30 Giu “VITA DA PRIVACYISTA” PUNTATA 23 – 1 ESPERTO/A ALLA SETTIMANA, 20 DOMANDE FUORI DAGLI SCHEMI
“VITA DA PRIVACYISTA” – Ventitreesima puntata – 1 esperto/a alla settimana, 20 domande fuori dagli schemi
A cura di Luca Bolognini
La rubrica-intervista che raccoglie idee originali dai migliori esperti di privacy e diritto dei dati in Italia e all’estero. L’esperto di questa settimana è…
- Nome, cognome, ruolo oggettivo e ruolo “putativo/desiderato”
Giovanni Battista Gallus, avvocato, formatore e data protection officer. Ruolo desiderato? Impegnarmi a tempo pieno per la tutela dei diritti fondamentali a livello internazionale.
- Perché e quando iniziasti a occuparti di privacy e protezione dei dati personali?
Ho iniziato ad avvicinarmi alla protezione dei dati personali durante il Corso di Information technology law al QMW, all’interno del Master of Laws che frequentai nel 1994 a Londra. Si parlò della Convenzione 108 del 1981, e del suo impatto sulle tecnologie dell’informazione. E fu un’illuminazione. Qualche anno dopo, nel 1996, Il professore Vincenzo Zeno Zencovich mi chiese di collaborare alla prima edizione de “La tutela dei dati personali. Commentario alla Legge 675/1996”. Con l’arrivo del D.P.R. 318/99, passai molto tempo a introdurre imprese e professionisti all’arcano mondo delle misure di sicurezza.
- Cosa ti annoia della privacy/data protection?
I produttori di scartoffie, assieme ai venditori di soluzioni miracolistiche.
- Gli anglicismi sono inevitabili per chi si occupa di questa materia (come il latinorum per altri ambiti), o ci stiamo sbagliando?
Sarebbero in gran parte evitabili, ma in certi casi, per chiarezza, sono necessari, ad esempio per far comprendere la differenza tra controller e processor (dato che la omologa terminologia italiana non è un prodigio di intuitività, a prima lettura), o per la data protection by design e by default.
- Pensi che la privacy stia a cuore della gente? È davvero “pop” o non interessa niente?
La privacy è percepita il più delle volte come un fastidio, fino a che non si è vittime di una diffusione illecita dei propri dati personali.
- Come gliela spieghi, questa disciplina, ai bambini delle elementari?
Non so se sarei in grado di individuare i registri comunicativi adatti. Di sicuro è fondamentale far comprendere il valore della protezione dei dati personali a genitori e insegnanti, in modo che siano loro a trasmettere ai bambini la sua importanza.
- L’ora, secondo te, più buia per la privacy in Europa negli ultimi 10 anni?
La direttiva “Frattini” (2006/24/Ce), che, sulla spinta della (sacrosanta) lotta al terrorismo, consentiva la conservazione (con ben pochi limiti) dei dati di traffico, generando delle vere e proprie aberrazioni giuridiche in tutti gli stati membri. Per fortuna è intervenuta la Corte europea di Giustizia, cancellando la direttiva e riportando al centro i diritti e le libertà fondamentali. Tuttavia continuiamo a sentirne gli effetti.
- L’ora, secondo te, più luminosa per la privacy in Europa negli ultimi 10 anni?
Sarebbe facile indicare il GPDR, soprattutto la sua applicazione extraterritoriale, che sta fungendo da modello anche per le successive norme europee. Ma farò un passo indietro e indicherò la sentenza Google Spain, non tanto per il diritto alla deindicizzazione, bensì per il fortissimo richiamo alla prevalenza dei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali sugli interessi economici dei gestori delle piattaforme.
- I consulenti, i DPO e i privacy officer stanno diventando decine di migliaia. Un male o un bene?
In generale un bene, in quanto contribuiscono all’aumento complessivo di consapevolezza e protezione. Ma è ovvio che all’aumentare del numero la qualità e la competenza rischiano di decadere.
- I dati personali sono monete?
Rispondo con una citazione: “i dati personali di ciascun individuo costituiscono un bene extra commercium, trattandosi di diritti fondamentali della persona che non possono essere venduti, scambiati o, comunque, ridotti a un mero interesse economico“. È la sintesi dei motivi d’appello di Facebook Ireland limited, riportati nella nota sentenza del Consiglio di Stato n. 2631/2021. E se lo dice la più grande piattaforma al mondo…
- Quando leggi notizie di dure sanzioni alle imprese, esulti o ti preoccupi?
Mi auguro che le sanzioni siano proporzionate alla gravità delle condotte e alla capacità economica dell’impresa. Ma non sempre succede.
- Con sincerità e senza retorica: credi che il “consenso preventivo dell’interessato” sia ancora una buona idea nel “tutto digitale”?
Il consenso è una foglia di fico per legittimare trattamenti spesso pesantemente invasivi, senza nessuna reale consapevolezza per l’interessato.
- Con sincerità e senza retorica: è davvero possibile sintetizzare e rendere semplici i tanti contenuti obbligatori di un’informativa privacy?
No, se non si adottano informative realmente multilivello. Ma anche in questo caso, bisognerebbe avere la consapevolezza che sono pochissimi gli interessati che vanno oltre l’informativa semplificata.
- Leggi sempre le informative privacy e le cookie policy sui siti e sulle app che utilizzi personalmente?
Sì, anche se sono consapevole che potrei utilizzare più proficuamente il mio tempo, soprattutto in vacanza.
- DPO più top manager o più mini-garante?
Né l’uno né l’altro, soprattutto perché l’idea stessa di “mini-garante” è abbastanza fuorviante. L’ideale sarebbe un soggetto che pur garantendo la terzietà e l’indipendenza abbia la visione strategica tipica del top manager.
- Un tuo consiglio di metodo a un giovane DPO.
Partire dai principi generali e puntare su un settore determinato: la competenza deve estendersi anche alla normativa “ordinaria” che regola l’ambito in cui si opera, ed è assai difficile possedere le conoscenze necessarie in settori magari eterogenei.
- L’Unione Europea fa troppe regole e frena l’innovazione: vero o falso?
Viviamo in un periodo di iperproduzione normativa e l’Unione europea vi contribuisce (basti pensare alla prossima regolamentazione collegata alla strategia europea dei dati). Ma concordo con l’idea di stabilire dei principi generali che cerchino di indirizzare gli ambiti più innovativi, circoscrivendo i rischi (si pensi al futuro Regolamento sulla IA).
- Il GDPR è al passo con l’Intelligenza Artificiale e il Metaverso?
L’art. 22 forse non è del tutto adatto a disciplinare l’impatto della IA, ma va letto nel contesto dell’accountability, dell’analisi dei rischi e della data protection by design. Ad andare in crisi è soprattutto il principio di limitazione delle finalità. Il futuro regolamento sulla IA dovrebbe disciplinare gli aspetti più critici. Il “Metaverso”, invece, mi pare un’etichetta senza alcuna reale innovazione sottostante.
- Tra dieci anni: protezione dei dati o protezione degli effetti personali?
Protezione dei diritti e delle libertà fondamentali, ora e tra dieci anni.
- Puoi consigliare un libro, che non sia “L’Arte della Privacy”, ai tuoi colleghi e collaboratori. Quale e perché?
“The age of surveillance capitalism” di Shoshana Zuboff. Una lettura impegnativa ma fondamentale per analizzare in maniera critica la realtà politica, sociale ed economica nella quale viviamo e operiamo.