GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

17/IT
WP251 rev.01

Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione
ai fini del regolamento 2016/679

adottate il 3 ottobre 2017

Versione emendata e adottata in data 6 febbraio 2018

... (omissis) ...

III. Disposizioni generali sulla profilazione e sul processo decisionale automatizzato

La presente panoramica delle disposizioni si applica a tutte le profilazioni e a tutti i processi decisionali automatizzati. Qualora il trattamento soddisfi la definizione di cui all’articolo 22, paragrafo 1, si applicano le disposizioni specifiche supplementari di cui al capitolo IV.

A. Principi in materia di protezione dei dati

I principi in materia di protezione dei dati sono pertinenti per tutte le attivita' di profilazione e tutti i processi decisionali automatizzati che comportano l’uso di dati personali4. Al fine di agevolare il rispetto delle norme, il titolare del trattamento dovrebbe considerare i seguenti elementi fondamentali:

... (omissis) ...

C. Articolo 9 – categorie particolari di dati

Il titolare del trattamento puo' trattare dati personali appartenenti a categorie particolari soltanto se ricorrono una delle condizioni di cui all’articolo 9, paragrafo 2, e una condizione di cui all’articolo 6. Questo vale anche per i dati appartenenti a categorie particolari derivati o desunti da attivita' di profilazione.

La profilazione puo' creare dati appartenenti a categorie particolari desumendoli da dati che di per se' non appartengono a categorie particolari ma che diventano tali se combinati con altri dati. Ad esempio, puo' essere possibile desumere lo stato di salute di una persona associando le registrazioni dei suoi acquisti di alimenti a dati sulla qualita' e sul contenuto energetico di tali alimenti.

Possono essere scoperte correlazioni che forniscono indicazioni sulla salute, sulle convinzioni politiche o religiose oppure sull’orientamento sessuale delle persone, come dimostrato dal seguente esempio:

Esempio

Uno studio ha combinato i “Mi Piace” di Facebook con informazioni limitate tratte da sondaggi e ha rilevato che i ricercatori hanno predetto con precisione l’orientamento sessuale di un utente maschile nell’88 % dei casi, l’origine etnica di un utente nel 95 % dei casi e se un utente era cristiano o musulmano nell’82 % dei casi.

Se dalla profilazione sono dedotte preferenze e caratteristiche sensibili, il titolare del trattamento dovrebbe assicurarsi:

• che il trattamento non sia incompatibile con la finalita' originaria;
• di aver individuato una base legittima per il trattamento di dati appartenenti a categorie particolari;
• di informare l’interessato sul trattamento.

Il processo decisionale automatizzato, cosi' come descritto dall’articolo 22, paragrafo 1, basato su categorie particolari di dati, e' trattato nel capitolo IV (sezione D).

... (omissis) ...

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227