Con il Gdpr a rischio il diritto di difesa

ROMA - Da zero a 20 milioni di euro e oltre, senza una graduazione predefinita: la forbice delle sanzioni per violazioni della privacy, prevista dal Regolamento Ue sulla protezione dei dati n. 2016/679 (Gdpr), azzera le garanzie e mette in serio pericolo il diritto di difesa.

Per come sono costruite, le sanzioni "privacy" hanno infatti evidenti profili di iniquità. Vediamo quali. Innanzitutto si tratta di sanzioni determinate solo nel massimo (ci sono due gruppi: uno da 10 milioni e l'altro da 20 milioni). Questo significa che non c'è, a monte e cioè nella previsione normativa, nessuna graduazione: la sanzione è la stessa sia per una violazione formale lievissima sia per una violazione sostanziale gravissima e questo ha molte conseguenze.

L'impresa e la p.a. non hanno di fatto la possibilità di prevedere se saranno puniti con un "buffetto" o con una frustata o con la pena capitale e questo per ciascuna delle innumerevoli violazioni che è possibile commettere. Per inciso, ci sono tante e tante prescrizioni che essere in regola al 100% è impossibile.

Seconda considerazione. Si può essere puniti per la autonoma violazione dell'art. 5 Gdpr, norma generalissima. Dice, ad esempio, l'art. 5: i dati vanno trattati con correttezza, ma non sono indicate in maniera tassativa le possibili "scorrettezze". La contestazione è sempre in agguato.

Terza considerazione. La vaghezza e indeterminatezza delle prescrizioni, formulate per obiettivi e non con la descrizione di condotte obbligatorie o vietate, rischia di determinare un'inversione dell'onere della prova: meglio dimostrare di essere esenti da colpa. Ma ci si chiede se non debba essere chi muove un rimprovero a dover specificare, per filo e per segno, le condotte contestate.

Quarta considerazione. Le sanzioni amministrative sostituiscono quelle penali. Questo significa, però, che devono rispettare le garanzie per l'imputato. Invece, per come sono state congegnate, possono essere applicate in maniera non facilmente prevedibile e con una quantificazione che può variare notevolmente anche per casi simili e comunque con una graduazione che non c'è nella legge, ma che è in concreto rimessa totalmente ai Garanti e ai giudici, che possono svariare all'interno di una fascia amplissima.

(Articolo di Antonio Ciccia Messina, legale esperto di protezione dati e presidente di Persone & Privacy)