Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679 adottate il 3 ottobre 2017 Versione emendata e adottata in data 6 febbraio 2018

ALLEGATO 3 - Approfondimenti - Parere 6/2014 sul concetto di interesse legittimo del responsabile del trattamento ai sensi dell’articolo 7 della direttiva95/46/CE

GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

844/14/IT

WP217

III.2. Articolo 7, lettere da a) a e)

La presente sezione III.2 fornisce una breve panoramica di ciascuno dei fondamenti giuridici di cui all’articolo 7, lettere da a) a e), della direttiva, prima che, nella sezione III.3, il parere si concentri sull’articolo 7, lettera f). L’analisi evidenzierà inoltre alcune delle interfacce più comuni tra tali fondamenti giuridici, quali, ad esempio, “l’esecuzione di un contratto”, “l’adempimento di un obbligo legale” e “il perseguimento dell’interesse legittimo”, a seconda del contesto particolare e delle circostanze del caso.

III.3.4. Fattori chiave da considerare nell’applicazione del test comparativo

Gli Stati membri hanno sviluppatouna serie di fattori utili da considerare nell’esecuzione del test comparativo. Tali fattori sono discussi nella presente sezione nell’ambito delle quattro rubriche principali elencate di seguito: (a) valutazione dell’interesse legittimo del responsabile del trattamento, (b) impatto sugli interessati, (c) bilanciamento provvisorio e (d) garanzie supplementari applicate dal responsabile del trattamento per evitare qualsiasi indebito impatto sugli interessati69. Per eseguire il test comparativo è innanzitutto importante considerare, da un lato, la natura e l’origine dell’interesse legittimo e, dall’altro, l’impatto sugli interessati. Questa valutazione deve già tenere conto delle misure che il responsabile del trattamento prevede di adottare per ottemperare alla direttiva (per esempio, garantire la limitazione delle finalità e la proporzionalità ai sensi dell’articolo 6 o fornire informazioni agli interessati ai sensi degli articoli 10 e 11).Dopo aver analizzato e valutato comparativamente i due elementi, è possibile giungere aun “bilanciamento” provvisorio. Quando in seguito all’esito della valutazione permangono dubbi, il passo successivo consisterà nel valutare se, assicurando una maggiore protezione all’interessato, eventuali garanzie supplementari potrebbero far pendere il bilanciamento a favore della legittimazione del trattamento.

(a) Valutazione dell’interesse legittimo del responsabile del trattamento

Considerando che il concetto di interesse legittimo è piuttosto ampio, come spiegato nella precedente sezioneIII.3.1, la sua natura svolge un ruolo cruciale quando si tratta di bilanciare l’interesse del responsabile del trattamento e i diritti e gli interessidegli interessati. Benché sia impossibile formulare giudizi di valore riguardo a tutti gli interessi legittimi possibili, si possono fornire alcuni orientamenti. Come precedentemente indicato, tali interessi possono essere sia di scarso rilievo che preminenti nonché evidenti oppure più controversi.

i) Esercizio di un diritto fondamentale

Tra i diritti e le libertà fondamentali sanciti dalla Carta dei diritti fondamentali dell’Unione europea (la “Carta”)70 e dalla Convenzione europea dei diritti dell’uomo (la “CEDU”), alcuni possono entrare in conflitto con il diritto alla tutela della vita privata e con il diritto alla protezione dei dati personali, quali la libertà di espressione e d’informazione71, la libertà delle arti e delle scienze72, il diritto d’accesso ai documenti73 nonché, per esempio, il diritto alla libertà e alla sicurezza74, la libertà di pensiero, di coscienza e di religione75, la libertà d’impresa76, il diritto di proprietà77, il diritto a un ricorso effettivo e a un giudice imparziale78 o la presunzione di innocenza e diritti della difesa79. Affinché prevalga l’interesse legittimo del responsabile del trattamento, il trattamento dei dati deve essere “necessario” e “proporzionato” al fine di esercitare il diritto fondamentale in questione.A titolo illustrativo, a seconda delle circostanze del caso, per un giornale potrebbe essere necessario e proporzionato pubblicare determinate informazioni incriminanti sulle abitudini di spesa di un funzionario governativo di alto livello coinvolto in un presunto scandalo di corruzione. D’altro canto, non deve esistere un’autorizzazione generalizzata che permetta ai mezzi di comunicazione di pubblicare qualsiasi informazione irrilevante sulla vita privata di personalità pubbliche. Questi e altri casi analoghi danno generalmente luogo a complesse questioni di valutazione e, per contribuire a orientare la valutazione, una legislazione e una giurisprudenza specifiche, orientamenti mirati nonché codici di condotta e altre norme formali o meno formalipotrebbero svolgere tutti un ruolo importante80.Ove opportuno, anche in questo contesto le garanzie supplementari potrebbero svolgere un ruolo importante e contribuire a individuarele modalità secondo cui l’equilibriodegli interessi, talvolta fragile, deve essere raggiunto.

ii)Interesse pubblico/interesse della collettività

In alcuni casi il responsabile del trattamento potrebbe voler invocare l’interesse pubblico o l’interesse della collettività (a prescindere che ciò sia previsto o meno nelle normative o nei regolamenti nazionali).Per esempio, unente di beneficenza o un’associazione senza scopo di lucro potrebbero trattare dati personali rispettivamente a fini di ricerca medica edi sensibilizzazione sulla corruzione governativa.Può anche succedere che l’interesse imprenditoriale privato di un’azienda coincida in qualche misura con un interesse pubblico. Questa situazione potrebbeverificarsi, per esempio, nel caso della lotta alle frodi finanziarie o ad altri usi fraudolenti dei servizi81.Un fornitore di servizi può avere un interesse imprenditoriale legittimo a garantire che i suoi clienti non utilizzino il servizio in maniera impropria(o che non possano ottenere i servizi senza aver pagato per fruirne) e, al tempo stesso, i clienti dell’impresa, i contribuenti e il pubblico in generale hanno a loro volta un interesse legittimo a garantire che le attività fraudolente siano scoraggiate e individuate quando si verificano.In generale, il fatto che un responsabile del trattamento agisca non solo nel proprio interesse legittimo (per esempio, nell’interesse dell’impresa), ma anche nell’interesse della collettività, può attribuire maggior “peso” a tale interesse. Quanto più preminenti saranno l’interesse pubblico o l’interesse della collettività e quanto più la collettività e gli interessati si aspetteranno e riconoscerannochiaramente che il responsabile del trattamento puòintervenire e trattare i dati al fine di perseguire tali interessi, tanto maggiore sarà il peso diquesto interesse legittimo nel bilanciamento.D’altra parte, “l’applicazione delle norme su iniziativa dei privati” non deve essere utilizzata per legittimare pratiche invasive che, se fossero attuate da un’organizzazione governativa, sarebbero proibite ai sensi della giurisprudenza della Corte europea dei diritti dell’uomo in quanto le attività dell’autorità pubblica lederebbero il diritto al rispetto della vita privatadegli interessati senza soddisfare il rigoroso criterio di cui all’articolo 8, paragrafo 2, della CEDU.

iii) Altri interessi legittimi

n alcuni casi, come è già stato illustrato nella sezioneIII.2, il contesto in cui può aversi un interesse legittimo puòessere simile a uno dei contesti in cui potrebbero essere applicati alcuni degli altri criteri di liceità del trattamento, in particolare i fondamenti giuridici di cui all’articolo 7, lettera b)(contratto), all’articolo 7, lettera c) (obbligo legale) o all’articolo7, lettera e) (compito di interesse pubblico). Per esempio, un’attività di trattamento dei dati potrebbe non essere strettamente necessaria, ma potrebbe comunque essere pertinente per l’esecuzione di un contratto, oppure una legge potrebbe solo permettere, ma non prescrivere,il trattamento ditaluni dati. Come abbiamo constatato, può non essere sempre semplice tracciare una netta linea di separazione tra i vari fondamenti, ma proprio per questo è ancora più importante inserire nell’analisi il test comparativo di cui all’articolo 7, lettera f).Anche in questo caso, come in tutte le altre possibili situazioni non menzionate finora,quanto più preminente sarà l’interesse del responsabile del trattamento e quanto più la collettività si aspetterà e riconoscerà chiaramente che il responsabile del trattamento puòintervenire e trattare i dati al fine di perseguire tale interesse, tanto maggiore sarà il peso di questo interesse legittimo nel bilanciamento82.Questa considerazione ci porta al punto seguente, di carattere più generale.

iv) Riconoscimento giuridico e culturale/sociale della legittimità dell’interesse

In tutti i contesti precedenti, un aspetto indubbiamente pertinente èanche l’eventualità che la legislazione dell’UE o la normativa di uno Stato membro consentano espressamente (pur non prescrivendolo) ai responsabili del trattamento di adottare misure volte aperseguire l’interesse pubblico o privato in questione. L’esistenza di orientamenti non vincolanti, opportunamente adottati, emessi da organi autorevoli, per esempio da agenzie di regolamentazione, che incoraggiano i responsabili del trattamento a trattare i dati al fine di perseguire l’interesse in questione è a sua volta pertinente.

Il rispetto di tutti gli orientamentinon vincolantifornitidalle autorità di protezione dei dati o da altri organismi competenti riguardo alle modalità di trattamento dei dati contribuirà probabilmente a sua volta a una valutazione favorevole del bilanciamento degli interessi. Anche quando non trovano direttamente riscontro negli strumenti legislativi o normativi, le aspettative culturali e socialipotrebbero svolgere a loro voltaun ruolo importante e contribuire a far pendere il bilanciamentoin un senso o nell’altro.Quanto più il fatto che i responsabili del trattamento possonointervenire e trattare i dati al fine di perseguire un particolareinteressesaràespressamente riconosciuto nel diritto, in altri strumenti normativi (siano essi vincolanti o meno per il responsabile del trattamento) oaddirittura nella cultura di una determinatacollettività in generale senza una specifica base giuridica, tanto maggiore sarà il peso di questo interesse legittimo nel bilanciamento83.

(b) Impatto sugli interessati

Esaminando l’altro elemento da valutareai fini del test comparativo, l’impatto del trattamento sull’interesseosui diritti e sulle libertà fondamentali dell’interessato è un criterio cruciale. La prima sottosezione riportata di seguito discute in termini generali come valutare l’impatto sull’interessato.A tale proposito possono rivelarsi utili alcuni elementi che saranno analizzati in sottosezioni successive, tra cui la naturadei dati personali, le modalità di trattamento delle informazioni, le ragionevoli aspettative degli interessati nonché lo statusdel responsabile del trattamento e dell’interessato.Affronteremo inoltre brevemente le questioni connesse alle potenziali fonti di rischio che potrebbero avere un impatto sulle persone interessate, la gravità dell’eventuale impatto sulle persone interessate e la probabilità che tale impatto si concretizzi.

i) Valutazione dell’impatto

Nel valutare l’impatto84del trattamento,occorre considerare le conseguenze sia positive che negative. Queste possono comprendere potenziali azioni o decisioni future di terzi nonché situazioni in cui il trattamento potrebbecomportare l’esclusione o la discriminazione di persone, la diffamazione o, in senso più ampio, situazioni in cui esiste il rischio di danneggiare la reputazione, il potere negoziale o l’autonomia dell’interessato.Oltre a esiti negativi che possono essere specificamente previsti, occorre tenere conto anche delle più ampie conseguenze emotive, quali l’irritazione, la paura e l’ansia che può provare un interessato che non abbia più il controllo dei suoi dati personali o che si sia reso conto che tali informazioni sono state o possono essere utilizzate in maniera impropria o compromesse, per esempio mediante l’esposizione su Internet. Occorre tenere nella debita considerazione anche l’effetto dissuasivo sui comportamenti protetti, quali la libertà di ricerca o lalibertà di espressione,che potrebbederivare da continue attività di monitoraggio/tracciamento.Il Gruppo di lavoro sottolinea che è fondamentale capire che “l’impatto” pertinente è un concetto molto più ampio rispetto al nocumento o al danno che possono essere arrecati a uno o più interessati specifici. Il termine “impatto” quale utilizzato nel presente parere comprendetutte le possibili (potenziali o effettive) conseguenze del trattamento dei dati.A fini di chiarezza sottolineiamo inoltre che il concetto non è correlato alla nozione di violazione dei dati ed è molto più ampio rispetto alle conseguenze che potrebbero derivare da una violazione dei dati. Il concetto di impatto quale utilizzato nel presente parere, invece, contempla i vari modi in cuiiltrattamento dei dati personalipotrebbeincidere, positivamente o negativamente, su un interessato85.È inoltre importante comprendere che il più delle volte una serie di fatti correlati e non correlati puòdeterminare cumulativamente l’impatto negativo sull’interessato e potrebbeessere difficile individuare l’attività di trattamento mediante la quale il responsabile del trattamento ha svolto un ruolo fondamentale nell’impatto negativo.Considerando che spesso in questo contesto per gli interessati è difficile avviare una procedura di risarcimento per il nocumento o il danno subito, anche quando l’effetto in sé è molto concreto, è ancora più importante concentrarsi sulla prevenzione e garantire che le attività di trattamento dei dati possano essere svoltesolo a patto che non comportino rischi o comportino un rischio molto basso di indebito impatto negativo sull’interesse o sui diritti e sulle libertà fondamentali degli interessati.Nella valutazione dell’impatto potrebbero risultare in certa misura utilila terminologia e la metodologia utilizzate nella tradizionale valutazione dei rischi e pertanto alcuni elementi di tale metodologia saranno brevemente descritti di seguito. Tuttavia, una metodologia globale per la valutazione dell’impatto, nel contesto dell’articolo 7, lettera f), o in un ambito più ampio, esulerebbe dal campo di applicazione del presente parere.In questo come in altri contesti è importante individuare le fonti del potenziale impatto sugli interessati.La probabilità che un rischio possa concretizzarsi è uno degli elementi da tenere in considerazione. Per esempio, l’accesso a Internet, gli scambi di dati con siti al di fuori dell’UE, le interconnessioni con altri sistemi e un elevato livello di eterogeneità o variabilità del sistema possono rappresentare vulnerabilità che potrebbero essere sfruttate dagli hacker. Questa fonte di rischio comporta una probabilità relativamente elevata che si materializzi il rischio di compromissione dei dati. Viceversa, un sistema omogeneo, stabile, privo di interconnessioni e disconnesso da Internet comporta una probabilità decisamente inferiore di compromissione dei dati.Un altro elemento della valutazione dei rischi è la gravità delle conseguenze di un rischio divenuto realtà. I livelli di questa gravità possono variare, andando da bassi (quali la fastidiosa necessità di inserire nuovamente i recapiti personali smarriti dal responsabile del trattamento) a moltoelevati(come la perdita della vita quando i modellidi localizzazione personale di persone protette finiscono nelle mani di criminali o quando la fornituraenergetica è interrotta da remoto tramite contatori intelligenti in condizioni meteorologiche o di salute personalecritiche).Questi due elementi fondamentali (la probabilità che il rischio si concretizzi, da una parte, e la gravità delle conseguenze,dall’altra)contribuiscono entrambi alla valutazione globale dell’impatto potenziale.Infine, nell’applicare la metodologia è opportuno ricordare che la valutazione dell’impatto ai sensi dell’articolo 7, lettera f), non può dare luogo aun esercizio meccanico e puramente quantitativo. Negli scenari tradizionali di valutazione dei rischi, la “gravità” può tenere conto del numero di personesu cui il trattamento puòpotenzialmente avere un impatto. Ciononostante, occorre tenere presente che il trattamento di dati personali che ha un impatto su una minoranza di interessati (o anche solo su una singola persona) richiede nondimeno un’analisi molto accurata specialmente se tale impatto su ciascuna persona interessata è potenzialmente significativo.

ii) Natura dei dati

Sarebbe innanzitutto importante valutare se il trattamento riguarda dati sensibili, o perché appartengono alle categorie particolari di dati di cui all’articolo 8 della direttiva, o per altri motivi, come nel caso dei dati biometrici, delle informazioni genetiche, dei dati sulle comunicazioni, dei dati relativi all’ubicazione e di altri tipi di informazioni personali che richiedono una protezione speciale86.A titolo di esempio, a parere del Gruppo di lavoro, di norma l’utilizzo di dati biometrici per i requisiti generali di sicurezza di immobili o persone è considerato un interesse legittimo su cui prevarrebbero l’interesse o i diritti e le libertà fondamentali dell’interessato. D’altro canto, dati biometrici quali le impronte digitali e/ola scansione dell’iride potrebbero essere utilizzati per la sicurezza di un’area ad alto rischio come un laboratorio che effettua ricerche su virus pericolosi, a patto che il responsabile del trattamento abbia fornito prove concrete dell’esistenza di un rischio considerevole87.In generale,quanto più saranno sensibili i dati in questione, tanto più numerose potrebbero essere le conseguenze per l’interessato.Ciononostante, questo non significa che i dati chein sé e per sé potrebbero sembrare innocui possano essere trattati liberamente sulla base dell’articolo 7, lettera f). Anzi,anche quei dati, a seconda del modo in cui sono trattati, possono avere un impatto considerevolesulle persone, come sarà illustrato nella successiva sottosezione (iii).A tale proposito, potrebbe essere pertinente che i dati siano già stati resi accessibili al pubblicoo meno dall’interessato o da terzi. In questo caso è innanzitutto importante sottolineare che, anche se sono statiresi accessibili al pubblico, i dati personali continuano a essere considerati tali e, di conseguenza, per il loro trattamento continuano a essere necessarie garanzie adeguate88.Non esiste un’autorizzazione generalizzata a riutilizzare e a sottoporre a ulteriore trattamento dati personali resi accessibili al pubblico ai sensi dell’articolo 7, lettera f).Detto questo, il fatto che i dati personali siano accessibili al pubblicopotrebbeessere considerato come un elemento divalutazione, specialmente se lapubblicazione è stata effettuata senza una ragionevole aspettativa in merito all’ulteriore utilizzo dei dati per determinate finalità(per esempio, a scopi di ricerca o a fini di trasparenza e responsabilità).

iii) Modalità di trattamento dei dati

Per valutare l’impatto in senso più ampio potrebbe essere necessario esaminare se i dati sono resi pubblicio altrimenti resi accessibili a un ampio numero di persone o se grandi quantità di dati personali sono trattate o combinate con altri dati(per esempio, nel caso dell’elaborazione

di profili, a fini commerciali, a fini di contrasto o per altri scopi).Dati apparentemente innocui, se trattati su vasta scala e combinati con altri dati, potrebbero dare luogo a deduzioni su dati più sensibili, come è stato dimostrato precedentemente nello scenario 3, cheillustra la relazione tra modelli di consumo di pizza e premi di assicurazione sanitaria.Oltre a poter comportare il trattamento di dati più sensibili, tale analisi potrebbe anche dare luogo a strane, impreviste etalvolta anche errate previsioni, per esempio riguardo al comportamento o alla personalità delle persone interessate. A seconda della loro natura e dell’impatto che possono avere, queste previsioni potrebbero essere estremamente invasive per la vita privata dell’interessato89.Il Gruppo di lavoro ha inoltre evidenziato in un precedente parere i rischi comportati da talune soluzioni a tutela della sicurezza (tra cui firewall, programmi antivirus o antispam), poiché potrebbero dare luogo a un uso esteso di dispositivi di filtraggio DPI, che sarebbero in grado di influire significativamente sulla valutazione del bilanciamento dei diritti90.In generale, quanto più negativo o incerto potràessere l’impatto del trattamento, tanto piùsarà improbabile che, nel complesso, il trattamento sia considerato legittimo. La disponibilità di metodi alternativi per raggiungere gli obiettivi perseguiti dal responsabile del trattamento, con un impatto meno negativo per l’interessato, dovrà sicuramente essere una considerazioneimportante in quest’ambito. Ove opportuno, è possibile utilizzare valutazioni di impatto sulla tutela della vita privata e sulla protezione dei dati per stabilire se questa sia una possibilità.

iv) Ragionevoli aspettative dell’interessato

Le ragionevoli aspettative dell’interessato riguardo all’utilizzo e alla comunicazione dei dati sono anch’esse estremamentepertinenti a questo riguardo. Come è stato evidenziato anche in merito all’analisi del principio di limitazione delle finalità91, è“importantevalutare se lo status del responsabile del trattamento92, la natura della relazione o il servizio fornito93o gli obblighi giuridici o contrattuali applicabili (o altre promesse formulate al momento della raccolta dei dati) potrebbero dare luogo a ragionevoli aspettative riguardo a una riservatezza più rigorosa e a limitazioni più severe in merito all’ulteriore utilizzo.In generale,quanto più specifico e restrittivo sarà il contesto in cui si effettua la raccolta dei dati, tanto più numerose saranno probabilmente le limitazioni di utilizzo.Anche in questo caso è necessario tenere conto del contesto fattuale anziché fare semplice affidamento al testo in minuscolo.

v) Status del responsabile del trattamento dei dati e dell’interessato

Anche lo status dell’interessatoe del responsabile del trattamento è un elemento pertinente ai fini della valutazione dell’impatto del trattamento.A seconda che il responsabile del trattamento sia una persona o un’organizzazione dipiccoledimensioni, una grande impresa multinazionale oun ente pubblico e in base alle circostanze specifiche, la sua posizione potrebbeessere più o meno dominante rispettoall’interessato. Una grande impresa multinazionale, per esempio, potrebbeavere più risorse e un potere negoziale maggiore rispetto al singolo interessato e, di conseguenza, potrebbetrovarsi in una posizione migliore per imporre all’interessato ciò che ritiene sia nel suo “interesse legittimo”, tanto più se l’impresa detiene una posizione dominante sul mercato. L’eventuale assenza dicontrolli al riguardopotrebbeandare a discapito dei singoli interessati. Così come le norme in materia di tutela dei consumatori e di concorrenza contribuiscono ad assicurare che tale potere non sia utilizzato in maniera impropria, la legislazione sulla protezione dei dati potrebbesvolgere a sua volta un ruolo importante nel garantire che i diritti e gli interessi degli interessati non siano indebitamente pregiudicati.D’altro canto, anche lo status dell’interessato è pertinente.Benché in linea di principio il test comparativo debba essere effettuato prendendo in considerazioneun individuo medio, situazioni specifiche devono comportare l’adozione di un approccio basato maggiormente su una valutazione caso per caso: per esempio, potrà essere pertinente esaminare se l’interessato è un minore94o, in caso contrario,se appartiene a una categoria più vulnerabile della popolazione che richiede una protezione speciale, come per esempio le persone affette da malattie mentali, i richiedenti asilo o gli anziani.Deve essere indubbiamente pertinente anche esaminare se l’interessato è un lavoratore dipendente, uno studente, un paziente o se esiste altrimenti uno squilibrio nella relazione tra la posizione dell’interessato e quella del responsabile del trattamento.È importante valutare l’impatto dell’effettivo trattamento su determinati individui.Infine, è importante sottolineare che non tutto l’impatto negativo sugli interessati“pesa” allo stesso modo sulbilanciamento. Il test comparativo di cui all’articolo 7, lettera f), non è finalizzato a evitare qualsiasiimpatto negativo sull’interessato. Il suo scopo è invece evitare un impatto sproporzionato. Questa è una differenza fondamentale. Per esempio, la pubblicazione di un articolo di giornale accurato e fondato su ricerche esaurienti sulla presunta corruzione governativa potrebbe danneggiare la reputazione dei funzionari di governo coinvolti e avere conseguenze considerevoli, tra cui laperdita di reputazione, la perdita delle elezioni o la reclusione; ciononostante, potrebbe comunque trovare un fondamento nell’articolo 7, lettera f)95.

(c) Bilanciamento provvisorio

Quando si valutano comparativamente gli interessi e i diritti in gioco come precedentemente descritto, le misure adottate dal responsabile del trattamento per assolvere gli obblighi generali che è tenuto a rispettare ai sensi della direttiva, anche in termini di proporzionalità e trasparenza, contribuiranno in ampia misura a garantire che il responsabile del trattamento dei 49dati ottemperi ai requisiti di cui all’articolo 7, lettera f).Per “pieno rispetto” si deve intendere che l’impatto sulle persone è ridotto, che esistono meno probabilitàdi ingerenze negli interessi o nei diritti e nelle libertà fondamentali degli interessati e che di conseguenza è piùprobabileche il responsabile del trattamentopossa invocare l’articolo 7, lettera f). Ciò dovrebbe incoraggiare i responsabili del trattamento a impegnarsi maggiormente per rispettaretutte le disposizioni orizzontali della direttiva96.Tuttavia, ciònonsignifica che il rispetto di questi requisiti orizzontali sarà in quanto tale sempre sufficiente a garantire una base giuridica fondata sull’articolo 7, letteraf). Anzi, se così fosse, l’articolo 7, lettera f), sarebbe superfluo o diventerebbe una scappatoia che priverebbe di significato l’intero articolo7, che richiede una specifica base giuridica adeguata per il trattamento.Per questo motivoè importante svolgere un’ulteriore valutazione nell’ambito del test comparativo nei casi in cui, sulla base dell’analisi preliminare, non è chiaro in quale modo deve essere operato il bilanciamento. Il responsabile del trattamento potrebbe valutare la possibilità di introdurre misure supplementari, che vadano oltre il rispettodelle disposizioni orizzontali della direttiva, per contribuire a ridurre l’indebito impatto del trattamento sugli interessati.Tra le misure supplementari potrebbe figurare, per esempio, la disponibilità diun meccanismo facilmente accessibile edefficace volto ad assicurare agli interessati la possibilità incondizionata di revocare il proprio consensoal trattamentodei dati. In alcuni casi (ma non in tutti) queste misure supplementari potrebbero contribuire a far pendere il bilanciamentoin un senso o nell’altro e a garantire che il trattamento possa basarsi sull’articolo 7, lettera f),tutelando al contempo anche i diritti e gli interessi degli interessati.

(d) Garanzie supplementari applicate dal responsabile del trattamento

Come precedentemente spiegato, il modo in cui il responsabile del trattamento applicherà le misure adeguate potrebbe, in alcune situazioni, contribuire a “far pendere il bilanciamento in un senso o nell’altro”. L’accettabilità del risultato dipenderà dalla valutazione nel suo complesso. Quanto più sarà rilevante l’impatto sull’interessato, tanto maggiore dovrà essere l’attenzione da riservare alle garanzie pertinenti.Tra gli esempi delle misure pertinenti potrebbero figurare, tra l’altro, una rigorosa limitazione della quantità di dati raccolti e l’immediata cancellazione dei dati dopo il loro utilizzo. Alcune di queste misure potrebbero essere già obbligatorie ai sensi della direttiva; ciononostante, spesso sono adattabili e lasciano ai responsabili del trattamento la flessibilità necessaria a garantire una migliore protezione degli interessati. Per esempio, il responsabile del trattamento potrebbe raccogliere meno dati o fornire informazioni supplementari rispetto a quelle espressamente elencate agli articoli 10 e 11 della direttiva. In alcuni altri casi, le garanzie non sono espressamenteprescritte anormadella direttiva, ma potrebbero esserlo in futuro ai sensi della proposta di regolamento, oppure sono prescritte solo in situazioni specifiche, quali:

• misure tecniche e organizzative volte a garantire che i dati non possano essere utilizzati per adottare decisioni o intraprendere altre azioniriguardo alle persone (“separazione funzionale” come spesso avviene in un contesto di ricerca)
• utilizzo estensivo di tecniche di anonimizzazione
• aggregazione dei dati
• tecnologiedi rafforzamento della tutela della vita privata, tutela della vita privata fin dalla progettazione (“privacy by design”)nonchévalutazioni di impatto sulla tutela della vita privata e sulla protezione dei dati
• maggiore trasparenza
• diritto generale e incondizionato di revoca(“opt-out”)
• portabilità dei dati emisure correlate volte a responsabilizzare gli interessati

Il Gruppo di lavoro osserva che, per quanto riguarda alcune questioni fondamentali, quali la separazione funzionale e le tecniche di anonimizzazione, sono già stati forniti alcuni orientamenti nelle pertinenti parti deisuoiparerisul principio dilimitazione delle finalità, sui dati aperti e sulle tecniche di anonimizzazione97.Per quanto riguarda la pseudonimizzazione e la cifratura, il Gruppo di lavoro desidera sottolineare che, se i dati non sono direttamente identificabili, di per sé ciò non influisce sulla valutazione della legittimità del trattamento:non si deve interpretare tale circostanza nel senso che renda legittimo un trattamento illegittimo98.Al tempo stesso, la pseudonimizzazione e la cifratura, analogamente a qualsiasi altra misura tecnica e organizzativa introdotta a tutela dei dati personali, svolgeranno un ruolo importante riguardo alla valutazione del potenziale impatto del trattamento sull’interessato e, di conseguenza, in alcuni casi potrebbero contribuire a far pendere il bilanciamentoa favore del responsabile del trattamento. L’utilizzo di forme meno rischiose di trattamento dei dati personali(quali ad esempio la cifratura di dati personali in fase di conservazione o di transito oppure dati personali che sono meno direttamente e meno immediatamente identificabili) deve in generale significare che esistono minori probabilità di ingerenze negli interessi o nei diritti enelle libertà fondamentali degli interessati.Relativamente a tali garanzie, nonché alla valutazione comparativa generale del bilanciamentodegli interessi, il Gruppo di lavoro desidera evidenziare tre questioni specifiche che spesso svolgono un ruolo fondamentale nel contesto dell’articolo 7, lettera f):

la relazione tra il test comparativo, la trasparenza e il principio di responsabilità;

• il diritto dell’interessato a opporsi al trattamento e, oltre aldiritto di opposizione, la possibilità di revocareil consenso al trattamento dei dati senza la necessità di fornire alcuna giustificazione, e
• la responsabilizzazione degli interessati: la portabilità dei dati ela disponibilità di meccanismi efficacivolti a permettere all’interessato di accedere ai suoidati, modificarli, cancellarli, trasferirli o sottoporli altrimenti a un trattamento successivo (o permetterne l’ulteriore trattamento da parte di terzi).

Considerata la loro importanza, questi argomenti saranno trattati nell’ambito di rubriche distinte.

______________

69 Considerata la loro importanza, alcune questioni specifiche riguardanti le garanzie saranno ulteriormente discusse nell’ambito di rubriche separate nelle sezioni III.3.5 e III.3.6.

70 Le disposizioni della Carta si applicano alle istituzioni e agli organi dell’Unione nel rispetto del principio di sussidiarietà, come pure alle autorità nazionali esclusivamente nell’attuazione del diritto dell’Unione.

71 Articolo 11 della Carta e articolo 10 della CEDU.

72 Articolo 13 della Carta e articoli 9 e 10 della CEDU.

73 Articolo 42 della Carta.“Qualsiasi cittadino dell’Unione o qualsiasi persona fisica o giuridica che risieda o abbia la sede sociale in uno Stato membroha il diritto di accedere ai documenti del Parlamento europeo, del Consiglio e della Commissione”. In alcuni Stati membri esistono diritti d’accesso analoghi per quanto riguarda i documenti detenuti da organismi pubblici in tali Stati membri.

74 Articolo 6della Carta e articolo 5 della CEDU.75Articolo 10 della Carta e articolo 9 della CEDU.

76 Articolo 16 della Carta.

77 Articolo 17 della Carta e articolo 1 del protocollo n.°1 della CEDU.

78 Articolo 47 della Carta e articolo 6 della CEDU.

79 Articolo 48 della Carta e articoli 6 e 13 della CEDU.

80 Quanto ai criteri da applicare nei casi riguardanti la libertà di espressione, anche la giurisprudenza della Corte europea dei diritti dell’uomo fornisce indicazioni utili. Cfr., per esempio, Corte EDU, sentenza 7 febbraio2012, von Hannover c. Germania(n.2), in particolare i punti 95-126. Occorre inoltre tenere presente che l’articolo 9 della direttiva (intitolato Trattamento di dati personali e libertà d’espressione) permette agli Stati membri di prevedere “per iltrattamento di dati personali effettuato esclusivamente a scopi giornalistici o di espressione artistica o letteraria, le esenzioni o le deroghe [a talune disposizioni della direttiva]” qualora si rivelino “necessarie per conciliare il diritto alla vita privata con le norme sulla libertà d’espressione”.81Cfr., a titolo illustrativo, “Esempio 21: Dati dei sistemi di misurazione intelligenti estrapolati per individuare un uso fraudolento dell’energia” a pagina 67 del parere 3/2013 del Gruppo di lavoro sul principio di limitazione delle finalità(citato precedentemente alla nota a piè di pagina 9).

82 Ovviamente, nella valutazione occorre anche riflettere sull’eventuale danno subito dal responsabile del trattamento, dai terzi o dalla collettività in caso di mancato trattamento dei dati.

83 Questo interesse, tuttavia, non può essere utilizzato per legittimare pratiche invasive che altrimenti non soddisferebbero il criterio di cui all’articolo 8, paragrafo 2, della CEDU.

84 Questa valutazione dell’impatto deve essere interpretata nel contesto dell’articolo 7, lettera f). In altre parole, non facciamo riferimento a una “analisi dei rischi” o a una “valutazione d’impatto sulla protezione dei dati” nel senso della proposta di regolamento (articoli 33 e 34) e dei vari emendamenti formulati al riguardo dalla commissione LIBE. La questione di quale metodologia debba essere seguita nell’ambito di una “analisi dei rischi” o di una “valutazione d’impatto sulla protezione dei dati” esula dall’ambito di applicazione del presente parere. D’altro canto, occorre tenere presente che, in un modo o nell’altro, l’analisi dell’impatto ai sensi dell’articolo 7, lettera f), può essere una parte importante di qualsiasi “valutazione dei rischi” o “valutazione d’impatto sulla protezione dei dati” e può inoltre contribuire a individuare le situazioni in cui è necessario consultare l’autorità di protezione dei dati.85Occorre sempre tenere nella debita considerazione il rischio di danno finanziario, per esempio, qualora in seguito a una violazione di dati siano divulgate informazioni che dovevano trovarsi in un ambiente sicuro e ciò comporti in definitiva un furto d’identità o altre forme di frode o il rischio di lesioni personali, dolore, sofferenza e un peggioramento della qualità della vita che potrebbero infine scaturire, per esempio, da un’alterazione non autorizzata dei dati medici e dal successivo trattamento inadeguato di un paziente, sebbene tale rischio sia tutt’altro che limitato alle situazioni che rientrano nel campo di applicazione dell’articolo 7, lettera f). Al contempo, tali rischi non sono gli unici di cui tenere conto nel valutare l’impatto ai sensi dell’articolo 7, lettera f)

86 I dati biometrici e i dati genetici sono considerati categorie particolari di dati nella proposta diregolamento sulla protezione dei dati della Commissione, in combinato disposto con gli emendamenti della commissione LIBE. Cfr. l’emendamento 103 all’articolo 9 nella relazione finale della commissioneLIBE. Per quanto riguarda la relazione tra gli articoli 7 e 8 della direttiva 95/46/CE, cfr. la precedente sezione III.1.2 alle pagine 17-19.

87Cfr. il parere 3/2012 del Gruppo di lavoro “articolo 29” sugli sviluppi nelle tecnologie biometriche (WP 193). A titolo di ulteriore esempio, nel suo parere 4/2009 concernente lo standard internazionale dell’Agenzia Mondiale Antidoping (WADA) (citato precedentemente alla nota a piè di pagina 32), il Gruppo di lavoro ha sottolineato che l’articolo 7, lettera f), non sarebbe un motivo valido per trattare i dati medici ei dati relativi alle infrazioni nel contesto di indagini antidoping, alla luce della “gravità delle intrusioni nella vita privata”. Il trattamento dei dati deve essere previsto dalla legge e soddisfare i requisiti di cui all’articolo 8, paragrafi4 o 5, della direttiva.

87 Cfr. il parere 3/2012 del Gruppo di lavoro “articolo 29” sugli sviluppi nelle tecnologie biometriche (WP 193). A titolo di ulteriore esempio, nel suo parere 4/2009 concernente lo standard internazionale dell’Agenzia Mondiale Antidoping (WADA) (citato precedentemente alla nota a piè di pagina 32), il Gruppo di lavoro ha sottolineato che l’articolo 7, lettera f), non sarebbe un motivo valido per trattare i dati medici ei dati relativi alle infrazioni nel contesto di indagini antidoping, alla luce della “gravità delle intrusioni nella vita privata”. Il trattamento dei dati deve essere previsto dalla legge e soddisfare i requisiti di cui all’articolo 8, paragrafi4 o 5, della direttiva.

88 Cfr. il parere 3/2013 del Gruppo di lavoro sul principio di limitazione delle finalità (citato alla precedente nota a piè di pagina 9) e il parere 6/2013 del Gruppo di lavoro sui dati aperti e sul riutilizzo delle informazioni del settorepubblico (“ISP”),adottato il 5 giugno 2013 (WP 207)

89 Cfr. la sezione III.2.5 e l’allegato 2 (Megadati e dati aperti) del parere sul principio di limitazione delle finalità (citato precedentemente alla nota a piè di pagina 9).

90 Cfr. la sezione 3.1 del parere 1/2009 del Gruppo di lavoro sulle proposte recanti modifica della direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (WP 159).

91 Cfr. pagg. 24-25 del parere 3/2013 del Gruppo di lavoro sul principio di limitazione delle finalità (citato precedentemente alla nota a piè di pagina 9).

92 “Quale, per esempio, un avvocato o un medico”.

93 “Quali,per esempio, servizi di cloud computing per la gestione di documenti personali, servizi di posta elettronica, agende, e-reader dotati di funzioni che consentono di scrivere annotazioni e varie applicazioni che permettono di registrare ogni momento della propria vita (life-logging) che potrebbero contenere informazioni molto personali”.

94 Cfr. il parere 2/2009 del Gruppo di lavoro sulla protezione dei dati personali dei minori (Principi generali e caso specificodelle scuole), adottato l’11 febbraio 2009 (WP 160). Tale parere insiste sulla specifica vulnerabilità del minore e, qualora il minore si faccia rappresentare, sulla necessità di tenere conto dell’interesse superiore del minore e non di quello del suo rappresentante.

95 Come precedentemente spiegato, occorre tenere conto anche di tutte le deroghe pertinenti per il trattamento di dati personali effettuato a scopi giornalistici ai sensi dell’articolo 9 della direttiva.

96 Per quanto riguarda l’importante ruolo svolto dalla “conformità orizzontale”, cfr. anche pagina 54 del parere 3/2013 del Gruppo di lavoro sul principio di limitazione delle finalità, citato nella precedente nota a piè di pagina 9.

97 Cfr. le sezioni III.2.3, III.2.5 e l’allegato 2 del parere 3/2013 del Gruppo di lavoro sul principio di limitazione delle finalità, citato precedentemente alla nota a piè di pagina 9, sul trattamento successivo dei dati per scopi storici, statistici o scientifici, sui megadati e sui dati aperti; cfr. anche le parti pertinenti del parere 6/2013 del Gruppo di lavoro sui dati aperti (citato precedentemente alla nota a piè di pagina 88) e il parere 5/2014 sulle tecniche di anonimizzazione

98 Cfr. a tale proposito gli emendamenti votati dalla commissione LIBE nella sua relazione finale e in particolare l’emendamento 15 al considerando 38 in cui la pseudonimizzazione è associata alle legittime aspettative dell’interessato.

99 Per esempio, in seguito a un ricorso o all’esercizio del diritto di opposizione ai sensi dell’articolo 14.

100 Cfr. i pareri citati nella nota a pièdi pagina 9

101 Come spiegato a pagina 46 del parere 3/2013 del Gruppo di lavoro sul principio di limitazione delle finalità (citato precedentemente alla nota a piè di pagina 9), nel caso dell’elaborazione di profili e di processi decisionali automatizzati, “per garantire la trasparenza, gli interessati/i consumatori devono poter accedere ai loro 'profili' nonché alla logica sottesa al processo decisionale (algoritmo) che ha portato allo sviluppo del profilo. In altre parole, le organizzazioni devono rendere noti i loro criteri decisionali. Questa è una garanzia fondamentale, che riveste un’importanza ancora maggiore nel mondo dei megadati”. L’eventualità che un’organizzazione offra o meno questa trasparenza è un fattore estremamente importante datenere parimenti in considerazionenel test comparativo.

102 Per le ulteriori possibili garanzie riguardo alle situazioni sempre più comuni in cui i consumatori pagano con i loro dati personali, cfr. la sezione III.3.6, in particolare le pagine 55-57sulle “Alternative ai servizi online 'gratuiti' compatibili con la protezione dei dati” e sulla “Portabilità dei dati, 'Midata' e questioni correlate”.

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227