Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679 adottate il 3 ottobre 2017 Versione emendata e adottata in data 6 febbraio 2018

ALLEGATO 3 - Approfondimenti - Parere 6/2014 sul concetto di interesse legittimo del responsabile del trattamento ai sensi dell’articolo 7 della direttiva95/46/CE

GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

844/14/IT

WP217

III.2. Articolo 7, lettere da a) a e)

La presente sezione III.2 fornisce una breve panoramica di ciascuno dei fondamenti giuridici di cui all’articolo 7, lettere da a) a e), della direttiva, prima che, nella sezione III.3, il parere si concentri sull’articolo 7, lettera f). L’analisi evidenzierà inoltre alcune delle interfacce più comuni tra tali fondamenti giuridici, quali, ad esempio, “l’esecuzione di un contratto”, “l’adempimento di un obbligo legale” e “il perseguimento dell’interesse legittimo”, a seconda del contesto particolare e delle circostanze del caso.

III.2.5. Compito di interesse pubblico

L’articolo 7, lettera e), è il fondamento giuridico che può essere invocato nei casi in cuiil trattamento “è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati”.È importante rilevare che, proprio come l’articolo 7, lettera c), anche l’articolo 7, lettera e), si riferisce all’interesse pubblico dell’Unione europea o di uno Stato membro. Analogamente, l’espressione “pubblici poteri” si riferisce a un mandato conferito dall’Unione europea o da uno Stato membro. Inaltre parole, i compiti eseguiti nell’interesse pubblico di un paese terzoo connessi all’esercizio di pubblici poteri conferiti in virtù del diritto esteronon rientrano nel campo di applicazione di questa disposizione41.L’articolo7, lettera e), contempla due situazioni ed è pertinente sia per il settore pubblico che per quello privato. Innanzitutto, riguarda le situazioni in cui il responsabile del trattamento stesso è investito di pubblici poteri o svolge un compito di interesse pubblico (ma non è necessariamente soggetto anche all’adempimento di un obbligo legale per il trattamento dei dati) e il trattamento è necessario all’esercizio di tali poteri o all’esecuzione di quel compito. Per esempio, un’autorità tributaria può raccogliere e trattare i dati relativi alla dichiarazione dei redditi di una persona al fine di stabilire e verificare l’importo da versare a titolo di imposta. Oppure un’associazione professionale come un ordine forense o un ordine di professionisti del settore medico investiti di pubblici poteri per agire in tal senso possono avviare procedimenti disciplinari nei confronti di alcuni dei loro membri.Un altro esempio ancora potrebbe essere costituito da un ente pubblico locale qualeun’amministrazione comunalecui sia stato affidato il compito di gestire un servizio di biblioteca, una scuola o una piscina comunale.In secondo luogo, l’articolo 7, lettera e), contempla anche i casiin cui il responsabile del trattamento non è investito di pubblici poteri, maè tenuto a comunicare i dati su richiestaditerzi insigniti di tali poteri.Per esempio,il funzionario di un ente pubblico responsabile delle indagini per reati penali potrebbe chiedere al responsabile del trattamento di cooperare a un’indagine in corso anziché ordinargli di ottemperare a una specifica richiesta di cooperazione.L’articolo 7, lettera e), può inoltre contemplare i casi in cui il responsabile del trattamento comunica proattivamente i dati a un terzo investito di pubblici poteri.Questa situazione può verificarsi, per esempio, quando un responsabile del trattamento constata cheè stato commesso un reato e fornisce questa informazione alle autorità di contrasto competenti di sua iniziativa.Diversamente da quanto avviene nel caso dell’articolo 7, lettera c), il responsabile del trattamento non è tenuto ad agire nell’ambito di unobbligo legale.Utilizzando l’esempio precedente, qualora si rendesse accidentalmente conto che sono stati commessi un furto o una frode, un responsabile del trattamento potrebbenon essere giuridicamente tenuto a darne comunicazione alla polizia, ma, oveopportuno, potrebbe tuttavia riferire volontariamente tali informazioni sulla base dell’articolo 7, lettera e). Tuttavia,il trattamento deve essere “necessario per l’esecuzione di un compito di interesse pubblico”. In alternativa,o il responsabile del trattamento o il terzo cui il responsabile del trattamento comunica i dati devono essere investiti di pubblici poteri e il trattamento dei dati deve essere necessario all’esercizio di tali poteri42. È inoltre importante sottolineare che questi pubblici poteri o compiti di interesse pubblico saranno stati di norma attribuiti dal diritto ordinario o da altredisposizioni giuridiche.Se il trattamento comporta un’ingerenza nella vita privata o se è altrimenti previsto ai sensi del diritto nazionale al fine di garantire la protezione delle persone interessate, la base giuridica deve essere specifica esufficientemente precisa riguardo alla definizione del tipo di trattamento di dati che potrebbeessere consentito.Queste situazioni stanno diventando sempre più comuni, anche oltre i confini del settore pubblico, se si considera la tendenza ad affidare compiti governativi a enti del settore privato, come avviene, per esempio, nell’ambito delle attività di trattamento nel settore dei trasporti o della salute (per esempio studi epidemiologici, ricerca).Questo fondamento giuridico potrebbe essere invocato anchein un contesto di attività di contrasto,come è già stato suggerito negli esempi precedenti. Tuttavia, per valutare la misura in cui a una società privata può essere consentito di cooperare con le autorità di contrasto, per esempio nella lottacontro la frode o contro i contenuti illeciti diffusi su Internet, deve essere effettuata un’analisi non solo ai sensi dell’articolo 7, ma anche ai sensi dell’articolo 6, considerando il principio della limitazione delle finalità e i requisiti di lealtà e liceità del trattamento43.L’articolo 7, lettera e), ha potenzialmente un campo di applicazione molto vasto e, di conseguenza, occorre interpretare restrittivamente e individuare chiaramente, caso per caso, l’interesse pubblico in gioco e i pubblici poteri che giustificano il trattamento. Questo ampio campo di applicazione spiega anche perché, proprio come per l’articolo 7, lettera f), all’articolo 14 è stato previsto un diritto di opposizione nei casi in cui il trattamento si basasull’articolo7, lettera e)44.Garanzie e misure supplementari analoghe potrebbero pertanto essere applicate in entrambi i casi45.In questo senso,l’articolo 7, lettera e), presenta analogie con l’articolo 7, lettera f), ein alcuni contesti, in particolare per quanto riguarda le autorità pubbliche, l’articolo 7, lettera e), può sostituire l’articolo 7, lettera f).Nel valutare il campo di applicazione di queste disposizioni agli organismi del settore pubblico, specialmente alla luce delle modifiche proposte al quadro giuridico applicabile in materia di protezione dei dati, è utile rilevare che nel testo attuale del regolamento (CE) n.45/200146, contenente le norme di protezione dei dati applicabili alle istituzioni e agli organismi dell’Unione europea, non figurano disposizioni paragonabili all’articolo 7, lettera f).Tuttavia, il considerando 27 di tale regolamento stabilisce che “il trattamento di dati personali per l’esercizio delle funzioni svolte dalle istituzioni e dagli organismi comunitari nel pubblico interessecomprende il trattamento dei dati personali necessari alla gestione e al funzionamento di tali istituzioni e organismi”. Questa disposizione consente pertanto il trattamento dei dati sulla base dell’interpretazione estensiva del fondamento giuridico del “compito di interesse pubblico”in un’ampia varietà di casi, che avrebbero altrimenti potuto essere contemplati da una disposizione analoga all’articolo 7, lettera f).La videosorveglianza dei locali a fini di sicurezza, il controllo elettronicodel traffico mailole valutazioni del personalesono solo alcuni esempi di situazioni che potrebbero rientrare nell’ambito di questa disposizione di“funzioni svolte [...] nel pubblico interesse”interpretata in maniera estensiva.Guardando al futuro, è inoltre importante tenere presenteche, all’articolo 6, paragrafo1, lettera f), la proposta di regolamento stabilisce espressamente che il fondamento giuridico dell’interesse legittimo “non si applica al trattamento di dati effettuato dalle autorità pubbliche nell’esercizio dei loro compiti”. Se questa disposizione sarà adottata e interpretata estensivamente, in modo che alle autorità pubbliche sia completamente preclusa la possibilità di utilizzare l’interesse legittimo come fondamento giuridico, allora i criteri del “compito di interesse pubblico” e dei “pubblici poteri” di cui all’articolo 7, lettera e), dovranno essere interpretati in modo da concedere alle autorità pubbliche una certa flessibilità, almeno per garantirne la correttagestione e il buonfunzionamento, analogamente a quanto avviene secondo l’attuale interpretazione del regolamento (CE) n.45/2001.In alternativa, la citata ultima frase dell’articolo 6, paragrafo 1, lettera f), della proposta di regolamento, potrebbe essere interpretata in modo che alle autorità pubbliche non sia completamente preclusa la possibilità di utilizzare l’interesse legittimo come fondamento giuridico. In tal caso, l’espressione “trattamento di dati effettuato dalle autorità pubbliche nell’esercizio dei loro compiti”di cui all’articolo 6, paragrafo 1, lettera f), della proposta di regolamento,dovrà essere interpretata restrittivamente.Secondo tale interpretazione restrittiva, il trattamento finalizzato a garantire la corretta gestione e ilbuonfunzionamento di queste autorità pubbliche non rientrerebbe nel campo di applicazione dell’espressione “trattamento di dati effettuato dalle autorità pubbliche nell’esercizio dei loro compiti”.Di conseguenza, il trattamentofinalizzato a garantire la corretta gestione e il buon funzionamento di queste autorità pubbliche potrebbe comunque essere possibile nell’ambitodel criterio dell’interesse legittimo.

______________

41 Cfr. la sezione 2.4 del documento di lavoro del Gruppo di lavoro su un’interpretazione comune dell’articolo 26, paragrafo 1,della direttiva 95/46/CE del 24 ottobre 1995, adottato il 25 novembre 2005 (WP 114), che fornisce un’interpretazione analoga del concetto di “interesse pubblico rilevante” all’articolo 26, paragrafo 1, lettera d).

42 In altre parole, in questi casi la rilevanza pubblica dei compiti e la corrispondente responsabilità continueranno a essere presenti anche se l’esecuzione dei compiti è stata trasferita ad altri organi, anche di natura privata

43 Cfr., a tale proposito, il parere 10/2006 del Gruppo di lavoro sul trattamento dei dati personali da parte della Società per le telecomunicazioni finanziarie interbancarie mondiali (SWIFT), citato alla precedente nota a piè di pagina 39, il parere 4/2003 del Gruppo di lavoro sul livello di protezione assicurato negli Stati Uniti per quanto riguarda la trasmissione di dati relativi ai passeggeri, adottato il 13 giugno 2003 (WP 78) e il documento di lavoro sulle questioni relative alla protezione dei dati per quanto riguarda i diritti di proprietà intellettuale, adottato il 18 gennaio 2005 (WP 104).

44 Come precedentemente indicato, in alcuni Stati membri (per esempio la Svezia) non esiste la possibilità di opporsi a un trattamento dei dati basato sull’articolo 7, lettera e).

45 Come sarà illustrato di seguito, il progetto di relazione della commissione LIBEha suggerito l’introduzione di ulteriori garanzie, in particolare una maggiore trasparenza, nei casi in cui si applica l’articolo 7, lettera f).

46 Regolamento (CE) n.45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazioneal trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GUL 8 del 12.1.2001, pag. 1).

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227