli del diritto strutturato tra writs, remedies e forms of actions. Rileva nitidamente la preoccupazione del legislatore europeo di salvaguardare il fine prioritario e l’esistenza del ‘mercato unico’, garantendo a customers e consumers, e in genere a tutti gli interessati la tutela dei dati personali. Un’ipotesi di failure in tal senso sarebbe esiziale, perché timore e sfiducia allontanerebbero masse di utenti dall’utilizzo di e-contracts e del commercio elettronico e, sostanzialmente, renderebbe meramente utopistico il concretarsi del Mercato Unico Digitale. Il Regolamento del 27 aprile 2016, oltre ad apportare novità di rilievo - come le norme in tema di diritto all'oblio e di diritto alla portabilità dei dati; come le notificazioni delle violazioni alle Autorità nazionali ed agli stessi utenti nei casi più gravi di data breaches; le modalità di accesso ai propri dati personali più agevoli per gli interessati; il meccanismo dell’onestop-shop, in virtù del quale le aziende potranno confrontarsi con un'unica autorità di vigilanza; il concetto di privacy by design, ossia della tutela del dato fin dalla progettazione e di privacy by default, intesa quale tutela della vita privata per impostazione predefinita - prevede, altresì, soprattutto per le piccole e medie imprese, semplificazioni burocratiche e un connesso sgravio di costi stimato in oltre 130 milioni di euro per anno. Appare quindi prospettarsi un mutamento epocale in ambito economico-giuridico, poiché dalla dimensione propria del precedente meccanismo fondato sull’armonizzazione e sulle norme nazionali di attuazione si passa ad un Regolamento di immediata applicazione in tutti gli Stati membri, che - soprattutto - introduce regole certe, atte a disciplinare non soltanto fenomeni che nella direttiva 95/46/CE non erano nemmeno contemplati, ma anche quelli connessi a future problematiche, inerenti al Mercato Unico Digitale, che attualmente non ancora appaiono all’orizzonte. Il principio di responsabilità, integrato nel sistema comunitario di protezione dei dati già dalla Convenzione 108/1981, emerge con evidenza nella direttiva n. 95/46/CE, la direttiva madre in tema di protezione dei dati, e nei vari provvedimenti normativi successivi, sempre aggiuntivi e mai sostitutivi rispetto alle norme della direttiva citata. Il Regolamento (UE) 2016/679 amplia la disciplina stabilita dalle direttive d’ambito, estendendo il principio di responsabilità connesso precipuamente al risk for the rights and freedoms of individuals, dal data breach a tutti i tipi di trattamento, incardinandolo, altresì, nel soggetto che tale trattamento pone in essere. In particolare, sono rese più severe e cogenti le norme che disegnano il ruolo e la responsabilità del controller e del processor, nonché dei vari officers delle cui competenze aziende e imprese dovranno necessariamente avvalersi, anche al fine di evitare le severe sanzioni previste dagli otto articoli del Capo VIII: in una nuova e ben più ampia prospettiva che travalica l’esclusiva tutela dell’interessato, in quanto mirante alla salvaguardia dell’intera collettività dai trattamenti illeciti. Ne è riprova la possibilità offerta non solo al data subject, ma anche ad organizzazioni e associazioni: se a quello può tornare utile essere affiancato nella propria azione di rivalsa, sembra invece prevaricare il diritto del singolo la facoltà concessa a tali associazioni ed organizzazioni di promuovere il ricorso alle Autorità di controllo anche senza il mandato dell’interessato e, quindi, anche contro la sua volontà ed intenzione. Dunque la nuova tutela rafforzata, pur di preservare l’interesse generale della collettività dal rischio di trattamenti illeciti dei dati personali, va oltre l’interesse del soggetto anzi lo priva della libertà di scegliere se far valere, oppur no, il proprio diritto.