16 Giu “VITA DA PRIVACYISTA” PUNTATA 21 – 1 ESPERTO/A ALLA SETTIMANA, 20 DOMANDE FUORI DAGLI SCHEMI

“VITA DA PRIVACYISTA” – Ventunesima puntata – 1 esperto/a alla settimana, 20 domande fuori dagli schemi

A cura di Luca Bolognini

La rubrica-intervista che raccoglie idee originali dai migliori esperti di privacy e diritto dei dati in Italia e all’estero. L’esperto di questa settimana è…

1. Nome, cognome, ruolo oggettivo e ruolo “putativo/desiderato”

Adriano D’Ottavio, Digital Lawyer e Counsel presso Bird&Bird Studio Legale. Ho sempre sognato di fare il musicista, alla batteria di qualche gruppo od orchestra – magari sono ancora in tempo!

2. Perché e quando iniziasti a occuparti di privacy e protezione dei dati personali?

Iniziai ad occuparmi di privacy e protezione dei dati personali nei primissimi mesi del 2010, per pura “coincidenza”: appena terminati gli studi universitari, mi ritrovai a fare un colloquio nella migliore boutique legale (allora appena nata) in cui potesse iniziarsi a lavorare sul diritto e le nuove tecnologie. Che dire dunque: per un ragazzo appena laureato in giurisprudenza e con una forte passione per l’informatica e le tecnologie in generale, non poté essere che amore a prima vista! Devo tuttavia ammettere che, fino ad allora, non conoscevo la disciplina della protezione dei dati personali: non si trattava ancora di una materia così mainstream come oggi e nei percorsi universitari dell’epoca non era nemmeno presente come esame opzionale. Dovetti dunque “partire da zero”.

3. Cosa ti annoia della privacy/data protection?

Due cose in particolare, soprattutto in Italia: (i) la sua percezione come costo piuttosto che come investimento in grado di creare valore aggiunto e (ii) la patologica “congestione” del mercato dei DPO e dei consulenti a basso costo.

4. Gli anglicismi sono inevitabili per chi si occupa di questa materia (come il latinorum per altri ambiti), o ci stiamo sbagliando?

Non vi è dubbio la lingua ufficiale della materia della protezione dei dati personali sia l’inglese – anzi, è spesso consigliabile leggere le fonti normative e le linea guida delle autorità europee (e.g., WP29, EDPB, EDPS) in lingua originale, al fine di cogliere alcune sfumature che le traduzioni potrebbero non riuscire sempre a rendere fedelmente. Ritengo dunque che spesso e volentieri alcuni anglicismi, in particolare alcuni acronimi, siano utili e anche di più immediata individuazione (GDPR, DPO, DPIA, TIA, LIA, etc.).

5. Pensi che la privacy stia a cuore della gente? È davvero “pop” o non interessa niente?

È indubbio che la sensibilità oggi sia significativamente maggiore rispetto a dodici anni fa, quando ad esempio iniziavo ad occuparmi di questa materia. Ma devo ammettere che il progresso tecnologico (dall’avvento degli smartphone al proliferare delle piattaforme social) e l’entrata in vigore del GDPR hanno contribuito fortemente a rendere “pop” un diritto fondamentale dell’individuo quale la protezione dei dati personali. È dunque aumentato anche l’interesse delle persone a far valere il proprio diritto alla protezione dei dati personali ma, al tempo stesso, permane ancora una forte componente di disinformazione rispetto a all’uso consapevole delle informazioni di carattere personale.

6. Come gliela spieghi, questa disciplina, ai bambini delle elementari?

“Diresti mai a una persona sconosciuta che incontri per strada dove vivi, dove vai a scuola o dove giochi a pallone? Sicuramente no, e sai perché? Perché non bisogna condividere informazioni personali con gli sconosciuti! Ecco, questo è il significato della privacy: dobbiamo fare attenzione a condividere tante, troppe informazioni sui social network, perché potrebbero sempre essere ricondivise dai nostri contatti ed essere viste anche da persone sconosciute e con cattive intenzioni. La privacy dovremmo vederla un po’ come la porta di casa, che teniamo chiusa a chiave per non far entrare gli sconosciuti e le persone con cattive intenzioni.”. L’ho raccontato a mio figlio, 8 anni, un bimbo sveglio – credo che abbia capito 😊

7. L’ora, secondo te, più buia per la privacy in Europa negli ultimi 10 anni?

Senza ombra di dubbio lo scandalo Cambridge Analytica.

8. L’ora, secondo te, più luminosa per la privacy in Europa negli ultimi 10 anni?

L’entrata in vigore del GDPR. Sarò scontato, ma credo che la (travagliata) nascita di una regolamentazione unitaria in materia di protezione dei dati personali abbia rappresentato, negli ultimi dieci anni, l’ora più luminosa per la privacy, non soltanto in Europa, ma anche a livello internazionale, poiché è stata in grado di stimolare la riflessione dei legislatori di molti Paesi.

9. I consulenti, i DPO e i privacy officer stanno diventando decine di migliaia. Un male o un bene?

Sarebbe probabilmente un bene se soltanto i numeri facessero il paio con la necessaria competenza che una materia complessa come la protezione dei dati personali esige.

10. I dati personali sono monete?

No. Hanno senza ombra di dubbio un valore economico-commerciale, come peraltro riconosciuto dalle recenti sentenze dei giudici amministrativi in Italia, oltre che dalle modifiche normative introdotte nel Codice del Consumo. Non credo, tuttavia, che si possa arrivare a sostenere che i dati personali siano equiparabili alle monete. Le ultime modifiche introdotte nel Codice del Consumo con gli artt. 135-octies e ss., sembrerebbero tuttavia suggerire che i dati personali possano fungere, in alcuni casi eccezionali, da corrispettivo, soprattutto nel contesto dei mercati digitali – al momento, apparentemente, ancora secondo la logica “primitiva” del baratto. Ma anche su questo punto sono più i dubbi che le certezze.

11. Quando leggi notizie di dure sanzioni alle imprese, esulti o ti preoccupi?

Non esulto – ma mi soffermo spesso sulla natura della contestazione e sul suo rapporto con l’entità della sanzione.

12. Con sincerità e senza retorica: credi che il “consenso preventivo dell’interessato” sia ancora una buona idea nel “tutto digitale”?

In alcuni casi direi di sì. Ma è assolutamente necessario un cambio di rotta in contesti, per l’appunto, digitali dove l’ipertrofia dei consensi non è al passo né con la protezione dei dati personali (non è perché presto il consenso che allora ho la possibilità di proteggere meglio i miei dati), e men che meno con il progresso tecnologico.

13. Con sincerità e senza retorica: è davvero possibile sintetizzare e rendere semplici i tanti contenuti obbligatori di un’informativa privacy?

È possibile, anzi è doveroso. Bisogna semplificare le complessità concettuali per gli interlocutori delle informative, riducendo la lunghezza di questi documenti.

14. Leggi sempre le informative privacy e le cookie policy sui siti e sulle app che utilizzi personalmente?

Francamente no: presto moltissima attenzione ai consensi che vengono richiesti, ma non riesco a leggere le informative privacy e le cookie policy di tutti i siti web e le app che utilizzo abitualmente. Se guardassi soltanto al mio smartphone (senza contare quindi tablet, pc, etc.), al momento ho circa 80 app installate: non posso nemmeno immaginare quanto tempo potrebbe volerci per riuscire a leggere tutte le informative sul trattamento dei dati personali e stare dietro alle modifiche che, di tanto in tanto, mi vengono notificate. È per questo che abbiamo sempre più bisogno di semplificare i documenti informativi e puntare su un approccio veramente privacy-by-design e by-default.

15. DPO più top manager o più mini-garante?

Dovrebbe essere più il secondo (anche se non mi piace per niente l’accezione di “mini garante”), ma pur sempre con un approccio orientato al business di riferimento.

16. Un tuo consiglio di metodo a un giovane DPO.

Studiare, restare sempre aggiornati e avere tanta pazienza, con l’obiettivo di creare valore.

17. L’Unione Europea fa troppe regole e frena l’innovazione: vero o falso?

Non è semplice rispondere a questa domanda. Credo che l’innovazione basata sui dati personali e, quindi, sulle persone, necessiti senza ombra di dubbio di regole. Ciò che piuttosto potrebbe essere migliorato è la profonda frammentazione delle norme, che spesso amplifica i dubbi.

18. Il GDPR è al passo con l’Intelligenza Artificiale e il Metaverso?

Ritengo che con il GDPR siano stati positivizzati una serie di principi e di istituti dotati di notevole trasversalità e, quindi, in grado di stare al passo con il progresso tecnologico: proviamo a pensare alla privacy-by-design e by-default, all’accountability, alla valutazione d’impatto. Mi aspetterei, tuttavia, qualche intervento di soft law in materia di intelligenza artificiale e di Metaverso.

19. Tra dieci anni: protezione dei dati o protezione degli effetti personali?

Dieci anni è un’epoca giurassica nel contesto tecnologico: chi può dire di cosa saremo spettatori! Francamente non riesco ad immaginare nulla di diverso dalla “protezione delle persone” nel tutto digitale: i dati personali sono un mezzo che, se sfruttato in modo adeguato, permette di arrivare alle persone e di influenzarle.

20. Puoi consigliare un libro, che non sia “L’Arte della Privacy”, ai tuoi colleghi e collaboratori. Quale e perché?

“Elaboratori elettronici e controllo sociale”, 1973, di Stefano Rodotà. Un “libro profetico”, come suggerito da qualcuno. Trovo sia sorprendente leggere fra le righe di un’opera scritta circa cinquanta anni fa riflessioni giuridiche di grandissima attualità ancora oggi!