Profilazione politica on line in Spagna? No grazie.

Il 21 novembre in Spagna è stata approvata (con 220 voti a favore e 21 contro) la legge di modifica del Codice Privacy Spagnolo (la legge organica sul trattamento dati personali), al fine di adeguarlo alle disposizioni di cui Regolamento europeo sulla tutela dei dati personali n. 679/2016 (”GDPR”).

Tra i vari articoli del nuovo codice privacy spagnolo, è uscito fuori un curioso nuovo art. 58 bis che autorizzerebbe i partiti politici spagnoli ad inviare messaggi pubblicitari mirati agli utenti internet sulla base delle loro esperienze di navigazione.

L’articolo reca un titolo poco promettente “Uso di mezzi tecnologici e dati personali nelle attività elettorali”, ed il suo contenuto non è da meno.

Il primo comma di questo articolo precisa che la raccolta di dati personali relativi alle opinioni politiche delle persone svolte dai partiti politici nel quadro delle loro attività elettorali sarà tutelata nell’interesse pubblico solo se vengono offerte garanzie adeguate.

Questo comma parte quindi dal presupposto che la raccolta di dati così sensibili e delicati per gli equilibri democratici di un paese possano essere raccolti in un non meglio precisato “quadro delle attività elettorali”.

L’inciso successivo, relativo alle garanzie adeguate che devono essere offerte, è un maldestro tentativo di rendere una disposizione del tutto in contrasto con i principi del GDPR, apparentemente in linea con il regolamento europeo.

Il secondo comma è sicuramente il più criticabile: si stabilisce, infatti, che i partiti politici, le coalizioni e i gruppi elettorali possono utilizzare i dati personali ottenuti nelle pagine web e in altre fonti di accesso pubblico per la realizzazione di non meglio precisate attività politiche durante il periodo elettorale.

Il terzo comma stabilisce poi che l’invio di propaganda elettorale tramite mezzi elettronici o sistemi di messaggistica e l’assunzione di propaganda elettorale nei social network o mezzi di comunicazione equivalenti non saranno considerati attività commerciali o di comunicazione (modificando quindi sostanzialmente la base giuridica che legittima il trattamento di questi dati particolarmente sensibili).

A tutela degli utenti vengono posti solo i due ultimi commi, dove si precisa che le attività informative identificheranno chiaramente la loro natura elettorale e che al destinatario sarà fornito un modo semplice e gratuito di esercitare il diritto di opporsi.

Ora, è bene precisare alcune cose.

Innanzitutto la materia relativa alla tutela dei dati personali è ormai sostanzialmente (salvo espressi casi) di competenza dell’Unione Europea che ha regolamentato la materia con il GDPR divenuto applicabile in tutti gli Stati membri dal maggio 2018, pertanto ove il nuovo art. 58 bis del Codice Privacy spagnolo dovesse apparire in contrato con il GDPR non farebbe lunga strada.

Ciò detto, già il fatto di autorizzare un numero così ampio di soggetti (partiti politici, coalizioni, gruppi elettorali) a trattare dati così sensibili, rende evidentemente la questione particolarmente spinosa.

Ed infatti innanzitutto ci troviamo di fronte una platea di potenziali numerosi titolari del trattamento del dato che, grazie ad una generica e confusa disposizione di legge, potrebbe utilizzare questi dati nel periodo della campagna elettorale.

Di fatto questo potrebbe comportare una vera e propria diffusione del dato poiché le misure di sicurezza da adottare e implementare sarebbero talmente tante e tali da essere difficilmente rispettate da organizzazioni politiche appena nate o gruppi elettorali creati ad hoc, anche in considerazione dei notevoli costi di gestione infrastrutturale.

E poi ci sarebbero molte domande da porsi:

Chi ci dice che terminato il periodo elettorale quei dati vengano effettivamente distrutti?

Quando si parla di periodo elettorale si fa riferimento a qualunque elezione? Se si, ci troveremo di fronte all’assurdo per cui una associazione politica è autorizzata a conservare questi dati per ogni ulteriore elezione.

I partiti politici, coalizioni e gruppi elettorali, vivono spesso di interazione con molti soggetti privati e pochi finanziamenti. Quanto ci vorrà prima di assistere a privati che, in cambio delle preziose informazioni raccolte secondo legge dai partiti politici, pretendono l’accesso a queste informazioni?

Quali sono gli schemi di definizione dei soggetti responsabili al trattamento del dato (ex art. 28 e 29 GDPR) che concretamente dovrebbero garantire il povero utente dal non essere profilato per altri fini ben diversi da quelli relativi alla campagna elettorale?

Ma soprattutto, quanto è a rischio la democrazia di un paese che autorizza i partiti politici a prendere di mira i gusti e le abitudini di navigazione di un utente per proporgli improbabili iniziative politiche?

Queste sono solo alcune domande sollevate dal curioso articolo 58bis del Codice privacy spagnolo.

L’autore:

Massimo Simbula

Avvocato, ha oltre 15 anni di esperienza in Italia e all’estero nell’ambito del diritto societario, industriale e delle nuove tecnologie con particolare riferimento alle tematiche connesse a Bitcoin e Blockchain technology. Massimo, dopo essersi occupato di processi di privatizzazione di aziende a completa o parziale partecipazione statale in Italia e all’estero operative nel settore delle telecomunicazioni e aver fornito assistenza a istituzioni governative italiane ed estere, banche internazionali e aziende multinazionali operanti in vari settori, ha acquisito una importante esperienza nel settore del diritto industriale e delle nuove tecnologie come legale di Tonucci&Partners e, successivamente, come senior lawyer dell’Ufficio Legale interno di Fendi (gruppo Louis Vuitton Moet Hennessy). Massimo Simbula assiste continuativamente aziende cosiddette startup innovative, incubatori di imprese digitali e fondi di investimento operanti nel settore delle imprese digitali. La sua seniority internazionale è al servizio di aziende e privati in una vasta serie di aree lavorative, dal diritto societario alle più complesse questioni legali sottese allo sviluppo delle nuove tecnologie. Egli segue l’azienda dalla fase creativa dei prodotti innovativi (sia in ambito digitale che in ambito di robotica e domotica) sia nella fase costitutiva societaria che nelle svariate attività commerciali, redigendo e negoziando contratti commerciali, condizioni generali, seguendo gli adempimenti normativi e regolamentari per il cliente. Inoltre ha una particolare competenza nella gestione dei diritti di proprietà intellettuale dalla registrazione e tutela di marchi, alla gestione e riassegnazione di nomi a dominio, nonché alla tutela dei software e brevetti aziendali. In ambito finanziario Massimo Simbula assiste fondi di investimento e startup innovative nella redazione, negoziazione e gestione dei contratti di Seed Investment, Early Stage, First and Second Round Investment, fornendo una assistenza su misura in relazione alle complesse tematiche relative alla gestionedei rapporti societari e amministrativi. Massimo Simbula inoltre fornisce assistenza in relazione alla stesura di prospetti informativi per la quotazione alla borsa di Milano ed è esperto del programma denominato Horizon 2020 dell’Unione Europea. Massimo fornisce assistenza in italiano e inglese. È autore di numerose pubblicazioni nel settore del diritto e nuove tecnologie e relatore in numerosi convegni e seminari concernenti blockchain, cybercrimes, responsabilità dell’intermediario internet, privacy, intelligenza artificiale, startup innovative in genere. È membro dell’associazione www.europrivacy.info e del gruppo“Oracle Community for Security” con sede a Milano. È stato mentor per l’incubatore di startup blockchain www.nexussquared.com a Zurigo. Ha collaborato con numerose associazioni di imprese in Italia e all’estero, con Università italiane ed enti regionali. È stato selezionato nel 2018 tra i primi 17 avvocati in Italia –
settore Technology, Media and Telecom (TMT), dalla rivista Top Legal nell’ambito del premio Top Legal Industry Awards.