Parere del Garante europeo della protezione dei dati sulle proposte legislative relative alla risoluzione alternativa e online delle controversie dei consumatori

Anna Costagliola

Il 29 novembre 2011 la Commissione europea ha adottato due proposte legislative sulla risoluzione alternativa delle controversie:

a) la proposta di direttiva del Parlamento europeo e del Consiglio sulla risoluzione alternativa delle controversie dei consumatori (cd. «proposta sull’ADR»);

b) la proposta di regolamento del Parlamento europeo e del Consiglio relativo alla risoluzione delle controversie online dei consumatori (cd. «proposta sull’ODR»).

Il successivo 6 dicembre 2011 il Garante europeo della protezione dei dati (GEPD) ha ricevuto la proposta sull’ADR e la proposta sull’ODR a fini di consultazione. Deve ricordarsi, infatti, che tale figura è stata istituita nel 2001 in funzione della garanzia del rispetto del diritto alla vita privata nel trattamento dei dati personali da parte delle istituzioni e degli organi dell’Unione europea. A tal fine, il GEPD vigila sul rispetto di tale obbligo e fornisce consulenza ai detti organi ed istituzioni su tutti gli aspetti inerenti al trattamento dati. Con «trattamento» si indicano attività quali la raccolta, la registrazione e la conservazione delle informazioni, il loro reperimento a fini di consultazione, la diffusione presso altri soggetti, nonché il blocco, la cancellazione o la distruzione dei dati.

Scopo della proposta sull’ADR è quello di garantire che in tutti gli Stati membri esistano organismi preposti alla risoluzione alternativa delle controversie transfrontaliere dei consumatori connesse alla vendita di beni o alla fornitura di servizi nell’Unione europea. I sistemi di risoluzione alternativa delle controversie offrono, infatti, uno strumento per comporre le controversie dei consumatori che di norma risulta meno costoso e più rapido rispetto a un procedimento giudiziario.

La proposta sull’ODR si fonda proprio sulla disponibilità a livello europeo di procedure ADR per le controversie dei consumatori e prevede il trattamento centralizzato dei dati personali relativi alle controversie mediante la istituzione di una piattaforma online (cd. «piattaforma ODR»), che consentirà ai consumatori e ai professionisti di presentare all’organismo ADR competente reclami connessi alle operazioni transfrontaliere effettuate online.

Il parere del GEPD, pubblicato sulla Gazzetta ufficiale dell’Unione europea dell’11 maggio scorso, analizza il trattamento dei dati personali previsto dalle proposte e spiega come vengono affrontati gli aspetti inerenti alla protezione dei dati. Il GEPD valuta positivamente il fatto che i principi relativi alla protezione dei dati siano stati integrati nei testi sin dalle prime fasi della loro stesura, in particolare per quanto riguarda la limitazione della finalità e dell’accesso ai dati, la limitazione del periodo di conservazione e le misure per garantire la sicurezza.

Tuttavia, concentrandosi in particolare sulla proposta sull’ODR, formula alcune osservazioni specifiche relative ai seguenti aspetti:

a) ruolo dei responsabili del trattamento dei dati, raccomandandosi di precisare a quale responsabile del trattamento dei dati gli interessati devono indirizzare le richieste di accesso, rettifica, blocco e cancellazione, nonché a quale responsabile del trattamento rivolgersi in caso di violazioni specifiche delle norme di protezione dei dati;

b) limitazione dell’accesso ai dati personali trattati mediante la piattaforma ODR, evidenziandosi la necessità di specificare che ogni assistente ODR (i quali forniscono, appunto, assistenza per la risoluzione della controversia) ha accesso esclusivamente ai dati necessari all’adempimento dei propri obblighi;

c) necessità di valutare, prima che la piattaforma ODR diventi operativa, se il trattamento dei dati debba essere soggetto a controllo preventivo da parte delle Autorità nazionali di protezione dei dati e dello stesso GEPD;

d) necessità di consultare il GEPD sugli atti delegati e di esecuzione per quanto riguarda il trattamento dei dati personali;

e) necessità di integrare le disposizioni relative alla sicurezza, mediante espressi riferimenti alla opportunità di condurre una valutazione dell’impatto sulla vita privata (compresa una valutazione dei rischi) e di svolgere verifiche e relazioni periodiche al fine di garantire il rispetto delle norme di protezione dei dati e della sicurezza dei dati.