In Germania è stata rilasciata la seconda bozza di una norma attuativa del GDPR, che sostituirà l’attuale legislazione Privacy nazionale Bundesdatenschutzgesetz (BDSG), affiancandosi al GDPR stesso. Come previsto dal Regolamento, infatti, gli stati membri potranno legiferare su materie specifiche, nel rispetto dei principi generali iscritti nel Regolamento: la Germania a quanto pare lo sta già facendo.
Oltre a limitazioni per alcuni obblighi del titolare e per i diritti degli interessati (come previsto dal 23 GDPR), precisazioni sui dati personali dei dipendenti, disposizioni specifiche per trattamenti a scopo storico o scientifico ecc. (vedi elenco completo nella preziosissima pagina “Privacy Matters” di DLA PIPER linkata in calce) la bozza contiene un paio di punti che ho trovato di particolare interesse:
* Obbligatorietà del DPO – l’art. 37 par. 4 del GDPR lascia agli stati membri la possibilità di definire criteri di obbligatorietà; la Germania propone sostanzialmente di mantenere il criterio vigente: più di nove addetti al trattamento come regola generale. Si tratta certamente di una regola piuttosto stringente (con buona pace di chi sostiene “non saranno poi molte le aziende che avranno bisogno di un DPO”…) ma perlomeno è una regola chiara.
* Sanzionabilità delle persone fisiche – Il GDPR prevede sanzioni solo per persone giuridiche (titolari o responsabili); la bozza del BDSG prevede sanzioni (fino a 300.000€) anche per persone fisiche “che agiscono per conto di titolare o responsabile”. NB: sotto questa definizione rientrano certamente quelli che una volta chiamavamo “incaricati” e che sembravano spariti dal GDPR [a volte ritornano!] ma forse anche i DPO, se si considera che anch’essi in qualche modo agiscano “per conto di”…
Una riflessione finale: se questa è la portata delle norme attuative nazionali, forse non hanno torto quanti sostengono che il GDPR è in verità una “Direttiva travestita da Regolamento” e che la vera partita si giocherà ancora una volta sul terreno delle legislazioni nazionali. Attendiamo quindi di conoscere le analoghe mosse del legislatore italiano.