GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

17/IT
WP251 rev.01

Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione
ai fini del regolamento 2016/679

adottate il 3 ottobre 2017

Versione emendata e adottata in data 6 febbraio 2018

... (omissis) ...

III. Disposizioni generali sulla profilazione e sul processo decisionale automatizzato

La presente panoramica delle disposizioni si applica a tutte le profilazioni e a tutti i processi decisionali automatizzati. Qualora il trattamento soddisfi la definizione di cui all’articolo 22, paragrafo 1, si applicano le disposizioni specifiche supplementari di cui al capitolo IV.

A. Principi in materia di protezione dei dati

I principi in materia di protezione dei dati sono pertinenti per tutte le attivita' di profilazione e tutti i processi decisionali automatizzati che comportano l’uso di dati personali4. Al fine di agevolare il rispetto delle norme, il titolare del trattamento dovrebbe considerare i seguenti elementi fondamentali:

... (omissis) ...

2. Articolo 5, paragrafo 1, lettera b) - ulteriore trattamento e limitazione della finalita'

La profilazione puo' comportare l’utilizzo di dati personali originariamente raccolti per una finalita' diversa.

Esempio

Alcune applicazioni mobili forniscono servizi di localizzazione che consentono all’utente di trovare ristoranti nelle vicinanze che offrono sconti. Tuttavia, i dati raccolti vengono utilizzati anche per creare un profilo dell’interessato per finalita' di marketing, ossia per individuare le sue preferenze alimentari o il suo stile di vita in generale. L’interessato si aspetta che i suoi dati vengano utilizzati per trovare ristoranti, ma non per ricevere pubblicita' relative alla consegna di pizza a domicilio soltanto perche' l’applicazione ha stabilito che arriva a casa tardi. Questo ulteriore utilizzo dei dati relativi all’ubicazione potrebbe non essere compatibile con le finalita' per le quali tali dati sono stati originariamente raccolti e puo' quindi richiedere il consenso dell’interessato.

La compatibilita' di tale ulteriore trattamento con le finalita' originarie per le quali i dati sono stati raccolti dipendera' da una serie di fattori, tra gli altri, le informazioni che il titolare del trattamento ha inizialmente fornito all’interessato. Tali fattori si riflettono nel regolamento e sono cosi' riassunti:

• il rapporto tra le finalita' per cui i dati personali sono stati raccolti e le finalita' dell’ulteriore trattamento;
• il contesto in cui i dati personali sono stati raccolti e le ragionevoli aspettative dell’interessato in merito al loro uso futuro;
• la natura dei dati;
• l’impatto dell’ulteriore trattamento sull’interessato;
• le garanzie applicate dal titolare del trattamento per assicurare un trattamento corretto e prevenire qualsiasi impatto indebito sull’interessato.

... (omissis) ...

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227