GRUPPO DI LAVORO PER LA TUTELA DEI DATI EX ART. 29

 

Parere 3/2010 - WP 173

sul principio di responsabilit

 

adottato il 13 luglio 2010

 

SINTESI

I principi e gli obblighi dellUnione europea in materia di protezione dei dati sono spesso applicati in modo insufficiente a livello di misure e pratiche interne sostanziali. Se la protezione dei dati non diventa parte integrante delle pratiche e dei valori condivisi di unorganizzazione e se le relative responsabilit non sono espressamente ripartite, il rispetto effettivo delle norme in materia di protezione dei dati sar messo notevolmente a rischio e gli incidenti in questo settore saranno destinati a continuare.

Per favorire lattuazione della protezione dei dati nella pratica, il quadro normativo dellUnione europea necessita di strumenti aggiuntivi. Il presente parere intende consigliare la Commissione su come modificare in tal senso la direttiva sulla protezione dei dati. In particolare, questo parere avanza una proposta concreta per lintroduzione di un principio di responsabilit che richieda ai responsabili del trattamento di mettere in atto misure adeguate ed efficaci per garantire che i principi e gli obblighi stabiliti nella direttiva siano rispettati e per dimostrare tale osservanza, su richiesta, alle autorit di controllo. Ci dovrebbe contribuire a passare dalla teoria alla pratica e ad aiutare le autorit di protezione dei dati nello svolgimento dei loro compiti di controllo e di verifica dell'applicazione.

Il parere contiene suggerimenti volti ad assicurare che il principio di responsabilit garantisca la certezza del diritto, lasciando spazio al tempo stesso ad una certa adattabilit (che consenta di determinare le misure concrete da applicare in funzione dei rischi connessi al trattamento e dei tipi di dati trattati). Si analizza quindi in che modo tale principio potrebbe ripercuotersi in altri settori, tra i quali i trasferimenti internazionali di dati, gli obblighi di notificazione, le sanzioni e, infine, anche lo sviluppo di programmi o sigilli di certificazione.

 

Il Gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995,

visti larticolo 29, larticolo 30, paragrafo 1, lettera a), e larticolo 30, paragrafo 3, della suddetta direttiva e larticolo 15, paragrafo 3, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio del 12 giugno 2002,

visto il proprio regolamento interno, ha adottato il seguente parere:

 

1. INTRODUZIONE

 

1. La protezione dei dati deve passare dalla teoria alla pratica. Gli obblighi giuridici devono essere tradotti in misure concrete di protezione dei dati. Per favorire la protezione dei dati nella pratica, il quadro giuridico dellUE in materia necessita di meccanismi aggiuntivi. Nei dibattiti sul futuro del quadro europeo e globale sulla protezione dei dati, sono stati proposti meccanismi basati sulla responsabilit come mezzo per incoraggiare i responsabili del trattamento ad attuare strumenti pratici per una protezione dei dati efficace.

2. Nel suo documento sul futuro della privacy (WP168) del dicembre 2009, il Gruppo di lavoro articolo 29 ha ritenuto che lattuale quadro giuridico non sia riuscito appieno a garantire che gli obblighi in materia di protezione dei dati si traducano in meccanismi efficaci atti a fornire una protezione reale. Per migliorare la situazione, il Gruppo di lavoro ha proposto che la Commissione esamini lopportunit di introdurre meccanismi basati sulla responsabilit, con un particolare accento sulla possibilit di includere un principio di responsabilit nella versione riveduta della direttiva sulla protezione dei dati1. Tale principio rafforzerebbe il ruolo del responsabile del trattamento e ne aumenterebbe la responsabilit.

3. In breve, un principio di responsabilit vincolante imporrebbe esplicitamente ai responsabili del trattamento di attuare misure appropriate ed efficaci per dare applicazione ai principi e agli obblighi della direttiva, e per dimostrarne su richiesta losservanza. In pratica, ci dovrebbe concretarsi in programmi improntati all'adattabilit mirati ad attuare i principi esistenti di protezione dei dati (talvolta denominati programmi di conformit). Quale complemento a tale principio, potrebbero essere istituiti obblighi aggiuntivi diretti ad attuare garanzie di protezione dei dati o ad assicurarne lefficacia. Potrebbe trattarsi, per esempio, di una disposizione che obbliga a effettuare una valutazione dimpatto sulla privacy per le operazioni di trattamento di dati a pi alto rischio.

4. Il presente parere intende sviluppare il precedente contributo fornito sullargomento dal Gruppo di lavoro articolo 29 con il parere sul futuro della privacy, allo scopo di assistere la Commissione nella revisione della direttiva 95/46, attualmente in corso. A tal fine, il presente parere suddiviso in quattro sezioni: la prima esamina la necessit che i responsabili del trattamento rafforzino le prassi interne (politiche e procedure) per garantire che la totalit del trattamento avvenga in base alle norme vigenti, e spiega in che modo i sistemi basati sulla responsabilit possono contribuire a questo obiettivo. Prospetta quindi la forma che larchitettura giuridica di un sistema basato sulla responsabilit potrebbe assumere e i precedenti nel settore della protezione dei dati e in altri settori. La seconda sezione presenta una proposta concreta per un principio di responsabilit e descrive la logica alla base dei diversi aspetti della proposta. La terza sezione illustra vari elementi collegati ad un sistema giuridico che integri un sistema generale di responsabilit. Comprende unanalisi della necessit che tale proposta fornisca certezza giuridica e che sia al tempo stesso formulata in termini sufficientemente ampi da consentire una certa adattabilit (in modo da permettere di determinare le misure concrete e i metodi di verifica da applicare in funzione del rischio del trattamento e del tipo di dati trattati). Affronta quindi taluni elementi correlati, come ad esempio il rapporto con i trasferimenti allestero, descrive i vantaggi che un meccanismo basato sulla responsabilit offrirebbe alle autorit di protezione dei dati e delinea il ruolo che potrebbe svolgere la certificazione.

 

II. RESPONSABILIT: OBIETTIVI, ARCHITETTURA GIURIDICA,

PRECEDENTI E TERMINOLOGIA

 

II.1 Responsabilit come motore per lattuazione efficace dei principi di protezione dei dati

5. Oggi si rivela sempre pi necessario e importante che i responsabili del trattamento adottino misure efficaci per una reale protezione dei dati. Le ragioni sono molteplici e vengono analizzate nel prosieguo.

6. Anzitutto, rispetto ai dati stiamo assistendo ad un cosiddetto effetto diluvio , con un continuo aumento della quantit di dati personali esistenti, elaborati e ulteriormente trasferiti. Questo fenomeno favorito sia dai progressi tecnologici, vale a dire lo sviluppo dei sistemi di informazione e di comunicazione, sia dalla crescente capacit degli utenti di impiegare le tecnologie e interagire con esse.

Con laumento della quantit di dati trasferiti in tutto il mondo, aumentano anche i rischi di abuso. Ci evidenzia ulteriormente la necessit che i responsabili del trattamento, sia nel settore pubblico che in quello privato, attuino meccanismi interni reali ed efficaci per salvaguardare la tutela delle informazioni personali.

7. In secondo luogo, la quantit sempre crescente di dati personali accompagnata da un aumento del loro valore in termini sociali, politici ed economici. In alcuni settori, soprattutto in ambiente online, i dati personali sono diventati de facto la valuta di scambio per i contenuti online. Nel contempo, da un punto di vista sociale, vi un crescente riconoscimento della protezione dei dati come valore sociale. In sintesi, via via che i dati personali diventano sempre pi preziosi per i responsabili del trattamento in tutti i settori, anche i cittadini, i consumatori e la societ in generale sono sempre pi consapevoli della loro rilevanza. Questo fatto rafforza a sua volta la necessit di applicare misure rigorose per salvaguardarli.

8. Infine, da quanto precede consegue che la violazione della privacy pu avere notevoli ripercussioni negative per i responsabili del trattamento nei settori pubblico e privato. Potenziali anomalie nelle applicazioni di governo elettronico e di sanit elettronica avranno conseguenze devastanti sia in termini economici sia, soprattutto, in termini di reputazione. Pertanto, ridurre al minimo i rischi, costruire e mantenere una buona reputazione e garantire la fiducia dei cittadini e dei consumatori stanno diventando compiti fondamentali dei responsabili del trattamento in tutti i settori.

9. In sintesi, da quanto precede emerge lassoluta necessit per i responsabili del trattamento di applicare misure reali ed efficaci di protezione dei dati dirette alla corretta gestione della loro protezione, riducendo inoltre al minimo i rischi giuridici, economici e di reputazione che possono derivare da pratiche inadeguate in materia. Come ulteriormente illustrato nel prosieguo, i meccanismi basati sulla responsabilit mirano a realizzare tali obiettivi.

 

II.2 Possibile architettura giuridica generale dei meccanismi basati sulla responsabilit

10. In questo contesto, una questione pertinente da chiarire riguarda il modo in cui il quadro giuridico potrebbe incoraggiare i responsabili del trattamento ad adottare misure che offrano una protezione reale nella pratica. In altri termini, la forma che dovrebbe assumere larchitettura giuridica dei sistemi basati sulla responsabilit.

11. In via preliminare, prima di analizzare tale architettura, occorre sottolineare che tali sistemi non modificano n influiscono in alcun modo sui principi sostanziali di protezione dei dati, bens sono intesi a farli funzionare meglio.

12. Un modo per indurre i responsabili del trattamento a predisporre tali misure sarebbe inserire un principio di responsabilit nella versione riveduta della direttiva. Si prevede che una disposizione di questo tipo possa condurre allattuazione di misure e procedure interne volte a rendere effettivi i principi di protezione dei dati esistenti assicurandone lefficacia, e ad introdurre lobbligo di dimostrarne il rispetto qualora le autorit di protezione dei dati ne facciano richiesta. Come ulteriormente descritto di seguito, il tipo di procedure e di meccanismi varierebbe in funzione dei rischi intrinseci al trattamento e alla natura dei dati.

13. In aggiunta a quanto precede, si potrebbe svolgere una riflessione su disposizioni specifiche quali lobbligo di effettuare valutazioni dimpatto sulla privacy in determinati casi o la nomina di responsabili della protezione dei dati. Tali disposizioni specifiche potrebbero completare il principio generale di responsabilit.

14. Il Gruppo di lavoro articolo 29 riconosce che i responsabili del trattamento potrebbero avere la volont di attuare politiche e procedure non strettamente previste dalla legislazione sulla protezione dei dati. Ad esempio, un responsabile del trattamento potrebbe volersi impegnare a rispondere alle richieste di accesso entro un periodo di tempo molto breve, anche se la legge prevede una certa flessibilit. Potrebbe anche volersi impegnare a rispondere contemporaneamente alle richieste di accesso sia on-line che off-line, per assicurare la ricezione tempestivo ed efficace di tali informazioni. Si potrebbero anche immaginare situazioni in cui il responsabile del trattamento desideri offrire una tutela pi ampia di quella garantita dalle disposizioni minime previste dal quadro giuridico generale. Ad esempio, il responsabile del trattamento potrebbe decidere di nominare un responsabile della protezione dei dati anche se la legge vigente non dispone un obbligo in tal senso. Ancora, il responsabile del trattamento potrebbe voler affidare a terzi lincarico di eseguire un audit relativo a tutte le sue operazioni di trattamento dei dati, al fine di valutarne la conformit con il quadro giuridico in materia di protezione dei dati. Il Gruppo di lavoro apprezza queste iniziative e incoraggia il nuovo quadro giuridico di protezione dei dati a fornire incentivi affinch i responsabili del trattamento si orientino in tale direzione.

15. Conformemente a quanto precede, larchitettura giuridica dei meccanismi di responsabilit prevedrebbe due livelli: il primo livello sarebbe costituito da un obbligo di base vincolante per tutti i responsabili del trattamento. Tale obbligo comprenderebbe due elementi: lattuazione di misure e/o procedure, e la conservazione delle relative prove. Questo primo livello potrebbe essere integrato da disposizioni specifiche. Il secondo livello includerebbe sistemi di responsabilit di natura volontaria eccedenti le norme di legge minime, in relazione ai principi fondamentali di protezione dei dati (tali da fornire garanzie pi elevate di quelle prescritte dalla normativa vigente) e/o in termini di modalit di attuazione o di garanzia dellefficacia delle misure (norme di attuazione eccedenti il livello minimo). Pur riconoscendo limportanza e i benefici di tali sistemi, il presente parere si occupa per lo pi dellobbligo di primo livello, in particolare del principio generale di responsabilit.

 

II.3 Principio della responsabilit nel settore della protezione dei dati e in altri settori e terminologia

Precedenti

16. Il Gruppo di lavoro articolo 29 osserva che il principio di responsabilit non una novit in s. Il suo espresso riconoscimento ravvisabile nelle linee guida per la protezione della vita privata dellOrganizzazione per la cooperazione e lo sviluppo economico (OCSE) adottati nel 1980. Il principio di responsabilit ivi contenuto enuncia: Il responsabile del trattamento dei dati dovrebbe essere responsabile del rispetto delle misure che rendono effettivi i principi indicati sopra.

17. Di recente tale principio stato inserito esplicitamente tra gli standard internazionali di Madrid, elaborati dalla Conferenza internazionale sulla protezione dei dati e la privacy2. inoltre accolto nel pi recente progetto di norma ISO 29100 che stabilisce un quadro per la privacy, ed uno dei principali concetti del quadro giuridico sulla privacy sviluppato dallAPEC e delle sue norme sulla privacy transfrontaliera3.

18. Da un punto di vista statutario, il Gruppo di lavoro articolo 29 rileva che i principi canadesi di informazione equa contenuti nella legge "Personal Information Protection And Electronic Documents Act" fanno riferimento alla responsabilit. Tra gli altri, il primo principio richiede lo sviluppo e lattuazione di politiche e pratiche atte a garantire il rispetto dei dieci principi di informazione equa tra cui procedure per la protezione dei dati personali e per ricevere e rispondere a reclami e richieste di informazioni.

19. In aggiunta a quanto sopra, il Gruppo di lavoro articolo 29 rileva che le regole dimpresa vincolanti, utilizzate nel contesto dei trasferimenti internazionali di dati, riflettono il principio di responsabilit. Tra le regole dimpresa vincolanti si annoverano i codici di condotta elaborati e seguiti da organizzazioni multinazionali, contenenti misure interne intese a dare applicazione ai principi di protezione dei dati (ad esempio audit, programmi di formazione, reti di incaricati della privacy, sistemi di gestione dei reclami). Una volta esaminate dalle autorit nazionali di protezione dei dati, le regole dimpresa vincolanti sono considerate idonee a garantire un livello di protezione adeguato in relazione a un trasferimento o a una categoria di trasferimenti di dati personali tra le imprese che fanno parte dello stesso gruppo e che sono vincolate da tali regole ai sensi dell'articolo 25 e dell'articolo 26, paragrafo 2, della direttiva 95/46.

20. Al di fuori dell'ambito della protezione dei dati, vi sono alcuni esempi di responsabilit: tra questi, un programma che specifica le politiche e le procedure che un responsabile del trattamento deve seguire per garantire la conformit con leggi e regolamenti. Per esempio, i programmi di conformit sono obbligatori ai sensi dei regolamenti in materia di servizi finanziari. In altri casi, i programmi di conformit non sono obbligatori, ma vengono incoraggiati, come ad esempio nel settore delle regole in materia di concorrenza. In Canada per esempio, il commissario per la concorrenza ha sviluppato politiche elaborate relative ai programmi di conformit aziendale. La decisione delle aziende di applicare o meno un programma facoltativa. Tuttavia, il commissario canadese per la concorrenza sottolinea limportanza della conformit come strumento di mitigazione del rischio ed evidenziai benefici giuridici, economici e in termini di reputazione4.

Terminologia

21. Il termine inglese accountability (responsabilit) proviene dal mondo anglosassone, dove di uso comune e dove il suo significato ampiamente compreso e condiviso. Ciononostante, risulta complesso definire che cosa esattamente significhi accountability in pratica. In generale, comunque, laccento posto sulla dimostrazione di come viene esercitata la responsabilit e sulla sua verificabilit. La responsabilit e 'obbligo di rendere conto sono due facce della stessa medaglia ed entrambe sono elementi essenziali di una buona governance. Solo quando si dimostra che la responsabilit funziona effettivamente nella pratica pu instaurarsi una fiducia sufficiente.

22. Nella maggior parte delle altre lingue europee, principalmente a causa delle differenze tra i sistemi giuridici, il termine accountability non facilmente traducibile. Di conseguenza, il rischio di uninterpretazione variabile del termine, e quindi di una mancanza di armonizzazione, sostanziale. Altri termini che sono stati suggeriti per rendere il senso di accountability sono: reinforced responsibility (responsabilit rafforzata), assurance (assicurazione), reliability (affidabilit), trustworthiness (attendibilit) e, in francese, obligation de rendre des comptes (obbligo di rendere conto) ecc. Si potrebbe altres inferire che accountability si riferisce alla attuazione dei principi relativi alla protezione dei dati.

23. Il presente documento si occupa quindi delle misure che dovrebbero essere adottate o previste per garantire la conformit nel settore della protezione dei dati.

I riferimenti alla responsabilit devono pertanto essere intesi nel senso utilizzato nel presente parere, fatta salva la possibilit di trovare unaltra formulazione che meglio rispecchi il concetto qui esposto. per questo che il documento non incentrato sui termini, ma si concentra pragmaticamente sulle misure da adottare, piuttosto che sul concetto in s.

 

III. VERSO UNA PROPOSTA PER UNA DISPOSIZIONE GENERALE SULLA RESPONSABILIT

 

III.1 Una disposizione generale per riaffermare e rafforzare la responsabilit dei responsabili del trattamento

24. Il Gruppo di lavoro articolo 29 ha esaminato ulteriormente la possibilit di introdurre soluzioni basate sulla responsabilit nel nuovo quadro giuridico globale sulla protezione dei dati alla luce delle considerazioni esposte nella sezione I.

25. Di conseguenza, ha confermato il punto di vista gi espresso nel parere sul futuro della privacy, secondo cui nel nuovo quadro legislativo globale dovrebbe essere inserito un principio generale di responsabilit. Lo scopo di tale disposizione sarebbe quello di riaffermare e rafforzare l'"accountability" dei responsabili del trattamento dei dati personali. Ci non pregiudica le misure di responsabilit concrete che potrebbero integrare questo principio.

26. Questa nuova disposizione sarebbe in linea con le disposizioni specifiche gi esistenti nel quadro legislativo attuale. Si pu citare in particolare larticolo 6 della direttiva 95/46/CE, che al paragrafo 1 fa riferimento ai principi relativi alla qualit dei dati e al paragrafo 2 stabilisce che [i]l responsabile del trattamento tenuto a garantire il rispetto delle disposizioni del paragrafo 1. la nuova disposizione sarebbe conforme anche allarticolo 17, paragrafo 1, in cui si stabilisce che il responsabile del trattamento deve attuare misure tecniche ed organizzative. In effetti, una norma generale sulla responsabilit rafforzerebbe la necessit che i responsabili del trattamento applichino le norme sulla sicurezza di cui allarticolo 17, in aggiunta a quanto previsto nelle rimanenti disposizioni.

 

III.2 Verso una proposta concreta per un principio generale di responsabilit

27. La nuova disposizione avrebbe lo scopo di promuovere ladozione di misure concrete e pratiche, in quanto trasformerebbe i principi generali della protezione dei dati in politiche e procedure concrete definite al livello del responsabile del trattamento, nel rispetto delle leggi e dei regolamenti applicabili. Il responsabile del trattamento dovrebbe anche garantire lefficacia delle misure adottate e dimostrare, su richiesta, di aver intrapreso tali azioni.

28. In modo schematico, una disposizione generale di questo tipo si incentrerebbe su due elementi principali:

(i) la necessit che il responsabile del trattamento adotti misure appropriate ed efficaci per attuare i principi di protezione dei dati;

(ii) la necessit di dimostrare, su richiesta, che sono state adottate misure appropriate ed efficaci. Pertanto, il responsabile del trattamento deve fornire la prova di quanto esposto al punto (i).

29. Lobbligo dovrebbe applicarsi a tutti i responsabili del trattamento e a tutte le situazioni.

30. Il primo elemento dellobbligo imporrebbe ai responsabili del trattamento di attuare misure appropriate. I tipi di misure non sarebbero specificati nel testo della norma generale sulla responsabilit. Orientamenti successivi forniti dalle autorit nazionali di protezione dei dati, dal Gruppo di lavoro articolo 29 o dalla Commissione (attraverso procedure di comitatologia) potrebbero indicare, in determinati casi, un insieme minimo di misure specifiche costituenti misure appropriate. Un esempio di tali misure sarebbe ladozione in alcuni casi di politiche e processi interni necessari per lattuazione dei principi di protezione dei dati, che rispecchino le leggi e i regolamenti vigenti.

31. Lattuazione di tali misure e processi pu anche avvenire in maniera efficace attraverso lattribuzione di responsabilit e la formazione del personale impegnato nelle operazioni di trattamento. In particolare, conformemente allarticolo 18 della direttiva, i responsabili del trattamento devono essere incoraggiati a designare incaricati della protezione dei dati personali. Si dovrebbe caldeggiare in ogni caso lattribuzione di responsabilit a diversi livelli dellorganizzazione, in modo da renderle effettive.

32. Per quanto riguarda i trasferimenti di dati personali al di fuori dellUnione europea, i responsabili del trattamento dovrebbero adottare ed attuare misure appropriate per ottemperare all'obbligo della presentazione di garanzie sufficienti di cui allarticolo 26 della direttiva, quali le regole dimpresa vincolanti.

33. I responsabili del trattamento dovrebbero altres garantire che le misure pratiche attuate per conformarsi ai principi di protezione dei dati siano efficaci. Nel caso di trattamenti di dati di maggiori dimensioni, pi complessi o ad alto rischio, lefficacia delle misure adottate dovrebbe essere verificata periodicamente.

Esistono diversi modi per valutare lefficacia (o inefficacia) delle misure:

monitoraggio, audit interni ed esterni, ecc.

34. In considerazione delle osservazioni svolte finora, il Gruppo di lavoro articolo 29 ha formulato una disposizione sostanziale che potrebbe essere introdotta in un quadro legislativo globale, il cui testo recita::

Articolo X - Applicazione dei principi di protezione dei dati

1. Il responsabile del trattamento attua misure appropriate ed efficaci per garantire che i principi e gli obblighi stabiliti nella direttiva siano rispettati.

2 Su richiesta dell'autorit di vigilanza, il responsabile del trattamento dimostra la conformit con il paragrafo 1.

 

IV. ANALISI DI VARI ELEMENTI COLLEGATI AL PRINCIPIO GENERALE DI RESPONSABILIT

 

IV.1 Rafforzamento degli obblighi esistenti

35. Il Gruppo di lavoro articolo 29 rileva che alcuni responsabili del trattamento potrebbero percepire il principio generale di responsabilit come unonerosa imposizione di nuovi obblighi giuridici in capo ai responsabili del trattamento, in particolare vista lattuale difficile situazione economica dellUE.

Quest'interpretazione non sarebbe corretta.

36. Il Gruppo di lavoro articolo 29 desidera sottolineare che, per la maggior parte, gli obblighi contemplati nella nuova disposizione sono in realt gi previsti, anche se meno esplicitamente, dalla normativa vigente. Infatti, in forza dellattuale quadro giuridico, i responsabili del trattamento sono tenuti a rispettare i principi e gli obblighi stabiliti dalla direttiva. A tal fine, intrinsecamente necessario creare, ed eventualmente verificare, le procedure relative alla protezione dei dati. In quest'ottica, una disposizione sulla responsabilit non rappresenta una grande novit, e per la maggior parte non impone obblighi che non fossero gi impliciti nella normativa vigente. In sintesi, la nuova disposizione non mira ad assoggettare i responsabili del trattamento a nuovi principi, ma piuttosto a garantire di fatto leffettiva osservanza di quelli esistenti.

37. In effetti, uno sviluppo legislativo in qualche modo simile avvenuto nel 2009 in occasione della modifica della direttiva 2002/585, che ha imposto lobbligo di attuare una politica di sicurezza, in particolare di garanti[re] lattuazione di una politica di sicurezza in ordine al trattamento dei dati personali. Cos, per quanto riguarda le disposizioni di sicurezza di tale direttiva, il legislatore ha deciso che era necessario introdurre l'obbligo esplicito di predisporre e attuare una politica di sicurezza. Inoltre, larticolo 18 della direttiva 95/46, che fa riferimento alla designazione di incaricati della protezione dei dati, accanto al sistema di regole dimpresa vincolanti di cui sopra, offrono gi esempi di misure pratiche che possono essere adottate dai responsabili del trattamento.

38. Una questione collegata alla precedente riguarda le conseguenze connesse al rispetto (o al mancato rispetto) del principio di responsabilit. Il Gruppo di lavoro articolo 29 evidenzia che osservare il principio di responsabilit non significa necessariamente che il responsabile del trattamento agisca in conformit ai principi sostanziali enunciati nella direttiva, cio esso non fornisce una presunzione legale di conformit n sostituisce tali principi. Il responsabile del trattamento pu avere attuato e verificato le misure che ha posto in essere, e tuttavia pu trovarsi coinvolto in irregolarit. Di conseguenza, ladozione di misure volte al rispetto dei principi non deve in nessun caso esonerare i responsabili del trattamento dalle azioni di verifica dell'applicazione delle autorit di protezione dei dati. In pratica, i responsabili del trattamento del settore pubblico e privato che abbiano adottato misure nellambito di robusti programmi di conformit hanno maggiori probabilit di essere in regola con la legge. In effetti, poich hanno predisposto misure efficaci dirette al rispetto dei principi sostanziali di protezione dei dati, dovrebbe essere meno probabile per loro incorrere in violazioni. Pertanto, nel valutare sanzioni relative a violazioni della privacy, le autorit di protezione dei dati potrebbero considerare rilevanti lattuazione (o la mancata attuazione) delle misure e la loro verifica.

 

IV.2 Misure appropriate per lattuazione delle disposizioni della direttiva

39. Una disposizione sulla responsabilit imporrebbe ai responsabili del trattamento di definire e attuare le misure necessarie per garantire il rispetto dei principi e degli obblighi della direttiva e di verificarne periodicamente lefficacia.

40. Il principio generale di responsabilit proposto evita volutamente di precisare nei dettagli il tipo di misure da attuare. Ci solleva le seguenti due questioni fondamentali interconnesse: (i) quali misure comuni soddisferebbero il principio di responsabilit? (ii) in che modo graduare e adattare le misure a circostanze specifiche?

 

Le misure: descrizione

41. Il Gruppo di lavoro articolo 29 ritiene che le misure comuni concernenti la responsabilit potrebbero includere il seguente elenco non esaustivo:

istituzione di procedure interne prima della creazione di nuove operazioni di trattamento dei dati personali (revisione interna, valutazione, ecc.)6;

formulazione per iscritto di politiche di protezione dei dati vincolanti da prendere in considerazione e applicare alle nuove operazioni di trattamento dei dati (ad esempio, qualit dei dati, comunicazione, principi di sicurezza, accesso, ecc.), che dovrebbero essere a disposizione degli interessati;

mappatura delle procedure per garantire la corretta identificazione di tutte le operazioni di trattamento dei dati e gestione di un inventario di dette operazioni;

nomina di un incaricato della protezione dei dati e di altri soggetti responsabili della protezione dei dati;

adeguata formazione e istruzione del personale in materia di protezione dei dati. Il personale in questione dovrebbe includere gli incaricati (o responsabili) del trattamento dei dati personali (come i direttori delle risorse umane), ma anche dirigenti e sviluppatori in campo informatico, e direttori di unit commerciali. Dovrebbero essere stanziate risorse sufficienti per la gestione della privacy, ecc.;

creazione di procedure trasparenti per gli interessati finalizzate alla gestione delle richieste di accesso, rettifica e cancellazione;

istituzione di un meccanismo interno di gestione dei reclami;

definizione di procedure interne per la gestione e la comunicazione efficace di violazioni della sicurezza;

effettuazione di valutazioni dimpatto sulla privacy, in circostanze specifiche;

attuazione e controllo delle procedure di verifica per assicurare che tutte le misure esistano non solo sulla carta, ma siano applicate e funzionino nella pratica (audit interni o esterni ecc.).

42. Si potrebbe anche prevedere un approccio complementare al principio generale di responsabilit, secondo cui il quadro normativo includerebbe non solo un principio generale di responsabilit, ma anche un elenco illustrativo di misure che potrebbero essere incoraggiate a livello nazionale7. Questa disposizione potrebbe fornire un elenco esemplificativo e non esaustivo di misure che potrebbero costituire uno "strumentario" per i responsabili del trattamento, offrendo loro orientamenti su quali potrebbero essere, a seconda dei casi, le misure appropriate da adottare. Tale elenco esemplificativo sarebbe ovviamente soltanto un complemento allobbligo giuridico generale di adottare le misure appropriate.

 

Graduare le misure

43. Quello che precede costituisce un elenco esemplificativo di misure che i responsabili del trattamento potrebbero realizzare per ottemperare alla prima parte del principio di responsabilit (Il responsabile del trattamento attua misure appropriate ed efficaci per garantire che i principi e gli obblighi stabiliti nella direttiva siano rispettati).

44. Alcune delle misure sono elementi base che dovranno essere attuati nella maggior parte delle operazioni di trattamento. Lelaborazione di politiche e procedure interne di attuazione dei principi (procedure per gestire le richieste di accesso e i reclami) potrebbe costituire un esempio di misure appropriate per alcuni trattamenti di dati. Lidoneit delle misure dovr essere decisa caso per caso. Spetta ai responsabili del trattamento prendere tali decisioni, seguendo gli orientamenti emessi dalle autorit nazionali di protezione dei dati e dal Gruppo di lavoro articolo 29, se disponibili (v. sotto).

45. Da quanto precede risulta che nel determinare i tipi di azioni da attuare, non esistono alternative valide alle soluzioni su misura. Infatti, le misure specifiche da applicare devono essere determinate in funzione dei fatti e delle circostanze di ciascun caso specifico, con particolare attenzione al rischio inerente al trattamento e al tipo di dati. Un approccio uguale per tutti avrebbe il solo effetto di costringere i responsabili del trattamento allinterno di strutture inadatte e si rivelerebbe quindi fallimentare.

46. Secondo questo approccio, i responsabili del trattamento devono essere in grado di adattare le misure alle specificit concrete delle loro situazioni particolari e delle operazioni di trattamento dei dati in questione. In questo contesto, il Gruppo di lavoro articolo 29 rammenta i criteri di cui allarticolo 17 dellattuale direttiva8 per determinare il tipo di misure di sicurezza da applicare, ossia i rischi rappresentati dal trattamento dei dati e dalla loro natura. Questi due fattori potrebbero essere utilizzati per analogia per determinare i tipi generali di misure da applicare. Pi concretamente, taluni aspetti come le dimensioni delle operazioni di trattamento, gli obiettivi dello stesso e il numero di trasferimenti di dati previsti possono contribuire a definire il livello di rischio. Occorre altres tenere conto del tipo di dati, in particolare se si tratta o meno di dati sensibili. Si potrebbe inoltre riflettere sulla necessit di imporre determinati obblighi allincaricato del trattamento o ai progettisti e/o produttori di tecnologie dellinformazione e della comunicazione alla luce di questo principio di responsabilit.

47. In base a tali criteri, in linea di principio, i grandi responsabili del trattamento dovrebbero attuare misure rigorose. In alcuni casi, pu essere necessario anche per i piccoli e medi responsabili del trattamento presentare garanzie rigorose, per esempio se sono impegnati in operazioni rischiose di trattamento dei dati, come alcune operazioni nel quadro dei servizi sanitari online. Ad esempio, un ente locale (municipio), una multinazionale, una piccola impresa (Internet), unorganizzazione la cui attivit principale sia il trattamento dei dati o un organizzazione che abbia commesso violazioni in passato richiederebbero tutti misure specifiche, al fine di garantire una governance credibile ed efficace delle informazioni. Come risultato, nei casi pi semplici e basilari, come per il trattamento dei dati personali relativi a risorse umane per la creazione di una directory, lobbligo di dimostrare, cui si fa riferimento nel paragrafo 2 della disposizione sulla responsabilit, potrebbe essere rispettato facilmente (attraverso, ad esempio, le note informative utilizzate, la descrizione delle misure di sicurezza di base, ecc.). Al contrario, in altri casi pi complessi, come ad esempio lutilizzo di dispositivi biometrici innovativi, ladempimento dellobbligo di dimostrare potrebbe richiedere altre misure. Il responsabile del trattamento potrebbe ad esempio dover dimostrare di aver effettuato una valutazione dimpatto sulla privacy, che il personale che si occupa del trattamento ha ricevuto formazioni e informazioni su base regolare, ecc.

48. La trasparenza parte integrante di molte misure concernenti responsabilit. La trasparenza nei confronti degli interessati e del pubblico in generale contribuisce alla responsabilit dei responsabili del trattamento. Per esempio, un maggiore livello di responsabilit si consegue pubblicando su Internet le politiche in materia di privacy, fornendo trasparenza riguardo alle procedure interne di gestione dei reclami, e attraverso la pubblicazione di relazioni annuali.

 

Orientamento e certezza del diritto

49. Mentre l'esigenza di adattabilit e quindi di una certa flessibilit richiede luso di un linguaggio aperto, il Gruppo di lavoro articolo 29 consapevole del fatto che una disposizione di massima che lasci spazio a flessibilit e adattabilit potrebbe anche causare incertezza. I responsabili del trattamento potrebbero ritenere che la disposizione non sia sufficientemente precisa per garantire la certezza del diritto.

Per esempio, potrebbero nutrire dubbi circa il livello di dettaglio richiesto per le politiche e le procedure sulla privacy, per i tempi e i modi per designare l'incaricato della protezione dei dati, per l'organizzazione di sessioni di formazione, ecc. Lincertezza potrebbe riguardare anche il tipo di verifica necessario, da parte di terzi ovvero interno. Inoltre, i responsabili del trattamento potrebbero anche temere di essere oggetto di interpretazioni divergenti e arbitrarie a livello nazionale per quanto riguarda la portata e la natura dei loro obblighi.

50. Il Gruppo di lavoro articolo 29 comprende questa preoccupazione. Tuttavia, per le ragioni esposte in precedenza circa l'esigenza di flessibilit e di adattabilit, la soluzione per conseguire la certezza del diritto non pu essere fornita nella direttiva stessa. A tal fine, il Gruppo di lavoro articolo 29 ritiene che gli orientamenti per larmonizzazione emanati dalla Commissione (per esempio, tramite misure tecniche di attuazione) e/o dallo stesso Gruppo di lavoro possano diventare uno strumento utile per fornire maggiore certezza ed eliminare potenziali differenze a livello di attuazione9. Il Gruppo di lavoro potrebbe anche preparare orientamenti generali che forniscano una base di elementi necessari per un responsabile del trattamento standard. Questa base potrebbe essere adattata alle esigenze specifiche di ciascun responsabile del trattamento di dati.

51. Potrebbe anche essere utile sviluppare un programma modello per la conformit dei dati, che potrebbe essere utilizzato da responsabili del trattamento di medie e grandi dimensioni come base su cui elaborare i loro programmi particolari, come avvenuto per le regole dimpresa vincolanti elaborate sulla base degli orientamenti del Gruppo di lavoro articolo 2910. Tali modelli dovrebbero essere creati in seguito a un attento riesame delle prassi correnti e dei modelli disponibili, e previa consultazione di tutte le parti interessate. Si tratta di un settore che richieder investimenti ingenti da parte di tutti i soggetti coinvolti.

Efficacia delle misure

52. Le stesse questioni trattate in precedenza riguardanti le misure applicabili emergono nel contesto della necessit di garantirne lefficacia. Il modo in cui questa pu essere assicurata sar diverso a seconda del tipo di trattamento dei dati.

53. Esistono vari metodi a disposizione dei responsabili del trattamento per valutare lefficacia (o linefficacia) delle misure. Per il trattamento di dati di maggiori dimensioni, pi complesso e ad alto rischio, gli audit interni ed esterni sono metodi comuni di verifica. Anche il modo in cui vengono condotti gli audit pu variare, da audit completi ad audit negativi (che possono a loro volta assumere forme diverse). Nel decidere come garantire lefficacia delle misure, il Gruppo di lavoro articolo 29 suggerisce di utilizzare gli stessi criteri applicati per decidere le misure mutuati dallarticolo 17 della direttiva 95/46/CE, vale a dire, i rischi presentati dal trattamento e la natura dei dati. Pertanto, il modo in cui un responsabile del trattamento deve assicurare lefficacia delle misure dipende dalla sensibilit dei dati, dalla quantit dei dati trattati e dai particolari rischi che il trattamento comporta . Gli orientamenti del Gruppo di lavoro relativi alle misure potrebbero comprendere anche indicazioni su questo aspetto.

 

IV.3 Collegamento con altri obblighi

Notificazioni preliminari

54. Si potrebbe intraprendere una riflessione sul possibile impatto sulle notificazioni preliminari quando adeguate garanzie siano definite a livello del responsabile del trattamento. Si potrebbe prevedere la possibilit che determinati meccanismi di responsabilit sostituiscano o riducano gli obblighi amministrativi dellattuale legislazione sulla protezione dei dati, come gi suggerito dal Gruppo di lavoro articolo 29 nel suo parere sul futuro della privacy.

 

Trasferimenti internazionali di dati

55. Le regole dimpresa vincolanti rappresentano un esempio di attuazione dei principi di protezione dei dati sulla base del principio di responsabilit. Si tratta di una modalit individuata e accettata dal Gruppo di lavoro articolo 29 per fornire adeguate garanzie per i trasferimenti al di fuori dellUnione europea.

56. Questo un settore che trarrebbe beneficio da unulteriore analisi alla luce della revisione della direttiva 95/46. In particolare, sarebbe importante esaminare se nell'ambito di applicazione dellarticolo 26, paragrafo 2, della direttiva (uno Stato membro pu autorizzare un trasferimento [...] qualora il responsabile del trattamento presenti garanzie sufficienti []; tali garanzie possono segnatamente risultare da clausole contrattuali appropriate) rientrino a pieno titolo le regole dimpresa vincolanti e altri meccanismi analoghi di responsabilit vincolanti quali strumenti atti a fornire garanzie sufficienti.

57. In questo contesto, molto importante valutare, tra l'altro, i meccanismi usati per dare attuazione ai principi e agli obblighi di protezione dei dati allinterno degli stessi responsabili del trattamento e dei sistemi di verifica. inoltre importante analizzare i meccanismi per ottimizzare lattuale sistema basato sullautorizzazione dei trasferimenti di dati da parte delle autorit nazionali di protezione dei dati.

 

IV.4 Il ruolo delle autorit di protezione dei dati

58. Una questione da affrontare se il principio di responsabilit proposto nel presente parere influir sui poteri delle autorit di protezione dati, in particolare in sede di verifica dell'applicazione. Come ulteriormente descritto di seguito, il principio non sottrae alcun potere alle autorit di protezione dei dati, bens apporter loro vantaggi.

59. Per quanto riguarda la verifica dell'applicazione, il principio proposto riconosce la competenza delle autorit di protezione dei dati a chiedere al titolare del trattamento la prova della conformit con il principio di responsabilit, rafforzandone cos i poteri. Questo garantisce che le autorit mantengano, in qualsiasi momento, la competenza a svolgere azioni di verifica. . Occorre chiarire che, in ogni caso, le autorit di protezione dei dati resterebbero competenti a controllare non solo le misure adottate dai responsabili del trattamento, ma anche e soprattutto il rispetto dei principi e degli obblighi di fondo.

60. Inoltre, lattuazione del principio di responsabilit fornir alle autorit di protezione dei dati informazioni utili per monitorare i livelli di conformit. Infatti, poich i responsabili del trattamento dovranno essere in grado di dimostrare alle autorit se e come hanno attuato le misure, le autorit in discorso disporranno di informazioni altamente rilevanti in materia di conformit e potranno in seguito utilizzare tali informazioni nel contesto delle loro azioni di verifica dell'applicazione. Inoltre, se tali informazioni non sono fornite su richiesta, le autorit di protezione dei dati avranno un motivo per agire immediatamente contro i responsabili del trattamento, indipendentemente dalla presunta violazione di altri principi basilari di protezione dei dati.

61. Il principio dovrebbe anche essere utile alle autorit di protezione dei dati in quanto le aiuterebbe ad essere pi selettive e strategiche, consentendo loro di investire le proprie risorse in modo da generare il maggior livello possibile di conformit.

62. Il Gruppo di lavoro articolo 29 osserva che il principio di responsabilit potrebbe contribuire allo sviluppo di competenze giuridiche e tecniche nel campo dellattuazione delle disposizioni sulla protezione dei dati. Saranno indispensabili in questo settore persone altamente competenti, dotate di approfondite conoscenze tecniche e giuridiche in materia di protezione dei dati, nonch di capacit di comunicare, formare il personale, elaborare e attuare politiche e svolgere audit.

Tali competenze saranno necessarie sia internamente sia nella forma di servizi esterni che le imprese potranno richiedere. Questa evoluzione sar fondamentale per garantire che i responsabili del trattamento possano svolgere i propri compiti, compreso, se necessario, lo svolgimento di audit interni ed esterni/interni. Al tempo stesso, questo sviluppo sar positivo per le autorit di protezione dei dati, poich il sistema contribuir alla conformit in generale, le autorit avranno a loro disposizione informazioni pi affidabili riguardo alle pratiche interne delle societ, e la formazione di professionisti qualificati con conoscenze approfondite in materia di protezione dei dati sar certamente di aiuto nella loro interazione con i responsabili del trattamento.

63. Si pu concludere che il ruolo delle autorit di protezione dei dati si traduce prevalentemente in attivit ex post piuttosto che ex ante. Poich la responsabilit pone laccento su determinati risultati da raggiungere in termini di buona governance della protezione dei dati, si dice che orientata ai risultati ed incentrata sullaspetto ex post (cio, successivo allinizio del trattamento dei dati).

 

IV. 5 Sanzioni

64. Il sistema proposto pu funzionare solo se le autorit di protezione dei dati sono dotate di poteri sanzionatori di una certa entit. In particolare, quando e se i responsabili del trattamento non riescono a soddisfare il principio di responsabilit, sorge la necessit di sanzioni appropriate. Per esempio, deve essere punibile il mancato rispetto da parte di un responsabile del trattamento degli impegni formulati nel quadro di politiche interne vincolanti. Ovviamente, ci si aggiunge all'effettiva violazione dei principi sostanziali di protezione dei dati.

65. Inoltre, il Gruppo di lavoro articolo 29 ritiene che i poteri delle autorit nazionali di protezione dei dati debbano comprendere la possibilit di imporre ai responsabili del trattamento istruzioni precise riguardo al loro sistema di conformit.

 

IV.6 Lo sviluppo di sistemi di certificazione

66. Nel lungo periodo, la disposizione sulla responsabilit potrebbe favorire lo sviluppo di programmi o sigilli di certificazione. Tali programmi contribuirebbero a dimostrare che un responsabile del trattamento ha rispettato la disposizione e che, quindi, ha definito e attuato misure appropriate che sono state periodicamente sottoposte a revisione. Vari fattori, illustrati di seguito, potrebbero favorire tale sviluppo.

67. In generale, si pu prevedere che, per differenziarsi, i servizi di protezione dei dati/auditing/valutazione dimpatto sulla privacy offriranno probabilmente sempre pi spesso certificati o sigilli per distinguersi allinterno del mercato e anche per acquisire un vantaggio competitivo. I responsabili del trattamento potrebbero decidere di avvalersi di servizi affidabili che rilasciano certificati. Mano a mano che acquisteranno notoriet in virt delle verifiche rigorose, i sigilli di certificazione potranno riscuotere il favore dei responsabili del trattamento in quanto pi "comodi" in termini di sicurezza oltre che pi vantaggiosi sul piano competitivo.

68. Luso di regole dimpresa vincolanti come base giuridica per i trasferimenti internazionali di dati implica che i responsabili del trattamento dimostrino di aver messo in atto adeguate garanzie, nel cui caso le autorit di protezione dei dati possono autorizzare i trasferimenti. Questo un ambito in cui i servizi di certificazione potrebbero essere utili. Tali servizi analizzerebbero le assicurazioni fornite dal responsabile del trattamento e, se del caso, emetterebbero il relativo sigillo di certificazione. Unautorit di protezione dei dati potrebbe utilizzare la certificazione fornita da un dato programma di certificazione nella sua analisi delle regole dimpresa vincolanti tesa a verificare se un responsabile del trattamento abbia fornito garanzie sufficienti ai fini dei trasferimenti internazionali di dati, contribuendo cos allottimizzazione del processo di autorizzazione di tali trasferimenti.

 

IV.7 La regolamentazione dei sistemi di certificazione

69. Le stesse ragioni che favoriscono lo sviluppo di servizi di certificazione avvalorano la necessit che tali servizi siano regolamentati. Infatti, se tali servizi sono intesi a fornire prove affidabili di conformit in termini di protezione dei dati (alle autorit di protezione dei dati, ai responsabili del trattamento e ai consumatori in generale) e a funzionare correttamente nel mercato interno, risultano necessarie norme disciplinanti la fornitura di tali servizi. Le autorit di protezione dei dati dovrebbero svolgere un ruolo chiave nello sviluppo di tali norme (ad esempio modelli, ecc.) e dovrebbero essere in grado di farne rispettare lattuazione. Ci impone altres che siano dotate di risorse sufficienti. Inoltre, le autorit di protezione dei dati dovrebbero svolgere un ruolo nella certificazione dei certificatori. Questo potrebbe essere particolarmente importante nellambito dei trasferimenti internazionali di dati. Poich la qualit dei servizi e il loro funzionamento nel mercato interno sono un criterio fondamentale, la legge dovr stabilire le condizioni atte a conseguire tale qualit. Non sembra unopzione possibile lasciare questo aspetto al mercato. Lesperienza in altri settori, ad esempio la certificazione delle merci, ha mostrato una tendenza al ribasso. La concorrenza tra i prestatori di servizi pu condurre ad una riduzione dei prezzi e anche a una certa flessibilit o rilassamento delle procedure. In sintesi, in ambito transfrontaliero o meno, le risultano necessarie norme dirette a garantire la buona qualit dei servizi e una base di parit.

70. Il Gruppo di lavoro articolo 29 osserva che la legislazione vigente in materia di accreditamento11 potrebbe essere applicabile nel settore dei servizi di certificazione nel campo della protezione dei dati. Tale normativa fornisce gi la struttura necessaria, stabilendo norme sullorganizzazione e il funzionamento degli organismi di accreditamento. Queste regole valgono per laccreditamento facoltativo e anche nei casi specifici in cui laccreditamento obbligatorio.

71. Ovviamente, questo tipo di servizio darebbe altres un impulso allarmonizzazione delle norme di base rispetto alle quali i soggetti sarebbero sottoposti a verifica. Gli orientamenti menzionati (elaborati dal gruppo articolo 29 o dalla Commissione), indicando programmi modello di conformit dei dati, sarebbero di grande utilit.

 

V. CONCLUSIONI

72. Lo sviluppo di nuove tecnologie e la costante globalizzazione delleconomia e della societ hanno condotto ad una proliferazione di dati personali raccolti, selezionati, trasferiti o altrimenti conservati. I rischi connessi a tali dati, pertanto, si moltiplicano.

73. Il Gruppo di lavoro articolo 29 convinto che laumento sia dei rischi sia del valore dei dati personali in s renda necessario rafforzare il ruolo e la responsabilit dei responsabili del trattamento. Un quadro normativo che provveda a questa nuova realt deve contenere gli strumenti necessari per incoraggiare i responsabili del trattamento ad applicare in pratica misure appropriate ed efficaci in grado di realizzare i risultati derivanti dai principi di protezione dei dati. Esempi di tali misure sono le procedure per garantire lidentificazione di tutte le operazioni di trattamento dei dati e per rispondere alle richieste di accesso, lo stanziamento di risorse e la designazione di persone responsabili per lorganizzazione della conformit della protezione dei dati.

74. Per incoraggiare la protezione dei dati nella pratica, il Gruppo di lavoro articolo 29 propone in primo luogo di includere nelle proposte di modifica della direttiva sulla protezione dei dati una nuova disposizione che obblighi i responsabili del trattamento ad attuare misure appropriate ed efficaci per garantire che i principi e gli obblighi della direttiva sulla protezione dei dati siano rispettati e di dimostrarlo, su richiesta, alle autorit. Tali misure dovrebbero favorire il rispetto dei principi e degli obblighi di protezione dei dati, riducendo al minimo i rischi di accesso non autorizzato, uso improprio, perdita, ecc. Lobbligo di dimostrare, su richiesta, la predisposizione delle misure necessarie dovrebbe diventare uno strumento utile alle autorit di protezione dei dati nello svolgimento dei loro compiti di verifica dell'applicazione.

75. Lobbligo di attuare tali misure dovrebbe applicarsi ai responsabili del trattamento di tutti i settori (pubblico e privato) ed essere adattabile, di modo che il tipo di misure sia adeguato ai rischi presentati dal trattamento e alla natura dei dati.

Fatto a Bruxelles, 13 luglio 2010

Per il Gruppo di lavoro,

Il presidente

Jacob KOHNSTAMM

 

NOTE                                      

1 Per risolvere questo problema, sarebbe opportuno introdurre nel quadro globale un principio di responsabilit in base al quale i responsabili del trattamento dei dati siano tenuti ad adottare le misure necessarie per garantire il rispetto degli obblighi e dei principi fondamentali dellattuale direttiva al momento del trattamento dei dati personali. Una disposizione di questo tipo rafforzerebbe la necessit di mettere in atto politiche e meccanismi per lattuazione efficace dei principi e degli obblighi fondamentali della direttiva attuale. Avrebbe inoltre lobiettivo di confermare lesigenza di adottare misure adeguate che determinino unefficace applicazione interna degli obblighi e dei principi fondamentali attualmente stabiliti dalla direttiva. Inoltre, il principio della responsabilit imporrebbe ai responsabili del trattamento dei dati di disporre dei meccanismi interni necessari per dimostrarne la conformit agli interessati esterni, comprese le autorit nazionali di protezione dei dati. Infine, il fatto di dover dimostrare che sono state adottate misure adeguate per garantire la conformit favorir notevolmente lapplicazione delle norme vigenti (WP168, punto 79. Per maggiori informazioni, v. anche punti 74-78).

2 La persona responsabile deve: a. adottare tutte le misure necessarie per rispettare i principi e gli obblighi istituiti dal presente documento e dalla normativa nazionale vigente e b. predisporre i meccanismi interni necessari per dimostrare tale conformit sia agli interessati sia alle autorit di controllo nellesercizio dei loro poteri, come stabilito alla sezione 23.

3 Oltre a quanto sopra esposto, il Centre for Information Policy Leadership impegnato in uniniziativa tesa a esplorare gli effetti del principio di responsabilit per quanto riguarda la protezione dei dati e la privacy. Cfr il sito www.informationpolicycentre.com

4 www.bureaudelaconcurrence.gc.ca/eic/site/cb-bc.nsf/eng/02732.html.

5 Direttiva 2009/136/CE del Parlamento europeo e del Consiglio (del 25 novembre 2009) recante modifica della direttiva 2002/22/CE relativa al servizio universale e ai diritti degli utenti in materia di reti e di servizi di comunicazione elettronica, della direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche e del regolamento (CE) n. 2006/2004 sulla cooperazione tra le autorit nazionali responsabili dellesecuzione della normativa a tutela dei consumatori.

6 Occorrerebbe un periodo di transizione per rendere le operazioni di trattamento dei dati in essere conformi alla normativa.

7 Per esempio, gli standard internazionali adottati a Madrid dalle autorit di protezione dei dati contengono allarticolo 22 una disposizione che prevede misure proattive, cos formulata: Gli Stati devono incoraggiare, tramite la legislazione nazionale, lattuazione, da parte di coloro che partecipano a qualsiasi fase del trattamento, di misure dirette a promuovere una migliore conformit alle leggi applicabili sulla protezione della privacy in relazione al trattamento dei dati personali. Tali misure potrebbero includere, tra laltro:

a) lattuazione di procedure di prevenzione e di individuazione delle violazioni, che potrebbero basarsi sui modelli standardizzati di governance e/o di gestione della sicurezza dellinformazione;

b) la nomina di uno o pi incaricati per la protezione dei dati o della privacy dotati di qualifiche, risorse e competenze adeguate a esercitare la loro funzione di sorveglianza in modo appropriato;

c) la regolare attuazione di programmi di formazione, istruzione e sensibilizzazione rivolti ai membri delle organizzazioni per una migliore comprensione delle leggi applicabili in materia di tutela della privacy in relazione al trattamento dei dati personali, nonch procedure stabilite a tal fine dalle organizzazioni;

d) leffettuazione periodica di audit trasparenti, realizzati da soggetti qualificati e preferibilmente indipendenti per verificare la conformit con le leggi vigenti in materia di protezione della privacy in relazione al trattamento dei dati personali, e con le procedure stabilite a tal fine dalle organizzazioni;

e) ladeguamento delle tecnologie e/o dei sistemi informatici per il trattamento dei dati personali alle leggi vigenti sulla tutela della privacy in relazione al trattamento dei dati personali, in particolare al momento di decidere le specifiche tecniche, lo sviluppo e lattuazione;

f) la realizzazione di valutazioni dimpatto sulla privacy prima dellattuazione di nuove tecnologie e/o nuovi sistemi informatici per il trattamento dei dati personali, e prima dellapplicazione di nuovi metodi di trattamento dei dati personali o di qualunque modifica sostanziale nel trattamento esistente;

g) ladozione di codici di autoregolamentazione vincolanti, che includano elementi per misurarne lefficacia in termini di conformit e di livello di protezione dei dati personali, e che prevedano misure efficaci in caso di non conformit;

h) lattuazione di un piano dazione che stabilisca orientamenti per lazione da intraprendere in caso di violazione delle leggi sulla tutela della privacy in relazione al trattamento dei dati personali, compreso quanto meno lobbligo di determinare la causa e lentit della violazione, di descriverne gli effetti negativi e di adottare le misure appropriate per evitare che si ripeta in futuro.

8 Tali misure devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dell'applicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere.

9 Un esempio di questo tipo di orientamento lo strumento di autovalutazione PIPEDA, pubblicato dallUfficio del commissario canadese per la privacy per aiutare i responsabili del trattamento di medie e grandi dimensioni a sviluppare ed attuare una buona governance e gestione della privacy. Lo strumento di autovalutazione disponibile allindirizzo: http://www.priv.gc.ca/information/pub/arvr/ pipeda_sa_tool_200807_e.pdf .

10 Documento di lavoro 153 del Gruppo di lavoro articolo 29 che stabilisce una tabella comprendente gli elementi e i principi delle regole dimpresa vincolanti e documento di lavoro 154 che stabilisce un quadro per la struttura delle regole dimpresa vincolanti.

11 Regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che pone norme in materia di accreditamento e vigilanza del mercato per quanto riguarda la commercializzazione dei prodotti e che abroga il regolamento (CEE) n. 339/93.