Privacy, segreto professionale e protezione dati
Esistono momenti e situazioni in cui una maggiore chiarezza, specialmente terminologica, è necessaria anche per gli operatori del diritto e, in materia di privacy probabilmente ve ne è davvero bisogno anche in considerazione dell’altissimo numero di aziende e professionisti che non si sono ancora compiutamente adeguati al GDPR, norma che a volta sembra sia volontariamente dimenticata perché non compresa.
L’acronimo sta per General Data Protection Regulation; è il Regolamento Europeo 679/2016 che ha soppiantato in larga parte il D. Lgs. 196/2003 che, tuttavia, viene ancora inserito in troppe informative privacy. Forse è la strana coincidenza che in entrambe le norme, quella europea e quella nazionale, l’informativa sia disciplinata dall’art. 13 che ha contribuito a ingenerare incertezza in lettori distratti, ma anche per applicare correttamente il Regolamento Europeo precisiamo che la cosiddetta legge privacy è stata in gran parte abrogata dal D. Lgs. 101/2018 che ha adeguato la disciplina nazionale al GDPR.
Tornando ai termini, mai come nel caso della parola privacy sarebbe opportuno usare la corretta traduzione italiana di “riservatezza” ed evitare errori come quello commesso addirittura dallo stesso Garante che, addirittura sul sito istituzionale si rinomina “Garante privacy” ritenendo forse di aiutare l’utente ma, se andiamo bene a vedere, la dizione corretta e che usa è Garante la Protezione dei Dati Personali.
La privacy è il diritto di ciascuno a non vedere violata la propria sfera personale come precisa l’articolo 12 della Dichiarazione Universale dei Diritti Umani; è stato correttamente definito un diritto negativo: chiunque, anche lo Stato, deve astenersi dall’invadere la vita privata delle persone.
La protezione dati è adesso un dovere, un ben preciso dettato normativo europeo che impone a tutti coloro che trattano dati personali di ottenerli per scopi leciti e ben precisi ed usarli solo ai fini specificati e non altri. Il GDPR si occupa di questo. Anche se il termine privacy è entrato nel quotidiano in riferimento all’invasione di messaggi, e-mail, telefonate inopportune che, dall’inizio della rivoluzione digitale, intasano il nostro quotidiano, dobbiamo operare un’inversione di prospettiva sul GDPR che è norma di carattere attivo che impone ben precisi comportamenti in capo a chi viene a disposizione di un dato personale e lo deve utilizzare.
In tal senso il Regolamento parla di Privacy by design e by default per indicare i canoni a cui attenersi per la sua applicazione e lascia massima libertà a colui che decide come gestire in un’azienda o in uno studio professionale, il Titolare, quella che è una vera e propria filiera da performare a seconda del tipo di dati necessari e alla loro quantità.
Purtroppo, non è stato caso raro imbattersi addirittura in qualche avvocato che ha ritenuto il GDPR non trovasse applicazione nella professione forense in quanto il segreto professionale sarebbe sufficiente, ma anche questo è un errore di prospettiva. Non raccontare a terzi ciò che avviene in uno studio legale è dovere deontologico che nulla ha a che vedere con la protezione di archivi digitali e agende che, più i primi, sono a quotidiano rischio di attacchi informatici o perdite di dati dovuti anche solo a distrazione. Le conseguenze possono essere decisamente molto pesanti.
Non dimentichiamo infatti che il GDPR, oltre a imporre il dovere di protezione dati, prevede pesanti sanzioni pecuniarie per la violazione della disciplina nonché comportamenti attivi da porre in essere in caso di data breach, vale a dire perdita o violazione di dati. Non è quindi assolutamente sufficiente sostenere che un antivirus e una password sono sufficienti.
Questa norma è stata sicuramente voluta dal legislatore europeo a causa dell’invasività di forme pubblicitarie e del concreto pericolo che i dati delle persone, ad iniziare da quelli di navigazione su una pagina internet, possano essere utilizzati per scopi illeciti, in primis per la profilazione e il successivo invio di messaggi personalizzati. In tal senso dovrebbe essere dovere di ognuno quello di leggere le informative privacy prima di prestare un consenso al trattamento, ma è adesso dovere anche di ogni professionista quello di raccogliere legittimamente e poi proteggere i dati delle persone con cui entra in contatto nella propria sfera professionale.
