Aziende e accademia a confronto.  Aspetti normativi, sanzionatori, disciplina dell’attività giornalistica, aspetti organizzativi e strategici nel processo di applicazione nelle aziende radiotelevisive, codici di condotta: questi i temi toccati mercoledì 12 dicembre al seminario “L’attuazione della nuova normativa sul trattamento dei dati personali nel sistema dei media” presso la Luiss di Roma. In occasione della presentazione della seconda pubblicazione sul Regolamento Generale su trattamento dei dati personali (GDPR) di CRTV con la Luiss @LawLab. La pubblicazione avviene a valle dell’approvazione del D.Lgs 101/2018 dell’agosto scorso che delinea abrogazioni e modifiche operate dal regolamento sull’ordinamento italiano previgente in tema di privacy.

Gli interventi sono apparsi concordi su tre punti: la rivoluzione copernicana operata dal GDPR, che sposta l’attenzione (e attività e responsabilità) dalla tutela della privacy (o sfera privata) al trattamento dei dati personali e che a fronte di una maggiore flessibilità per gli operatori nell’applicazione della normativa, richiede una maggiore responsabilizzazione (accountability); la consapevolezza che l’adeguamento, al di là della vigenza diretta del regolamento UE nel nostro ordinamento, e delle norme di adeguamento, sarà un processo, in gran parte da svolgersi a livello organizzativo e di cultura  aziendale; l’occasione persa da parte del decreto legislativo, di riscrivere il codice privacy, costringendo quanti applicano la nuova disciplina a basarsi su un puzzle di fonti normative.

Sul tema sono intervenuti giuristi specializzati in diversi ambiti e DPO dell’azienda di servizio pubblico Rai e la commerciale Mediaset, moderati dal Professore Bernardo Giorgio Mattarella,  ordinario di Diritto amministrativo della Luiss. Dopo l’introduzione di Giuseppe di Gaspare, Direttore del Centro di Ricerca sulle amministrazioni pubbliche Vittorio Bachelet e i saluti di Rosario Donato, DG di CRTV che ha illustrato il progetto di collaborazione dell’Associazione con l’Università, di fornire un’intelligence condivisa fra ricerca e aziende, il Professore Giuliano Fonderico ha illustrato gli ambiti di coordinamento con il diritto amministrativo di questa disciplina “in divenire” sia per il nuovo approccio alla tutela, sia per la rapidità dei cambiamenti indotti dall’innovazione tecnologica. Tutela dei consumatori, disciplina della concorrenza, regolazione economica generale (es. quanto previsto sul tema dei trattamenti dai codici deontologici di banche o finanziarie sui dati relativi alla solvibilità), giurisdizione, sono le aree che offrono maggiori spunti di coordinamento. Ma il futuro prossimo con le nuove problematiche, una fra tutte, la gestione e valorizzazione dei big data, offrono nuove sfide:  secondo Fonderigo la nuova disciplina offre maggiori opportunità di crescita e coordinamento del nostro ordinamento che criticità.

 Colaiacomo, adeguamento GDPR ed eccezioni per l’attività giornalistica. L’intervento dell’Avv. Giuseppe Colaiacomo, che per CRTV ha curato il capitolo iniziale della pubblicazione dedicato all’attività giornalistica alla luce del nuovo decreto legislativo, dopo una rapida ricostruzione della gestazione della norma  si è concentrato sul tema della delimitazione dei confini fra libertà di manifestazione del pensiero, diritto di cronaca, diritto all’oblio e di come tale tema delicatissimo, sia oggetto di interesse da parte della Corte UE  (richiesta di dati da parte del Garante Privacy rumeno su fonti giornalistiche) e della Cassazione, Sezioni Unite (sent. 28084/2018), chiamata a pronunciarsi e produrre, si spera, univoci criteri di riferimento per delimitare diritto di cronaca, diritto all’oblio e disciplina del consenso. Riguardo a quanto previsto dal Dlgs Colaiacomo ritiene che le deroghe ai trattamenti previsti per l’attività giornalistica configurino a tutti gli effetti un’eccezione in nome di un interesse legittimo e pubblico all’informazione. E che tuttavia qualora il giornalista applichi le regole del trattamento, tale eccezione possa decadere e si applichino le regole del consenso (revoca, diritto all’oblio).

 Antonelli, Cattolica: il ruolo dei codici, regolazione condivisa e certificata. L’intervento del Professore Vincenzo Antonelli dell’Università Cattolica del Sacro Cuore di Milano, si è incentrato sui codici di condotta, a partire dall’esperienza attivata per il settore sanitario: un percorso partecipativo che comprende tutti gli stakeholder, coordinati dall’Università Cattolica, e il Garante, che funge da autorità certificante. L’autoregolazione o softlaw, il cui ruolo è stato valorizzato da nuovo GDPR permette di dare corpo al concetto di accountability e malleva conseguente incardinato nel nuovo regolamento.

 Grignani, Rai: oltre la compliance, il servizio pubblico deve creare consapevolezza. Pietro Grignani, nel suo intervento dal titolo “Umanesimo 4.0” ha raccontato di essere approdato al ruolo di Data Protection Officer con alle spalle una carriera ventennale in Rai con ruoli diversi dall’area autoriale e di produzione, alla gestionale: un bagaglio di conoscenza aziendale e di applicazione di normative top down comprensiea, allargata di recente della disciplina prevista per le aziende di diritto pubblico quali ad es. l’anticorruzione. L’ambito GDPR e l’approccio della accountability  sfidando queste conoscenze pone dei principi e degli obiettivi e lasciando una certa flessibilità nell’esecuzione. La scelta fatta dal DPO Rai, per aree centrali, quali l’attività giornalistica, è stata di partire dal codice deontologico e l’esperienza per costruire processi di adattamento alla realtà internet e social: per costruire un quadro di riferimento, cercare dei punti di equilibrio e navigare la rapida innovazione- Gragnani ha parlato di “surfing. Per il servizio pubblico oltre alla compliance al GDPR , è necessario parlare anche di consapevolezza della nuove sfide poste dal digitale – privacy, ma anche cloud, intelligenza artificiale: un dovere di creare consapevolezza e conoscenza che richiama appunto l’umanesimo, da cui “umanesimo 4.0”, appunto. Come ha detto Papa Francesco “il grande peccato del mondo moderno è l’indifferenza”.

Quintavalle, Mediaset: la rivoluzione per piccoli passi a partire dal registro dei trattamenti.  Una carriera costruita negli uffici legali dell’emittente commerciale a tutela della privacy, questo invece il percorso, opposto, specializzato, dell’avv. Roberta Quintavalle, DPO del gruppo Mediaset nel suo complesso (18 società, comprensive di radio, televisione, concessionaria pubblicitaria ecc.). Soffermandosi sulla sola attività televisiva, in realtà la casistica è molto variegata e affrontata caso per caso  cercando di rispettare le regole ma anche di tutelare il patrimonio aziendale. Sul diritto all’oblio ad es. ha citato il caso di Erica De Nardo e le scelte che sono state operate. Venendo all’operatività del prgetto di applicazione del GDPR ha citato l’approccio organizzativo e formativo affrontato, mettendosi a contatto con tutte le attività del gruppo per illustrare le nuove norme e calarle nelle specificità di ogni ambito. L’approccio è multidisciplinare, anche nelle competenze delle persone, un gruppo salito a 7 e dedicato espressamente a tale attività di adeguamento al GDPR e graduale – “come si magia un elefante? Un boccone alla volta”. Ha richiamato la differenza fra tutela della privacy e trattamenti dei dati e l’importanza di gestire il processo di trattamento dei dati, creando consapevolezza del percorso interno degli stessi. In questo senso il registro dei trattamenti è la matrice di tutto il sistema, e un elemento indispensabile, una speci di giornale di bordo. La Quintavalle ha citato l’importanza di fare network interno, nell’azienda, attraverso la formazione appunto e il confronto; e network esterno fra le aziende del ettore e i DPO di vari ambiti e con l’autorità di controllo e certificatrice, il Garante. E di costruire un racconto per case histories, per calare i problemi nella realtà.

 Falletta, Luiss @LawLab: apparato sanzionatorio e integrazione della via penale e amministrativa. In chiusura Pietro Falletta, @Lawlab e coordinatore della pubblicazione  lato Luiss ha parlato dell’apparato sanzionatorio del GDPR, che nell’adeguamento previsto dal dlgs ha mantenuto la via amministrativa e penale in un’ottica di proteggere da fattispecie particolarmente dannose in Rete, da un lato. Per Falletta non ci sono pericoli di “ne bis in idem” (sovrapposizione di giurisdizioni), ma piuttosto integrazioni, poichè le fattispecie penali permettono di intervenire in ambiti non coperti/ulteriori a quelli previsti dalle vie amministrative. A breve scadrà la moratoria di 8 mesi e anche sull’apparato sanzionatorio e sui principi dello stesso, proporzionalità, ponderazione e durata del danno, grado di coinvolgimento, si attendono linee guida, che sarebbe opportuno fossero indicate dal Comitato UE per la protezione dei dati,  ex Gruppo di Lavoro dei 29, che coinvolge le autorità garanti nazionali. Citate anche le potenzialità di art. quali il 58.2 del GDPR che prevedono interventi di ammonimento pre-sanzionatori.