cinque falsi miti da sfatare

Poche normative europee hanno suscitato, negli ultimi anni, un dibattito tanto acceso quanto il Regolamento (UE) 2016/679. Per alcuni il GDPR rappresenta uno dei più importanti strumenti di tutela dei diritti fondamentali nell’era digitale; per altri costituisce un freno all’innovazione, un insieme di obblighi burocratici che rallentano le imprese europee e le pongono in una posizione di svantaggio competitivo rispetto ai grandi operatori internazionali.
Il dibattito si è ulteriormente intensificato con la diffusione dell’intelligenza artificiale generativa. Sempre più spesso il GDPR viene indicato come una disciplina ormai superata, incapace di confrontarsi con le nuove tecnologie o addirittura come una delle cause del presunto ritardo europeo nello sviluppo dell’AI.
Ma è davvero così?
Una parte significativa delle critiche rivolte al GDPR nasce, probabilmente, da una conoscenza soltanto parziale del Regolamento o dalla tendenza a identificare la protezione dei dati personali con una serie di adempimenti documentali. In realtà molte delle convinzioni che circolano nel dibattito pubblico trovano scarso riscontro nel testo della normativa e nella sua concreta applicazione.
Vale quindi la pena soffermarsi su alcuni dei luoghi comuni che, ancora oggi, continuano ad accompagnare il GDPR. In materia, abbiamo pubblicato la seconda edizione del Manuale operativo del D.P.O. – Aggiornato a Regolamento AI Act, Legge AI e Direttiva NIS2, disponibile su Shop Maggioli e su Amazon.

1. Il GDPR impedisce di innovare

È probabilmente l’obiezione più ricorrente.
Secondo questa impostazione, la tutela dei dati personali costituirebbe un ostacolo inevitabile allo sviluppo delle nuove tecnologie. Ogni nuovo progetto digitale dovrebbe fare i conti con informative, valutazioni d’impatto, registri dei trattamenti e una molteplicità di obblighi che rallenterebbero il processo di innovazione.
Una simile ricostruzione, tuttavia, attribuisce al GDPR un obiettivo che il legislatore europeo non gli ha mai assegnato.
Il Regolamento non vieta l’innovazione, né privilegia una determinata tecnologia rispetto a un’altra. Al contrario, è costruito secondo il principio della neutralità tecnologica: non disciplina singoli strumenti, ma stabilisce principi destinati ad applicarsi indipendentemente dall’evoluzione tecnologica.
L’articolo 25, dedicato alla protezione dei dati fin dalla progettazione e per impostazione predefinita (privacy by design e by default), esprime con particolare chiarezza questa filosofia. Il legislatore non chiede di fermare l’innovazione per valutare successivamente come renderla conforme al GDPR. Chiede, piuttosto, di progettare l’innovazione tenendo conto, sin dall’origine, della tutela dei diritti delle persone.
La differenza non è soltanto terminologica.
Nel primo caso il diritto interviene come limite esterno allo sviluppo tecnologico. Nel secondo diventa uno degli elementi della progettazione, al pari della sicurezza, della sostenibilità economica o dell’esperienza dell’utente. In materia, abbiamo pubblicato la seconda edizione del Manuale operativo del D.P.O. – Aggiornato a Regolamento AI Act, Legge AI e Direttiva NIS2, disponibile su Shop Maggioli e su Amazon.

2. Con il GDPR bisogna sempre chiedere il consenso

Anche questo rappresenta uno degli equivoci più diffusi.
Il consenso costituisce soltanto una delle sei basi giuridiche previste dall’articolo 6 del Regolamento. Accanto ad esso trovano spazio, tra le altre, l’esecuzione di un contratto, l’adempimento di un obbligo legale, l’esecuzione di un compito di interesse pubblico e il legittimo interesse del titolare o di un terzo.
La scelta della base giuridica non dipende dalla preferenza del titolare né dal desiderio di adottare la soluzione apparentemente più prudente. Dipende dalla natura e dalle finalità del trattamento.
Chiedere il consenso quando il trattamento trova il proprio fondamento in una diversa base giuridica non rappresenta una forma di maggiore tutela dell’interessato. Al contrario, significa applicare il GDPR in modo non corretto, alterando l’equilibrio che il legislatore ha costruito tra i diversi presupposti di liceità.

3. Il GDPR è soltanto burocrazia

Registri dei trattamenti, informative, valutazioni d’impatto, procedure per la gestione dei data breach, analisi del legittimo interesse.
Ad una prima lettura il GDPR può apparire come una successione di documenti da predisporre e conservare.
In realtà questi strumenti hanno una funzione ben diversa.
Il registro dei trattamenti obbliga l’organizzazione a conoscere i flussi informativi che la attraversano. La DPIA impone di valutare preventivamente i rischi derivanti da determinati trattamenti. La documentazione relativa ai data breach consente di ricostruire il processo decisionale seguito dal titolare. La Legitimate Interest Assessment rende trasparente il ragionamento che ha condotto alla scelta della base giuridica.
Il filo conduttore di tutti questi strumenti è il principio di accountability.
Il GDPR, infatti, non chiede semplicemente di rispettare una serie di prescrizioni. Chiede alle organizzazioni di conoscere i propri trattamenti, di valutarne i rischi, di motivare le decisioni adottate e di essere in grado di dimostrarne la correttezza.
In altre parole, il Regolamento non pretende la produzione di documenti fini a sé stessi. Pretende che quei documenti siano il risultato di un’attività di analisi, valutazione e governo del rischio.

4. Il GDPR vieta l’intelligenza artificiale

L’affermazione è diventata particolarmente frequente negli ultimi due anni.
L’impressione nasce, probabilmente, dal fatto che il GDPR è stato approvato molti anni prima della diffusione dell’intelligenza artificiale generativa. Da ciò si conclude, talvolta, che il Regolamento sarebbe ormai inadeguato rispetto alle nuove tecnologie.
Anche questa ricostruzione appare eccessivamente semplicistica.
È vero che il GDPR non disciplina espressamente i modelli linguistici di grandi dimensioni, i sistemi generativi o gli agenti intelligenti. Sarebbe stato impossibile, nel 2016, prevederne l’evoluzione.
Ciò non significa, tuttavia, che il Regolamento sia privo di strumenti per affrontare queste nuove sfide.
I principi di liceità, correttezza, trasparenza, minimizzazione, limitazione delle finalità, esattezza dei dati, accountability e privacy by design continuano a rappresentare criteri fondamentali anche nello sviluppo e nell’utilizzo dei sistemi di intelligenza artificiale.
Non a caso l’AI Act non sostituisce il GDPR né ne riduce l’ambito di applicazione. Le due discipline operano su piani diversi e complementari. Il GDPR continua a regolare il trattamento dei dati personali; l’AI Act introduce una disciplina specifica per i rischi derivanti dai sistemi di intelligenza artificiale.

5. Solo l’Europa si preoccupa della privacy

Un’ultima convinzione merita di essere ridimensionata.
Spesso si sostiene che l’Europa rappresenti un’eccezione nel panorama mondiale e che il resto del mondo privilegi una completa libertà di utilizzo dei dati personali.
Anche questa affermazione non corrisponde pienamente alla realtà.
Negli ultimi anni numerosi ordinamenti hanno adottato discipline organiche in materia di protezione dei dati personali o hanno profondamente rafforzato quelle esistenti. Basti pensare alla Lei Geral de Proteção de Dados (LGPD) brasiliana, al Personal Information Protection Law (PIPL) cinese, alle numerose normative statali adottate negli Stati Uniti, al Digital Personal Data Protection Act indiano o alle discipline già consolidate di Canada, Giappone e Corea del Sud.
Naturalmente le soluzioni normative non sono identiche e riflettono tradizioni giuridiche profondamente differenti. Ciò che accomuna questi ordinamenti è, tuttavia, la crescente consapevolezza che la protezione dei dati personali costituisca ormai una componente essenziale dell’economia digitale.
Il dibattito, dunque, non riguarda più l’opportunità di disciplinare il trattamento dei dati, ma le modalità attraverso le quali tale disciplina debba essere costruita.

6. Conclusioni

A oltre otto anni dalla sua piena applicazione, il GDPR continua probabilmente a essere una delle normative europee più discusse e, allo stesso tempo, una delle più fraintese. Molte delle critiche che gli vengono rivolte non riguardano tanto il suo contenuto, quanto l’idea, ancora molto diffusa, che la protezione dei dati personali coincida con un insieme di ostacoli burocratici destinati inevitabilmente a rallentare l’innovazione.
Una lettura più attenta del Regolamento restituisce un’immagine diversa.
Il GDPR non pretende di sostituirsi alle scelte tecnologiche delle imprese, né di stabilire quali innovazioni meritino di essere sviluppate. Chiede qualcosa di differente e, forse, più ambizioso: che l’innovazione venga progettata tenendo conto, sin dall’origine, dei diritti e delle libertà delle persone che ne subiranno gli effetti.
È un cambio di prospettiva che caratterizza sempre più spesso anche le più recenti iniziative legislative europee. Dall’AI Act alla Direttiva NIS2, fino al Data Act e al Data Governance Act, emerge una medesima impostazione di fondo: la competitività e la tutela dei diritti non vengono considerate obiettivi alternativi, ma elementi destinati a rafforzarsi reciprocamente quando la regolazione riesce a trovare un equilibrio tra innovazione, sicurezza e fiducia.
In fondo, ogni grande rivoluzione tecnologica pone al diritto la stessa domanda: non soltanto che cosa sia tecnicamente possibile fare, ma a quali condizioni sia giuridicamente e socialmente opportuno farlo. Il GDPR prova a rispondere proprio a questa domanda. Non impedisce l’innovazione; cerca di orientarla verso un modello nel quale lo sviluppo tecnologico e la tutela della persona non siano percepiti come interessi contrapposti, ma come due componenti essenziali della medesima trasformazione digitale.
Ed è forse questa la sua eredità più importante. Aver spostato il dibattito dalla semplice possibilità di utilizzare i dati alla responsabilità di farlo in modo lecito, trasparente e rispettoso dei diritti fondamentali. Perché la vera innovazione non è quella che riesce ad aggirare le regole, ma quella che è capace di incorporarle nella propria progettazione, trasformando la tutela dei diritti da vincolo esterno a fattore di qualità, fiducia e sviluppo sostenibile.

Ti interessano questi contenuti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!