Fairness, Transparency e Accountability nella protezione dei dati personali

Il Regolamento Generale Europeo sulla Protezione dei Dati (GDPR), recentemente introdotto (EU 2016/679), ha determinato una vera e propria rivoluzione nel trattamento dei dati, cambiando notevolmente il modus operandi nella raccolta e circolazione dei dati (non solo personali). In particolare, la rivoluzione ha portato all’affermazione di due principi fondamentali: il diritto alla protezione e, specificamente, alla “correttezza” o “accuratezza” dei dati e il principio della c.d. “accountability” o, in generale, “responsabilità” del data controller (responsabile del trattamento). Diverse norme, nel GDPR, si palesano emblematiche di tali principi. Il principio di “accuratezza” dei dati implica per l’interessato un diritto di controllo e un potere correttivo sulle proprie informazioni. Esso trova nella rettifica, nella cancellazione e nella notifica il “nucleo storico” attorno al quale, dalla Convenzione di Strasburgo in poi, si è sviluppata la protezione dei dati personali. Questo principio è garantito e rafforzato nel GDPR attraverso il riconoscimento del diritto di accedere ai propri dati, di consultarli facilmente e direttamente, anche di ottenere la loro correzione o cancellazione ogni volta che la loro conservazione vìoli il regolamento europeo o non sia più necessaria per le finalità per le quali i dati sono stati elaborati e raccolti. Il principio di “accuratezza” impone al responsabile del trattamento il dovere di garantire la correttezza e l’affidabilità dei dati (ad esempio, quelli inclusi nelle banche dati) e di provvedere al loro aggiornamento, adottando, a tal fine, tutte le misure ragionevoli per correggere o prontamente elimina dati imprecisi. L’importanza e la portata innovativa del principio di “accuratezza” e qualità dei dati sembrano essere maggiori quanto più si pensi, da un lato, alla molteplicità e alla diversa affidabilità delle fonti di informazione e, dall’altro, all’incidenza del “fattore tempo”. Per quanto riguarda il primo aspetto, i dati sono spesso il risultato di un assemblaggio di altri dati e, per quanto riguarda il tempo, i dati possono “invecchiare”, diventare inaccurati e richiedere un aggiornamento. Per quanto riguarda il secondo principio, l’intero Regolamento è imperniato sull’“accountability” o “responsabilità”, di cui molte norme nel GDPR rappresentano un’applicazione. Esso può essere definito il «principio dei principi» e riguarda essenzialmente il data controller. Da esso, scaturiscono diversi obblighi per il data controller, al fine di garantire la protezione dei soggetti e dei relativi dati, attraverso l’adozione di misure organizzative e tecniche “adeguate”. Il data controller ha un ampio margine di scelta, a seconda del contesto in cui opera, del fattore rischio, dei costi da sopportare e del numero dei dati: appare quindi utile indagare quali misure tecnologiche e organizzative potrà e dovrà adottare per proteggere i dati e osservare il Regolamento.