GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

17/IT
WP251 rev.01

Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione
ai fini del regolamento 2016/679

adottate il 3 ottobre 2017

Versione emendata e adottata in data 6 febbraio 2018

... (omissis) ...

VI. Valutazioni d’impatto sulla protezione dei dati e responsabile della protezione dei dati

La responsabilizzazione e' un aspetto importante e un requisito esplicito ai sensi del regolamento.

In quanto strumento essenziale per la responsabilizzazione, la valutazione d’impatto sulla protezione dei dati consente al titolare del trattamento di valutare i rischi connessi al processo decisionale automatizzato, compresa la profilazione. Essa permette di dimostrare che sono state messe in atto misure adeguate per affrontare tali rischi e dimostrare il rispetto del regolamento.

L’articolo 35, paragrafo 3, lettera a), sottolinea la necessita' che il titolare del trattamento effettui una valutazione d’impatto sulla protezione dei dati in caso di:

• una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche.

L’articolo 35, paragrafo 3, lettera a), fa riferimento a valutazioni comprendenti la profilazione e decisioni che sono “basate” su un trattamento automatizzato, piuttosto che basate “unicamente” su un trattamento automatizzato. Cio' significa che l’articolo 35, paragrafo 3, lettera a), si applichera' sia a un processo decisionale che comprenda la profilazione e abbia effetti giuridici o in modo analogo significativi che non e' un processo decisionale interamente automatizzato, sia a una decisione basata unicamente sul trattamento automatizzato di cui all’articolo 22, paragrafo 1.

Se il titolare del trattamento prevede un “modello” in cui adotta decisioni basate unicamente su un trattamento automatizzato aventi un impatto elevato sulle persone fisiche, fondate su profili relativi a queste ultime, e non puo' fare affidamento sul consenso di dette persone, su un contratto stipulato con le stesse o su una legge che autorizza tale trattamento, il titolare del trattamento non dovrebbe procedere.

Il titolare del trattamento puo' comunque prevedere un “modello” di processo decisionale basato sulla profilazione, aumentando significativamente il livello di intervento umano affinche' detto modello non sia piu' un processo decisionale interamente automatizzato, sebbene il trattamento possa comunque presentare rischi per i diritti e le liberta' fondamentali delle persone. In tal caso, il titolare del trattamento deve assicurarsi di riuscire a far fronte a tali rischi e soddisfare i requisiti esposti al capitolo III delle presenti linee guida.

Una valutazione d’impatto sulla protezione dei dati puo' altresi' costituire uno strumento utile a disposizione del titolare del trattamento per individuare le misure che introdurra' per far fronte ai rischi per la protezione dei dati connessi al trattamento. Tali misure49 potrebbero comprendere:

• informare l’interessato dell’esistenza e della logica utilizzata nel processo decisionale automatizzato;
• spiegare l’importanza e le conseguenze previste del trattamento per l’interessato;
• fornire all’interessato i mezzi per opporsi alla decisione;
• consentire all’interessato di esprimere il proprio punto di vista.

Ulteriori attivita' di profilazione possono giustificare una valutazione d’impatto sulla protezione dei dati, a seconda delle circostanze del caso. Il titolare del trattamento puo' consultare le linee guida del Gruppo di lavoro sulle valutazioni d’impatto sulla protezione dei dati per ulteriori informazioni e per contribuire a determinare la necessita' di effettuare una valutazione d’impatto sulla protezione dei dati.

Un requisito aggiuntivo in termini di responsabilizzazione consiste nella designazione di un responsabile della protezione dei dati, nei casi in cui la profilazione e/o il processo decisionale automatizzato costituiscono un’attivita' centrale del titolare del trattamento e richiedono un monitoraggio regolare e sistematico degli interessati su larga scala (articolo 37, paragrafo 1, lettera b).

... (omissis) ...

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227