A quattro anni dalla entrata in vigore del Regolamento UE 2016/679 (GDPR), un grande percorso è stato fatto con l’impegno di tutti gli attori dell’ecosistema privacy. I legislatori nazionali sono intervenuti con norme collaterali e/o applicative al GDPR, da ultimo in Italia con le innovazioni del Decreto “Capienze” ( D.L. 139 / 2021 convertito nella L. 205 /2021) per gli aspetti attinenti alla privacy nel comparto della pubblica amministrazione. e altre potranno e saranno emanate in linea con il carattere in progress della privacy anche in relazione all’innovazione tecnologica e delle forme di business.

Il Regolamento UE 2016/679 (GDPR) da tempo è entrato nella vita di chi vive in Europa (UE e SEE) e, sebbene alcuni facciano ancora difficoltà a comprenderne la portata di diritto di cittadinanza, tutti in genere vi poniamo più attenzione, sia nella veste di interessati, sia nella veste di attori nella gestione della privacy in organizzazioni del settore pubblico e privato. Quello che si intende qui iniziare ad approfondire è il ruolo che possono avere le organizzazioni sindacali con riguardo alla privacy.

Lo scorso giugno Federprivacy, da attento osservatorio qual’è dei fenomeni che - non solo in Italia - attengono alla privacy, ha dato notizia della intimazione della CNIL, l’Autorità francese per la protezione dei dati personali, ad un gruppo di 22 amministrazioni locali – pubblicandone anche l’elenco – che non avevano proceduto alla nomina del Responsabile della Protezione dei Dati (DPO), di provvedere ad assegnare tale incarico quattro mesi.

Applicando la regola delle 5 W del giornalismo anglosassone ecco di cosa intendiamo parlare: What: che accade se la gestione della privacy non è GDPR compliant? Who: se ad essere interessata è una entità pubblica? Where: se, in particolare, accade in Italia, When: dal 25 maggio 2018, Why: se si verifica un data breach o se il Garante accerta un mancato rispetto delle previsioni per trattamenti di dati personali non lesivi dei diritti degli interessati? La normativa europea e nazionale in tema di privacy disegnano per la P.A. un assetto più articolato e dotato di maggiore “elasticità” nel definire il campo di gioco per il trattamento dei dati personali.

L’AgID - Agenzia per l'Italia Digitale è l’agenzia tecnica della Presidenza del Consiglio che ha il compito di garantire la realizzazione degli obiettivi dell’Agenda digitale italiana, favorendo l'innovazione e la crescita economica. Nella sua azione, fra l’altro, elabora indirizzi, regole tecniche e linee guida in materia di omogeneità dei linguaggi, delle procedure e degli standard per la piena interoperabilità e uniformità dei sistemi informatici della pubblica amministrazione.

A quattro anni dall’entrata in vigore del GDPR, può risultare interessante effettuare una analisi degli interventi delle Autorità Garanti per trarne delle indicazioni, delle lesson learned utili per i diversi attori per operare in maniera consapevole il trattamento dei dati personali. In questa sede si pone l’attenzione sul contesto della Pubblica Amministrazione, che svolge un ruolo primario nell’ecosistema privacy, sia per il rispetto dei diritti dei cittadini, sia per il ruolo propulsivo che può avere nei confronti della sfera privatistica delle nostre società.

Lo scorso anno il Garante per la protezione dei dati personali ha emanato apposite Linee guida sui cookie e altri strumenti di tracciamento, entrate in vigore a inizio di quest’anno. I cookie, citati nel considerando 30 del Regolamento UE 2016/679, “sono piccoli file di testo che il sito web invia al terminale dell'utente, ove vengono memorizzati per poi essere ritrasmessi al sito alla visita successiva” (AGID), permettendo il riconoscimento del dispositivo utilizzato (l’IP che è un dato personale) ma anche la conoscibilità di altre informazioni quali l’idioma utilizzato.

Come si ricorderà, nell’agosto 2020 in piena emergenza pandemica, ebbe clamore sulle prime pagine estive dei giornali l’attività che l’Inps stava conducendo per procedere all’erogazione del bonus Covid-19, per supposti riflessi sulla privacy di chi ricopriva incarichi di parlamentare o di amministratore regionale o locale. E il prosieguo della questione fornisce utili spunti di riflessione: al ricorso promosso dall’Inps è seguita, in questi giorni, la sentenza n. 4735 / 2022 della XVIII sezione civile del Tribunale di Roma che ha annullato la sanzione comminata a suo tempo dal Garante.