Direttiva 95/46/CE
La Direttiva 95/46/CE del Parlamento e del Consiglio d'Europa è stato il principale strumento giuridico dell'Unione europea in materia di protezione dei dati fino al 2018, con l'entrata in vigore del Regolamento europeo (GDPR).
E' stata adottata il 24 ottobre 1995, con lo specifico scopo di armonizzare le norme in materia di protezione dei dati personali per garantire un "flusso libero" (free flow of data) dei dati e promuovere un elevato livello di tutela dei diritti fondamentali dei cittadini. L'esigenza di armonizzazione nasceva dalla frammentazione in materia tra i diversi paesi aderenti all'Unione, per cui si è reso necessario procedere ad un ravvicinamento delle normative nazionali che però non determinasse un indebolimento della tutela delle persone. In tale prospettiva lasciava agli Stati aderenti una libertà di manovra molto limitata.
La direttiva 95/46/CE ha avuto un ruolo strumentale rispetto all'esigenza di abbattere le frontiere all'interno dell'Unione europea, consentendo di rimuovere i limiti ai trasferimenti immateriali (appunto, free flow of data). Essendo, però, stata adottata come direttiva per il mercato interno, aveva come riferimento la regolazione degli scambi commerciali, e sia essa che le leggi nazionali di recepimento concepivano la protezione dei dati all'interno di una relazione statica tra il titolare e l'interessato, in una visione proprietaria del dato stesso. In tal senso se ne favoriva un'applicazione formalistica (tramite le informative e il consenso). Il dato era dell'interessato e quindi non poteva essere usato senza consenso, che era lo snodo fondamentale per l'utilizzo ampio del dato stesso.
Per questo motivo per lungo tempo è stata vista come un mero adempimento burocratico per raggiungere il diverso obiettivo della Convenzione di Schengen.
Art. 1 - Oggetto della direttiva
1. Gli Stati membri garantiscono, conformemente alle disposizioni della presente direttiva, la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.
La direttiva tutelava il diritto alla vita privata, come già la Convenzione 108, ed estende le tutele della Convenzione con l'introduzione di autorità di controllo indipendenti (Garanti), come strumento per la corretta attuazione delle norme nell'ambito del territorio nazionale. Tale strumento fu poi aggiunto anche alla Convenzione 108 con il Protocollo addizionale del 2001.
La direttiva si occupava anche di regolamentare il trasferimento dei dati personali al di fuori dello Spazio Economico Europeo (SEE), vietandolo se lo Stato di destinazione ha un livello di protezione non adeguato alle norme europee. Muoveva, quindi, a differenza della Convenzione 108, da una visione dell'Europa come una fortezza assediata, e si poneva l'obiettivo di creare una sorta di barriera immateriale finalizzata a proteggere le attività economiche e produttive da ingerenze esterni, di aziende che operano in paesi che non assicurano uguali tutele. In tal modo rovescia l'approccio della Convenzione 108, per la quale ogni trasferimento verso paesi terzi è lecito a meno che non vi siano problemi, adottando l'approccio opposto in base al quale nessun trasferimento è ammesso a meno che il paese terzo non garantisca una protezione adeguata.
L'applicazione della direttiva si estendeva a tutto lo Spazio Economico Europeo, quindi ben oltre il territorio dell'Unione, fino a comprendere anche l'Islanda, il Liechtenstein e la Norveglia. E' stata attuata in Italia con con la legge n. 675 del 31 dicembre 1996, poi abrogata dal Codice privacy.
La direttiva non si applicava alle questioni riguardanti la cooperazione a livello di pubblica sicurezza e giustizia penale. Altra esenzione riguardava i trattamenti di dati personali effettuati da privati per fini esclusivamente personali (art. 3 par. 2).
La direttiva del 1995 presentava evidenti carenze, dovute all'evoluzione della tecnologia, e dei trattamenti automatizzati, successivi alla sua approvazione. Quindi, sia per aggiornare la normativa in materia, rendenla più capace di adattarsi alle tecnologie emergenti, ma anche perché col Trattato di Lisbona il diritto alla protezione dei dati personali diventa un diritto fondamentale dei cittadini, quindi da garantire allo stesso modo in tutto il territorio dell'Unione, si reso necessario sostituirla col regolamento europeo (GDPR).
Direttiva ePrivacy
La direttiva 2002/58/CE (ePrivacy), poi modificata dalla direttiva 2009/136/CE, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche), è l'altro strumento normativo dell'Unione europea in materia di protezione dei dati personali.
L'aumento esponenziale dei servizi online e i conseguenti rischi per i diritti dei cittadini, da coniugare con i crescenti problemi di sicurezza, e quindi le necessità di accedere per fini di polizia e prevenzione alle telecomunicazioni, hanno portato ad un ripensamento radicale dell'intero impianto normativo, che è sfociato nella riforma del 2016. La direttiva ePrivacy sarà sostituita da un Regolamento, tutt'ora in discussione.
