La risoluzione elenca fra i principi, ex plurimis, l’adozione di un’ottica proattiva e non reattiva, preventiva e non rimediale, invoca una privacy "Embedded into Design" ed una tutela della privacy "as the Default".

In questo senso il concetto di "privacy by design" altro non costituirebbe che una specificazione della "privacy by default". Occorre tutelare il diritto alla privacy per impostazione predefinita e, per poterlo fare efficacemente, bisogna occuparsene sin dall’inizio, sin dalla prima ideazione di un processo.

Così colte anche le ragioni storiche dell’utilizzo di queste formule lessicali, occorre tornare ad analizzare l’art. 25 del GDPR.

Vero che al primo comma, con formula assai ridondante, esso specifica che "[…] sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate […] volte ad attuare in modo efficace i principi di protezione dei dati […] e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati".

Ma al secondo comma esso specifica che "Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica".

Il secondo comma enuncia quindi un principio assai diverso, ovvero quello della minimizzazione (invero richiamato ad esempio, assieme alla pseudonimizzazione, anche dal primo comma): non possono essere trattati dati personali ulteriori rispetto a quelli minimi indispensabili per ogni specifica finalità. I dati raccolti non possono essere conservati per tempi ulteriori rispetto a quelli minimi necessari. E ancora non è consentito l’accesso ad un numero indefinito di dati personali da parte di macchine ("senza l’intervento della persona fisica").

Tali ulteriori contenuti non possono essere sottaciuti o svalutati, a tacer d’altro in considerazione del richiamo dell’art. 25 contenuto nell’art. 83, comma 2, lett. d (le eventuali sanzioni saranno comminate dall’Autorità di controllo avute anche presenti le misure tecniche ed organizzative messe in atto ai sensi degli artt. 25 e 32).

Visto che l’attuazione di una disciplina passa anche per la correttezza delle informazioni che vengono veicolate agli operatori pratici, suggerirei quindi di abbandonare il riferimento alla "privacy by default", concetto del resto già contenuto in quello di "privacy by design" e di riferirsi al principio di minimisation o minimizzazione.

Forse basterebbe però richiamarsi al c.d. principio di necessità nel trattamento dei dati, contenuto nell’art. 3 del D.Lgs. 30/06/2003, n. 196, Codice in materia di protezione dei dati personali italiano, il quale, giova rammentarlo, recita "I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l'interessato solo in caso di necessità".

Detto articolo non dovrà quindi considerarsi in alcun modo superato dalle nuove disposizioni europee, ma semmai rafforzato ed ulteriormente ampliato nella sua sfera di applicazione.

Per concludere occorre specificare che questo approccio soggettivo alla privacy, che mette il soggetto uti singulus al centro della tutela giuridica, a cui il GDPR in larga parte si ispira, con buona probabilità si dimostrerà anch’esso insufficiente per respingere efficacemente le aggressioni alla privacy perpetrate dall’analisi predittiva (big data analytics ed intelligenza artificiale), essendo dimostrato che la fiducia nei confronti del consenso informato degli utenti è malriposta (cfr. Solove, "Introduction: Privacy Selfmanagement and The Consent Dilemma", in Harvard Law Review, 2013, p. 1880 ss.).

Maggiori probabilità di successo possono avere i meccanismi di certificazione nonché la previsione di sigilli e marchi di protezione dei dati (disciplinati dagli artt. 42 e ss. e richiamati dall’ultimo comma dell’art. 25 del GDPR). Sul punto si condividono quindi le riflessioni espresse da Mantelero, "Responsabilità e rischio nel Reg. UE 2016/679", in Nuove leggi civ. comm., 2017, 1, 144.