Quando l’autorità chiamata a far rispettare le regole finisce per trovarsi sul banco degli imputati. Tra una direttiva e un regolamento, l’UE si è fatta un bel “rimprovero” (leggi pure: si è multata) in materia di protezione dei dati. No, non è uno scherzo.

La Commissione ha constatato che c’erano irregolarità nell’ambito del trasferimento di dati verso gli Stati Uniti e, con ammirevole senso di coerenza, ha deciso di darsi una sanzione a sé stessa.

La questione ruota intorno ai trasferimenti di dati personali al di fuori dell’Unione, in particolare verso gli USA. Già in passato si era discusso abbondantemente sulla legittimità dei flussi di informazioni oltreoceano, data la mancanza di equivalenti garanzie di tutela della privacy rispetto al GDPR. Quindi, l’UE avrebbe dovuto essere particolarmente attenta, e invece…

Pare che il “trasferimento illegale” dei dati si sia verificato nei form dell’Eurobarometro, uno strumento dell’Unione che raccoglie l’opinione dei cittadini europei sui più svariati argomenti: dall’impatto delle normative sulle cannucce di plastica alla percezione dell’economia globale. Un bel calderone di dati, che secondo le autorità di controllo non è stato gestito proprio con tutti i crismi previsti dal GDPR.

Ed ecco la sorpresa: i moduli in questione, nel retroscena tecnico, avrebbero inviato informazioni sensibili ai server di qualche azienda “stelle e strisce”. E le Istituzioni europee, proprio quelle che di solito bacchettano le grandi piattaforme per questioni di privacy, si sono accorte tardi di avere una falla in casa propria.

La multa “auto-inflitta”

La sanzione in sé non è stellare, ma il fatto che sia stata imposta dall’UE a un’istituzione europea – insomma a sé stessa – suscita un certo divertimento. Per chiarire, non è che si tratti di un autogol di dimensioni epiche: la sanzione non svuota certo le casse comuni, ma il principio resta. L’UE, che ha sempre un occhio di falco su big tech, amministrazioni nazionali e piccole aziende quando si parla di GDPR, questa volta si è guardata allo specchio e ha scoperto che non tutti i processi interni erano immacolati.

Il paradosso?

In un certo senso si potrebbe pensare che le istituzioni europee, disegnate per fare le leggi (e per farle rispettare), dovrebbero avere una comprensione perfetta delle norme. Alcuni diranno che sbagliare è umano, ma insomma, è un po’ come se un vigile urbano parcheggiasse in doppia fila proprio davanti al cartello di divieto di sosta, e poi si multasse da solo.

In ogni caso, la questione sta a dimostrare quanto sia complesso districarsi tra vincoli tecnici, contratti di servizio e normative sulla privacy. L’Eurobarometro si appoggia a fornitori per la gestione di sondaggi, i fornitori usano infrastrutture su server situati potenzialmente ovunque e in un attimo ecco che quei dati di noi cittadini europei, finiscono in qualche data center a milioni di chilometri di distanza, senza adeguate garanzie o le nostre medesime garanzie.

Gli effetti della vicenda

La figuraccia continentale, paradossalmente, potrebbe avere un effetto positivo: spingere l’UE a vigilare ancor di più sulle proprie procedure interne. Se le istituzioni comprendono la complessità di applicare il GDPR e si rendono conto che neppure loro riescono a rispettarlo al 100%, forse inizieranno a rendere le linee guida ancora più chiare.

Per le aziende e le amministrazioni nazionali, la lezione è semplice: se persino l’UE con la sua schiera di esperti ha preso un ceffone, meglio non dormire sugli allori. Bisogna controllare con attenzione i contratti con i fornitori (soprattutto extra-UE), le policy di protezione dati e i meccanismi di compliance. Non si sa mai che, un giorno, ci si trovi a doversi “multare da soli” – metaforicamente parlando – o a dover rispondere di una violazione dinnanzi alle autorità di controllo.

Regole e (auto)ironia

In fin dei conti, la morale è che la privacy è una questione seria, ma un pizzico di ironia non guasta. L’UE, con tutta la sua burocrazia, ha dimostrato di non essere immune da errori e contraddizioni. Tuttavia, c’è anche un lato costruttivo: se si sa riconoscere un errore e punirsi (pur con una pena che certo non la manda in bancarotta), significa che almeno un sistema di autocontrollo funziona.

Che sia la strada giusta verso un futuro in cui i nostri dati saranno sempre più protetti? Uno spunto per sorridere c’è: la prossima volta che vediamo un avviso sulla protezione dei dati in un form, potremmo pensare che anche dietro le quinte di Bruxelles qualche volta si inciampa, e si deve firmare un’autocertificazione di “mea culpa”. L’importante è che l’inciampo diventi occasione per un miglioramento reale, e non l’ennesima boutade euro-burocratica.