Lo European Data Protection Supervisor ha adottato un documento che stabilisce forti poteri di supervisione. Che possono sfociare in ammonizioni o ordini giuridicamente vincolanti.
Prosegue l’applicazione del Trattato di Lisbona verso un’armonizzazione reale dei concetti di privacy e protezione dei dati personali su scala europea.
Il Garante europeo della protezione dei dati (in inglese Edps, European Data Protection Supervisor) ha adottato un documento strategico che definisce il quadro all’interno del quale controlla, misura e assicura la conformità della protezione dei dati dell’amministrazione dell’Ue.
La nuova policy, Monitoring and Ensuring Compliance with Regulation (EC) 45/2001, si segnala per un fondamentale cambio di marcia nell’applicazione delle azioni.
La policy cerca di incrementare il rispetto volontario, le best practices e gli incentivi sufficienti per determinare dove sia la responsabilità, spiegare come il Garante sosterrà la conformità e spiegare cosa il Garante farà in caso di non conformità.
Il principio di responsabilità
Il documento pone una particolare enfasi sul principio della responsabilità (accountability) per incoraggiare la conformità e l’adozione delle migliori prassi in materia di amministrazione europea.
Un primo test della nuova policy era stato fatto con le Video-surveillance Guidelines dello scorso 17 marzo. Adesso, quindi, la responsabilità impone alle istituzioni europee e agli organismi di porre in essere adeguati ed efficaci misure per garantire il rispetto degli obblighi sia di protezione dei dati, sia di dimostrazione dell’azione.
In quest’ottica il Supervisor ha ben recepito il contenuto del documento Professional Standards for Data Protection Officers of the Eu institutions and bodies working under Regulation (Ec) 45/2001 dello scorso ottobre. In particolare, gli articoli 41(2), 46(c) e 47(2) del nuovo regolamento forniscono ampi poteri di supervisione, compresa la possibilità di svolgere ispezioni.
“Rendere responsabili le istituzioni dell’Unione europea nel garantire il rispetto degli obblighi, e per dimostrare tali risultati, è un primo passo fondamentale nel promuovere la reale protezione dei dati”, ha detto Peter Hustinx, Garante europeo per il secondo quinquennio consecutivo. “Tuttavia, l’azione deve essere sostenuta da un quadro generale a contatto con quelle istituzioni e quegli organismi i cui bassi risultati continuino a non soddisfare i livelli qualitativi richiesti”.
Azioni pubbliche e trasparenti
L’approccio finora adottato privilegia le raccomandazioni e incoraggia il rispetto, piuttosto che operare con ammonizioni o ordini giuridicamente vincolanti. Dopo cinque anni, però, il Garante europeo ritiene che sia venuto il momento di un approccio più diretto, in particolare nei casi di grave, deliberata o ripetuta inosservanza dei principi della protezione dei dati. Questa nuova policy introduce quindi una serie di criteri che garantiscano un’applicazione dei suoi poteri esecutivi in modo proattivo, coerente e trasparente.
Il Supervisor sottolinea inoltre che la trasparenza e la pubblicità sono strumenti importanti sia per le parti interessate sia per una buona governance.
In relazione alla sua attività esecutiva, di regola l’Edps pubblicherà informazioni su eventuali deferimenti ufficiale; inoltre prenderà in considerazione, caso per caso, se sia opportuno rendere pubblica una qualsiasi delle altre azioni che si rendano necessarie per raggiungere gli obiettivi.
Il sito del Garante europeo, dei report periodici e frequenti rapporti con la stampa garantiranno la necessaria trasparenza.
