Protezione dei dati personali e strumenti di anticipazione della tutela: il potere di avvertimento
1. Considerazioni preliminari e delimitazione dell’oggetto dell’indagine. – 2. L’avvertimento, inteso come misura anticipatoria della tutela, quale novità del RGPD: dalle prime discipline nazionali di protezione dei dati personali al pacchetto di riforma della protezione dei dati dell’UE. – 3. L’avvertimento nelle discipline di protezione dei dati personali: finalità e caratteri. – 4. (Segue) I confini (talora incerti) dell’avvertimento: uno sguardo alla prassi applicativa. – 5. (Segue) I cd. avvertimenti generali. – 6. Gli effetti dell’avvertimento. – 7. Ultime considerazioni: l’avvertimento quale “cenerentola” tra le misure correttive?
Innovando rispetto alle più risalenti discipline nazionali di protezione dei dati personali e alla direttiva 95/46/CE, con il pacchetto di riforma del 2016 viene introdotto, tra i poteri correttivi delle autorità di controllo, quale strumento di anticipazione della tutela, quello di «rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento». Analizzato il processo storico che ha condotto all’introduzione dell’avvertimento, l’articolo ne prende in considerazione finalità e caratteri e, alla luce di una ricognizione critica della prassi applicativa, ne definisce i confini, talora incerti, e gli effetti. L’analisi si conclude evidenziando il crescente ricorso all’avvertimento e ne evidenzia la rilevanza, in particolare rispetto a trattamenti su vasta scala di dati personali che, oggetto di pianificazione, non di rado si caratterizzano per una più marcata innovatività dal punto di vista socio-)tecnologico e, quindi, per una maggiore incertezza della cornice giuridica che li viene a caratterizzare, con ciò schiudendo spazi all’intervento, in chiave anticipatrice della tutela, da parte delle autorità di controllo.
The 2016 data protection reform package breaks new ground compared to previous national personal data protection laws and Directive 95/46/EC by introducing a new corrective power for supervisory authorities as a means of anticipatory protection: the power to issue a 'warning to a controller or processor that intended processing operations are likely to infringe' data protection provisions. The article analyses the historical developments that led to the introduction of the warning, discusses its aims and characteristics and, on the basis of a critical review of its practical implementation, identifies its boundaries — at times rather uncertain — and effects. The analysis concludes by pointing out the growing reliance on warnings and highlights their significance, particularly with regard to large-scale processing of personal data. Such processing is often designed to be highly innovative from a socio-technological point of view, which leads to greater uncertainty in the legal framework governing them, thereby leaving room for intervention by supervisory authorities in a proactive and preventative manner.