Près de vingt ans après l'entrée en vigueur de la première loi italienne sur le sujet de la vie privée, le règlement européen a été publié en mai dernier qui intègre substantiellement la législation en la matière. L'objectif est de reconnaître un niveau de protection des données personnelles plus élevé et plus uniforme et de garantir aux citoyens un meilleur contrôle sur l'utilisation des informations les concernant.
Bien que le règlement n'ait pas besoin d'être transposé, les États membres disposent de deux ans pour adapter leur législation nationale, et les entreprises concernées – pour la plupart des administrations publiques, de grandes entreprises privées prestataires de services ainsi que des banques et des intermédiaires financiers – disposent d'une disponibilité égale en temps de s'adapter au nouveau cadre réglementaire, qui est cependant assez exigeant et non dépourvu d'aspects problématiques.
Le large champ des droits reconnus aux citoyens prévoit en effet une forte responsabilisation des entreprises et la nécessité de procéder à des interventions organisationnelles impliquant une grande partie de la structure de l'entreprise. D'un point de vue strictement opérationnel, ce qui a été dit se traduit par une augmentation substantielle des coûts, rendue nécessaire par la restructuration des processus internes et la mise en place de procédures informatiques destinées à répondre aux nouveaux besoins de traitement des informations clients.
Un engagement contraignant en ce sens concerne, par exemple, l'introduction de l'obligation pour chaque entreprise intéressée de conserver dans le temps un registre opportun et exhaustif des activités menées sous sa responsabilité concernant le traitement des données des clients. S'agissant du crédit, cette disposition comporte le risque d'introduire des modes opératoires particulièrement complexes et injustifiés, dans un contexte d'activité qui au fil des années n'a pas présenté d'occasions particulières de conflit dans les relations entre les particuliers et les banques.
Un autre engagement pour les entreprises concerne la nécessité d'acquérir de nouvelles compétences professionnelles internes spécifiques, telles que celle évoquée par la figure du "Délégué à la protection des données" qui doit nécessairement être présent au sein des entreprises où le traitement des informations comporte des risques spécifiques .
Le règlement reconnaît en outre aux citoyens le droit d'être représentés par un organisme à but non lucratif, dont l'activité est reconnue d'utilité publique, qui pourra porter plainte et exercer la réparation des dommages au nom des clients en cas de violation des dispositions du règlement lui-même. Cette disposition réglementaire présente le risque de « favoriser » les contentieux intentés par les particuliers contre les entreprises, dans l'espoir de poursuivre une indemnisation « facile » rendue possible par des dispositions conçues dans le but précis de protéger les droits de l'une des parties en litige.
Enfin, il faut souligner une augmentation considérable des sanctions pécuniaires et administratives envisagées par le nouveau dispositif, qui peuvent atteindre un maximum de 20 millions d'euros ou jusqu'à 4 % du chiffre d'affaires annuel total du responsable du traitement de données ; chaque État membre est cependant laissé libre d'adopter des sanctions supplémentaires et plus incisives.
Nous verrons donc dans un avenir proche comment le législateur national procédera concrètement à la transposition du nouveau système de réglementation, confiant que les justes exigences liées à la protection de la vie privée des citoyens sont adéquatement conciliées avec les besoins tout aussi importants des entreprises et des banques de fonctionner sans des charges excessives, dans une juste perspective de proportionnalité et d'équilibre, surtout dans le contexte actuel de crise marqué par la prolifération continue des règles prudentielles, qui deviennent progressivement plus contraignantes et omniprésentes.
