Il GDPR non chiede solo obbedienza: principi, rischio, responsabilizzazione

Il modello giuridico tradizionale si lascia riassumere in tre parole: precetto, violazione, sanzione.

Il GDPR conserva quel modello – obblighi, termini perentori, sanzioni severe – ma non si esaurisce in esso: in molti dei suoi snodi decisivi non prescrive condotte operative, ma risultati da garantire ed elementi da valutare.
Questo primo capitolo di una esalogia, dedicata al General Data Protection Regulation, lingua della responsabilità coniugata al futuro, analizza la struttura dell’articolo 24 del Regolamento, mostrando perché una normativa fondata su principi e rischio non è una normativa più debole, ma più esigente.

Ecco perché il Regolamento europeo sulla privacy e sulla protezione dei dati personali non ha abolito il diritto dell’obbedienza, ma lo ha reso insufficiente.

Il modello tradizionale: precetto, violazione, sanzione

Per anni chi si è occupato di protezione dei dati ha cercato nella normativa un elenco di cose da fare.
Cercava il comando, costruiva l’adempimento e conservava il documento capace di dimostrare che aveva obbedito.
Questo però è il riflesso condizionato di una lunga tradizione secondo la quale la norma stabilisce un precetto – il destinatario deve fare o non fare qualcosa – e chi viola il precetto subisce una conseguenza, cioè una sanzione.
È il diritto come comando assistito da forza.
La teoria del diritto ha chiarito da tempo che questa rappresentazione coglie una parte del fenomeno giuridico, ma non lo esaurisce.
Herbert Hart, in The Concept of Law, già nel 1961, ha mostrato che un ordinamento non è riducibile a comandi. Accanto alle norme che impongono obblighi esistono norme che attribuiscono poteri, definiscono ruoli, organizzano procedimenti, riconoscono diritti [1].

Norberto Bobbio ha aggiunto che il diritto contemporaneo, accanto alla tradizionale funzione repressiva, svolge sempre più una funzione promozionale: non solo scoraggia i comportamenti indesiderati, ma incoraggia e organizza quelli desiderati [2].
La letteratura sulla regolazione ha infine descritto il passaggio da regole puntuali e prescrittive a una
regolazione per principi, nella quale la norma fissa il risultato e affida al destinatario la costruzione dei
mezzi. 3
Il Regolamento (UE) 2016/679 va letto esattamente su questo crinale.

Ciò che il GDPR conserva del comando

Sarebbe inesatto dire che il GDPR abbia abbandonato il modello precettivo.
Contiene obblighi puntuali, termini perentori e un apparato sanzionatorio tra i più robusti del diritto europeo.
L’articolo 33 impone di notificare all’autorità di controllo le violazioni dei dati personali “senza ingiustificato ritardo e, ove possibile, entro 72 ore” dal momento in cui il titolare ne è venuto a conoscenza.
Gli articoli 13 e 14 elencano con precisione le informazioni da fornire agli interessati.
L’articolo 6 fissa le condizioni tassative di liceità del trattamento.
Quando il Regolamento stabilisce un termine, un divieto o un obbligo determinato, l’unica risposta corretta è rispettarlo: le settantadue ore non si interpretano.
La componente dell’obbedienza, quindi, non è scomparsa e chi la trascura si espone a conseguenze immediate.

La svolta dell’articolo 24 del GDPR

La vera innovazione sta altrove.
In molti dei suoi snodi decisivi il GDPR non dice al destinatario che cosa deve fare in termini operativi: gli dice quale risultato deve assicurare e quali elementi deve valutare per raggiungerlo.
Il manifesto di questo modello è l’articolo 24, paragrafo 1: “Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario”.
Si osservi la struttura della norma. Non c’è un elenco di misure: c’è un metodo.
Il titolare deve considerare quattro coordinate del trattamento (natura, ambito, contesto, finalità) e due dimensioni del rischio (probabilità e gravità); sulla base di questa valutazione deve scegliere misure adeguate; deve poi essere in grado di dimostrare la conformità; e deve riesaminare e aggiornare le misure nel tempo.

La norma non consegna una soluzione preconfezionata, ma impone un processo decisionale.
Lo stesso schema ritorna nell’articolo 32 del GDPR sulla sicurezza, che chiede misure adeguate “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio” e attraversa l’intero impianto del Regolamento, che il considerando 74 sintetizza: le misure devono tenere conto “della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento nonché del rischio per i diritti e le libertà delle persone fisiche”.

Perché il legislatore non poteva fare altrimenti

Ci si può chiedere se questa tecnica normativa sia una rinuncia del legislatore. È vero il contrario: è una necessità, e insieme una scelta di serietà.
Nessuna norma potrebbe elencare le misure di sicurezza adeguate, contemporaneamente, per una banca, un piccolo studio medico, una piattaforma social e un comune di tremila abitanti: qualunque elenco risulterebbe eccessivo per l’uno e insufficiente per l’altro – e comunque obsoleto in pochi anni, data la velocità dell’evoluzione tecnologica.
Una lista chiusa di adempimenti finirebbe per produrre il solito effetto perverso che chi studia la regolazione conosce bene: il rispetto formale della norma che tradisce la sua finalità.

La logica dello spuntare caselle (box‑ticking) prenderebbe il posto della protezione effettiva, trasformando la conformità in un esercizio burocratico invece che in una sicurezza reale.
Il legislatore europeo ha scelto quindi la strada opposta: fissare in modo rigido i principi e i risultati (articolo 5: liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza) e affidare al titolare – che è l’unico a
conoscere davvero il proprio trattamento – la responsabilità di tradurli in scelte organizzative, tecniche e procedurali adeguate al contesto.

Una libertà vincolata

Attenzione, però, a non scambiare questo spazio per libertà.
Il GDPR non concede alcuna libertà rispetto ai principi da rispettare; concede uno spazio di scelta rispetto alle modalità con cui renderli effettivi.
Il titolare non può scegliere se proteggere gli esseri umani e i loro diritti fondamentali attraverso i dati, ma deve scegliere come proteggerli in modo adeguato al trattamento e al rischio.
Il risultato è obbligatorio; il progetto è suo.
Ne discende un cambiamento profondo delle domande che l’organizzazione deve porsi.
Non più soltanto: «quale adempimento devo eseguire?». Ma: quale rischio produce questo trattamento? Quali diritti può compromettere? Quali misure risultano adeguate nel nostro contesto? Come possiamo verificarne l’efficacia? Come possiamo dimostrare la correttezza della decisione?
Sono domande che richiedono competenza, non soltanto disciplina.
Il Regolamento non prescrive soltanto comportamenti: richiede capacità di giudizio.

GDPR, la cifra della normativa si traduce in principi, rischio, responsabilizzazione

Il GDPR non ha abolito il diritto dell’obbedienza: lo ha reso insufficiente.
Conserva i precetti – e pretende che vengano rispettati – ma affida al titolare, attraverso l’architettura dell’articolo 24, un compito che nessun elenco di adempimenti può assolvere: comprendere il proprio trattamento, valutarne i rischi, scegliere le misure, verificarle, dimostrarle.

Questa è la cifra della normativa: principi, rischio, responsabilizzazione.
C’è un modo sorprendente per toccare con mano questa trasformazione: guardare le parole con cui il Regolamento è scritto.
Il testo inglese del GDPR è scandito da un verbo, shall, che ha una storia millenaria e inaspettata: prima di diventare il verbo del dovere giuridico è stato, alla lettera, il verbo del debito – la stessa radice del tedesco Schuld, «debito» e «colpa».
E quella storia passa, sorprendentemente, anche per il nostro «canterò» e per il napoletano aggia ì.

Nel prossimo capitolo partiremo dallo shall dell’articolo 5 e scopriremo perché il titolare del trattamento è, in senso etimologicamente esatto, in debito di protezione verso le persone di cui tratta i dati.

Riferimenti bibliografici

[1] Herbert Lionel Adolphus Hart, The Concept of Law, Oxford University Press, Oxford 1961, in particolare cap. III sulla varietà delle norme giuridiche (trad. it. Il concetto di diritto, Einaudi, Torino 1965). Un’esposizione della teoria hartiana delle norme che conferiscono poteri è liberamente consultabile nella voce Legal Positivism della Stanford Encyclopedia of Philosophy: https://plato.stanford.edu/entries/legal-positivism/.

[2] Norberto Bobbio, Dalla struttura alla funzione. Nuovi studi di teoria del diritto, Edizioni di Comunità, Milano 1977. Un’analisi della nozione bobbiana di funzione promozionale è liberamente consultabile in F. Zini, La funzione promozionale del diritto nella crisi del normativismo kelseniano, in «Società e Diritti», II (2017), 3, pp. 29-41: https://riviste.unimi.it/index.php/SED/article/download/8149/7783.
[3] Julia Black, Principles Based Regulation: Risks, Challenges and Opportunities, London School of Economics and Political Science, 2008, testo integrale liberamente consultabile su LSE Research Online: https://eprints.lse.ac.uk/62814/.