A dieci anni dalla sua entrata in vigore, il GDPR resta uno degli interventi normativi più incisivi realizzati dall’Unione Europea nel campo dei diritti digitali. Nato con l’obiettivo di uniformare la protezione dei dati personali all’interno del mercato europeo, il Regolamento ha progressivamente modificato non soltanto gli obblighi delle organizzazioni, ma anche il rapporto tra cittadini, imprese e informazioni personali.
Oggi, però, il contesto in cui il GDPR si trova a operare è profondamente diverso rispetto al 2016: l’avanzata dell’intelligenza artificiale generativa, la crescente centralità economica del dato e le tensioni tra innovazione e tutela dei diritti pongono interrogativi nuovi sulla tenuta dell’impianto normativo europeo.
Secondo Aurora Agostini, partner di LEXIA “il cambiamento più importante prodotto dal GDPR non è stato quello più visibile legato alle sanzioni, ma quello culturale e organizzativo: perchè ha spostato la protezione dei dati dal terreno del mero adempimento a quello della governance”. In questi anni, infatti, aziende e pubbliche amministrazioni hanno acquisito familiarità con concetti come accountability, gestione dei fornitori, tempi di conservazione, incident response e valutazione preventiva dei rischi. Elementi che, prima dell’entrata in vigore del Regolamento, erano spesso estranei ai processi decisionali delle organizzazioni.
Una trasformazione che, seppur con diversi livelli di maturità, ha inciso profondamente sulla cultura aziendale. Per Agostini, i principi introdotti dal GDPR “di finalità, minimizzazione, trasparenza, accountability e privacy by design restano ancora il lessico essenziale con cui giudicare l’uso corretto dei dati anche nell’economia digitale più avanzata”. Il punto, dunque, non sembra essere il superamento del Regolamento, quanto piuttosto la sua capacità di adattarsi a un ecosistema tecnologico sempre più complesso.
Ed è proprio qui che si concentra una delle questioni più delicate del prossimo decennio. “La vera domanda”, osserva Agostini, “non è se il GDPR sopravviva all’AI, ma se l’AI, soprattutto generativa, possa davvero essere ricondotta senza attriti a un impianto nato per trattamenti più prevedibili e circoscrivibili ex ante. Se il primo decennio del GDPR è stato quello della compliance, il secondo sarà quello della prova concreta della responsabilità, e cioè della capacità delle organizzazioni di dimostrare che l’innovazione può restare compatibile con i diritti fondamentali.”
Sul piano applicativo, però, il bilancio dei primi dieci anni del GDPR appare ancora disomogeneo. Ugo Di Stefano, partner di Lexellent, sottolinea come la diffusione dei principi del Regolamento sia stata spesso più teorica che sostanziale: “Il bilancio del decennale non si misura tanto con la conoscenza astratta dei principi introdotti dal GDPR, diffusa ancorché spesso superficiale, quanto con la ancora scarsa adozione organizzativa nelle aziende, soprattutto nelle PMI”.
Nonostante ciò, Di Stefano individua tre grandi cambiamenti che hanno segnato questo decennio. Il primo riguarda la “maturazione” della figura del DPO e la crescente familiarità delle organizzazioni con strumenti come consenso, informative, gestione del data breach e DPIA. Il secondo è rappresentato dal ruolo sempre più proattivo del Garante Privacy italiano, autore negli ultimi anni di provvedimenti e sanzioni di forte impatto mediatico ed economico. Il terzo riguarda invece i cittadini, oggi molto più consapevoli dei propri diritti: accesso, opposizione, cancellazione e segnalazione alle autorità di controllo sono strumenti che gli interessati conoscono e utilizzano con sempre maggiore frequenza.
Per Di Stefano “Il limite strutturale del GDPR, in conclusione, non è nei principi che ha introdotto, ancora validi e rilevanti, quanto piuttosto nell’asimmetria di forze fra autorità nazionali e attori globali. Inoltre, in questi anni abbiamo assistito a provvedimenti delle Autorità di controllo ad alto impatto mediatico che però non sempre hanno retto al vaglio giurisdizionale. Oggi occorre chiedersi se l’Europa, che con il GDPR ha scritto le, per molti versi, migliori regole al mondo in materia di privacy, abbia ancora gli strumenti per farle rispettare in modo davvero efficace con i cambiamenti tecnologici in atto e futuri e un diverso assetto mondiale anche in termini di diritto internazionale, geopolitica ed economia.”.
Accanto alle sfide tecnologiche, resta aperta anche una questione più strettamente giuridica. Secondo Andrea Puccio, Founding Partner di Puccio Penalisti Associati ,“a dieci anni dall’entrata in vigore del Regolamento 2016/679, lo sforzo teorico effettuato dal legislatore europeo sconta, sul versante penale, un deficit di determinatezza, che rischia di incidere sulla piena effettività della tutela.
Le fattispecie di reato previste dal Codice Privacy continuano infatti a presentare, anche in ragione della scarsa giurisprudenza in materia, margini di incertezza e ambiguità, che rendono difficilmente delineabile il confine applicativo tra illecito amministrativo e penale. In un contesto in cui il dato personale assume un valore sempre più centrale, l’auspicio è che il decimo anniversario del Regolamento possa essere l’occasione per un intervento chiarificatore da parte del legislatore, che assicuri maggiore coerenza sistematica e certezza applicative”.
Dieci anni dopo la sua entrata in vigore, il GDPR appare quindi come una normativa ancora centrale, ma sottoposta a una pressione crescente. Da un lato, i suoi principi continuano a costituire il fondamento della tutela europea dei diritti digitali; dall’altro, l’evoluzione tecnologica, l’emergere dell’intelligenza artificiale e gli equilibri globali impongono una riflessione sulla capacità delle istituzioni europee di garantire un’applicazione realmente efficace delle regole.
