Art. 95 GDPR — Rapporto con la direttiva 2002/58/CE

Commento

La direttiva ePrivacy

L'art. 95 GDPR disciplina il rapporto con la direttiva 2002/58/CE (cd. ePrivacy Directive). Il GDPR non impone obblighi supplementari alle persone fisiche o giuridiche in relazione ai trattamenti nell'ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell'Unione, per le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo previsti dalla direttiva 2002/58/CE.

Principio di specialità

Il principio è di specialità: la direttiva ePrivacy disciplina aspetti specifici (cookie, metadati comunicazioni elettroniche, marketing via mail/SMS, spam) come lex specialis rispetto al GDPR. Per le stesse materie, gli obblighi della ePrivacy prevalgono e non si cumulano con quelli del GDPR. La logica è di evitare duplicazione regolatoria.

Cookie e marketing diretto

Cookie e marketing diretto sono le aree principali. La direttiva 2002/58/CE, art. 5, par. 3, dispone che l'archiviazione o l'accesso a informazioni sul dispositivo dell'utente sia consentito solo con consenso esplicito (salvo eccezioni tecniche). È la base normativa dei cookie banner. Il marketing diretto via email/SMS è disciplinato dall'art. 13 della direttiva (soft opt-in per clienti esistenti, opt-in espresso per non clienti).

In Italia: Codice delle Comunicazioni Elettroniche

In Italia, la direttiva 2002/58/CE è recepita dal Codice delle Comunicazioni Elettroniche (D.Lgs. 259/2003 aggiornato dal D.Lgs. 207/2021). Disciplina dettagliata su cookie, metadati, marketing, spam, intercettazioni. Il Garante è competente per i profili privacy della disciplina ePrivacy.

Provvedimenti del Garante su cookie

I provvedimenti del Garante su cookie sono punti di riferimento: provvedimento del 2014 (Cookie Law) e linee guida 2021 (post-EDPB). Definiscono: necessità di consenso per cookie di profilazione; consenso espresso (opt-in), no scroll-down, no cookie wall; granularità per categorie; equivalente facilità tra 'accetta' e 'rifiuta'; revocabilità. Sanzioni significative per inadempienze.

Verso il Regolamento ePrivacy

La proposta di Regolamento ePrivacy (in negoziazione dal 2017) mira a sostituire la direttiva e armonizzare il quadro. Il negoziato è complesso e ancora aperto al 2026. Una volta adottato, il Regolamento ePrivacy sostituirà la direttiva e si coordinerà con il GDPR in modo più organico. Nel frattempo, opera la direttiva 2002/58/CE come integrata da provvedimenti dei Garanti nazionali.

Regola pratica e checklist operativa

Compliance art. 95: (i) cookie management platform conforme al provv. 2021 (granulare, simmetrico, no cookie wall); (ii) marketing con soft opt-in/opt-in espresso; (iii) coordinamento con GDPR; (iv) preparazione per Regolamento ePrivacy futuro; (v) audit periodici dei cookie.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.