Germania le autorità propongono modifiche al GDPR

Il 2 dicembre 2019, le autorità di controllo tedesche hanno pubblicato una relazione in cui valuta l'attuazione del  #GDPR nel paese ed elenca le disposizioni del #GDPR che considerano problematiche nella pratica.

Per ciascuna di queste disposizioni, la relazione discute il problema percepito e propone una modifica.

Il rapporto inizia rilevando che il GDPR ha aumentato in modo significativo il carico di lavoro delle autorità di vigilanza tedesche nell'ultimo anno e mezzo. Ciò è dovuto non solo a una "enorme crescita" del numero di denunce e richieste di consultazione ricevute, ma anche a lavori supplementari derivanti dalla procedura di cooperazione transfrontaliera del GDPR. Dal momento che l'aumento del carico di lavoro non ha sempre incontrato maggiori risorse, le autorità hanno avuto difficoltà a controllare efficacemente la conformità. Apparentemente i controllori ne sono consapevoli e, di conseguenza, hanno trascurato i loro doveri di essere conformi al #GDPR.

Il rapporto elenca quindi le disposizioni del GDPR che le autorità di vigilanza tedesche ritengono abbiano portato in pratica ad alcuni problemi, vale a dire:

-Articolo 5, paragrafo 1, lettera b) (limitazione delle finalità);

-Articolo 13 (diritto di informazione);

-Articolo 15, paragrafo 3 (diritto a una copia dei propri dati personali);

-Articolo 25 (protezione dei dati secondo la progettazione);

-Articolo 33, paragrafo 1 (notifica della violazione dei dati);

-Articolo 37, paragrafo 7 (notifica del responsabile della protezione dei dati ("RPD"));

-Articolo 41 (accreditamento);

-Articolo 58, paragrafo 2, lettera b) (competenze delle autorità di controllo); e 97 (2) (b) (sanzioni).

Il rapporto afferma inoltre che al GDPR mancano le disposizioni appropriate in materia di profilazione e marketing diretto.

• Di seguito, discutiamo alcune delle modifiche al GDPR proposte dalle autorità di vigilanza tedesche: Articolo 5, paragrafo 2 (limitazione delle finalità) -Le autorità di controllo tedesche trovano difficile accettare che il trattamento di dati personali per scopi compatibili (articolo 6, paragrafo 4) non richieda una base giuridica separata. Sostengono anche che l'eccezione della ricerca scientifica nell'Art. 5 (2) (b) è troppo ampio.
• Articolo 13 (diritto all'informazione) - L'obbligo di trasparenza può costituire un fastidio per gli interessati, in particolare in circostanze offline (ad es. Chiamate telefoniche).
• Le autorità di controllo suggeriscono di adottare un'eccezione per i casi in cui gli interessati si aspettano che il trattamento dei dati abbia luogo, nel qual caso le informazioni dovrebbero essere fornite solo su richiesta dell'interessato.
• Inoltre, i responsabili del trattamento dovrebbero essere esonerati dall'obbligo di fornire informazioni sul trattamento equo se il trattamento è necessario per proteggere gli interessi vitali dell'interessato o di un'altra persona fisica (articolo 6, paragrafo 1, lettera b)).
• -Articolo 24 (protezione dei dati secondo la progettazione) - Questa disposizione stabilisce principi che sono di fatto rivolti ai produttori di hardware e software, che in realtà non sono soggetti al GDPR (le società che utilizzano hardware e software sono i responsabili del trattamento dei dati). Le autorità di vigilanza propongono di includere una definizione di "produttore" nel GDPR e di assoggettare espressamente tali parti all'obbligo di sviluppare e progettare prodotti, servizi e applicazioni in conformità con i requisiti del GDPR.
• Articolo 33, paragrafo 1 (notifica della violazione dei dati) - Le società non dovrebbero essere tenute a notificare le violazioni dei dati che potrebbero essere a basso rischio per i diritti e le libertà delle persone interessate. La relazione suggerisce inoltre di inserire l'obbligo per i responsabili del trattamento di notificare incidenti di sicurezza (anche se non confermati violazioni dei dati) che possono presentare un rischio elevato per i diritti e le libertà degli interessati.
• Articolo 37, paragrafo 7 (notifica di un responsabile della protezione dei dati) - L'obbligo di notificare le informazioni di contatto del responsabile della protezione dei dati alle autorità di vigilanza dovrebbe essere eliminato in considerazione del fatto che il responsabile del trattamento deve rendere pubbliche tali informazioni.

In relazione al marketing diretto, la relazione sottolinea che le aspettative degli interessati sembrano variare tra i diversi Stati membri dell'UE. Ciò può portare a risultati diversi nel bilanciamento degli interessi legittimi del responsabile del trattamento rispetto agli interessi degli interessati.

Per questo motivo, i legislatori dell'UE dovrebbero introdurre criteri comuni su come bilanciare questi interessi.

Per quanto riguarda la profilazione, la relazione richiede regole più specifiche e consentire la profilazione solo quando un responsabile del trattamento ha ottenuto il consenso (o ha stipulato un contratto con) l'interessato.

Le autorità di vigilanza tedesche concludono il rapporto invitando la Commissione europea a prendere in considerazione i loro suggerimenti nella sua prossima revisione biennale del GDPR prevista per il 25 maggio 2020