IA e dati personali a Monaco: cosa cambia la legge n. 1.565
Quale legge regola l’uso dell’IA sui dati personali a Monaco?
A Monaco è la legge n. 1.565 del 3 dicembre 2024 sulla protezione dei dati personali, vigilata dall’Autorità di Protezione dei Dati Personali (APDP). Richiede una base giuridica, l’informazione delle persone, la sicurezza, un registro dei trattamenti e il rispetto dei diritti di ciascuno. PRAGMA progetta i suoi strumenti di IA in questo quadro e ve lo mostra già dall’audit gratuito.
Collegare un’IA alla posta, al CRM o ai contratti significa trattare dati personali: nomi, recapiti, conversazioni, a volte informazioni sensibili. A Monaco questo trattamento rientra in una legge recente. L’articolo riassume cosa prevede per un’azienda, sulla base del testo ufficiale pubblicato su Legimonaco, e poi spiega come PRAGMA la applica nei suoi progetti.
La legge n. 1.565 del 3 dicembre 2024 in sintesi
La legge n. 1.565 del 3 dicembre 2024 sulla protezione dei dati personali (loi relative à la protection des données personnelles) è stata pubblicata sul Journal de Monaco del 13 dicembre 2024. Abroga la legge n. 1.165 del 23 dicembre 1993 sulla protezione delle informazioni nominative, che fino ad allora disciplinava la materia nel Principato.
L’articolo 37 istituisce un’autorità amministrativa indipendente, l’Autorità di Protezione dei Dati Personali (Autorité de Protection des Données Personnelles, APDP), incaricata di controllare che i dati personali siano trattati in conformità con la legge. In base all’articolo 107, l’APDP succede alla Commission de Contrôle des Informations Nominatives (CCIN) in tutti i suoi diritti e obblighi. Sul suo sito, apdp.mc, pubblica delibere, moduli e informazioni per i professionisti.
Il testo segue una logica vicina al GDPR: l’azienda deve poter dimostrare di rispettare i principi della legge, invece di limitarsi alle formalità.
Una base giuridica per ogni trattamento
L’articolo 5 stabilisce che un trattamento è lecito solo se soddisfa almeno un requisito. Per un’azienda privata i più frequenti sono questi.
- Il consenso della persona, per una o più finalità specifiche.
- L’esecuzione di un contratto di cui la persona è parte, o di misure precontrattuali adottate su sua richiesta.
- Il rispetto di un obbligo di legge a cui l’azienda è soggetta.
- L’interesse legittimo dell’azienda o di un terzo, a meno che non prevalgano gli interessi o i diritti fondamentali della persona.
In concreto, prima di affidare a un’IA lo smistamento delle email dei clienti o la preparazione dei solleciti, bisogna sapere su quale base si fonda il trattamento e per quale finalità precisa. Un’IA che riutilizzasse quei dati per un altro scopo, senza legame con la finalità originaria, uscirebbe da questo quadro.
Informare le persone e rispettarne i diritti
Quando i dati sono raccolti direttamente presso una persona, l’articolo 11 impone di fornirle, al momento della raccolta, una serie di informazioni: l’identità del titolare del trattamento, le finalità e la base giuridica, le categorie di dati, la durata di conservazione, i destinatari e l’eventuale trasferimento fuori dal Principato.
La legge garantisce poi diritti che l’azienda deve poter rispettare: l’accesso ai dati, con risposta entro un mese dalla richiesta (articolo 12), la rettifica, la cancellazione, la limitazione del trattamento, l’opposizione e la portabilità. L’articolo 19 riconosce anche il diritto di non essere sottoposti a una decisione che produce effetti giuridici, o che incide in modo significativo sulla persona, basata unicamente su un trattamento automatizzato, compresa la profilazione, salvo le eccezioni previste dal testo.
Per uno strumento di IA questo significa ritrovare in fretta tutti i dati di una persona, poterli correggere o cancellare e lasciare un essere umano nel processo per le decisioni che contano.
Sicurezza, registro e violazioni dei dati
L’articolo 31 chiede al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate ai rischi, citando tra l’altro la pseudonimizzazione e la cifratura. L’articolo 26 esige che un responsabile del trattamento offra garanzie sufficienti e che il suo intervento sia regolato da un contratto scritto.
L’articolo 27 impone di tenere un registro scritto delle attività di trattamento: finalità, categorie di persone e di dati, destinatari, tempi di conservazione, misure di sicurezza e trasferimenti fuori dal Principato. In caso di violazione dei dati, l’articolo 32 prevede la notifica all’APDP nel più breve tempo possibile e, se possibile, entro 72 ore, salvo che la violazione non comporti rischi per le persone.
Infine l’articolo 35 prevede una valutazione d’impatto preventiva quando il trattamento, in particolare con l’uso di nuove tecnologie, può presentare un rischio elevato per i diritti e le libertà delle persone. Un progetto di IA che valuta o profila i clienti deve quindi porsi la domanda fin dall’inizio.
Trasferimenti fuori da Monaco: il punto delicato dell’IA
Molti strumenti di IA inviano i dati a server situati all’estero. La legge dedica un intero capitolo a questi trasferimenti. Secondo l’articolo 97, il trasferimento è possibile verso un paese con un livello di protezione adeguato, e gli Stati membri dell’UE si considerano tali. L’APDP ha annunciato la pubblicazione del decreto ministeriale che fissa l’elenco dei paesi, territori e organizzazioni internazionali riconosciuti come adeguati.
Verso un paese privo di questo livello, l’articolo 98 richiede garanzie, per esempio clausole tipo approvate dall’APDP o norme vincolanti d’impresa approvate. Prima di adottare uno strumento di IA occorre quindi sapere con precisione dove finiscono i dati, e non solo dove ha sede il fornitore.
Come PRAGMA applica queste regole
I nostri strumenti di IA sono progettati perché questi obblighi siano rispettati per costruzione, e non aggiunti dopo.
- Approvazione prima di ogni invio: un agente IA prepara, e nulla parte verso un cliente senza il via libera di una persona del vostro team.
- Accessi limitati: un agente accede solo agli strumenti e alle pratiche che gli aprite, e ogni collaboratore vede ciò che il suo ruolo richiede.
- Registrazione: ogni accesso e ogni azione vengono tracciati, che provengano da un collaboratore o da un agente, e restano consultabili.
- Hosting: oggi i vostri strumenti funzionano su server europei che amministriamo noi stessi. Un hosting a Monaco è in preparazione per i dati che non devono lasciare il Principato.
- I vostri dati non servono ad addestrare un modello esterno.
Questi principi contano ancora di più nelle professioni vincolate al segreto, come mostra la pagina IA per family office e studi a Monaco. Per l’offerta completa, vedete l’IA a Monaco con PRAGMA.
Questo articolo è un’informazione generale basata sul testo pubblicato su Legimonaco e sul sito dell’APDP. Non costituisce una consulenza legale: per la vostra situazione specifica rivolgetevi a un avvocato o all’APDP.
Domande frequenti
La legge n. 1.565 sostituisce la vecchia legge sulle informazioni nominative?
Sì. Abroga la legge n. 1.165 del 23 dicembre 1993 sulla protezione delle informazioni nominative, e l’APDP succede alla CCIN.
Una PMI di Monaco deve tenere un registro dei trattamenti?
La legge impone al titolare del trattamento di tenere un registro scritto delle attività di trattamento. Uno strumento di IA che tratta dati dei clienti vi rientra, con la sua finalità, i suoi dati e le sue misure di sicurezza.
Si può usare uno strumento di IA ospitato fuori da Monaco?
Sì, se il trasferimento rispetta le regole della legge: un paese riconosciuto come adeguato, oppure garanzie appropriate. Con PRAGMA i vostri strumenti funzionano oggi su server europei che amministriamo noi stessi, e un hosting a Monaco è in preparazione.
Un’IA può prendere da sola decisioni su un cliente?
La legge dà a ciascuno il diritto di non essere sottoposto a una decisione con effetti giuridici o comunque significativi basata unicamente su un trattamento automatizzato, salvo eccezioni. Con PRAGMA una persona approva ogni invio.
Cosa fare in caso di fuga di dati?
Il titolare notifica la violazione all’APDP nel più breve tempo possibile e, se possibile, entro 72 ore, salvo assenza di rischi per le persone. I registri delle azioni aiutano a ricostruire l’accaduto.
Per verificare il vostro progetto di IA rispetto a queste regole, descrivete nel modulo di contatto i dati coinvolti e gli strumenti in cui si trovano. Vi ricontattiamo con l’audit e il prototipo gratuiti, prima di qualsiasi discussione commerciale.