Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679 adottate il 3 ottobre 2017 Versione emendata e adottata in data 6 febbraio 2018

ALLEGATO 3 - Approfondimenti - Parere 6/2014 sul concetto di interesse legittimo del responsabile del trattamento ai sensi dell’articolo 7 della direttiva95/46/CE

GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

844/14/IT

WP217

II.2.Ruolo dell’articolo 7, lettera f)Interesse legittimo del responsabile del trattamento: test comparativo come ultima opzione?

L’articolo 7, lettera f), è elencato come ultima opzione tra i sei criteri che legittimano il trattamento dei dati personali.Prevede l’esecuzione diun test comparativo: ciò che è necessario per l’interesse legittimo del responsabile del trattamento (oppure del o dei terzi cui vengono comunicati i dati) deve essere valutato rispetto agli interessi o ai diritti e alle libertà fondamentali dell’interessato. L’esito del test comparativo permette di stabilire se l’articolo 7, lettera f), può essere invocatocome fondamentogiuridicoper il trattamento.Il carattere indeterminato di questa disposizione solleva molte questioni importanti riguardo alla sua esatta portata e applicazione, che saranno a loro voltaanalizzate nel presente parere. Tuttavia, come sarà illustrato di seguito, ciò non significa necessariamente che si debba ricorrere solo moderatamente a questa opzione come “estremo rimedio” al fine di colmare lacune nel caso di situazioni rare e impreviste o come ultimapossibilità qualora non sia possibile applicare alcun altrocriterio. Analogamente, questa opzione non deve essere privilegiata rispetto alle altre né se ne deve ampliare indebitamente l’utilizzo in base alla percezione che sia meno vincolante rispetto agli altri criteri.È invece molto probabile che l’articolo 7, lettera f), abbia il suo naturale campo di pertinenza e che possa svolgere un ruolo molto utile come criterio di liceità del trattamento, purché sia soddisfatta una serie di condizionifondamentali.Nelle giuste circostanze e in presenza di adeguate garanzie, il corretto utilizzodell’articolo 7, lettera f), potrebbeinoltre contribuire a evitare che gli altri fondamentigiuridicisiano utilizzatiin maniera impropriao che si faccia eccessivamente affidamento ad essi.I primi cinque criteri elencati all’articolo 7 considerano motivi di liceità il consenso dell’interessato, l’accordo contrattuale, un obbligo legale o altri fondamenti espressamente indicati. Quando si basa su uno di questi cinquefondamenti, il trattamento è considerato legittimo a priorie pertanto è subordinato solo all’osservanza delle altredisposizioni normative applicabili.In altre parole, si presume che esista un equilibrio tra i differenti diritti e interessi in gioco, compresi quelli sia del responsabile del trattamento che dell’interessato, sempreché, ovviamente, siano rispettate tutte le altre disposizioni in materia di protezione dei dati.D’altro canto, l’articolo 7, lettera f), prevede l’esecuzione diun test specificoperi casi che non rientrano negli scenari predefiniti di cui ai criterielencati alle lettere da a) a e). Garantisce che, al di fuori ditali scenari, tutti i trattamenti di dati soddisfino ilrequisitodi un test comparativo, tenendo nella debita considerazione gli interessi e i diritti fondamentali dell’interessato.In seguito a questo test si può giungere alla conclusione che in determinati casi il bilanciamento penda a favore degli interessi e dei diritti fondamentali degli interessati e che, di conseguenza, non sia possibile effettuare l’attività di trattamento. D’altro canto, una valutazione adeguata delbilanciamento degli interessiai sensi dell’articolo 7, lettera f), spesso accompagnata dalla possibilità di revocare il consenso al trattamento,potrebbe in altri casi rappresentare una valida alternativa all’uso improprio, per esempio, del fondamento del “consenso”o delcriterio della “necessità ai fini dell’esecuzione del contratto”. Considerato in questo modo, l’articolo 7, lettera f), presenta garanzie complementari, che richiedono misure adeguate, rispetto agli altri criteri di liceità prestabiliti. Non deve quindi essere ritenuto “l’anello più debole” o una “porta aperta” per legittimare tutte le attività di trattamento dei dati che non rientrano in uno degli altri fondamenti giuridici.Il Gruppo di lavoro ribadisce che, nell’interpretare il campo di applicazione dell’articolo 7, lettera f), intende conseguire un approccio equilibrato, che garantisca la necessaria flessibilità ai responsabili del trattamento insituazioni in cui non sussisteun indebito impattosugli interessati, fornendo contemporaneamente loro una certezza del diritto e garanzie sufficienti che questa disposizione indeterminata non sarà utilizzata in maniera impropria.

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227