Lunedì 18 luglio il Governo del Regno Unito ha presentato una serie di iniziative post Brexit per promuovere un uso più responsabile dei dati personali e incoraggiare l’economia e l’innovazione: il Data Protection and Digital Information Bill (“Bill 143”), presentato alla Camera dei Comuni, e una serie di proposte per regolamentare l’uso dell’Intelligenza Artificiale, l’AI Regulation Policy Paper.
Queste iniziative, se confermate, permetteranno al Regno Unito di mantenere la decisione di adeguatezza emessa dalla Commissione Europea il 28 giugno 2021?
Indice degli argomenti
Il Data Protection and Digital Information Bill
Il Data Protection and Digital Information Bill è il prodotto di un’importante consultazione pubblica che il Regno Unito ha avviato a settembre 2021, Data: A new Direction, e conclusasi nel mese di novembre dello stesso anno, con l’obiettivo di raccogliere commenti e suggerimenti per rafforzare e contribuire alla riforma dell’attuale regime di protezione dei dati in vigore nel paese, costituito dal Regolamento Generale sulla Protezione dei Dati del Regno Unito (UK GDPR), dal Regolamento sulla Privacy e sulle Comunicazioni Elettroniche (the Privacy and Electronic Communications Regulations – PECR) e dal Data Protection Act 2018 (DPA).
La definizione di “dato personale”
Il disegno di legge prova ad affinare e specializzare il concetto di “dato personale”, in particolare per quanto riguarda l’ “individuo vivente identificabile” e il concetto di “dato anonimo”.
La Clausola 1 del disegno di legge, infatti, propone che le informazioni trattate siano dati personali relativi a un individuo vivente identificabile solo:
- quando sono identificabili dal titolare del trattamento o responsabile del trattamento con “mezzi ragionevoli” al momento del trattamento, o
- se il titolare del trattamento o il responsabile del trattamento sa, o dovrebbe ragionevolmente sapere, che un’altra persona otterrà, o è probabile che ottenga le informazioni come risultato del trattamento e la persona fisica sarà, o è probabile che sia, identificabile con mezzi ragionevoli al momento del trattamento.
A parte la scarsa chiarezza del testo, assai contorto, va evidenziato che la definizione introdotta dalla clausola non si occupa di valutare l’identificabilità, diretta o indiretta, nè di specificare cosa significhi il termine “mezzi ragionevoli”.
Negli ultimi anni ci sono stati diverse cause giudiziare in cui si è dibattuto sul significato di “dato personale” e “identificabilità”. Il noto caso Durant del 2003 (EWCA Civ 1746) è controverso ancora oggi e ha rischiato di mettere il Regno Unito a rischio di procedimenti di infrazione da parte della Commissione Europea.
Secondo l’analisi dell’International Association Privacy Professional (IAPP), il disegno di legge conferma la definizione di dato personale già presente nel GDPR europeo, riducendo l’incertezza per quanto riguarda la definizione di dato anonimo, sebbene il vantaggio dell’affidarsi alla definizione contenuta nel disegno di legge del Regno Unito sembri comportare vantaggi marginali.
Altri esperti, invece, hanno manifestato dubbi sulla piena compatibilità della definizione.
Un diverso concetto di accountability
Secondo il governo britannico, l’accountability introdotta dal GDPR europeo è troppo onerosa per le imprese. Il disegno di legge introduce un regime di accountability semplificato, basato sull’introduzione di un Privacy Management Programme, che le imprese e organizzazioni dovrebbero mettere in atto per estrinsecare le proprie responsabilità e gestire i rischi derivanti dal trattamento di dati personali.
Il Data Protection Officer (DPO) o Responsabile della Protezione dei Dati, viene sostituito dal Senior Responsible Individual, a patto che l’organizzazione sia in grado di dimostrare di poter gestire autonomamente i rischi derivanti dall’utilizzo dei dati personali.
Da un certo punto di vista il DPO rappresenta una figura controversa fin dalla sua introduzione: voluta dal legislatore europeo (GDPR Sezione V), è percepita in molti casi come un “obbligo” e un “costo” più che come “opportunità”.
Eppure, proprio in particolari contesti, dove spesso non è possibile o è più difficile disporre di certe competenze, tale figura si può rivelare essenziale.
Se a ciò aggiungiamo la complessità del quadro normativo europeo ed extra-europeo in continua evoluzione, è proprio in tali contesti che il DPO può rivelarsi efficace: tra i suoi compiti (GDPR Art. 39) non vi è solo la funzione di “sorveglianza dell’osservanza del regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati” (GDPR Art. 39-b), ma anche quella “informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento e ai loro dipendenti” (GDPR Art. 39-a), di “fornire, se richiesto, un parere in merito alla valutazione d’impatto” (GDPR Art. 39-c), di “cooperare con l’Autorità di Controllo” (GDPR Art. 39-d) e “fungere da punto di contatto” (GDPR Art. 39-e).
Inoltre, la figura del Senior Responsible Individual, che potrà essere parte dell’alta dirigenza dell’azienda, sembra in contrasto con l’attuale requisito del GDPR, che richiede che la simile figura del DPO sia (si veda il Considerando 97) indipendente e in una posizione tale da non dare “adito a un conflitto di interessi” (Art. 38-6).
Secondo quanto dichiarato dal Dipartimento per il Digitale, la Cultura, i Media e lo Sport, “il disegno di legge offrirà i vantaggi della Brexit per mantenere uno standard elevato di protezione della privacy e dei dati personali delle persone, offrendo contemporaneamente circa un miliardo di sterline di risparmio per le imprese”.
Va evidenziato però che, ancora una volta, non vi è traccia nel disegno di legge proposto dal Regno Unito, analogamente al GDPR, di modalità di accertamento delle competenze di questa figura, aspetto che invece aiuterebbe a creare professionisti in grado di affrontare le sfide attuali e future nell’ambito della protezione dei dati.
Trasferimento di dati personali verso paesi terzi
Non poteva poi non trovare posto nel disegno di legge una sezione relativa al trasferimento dei dati verso paesi terzi, soprattutto dopo la Brexit e la relativa uscita dall’Europa del Regno Unito. Come ribadito nel disegno di legge, Il Regno Unito si impegna a mantenere elevati standard di protezione dei dati e ad agevolare il libero flusso di tali dati personali tra paesi che adottano lo stesso approccio in termini di data protection.
L’ambizione del disegno di legge, come affermato dallo stesso Ministro Warman è quello di consentire al Regno Unito “di istituire partnership con alcune delle economie in più rapida crescita del mondo” e “assicurare che i meccanismi per trasferire i dati personali a livello internazionale siano sicuri e flessibili per aiutare le imprese britanniche a crescere”.
L’allegato 5 introduce una serie di modifiche che permetteranno alle aziende di adottare un approccio basato sul rischio per valutare l’impatto del trasferimento di dati personali verso i paesi terzi.
Questo però potrebbe rivelarsi un ulteriore elemento di conflitto con l’Unione Europea, in quanto diverse Autorità di Protezione dei Dati si sono già pronunciate affermando che le disposizioni del GDPR europeo per i trasferimenti di dati personali verso paesi terzi non consentono un approccio basato sul rischio.
In parte, tutto ciò potrebbe essere mitigato dal fatto che il disegno di legge prevede che, a valle della valutazione, il Segretario di Stato possa approvare il trasferimento o eventualmente limitarlo.
Automated decision-making
Uno degli aspetti su cui il governo inglese sta concentrando i propri sforzi, è l’utilizzo dei sistemi di Intelligenza Artificiale (AI).
In risposta alla consultazione pubblica Data: A new Direction, il Governo ha confermato di stare valutando la possibilità di modificare le norme esistenti in relazione ai processi decisionali automatizzati e alla profilazione degli individui ai sensi delle legge inglese sulla protezione dei dati, ma che intende allineare le proposte alle misure che saranno presenti in un prossimo white paper sulla governance dell’AI, previsto a fine anno.
Per questo, nello stesso giorno in cui è stato pubblicato il disegno di legge, è stato pubblicato anche l’AI Regulation Policy Paper, un documento che delinea l’approccio proposto per la regolamentazione dell’uso dell’IA nel Regno Unito.
Tale insieme di regole va nella direzione di supportare la UK National AI Strategy che ha come obiettivo di trasformare il Regno Unito in una potenza globale nell’utilizzo dell’AI e consolidare la sua posizione di leader in questo settore. All’interno del paper, vengono individuati sei differenti principi:
- assicurarsi che l’AI sia utilizzata in modo sicuro: se la sicurezza sarà sempre un elemento fondamentale, sarà però altrettanto importante che tutte le Autorità di Regolamentazione adottino un approccio comune di valutazioni degli algoritmi AI basato sul rischio, nonché le rispettive misure idonee a gestire tale rischio;
- assicurarsi che l’AI sia tecnicamente sicura e funzioni così come è stata progettata: è fondamentale che l’utilizzo dell’ AI sia percepito positivamente dai consumatori, il suo utilizzo sia tecnicamente sicuro, le funzionalità, la resilienza e la sicurezza dei sistemi che fanno uso di AI siano testate e dimostrate, e i dati utilizzati per addestrare gli algoritmi di AI siano pertinenti, rappresentativi del campione che si vuole utilizzare e contestualizzati;
- assicurarsi che l’AI sia usata in maniera trasparente e facilmente comprensibile: attualmente la logica e i processi decisionali alla base degli algoritmi di AI non sono spesso facilmente individuabili e comprensibili. Gli interessati devono poter comprendere come tali algoritmi siano utilizzati, e le Autorità di Regolamentazione, in particolare quando il rischio risulti elevato, devono poter bandire l’utilizzo degli algoritmi di AI proprio a tutela degli interessati;
- definire le condizioni di liceità: le Autorità di Regolamentazione dei vari settori dovranno poter essere in grado di definire e valutare la liceità di tali trattamenti tramite algoritmi AI anche facendo rispettare determinati requisiti di governance;
- definire la persona giuridica responsabile per la governance dell’AI: i sistemi di AI sono in grado di mettere in campo un elevato livello di autonomia, prendendo decisioni su come raggiungere un determinato obiettivo, a volte senza nemmeno che tale obiettivo sia stato originariamente previsto. E’ importante, quindi, identificare la responsabilità dei risultati prodotti.
- chiarire la contestabilità dei risultati prodotti attraverso l’AI: deve essere sempre possibile per un individuo poter contestare la correttezza o la validità di un risultato prodotto attraverso l’utilizzo di AI e le Autorità di Regolamentazione dovranno essere in grado di garantire l’esercizio del diritto di contestabilità di tali risultati da parte degli individui.
Nel disegno di legge, viene proposto di riformulare le disposizioni esistenti in materia di processo decisionale automatizzato, trasformandolo in un “diritto all’intervento umano” che però si applicherebbe solo nel caso di decisioni “significative”, piuttosto che solo alle decisioni che producono effetti giuridici o similari, estendendo in questo caso il diritto attualmente in vigore nel GDPR.
Damians Collins, Presidente della Commissione della Camera dei Comuni per il Digitale, la Cultura, i Media e lo Sport, ha dichiarato: “È fondamentale che le nostre regole offrano chiarezza alle imprese, fiducia agli investitori e al pubblico. Il nostro approccio flessibile ci aiuterà a plasmare il futuro dell’AI e consoliderà la nostra posizione come superpotenza scientifica e tecnologica”.
Accesso ai dati di business
Il disegno di legge attribuirebbe al Segretario di Stato il potere di emanare regolamenti che impongono ai data holders di mettere a disposizione i “dati dei clienti” e “dati aziendali” ai clienti o terze parti, nonché regolamenti che richiedono determinati trattamenti, come la raccolta e la conservazione di tali dati.
Ciò potrebbe costituire una base per emettere obblighi di condivisione dei dati simili a quelli imposti ai “gatekeeper” ai sensi del Digital Market Act europeo, che permetterà agli utenti delle principali piattaforme online i diritti di ottenere determinati dati detenuti dai gatekeeper. Rimane però poco chiaro cosa si intenda per “dati aziendali”, che verrebbero definiti come “informazioni su beni, servizi e contenuti digitali forniti” e “informazioni relative alla fornitura di beni, servizi e contenuti digitali”.
Cookies e altri strumenti di tracciamento
La legge attualmente in vigore nel Regno Unito vieta la memorizzazione e l’accesso alle informazioni sui computer degli utenti a meno che tali utenti non abbiano dato il loro consenso dopo essere stati correttamente informati riguardo alle finalità del trattamento.
Esiste una deroga all’obbligo del consenso laddove il cookie sia “strettamente necessario” per l’erogazione di un servizio esplicitamente richiesto dall’utente.
Le disposizioni contenute nel disegno di legge tendono ad ampliare la deroga e le situazioni in cui le tecnologie di tracciamento possono essere utilizzate senza il consenso dell’utente. Il consenso non sarebbe necessario, ad esempio, laddove le tecnologie siano utilizzate per raccogliere informazioni a fini statistici al fine di apportare miglioramenti al servizio fornito, per consentire miglioramenti all’aspetto o alla funzionalità del servizio sul dispositivo dell’utente, o per abilitare aggiornamenti software. Tuttavia, l’utente dovrebbe comunque avere la possibilità di opporsi o rinunciare al trattamento, in ciascuno di questi casi.
Inoltre, il disegno di legge afferma che le regole applicabili alle tecnologie di tracciamento riguarderanno anche tecnologie che non accedono direttamente alle informazioni memorizzate sul dispositivo dell’utente, ma che identificano un dispositivo analizzando le informazioni che il dispositivo trasmette automaticamente, come ad esempio l’impronta digitale del dispositivo, a volte non così esplicitamente menzionata dalle norme in vigore, sebbene l’European Data Protection Board (EDPB) abbia già avuto modo di evidenziare come anche questa tipologia di tracciamento ricada nell’ambito di applicazione.
Nell’insieme, le disposizioni relative agli strumenti di tracciamento contenute nel disegno di legge sembrano essere in linea con quelle del futuro Regolamento ePrivacy in discussione in Europa. Viene anche reintrodotta una proposta che era stata avanzata dalla Commissione Europea nel 2017 ma che si è rivelata molto controversa, ed era stata successivamente scartata, che conferisce al segretario di Stato il potere di emanare regolamenti che richiedono ai fornitori di servizi come i web browser di fornire agli utenti la possibilità di dare o negare il consenso al tracciamento su tutti i siti web che visitano.
Digital verification services
Il disegno di legge prevede disposizioni affinché il Segretario di Stato abbia l’obbligo di istituire e mantenere un registro dei fornitori di servizi di verifica digitale, e di predisporre e pubblicare un documento relativo a regole applicabili alla fornitura di servizi di verifica digitale.
Riforma dell’Information Commissioner’s Office
Il disegno di legge si occupa anche fornire disposizioni per modernizzare l’istituzione dell’Information Commissioner’s Office (ICO), che sarà dotato di un Chief Executive e di un Board e prevederà che le competenze che oggi sono proprie del ruolo di Information Commissioner siano invece distribuite all’interno dell’istituzione, ampliandole. Inoltre, all’ICO verranno attribuiti una serie di obiettivi, che oggi invece non vengono esplicitati in maniera chiara dall’ UK GDPR.
Warnman ha dichiarato che l’ICO continuerà a difendere i diritti degli interessati e a incoraggiare l’uso responsabile dei dati personali, ma porrà maggiore attenzione alle sfide legate alle scelte tecnologiche e alla concorrenza dei mercati.
Questo contribuirà, nell’intenzione del disegno di legge, anche a modificare il modo in cui ICO produce linee guida o codici: dovrà infatti essere istituito un gruppo di lavoro composto da esperti di vari settori pertinenti ogni qualvolta sia necessario fornire una linea guida o un codice in un specifico settore. Il Ministro del Governo incaricato del dipartimento coinvolto dovrà approvare tali linee guida prima che esse vengano presentate al Parlamento, e ciò, secondo Warman, rafforzerà la responsabilità di ICO nello stabilire nuove regole.
Il trattamento dei dati personali nella ricerca scientifica
Una porzione specifica del disegno di legge è dedicata al trattamento dei dati personali nell’ambito della ricerca scientifica e di come i ricercatori potranno ottenere il consenso per l’utilizzo di tali dati in maniera meno specifica rispetto passato, quando cioè non sia possibile identificare completamente le finalità del trattamento nel momento in cui ci si appresta a raccogliere i dati.
Per esempio, gli interessati potranno dare il loro consenso per l’utilizzo dei loro dati personali all’interno delle attività di “ricerca sul cancro” piuttosto che per le attività di ricerca per una specifica tipologia di cancro.
È stata inoltre individuata un’esenzione dall’obbligo di fornire ulteriori informazioni sul trattamento laddove i dati personali siano stati inizialmente raccolti direttamente dagli interessati e successivamente siano riutilizzati a fini di ricerca, se ciò può rappresentare uno sforzo sproporzionato.
Il disegno di legge identifica nella minimizzazione dei dati la salvaguardia fondamentale, ma attribuisce al Governo del Regno Unito la facoltà di identificare ulteriori salvaguardie. Apparentemente, l’approccio contenuto nel disegno di legge sembra essere più oneroso di quello del GDPR europeo, in quanto introduce specifiche garanzie che devono essere rispettate.
Quale futuro per la decisione di adeguatezza inglese
Come si ricorderà, la Commissione Europea ha formalizzato la decisione di adeguatezza (GDPR Art. 45), nei confronti del Regno Unito, il 28 giugno 2021. Grazie a questa decisione, il trasferimento di dati verso il Regno Unito, che dopo la Brexit non è più paese facente parte dell’Unione Europea, può avvenire senza l’adozione di ulteriori misure, come le garanzie adeguate (GDPR Art. 46) o, al limite, specifiche deroghe (GDPR Art. 49).
La decisione, però, diversamente da quanto avvenuto in casi analoghi, include una cosiddetta “sunset clause”, ovvero una clausola di garanzia, che ne fissa la validità in quattro anni, e che pertanto scadrà il 27 giugno 2025. Questa clausola è di fatto una novità perché, sebbene il GDPR preveda (si veda Art. 45.3) un riesame periodico della decisione, la presenza della clausola richiederà che la Commissione si attivi affinché tale decisione non scada: a tale proposito, la Commissione ha anche precisato che, se le informazioni derivanti dal monitoraggio avranno confermato la persistenza di un livello adeguato di protezione, essa si attiverà nei 6 mesi precedenti la scadenza per avviare l’iter di estensione dell’atto.
Poiché la Commissione monitorerà l’orientamento giuridico del Regno Unito durante tutti i quattro anni, considerando anche gli eventuali cambiamenti o sviluppi che lo riguarderanno, è chiaro che qualsiasi iniziativa volta all’adozione di nuove regole nel Regno Unito relativamente al trattamento dei dati personali o all’utilizzo dell’AI, avrà un impatto sul mantenimento, o meno, della decisione di adeguatezza della Commissione Europea.
A tal proposito il Ministro Warman si è mostrato ottimista, dichiarando che “L’UE non richiede ai paesi di avere le stesse regole per garantire l’adeguatezza, quindi siamo convinti che queste riforme siano compatibili con il mantenimento di un flusso libero di dati personali dallo Spazio economico europeo”.
Conclusioni
La rapida introduzione del disegno di legge prima della pausa estiva, ormai alle porte, fa intendere quanto sia importante la questione per il Regno Unito. Salvo complicazioni legate al cambio di Premier, dovrebbe essere discusso a partire dal mese di settembre.
È comprensibile che aziende e organizzazioni siano desiderose di strategie che semplifichino e migliorino la governance dei loro processi a supporto della protezione dei dati.
Molti esperti del settore, però, hanno evidenziato come i tentativi di deviare troppo dall’approccio del GDPR europeo potrebbero mettere a rischio l’accordo sulla decisione di adeguatezza, che dovrà essere riconfermata nel 2025.
Alcuni tra loro si sono spinti fino a definire le proposte contenuto del Disegno di Legge come “irresponsabili“, aggiungendo che “esse rischiano di portare a una rottura con l’UE, rendendo i trasferimenti di dati onerosi per le imprese britanniche, anche in termini di posti di lavoro, in un periodo già duramente colpito dalla recessione”.
Anche la riforma dell’ ICO è fonte di preoccupazione tra le organizzazioni a difesa della privacy, come l’Open Rights Group, che ha evidenziato come tali modifiche potrebbero modificare significativamente o addirittura limitare l’indipendenza del Regolatore del Regno Unito, esponendolo potenzialmente a una “dipendenza dalla politica”.
Il punto di vista degli esponenti politici britannici è che la riforma delle legislazione sui dati personali sia pienamente compatibile con l’approccio UE, e che ciò non metterà in discussione la decisione di adeguatezza.
Dichiarazioni ottimistiche a parte, se la strategia del Regno Unito nell’ambito della protezione dei dati verrà confermata non è ancora del tutto chiaro se ciò porterà il Regno Unito a perdere il suo status di adeguatezza, nel qual caso è molto probabile che i costi di questo cambiamento supereranno i benefici.
