Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679 adottate il 3 ottobre 2017 Versione emendata e adottata in data 6 febbraio 2018

ALLEGATO 3 - Approfondimenti - Parere 6/2014 sul concetto di interesse legittimo del responsabile del trattamento ai sensi dell’articolo 7 della direttiva95/46/CE

GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

844/14/IT

WP217

III.Analisi delle disposizioni

iIII.1.Panoramica dell’articolo 7

Ai sensi dell’articolo 7, il trattamento di dati personali può essere effettuato soltanto se si applicaalmeno uno dei sei fondamenti giuridici elencati in tale articolo. Prima di analizzare ognuno di tali fondamenti, la presente sezione III.1 fornisce una panoramica dell’articolo 7 e della sua relazione con l’articolo 8 sulle categorie particolari di dati.

III.1.1. Consenso o“necessario per..

.”È possibile distinguere tra il caso in cui i dati personali sono trattati sulla base del consenso inequivocabile manifestato dalla persona interessata (articolo 7, lettera a)) e i cinque casi rimanenti(articolo7, lettere da b)a f)). Questi cinque casi, in sintesi, descrivono scenari in cui il trattamento potrebbe essere necessario in un contesto specifico, quali l’esecuzione del contratto concluso con la persona interessata, l’adempimento di un obbligo legale al quale è soggetto il responsabile del trattamento, ecc. Nel primo caso, ai sensi dell’articolo 7, lettera a), sono gli interessati stessi ad autorizzare il trattamento dei loro dati personali. Spetta a loro decidere se acconsentire o meno al trattamento dei dati personaliche li riguardano. Al tempo stesso, il consenso non elimina la necessità di rispettare i principi di cui all’articolo 627. Inoltre, per essere legittimo, il consenso deve comunque soddisfare talune condizioni essenziali, come illustrato nel parere15/2011 del Gruppo di lavoro28. Poiché il trattamento dei dati dell’utente avviene,in ultima analisi, a sua discrezione, l’accentoè postosulla validità e sulla portata del consenso dell’interessato.In altre parole, il primo fondamento giuridico, l’articolo7, lettera a),si concentra sull’autodeterminazione dell’interessato quale motivo di liceità. Tutti gli altri criteri, invece, ammettono il trattamento, subordinatamente a garanzie e misure adeguate, in situazioni in cui, a prescindere dal consenso, è opportuno e necessario trattare i dati in un determinato contesto al fine di perseguire un interesse legittimo specifico.

Le lettere b),c), d) ed e) precisano ognuna un criterio che legittima il trattamento:(b) l’esecuzione del contratto concluso con la persona interessata;(c) l’adempimento di un obbligo legale al quale è soggetto il responsabile del trattamento;(d) la salvaguardia dell’interesse vitale della persona interessata;(e) l’esecuzione di un compito di interesse pubblico.La lettera f) è meno specifica e si riferisce, più in generale, all’interesse legittimo (di qualsiasi tipo) perseguito dal responsabile del trattamento (in qualsiasi contesto). Questa disposizione generale è tuttavia espressamente subordinata a un test comparativo supplementare, finalizzato a tutelare gli interessi e i diritti degli interessati, come sarà illustrato di seguito nella sezione III.2.

La valutazione del rispetto dei criteri enunciati all’articolo 7, lettere da a) a f), è inizialmente effettuata, in tutti i casi, dal responsabile del trattamento dei dati, subordinatamente alla legislazione applicabile e agli orientamenti sulle modalità di applicazione della normativa. In secondo luogo, la legittimità del trattamento può essere soggetta a un’ulteriore valutazione ed eventualmente contestata dagli interessati, da altri attori, dalle autorità di protezione dei dati e, alla fine, giudicata dai tribunali.Per completare questa breve panoramica, è opportuno ricordare che, come illustrerà la sezioneIII.3.6,l’interessato può esercitare il diritto di opposizione previsto dall’articolo 1429almeno nei casi indicati alle lettere e) e f). Ne scaturirà una nuova valutazione degli interessi in gioco o, nel caso di trattamento dei dati personali a fini di invio di materiale pubblicitario (articolo 14, lettera b)), il responsabile del trattamento sarà tenuto a interrompere il trattamento dei dati personali senzaeffettuare ulteriori valutazioni

______________

27 Corte suprema deiPaesi Bassi, sentenza 9 settembre 2011, causa ECLI:NL:HR:2011:BQ8097, §3.3(e) in riferimento al principio di proporzionalità. Cfr. anche pagina 8 del parere 15/2011 del Gruppo di lavoro “articolo 29” citato alla precedente nota a piè di pagina 2: “...l’ottenimento del consenso non esonera il responsabile del trattamento dagli obblighi di cui all’articolo 6 con riferimento ai principi di lealtà, necessità e proporzionalità, oltre che di qualità dei dati. Per esempio, anche qualora il trattamento dei dati personali poggi sul consenso dell’utilizzatore, ciò di per sé non legittima una raccolta dei dati supplementare rispetto allo scopo specifico.”

28 Cfr. pagg. 12-29 del parere 15/2011 citato alla precedente nota a piè di pagina 2.

29 A norma dell’articolo 14, lettera a), questo diritto si applica “salvo disposizione contraria prevista dalla normativa nazionale”. In Svezia, per esempio,l’ordinamento nazionale non prevede la possibilità di opporsi a un trattamento basato sull’articolo 7, lettera e).

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227