Version classiqueVersion mobile

Società delle tecnologie esponenziali e General Data Protection Regulation: la circolazione internazionale dei dati personali

 | 
Simone Bonavita

L’ambito di applicazione territoriale del regolamento generale per la protezione dei dati personali

Andrea d’Anna

Texte intégral

1In data 25 maggio 2018, il regolamento 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (c.d. regolamento generale sulla protezione dei dati)1 2, di seguito per brevità il “Regolamento” o “GDPR”, ha trovato applicazione3.

2Le organizzazioni degli Stati Membri, entro tale data, avevano l’obbligo di conformarsi ai nuovi obblighi introdotti dal Regolamento. Soltanto le organizzazioni dei Paesi Membri?

3In realtà, anche alcune organizzazioni non situate all’interno di Paesi non membri dell’Unione Europea, hanno dovuto iniziare quel percorso volto alla compliance normativa al GDPR, in quanto destinatarie di alcuni obblighi introdotti dalla normativa.

4A tal riguardo, nei confronti di numerosi Stati asiatici, tra i quali anche la Repubblica Popolare Cinese, il Regno di Thailandia, l’India e tutti quei Paesi che ad oggi non garantiscono adeguati livelli di tutela in merito alla protezione dei dati delle persone fisiche, è stato imposto l’obbligo di uniformarsi ad una normativa estremamente tecnica e dettagliata, quale quella del GDPR, per quanto concerne la data protection, andando così ad integrare testi nazionali, spesso lacunosi.

5Il GDPR adotta infatti una concezione di estensione territoriale più ampia rispetto a quella precedentemente contenuta all’interno dell’articolo 5 del Decreto Legislativo 30 giugno 2003, n. 196, “Codice in materia di protezione dei dati personali”, (c.d. il “vecchio” Codice della privacy)4, nel rispetto del dettato dell’articolo 3 del Regolamento stesso. L’ambito di applicazione territoriale del Regolamento risulta anche più ampio di quanto previsto dalla Direttiva 95/46/CE5 6, nel disposto dell’articolo 4, ad oggi abrogato dal GDPR.

6La normativa che è entrata in vigore in data 25 maggio 2018, appare così in grado di stravolgere non soltanto il panorama Europeo ma anche mondiale, in virtù di un ambito di applicazione esteso anche a quelle organizzazioni e/o persone fisiche, che operano quali titolari del trattamento, collocate anche al di fuori dell’Unione Europea.

Articolo 4 della Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati

“Campo di applicazione”
1. Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi.
2. Le disposizioni della presente direttiva non si applicano ai trattamenti di dati personali;
- effettuati per l'esercizio di attività che non rientrano nel campo di applicazione del diritto comunitario, come quelle previste dai titoli V e VI del trattato sull'Unione europea e comunque ai trattamenti aventi come oggetto la pubblica sicurezza, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato, laddove tali trattamenti siano connessi a questioni di sicurezza dello Stato) e le attività dello Stato in materia di diritto penale;
- effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico.

 

Articolo 5 del Decreto Legislativo 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali, (c.d. “Codice della privacy”)

“Oggetto ed ambito di applicazione”
1. Il presente codice disciplina il trattamento di dati personali, anche detenuti all’estero, effettuato da chiunque è stabilito nel territorio dello Stato o in un luogo comunque soggetto alla sovranità dello Stato.
2. Il presente codice si applica anche al trattamento di dati personali effettuato da chiunque è stabilito nel territorio di un Paese non appartenente all'Unione europea e impiega, per il trattamento, strumenti situati nel territorio dello Stato anche diversi da quelli elettronici, salvo che essi siano utilizzati solo ai fini di transito nel territorio dell'Unione europea. In caso di applicazione del presente codice, il titolare del trattamento designa un proprio rappresentante stabilito nel territorio dello Stato ai fini dell'applicazione della disciplina sul trattamento dei dati personali.

7Entrambe le disposizioni adottano criteri fortemente restrittivi ai fini dell’applicazione estensiva a quei soggetti stabiliti al di fuori dell’Unione Europea, nell’ambito del trattamento dei dati personali. In particolare, la precedente versione del “Codice della privacy” italiano (D. Lgs. 196/2003) si limitava ad impiegare, come criterio, l’utilizzo di strumenti per il trattamento dei dati, indipendentemente dalla natura degli stessi, purché situati all’interno dello Stato membro.

Articolo 3 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (“Regolamento generale sulla protezione dei dati” o “GDPR”)

“Ambito di applicazione territoriale”
Il presente regolamento si applica al trattamento dei dati personali effettuato nell’ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile
del trattamento nell’Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell’Unione. Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell’ Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’Unione, quando le attività di trattamento riguardano:
l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione, indipendentemente dall’ obbligatorietà di un pagamento dell’interessato; oppure
il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione.
Il presente regolamento si applica al trattamento dei dati personali effettuato da un titolare del trattamento che non è stabilito nell’Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico.

  • 7 Cfr. Voigt, P., von dem Bussche, A. (2017) “The EU General Data Protection Regulation (GDPR): A Pr (...)
  • 8 Cfr. Messina, A. C., Bernardi, N. (2017) “Privacy e regolamento europeo”. Milano: Edizione Ipsoa.

8Il Regolamento contempla una serie di ipotesi, ai fini dell’applicazione dello stesso, ben più ampia ma comunque in grado di creare numerosi problemi interpretativi per l’interprete del diritto7 8.

9Le ipotesi delineate dall’articolo 5, possono essere così sintetizzate:

  • Il trattamento dei dati avviene da parte di organizzazioni stabilite all’interno dell’Unione Europea, indipendentemente dal luogo effettivo in cui vengano trattati i dati personali;
  • Il trattamento dei dati avviene nei confronti di interessati residenti nell’Unione Europea quando le attività di trattamento riguardano:
    – l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione, indipendentemente dall’ obbligatorietà di un pagamento dell’interessato;
    – il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione.
  • Il trattamento viene effettuato all’interno di uno Stato non Membro ma soggetto al diritto di un Paese Membro in virtù di norme di diritto internazionale.

10L’applicazione del Regolamento dipende dunque dalla presenza di uno dei due seguenti criteri: il criterio dello stabilimento ed il criterio dell’individuazione.

11Al fine di un’analisi completa del criterio dello stabilimento è opportuno procedere ad affrontare i numerosi problemi interpretativi di cui il criterio è portatore nonché le soluzioni offerte dalla giurisprudenza della Corte di Giustizia dell’Unione Europea in merito.

12Il criterio dello stabilimento prevede che un’azienda, stabilita in un Paese Membro, che elabori dati nel contesto di tale stabilimento, sia soggetta alla giurisdizione del Paese di stabilimento. La nozione di stabilimento è dunque legata al concetto di un’organizzazione stabile che svolga un’attività economica a tempo indeterminato. Il criterio risulta quindi vincolato al luogo di stabilimento del titolare del trattamento o del responsabile del trattamento, tale per cui il titolare del trattamento o il responsabile del trattamento devono essere stabiliti all’interno di un Paese Membro dell’Unione Europea. In questo caso il Regolamento si applica ex officio indipendentemente dal fatto che il trattamento sia effettuato o meno all’interno dell’Unione Europea.

13La giurisprudenza della Corte di Giustizia dell’Unione Europea ha analizzato il criterio dello “Stabilimento”, all’interno di due diverse pronunce, andando a definire il perimetro di applicazione dello stesso.

14Nella Sentenza Google Spain SL (C-131/12)9, la Corte di Giustizia dell’Unione Europea 10 ha operato un’interpretazione estensiva dell’ambito di applicazione territoriale della direttiva 95/46/CE, in particolare dell’art. 4, per assicurare ai dati di cittadini europei, trattati fuori dai confini dell’Unione Europea(11), le medesime garanzie assicurate ai trattamenti dei dati effettuati all’interno dell’Unione. Nello specifico, nell’individuare il luogo al quale collegare l’applicazione della direttiva, la Corte ritiene rilevante non tanto il luogo in cui il trattamento dei dati viene fisicamente effettuato, quanto il luogo in cui la società che opera il trattamento esercita la propria attività, basata sul trattamento. Nel caso di specie la Corte osserva che Google Spain (con sede legale a Madrid) costituisce una filiale di Google Inc. (con sede legale negli Stati Uniti) nel territorio spagnolo e, pertanto, uno “stabilimento” ai sensi della Direttiva. La Corte respinge l’argomento secondo cui il trattamento di dati personali da parte di Google Search non viene effettuato nel contesto delle attività di tale stabilimento in Spagna. La Corte considera al riguardo che, quando i dati vengono trattati per le esigenze di un motore di ricerca gestito da un’impresa che, sebbene situata in uno Stato terzo, dispone di uno stabilimento in uno Stato membro, il trattamento viene effettuato «nel contesto delle attività» di tale stabilimento, qualora quest’ultimo sia destinato ad assicurare, nello Stato membro in questione, la promozione e la vendita degli spazi pubblicitari proposti sul motore di ricerca al fine di rendere redditizio il servizio offerto da quest’ultimo.

  • 12 Il testo integrale, in lingua italiana, della Sentenza della Corte di Giustizia dell’Unione Europe (...)
  • 13 Cfr. Finocchiaro, G. “La giurisprudenza della Corte di Giustizia in materia di dati personali da G (...)
  • 14 Così nel punto 28 delle conclusioni: “Ciò detto, occorre fare riferimento al considerando 19 della (...)

15Nella Sentenza Weltimmo c. NAIH (C-230/14)12 13, la Corte di Giustizia dell’Unione Europea ripropone l’orientamento evidenziato nella Sentenza Google Spain. Pur essendo diverso il contesto in cui si inseriscono le due sentenze (in Google Spain si discuteva sull’applicabilità o meno della Direttiva a quei trattamenti di dati avvenuti fuori dai confini europei, in Weltimmo la controversia ha ad oggetto la determinazione di quale tra due legislazioni di Stati Membri sia applicabile, in base allo Stato in cui il trattamento è avvenuto), in entrambe è centrale l’interpretazione del concetto di “Stabilimento” e di “contesto delle attività”. Anche nella Sentenza Weltimmo, come in Google Spain, la Corte sottolinea come l’articolo 4, paragrafo 1, lettera a), della direttiva 95/46 non esige che il trattamento di dati personali in questione venga effettuato dallo stesso stabilimento interessato, bensì soltanto che venga effettuato nel contesto delle attività di quest’ultimo e quindi che consenta “l’applicazione della legge in materia di protezione dei dati personali di uno Stato membro diverso da quello nel quale il responsabile del trattamento di tali dati è registrato, purché il medesimo svolga, tramite un’organizzazione stabile nel territorio di tale Stato membro, un’attività effettiva e reale, anche minima, nel contesto della quale si svolge tale trattamento”. La Sentenza Weltimmo opera un espresso richiamo alla Sentenza Google Spain, affermando che “l’espressione ‘nel contesto’ delle attività di uno stabilimento non può ricevere un’interpretazione restrittiva” e che “il legislatore dell’Unione ha quindi previsto un ambito di applicazione territoriale della direttiva 95/46 particolarmente esteso, che ha inserito all’articolo 4 della stessa”. Un espresso invito all’interpretazione flessibile della nozione di stabilimento è formulato dall’avvocato generale in Weltimmo14 e ripreso dalla Corte che si pronuncia per «una concezione flessibile della nozione di stabilimento, che si discosta dall’impostazione formalistica secondo cui un’impresa sarebbe stabilita esclusivamente nel luogo in cui è registrata. Infatti, per determinare se una società, responsabile di un trattamento dei dati, dispone di uno stabilimento, ai sensi della direttiva 95/46, in uno Stato membro diverso dallo Stato membro o dal paese terzo in cui è registrata, occorre valutare sia il grado di stabilità dell’organizzazione sia l’esercizio effettivo delle attività in tale altro Stato membro, prendendo in considerazione la natura specifica delle attività economiche e delle prestazioni di servizi in questione. Ciò vale soprattutto per imprese che offrono servizi esclusivamente tramite Internet.

  • 15 Punti 29, 30 e 31 della Sentenza Weltimmo.
  • 16 Punto 34 delle conclusioni dell’avvocato generale nella sentenza Weltimmo.
  • 17 Punto 29. Siffatta concezione della nozione di stabilimento è in linea con l’interpretazione che t (...)
  • 18 Punto 34 delle conclusioni dell’avvocato generale nella sentenza Weltimmo.
  • 19 Nascimbene, B. “La tutela dei dati personali ue a seguito della sentenza schrems”, Eurojus Consult (...)
  • 20 Zeno-Zencovich, V., Resta, G. (2017) “La protezione transnazionale dei dati personali: Dai Safe Ha (...)

16Occorre considerare che la nozione di “stabilimento”, ai sensi della direttiva 95/46, si estende a qualsiasi attività reale ed effettiva, anche minima, esercitata tramite un’organizzazione stabile15. E l’avvocato generale giunge a sostenere che sia sufficiente “un operatore con una presenza duratura, dotato di poco più di un computer portatile”16. Richiama, quindi, le interpretazioni della nozione di stabilimento formulate in altri settori del diritto europeo17 e sottolinea, come già nelle conclusioni dell’avvocato generale nel caso Google, la necessità di valutare la particolarità delle attività economiche esercitate tramite Internet18. Come argomenta l’avvocato generale, questa valutazione è stata già effettuata nella direttiva sul commercio elettronico ove si enuncia al considerando 19 che “(…) il luogo di stabilimento, per le società che forniscono servizi tramite siti Internet, non è là dove si trova la tecnologia di supporto del sito né là dove esso è accessibile, bensì il luogo in cui tali società esercitano la loro attività economica” e tale definizione è stata ritenuta pertinente dal Gruppo articolo 2933 al fine di interpretare l’articolo 4 della direttiva 95/46/CE19, “occorre valutare sia il grado di stabilità dell’organizzazione sia l’esercizio effettivo delle attività in tale altro Stato membro, prendendo in considerazione la natura specifica delle attività economiche e delle prestazioni dei servizi in questione”20.

17La forma giuridica dello stabilimento non è il fattore predominante per decidere sulla giurisdizione.

18In pratica occorre verificare se l’azienda eserciti un’attività reale, se l’attività venga esercitata tramite un’organizzazione stabile e se i dati siano trattati nell’ambito di tale attività.

  • 21 Cfr. Tilli, N., Pollini, M., Maglio, M. (2017) “Manuale di diritto alla protezione dei dati person (...)

19In presenza di tali requisiti l’impresa è soggetta alla giurisdizione dello Stato nel quale esercita tale attività(21). La Corte di Giustizia dell’Unione Europea fornisce indicazioni su una serie di fattori da tenere in considerazione. Deve essere, quindi, valutato il contesto nel quale viene esercitata l’attività. Per un servizio commerciale online, ad esempio, sono fattori cruciali la lingua nella quale è redatto il sito, e l’utenza alla quale si rivolge.

202. Il criterio di individuazione (il luogo in cui si trovano gli interessati dal trattamento): il titolare del trattamento è stabilito al di fuori dell’Unione europea ma le sue attività di trattamento riguardano sia l’offerta di beni o servizi a interessati che si trovano sul territorio dell’Unione, sia il monitoraggio del comportamento di tali interessati se tale comportamento ha luogo all’interno dell’Unione. In quest’ultimo caso di monitoraggio, il legislatore europeo si riferisce in primo luogo al monitoraggio degli utenti. In pratica il Regolamento dovrebbe applicarsi qualora un residente di un Paese Europeo, indipendentemente dalla sua nazionalità, sia direttamente oggetto di un trattamento dei dati.

  • 22 Cfr. Marini, P. (2017) “GDPR: il nuovo regolamento europeo sulla privacy”. Milano: Edizione Ipsoa.

21Nel valutare l’applicabilità del Regolamento, occorrerà sempre tener conto del singolo caso e in particolare dell’intenzione del titolare del trattamento di offrire beni o servizi a persone che si trovano sul territorio dell’Unione oppure di monitorare il comportamento di queste ultime22.

22Pur mantenendo il principio di stabilimento, e quindi con riferimento alla presenza di strumenti elettronici nel territorio dell’Unione, oggi si guarda soprattutto ai soggetti destinatari dei servizi e ai beni offerti dall’azienda (cioè gli interessati) per stabilire l’assoggettamento alla normativa europea. Quindi, anche le società che si trovano al di fuori dell’UE ma che tuttavia elaborano dati personali dei residenti nell’UE nel contesto di attività di profilazione dovranno conformarsi alle norme del Regolamento.

23Il Considerando 2323 del Regolamento, ritiene rilevanti, a tale scopo, fattori quali l’utilizzo di una lingua o di una moneta abitualmente utilizzata in uno o più Stati membri, con la possibilità di ordinare beni e servizi in tale lingua, o la menzione di clienti o utenti che si trovano nell’Unione: “Onde evitare che una persona fisica venga privata della protezione cui ha diritto in base al presente regolamento, è opportuno che questo disciplini il trattamento dei dati personali degli interessati che si trovano nell’Unione effettuato da un titolare del trattamento o da un responsabile del trattamento non stabilito nell’Unione, quando le attività di trattamento sono connesse all’offerta di beni o servizi a detti interessati indipendentemente dal fatto che vi sia un pagamento correlato. Per determinare se tale titolare o responsabile del trattamento stia offrendo beni o servizi agli interessati che si trovano nell’Unione, è opportuno verificare se risulta che il titolare o il responsabile del trattamento intenda fornire servizi agli interessati in uno o più Stati membri dell’Unione. Mentre la semplice accessibilità del sito web del titolare del trattamento, del responsabile del trattamento o di un intermediario nell’Unione, di un indirizzo di posta elettronica o di altre coordinate di contatto o l’impiego di una lingua abitualmente utilizzata nel Paese terzo in cui il titolare del trattamento è stabilito sono insufficienti per accertare tale intenzione, fattori quali l’utilizzo di una lingua o di una moneta abitualmente utilizzata in uno o più Stati membri, con la possibilità di ordinare beni e servizi in tale altra lingua, o la menzione di clienti o utenti che si trovano nell’Unione possono evidenziare l’intenzione del titolare o del responsabile del trattamento di offrire beni o servizi agli interessati nell’Unione”.

24Esempi concreti dell’ambito extraterritoriale di applicazione possono essere delineati per tutte le quelle organizzazioni stabilite all’interno di territori dell’area asiatica che hanno intenzione di implementare il loro business, espandendosi verso i territori dell’Unione Europea, commerciando prodotti tecnologici, quali smart bracelets o altri devices volti al monitoraggio delle attività fitness. Si pensi ad esempio a tutte le imprese, anche di grandi dimensioni, con sede all’interno della Repubblica Popolare Cinese che riproducono una serie di modelli, diversificati nel prezzo e nelle specifiche tecniche, in grado di concorrere con prodotti di brand ben più affermati, costituendo un’alternativa economica, senza essere stabilite all’interno di Paesi Membri, che commerciano tali prodotti all’interno di e-commerce.

25Tali dispositivi, collegati ad un’apposita applicazione installata all’interno dello smartphone dell’acquirente, sono in grado di monitorare gli spostamenti di un individuo tramite l’attivazione della geo localizzazione, nonché in grado di memorizzare tutte le attività giornaliere dell’individuo: dalle ore di sonno trascorse la notte, all’attività fisica compiuta nonché alle abitudini alimentari. Si tratta quindi di dispositivi ed applicazioni in grado, tramite strumenti informatizzati, di trattare dati personali degli interessati su larga scala, e di monitorarne il comportamento.

26Il titolare del trattamento, nel caso di specie, sarebbe la persona giuridica produttrice di tali dispositivi, che, seppur non stabilita all’interno di un Paese Membro dell’Unione Europea (nel caso in esame all’interno della Repubblica Popolare Cinese), dovrebbe comunque sottostare alle disposizioni del nuovo Regolamento, ai sensi dell’articolo 3, comma 2, lettera b), proprio perché il comportamento monitorato di tali individui avviene all’interno dell’Unione Europea.

27Allo stesso modo la sopraccitata persona giuridica non dovrebbe uniformarsi alle disposizioni del Regolamento qualora il comportamento di tali cittadini dell’Unione Europea, avvenga al di fuori di uno Stato membro, dal momento che la società non è stabilità all’interno dell’Unione Europea.

28Qualora invece la società in questione disponga di una controllata stabilita all’interno dell’Unione Europea, che eserciti un’attività comportante il trattamento di dati personali di individui di qualsiasi nazionalità, ovunque si trovino (quindi anche al di fuori dell’Unione Europea), tale società dovrà uniformarsi obbligatoriamente al Regolamento, ai sensi dell’articolo 3, comma 1.

29Il caso sopra trattato di una società stabilita all’interno della Repubblica Popolare Cinese che, senza possedere controllate o sedi stabilite all’interno dell’Unione Europea, commercia dispositivi di fitness tracking è particolarmente interessante in quanto rappresenta un esempio di attività che non rientrerebbe nella disciplina della tutela dei dati personali ai sensi della precedente versione del codice della privacy o della abrogata Direttiva/95/46/CE.

30Muovendo dall’esempio sopra riportato, è opportuno trattare la medesima tematica per quanto riguarda i negozi, di commercio elettronico, che stanno prendendo maggiormente piede all’interno dell’Unione Europea, si pensi ad esempio al servizio di import/export di prodotti, operato dal Gruppo Alibaba24 all’interno degli e-commerce dello stesso: Taobao, Alibaba, Aliexpress, Tmall, 1688 ed anche al più recente acquisto: Lazada25 26.

31Le realtà sopra descritte del Gruppo Alibaba, ponendosi in sfida con Amazon, offrono in vendita una quantità enorme di prodotti e di servizi, ai cittadini dell’Unione Europea, online, a pagamento, rientrando così nel disposto dell’articolo 3 comma a) del Regolamento: “L’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione, indipendentemente dall’’obbligatorietà di un pagamento dell’interessato”.

32L’offerta di beni e di servizi implica infatti un trattamento di dati, nel caso concreto, relativo ai dati degli utenti che accederanno alle piattaforme del Gruppo Alibaba, su larga scala, non indifferente. Tale trattamento di dati avverrà infatti per numerose finalità quali finalità di marketing, finalità promozionali, finalità contrattuali e finalità di profilazione. Il tutto alla luce dell’ingente trasferimento di dati che, stando a quanto affermato all’interno della piattaforma Alibaba, nella privacy policy dell’e-commerce: “(..) Divulgazione di dati personali (..) è possibile che i dati personali siano divulgati e trasferiti (all’interno o meno della giurisdizione della società Alibaba con la quale l’utente contrae l’accordo) a consulenti professionisti, autorità giudiziarie, assicurazioni, governi, enti regolatori e altre organizzazioni”27. Da quanto affermato si desume che i dati personali degli utenti, processati dal Gruppo Alibaba, verranno trasmessi all’interno di un grande numero di paesi del sud-est asiatico, con un conseguente enorme flusso di dati personali degli interessati. Tale trasferimento dovrà avvenire, come anche la fase di raccolta e di conservazione dei dati, nel rispetto del Regolamento ogni qual volta che il soggetto acquirente di tali prodotti e servizi sia un individuo o una persona giuridica residente o stabilita all’interno dell’Unione Europea. L’importanza di comprendere a fondo il disposto dell’articolo 3 del Regolamento è di fondamentale importanza, in quanto, tutti coloro che offriranno prestazioni o servizi, quindi e-commerce, agenzie di viaggio online, anche solo se offrenti servizi di comparazione (aggregatori di offerte turistiche c.d. “Online travel agencies”) nonché tutte le società che offrono servizi di clouding, hosting situate in un paese asiatico (si pensi a tutte le società sud coreane nonché cinesi) dovranno uniformarsi agli obblighi imposti, a partire da tutti quelli a capo del titolare del trattamento, quali la privacy by design, privacy by default, accountability, data portability (etc..) nonché obblighi volti al rispetto del diritto dell’interessato tra cui, in conformità all’articolo 15 del Regolamento, dovranno indicare: le finalità del trattamento; le categorie di dati personali in questione; i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali; quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento; il diritto di proporre reclamo a un’autorità di controllo.

33Un caso ancora più particolare da quello del Gruppo Alibaba è rappresentato dal Gruppo Tencent, sviluppatrice dell’applicazione “Wechat”28. “Wechat” attualmente l’applicazione di messaggistica istantanea più diffusa in Asia, a differenza di Whatsapp (il corrispondente americano ed europeo di Wechat), è in grado servizi ulteriori a quelli della messaggistica istantanea, quali l’acquisto di prodotti online, la sottoscrizione ad eventi nonché il pagamento all’interno di esercizi commerciali. Wechat rappresenta indubbiamente un altro caso che rientra pienamente nel disposto dell’articolo 3 del GDPR in quanto comporta, tanto l’offerta di beni e servizi (l’acquisto e o la vendita di prodotti), quanto il monitoraggio dei comportamenti degli utenti su larga scala.

34L’applicazione del nuovo regolamento comporterà un vero e proprio stravolgimento anche del panorama normativo nazionale dei singoli paesi asiatici, dal momento che le più importanti compagnie nazionali, attualmente offrono beni e servizi all’interno dell’Unione Europea o ne monitorano il comportamento dei cittadini. Dal momento che tali compagnie dovranno uniformarsi agli standard del GDPR, che sono fra i più all’avanguardia al mondo, è plausibile che i governi nazionali e le autorità garanti per la protezione dei dati, delle singole nazioni, dovranno compiere nel breve, passi da gigante, al fine di poter comprendere tutti i risvolti normativi del GDPR ed integrare le normative locali al nuovo modello introdotto dal GDPR.

35Alcune nazioni saranno inoltre meno inclini di altre a volersi uniformare a tali obblighi, si pensi sempre alla Repubblica Popolare Cinese ed al controllo (che spesso si traduce in una censura dei contenuti) operato dal governo nei confronti dei cittadini che risultano essere spesso ben distanti dal poter controllare i propri dati e dal poterne disporre liberamente.
Si preannuncia dunque un periodo di grande innovazione e di grande cambiamento a livello mondiale, per quel che concerne il mondo della data protection.

Bibliographie

[ultimo accesso: 16/12/2018].

Art. 29 Working Party, Opinion 3/2010 on the principle of accountability (2010), WP 173, 57, 16 [Online] Consultabile su https://www.dataprotection.ro/servlet/ViewDocument?id=720 [ultimo accesso: 15/12/2018].

Art. 29 Working Party, Recommendation 1/2007 on the Standard Application for Approval of Binding Corporate Rules for the Transfer of Personal Data (2007), WP 133, 10, nota 12 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp133_en.doc [ultimo accesso: 16/12/2018]

Art. 29 Working Party, The Future of Privacy, Joint contribution to the Consultation of the European Commission on the legal framework for the fundamental right to protection of personal data (2009), WP 168, 38, 12 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2009/wp168_en.pdf [ultimo accesso: 15/12/2018].

Art. 29 Working Party, Working Document Setting Forth a Co-Operation Procedure for the approval of “Binding Corporate Rules” for controllers and processors under the GDPR (2018), WP 263 rev.01, 1.2 [Online] Consultabile su https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623056 [ultimo accesso: 15/12/2018].

Art. 29 Working Party, WP 74 cit., 4.2, 15 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2003/wp74_en.pdf [ultimo accesso: 20/12/2018].

Bolognini, L., Pelino, E. & Bistolfi, C., Il regolamento privacy europeo, commentario alla nuova disciplina sulla protezione dei dati personali (2016), Giuffrè Editore, Milano, 2016, 481-482.

Bot, Y., Conclusioni dell’avvocato generale Yves Bot, Maximilian Schrems contro Data Protection Commissioner, Causa par. 125, 23 settembre 2015 (2015) [Online] Consultabile su http://curia.europa.eu/juris/document/document.jsf?docid=168421&doclang=IT [ultimo accesso: 20/12/2018].

Bradford, A. (2015), The Brussels Effect, 107 Nw. U. L. Rev. 1, 3.

Cadwalladr, C., ‘I made Steve Bannon’s psychological warfare tool’: meet the data war whistleblower (2018), The Guardian [Online] Consultabile su https://www.theguardian.com/news/2018/mar/17/data-war-whistleblower-christopher-wylie-faceook-nix-bannon-trump [ultimo accesso: 20/12/2018].

California Governor Brown, J., California Consumer Privacy Act (2018) [Online] Consultabile su https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=201720180AB375 [ultimo accesso: 27/12/2018]. che, già efficace, diventerà pienamente applicabile a partire dall’1 gennaio 2020.

Commissione Europea, Commission Staff Working Document on the implementation of the Commission decisions on standard contractual clauses for the transfer of personal data to third countries (2001/497/EC and 2002/16/EC) (2006), 7 [Online] Consultabile su http://ec.europa.eu/transparency/regdoc/rep/2/2006/EN/SEC-2006-95-1-EN-MAIN-PART-1.PDF [ultimo accesso: 20/12/2018].

Commissione Europea, Decisione della Commissione del 15 giugno 2001 relativa alle clausole contrattuali tipo per il trasferimento di dati a carattere personale verso Paesi terzi a norma della direttiva 95/46/CE, 2001/497/CE, clausola 3 [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32001D0497&from=IT [ultimo accesso: 16/12/2018].

Commissione Europea, decisione di esecuzione (UE) 2016/1250 della Commissione, del 12 luglio 2016, a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, sull’adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy (2016) [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32016D1250 [ultimo accesso: 20/12/2018].

Commissione Europea, Report on the second annual review of the EU-US Privacy Shield (2018) [Online] Consultabile su https://ec.europa.eu/info/sites/info/files/report_on_the_second_annual_review_of_the_eu-us_privacy_shield_2018.pdf [ultimo accesso: 20/12/2018].

Confessore, N., Cambridge Analytica and Facebook: The Scandal and the Fallout So Far (2018), The New York Times, [Online] Consultabile su https://www.nytimes.com/2018/04/04/us/politics/cambridge-analytica-scandal-fallout.html [ultimo accesso: 20/12/2018]

Garante per la Protezione dei dati Personali, Trasferimento deidati personali verso Paesi Terzi [Online] Consultabile su https://www.garanteprivacy.it/home/provvedimenti-normativa/normativa/normativa-comunitaria-e-intenazionale/trasferimento-dei-dati-verso-paesi-terzi [ultimo accesso: 16/12/2018].

Gellman, B., Poitrais, L., U.S., British intelligence mining data from nine U.S. Internet companies in broad secret program (2013), The Washington Post [Online] Consultabile su https://www.washingtonpost.com/investigations/us-intelligence-mining-data-from-nine-usinternet-companies-in-broad-secret-program/2013/06/06/3a0c0da8-cebf-11e2-8845-d970ccb04497_story.html?utm_term=.c590ac1cfc9b [ultimo accesso: 13/12/2018].

Goldman, E., An Introduction to the California Consumer Privacy Act (CCPA) (2018) [Online] Santa Clara University, 9 luglio 2018, https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3211013 [ultimo accesso: 27/12/2018].

Greenwald, G., McAskill, E., NSA Prism program taps in to user data of Apple, Google and others (2013), The Guardian [Online] Consultabile su https://www.theguardian.com/world/2013/jun/06/us-techgiants-nsa-data [ultimo accesso: 13/12/2018].

Hern, A., Uber fined £385,000 for data breach affecting millions of passengers (2018), The Guardian, [Online] Consultabile su https://www.theguardian.com/technology/2018/nov/27/uber-fined-385000-for-data-breach-affecting-millions-of-passengers-hacked [ultimo accesso: 20/12/2018].

Information Commissioner’s Office, Binding Corporate Rules [Online] Consultabile su https://ico.org.uk/for-organisations/binding-corporate-rules/ [ultimo accesso: 16/12/2018].

Moerel, L., Binding Corporate Rules, Corporate Self-Regulation of Global Data Transfers (2012), Oxford University Press, 19.

Parlamento e Consiglio Europeo, Direttiva 95/46/CE del Parlamento europeo e del Consiglio, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1995) [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:31995L0046&from=IT [ultimo accesso: 14/12/2018].

Parlamento e Consiglio Europeo, Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (2016). Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32016R0679&from=IT [ultimo accesso: 20/12/2018].

Schrems, M., Complaint against Facebook Ireland Ltd (2015), 2 e 3 [Online] Consultabile su http://www.europe-v-facebook.org/comp_fb_ie.pdf [ultimo accesso: 19/12/2018].

The World Bank, World Bank Open Data [Online] Consultabile su https://data.worldbank.org. [ultimo accesso: 27/12/18].

Arnold, P. (1999) Medical division of task in equipe’s work. Sage: London.

Bergman, P.L., & Lupton, T. (1991) The Sociality of otherness. London: Penguin Books.

Berry, W.E., Hong, T.P., & Pau, T.J. (1998) The deny of health’s rights in urban context. Cambridge, MA; London: MIT Press.

Bladen, S. (2001) The semanthic of scientific power. Law, Health, and Rights, 22, 31–56.

Coxingl, A.V. (1987) International rules and fair play. In Freeam J., Kroos, R.E., e Teng C. (ed.) Artificial Law and Rules. New Jersey: Lawrence Erlbaum Associates.

Corell, P. (2009) The introduction to social sciences. Journal of Social Sciences, 46, 3-14.

Custom, R., Levin, K., e Phil, L. (2015) Fairness trade in ICT regulation. e-Commerce Journal, 12, 70-74.

Famigh, A. (2000) The technology of self. Hamphire: Palgrave McMillan.

Istituto Nazionale di Storia e Antropologia [Online] Consultabile su http://www.issa.gov.it/serie12/ [ultimo accesso: 07/05/2014].

Notes

1 Per maggior informazioni sui lavori preparativi al Regolamento, Consultabile su http://europa.eu/rapid/press-release_IP-12-46_en.htm?locale=en [ultimo accesso: 10/09/2018].

2 Il testo integrale, in lingua italiana, della Regolamento 679/2016, Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=uriserv:OJ.L_.2016.119.01.0001.01.ITA [ultimo accesso: 17/03/2018].

3 Cfr. http://www.europarl.europa.eu/news/en/press-room/20160407IPR21776/data-protection-reform-parliament-approves-new-rules-fit-for-the-digital-era.

4 Il testo integrale, in lingua italiana, del “Codice della privacy” Consultabile su http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1311248 [ultimo accesso: 17/03/2018].

5 Cfr. http://eur-lex.europa.eu/summary/IT/URISERV:l14012.

6 Il testo integrale, in lingua italiana, della Direttiva 95/46/CE [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:31995L0046 [ultimo accesso: 17/03/2018].

7 Cfr. Voigt, P., von dem Bussche, A. (2017) “The EU General Data Protection Regulation (GDPR): A Practical Guide”. Berlino.

8 Cfr. Messina, A. C., Bernardi, N. (2017) “Privacy e regolamento europeo”. Milano: Edizione Ipsoa.

9 Il testo integrale, in lingua italiana, della Sentenza della Corte di Giustizia dell’Unione Europea, Causa C-131/12, Google Spain SL, Google Inc. c. Agencia Española de Protección de Datos (AEPD), 14 maggio 2014 [Online] Consultabile su http://curia.europa.eu/juris/document/document.jsf?text=&docid=152065&pageIndex=0&doclang=it&mode=lst&dir=&occ=first&part=1&cid=1009308 [ultimo accesso: 17/03/2018].

10 https://curia.europa.eu/jcms/upload/docs/application/pdf/2014-05/cp140070it.pdf.

11 Cfr. Finocchiaro, G. “La giurisprudenza della Corte di Giustizia in materia di dati personali da Google Spain a Schrems”, consultabile su http://romatrepress.uniroma3.it/ojs/index.php/PTD/article/download/6/6 [ultimo accesso: 20/03/2018].

12 Il testo integrale, in lingua italiana, della Sentenza della Corte di Giustizia dell’Unione Europea, Causa C-230/14, Weltimmo 1 Consultabile su http://curia.europa.eu/juris/document/document.jsf?docid=168944&doclang=IT [ultimo accesso: 17/03/2018].

13 Cfr. Finocchiaro, G. “La giurisprudenza della Corte di Giustizia in materia di dati personali da Google Spain a Schrems” Consultabile su http://romatrepress.uniroma3.it/ojs/index.php/PTD/article/download/6/6, [ultimo accesso: 20/03/2018].

14 Così nel punto 28 delle conclusioni: “Ciò detto, occorre fare riferimento al considerando 19 della direttiva 95/46, che costituisce un elemento di interpretazione fondamentale per determinare il contenuto della nozione di stabilimento ai sensi della medesima direttiva. Detto considerando suggerisce una concezione flessibile della nozione in parola, che si discosta dall’impostazione formalistica secondo cui un’impresa sarebbe stabilita esclusivamente nel luogo in cui è registrata. Infatti, in primo luogo, detto considerando comprende un criterio di effettività e un elemento di stabilità laddove enuncia che “lo stabilimento nel territorio di uno Stato membro implica l’esercizio effettivo e reale dell’attività mediante un’organizzazione stabile […]”. In secondo luogo, esso offre una notevole flessibilità disponendo che ‘la forma giuridica di siffatto stabilimento, si tratti di una semplice succursale o di una filiale dotata di personalità giuridica, non è il fattore determinante a questo riguardo”.

15 Punti 29, 30 e 31 della Sentenza Weltimmo.

16 Punto 34 delle conclusioni dell’avvocato generale nella sentenza Weltimmo.

17 Punto 29. Siffatta concezione della nozione di stabilimento è in linea con l’interpretazione che tale nozione ha ricevuto nella giurisprudenza della Corte in altri settori del diritto dell’Unione. In particolare, secondo costante giurisprudenza, «la nozione di stabilimento di cui alle disposizioni del Trattato relative alla libertà di stabilimento implica l’esercizio effettivo di un’attività economica per una durata di tempo indeterminata, mercé l’insediamento in pianta stabile in un altro Stato membro», il che «presuppone […] un insediamento effettivo della società interessata nello Stato membro ospite e l’esercizio quivi di un’attività economica reale». Punto 30. Inoltre, il parere n. 8/2010 del Gruppo articolo 29 fa riferimento all’interpretazione della nozione di stabilimento in quanto criterio di collegamento ai fini fiscali in materia di IVA. La giurisprudenza della Corte in tale materia risulta particolarmente interessante – giacché la nozione di stabilimento opera come criterio di collegamento per determinare l’assoggettamento a una normativa tributaria nazionale – e approfondisce la nozione di stabile organizzazione, che «[…] dev’essere caratterizzata da un sufficiente grado di permanenza e da una struttura adeguata, in termini di risorse umane e tecniche, che le consentano di ricevere ed utilizzare i servizi fornitile per le specifiche esigenze delle organizzazioni medesime».
Inoltre, la nozione di stabilimento presente sia nell’ambito della Convenzione di Roma che in quello della Convenzione di Bruxelles milita parimenti a favore di una concezione non formalistica.

18 Punto 34 delle conclusioni dell’avvocato generale nella sentenza Weltimmo.

19 Nascimbene, B. “La tutela dei dati personali ue a seguito della sentenza schrems”, Eurojus Consultabile su http://rivista.eurojus.it/la-tutela-dei-dati-personali-ue-a-seguito-della-sentenza-schrems/?print=pdf [ultimo accesso: 10/03/2018].

20 Zeno-Zencovich, V., Resta, G. (2017) “La protezione transnazionale dei dati personali: Dai Safe Harbour Principles al Privacy Shield”, RomaTrE-Press. Roma.

21 Cfr. Tilli, N., Pollini, M., Maglio, M. (2017) “Manuale di diritto alla protezione dei dati personali – La privacy dopo il regolamento UE”. Milano: Maggioli Editore.

22 Cfr. Marini, P. (2017) “GDPR: il nuovo regolamento europeo sulla privacy”. Milano: Edizione Ipsoa.

23 Si veda la pagina disponibile al seguente indirizzo: https://www.cyberlaws.it/2017/considerando-del-gdpr-regolamento-privacy-ue2016679/.

24 Si veda il seguente indirizzo: https://www.marketingweek.com/2017/01/25/alibaba-conquering-europe-different-way/.

25 Si veda il seguente indirizzo: https://www.reuters.com/article/us-alibaba-lazada-funding/alibaba-doubles-lazada-investment-to-4-billion-in-aggressive-southeast-asian-expansion-idUSKBN1GV09W.

26 Si veda il seguente indirizzo: https://www.agi.it/estero/alibaba_alla_conquista_e-commerce_europeo-1011578/news/2016-08-18/.

27 Si veda il seguente indirizzo: https://rule.alibaba.com/rule/detail/4690.htm.

28 Si veda il seguente indirizzo: https://www.tencent.com/en-us/abouttencent.html.

Auteur

Andrea d’Anna è fellow dell’ISLC - Information Society Law Center - dell’Università degli Studi di Milano.

Le texte et les autres éléments (illustrations, fichiers annexes importés) sont sous Licence OpenEdition Books, sauf mention contraire.

Acheter

Volume papier

amazon.fr
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search