Il 25 maggio 2024, il Regolamento Generale sulla Protezione dei Dati – GDPR – ha compiuto sei anni. In conformità con l’articolo 97 del GDPR, la Commissione Europea deve inviare al Parlamento europeo e al Consiglio le relazioni di valutazione e riesame del regolamento ogni quattro anni.
La prima relazione della Commissione UE sul GDPR è stata adottata il 24 giugno 2020, mentre la prossima è prevista per la metà del 2024. Questa rivalutazione comporta una revisione completa del GDPR alla luce della sua applicazione e delle evoluzioni nel mercato digitale.
La consultazione pubblica della commissione
All’inizio di quest’anno, la Commissione UE ha aperto una consultazione pubblica, dando ai cittadini e a tutti i portatori di interesse la possibilità di compilare un questionario strutturato. Dalla consultazione sono stati rilevati circa 260 contributi, di cui quasi la metà è stata presentata da privati cittadini, molti dei quali anonimi.
Dai contributi sono emersi i seguenti temi:
- Interpretazione dei dati anonimi: alcuni esperti hanno sollevato preoccupazioni riguardo all’interpretazione restrittiva del concetto di “dato anonimo” da parte di alcune autorità di controllo. In particolare, anche quando la probabilità di identificare persone attraverso i dati è ragionevolmente bassa, alcune interpretazioni impediscono di considerare tali dati effettivamente come anonimi. Questo può avere implicazioni significative per chi tratta tali dati e per l’applicazione del Regolamento Generale sulla Protezione dei Dati (GDPR);
- Disparità fra basi giuridiche e trattamento: da numerosi contributi, emerge che il consenso ha avuto un ruolo predominante rispetto alle altre basi giuridiche. Tuttavia, le autorità sembrano non aver considerato che, in alcune situazioni, il consenso non è la base giuridica più appropriata. Inoltre, le persone sono sempre più stanche di dover continuamente concedere o negare il consenso. Questo assolutismo del consenso non tiene conto dei benefici derivanti dall’utilizzo di altre basi giuridiche per il trattamento dei dati
- Eccessivo rigore delle norme sull’informativa agli interessati: alcuni contributi esprimono critiche riguardo all’eccessiva rigidità delle norme sull’informativa agli interessati. Queste norme richiedono sempre una serie di contenuti obbligatori, senza concedere ai Titolari del trattamento la possibilità di adattarli in base alle circostanze;
- Rigidità circa i trasferimenti extra SEE: spesso nei contributi è criticato il complesso regime giuridico riguardante i trasferimenti di dati personali al di fuori dello Spazio Economico Europeo (SEE), considerandolo poco chiaro e farraginoso.
L’applicazione dei principi GDPR ai sistemi di intelligenza artificiale
Negli ultimi tempi, si è discusso dell’impossibilità di applicare alcuni principi del GDPR ai sistemi di intelligenza artificiale, soprattutto quando questi sistemi si basano su dati personali.
I modelli di AI, specialmente quelli di base, richiedono grandi quantità di dati provenienti da diverse fonti, che possono includere dati personali, dati anonimizzati e dati non correlati alle persone.
Attualmente, la dimensione e il volume dei dati sono essenziali per garantire l’efficacia del modello. Tuttavia, questa esigenza crea una tensione con alcuni principi del GDPR, come la minimizzazione dei dati.
In molti casi, i dati utilizzati per addestrare i sistemi di AI non influenzano direttamente i diritti e gli interessi individuali, ma piuttosto gli interessi di gruppi più ampi o della società nel suo complesso, considerando l’impatto delle informazioni elaborate dall’AI.
L’articolo 97 del GDPR stabilisce che, durante le valutazioni e le revisioni, la Commissione europea deve tenere conto delle posizioni e delle conclusioni del Parlamento europeo, del Consiglio e di altre fonti rilevanti. Tra queste fonti rilevanti, la Risoluzione del Parlamento europeo è un esempio lampante. In questa risoluzione, il Parlamento europeo sottolinea che le tecnologie come l’AI possono migliorare il processo legislativo, facilitare l’accesso alle informazioni e rendere la legislazione più comprensibile per cittadini e imprese.
Pertanto, si invita la Commissione a considerare l’applicazione di spazi di sperimentazione normativa nella legislazione sulla trasformazione digitale, tenendo conto del valore aggiunto dell’Unione europea e della proporzionalità, soprattutto per sostenere le PMI e le start-up.
