Pubblicata in Gazzetta Ufficiale n. 110 del 10 maggio 2021, la legge n. 60 del 22 aprile 2021 di ratifica ed esecuzione del Protocollo di modifica alla Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale, fatto a Strasburgo il 10 ottobre 2018.
La Convenzione del Consiglio d’Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale (Convenzione 108) è l’unico accordo multilaterale giuridicamente vincolante nell’ambito della protezione dei dati personali. Obiettivo della Convenzione è tutelare il diritto al rispetto della vita privata, riconosciuto dall’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali. Il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali sono sanciti anche dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’UE e dall’articolo 16 del TFUE.
Il protocollo di modifica aumenta significativamente il livello di protezione dei dati garantito dalla Convenzione 108. In particolare, definisce in maniera più specifica il principio di liceità del trattamento (in particolare per quanto riguarda i requisiti relativi al consenso) e rafforza ulteriormente la protezione delle categorie speciali di dati (espandendo al contempo tali categorie a quelle riconosciute come categorie particolari di dati personali nel diritto dell’Unione).
Inoltre, prevede ulteriori garanzie per le persone fisiche i cui dati personali vengono trattati (in particolare, l’obbligo di valutare il probabile impatto di un’operazione di trattamento dei dati che si intende effettuare e l’obbligo di prendere le opportune misure tecniche e organizzative; l’obbligo di segnalare gravi violazioni dei dati) e consente inoltre di rafforzare i loro diritti (in particolare per quanto riguarda la trasparenza e l’accesso ai dati).
Sono stati inoltre introdotti nuovi diritti delle persone interessate, come il diritto di non essere sottoposti a una decisione basata unicamente su un trattamento automatizzato che arrechi un pregiudizio significativo alla loro persona, il diritto di opporsi al trattamento e il diritto di disporre di un ricorso in caso di violazione dei diritti della persona.
Il sistema di deroghe ai suddetti diritti e obblighi formulato nel protocollo di modifica soddisfa tre condizioni essenziali: vengono mantenuti l’ampio campo di applicazione della Convenzione 108 (senza deroghe generali), la flessibilità (che permette di conciliare norme di livello elevato di protezione dei dati con altri importanti interessi pubblici, ad esempio considerazioni di sicurezza nazionale) e la coerenza generale con la giurisprudenza della Corte europea dei diritti dell’uomo (in particolare grazie all’assenza di restrizioni che pregiudichino l’essenza del diritto fondamentale alla protezione dei dati).