I DPO davvero devono imparare a memoria provvedimenti e linee guida di Authority e EDPB?
No. A mio avviso, devono conoscere il diritto con i suoi principi generali, la normativa specifica sui dati personali e non personali, (oltre che sui servizi digitali), e ovviamente il contesto di riferimento per la loro corretta applicazione.
C’è ormai una tendenza (a mio avviso profondamente sbagliata) di riportare (e osservare acriticamente) ogni pensiero di Autorità di controllo e Comitato europeo per la protezione dei dati.
Effettivamente è senz’altro più comodo adeguarsi senza riflettere troppo, ma non so quanto questo modus operandi stia facendo davvero bene alla materia e soprattutto a quella agognata accountability di cui si continua a parlare durante i convegni dedicati alla data protection.
Nella loro funzione autonoma e indipendente, si vivono le Authority ormai come legislatori e giudici contemporaneamente, in una sorta di intreccio caotico tra common law e civil law.
Eppure sarebbe sufficiente leggere articoli (e considerando) del #GDPR dedicati a compiti e funzioni delle Autorità di controllo e Comitato per rendersi conto che i compiti sono sostanzialmente di semplice applicazione e proattiva sensibilizzazione sulle materie di cui i DPO dovrebbero occuparsi in modo altrettanto autonomo e indipendente e legato al caso concreto che solo questi ultimi conoscono nel dettaglio.
Uno per tutti si riporta qui di seguito il considerando 122 dedicato al delicato ruolo delle Autorità di controllo.
Ogni autorità di controllo dovrebbe avere la competenza, nel territorio del proprio Stato membro, a esercitare i poteri e ad assolvere i compiti a essa attribuiti a norma del presente regolamento. Ciò dovrebbe comprendere in particolare il trattamento nell’ambito delle attività di uno stabilimento del titolare del trattamento o del responsabile del trattamento sul territorio del proprio Stato membro, il trattamento di dati personali effettuato dalle pubbliche autorità o dagli organismi privati che agiscono nel pubblico interesse, il trattamento riguardante gli interessati nel suo territorio o il trattamento effettuato da un titolare del trattamento o da un responsabile del trattamento non stabilito nell’Unione europea riguardante interessati non residenti nel suo territorio. Ciò dovrebbe includere l’esame dei reclami proposti dall’interessato, lo svolgimento di indagini sull’applicazione del regolamento e la promozione della sensibilizzazione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali.
Le Linee guida non possono, quindi, essere considerate come “nuove leggi”, né essere avvertite come risolutrici di casi concreti di cui si ignora una possibile interpretazione, restando comodamente immobili in attesa che arrivino a risolvere qualcosa in determinati contesti.
Si può e si deve osare interpretativamente.
È un diritto e dovere per noi DPO.
Per il resto, sono dell’avviso che la complessità del mondo dei bit meriterebbe un approccio sistematico e di sintesi favorito sia da un’unica normativa (e non questa situazione ipertrofica che il Digital Omnibus non risolverà) e sia da un’unica Autorità indipendente e autorevolissima con compiti ben definiti di sensibilizzazione e orientamento applicativo, ma eviterei di assegnarle poteri sanzionatori, che invece affiderei a una magistratura specializzata e di settore.
Si respira davvero troppa confusione sotto ogni punto di vista.
Che ne pensate? Sogno troppo?
