Big Data nell’ecosistema digitale italiano: considerazioni del Garante per la protezione dei dati personali - Big Data, valutazione d’impatto privacy e accountability

Al fine di minimizzare i rischi di violazione dei diritti individuali per il tramite dei Big Data, considerate le caratteristiche dei trattamenti in esame (che possono determinare anche l’adozione di decisioni individuali sulla base di analisi “predittive”), è quindi necessario adottare misure preventive e processi interni volti a commisurare il rischio sui diritti degli interessati (che sarà tanto più elevato quanto più intrusivi nella sua sfera personale potranno essere gli effetti dell’analisi effettuata). In questa prospettiva si colloca, peraltro, la valutazione d’impatto sulla protezione dei dati prevista dall’art. 35 del RGPD, cui, con alta probabilità, devono essere sottoposti i trattamenti di dati postiin essere con la tecnica dei Big Data, in particolare con riguardo ai casi in cui il trattamento comporti “una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche” (cfr. art. 35, par. 3, lett. a), del RGPD). Essa può consentire non solo di individuare possibili rischi per i diritti dei singoli ma anche di evidenziare possibili conseguenze indesiderate di natura etica o sociale (anche per gruppi di individui); inoltre, se correttamente effettuata –ove designato, sentito il responsabile per la protezione dei dati –, può condurre all’adozione di misure tali da eliminare o comprimere i rischi di violazione dei diritti di individui e gruppi ovvero ad individuare gli ambiti da sottoporre alla consultazione preventiva dell’autorità di controllo (cfr. art. 36 del RGPD).

Come evidenziato nelle richiamate Guidelines on the protection of individuals with regard to the processing of personal data in a world of big data del Consiglio d’Europa può risultare altresì utile (ed è certamente una misura che può rientrare a pieno titolo nel concetto di accountability) coinvolgere nel corso della valutazione i soggetti o le categorie di soggetti che potrebbero essere interessati dai trattamenti effettuati.

Nella prospettiva dell’accountability e della trasparenza nei confronti degli interessati, salvaguardate informazioni di natura riservata, la valutazione d’impatto potrebbe altresì essere resa pubblica dal titolare del trattamento.

Una piena partecipazione degli interessati al trattamento effettuato con tecniche di Big Data, vale a dire in presenza di un consenso pienamente informato e liberamente manifestato (si pensi ad esempio a trattamenti nel contesto sanitario, anche con la partecipazione di rappresentanti degli interessati), costituisce la soluzione preferibile per assicurare un pieno rispetto dei principi di protezione dei dati personali e soddisfare le esigenze di accountability introdotte dal RGPD. Data la natura dei trattamenti in parola, tale processo può risultare difficoltoso, ma approcci innovativi volti a favorire processi di partecipazione individuale, anche mediante un più intenso uso delle ICTs come canale di comunicazione con i soggetti interessati (o con gli esponenti dei portatori degli interessi collettivi coinvolti da tali operazioni di trattamento: consumatori, risparmiatori, pazienti, ecc.) dovrebbero essere esplorati (come accaduto, ad esempio, nel settore della ricerca genetica e delle biobanche). Diversamente, in assenza di puntuali previsioni legislative, quanto più un trattamento con tecniche di Big Dataviene effettuato in assenza della partecipazione dell’interessato (se non della sua conoscenza), tanto più aumentano i rischi di violazione delle discipline di protezione dei dati personali.

L’accountability del titolare del trattamento non si esaurisce nella fase “progettuale” nell’utilizzo dei Big Data; opportune misure devono essere poste in essere per monitorare con sistematicità l’efficacia delle soluzioni predisposte, affinandole se necessario, e verificare la qualità del processo posto in essere.

Fonte: Rapporto 2020 AGCOM, AGCM E GARANTE sui Big Data