Cosa fa il garante per la protezione dei dati personali (garante della privacy)

Definizione

Da tempo in Italia sono attive le cosiddette autorità amministrative indipendenti. Si tratta di enti chiamati a svolgere attività di regolazione e vigilanza in settori ritenuti particolarmente delicati e che, per questo, richiedono un elevato livello di autonomia. Tra queste, rientra anche il garante per la protezione dei dati personali, meglio noto come garante della privacy.

Quest’autorità è stata istituita per la prima volta dalla legge 675/1996 e successivamente disciplinata dal decreto legislativo 196/2003. L’intero settore ha poi subito una significativa evoluzione con il decreto legislativo 101/2018 che ha introdotto in Italia le direttive europee previste nel regolamento generale sulla protezione dei dati personali (Gdpr).

Tra i compiti principali del garante (previsti dagli articoli 57 e 58 del regolamento Ue e dall’articolo 154 del codice della privacy) vi sono:

• Controllo sul rispetto delle normative europee e nazionali in temi di trattamento dei dati personali
• Esame dei reclami da parte di cittadini ed enti
• Segnalazione al parlamento e alle altre istituzioni dell’esigenza di innovazioni dal punto di vista normativo e amministrativo
• Formulazione di pareri su proposte di atti normativi e amministrativi
• Produzione di consulenze alle istituzioni riguardo alle normative vigenti in tema di privacy

Per realizzare questi obiettivi, il garante della privacy gode di una serie di poteri tra cui: l’adozione di linee guida e codici di condotta; l’organizzazione di ispezioni in loco e la richiesta di accesso a documenti e banche dati; l’irrogazione di sanzioni amministrative (mentre nel caso di reati penali deve segnalarli celermente all’autorità giudiziaria); l’ingiunzione alla rettifica o alla cancellazione dei dati personali, l’imposizione di una limitazione provvisoria o definitiva del loro trattamento, fino anche al divieto.

Quest’autorità è diretta da un collegio di 4 persone elette dai due rami del parlamento (2 dalla camera e 2 dal senato) tra coloro che presentano la propria candidatura nell’ambito di una procedura pubblica di selezione. Una volta nominati poi, i membri del collegio eleggono un presidente ed un vice presidente. Il direttivo resta in carica per 7 anni ed il suo mandato non è rinnovabile.

Come le altre autorità amministrative indipendenti italiane, anche il garante della privacy presenta una relazione annuale a governo e parlamento sull’attività svolta.

Dati

L’attività del garante della privacy si esplica nella pubblicazione di diverse migliaia di atti ogni anno. Tra questi, alcuni dei più significativi sono gli atti collegiali, le ordinanze e le ingiunzioni, le ispezioni e le segnalazioni all’autorità giudiziaria il cui numero è rimasto più o meno stabile negli ultimi anni. È aumentata invece l’incidenza dei pareri, passati dai 35 emessi nel 2014 agli 86 del 2018 e 2019.

Per farsi un'idea della delicatezza dei temi che l'autorità va a trattare, può essere interessante analizzare le violazioni amministrative contestate a soggetti sia pubblici che privati negli ultimi anni. Tra il 2014 e il 2017, il garante ha notificato 5.912 sanzioni per violazione delle norme sul trattamento dei dati personali. Di queste, 577 nel 2014, 1.668 nel 2015, 2.339 nel 2016, 589 nel 2017, 707 nel 2018 e 32 nel 2019.

Per quanto riguarda i numeri particolarmente elevati del 2015 e del 2016, essi sono dovuti a due fattori. Nel primo caso, il dato è riconducibile ad un elevato numero di sanzioni per la violazione degli articoli 33 o 177 del codice della privacy (abrogati con l'entrata in vigore del Gdpr). Nel secondo caso, si registrano 1817 sanzioni per omessa comunicazione agli interessati di eventi di data breach, cioè una violazione accidentale o dolosa degli archivi che comporta la perdita, la modifica o la diffusione di dati personali.

Tra le multe inflitte, vale la pena citare alcune sanzioni particolarmente rilevanti:

• Nel 2014, 1 milione di euro a Google perché le auto del servizio "Street view" non erano sufficientemente riconoscibili.
• Nel 2017, oltre 11 milioni a 5 società del settore money transfer per uso illecito dei dati personali degli utenti.
• Nel 2018 quasi 1 milione a Tim per uso illecito dei dati personali di un utente e per un caso di data breach risalente al 2013.
• Nel 2019, 1 milione a Facebook per il caso Cambridge Analytica.
• Sempre nel 2019, 50mila euro all'associazione Rousseau per mancanza di adeguate misure per la protezione dei dati personali degli iscritti alla piattaforma.
• Nel 2020, 27,8 milioni di euro a Tim per telemarketing indesiderato.
• Sempre nel 2020, complessivi 11,5 milioni per Eni gas e luce per telemarketing indesiderato e attivazione di servizi non richiesti.

Dalle sanzioni irrogate, negli ultimi 5 anni il garante per la privacy ha incassato una media di circa 4,4 milioni di euro all’anno. Dopo aver incassato quasi 5 milioni di euro nel 2014, nei due anni successivi si registra una diminuzione con entrate di circa 3,3 milioni sia nel 2015 che nel 2016. C’è poi una risalita nel 2017 che porta al picco degli oltre 8 milioni incassati nel 2018 (+116% rispetto all’anno precedente).

Analisi

Il garante per la protezione dei dati personali svolge oggi un ruolo cruciale in un settore particolarmente delicato. Per questo motivo sarebbe auspicabile che ne venissero rafforzati i poteri, anche attraverso un'indipendenza effettiva. Il fatto che i suoi vertici, così come per le altre autorità amministrative indipendenti italiane, siano scelti dalla politica rappresenta infatti un limite non da poco. Per questo motivo una parte della dottrina parla di "autorità semi-indipendenti".

La necessità di un'autorità forte ed in grado di far rispettare le regole risulta ancora più stringente con riferimento ai colossi del web. Basti pensare allo scandalo che ha coinvolto Facebook nel 2018, quando la società Cambridge Analytica aveva avuto accesso ai dati di 87 milioni di utenti (erano stati coinvolti anche 216mila italiani).

Alcuni sottolineano la necessità non solo di aumentare i poteri del garante ma anche di dotarlo di maggiori risorse umane (nel 2019 erano 127), al fine di incrementare la ricerca di eventuali violazioni e verificare l'adeguamento dai trasgressori alle indicazioni. Inoltre si chiede che l'attenzione dell'autorità sia volta principalmente ai privati piuttosto che alle istituzioni pubbliche.

Questo perché i privati (si pensi ad aziende come Google e Facebook) gestiscono un'enorme mole di dati sensibili e non sempre si riesce a far rispettare loro le regole. Un esempio è quello relativo al diritto all'oblio, cioè alla rimozione dai motori di ricerca dei dati sensibili che è sempre molto difficile da ottenere in maniera soddisfacente per gli utenti.

Un altro caso è rappresentato dai data breach dove, come si è visto, in molti non rispettano gli obblighi di comunicazione agli utenti. Proprio in riferimento a quest'ultimo fenomeno, l'autorità ha rilevato come anche nella pubblica amministrazione sia sempre più frequente il ricorso alla tecnologia del cloud per l'archiviazione dei dati. Una tecnologia molto efficiente ma anche gravemente esposta al rischio di attacchi.

Per questo il garante ha sollecitato le istituzioni sulla necessità di una regolazione adeguata di questi sistemi e della creazione di una struttura cloud pubblica in grado di garantire adeguati livelli di sicurezza nella protezione dei dati dei cittadini.