Riforma della protezione dei dati UE può promettere più di quello che offre

Un mosaico di leggi sulla privacy nell'Unione europea, risalente al 1995, quando Internet era agli inizi, è stato criticato per la mancanza di denti e per essere interpretato in modo diverso in tutta l'UE.

Per affrontare queste carenze, la scorsa settimana l'UE ha concordato una revisione radicale delle norme sulla protezione dei dati che introdurrebbe un unico regolamento, multe fino al 4% del fatturato globale di un'azienda e un sistema di applicazione più semplice.

"Un cambiamento radicale nelle sanzioni renderà la privacy una questione a livello di consiglio di amministrazione", ha affermato Tanguy Van Overstraeten, avvocato di Linklaters. "Alcune aziende dovranno iniziare a prendere questi problemi molto più seriamente".

La privacy è stata a lungo una questione particolarmente delicata in Europa, dove la sorveglianza intrusiva del governo durante e dopo la seconda guerra mondiale ha reso la sua protezione un diritto fondamentale al pari della garanzia della libertà di parola.

La crescita esponenziale dei dati - dalle abitudini delle persone in materia di carte di credito, post sui social media e dispositivi di fitness indossabili che monitorano il sonno e i movimenti - ha alimentato la preoccupazione che le persone non abbiano abbastanza controllo su tali informazioni.

Le nuove regole dovrebbero essere un vantaggio per le società web come Google, Facebook e Amazon che fanno affari in tutta Europa e che attualmente devono trattare con una serie di regolatori nazionali.

Il commissario europeo per la giustizia Vera Jourova ha affermato lunedì (21 dicembre) che una legge unica sulla protezione dei dati farebbe risparmiare alle imprese circa 2.3 miliardi di euro (2.5 miliardi di dollari) all'anno.

Tuttavia, i critici delle nuove misure si chiedono se le autorità di regolamentazione saranno in grado di far fronte a un aumento del carico di lavoro e se la sovrapposizione normativa sia stata effettivamente rimossa.

"Siamo preoccupati che gli investitori saranno spaventati dall'investire in Europa e guarderanno fuori dal continente per finanziare la prossima grande novità tecnologica", ha affermato l'Industry Coalition for Data Protection, i cui membri includono Google, Facebook, Amazon e IBM.

Preoccupazioni nazionali

Le regole sono più severe in alcuni modi ovvi.

Non tutti i regolatori della privacy attualmente hanno il potere di imporre ammende. Quando lo fanno, gli importi sono spesso irrisori rispetto ai miliardi di dollari di entrate delle aziende coinvolte.

Uno dei cambiamenti più significativi che le aziende attendevano con impazienza era lo "sportello unico".

In base alla nuova legge, che entrerà in vigore tra due anni, le società che operano in tutta l'UE dovrebbero trattare solo con l'autorità di regolamentazione nel paese in cui hanno la loro sede europea.

Ma è stato annacquato dagli Stati membri che erano ansiosi di proteggere il potere dei loro regolatori nazionali di indagare sulle società tecnologiche statunitensi - che detengono una gran quantità di dati europei - e garantire che i cittadini potessero ancora lamentarsi con le loro autorità locali per una società situata altrove .

Ciò significa che qualsiasi autorità "interessata" avrà il potere di opporsi alla decisione presa dall'autorità "capofila", quella in cui la società ha la sua sede nell'UE.

Gli avvocati affermano che la definizione di autorità interessata è troppo ampia e per alcune società non sarà chiaro dove sia la loro principale base europea.

"Si teme che il fattore scatenante per il coinvolgimento di altre autorità di protezione dei dati sia troppo basso", ha affermato William Long, partner dello studio legale Sidney Austin LLP.

Ma i gruppi di consumatori affermano che garantire che i cittadini possano ancora presentare reclamo al proprio regolatore locale è importante per proteggere la loro privacy.

"Se la vicinanza al cittadino è assicurata in modo tale che io, in quanto consumatore, possa facilmente presentare reclamo alla mia autorità di vigilanza nazionale ... questa è una vittoria per i cittadini", ha affermato David Martin, funzionario legale senior presso BEUC, European Organizzazione dei consumatori.

Gli avvocati sottolineano anche che le nuove regole dell'UE lasciano molte questioni alla discrezione dei singoli paesi e c'è ancora il rischio che le autorità di regolamentazione possano interpretarle in modo diverso.

"Sarebbe un male se una società italiana venisse sanzionata più di una francese per la stessa cosa", ha detto Jourova in un'intervista.

In caso di disaccordo tra le autorità di regolamentazione, il caso sarà deferito a un comitato europeo per la protezione dei dati (EDPB), ancora da creare, per prendere decisioni vincolanti.

"Il meccanismo stabilito nel regolamento sulla protezione dei dati stabilisce una procedura iper burocratica che porterà a procedure di applicazione della legge più complesse e più lunghe", ha affermato Johannes Caspar, capo dell'autorità per la protezione dei dati di Amburgo in Germania, che ha giurisdizione su società tra cui Google e Facebook. ($ 1 = 0.9188 euro).