La privacy europea introdotta con il Reg (UE) 679/2016 sta generando una confusione oltre ogni limite. Ho letto di offerte che garantiscono di sistemare tutto il discorso privacy, per società anche piccole, per decine di migliaia di euro; oppure altri articoli che ritengono addirittura che il regolamento non sia applicabile in quanto carente di decreti legislativi attuativi; altri ancora che la privacy entrerà in vigore a giugno, ovvero quando diventerà operativo il decreto legistalivo 51/2018 che anch’esso si occupa di privacy ma che a ben vedere non ha nulla a che vedere con il regolamento 679/2016.
Ho già scritto altri articoli in relazione alla privacy per cercare di chiarire il discorso (“Facciamo chiarezza per quanto riguarda il regolamento europeo sulla protezione dei dati personali” ed ancora “Adeguamento alla normativa europea sulla privacy“), ma ogni giorno contunuo a leggere articoli dai titoli allarmanti il cui contenuto però non fornisce utili informazioni. Anzi complicano le poche idee che si hanno.
Andiamo per ordine.
Le fonti del diritto europeo.
L’Unione europea dispone di personalità giuridica e, in quanto tale, del proprio ordinamento giuridico a se stante, distinto dall’ordinamento internazionale. Inoltre, il diritto UE ha un effetto diretto o indiretto sulle disposizioni legislative dei suoi Stati membri ed entra a far parte del sistema giuridico di ciascuno Stato membro. L’Unione europea è in sé fonte di diritto. L’ordinamento giuridico è normalmente suddiviso in diritto primario (trattati e principi generali del diritto), diritto derivato (sulla base dei trattati) e diritto complementare.
Nell’ambito del diritto derivato troviamo i regolamenti e le direttive.
I regolamenti.
I regolamenti hanno portata generale, sono obbligatori in tutti i loro elementi e direttamente applicabili. Essi devono essere pienamente rispettati dai destinatari (singoli individui, Stati membri, istituzioni dell’Unione). I regolamenti sono direttamente applicabili in tutti gli Stati membri a partire dalla loro entrata in vigore (alla data specificata o, in assenza di indicazione, venti giorni dopo la loro pubblicazione nella Gazzetta ufficiale dell’Unione europea), senza necessità di recepimento nel diritto nazionale.
I regolamenti sono volti a garantire l’applicazione uniforme del diritto dell’Unione in tutti gli Stati membri. Ne consegue che le norme nazionali incompatibili con le clausole sostanziali contenute nei regolamenti sono rese inapplicabili dagli stessi.
Le direttive.
Le direttive vincolano lo Stato membro o gli Stati membri cui sono rivolte per quanto riguarda il risultato da raggiungere, salva restando la competenza degli organi nazionali in merito alla forma e ai mezzi. Il legislatore nazionale deve adottare un atto di recepimento ossia una «misura nazionale di esecuzione» nel diritto interno che adatta la legislazione nazionale rispetto agli obiettivi definiti nella direttiva. In sostanza, ai singoli cittadini vengono attribuiti diritti e imposti obblighi solo una volta adottato l’atto di recepimento.
Gli Stati membri dispongono di un certo margine di manovra per il recepimento che permette loro di tenere conto di specifiche circostanze nazionali. Il recepimento deve avvenire entro il termine stabilito nella direttiva. Nel recepire le direttive gli Stati membri sono tenuti ad assicurare l’efficacia del diritto dell’Unione, in virtù del principio di leale cooperazione di cui all’articolo 4, paragrafo 3, del TUE.
La validità del Regolamento 679/2016 in Italia.
Vista quindi la definizione del regolamento e la sua efficacia immediata (o dalla data di indicata all’interno dello stesso regolamento) nessuno potrà mai sostenere senza essere smentito che il regolamento 679/2016 non può essere applicato. Certo, non è definito e preciso come potrebbe essere una legge o regolamento dello Stato, ma contiene tutte le informazioni necessarie per poter essere applicato.
Le direttive 680 e 681 del 2016.
Queste direttive, che seppur collegate con il regolamento 679/2016, nulla hanno a che fare con esso, disciplinano altri aspetti della privacy.
La Direttiva n. 680
(Scarica qui la DIRETTIVA (UE) 2016_680) risulta speculare al GDPR nel suo ambito specifico di applicazione; molte delle norme ivi contenute sono simili a quelle presenti nel testo del GDPR, se non addirittura uguali ad esse, ma sono specifiche per i trattamenti effettuati dalle autorità competenti, a fini di i) prevenzione, indagine, accertamento e perseguimento di reati, ii) esecuzione di sanzioni penali, iii) salvaguardia e prevenzione di minacce alla sicurezza pubblica. (fonte “agendadigitale .eu”). Come abbiamo appreso sopra, le direttive necessitano di una norma dello stato membro di attuazione. Lo Stato italiano ha emanato il D.Lgs 51_2018 decreto attuativo del Reg UE 679_2018 proprio per rendere applicabili i principi presenti all’interno della direttiva. Questo decreto legislativo avrà efficacia a partire dal 8 giugno 2018.
L’entrata in vigore di questo decreto legislativo non ha nulla a che vedere con l’efficacia del regolamento europeo 679/2018.
La Direttiva n. 681
(Scarica qui la Direttiva (UE) 2016_681) si occupa, invece, del trattamento dei dati del c.d. codice di prenotazione (Passenger Name Record – PNR), ovvero le informazioni relative al viaggio aereo di ciascun passeggero, comprendenti i dati delle prenotazioni per ogni volo prenotato da qualunque persona o per suo conto, a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi. I reati gravi di cui si tratta sono contenuti all’interno di un lungo elenco allegato alla Direttiva n. 681. Sono presenti sia reati contro il patrimonio che contro le persone (per es. omicidio, favoreggiamento all’immigrazione clandestina, criminalità informatica, stupro, spionaggio industriale). La Direttiva n. 681 si applica ai voli extra-UE, ma gli Stati membri potranno decidere di estenderla ai voli intra-UE (ad esempio, i voli che si dirigono da uno Stato membro verso un altro o altri Stati membri), notificandolo per iscritto alla Commissione UE. (fonte “agendadigitale .eu”).
Contrariamente a quanto è avvenuto per la direttiva 680, questa direttiva ancora non ha avuto alcun decreto di attuazione e conseguentemente non potrà mai essere applicato fino alla promulgazione di un atto normativo di attuazione.
Il futuro decreto legislativo di armonizzazione della normativa nazionale sulla privacy.
Abbiamo già parlato del decreto legislativo di armonizzazione della normativa sulla privacy qui. Il decreto legislativo provvisorio è scaricabile qui (Schema-dlgs-Privacy 2018). Questo atto normativo, non è assolutamente indispensabile ed essenziale per l’efficacia del Regolamento europeo 679/2016. Come indicato proprio nel titolo del testo normativo, si parla di armonizzazione con la normativa già esistente. Ad oggi infatti ci troviamo che il D.Lgs. 196/2003 ad oggi è ancora valide ed efficace in tutti i suoi punti. La normativa e le regole generali delle fonti stabiliscono che qualora ci sia un contrasto tra un Regolamento Comunitario ed una normativa nazionale, prevalga il regolamento comunitario. Il futuro decreto legislativo di armonizzazione servirà solo a chiarire alcuni punti dubbi e ad abrogare il vecchio dettato normativo che allo stato è inapplicabile essendo di grado inferiore rispetto al regolamento europeo.
Le linee guida degli ordini professionali.
Il discorso appena effettuato per quanto riguarda ildecreto legislativo di armonizzazione della normativa è applicabile anche alle linee guida che gli ordini professionali hanno la facoltà di emanare. Per esempio il CNF ha già pubblicato alcune linee guida con la necessaria ed ovvia premessa che essendo un ambito in evoluzione, saranno necessarie ulteriori modifiche (consulta la pagina del CNF dedicata al GDPR). Ovviamente le linee guida hanno la sola ed esclusiva funzione di chiarire alcuni aspetti del regolamento europeo sulla privacy allo specifico settore di appartenenza e niente di più.
Conclusioni.
In conclusione rispondiamo a queste semplici domande:
- il regolamento europeo 679/2016 è già applicabile ed in vigore? SI;
- bisogna attendere il decreto legislativo di armonizzazione? NO;
- è necessario attendere le linee guida degi vari ordini professionali? NO;
- da oggi è possibile ricevere sanzioni per il mancato adeguamento alla normativa? SI;
- cosa devo fare per regolarizzare la mia azienda alla privacy europea? Deve sicuramente studiare la normativa e può occuparsene anche direttamente se ha una azienda di piccole o medie dimensioni e se rispetta le indicazioni presenti nel regolamento. In alternativa può rivolgersi a soggetti che conoscono la normativa facendo molta attenzione agli speculatori.
