Il Coreper, il comitato degli ambasciatori degli Stati membri presso l’Unione europea, ha approvato la posizione del Consiglio sul Digital Omnibus. Il pacchetto della Commissione punta a semplificare le regole digitali. La posizione del Consiglio propone una modifica del GDPR che consentirebbe alle aziende di usare dati personali per sviluppare e far funzionare sistemi e modelli di intelligenza artificiale senza chiedere il consenso.
La base giuridica indicata sarebbe il «legittimo interesse» dell’azienda o di terzi. Non è però una modifica già in vigore: il testo approvato è il mandato con cui il Consiglio negozierà con il Parlamento europeo. La versione definitiva dipenderà dal confronto tra Consiglio, Parlamento e Commissione.
Quali garanzie cambierebbero?
La proposta iniziale della Commissione diceva che il legittimo interesse non poteva prevalere quando fossero più importanti i diritti della persona, in particolare quelli dei minori. Il Consiglio ha tolto questa frase dall’articolo 88 bis e l’ha inserita in un considerando, cioè una premessa che spiega il regolamento ma non ha la stessa forza delle sue norme. Il considerando aggiunge che sviluppare un sistema di IA non costituisce automaticamente un legittimo interesse e che ogni caso va valutato separatamente.
Il Consiglio ha anche eliminato dall’articolo le garanzie specifiche proposte dalla Commissione: limitare i dati a quelli strettamente necessari, impedire al modello di restituire informazioni personali apprese e assicurare maggiore trasparenza. La Commissione prevedeva inoltre un diritto di opposizione senza obbligo di motivazione. La posizione del Consiglio rimanda invece all’articolo 21 del GDPR: l’azienda potrebbe continuare a usare i dati se dimostra di avere motivi legittimi prevalenti.
L’organizzazione per la privacy noyb, fondata da Max Schrems, critica la proposta. Secondo noyb, potrebbe rendere il legittimo interesse una base presunta e consentire alle grandi piattaforme di riutilizzare dati raccolti anni fa, anche di persone che non sono mai state loro clienti. È la valutazione dell’organizzazione, non un esito già stabilito.
La decisione è ancora da prendere
Il Parlamento europeo non ha ancora definito una posizione, secondo DDay.it. Nell’articolo si riferisce che il PPE vorrebbe ulteriori deroghe, mentre i gruppi di centrosinistra difendono le regole attuali. Il testo finale sarà deciso nel trilogo, il negoziato tra Parlamento, Consiglio e Commissione. Noyb ha indicato la possibilità di ricorrere alla Corte di giustizia dell’UE se la norma venisse approvata.
Per ora, quindi, i cittadini non devono cambiare le proprie impostazioni o aspettarsi che le aziende possano già usare i loro dati in base alla nuova regola. Se il testo passasse nella forma proposta dal Consiglio, opporsi potrebbe risultare meno efficace di quanto previsto dalla Commissione, ma l’esito dipende dai negoziati e dalla formulazione definitiva.
Perché conta
Per chi pubblica o conserva dati online, la proposta potrebbe rendere più semplice per le aziende invocarne l’uso nello sviluppo dell’IA e più difficile fermare il trattamento con un’opposizione. Questo è però solo uno scenario legato al testo del Consiglio: non è ancora chiaro quale regola sarà approvata né quali garanzie conterrà.
