La protezione dei dati personali nel diritto internazionale e il confronto con la normativa turca

La protezione dei dati personali è divenuta una componente imprescindibile dell'ordinamento giuridico moderno, nel contesto dell'odierno regime internazionale dei diritti umani e dei sistemi normativi nazionali. In particolare, la riservatezza della vita privata, sancita dall'articolo 12 della Dichiarazione universale dei diritti umani delle Nazioni Unite e dall'articolo 17 del Patto internazionale relativo ai diritti civili e politici delle Nazioni Unite, costituisce il fondamento normativo della protezione dei dati personali. Per effetto della trasformazione innescata dal processo di digitalizzazione, accelerato nell'ultimo quarto del XX secolo, tale protezione ha cessato di essere un lusso giuridico ed è emersa come una necessità giuridica. In questa prospettiva, strumenti quali la Convenzione del Consiglio d'Europa sulla protezione delle persone rispetto al trattamento automatizzato dei dati a carattere personale, le Linee guida dell'Organizzazione per la cooperazione e lo sviluppo economico, il Regolamento generale sulla protezione dei dati dell'Unione europea (che in questo articolo richiameremo brevemente come GDPR) e, nel diritto turco, la Legge n. 6698 sulla protezione dei dati personali hanno elevato la protezione dei dati personali, in conformità con la prassi internazionale e con la giurisprudenza, a categoria fondamentale di diritti garantiti da norme positive.

Introduzione

I dati personali sono definiti in modo ampio, includendovi ogni tipo di informazione relativa a una persona fisica, e tale impostazione rafforza altresì il fondamento di legittimità del trattamento dei dati. L'opinione generalmente condivisa nella dottrina internazionale individua le condizioni minime delle attività di trattamento dei dati, quali la raccolta, la registrazione, la conservazione, la modifica, la comunicazione, il trasferimento e la cancellazione, nell'ambito dei principi del consenso, della finalità legittima, della proporzionalità e della liceità. Mentre il titolare del trattamento è l'attore primario che determina le finalità e i mezzi dell'attività di trattamento, il responsabile del trattamento è un attore secondario che svolge processi tecnici od operativi secondo le istruzioni e sotto il controllo del titolare. L'interessato, a sua volta, è il soggetto di tale rapporto giuridico, la parte più importante, i cui interessi devono essere tutelati, e al tempo stesso il titolare di diritti garantiti sul piano normativo a livello nazionale e internazionale. In Europa tali diritti sono sostenuti dalla giurisprudenza della Corte europea dei diritti dell'uomo e della Corte di giustizia dell'Unione europea; l'autonomia e la tutela dell'interessato figurano così tra gli elementi irrinunciabili che assicurano la legittimità degli ordinamenti giuridici.

Su scala globale, la struttura giuridica relativa alla protezione dei dati personali ha acquisito ampiezza e profondità per il tramite di tali organi; la giurisprudenza da essi prodotta ha arricchito il significato dei concetti rilevanti, definendone i confini. In tal modo la protezione dei dati personali ha superato la concezione classica della riservatezza e, in particolare nel campo del diritto dell'informatica, si è resa autonoma, acquisendo un fondamento normativo sovranazionale. L'impostazione generale consolidata nella letteratura giuridica è che la protezione dei dati personali, nell'era digitale, abbia assunto la natura di diritto umano.

La struttura della disciplina giuridica relativa alla protezione dei dati personali a livello internazionale presenta un carattere stratificato, pluralistico ed evolutivo, e rinvia a un quadro in costante trasformazione attraverso fonti normative sovranazionali, regimi regionali e giurisprudenza. In questo contesto, i principali strumenti in materia di diritti umani elaborati dalle Nazioni Unite definiscono i valori minimi relativi alla protezione dei dati personali e svolgono una funzione universale, in particolare mediante il rinvio alla riservatezza della vita privata e al diritto alla privacy. Le Linee guida dell'OCSE del 1980 sui flussi transfrontalieri di dati, intitolate «LINEE GUIDA DELL'OCSE SULLA SICUREZZA DEI SISTEMI INFORMATIVI», hanno tenuto conto della dimensione dei dati nelle relazioni economiche in via di globalizzazione, nel commercio transfrontaliero e nelle reti di comunicazione digitale, offrendo un quadro normativo che indirizza gli Stati ad assicurare la validità internazionale delle rispettive normative sulla protezione dei dati. In tale processo, testi internazionali vincolanti come la Convenzione n. 108 del Consiglio d'Europa (la convenzione sulla protezione delle persone rispetto al trattamento automatizzato dei dati a carattere personale, cui ho appena fatto cenno), prevedendo determinati standard minimi per gli Stati contraenti, hanno posto le basi per la formazione di un'infrastruttura normativa. L'approccio di fondo che ne è derivato è stato quello di introdurre nei sistemi giuridici nazionali un livello minimo di protezione, rafforzando così principi quali la liceità, la proporzionalità, la finalità legittima e il rispetto dei diritti fondamentali dell'interessato nel trattamento dei dati personali.

L'Unione europea ha avviato il proprio approccio alla protezione dei dati personali con la Direttiva sulla protezione dei dati del 1995, per poi aggiornarlo con il Regolamento generale sulla protezione dei dati (GDPR), direttamente applicabile, dando vita a un quadro normativo funzionale e avanzato, in grado di rispondere alle esigenze dei dati nell'epoca moderna. Le innovazioni introdotte dal GDPR nel settore della protezione dei dati hanno avuto un impatto rilevante non soltanto negli Stati membri dell'UE, ma anche su scala globale; con regole quali l'efficacia dissuasiva delle sanzioni amministrative, il riconoscimento del diritto alla portabilità dei dati, l'obbligo di nominare i responsabili della protezione dei dati e l'approfondimento del principio di responsabilizzazione, esso ha costituito un modello per altri ordinamenti giuridici. Le normative sulla protezione dei dati del Brasile, del Giappone, della Corea del Sud e di Paesi analoghi e, in particolare, la Legge n. 6698 sulla protezione dei dati personali, che ci interessa più da vicino, si sono ispirate direttamente o indirettamente al GDPR, sia pure a livelli diversi e con adattamenti alle proprie esigenze giuridiche. In questo processo, la giurisprudenza degli organi giurisdizionali internazionali non si è limitata a interpretare le norme sulla protezione dei dati personali, ma ha anche chiarito la portata dei concetti, orientando così lo sviluppo di questo settore del diritto.

I principi di protezione dei dati nel diritto internazionale e i diritti dell'interessato

I regimi di protezione dei dati nel diritto internazionale si sono sviluppati in un quadro fondato sui diritti umani, che assume come base i diritti e le libertà fondamentali dell'individuo, e sono strutturati attorno a una serie di principi riconosciuti a livello sovranazionale. Tali principi mirano a rafforzare il controllo dell'individuo sulla riservatezza dei propri dati e ad assicurare che le attività di trattamento siano svolte in modo lecito, trasparente e proporzionato. Pur costituendo i pilastri fondamentali del diritto internazionale, essi si sono consolidati, in primo luogo grazie al GDPR e alla giurisprudenza elaborata dalle autorità giurisdizionali, e nel tempo hanno acquisito un carattere normativo universale.

• Principio di liceità
  Il principio di liceità prevede che il trattamento dei dati personali debba fondarsi esclusivamente su una base giuridicamente valida. Tale principio impone che il trattamento dei dati abbia un fondamento legittimo ed esplicito, anziché poggiare su mere esigenze amministrative, economiche o tecnologiche. La liceità può fondarsi su diverse basi giuridiche, quali il consenso dell'individuo, le necessità contrattuali, gli obblighi di legge e l'interesse pubblico. In particolare, l'articolo 6 del GDPR disciplina in modo dettagliato le condizioni di liceità del trattamento e stabilisce che i dati possano essere trattati senza consenso soltanto in determinate situazioni previste dalla legge. In caso di violazione di questo principio, le attività del titolare del trattamento sono considerate invalide ed egli si espone a gravi sanzioni amministrative. Se da un lato la liceità offre una garanzia fondamentale per la tutela dei diritti degli individui sui propri dati, dall'altro essa delimita con chiarezza l'ambito di responsabilità di chi tratta i dati.

• Principio di trasparenza
  Il principio di trasparenza garantisce che l'interessato sia informato su come, per quale finalità, da chi e per quanto tempo siano trattati i suoi dati personali. L'obbligo di informativa è la manifestazione più importante del principio di trasparenza e comprende il dovere del titolare del trattamento di informare l'individuo, al momento della raccolta dei dati o nel corso del trattamento, con un linguaggio chiaro, comprensibile e facilmente accessibile. Gli articoli da 12 a 14 del GDPR dettagliano l'obbligo di informazione mediante disposizioni che tutelano la trasparenza. Sulla base di tali informazioni gli interessati possono decidere se acconsentire o meno al trattamento dei propri dati e, al contempo, esercitare in modo efficace i propri diritti. Poiché la mancata applicazione di questo principio renderebbe i dati degli individui esposti a un uso arbitrario o abusivo, la sua violazione comporta sanzioni rilevanti nel diritto della protezione dei dati.

• Principio di limitazione della finalità
  Il principio di limitazione della finalità prescrive che i dati personali siano raccolti soltanto per finalità determinate, esplicite e legittime e non siano utilizzati al di fuori di tali finalità. Il trattamento dei dati raccolti, in fasi successive, per finalità diverse costituisce una violazione di questo principio. Il principio è espressamente disciplinato dall'articolo 5, paragrafo 1, lettera b), del GDPR, che prevede che il trattamento dei dati sia limitato alle finalità stabilite e che tali finalità siano chiaramente comunicate all'interessato. Ad esempio, l'utilizzo a fini di profilazione, senza il consenso dell'individuo, di dati raccolti da un titolare del trattamento per finalità di marketing integra una violazione di questo principio. La limitazione della finalità è un'importante garanzia giuridica che tutela l'autonomia dell'individuo impedendo l'uso arbitrario o abusivo delle attività di trattamento dei dati.

• Principio di minimizzazione dei dati
  Il principio di minimizzazione dei dati significa che i dati raccolti devono essere proporzionati alla finalità, adeguati e limitati. Questo principio mira a porre fine alle pratiche di raccolta di dati eccessiva e non necessaria. In particolare con la diffusione delle tecnologie di intelligenza artificiale, il principio di minimizzazione dei dati ha acquisito maggiore importanza; l'eccesso di dati personali ha generato rischi seri per la riservatezza degli individui. Mentre l'articolo 5, paragrafo 1, lettera c), del GDPR disciplina nel dettaglio questo principio, esso impone ai titolari del trattamento di raccogliere e trattare soltanto il minimo di dati necessario per la finalità stabilita. Ad esempio, mentre una piattaforma di commercio elettronico dovrebbe raccogliere soltanto i dati necessari per l'elaborazione degli ordini, la raccolta di dati aggiuntivi non necessari costituisce una violazione di questo principio.

• Principio di limitazione della conservazione
  Il principio di limitazione della conservazione prevede che i dati personali siano conservati per il tempo necessario alla finalità per cui sono trattati e che, alla scadenza di tale periodo, siano cancellati o resi anonimi. Questo principio mira a evitare che i dati siano conservati inutilmente, costituendo una minaccia prolungata per la riservatezza dell'individuo. L'articolo 5, paragrafo 1, lettera e), del GDPR, riconoscendo che i dati rappresentano una minaccia per i diritti dell'individuo fintanto che presentano il carattere dell'«identificabilità», stabilisce che essi non debbano essere conservati oltre il periodo necessario. Ad esempio, la prosecuzione della conservazione dei dati personali raccolti nel corso di un processo di candidatura lavorativa dopo la conclusione del processo di selezione è contraria a questo principio. La limitazione del periodo di conservazione impone ai titolari del trattamento di predisporre una politica di distruzione dei dati, impedendo che i dati siano conservati in maniera continuativa.

• Diritto di rettifica
  Il diritto di rettifica attribuisce all'interessato il potere di chiedere la correzione di qualsiasi lacuna, inesattezza o mancato aggiornamento dei propri dati personali trattati. L'articolo 16 del GDPR disciplina questo diritto, ponendo a carico del titolare del trattamento l'obbligo di dare seguito a tali richieste. Fondandosi sull'esattezza dei dati personali, questo principio garantisce la correzione di informazioni false o fuorvianti relative all'identità dell'individuo. Ad esempio, un indirizzo o un numero di telefono registrato in modo errato presso una banca deve essere corretto o aggiornato su richiesta dell'individuo. Questo diritto impedisce che l'individuo sia rappresentato in modo non veritiero, in particolare sulle piattaforme accessibili al pubblico, ed è di grande importanza per la sicurezza dei dati dell'individuo.

• Diritto all'oblio
  Il «diritto all'oblio» indica il diritto dell'individuo di chiedere la cancellazione dei propri dati personali quando il loro trattamento non è più necessario o quando si accerta che i dati sono stati trattati in modo illecito. L'articolo 17 del GDPR sviluppa nel dettaglio questo diritto e consente all'individuo di chiedere, per motivi legittimi, la cessazione delle attività di trattamento dei dati. Il diritto all'oblio garantisce che i dati personali che lasciano una traccia permanente e irreversibile, in particolare negli ambienti digitali, possano essere rimossi su richiesta dell'individuo. Questo diritto è emerso nel quadro del rispetto della riservatezza digitale dell'individuo posto in rilievo nella sentenza «Google Spain» della CGUE. La sentenza ha stabilito che Google, nell'ambito del servizio del proprio motore di ricerca, è un titolare del trattamento responsabile del trattamento di dati personali, e ha statuito che gli individui possono chiedere la rimozione dei propri dati personali dai risultati di ricerca qualora tali dati siano sproporzionati, non pertinenti o non più aggiornati.

• Diritto alla portabilità dei dati
  Il diritto alla portabilità dei dati consente all'individuo di ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico e di trasmettere tali dati a un altro titolare del trattamento. Questo diritto, disciplinato dall'articolo 20 del GDPR, rafforza la struttura concorrenziale del mercato digitale attribuendo agli interessati la libertà di spostare i propri dati tra diversi fornitori di servizi. Riducendo la dipendenza degli individui, in particolare nel passaggio dei dati da una piattaforma all'altra, consente loro di compiere scelte più libere. Ad esempio, un individuo può chiedere a un fornitore di servizi musicali la cronologia di ascolto e le playlist e trasferire tali dati a un'altra piattaforma. In quanto uno dei pilastri dell'economia digitale, questo diritto rafforza l'autonomia degli interessati e contribuisce a migliorare la qualità dei servizi.

Il diritto turco e la Legge n. 6698 sulla protezione dei dati personali

Per molti anni il diritto turco ha presentato, nel campo della protezione dei dati, una struttura normativa fondata su discipline frammentarie, settoriali e parziali; il quadro giuridico della protezione dei dati personali poteva essere ricostruito solo in modo disperso tra diverse leggi e regolamenti. In particolare, la disposizione sulla riservatezza della vita privata aggiunta all'articolo 20 della Costituzione con la modifica costituzionale del 2010 ha messo chiaramente in evidenza l'esigenza di una legge autonoma e organica in questo settore. A seguito di tale esigenza, la Legge n. 6698 sulla protezione dei dati personali (KVKK), entrata in vigore nel 2016, ha rappresentato una svolta nel campo della protezione dei dati nel diritto turco; con tale disciplina sono stati definiti i principi relativi al trattamento, alla protezione e al trasferimento dei dati personali.

La struttura di base della KVKK è stata costruita ispirandosi alla «Direttiva dell'UE sulla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati» (Direttiva 95/46/CE) e alle norme del GDPR, e ha rappresentato anche un passo importante nel contesto del processo di armonizzazione che la Turchia sta conducendo con l'Unione europea. Concretizzando i principi universali del diritto della protezione dei dati, quali la liceità, la finalità legittima, la proporzionalità, la sicurezza dei dati e il consenso esplicito, la KVKK ha dato legittimazione al rapporto giuridico tra titolari del trattamento e interessati.

In particolare per quanto riguarda il trattamento delle categorie particolari di dati personali, la legge ha previsto regole più rigorose per il trattamento dei dati, rendendo obbligatorie condizioni quali il requisito del consenso esplicito e l'adozione delle necessarie misure tecniche e amministrative. Mentre l'obbligo di informativa esprime il dovere dei titolari del trattamento di rendere trasparenti i propri processi di trattamento dei dati, il requisito del consenso esplicito sottolinea la necessità che l'individuo acconsenta alle attività di trattamento in modo consapevole, libero e per una finalità determinata. Gli obblighi di sicurezza dei dati a carico dei titolari del trattamento, a loro volta, rendono obbligatoria l'adozione delle necessarie misure amministrative e tecniche per proteggere i dati personali trattati da accessi non autorizzati, violazioni e usi impropri. Inoltre, in caso di accertamento di violazioni di dati personali, il titolare del trattamento ha anche l'obbligo di notificare la circostanza al Consiglio per la Protezione dei Dati Personali e agli interessati.

Nell'applicazione della KVKK, l'Autorità per la Protezione dei Dati Personali (Autorità KVK) svolge un ruolo vitale in quanto autorità amministrativa indipendente. Mediante le indagini avviate d'ufficio o su reclamo, il Consiglio dispone dei poteri e dei compiti di assicurare l'efficace applicazione delle disposizioni della KVKK, di orientare la prassi pubblicando linee guida e comunicati e di accrescere l'effetto dissuasivo esercitando il potere di irrogare sanzioni amministrative in caso di violazioni. In questo processo, cooperando con le autorità internazionali per la protezione dei dati (ad esempio il Comitato europeo per la protezione dei dati - EDPB, l'OCSE e il Consiglio d'Europa), il Consiglio contribuisce all'affermarsi in Turchia di una cultura globale della protezione dei dati.

Ai fini della concretizzazione della KVKK, la normativa secondaria, ad esempio regolamenti, comunicati e decisioni del Consiglio, assicura certezza del diritto, in particolare nei processi di trattamento dei dati più complessi. Il Consiglio, che pubblica documenti di orientamento su temi quali il trasferimento transfrontaliero di dati, i servizi di cloud computing e le attività di trattamento dei dati basate sull'intelligenza artificiale, mira anche, a ben vedere, a costruire un assetto giuridico compatibile con la tecnologia. Tuttavia, in proposito la Turchia non ha ancora reso pubblico un elenco di Paesi sicuri per il trasferimento transfrontaliero di dati; ciò ha generato problemi di imprevedibilità nei flussi internazionali di dati. Rispetto al GDPR, l'esigenza di riforma della Turchia in questo settore era più evidente e occorreva sviluppare meccanismi come le clausole contrattuali tipo e le norme vincolanti d'impresa, idonei ad agevolare i flussi internazionali di dati. In questo quadro, le modifiche apportate alla Legge sulla protezione dei dati personali dalla Legge n. 7499 hanno introdotto importanti novità per rafforzare l'allineamento in materia di protezione dei dati personali e per risolvere i problemi riscontrati nella prassi. Tra le modifiche, una delle più rilevanti è stata la nuova disciplina delle attività di trattamento dei dati nell'ambito del trasferimento transfrontaliero di dati. Con tali modifiche la Turchia ha accelerato gli sforzi per dare attuazione a disposizioni analoghe alla logica dell'elenco dei «Paesi sicuri» del GDPR. È previsto che il Consiglio esamini il livello di protezione dei dati dei Paesi interessati e renda noti i Paesi ritenuti sicuri. Inoltre, la modifica ha dettagliato le modalità di trasferimento dei dati all'estero, quali l'esistenza di una decisione di adeguatezza, il trasferimento fondato su garanzie, il consenso esplicito dell'interessato, l'esecuzione di un contratto e l'interesse pubblico. Con tali modifiche sono stati compiuti passi importanti verso un assetto della KVKK parallelo a quello del GDPR.

Sebbene tali modifiche abbiano avvicinato la legge alle normative internazionali, l'opinione prevalente in dottrina è che la KVKK debba avvicinarsi ulteriormente agli standard del GDPR, sia nel contenuto testuale sia nelle prassi applicative. Ad esempio, il fatto che alcuni diritti disciplinati in modo dettagliato dal GDPR, come il diritto alla portabilità dei dati, trovino nella KVKK una previsione soltanto limitata rende più difficile per la Turchia ottenere lo status di «protezione adeguata» sotto il profilo del diritto della protezione dei dati.

La Legge n. 6698 sulla protezione dei dati personali (KVKK) della Turchia è stata predisposta con lo scopo di creare un quadro compatibile con gli standard internazionali; principi fondamentali come la liceità, la proporzionalità, la limitazione della finalità e la sicurezza dei dati sono al centro della protezione dei dati personali sia nella KVKK sia nel GDPR. L'obbligo di informativa a carico dei titolari del trattamento e il requisito di ottenere il consenso esplicito nel trattamento dei dati personali figurano tra le disposizioni in cui la KVKK si è ispirata direttamente al GDPR. Tali disposizioni mirano ad accrescere il controllo dell'individuo sui propri dati e ad assicurare la trasparenza nelle attività di trattamento dei dati.

Inoltre, come nel GDPR, anche la KVKK riconosce agli individui diritti fondamentali quali il diritto di accesso, il diritto di rettifica e il diritto alla cancellazione, imponendo ai titolari del trattamento l'obbligo di adottare misure tecniche e amministrative. Anche il fatto che la KVKK preveda regole rigorose sul trattamento delle categorie particolari di dati personali è un ulteriore importante elemento di somiglianza con il GDPR. Inoltre, l'istituzione dell'Autorità per la Protezione dei Dati Personali nell'ambito della KVKK si fonda sul modello delle autorità nazionali di controllo previsto dal GDPR. Tutti questi esempi dimostrano che la KVKK è stata influenzata in misura significativa dalle norme internazionali e, in particolare, dal GDPR, e che essa mira di conseguenza a creare una cultura della protezione dei dati che tuteli i diritti dell'individuo e sia fondata sulla responsabilizzazione e sull'affidabilità.

Tuttavia, nonostante tali analogie, permangono ancora alcune differenze nelle discipline di dettaglio e nei meccanismi applicativi. Tali differenze producono conseguenze degne di nota nella prassi, sia con riguardo ai diritti degli interessati sia con riguardo agli obblighi dei titolari del trattamento. A titolo esemplificativo: mentre il diritto alla portabilità dei dati si distingue come una delle innovazioni introdotte dal GDPR, nella KVKK tale diritto non è disciplinato con la stessa portata. Il diritto alla portabilità dei dati, disciplinato dall'articolo 20 del GDPR, come abbiamo appena ricordato, offre la possibilità di trasmettere i dati a un altro titolare del trattamento. In Turchia non esiste invece una disposizione analoga sul diritto alla portabilità dei dati; ciò limita il controllo degli individui sui propri dati.

Un'altra differenza importante riguarda l'obbligo di nominare un responsabile della protezione dei dati. Ai sensi dell'articolo 37 del GDPR, la nomina di un responsabile della protezione dei dati è considerata un obbligo per le autorità pubbliche, per coloro che svolgono attività di trattamento di dati su larga scala o per coloro che gestiscono processi di trattamento di dati a rischio. Il responsabile della protezione dei dati assume responsabilità cruciali, quali sorvegliare la liceità delle attività di trattamento, dare seguito alle richieste relative ai diritti degli interessati e tenere i contatti con l'autorità di regolamentazione competente. Nella KVKK, invece, non è previsto un obbligo di tal genere e si indica soltanto che, al riguardo, devono essere adempiuti gli obblighi di sicurezza dei dati. Se da un lato ciò offre una maggiore flessibilità agli enti che trattano dati su larga scala rispetto al GDPR, dall'altro indebolisce l'obbligo di responsabilizzazione dei titolari del trattamento e impedisce l'instaurazione di un efficace meccanismo di controllo nei processi di protezione dei dati.

Anche sotto il profilo delle sanzioni amministrative la KVKK si distingue chiaramente dal GDPR. Il GDPR prevede sanzioni amministrative pecuniarie molto severe in caso di violazione degli obblighi dei titolari del trattamento. Ad esempio, a seconda della violazione, ai sensi del GDPR possono essere applicate sanzioni fino al 4% del fatturato mondiale annuo oppure fino a 20 milioni di euro. Tali sanzioni accrescono l'effetto dissuasivo del GDPR e la sua efficacia nel diritto della protezione dei dati. Tuttavia, i massimali delle sanzioni amministrative pecuniarie previste dalla KVKK restano relativamente più bassi. Pur essendo state apportate, con la Legge n. 7499 di cui ho appena parlato, modifiche volte ad aumentare le sanzioni amministrative pecuniarie, si osserva che tali sanzioni non raggiungono il livello del GDPR. Ciò comporta che, in caso di violazione, gli oneri finanziari dei titolari del trattamento restino contenuti e, di conseguenza, che l'effetto dissuasivo nel settore della protezione dei dati rimanga debole.

Il diritto della protezione dei dati non si esaurisce in regole definite a livello legislativo, ma presenta una struttura dinamica e in continua evoluzione. Tale struttura dinamica trova concretizzazione nella giurisprudenza e nelle decisioni delle autorità di regolamentazione e viene aggiornata adattandosi ai nuovi sviluppi tecnologici. In particolare, le sentenze della Corte di giustizia dell'Unione europea (CGUE) e della Corte europea dei diritti dell'uomo (CEDU) svolgono un ruolo di guida nello sviluppo del diritto internazionale della protezione dei dati. Assumendo a fondamento la tutela della vita privata ai sensi dell'articolo 8 della Convenzione europea dei diritti dell'uomo, la CEDU esamina con attenzione gli effetti delle attività di trattamento dei dati sulla riservatezza degli individui e sottolinea che l'ingerenza in tale diritto deve fondarsi su uno scopo legittimo, sul principio di proporzionalità e su una base giuridica. La Corte elabora una giurisprudenza che tutela la riservatezza dell'individuo ponendo in primo piano i diritti degli interessati, in particolare nelle cause relative alle attività di sorveglianza su larga scala degli Stati o ai processi di trattamento dei dati delle società private.

Anche le autorità di regolamentazione svolgono una funzione importante nell'applicazione del diritto della protezione dei dati. Nell'Unione europea il Comitato europeo per la protezione dei dati adotta decisioni di orientamento sull'applicazione del GDPR e assicura la cooperazione tra le autorità per la protezione dei dati degli Stati membri. Le linee guida pubblicate dal Comitato europeo per la protezione dei dati assicurano che le attività di trattamento siano svolte in modo lecito e forniscono principi applicativi dettagliati su temi quali l'uso dei cookie, la profilazione, i processi decisionali automatizzati basati sull'intelligenza artificiale e il trattamento dei dati dei minori. Tali linee guida, mentre offrono ai titolari del trattamento prevedibilità e orientamento nei processi di conformità, pongono al tempo stesso le basi affinché gli individui possano esercitare più efficacemente i propri diritti.

In Turchia, il Consiglio per la Protezione dei Dati Personali (Consiglio KVK), in quanto autorità più competente a garantire l'applicazione della KVKK, vigila sulla liceità delle attività di trattamento dei dati e applica sanzioni amministrative ai titolari del trattamento. Con le decisioni adottate a seguito delle indagini avviate d'ufficio o su reclamo, il Consiglio concretizza i principi di certezza del diritto e di prevedibilità della KVKK e chiarisce al tempo stesso gli obblighi dei titolari e dei responsabili del trattamento. Ad esempio, nelle decisioni relative al consenso esplicito si sottolinea che il consenso deve fondarsi sulla libera volontà, essere specifico ed essere prestato sulla base di un'adeguata informazione, e si precisa espressamente che i consensi espliciti non conformi a tali criteri saranno considerati invalidi. Analogamente, le decisioni del Consiglio KVK in materia di violazioni dei dati hanno evidenziato l'importanza dell'obbligo di pronta notifica in caso di violazione; nei casi in cui i titolari del trattamento non hanno adempiuto l'obbligo di adottare misure tecniche e amministrative, sono state applicate sanzioni amministrative.

Inoltre, le decisioni del Consiglio plasmano la prassi applicativa anche in ambiti quali il trattamento delle categorie particolari di dati personali, la violazione delle misure di sicurezza dei dati e il mancato adempimento dell'obbligo di informativa, e contribuiscono alla formazione di un meccanismo giurisprudenziale nel diritto turco.

In tal modo, la giurisprudenza e le decisioni delle autorità di regolamentazione consentono al diritto della protezione dei dati di trasformarsi da ambito meramente normativo in una struttura che si adatta agli sviluppi tecnologici, tutela efficacemente i diritti degli individui e rafforza gli obblighi dei titolari del trattamento. Tale processo riveste grande importanza ai fini dell'avvicinamento della Turchia agli standard internazionali nelle prassi applicative della KVKK e garantisce i diritti digitali degli individui su un fondamento giuridico più solido.

Conclusioni

In conclusione, mentre la protezione dei dati personali assume una dimensione sempre più complessa nella realtà digitale del nostro tempo, il diritto in questo ambito evolve verso una struttura dinamica, poliedrica e in continua trasformazione, che non si esaurisce nella mera disciplina normativa. Da un lato, l'intelligenza artificiale e analoghe innovazioni tecnologiche creano nuovi ambiti di rischio, carichi di incognite, nella raccolta, nel trattamento, nella conservazione e nel trasferimento dei dati, che le normative non avevano previsto, il che costringe gli ordinamenti giuridici nazionali e internazionali a sviluppare norme più flessibili, adattive e lungimiranti.

Dal punto di vista della Turchia, il progressivo avvicinamento della KVKK agli standard internazionali, in particolare al GDPR, è un investimento strategico che rafforzerà la sua posizione nell'economia globale dei dati. A tal fine non è sufficiente rivedere i testi giuridici. Il fatto che la Turchia ottenga lo status di «Paese sicuro» e assicuri così la prevedibilità dei flussi di dati contribuirà a far sì che tanto gli investitori stranieri quanto le società multinazionali vedano la Turchia come un polo di trattamento dei dati preferibile. Tuttavia, il conseguimento di tale status richiede non soltanto modifiche legislative, ma anche lo sviluppo dell'Autorità, l'accrescimento delle competenze degli operatori mediante attività di formazione, il rafforzamento della partecipazione della società civile ai processi decisionali, l'incentivazione della capacità del mondo accademico di produrre conoscenza e proposte di policy, nonché il miglioramento delle politiche aziendali da parte del settore privato attraverso investimenti nella protezione dei dati. In questo processo è indispensabile che il diritto sviluppi approcci che tengano conto delle dimensioni sociali, economiche, culturali ed etiche, oltre che del passo con le innovazioni tecniche. Partecipando attivamente a questa trasformazione, la Turchia, con una solida struttura istituzionale, riforme organiche orientate all'applicazione, un'intensa interazione tra i portatori di interesse e prospettive multidimensionali, potrà offrire il proprio contributo originale alla costruzione del diritto globale della protezione dei dati. In tal modo il diritto della protezione dei dati diverrà parte irrinunciabile di un ordine sostenibile, efficace, equo e prevedibile, che garantirà i diritti digitali delle generazioni future.

Avv. Mehmet Emre DARICI