Dopo quasi venti anni dall’entrata in vigore della prima legge italiana in tema di privacy, a maggio scorso è stato pubblicato il regolamento europeo che integra in modo sostanziale la normativa in materia. La finalità è di riconoscere un livello di tutela più elevato e uniforme dei dati personali nonché di garantire ai cittadini un maggior controllo sull’utilizzo delle informazioni che li riguardano.
Sebbene il regolamento non abbia bisogno di recepimento, gli Stati membri hanno due anni per adeguare gli ordinamenti nazionali, e le imprese interessate – per lo più enti della pubblica amministrazione, grandi imprese private fornitrici di servizi nonché banche e intermediari finanziari – hanno pari disponibilità di tempo per adeguarsi al nuovo quadro regolamentare, che tuttavia si presenta piuttosto impegnativo e non privo di aspetti problematici.
L’ampia sfera di diritti riconosciuti ai cittadini prevede infatti una forte responsabilizzazione delle imprese e l’esigenza di procedere ad interventi organizzativi che coinvolgono larga parte della compagine aziendale. In termini strettamente operativi, quanto detto si traduce in un consistente aggravio di costi, resi necessari dalla ristrutturazione dei processi interni e dall’implementazione di procedure informatiche destinate a soddisfare le nuove esigenze di trattamento delle informazioni dei clienti.
Un impegno gravoso in tal senso riguarda, ad esempio, l’introduzione dell’obbligo per ogni azienda interessata di mantenere nel tempo una registrazione puntuale ed esaustiva delle attività effettuate sotto la propria responsabilità in merito al trattamento dei dati dei clienti. Con riferimento all’attività creditizia, tale previsione ha il rischio di introdurre modalità operative particolarmente complesse e ingiustificate, in un contesto di attività che nel corso degli anni non ha presentato specifiche occasioni di conflittualità nel rapporto tra privati e banche.
Un impegno ulteriore a carico delle imprese riguarda l’esigenza di acquisire nuove e specifiche professionalità interne, come quella riferita alla figura del “Responsabile della protezione dei dati” che obbligatoriamente dovrà essere presente all’interno delle aziende ove il trattamento delle informazioni comporti rischi specifici.
Il regolamento, peraltro, riconosce ai cittadini il diritto di farsi rappresentare da un organismo senza scopo di lucro, la cui attività sia riconosciuta di pubblico interesse, che potrà proporre azione di reclamo nonché esercitare per conto dei clienti azione di risarcimento danni in caso di violazioni delle disposizioni del regolamento stesso. Tale previsione regolamentare presenta il rischio di “incoraggiare” il contenzioso promosso dai privati nei confronti delle imprese, nella speranza di perseguire “facili” indennizzi resi possibili da disposizioni concepite con il fine specifico di tutelare i diritti di una delle parti in contrasto.
Deve essere sottolineato, infine, un aumento considerevole delle sanzioni pecuniarie e amministrative previste dal nuovo impianto dispositivo, che potranno arrivare fino ad un massimo di 20 milioni di euro o fino al 4% del fatturato totale annuo dell’ente titolare del trattamento dei dati; ogni Stato membro, peraltro, è lasciato libero di adottare ulteriori e più incisive sanzioni.
Vedremo dunque nel prossimo futuro come il legislatore nazionale procederà in concreto nel recepimento del nuovo impianto normativo, confidando che le giuste esigenze legate alla tutela della privacy dei cittadini siano adeguatamente contemperate dalle altrettanto importanti esigenze di imprese e banche ad operare senza aggravi eccessivi, in una prospettiva corretta di proporzionalità ed equilibrio, soprattutto nell’attuale contesto di crisi contrassegnato dal continuo proliferare di regole prudenziali, rese via via più vincolanti e pervasive.