Aggiornamento UE: andremo verso una semplificazione della Protezione dei Dati?

Il nuovo pacchetto di proposte Digital Omnibus introduce modifiche mirate al GDPR (Regolamento UE 2016/679) e alla Direttiva ePrivacy (Direttiva 2002/58/CE).

L’obiettivo è duplice: ridurre gli oneri amministrativi per imprese e amministrazioni, e rafforzare la capacità dei cittadini di esercitare i propri diritti, mantenendo al contempo lo standard più elevato di protezione.

Ecco le principali novità che potrebbero essere introdotte:

• Gestione dei Cookie e ‘Consent Fatigue‘: le regole relative alla memorizzazione o all’accesso ai dati personali sul terminale dell’utente (come i cookie) vengono spostate sotto il regime del GDPR, mantenendo il consenso come regola generale. Vengono introdotte eccezioni al consenso per scopi a basso rischio, quali la trasmissione di una comunicazione elettronica o la fornitura di un servizio esplicitamente richiesto dall’utente. Soprattutto, se un utente rifiuta una richiesta di consenso, il controller non potrà presentare una nuova richiesta per lo stesso scopo per almeno sei mesi. I titolari del trattamento dovranno inoltre consentire agli utenti di esprimere le proprie scelte di consenso (o rifiuto) tramite strumenti automatizzati e leggibili da macchina (es. impostazioni del browser).

• Notifiche di Violazione dei Dati (Data Breach): la soglia per la notifica delle violazioni alle Autorità di Vigilanza (Art. 33 GDPR) viene allineata a quella per la comunicazione agli interessati. La notifica sarà quindi richiesta solo se la violazione è suscettibile di comportare un rischio elevato per i diritti e le libertà delle persone fisiche. Inoltre, il termine massimo per la notifica all’autorità competente è esteso a 96 ore.

•  Punto di Accesso Unico per gli Incidenti (Single-Entry Point): per ridurre l’onere amministrativo del “doppio reporting”, i titolari saranno tenuti a utilizzare un Punto di Accesso Unico, gestito da ENISA, per notificare le violazioni dei dati personali alle autorità di vigilanza. Questo promuove il principio “segnala una volta, condividi con molti” (“report once, share many”).

•  IA, Ricerca Scientifica e Dati Sensibili: viene chiarito che il trattamento dei dati personali per lo sviluppo e l’operazione di sistemi o modelli di IA può essere perseguito per legittimi interessi, se appropriato. Sono inoltre previste nuove esenzioni per il trattamento delle categorie speciali di dati personali (Art. 9 GDPR): (1) se strettamente necessario per la verifica dell’identità (a condizione che i dati biometrici o i mezzi siano sotto il controllo esclusivo dell’interessato); (2) per il trattamento residuale nel contesto dello sviluppo dell’IA, purché siano implementate misure tecniche e organizzative appropriate per evitare la raccolta di tali dati e per rimuoverli efficacemente.

• Armonizzazione e Chiarezza delle Definizioni: viene fornita maggiore chiarezza sul concetto di dato personale, stabilendo che un’informazione non è personale per una determinata entità se questa non ha i mezzi ragionevolmente utilizzabili per identificare l’individuo. Si prevede inoltre l’obbligo per l’European Data Protection Board (EDPB) di sviluppare una lista unica a livello UE delle operazioni che richiedono o non richiedono una Valutazione d’Impatto sulla Protezione dei Dati (DPIA), armonizzando così la nozione di rischio elevato.

• Semplificazione degli Obblighi Informativi: l’obbligo del titolare del trattamento di informare gli interessati (Art. 13 GDPR) viene rimosso in situazioni a basso rischio e non data-intensive (ad esempio, artigiani o piccole associazioni sportive) quando vi sono ragionevoli motivi per ritenere che l’interessato sia già in possesso delle informazioni, a meno che i dati non siano trasferiti o utilizzati per decisioni automatizzate.

Queste modifiche sono state calibrate per semplificare i requisiti e sono attese per stimolare la competitività, in particolare per le PMI, consentendo loro di concentrare le risorse su attività ad alto rischio piuttosto che su oneri amministrativi non necessari. Si attenderanno nuovi sviluppi in materia.

Si precisa che queste sono le proposte per modificare il GDPR, in realtà il Digital Omnibus interviene su più regolamenti e direttive europee, per andare a semplificare la cornice normativa.