L’EDPB si è espresso sull’art. 5 della famosa direttiva ePrivacy il quale stabilisce che “i dati delle comunicazioni elettroniche sono riservati” e che è “vietata qualsiasi interferenza con i dati delle comunicazioni elettroniche, compresi l’ascolto, la captazione, la memorizzazione, il monitoraggio, la scansione o altri tipi di intercettazione, sorveglianza e trattamento dei dati delle comunicazioni elettroniche da parte di chiunque non sia l’utente finale interessato, tranne quando consentito”.
In pratica, viene attribuita una pari dignità normativa alla segretezza delle comunicazioni elettroniche e al divieto di ogni tipo di interferenza.
Analizziamo, seppur brevemente, la questione vedendo anche a che punto siamo con quella che è conosciuta come ePrivacy (privacy anche delle comunicazioni elettroniche).
Indice degli argomenti
EDPB, la dichiarazione dell’attuale Presidente
Il presidente dell’EDPB nell’occasione in parola, ha espressamente dichiarato che: “Non è un segreto che il tracciamento delle attività online degli utenti possa danneggiare gravemente la privacy delle persone” e aggiunge “Le ambiguità relative all’ambito di applicazione dell’ePrivacy e l’emergere di nuove tecniche in aggiunta o in alternativa ai cookie tradizionali ha dato origine a nuovi rischi per la privacy”.
In pratica, l’EDPB non fa mistero di come l’attività di trattamento/tracciamento online ponga in serio pericolo la privacy o meglio la data protection.
EDPB, le linee guida nella corretta interpretazione
L’art. 5 della famosa direttiva sull’ePrivacy tratta della riservatezza delle comunicazioni. Per quanto qui di interesse, tali linee guida (non ancora disponibili se non nella misura del comunicato stampa) trattano di soluzioni (come link e pixel di tracciamento, elaborazione locale e identificatori unici) atte a garantire che i requisiti (tra cui il consenso) non vengano mai disattesi né tanto meno aggirati.
Il testo di legge
All’art. 5 della Direttiva 2002/58/CE del Parlamento europeo e del Consiglio del 12 luglio 2002 relativa circa “il trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche” è normata la “Riservatezza delle comunicazioni” e si legge testualmente che:
- Gli Stati membri assicurano, mediante disposizioni di legge nazionali, la riservatezza delle comunicazioni effettuate tramite la rete pubblica di comunicazione e i servizi di comunicazione elettronica accessibili al pubblico, nonché dei relativi dati sul traffico. In particolare, essi vietano l’ascolto, la captazione, la memorizzazione e altre forme di intercettazione o di sorveglianza delle comunicazioni, e dei relativi dati sul traffico, ad opera di persone diverse dagli utenti, senza consenso di questi ultimi, eccetto quando sia autorizzato legalmente a norma dell’articolo 15, paragrafo 1. Questo paragrafo non impedisce la memorizzazione tecnica necessaria alla trasmissione della comunicazione fatto salvo il principio della riservatezza.
- Il paragrafo 1 non pregiudica la registrazione legalmente autorizzata di comunicazioni e dei relativi dati sul traffico se effettuata nel quadro di legittime prassi commerciali allo scopo di fornire la prova di una transazione o di una qualsiasi altra comunicazione commerciale.
- Gli Stati membri assicurano che l’uso di reti di comunicazione elettronica per archiviare informazioni o per avere accesso a informazioni archiviate nell’apparecchio terminale di un abbonato o di un utente sia consentito unicamente a condizione che l’abbonato o l’utente interessato sia stato informato in modo chiaro e completo, tra l’altro, sugli scopi del trattamento in conformità della direttiva 95/46/CE e che gli sia offerta la possibilità di rifiutare tale trattamento da parte del responsabile del trattamento. Ciò non impedisce l’eventuale memorizzazione tecnica o l’accesso al solo fine di effettuare o facilitare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria a fornire un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente.
Per completezza, riportiamo anche il Considerando 3 che tratta già di riservatezza delle comunicazioni, a mente del quale essa dovrebbe (in quanto Considerando) essere “… garantita conformemente agli strumenti internazionali relativi ai diritti dell’uomo, in particolare alla convenzione europea per la protezione dei diritti dell’uomo e delle libertà fondamentali e alle costituzioni degli Stati membri”.
Il percorso argomentativo: ambito e contesto
Il ragionamento adottato dal Board, per quanto ci è dato ora sapere come da comunicato stampa, intende chiarire bene l’ambito di applicazione del tema in questione, analizzando le nozioni chiave quali: “informazioni”, “apparecchiature terminali di un abbonato o di un utente”, “reti di comunicazione elettronica”, “accesso” e “informazioni memorizzate/stoccaggio”.
Non solo, le Linee guida come di consueto intendono altresì fornire una serie di “casi pratici” per farci comprendere meglio le “tecniche di tracciamento” comuni.
Non è proprio un caso che l’EDPB intervenga su un tema del genere il quale, riflettendoci un po’ su, è connesso a tematiche calde come quelle dei cookie, tipico esempio di una tecnica di tracciamento. Ma non solo. Pensiamo anche alle tecniche di frontiera come quelle di tracking degli “Over The Top” – OTT, vale a dire tutte quelle media company che offrono servizi e contenuti web, bypassando sistemi di distribuzione tradizionali, come il digitale terrestre/satellitare per la TV. In pratica, sul modello Netflix.
Dal punto di vista del campo applicativo, queste Linee guida riguardano solo l’ambito di applicazione e non affrontano altro, come ad esempio il modo con cui viene raccolto il consenso dove occorre e dove no.
L’iter di approvazione
Le Linee guida in parola sono, come di consueto, sottoposte ora alla consultazione pubblica e lo saranno per sei (6) settimane, trascorse le quali giungeranno ad una versione che si potrà ritenere definitiva e quindi poi adottata.
EDPB, le linee guida in sintesi: struttura e punti chiave
L’EDPB nelle linee guida 2/2023 in ispecie affronta l’applicabilità dell’articolo 5, al paragrafo 3, della direttiva ePrivacy in ordine a diverse soluzioni tecniche, ampliando il parere 9/2014 del Working Party – WP ex art 29 sull’applicazione della direttiva ePrivacy, affermando che “mirano a fornire una chiara comprensione delle operazioni tecniche” coperte dalla norma in questione.
Sintesi
Riportiamo alcuni estratti che riteniamo interessanti per i fini che ci occupano. Anzitutto “L’emergere di nuovi metodi di tracciamento sia per sostituire gli strumenti di tracciamento esistenti (ad esempio, i cookie, a causa dell’interruzione del supporto per i cookie di terze parti) sia per creare nuovi modelli di business è diventata una preoccupazione fondamentale per la protezione dei dati.
Sebbene l’applicabilità dell’articolo 5, paragrafo 3, della direttiva e-Privacy sia ben consolidata e implementata per alcune tecnologie di tracciamento come i cookie, è necessario rimuovere le ambiguità relative all’applicazione di tale disposizione agli strumenti di tracciamento emergenti”.
In altri termini, il Board dice di potenziare la privacy/data protection.
Struttura e punti chiave
Queste linee guida come tutte le altre d’altronde, sono ben strutturate in: introduzione, analisi, elementi chiave, nozioni/definizioni e casi d’uso.
Poi individuano quattro punti cardine per l’applicabilità di questi aspetti, e in particolare:
- “informazioni”;
- “apparecchiatura terminale di un abbonato o utente”;
- “accesso”;
- “informazioni archiviate e archiviate”.
Elementi di cui le linee guida forniscono un’analisi dettagliata (alla sezione 2.2-2.6) alla quale si rinvia, per completezza.
Casistica per elenco
Nella sezione 3, poi, troviamo un elenco non esaustivo di casi d’uso che rappresentano tecniche di tracciamento comuni quali:
- monitoraggio URL e pixel;
- elaborazione locale;
- monitoraggio basato solo sull’IP;
- reporting intermittente e mediato dell’Internet of Things (IoT);
- identificativo unico.
Per ulteriori dettagli, si suggerisce e rinvia alla lettura integrale delle linee guida 2/2023.
A che punto siamo con la regolamentazione dell’ePrivacy
L’analisi di primo acchito appena compiuta, ci porta inesorabilmente a fare delle considerazioni più ampie ma concise, chiedendoci a che punto siamo con la regolamentazione dell’ePrivacy.
Nel marzo del 2022 si vociferava che la versione finale del Regolamento su ePrivacy sarebbe entrata in vigore nel 2023 per diventare pienamente applicabile due anni dopo nel 2025. Siamo oggi quasi alla fine del 2023 e nessun testo di legge è approdato in Gazzetta Ufficiale europea per la sua pubblicazione ufficiale.
Nel frattempo, abbiamo visto l’incedere di considerazioni varie sul tema: prima tra tutte l’annosa querelle sulla scelta dello strumento legislativo se direttiva (richiedendo poi, come noto, al singolo Stato membro il recepimento con una legge/D.lgs.) o regolamento self-executing (direttamente applicabile).
Ebbene, ad oggi sul punto brancoliamo ancora nel buio. Anzi, secondo i più, l’approvazione del Regolamento di cui rammentiamo al momento c’è ancora solo una proposta, si allontana sempre di più, volendo fare (ancora) leva sulla Direttiva.
Conclusioni
Per quanto siano passati due anni da quando, nel 2021 il Consiglio UE aveva approvato la revisione delle norme in questione, ad oggi, due anni dopo (2023), la svolta non c’è (ancora) stata.
Ciononostante, un dato è certo: occorre più che mai garantire la massima riservatezza delle comunicazioni elettroniche di modo da rafforzare la sicurezza nel mondo digitale e quindi accrescere la fiducia degli utenti.
