GDPR in Italia – Decreto 101/2018

A tempo debito, abbiamo visto come sarebbe cambiata la gestione della privacy per un fotografo con l’introduzione del nuovo Regolamento Generale per la Protezione dei Dati (GDPR). Oggi è stato pubblicato sulla Gazzetta Ufficiale il decreto legislasitivo 101 del 10 Agosto 2018 che rende effettivo (in gergo legale armonizza) quel regolamento nel nostro sistema legislativo a partire dal 19 Settembre 2018.

In Italia eravamo rimasti in effetti con l’ultimo decreto del Governo Gentiloni in materia, che di fatto abrogava la vecchia legge in vigore in vista del GDPR, ma, in attesa di ciò, apriva la strada a una sorta di depenalizzazione, dovuta a un vuoto normativo. Si sperava, insomma, in qualcosa di più strutturato di un “poi faremo come sta scritto lì”.

O almeno queste erano le paure dei pochi addetti ai lavori che avevano potuto leggere la bozza del decreto che, chissà perché, non veniva mostrato al grande pubblico, come se l’attività di governo fosse un segreto esoterico da rivelare a pochi iniziati e solo a Giugno, finalmente, associazioni ed esperti hanno potuto visionare la bozza e suggerire dei correttivi.

Quindi da oggi entra il vigore il GDPR? Non esattamente. Effettivamente sarebbe così, perché questo tipo di normativa si applica in automatico agli stati membri dell’Unione Europea, ma, dato che tale entità sovranazionale è, di fatto, un’entità decisamente eterea e lacerata dagli interessi dei singoli stati, questi ultimi hanno deciso di fare un po’ come a loro pare e, quindi, di recepire il Regolamento con un apposito decreto che lo modifica a piacimento: non abbastanza da violare l’obbligo di recepirlo, ma abbastanza da modificarlo per bene. Oppure si sono limitati a smussare da una parte e ritoccare dall’altra le leggi già in vigore.

In Italia rimane sostanzialmente invariato l’impianto del regolamento, ma anche nel nostro Paese sono state introdotte delle varianti e delle precisazioni, come quella dell’applicazione ai dati personali atta a garantire le attività di controllo come quelle doganali, per esempio, ma anche dati relativi alla salute e giudiziari, qualora la situazione lo richiedesse.

Ben più rilevante per noi fotografi è la stretta sulle attività per interesse pubblico: il decreto approvato, infatti, stabilisce che tali attività devono essere svolte da soggetti che svolgono compiti di interesse pubblico o connesso all’esercizio di pubblici poteri, quindi non da privati e che tali attività riguardano i dati contenuti in registri pubblici di organi pubblici e poco altro. Insomma, non molto a che vedere con la street photography.

Per quanto riguarda i dati biometrici, quindi anche le nostre fotografie, il decreto consente che siano utilizzati come misura di sicurezza per garantire accessi controllati, sempre nel rispetto della privacy, ma sottolinea come sia necessario fornire al titolare dei dati le informazioni su come tali dati devono essere custoditi.

Resta incluso nel decreto anche un certo margine di manovra per il Garante dela Privacy che potrà stilare codici deontologici e normative speciali attuabili in casi specifici che richiedano un trattamento adeguato, previa opportuna analisi degli impatti.

A prescindere da questi casi particolari, potranno essere poste delle limitazioni all’inutilizzabilità dei dati, quali per esempio norme antiriciclaggio o antiracket, casi in cui è ammessa la limitazione dei diritti dell’interessato (ma noi siamo fotografi, non ricattatori e quindi questo non ci riguarda). Va detto che è sempre comunque possibile appellarsi al Garante, che poi si esprimerà in merito.

Ci sono poi disposizioni specifiche per ambiti particolari, come la sanità e la pubblica amministrazione. Noi fotografi, se siamo titolari di impresa, dobbiamo designare un responsabile del trattamento dei dati e indicare in modo chiaro la possibilità che le nostre comunicazioni elettroniche possano essere violate, ma, lo ripeto, si tratta di adeguamenti necessari per le Piccole Medie Imprese (PMI), per cui il garante ha stilato un relativo vademecum.

Alcune precisazioni riguardano l’ambito del giornalismo, quindi anche del fotogiornalismo. Per cominciare, il decreto specifica che tali norme sono applicabili anche alla saggistica e alle opere non temporanee quali sono per esempio i quotidiani. Il giornalista può inoltre in alcuni casi trattare i dati senza il consenso dell’interessato, ma sempre nel rispetto delle regole deontologiche emanate dal Garante, di cui il decreto stabilisce le nuove prerogative e competenze, compresa la possibilità di uno snellimento del quadro normativo per le PMI.

Il decreto interviene anche sugli aspetti sanzionatori della legge e qui occorre stare ben attenti, perché la diffusione non autorizzata di dati biometrici (quindi, lo ripeterò fino alla fine, anche i ritratti che scattiamo) rientra nall’ambito delle sanzioni pesanti, che comporta multe salatissime e che in caso di dolo (ovvero nel caso in cui vogliamo trarre profitto o recare danno all’interessato), sono previste pene da uno a tre anni di reclusione. I reati contestabili sono:

• falsa dichiarazione al Garante e intralcio all’attività del Garante;
• inosservanza dei provvedimenti del Garante;
• comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala;
•  acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala.

Considerando che tale decreto dovrà essere adeguato a seguito dell’emisione del regolamento sulla e-Privacy, fermo al Parlamento Europeo circa un anno e mezzo (ma che dovrebbe essere approvato a fine 2018 o al più tardi all’inizio del 2019) e integrato da norme speciali, codici deontologici e quant’altro, possiamo dire che per il momento c’è ancora molto da fare. Restano pressocché invariate le novità introdotte per noi fotografi, compresa quella di maggior impatto che prevede di inserire le fotografie tra i dati biometrici, con tutto ciò che ne consegue.

Resta da sperare che il Garante colmi celermente questo vuoto normativo e che sia clemente nella definizione delle sanzioni, anche tenendo conto della difficoltà di interpretazione, dovuta perlopiù alla complessità del quadro normativo.

Per approfondire, consiglio l’ottimo articolo della testata online Agenda Digitale.

AGGIORNAMENTO: a seguito di diverse richieste, ho deciso di pubblicare una piccola linea guida per la creazione di una liberatoria. Potete trovare i dettagli qui.