Contestualmente all’entrata in vigore del GDPR nella UE, come previsto dallo stesso, è partita ufficialmente l’attività del Comitato Europeo per la Protezione dei Dati (EDPB nell’acronimo inglese), organo europeo indipendente preposto ad assicurare l’applicazione uniforme delle norme sulla protezione dei dati nell’Unione e a promuovere la cooperazione tra le autorità competenti in materia, che sono membri. Il Comitato nasce dal lavoro svolto dal gruppo di lavoro sull’ Articolo 29 (WP29), ed è coordinato con il Garante Europeo per la protezione della Privacy, che, si ricorda è il Garante per la Privacy Italiano Antonello Soro, con cui collabora sulla base di un MOU firmato il 25 maggio.

Il comitato inoltre fornisce consulenza alla Commissione Europea su qualsiasi questione correlata alla protezione dei dati personali e pubblico accesso ai cittadini europei sulla documentazione relativa alla privacy.  Andrea Jelinek, direttrice del Garante per la Privacy Austriaco, è stata nominata Presidente dell’EDPB. L’organismo è dotato di un sito, predisposto in 24 lingue (ma attualmente solo nella struttura, i documenti sono in inglese): il link per la versione italiana è https://edpb.europa.eu/edpb_it.

EDPB su e-privacy. Nella prima sessione plenaria del 25 maggio, l’organismo ha prodotto un documento (statement) sulla revisione della regolamentazione e-privacy attualmente all’esame delle istituzioni UE alla quale ritiene necessario procedere celermente (si ricorda che inizialmente era prevista una contestuale entrata in vigore di GDPR e Regolamento E-privacy). Attualmente vige ancora il sistema di tutele previsto dalla direttiva e-privacy che risale nella sua versione novellata al 2009. Urgente per garantire la confidenzialità delle comunicazioni nonostante l’aumento esponenziale delle comunicazioni elettroniche dal 2009 e un level playing field fra operatori (es. gli OTT attualmente esclusi) e “servizi funzionalmente equivalenti”. Nel documento l’EDPB sottolinea diverse aree di attenzione su cui ha già lavorato estensivamente come WP29 e pur condividendo l’ottica delle nuove norme proposte, “ampi divieti, ristrette eccezioni e’uso del consenso”, auspica (tradotto dalle conclusioni):

• Il regolamento ePrivacy non deve abbassare il livello di protezione offerto dall’attuale direttiva e-privacy.·
•  Il regolamento e-Privacy deve garantire la protezione di tutti i tipi di comunicazioni elettroniche, comprese quelle effettuate da servizi “Over-the-Top”, in un modo tecnologicamente neutro.
• Il consenso dell’utente deve essere ottenuto sistematicamente in modo tecnicamente fattibile e applicabile prima di elaborare i dati delle comunicazioni elettroniche o prima di utilizzare le capacità di memorizzazione o elaborazione dei terminali di un utente. Non ci devono essere eccezioni per elaborare questi dati in base all ‘”interesse legittimo” del responsabile del trattamento dei dati o allo scopo generale della prestazione di un contratto.
• L’articolo 10 deve fornire un modo efficace per ottenere il consenso per i siti Web e le applicazioni mobili. Più in generale, le impostazioni devono preservare la privacy degli utenti per impostazione predefinita e devono essere guidate per scegliere un’impostazione, al ricevimento di informazioni pertinenti e trasparenti. A tale riguardo, il regolamento deve rimanere neutrale sotto il profilo tecnologico per garantire che la sua applicazione rimanga coerente a prescindere dai casi d’uso.
• Il massimo livello di controllo deve essere applicato per eventuali eccezioni ad hoc che i legislatori possano voler aggiungere a quelle già incluse nei progetti di testi della Commissione e del Parlamento.
• Affinché il consenso possa essere dato liberamente come richiesto dal GDPR, l’accesso ai servizi e alle funzionalità non deve essere subordinato al consenso di un utente al trattamento dei dati personali o al trattamento di informazioni relative o elaborate dall’apparecchiatura terminale di utenti finali, il che significa che i cookie wall devono essere esplicitamente vietati.
• L’uso di dati di comunicazione elettronica autenticamente anonimizzati deve essere incoraggiato.
• Le evoluzioni di cui sopra proteggeranno la privacy degli utenti finali in ogni contesto pertinente e prevengono eventuali distorsioni della concorrenza.

Si ricorda che fra le eccezioni esplicitamente proposte, peraltro direttamente dal WP29, rientrano agli aggiornamenti per sicurezza le misurazioni dell’audience.

Statement of the EDPB on the revision of the ePrivacy Regulation