Da tempo si avvertiva il timore che gli imponenti sviluppi tecnologici dell’attuale epoca digitale potessero mettere in discussione l’effettiva tutela della privacy. L’utilizzo sempre più diffuso di dispositivi tecnologici connessi a piattaforme web (come i social network) ha permesso ai colossi del settore di trattare, immagazzinare, gestire e, spesso, trasformare in un vero e proprio business i nostri dati personali. Proprio al fine di assicurare un’effettiva tutela dei dati personali delle persone fisiche, il legislatore europeo è intervenuto dettando una nuova disciplina con il duplice obiettivo di adeguare il contesto normativo ai nuovi rischi connessi alle moderne tecnologie e garantire una regolamentazione uniforme in tutti gli Stati membri. Con lo scopo di operare una rapida ed effettiva armonizzazione delle diverse normative statali, gli organismi europei hanno scelto di intervenire mediante una fonte normativa direttamente applicabile: il Regolamento Europeo 2016/679 (relativo alla protezione dei dati personali e alla libera circolazione dei dati) è, infatti, direttamente applicabile in tutti gli Stati Membri a partire dal 25 maggio 2018. Ne deriva che le nuove disposizioni sono attualmente pienamente vigenti anche nel nostro Stato, ove però, contestualmente, tutt’oggi permane la regolamentazione del Codice della privacy (d.lgs n. 196/2003), purtroppo non ancora “allineato” con le nuove disposizioni europee. In altri termini, attualmente in Italia coesistono due diverse fonti normative in materia di privacy, entrambe cogenti ma non del tutto coordinate.
UN OCCHIO AL RESTO D’EUROPA
A ben guardare, lo Stato italiano avrebbe dovuto già da tempo adeguare la propria normativa al nuovo quadro europeo, abrogando e modificando le disposizioni del Codice della privacy incompatibili con il Regolamento (a tal fine, per altro, le Istituzioni europee avevano esplicitamente previsto il differimento di due anni per l’applicabilità del Regolamento, entrato vigore nel maggio 2016, proprio per consentire agli Stati membri di avere il tempo necessario per adeguare le relative normative interne). Eppure, le Istituzioni italiane si sono mosse con evidente ritardo: solo 
nell’ottobre del 2017 il Parlamento ha delegato al Governo il potere di adottare uno (o più decreti legislativi) e solo nel maggio del 2018 il Governo ha trasmesso alle Camere lo schema del provvedimento, redatto da una Commissione di esperti (ai lavori ha partecipato anche l’Autorità Garante per la Protezione dei Dati Personali). Senza contare che, il 21 maggio 2018, per ovviare alla scadenza della delega, è stata operata una proroga di tre mesi della stessa (che, dunque, scadrà il prossimo agosto). Ad ogni modo, nello scorso mese di giugno si è concluso l’esame del testo da parte della Camera e del Senato ed entrambi i rami del Parlamento hanno approvato le proposte di parere con una vasta serie di osservazioni e condizioni. Tra queste, sono state manifestate perplessità rispetto al quadro sanzionatorio che rischia di esser incompatibile con il nostro ordinamento costituzionale, fra l’altro, nella parte in cui non vengono previsti minimi edittali delle sanzioni amministrative.
LA ACCOUNTABILITY
Inoltre, stante il principio dell’accountability – su cui si basa il nuovo Regolamento ed in virtù del quale ogni singolo soggetto titolare del trattamento ha maggiore discrezionalità nello scegliere le misure più appropriate per la protezione dei dati, purché sia in grado di dimostrare di averle adottate ed eseguite – viene sottolineata la necessità di fornire indicazioni coerenti anche agli organi di controllo. Un ulteriore profilo di perplessità riguarda il regime applicabile alle piccole e medie imprese: l’intero costrutto regolamentare sembra tagliato per essere applicato alle realtà imprenditoriali più consistenti o, in ogni caso, a quelle realtà la cui attività implica un considerevole trattamento di dati particolari (ad esempio quelli concernenti la salute oppure trattati dalle p.a. ecc.).
IN CONCLUSIONE
La nuova normativa rischia, pertanto, di esser davvero troppo invasiva per quelle piccole realtà imprenditoriali che, per altro, poco hanno a che fare con la rivoluzione tecnologica che ha reso necessario l’intervento normativo.Emerge, dunque, la necessità di valutare la possibilità di adottare linee guida di indirizzo riguardanti misure organizzative e tecniche di attuazione dei principi del Regolamento, tenendo conto delle specifiche esigenze di semplificazione per le micro, piccole e medie imprese. Per altro, una simile opportunità è già contemplata nello schema di decreto legislativo ove si prevede che il Garante promuova, per le piccole e medie imprese, modalità semplificate di adempimento degli obblighi del titolare del trattamento dei dati personali. In ogni caso, a dimostrazione del clima di incertezza normativa, nelle ultime osservazioni presentate dal Senato si chiede di valutare la possibilità di stabilire una fase transitoria (non inferiore ad 8 mesi), successiva all’entrata in vigore del decreto legislativo, nel corso della quale il Garante non dovrebbe procedere ad irrogare sanzioni alle imprese disponendo, invece, meri ammonimenti o richiami. Tutto ciò considerato, in attesa che il quadro normativo venga definitivamente chiarito, per evitare di incorrere in sanzioni, le piccole e medie imprese dovrebbero continuare ad adempiere agli obblighi normativi già prescritti dal Codice della privacy .