24 Feb “VITA DA PRIVACYISTA” puntata 5 – 1 esperto/a alla settimana, 20 domande fuori dagli schemi

“VITA DA PRIVACYISTA” – Quinta puntata – 1 esperto/a alla settimana, 20 domande fuori dagli schemi

A cura di Luca Bolognini

La rubrica-intervista che raccoglie idee originali dai migliori esperti di privacy e diritto dei dati in Italia e all’estero. L’esperto di questa settimana è…

1. Nome, cognome, ruolo oggettivo e ruolo “putativo/desiderato”

Nicola Fabiano, Avvocato.

2. Perché e quando iniziasti a occuparti di privacy e protezione dei dati personali?

Ho iniziato ad occuparmi di privacy e protezione dei dati personali oltre 20 anni fa perché mi interessava approfondire l’argomento, anche in quanto se ne discuteva con alcuni colleghi.

3. Cosa ti annoia della privacy/data protection?

L’approccio bizantino su alcune questioni che andrebbero affrontate con semplicità ed efficace minimalismo; inoltre, a mio modesto avviso, affrontare le questioni unicamente con una rigorosa applicazione delle norme non è efficace.

4. Gli anglicismi sono inevitabili per chi si occupa di questa materia (come il latinorum per altri ambiti), o ci stiamo sbagliando?

Non ci stiamo sbagliando, e gli anglicismi sono inevitabili soprattutto se si considera che siamo di fronte ad un “fenomeno” globale che coinvolge altri Paesi e, inesorabilmente, la lingua inglese è convenzionalmente quella “ufficiale”.

5. Pensi che la privacy stia a cuore della gente? È davvero “pop” o non interessa niente?

Penso che la privacy stia a cuore alla gente ma si registra comunque un clima di sfiducia, soprattutto riguardo alle risorse online. Conosciamo bene l’evoluzione del Web (la prossima sfida è il Web 3.0, semantico, basato su blockchain e decentralizzato) e ciò che ne è conseguito. La quantità enorme di dati in rete è stata molto spesso utilizzata in modo distorto e conseguentemente la gente ha iniziato a perdere fiducia. Sono ben noti gli eclatanti episodi accaduti, che hanno fatto clamore, e sono meno noti quelli poco clamorosi che probabilmente continuano a verificarsi ogni giorno.

6. Come gliela spieghi, questa disciplina, ai bambini delle elementari?

Non è semplice, ma è possibile. Si dovrebbe procedere dalle famiglie e sensibilizzare al tema dapprima i genitori, i quali dovrebbero, quindi, provvedere a un adeguato apporto educativo al tema. Allo stesso modo, andrebbero organizzati incontri periodici nelle scuole per sensibilizzare docenti e bambini. Ai più piccoli andrebbe spiegato in modo molto semplice cosa può accadere alle informazioni personali sia quando utilizzano risorse digitali online sia nella vita quotidiana senza l’ausilio di alcun device. Ai bambini si dovrebbe spiegare, da un lato, che le informazioni personali sono parte integrante di ciascuno di loro e, quindi, hanno lo stesso loro valore e, dall’altro, che va rivolta attenzione particolare al concreto utilizzo di tali informazioni.

7. L’ora, secondo te, più buia per la privacy in Europa negli ultimi 10 anni?

A mio modesto avviso è quella che stiamo vivendo, posto che molti non sembra abbiano percepito appieno il radicale cambiamento che abbiamo attraversato. C’è bisogno di un cambio di mentalità con una visione lungimirante che spinga a guardare più avanti e non focalizzarsi sull’attualità.

8. L’ora, secondo te, più luminosa per la privacy in Europa negli ultimi 10 anni?

Credo che il periodo più luminoso possa essere compreso tra il 2012 e il 2018, epoca in cui si ponevano le basi per realizzare il progetto del GDPR e, nel contempo, si lavorava e si portava a compimento la versione modernizzata della Convenzione 108.

9. I consulenti, i DPO e i privacy officer stanno diventando decine di migliaia. Un male o un bene?

Dipende dalla formazione acquisita; se si tratta di una proliferazione di professionisti poco competenti è sicuramente un male. Qualora, invece, le competenze siano molto solide, quelle professionalità potrebbero essere considerate come delle risorse. I soggetti che instaurano un rapporto professionale con professionisti in possesso di solide competenze avranno la certezza di rendere effettivo ed efficace sia il ruolo di DPO sia il rispetto del GDPR.

10. I dati personali sono monete?

Assolutamente no e ciò è stato anche ben chiarito con il parere 4/2017 dell’EDPS. I dati personali non possono essere considerati né controprestazione, né oggetto di mercificazione. Tuttavia, è evidente che esiste una tendenza a considerare moneta i dati personali con un duplice effetto negativo e cioè, da un lato, uno dei diritti fondamentali in Europa viene trasformato in asset e, dall’altro, questa configurazione affievolisce la coscienza collettiva sulla funzione di questo diritto. Ovviamente bisogna stare attenti a evitare di farsi coinvolgere da tali fenomeni.

11. Quando leggi notizie di dure sanzioni alle imprese, esulti o ti preoccupi?

Ritengo che l’irrogazione di sanzioni da parte della competente autorità di controllo sia il risultato di un adeguato e completo iter istruttorio e, quindi, proverei a capire i motivi che hanno condotto all’emissione del provvedimento finale. Certamente, fatti salvi eventuali approfondimenti su ciascun singolo caso, l’irrogazione di sanzioni desta preoccupazione in un’epoca in cui dovrebbe registrarsi un generale allineamento da parte delle imprese alle disposizioni vigenti, piuttosto che trovarsi in condizioni tali da far accertare delle violazioni. Peraltro, la sanzione è solo un aspetto, perché sappiamo bene che i provvedimenti delle autorità di controllo possono essere impugnati e andrebbe poi seguita anche la fase processuale.

12. Con sincerità e senza retorica: credi che il “consenso preventivo dell’interessato” sia ancora una buona idea nel “tutto digitale”?

Ritengo di sì e penso che possa essere manifestato con l’ausilio delle attuali soluzioni digitali. Il punto nodale, a mio avviso, non è tanto la manifestazione del consenso nel “tutto digitale”, quanto piuttosto la sua manifestazione libera e incondizionata oltre all’accertamento dell’identità digitale dell’utente.

13. Con sincerità e senza retorica: è davvero possibile sintetizzare e rendere semplici i tanti contenuti obbligatori di un’informativa privacy?

Ritengo di sì; il mio approccio è, ove possibile, verso la semplificazione e il minimalismo, concetto quest’ultimo che non va letto come superficialità, ma – al contrario – quale occasione per rendere maggiormente efficaci concetti e principi.

14. Leggi sempre le informative privacy e le cookie policy sui siti e sulle app che utilizzi personalmente?

A volte sì e a volte no.

15. DPO più top manager o più mini-garante?

A mio parere più top manager. Il ruolo del garante è diverso.

16. Un tuo consiglio di metodo a un giovane DPO.

Acquisire una solida preparazione in materia e seguire le vicende relative all’organizzazione con professionalità, approfondendo ogni singolo aspetto senza mai lasciare spazio alla superficialità.

17. L’Unione Europea fa troppe regole e frena l’innovazione: vero o falso?

Recentemente, in un post pubblicato sul mio blog, ho menzionato la lettera aperta della CDM (Coalition for competitive Digital Markets) che rappresenta più di 50 aziende di 16 paesi (12 Stati membri) indirizzata ai membri del Parlamento europeo e del Consiglio dell’UE. Con questa open letter si sollecitavano le predette istituzioni a includere e sostenere nel Digital Markets Act regole più forti per le imprese dominanti, poiché così si può liberare il potenziale economico dell’Europa e permettere agli sfidanti del mercato di avere una possibilità di diventare leader tecnologici globali. Faccio riferimento a questa open letter perché ho la sensazione che l’innovazione in generale non possa essere “ingabbiata” in un alveo di regole. Introdurre una disciplina per ogni aspetto innovativo potrebbe risultare un pesante contenimento.

18. Il GDPR è al passo con l’Intelligenza Artificiale e il metaverso?

Il GDPR può essere considerato al passo con AI e metaverso nella misura in cui si rifletta sui seguenti aspetti. La proposta di regolamento pubblicata lo scorso aprile definisce l’AI come un “software” e il metaverso, salvo approfondimenti, è sostanzialmente una piattaforma basata su software (con l’utilizzo delle tecniche più all’avanguardia). Pertanto, su questi presupposti non mi sembra che il GDPR – allo stato – sia superato, sempre che non si pensi di applicare le singole norme in modo ragionieristico, senza considerare i principi generali.

19. Tra dieci anni: protezione dei dati o protezione degli effetti personali?

Si tratta di una previsione ardita ma probabilmente ci allontaneremo dalla concezione di “protezione dei dati personali”, auspicabilmente verso il consolidamento del concetto di dignità umana. Al contempo, in ambito dati personali, potrebbe cambiare l’approccio attuale della protezione delle sole persone fisiche verso una più generale protezione delle informazioni e delle modalità di comunicazione. La proposta di regolamento su ePrivacy include anche le persone giuridiche nella tutela e ciò è certamente un segnale da considerare.

20. Puoi consigliare un libro, che non sia “L’Arte della Privacy”, ai tuoi colleghi e collaboratori. Quale e perché?

Certamente, posso consigliare addirittura due libri. Il primo è intitolato “Introduzione alla cibernetica. L’uso umano degli esseri umani” di Norbert Wiener, Bollati Boringhieri editore, 1950-1954 (ristampa 2020). A mio parere costituisce una fonte primaria per l’attenzione che l’autore rivolge (siamo negli anni ’50) al rapporto tra cibernetica e comportamento umano. Il secondo è intitolato “Vita 3.0 – Esseri umani nell’era dell’intelligenza artificiale”, di Max Tegmark, Raffaello Cortina Editore, 2018. L’autore descrive l’evoluzione dell’intelligenza artificiale e la vita che viene presentata come Vita 3.0.