L’EDPB annuncia sviluppi normativi sul GDPR e presenta la Strategia 2024-2027 insieme al primo Programma di Lavoro: focus sull’armonizzazione europea, la cooperazione tra Autorità e la protezione dei dati nel contesto digitale.
Il Comitato europeo per la protezione dei dati (EDPB) ha recentemente pubblicato la Dichiarazione 4/2024, dedicata agli sviluppi della bozza di Regolamento europeo volta a stabilire ulteriori norme procedurali per l’applicazione del GDPR (“Statement 4/2024 on the recent legislative developments on the Draft Regulation laying down additional procedural rules for the enforcement of the GDPR”, la “Dichiarazione”). Contestualmente, l’EDPB ha anche reso noto il primo programma di lavoro per il periodo 2024-2025 (“EDPB Work Programme 2024-2025”, il “Programma”), in linea con la strategia delineata per il periodo 2024-2027 (“EDPB Strategy 2024-2027”, la “Strategia”).
PREMESSE – IL CONTESTO
Come anticipato, la presente intende illustrare la Dichiarazione, il Programma e la Strategia (congiuntamente, le “Opinioni”), sebbene siano documenti che, in prima battuta, non si rivolgono alle imprese.
Al tempo stesso, però, le Opinioni del Comitato contribuiscono ad armonizzazione il panorama legislativo europeo sulla protezione dei dati personali, impattato dall’avvento repentino delle nuove tecnologie, dalle interferenze di regolamentazioni di settori diversi, oltre che dagli aspetti legati alla cooperazione tra le diverse Autorità di controllo, che vigilano sul rispetto della disciplina vigente nel territorio dell’Unione.
Di conseguenza, alcuni tra i temi toccati dal Comitato potrebbero tradursi, in capo ai titolari e/o responsabili del trattamento, in termini di accountability e di adozione di misure aggiuntive e/o cautele ulteriori nelle operazioni di trattamento di dati personali poste in essere.
Ciò posto, dunque, di seguito una breve disamina delle Opinioni, con alcune considerazioni in merito ai profili di interesse per le imprese.
A. La Dichiarazione
Giova premettere che il Comitato aveva richiamato l’attenzione del Parlamento europeo e del Consiglio (congiuntamente, le “Istituzioni europee”) su una serie di aspetti procedurali del GPDR che, se ulteriormente armonizzati a livello UE, avrebbero potuto assicurare la piena efficacia dei meccanismi di cooperazione ivi previsti, nonché la relativa applicazione uniforme. Pertanto, le Istituzioni europee avevano formulato una proposta di Regolamento avente ad oggetto norme supplementari per l’applicazione del GDPR, sulla quale l’EDPB e l’European Data Protection Supervisor (o “EDPS”) avevano formulato alcune raccomandazioni con parere congiunto 1/2023 (“Parere”).
Le Istituzioni europee, seguendo le indicazioni contenute nel Parere, hanno apportato alcuni emendamenti alla bozza di Regolamento in discussione, che sono stati accolti in maniera positiva dal Comitato. Quest’ultimo, invero, riservandosi di approfondire determinati argomenti (quali, ad esempio, la semplificazione della cooperazione tra le Autorità di controllo e il miglioramento dell’applicazione del GDPR), con la suddetta Dichiarazione ha fornito altresì una serie di raccomandazioni pratiche, sottolineando la necessità di individuare una base giuridica e, parimenti, una procedura armonizzata per la composizione amichevole delle controversie.
Al netto, quindi, di questioni legate alle strutture delle misure di semplificazione e armonizzazione europea, poc’anzi descritte, merita segnalare l’attenzione posta dall’EDPB sulla possibilità di accedere – in ogni fase del procedimento – a forme di risoluzione alternativa delle controversie con gli Interessati. In ottica di semplificazione, invero, l’orientamento del Comitato si spinge verso la risoluzione “amichevole” – e, quindi, al di fuori del procedimento innanzi all’Autorità – delle questioni promosse dai reclamanti nei confronti dei soggetti coinvolti nei trattamenti di dati personali.
B. La Strategia e il Programma del Comitato
Come anticipato in premessa, il Comitato ha adottato un programma di lavoro per il periodo 2024-2025, che consiste nel primo dei due che integreranno la Strategia per il periodo 2024-2027.
La Strategia, in particolare, si basa essenzialmente su quattro pilastri, quali:
- Migliorare l’armonizzazione e promuovere la conformità;
- Rafforzare una cultura comune di applicazione delle norme e di cooperazione efficace;
- Salvaguardare la protezione dei dati nel quadro dell’evoluzione del panorama digitale e della regolamentazione trasversale;
- Contribuire al dialogo globale sulla protezione dei dati personali.
Di conseguenza, il Programma segue pedissequamente i pilastri della Strategia e si propone, a sua volta, alcune key actions per ciascun argomento.
Il Comitato, infatti, adotterà una serie di linee guida (punto a.), finalizzate all’applicazione uniforme del GPDR di alcuni concetti chiave, quali, a titolo esemplificativo, le linee guida su: i) legittimo interesse; ii) sui concetti di anonimizzazione e pseudonimizzazione; iii) sul modello “pay or consent”; iv) sui trattamenti di dati personali aventi finalità di ricerca scientifica, e così via.
Così come l’EDPB chiarirà i rapporti esistenti tra i vari atti legislativi europei (punto c., nella specie, tra il GDPR e la normativa sull’impiego di nuove tecnologie – AI Act, Digital Services Act e Digital Markets Act), nonché l’interazione tra la protezione dei dati personali dell’UE e il diritto alla concorrenza. Uno tra i focus che si propone il Comitato riguarda, peraltro, il monitoraggio dello sviluppo tecnologico, secondo un approccio “umano-centrico”, che potrebbe comportare l’adozione di cautele aggiuntive per i titolari e/o i responsabili che si avvalgono delle stesse per la propria attività imprenditoriale.
Carla Di Domenico, Elisa Cristina Sperduti
