Garante per i dati personali - 13/10/2008 - n. 34976 Articolo unico

Profili generali

L'Autorità Garante per la Protezione dei Dati Personali dell'Unione Europea aveva precedentemente esortato un'acuta focalizzazione sull'argomento, consigliando di incrementare la tutela dei dati personali implicita nella proposta adottata dalla Commissione Europea di revisione della Direttiva 2002/96/CE, attinente ai residui di apparecchiature elettriche ed elettroniche e che è recentemente stata oggetto di una proposta di modifica da parte del Parlamento Europeo in funzione di aggiornare la Direttiva nel ricomprendere i casi di utilizzo e smaltimento di apparecchiature innovative quali i pannelli fotovoltaici. L'Autorità italiana, pertanto, rivolge un esplicito monito a persone giuridiche, organismi pubblici, altre entità e individui che, nell'ambito del proprio esercizio professionale, industriale, commerciale o istituzionale, anziché procedere alla distruzione, dismettono supporti contenenti dati personali, sottolineando l'urgenza di adottare opportune precauzioni e misure, anche con l'assistenza di terzi tecnicamente competenti. Tali precauzioni dovranno essere specificatamente concepite per prevenire accessi non autorizzati ai dati personali archiviati nelle apparecchiature elettriche ed elettroniche destinate al riutilizzo, al riciclo o allo smaltimento. Il Provvedimento fornisce a tal proposito due allegati. Nel primo (Allegato A) sono delineate linee guida e procedure riguardanti i rifiuti di apparecchiature elettriche ed elettroniche (RAEE) destinati al riutilizzo o al riciclo, mentre nel secondo (Allegato B) quelle attinenti allo smaltimento. È notevole osservare come il Garante, nell'elaborazione dei due allegati che trattano questioni procedurali, impieghi il termine “anche”, consentendo alle parti interessate di promuovere e applicare ulteriori misure per conseguire gli stessi obiettivi di protezione, data l'evoluzione rapida e incontrollata della tecnologia. Nonostante la terminologia adoperata dall'Autorità suggerisca la possibilità di identificare modalità alternative a quelle prescritte, gli allegati menzionati offrono un elenco esauriente di procedure e misure tecniche da implementare. Ad esempio, nelle operazioni di riutilizzo e riciclo descritte nell'Allegato A, risulta necessario introdurre specifiche misure per l'eliminazione sicura dei dati memorizzati, ottenibili mediante l'impiego di software dedicati per la sovrascrittura dei dati, sistemi di formattazione e demagnetizzazione dei supporti. Per quanto riguarda invece lo smaltimento – Allegato B – si consiglia l'adozione di sistemi di punzonatura, deformazione magnetica, distruzione fisica o disintegrazione. È opportuno precisare che nel caso in cui un Titolare o Responsabile del Trattamento ricorra a soggetti terzi per lo smaltimento di tali materiali, questi ultimi devono impegnarsi a intraprendere azioni di cancellazione o trasformazione. Tuttavia, considerando che i produttori, i distributori e i centri di assistenza di apparecchiature elettriche ed elettroniche non sono sottoposti a normative di rango superiore che implichino il rispetto del provvedimento, sarà pertanto responsabilità del Titolare o Responsabile, che intende avvalersi di soggetti terzi per lo smaltimento dei RAEE, assicurarsi che tali entità si impegnino alla corretta eliminazione dei dati.

In conclusione, applicando l'art. 28 del Regolamento Generale sulla Protezione dei Dati (GDPR), potrebbe essere necessario prevedere, all'interno del contratto o di qualsiasi altro strumento giuridico che vincoli il responsabile all'adozione delle misure richieste ai sensi dell'art. 32 del GDPR, un elenco delle misure di sicurezza previste dal Provvedimento in commento, svolgendo attività di audit periodico volto ad identificare eventuali non conformità nello smaltimento dei dispositivi RAEE.