Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679 adottate il 3 ottobre 2017 Versione emendata e adottata in data 6 febbraio 2018

ALLEGATO 3 - Approfondimenti - Parere 6/2014 sul concetto di interesse legittimo del responsabile del trattamento ai sensi dell’articolo 7 della direttiva95/46/CE

GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

844/14/IT

WP217

III.2. Articolo 7, lettere da a) a e)

La presente sezione III.2 fornisce una breve panoramica di ciascuno dei fondamenti giuridici di cui all’articolo 7, lettere da a) a e), della direttiva, prima che, nella sezione III.3, il parere si concentri sull’articolo 7, lettera f). L’analisi evidenzierà inoltre alcune delle interfacce più comuni tra tali fondamenti giuridici, quali, ad esempio, “l’esecuzione di un contratto”, “l’adempimento di un obbligo legale” e “il perseguimento dell’interesse legittimo”, a seconda del contesto particolare e delle circostanze del caso.

IV.1. Conclusioni

Panoramica dell’articolo 7

Ai sensi dell’articolo 7, il trattamento di dati personali può essere effettuato soltanto se si applica almeno uno dei sei fondamenti giuridici elencati in tale articolo. Il primo fondamento, l’articolo 7, lettera a), si concentra sul consenso dell’interessato quale motivo di liceità. I restanti criteri, invece, ammettono il trattamento, subordinatamente a garanzie adeguate, in situazioni in cui, a prescindere dal consenso, è opportuno e necessario trattare i dati in un determinato contesto al fine di perseguire un interesse legittimo specifico. Le lettere b), c), d) ed e) precisano ognuna un contesto specifico in cui il trattamento dei dati personali può essere considerato legittimo. Le condizioni che si applicano in ciascuno di questi differenti contesti richiedono particolare attenzione poiché definiscono il campo di applicazione dei vari fondamenti che legittimano il trattamento. Più precisamente, i criteri “necessario all’esecuzione del contratto concluso con la persona interessata”, “necessario per adempiere un obbligo legale”, “necessario per la salvaguardia dell’interesse vitale della persona interessata” e “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri” contengono requisiti differenti, che sono stati discussi nella sezione III.2. La lettera f) si riferisce, più in generale, all’interesse legittimo (di qualsiasi tipo) perseguito dal responsabile del trattamento (in qualsiasi contesto). Questa disposizione generale è tuttavia espressamente subordinata a un test comparativo supplementare, il quale prevede che l’interesse legittimo del responsabile del trattamento (oppure del o dei terzi cui vengono comunicati i dati) sia valutato rispetto agli interessi o ai diritti fondamentali degli interessati.

Ruolo dell’articolo 7, lettera f)

Non si deve considerare l’articolo 7, lettera f), come un fondamento giuridico al quale si può ricorrere solo moderatamente come “estremo rimedio” al fine di colmare lacune nel caso di situazioni rare e impreviste o come ultima possibilità qualora non sia possibile applicare alcun altro criterio. Analogamente, questa opzione non deve essere privilegiata rispetto alle altre né se ne deve ampliare indebitamente l’utilizzo in base alla percezione che sia meno vincolante rispetto agli altri criteri. Si tratta invece di uno strumento valido quanto gli altri fondamenti per legittimare il trattamento dei dati personali. Nelle giuste circostanze e in presenza di adeguate garanzie, il corretto utilizzo dell’articolo 7, lettera f), potrebbe contribuire a evitare che gli altri fondamenti giuridici siano utilizzati in maniera impropria o che si faccia eccessivamente affidamento ad essi. Una valutazione adeguata del bilanciamento degli interessi ai sensi dell’articolo 7, lettera f), spesso accompagnata dalla possibilità di revocare il consenso al trattamento, potrebbe in alcuni casi rappresentare una valida alternativa all’uso improprio, per esempio, del fondamento del “consenso” o del criterio della “necessità ai fini dell’esecuzione del contratto”. Considerato in questo modo, l’articolo 7, lettera f), presenta garanzie complementari rispetto agli altri criteri di liceità prestabiliti. Non deve quindi essere ritenuto “l’anello più debole” o una “porta aperta” per legittimare tutte le attività di trattamento dei dati che non rientrano in uno degli altri fondamenti giuridici.

Interesse legittimo del responsabile del trattamento/interessi o diritti fondamentali dell’interessato

Il concetto di “interesse” è l’interesse più ampio che un responsabile può avere nel trattamento oppure il beneficio che il responsabile trae (o che potrebbe trarre la società) dal trattamento. L’interesse potrebbe essere preminente, evidente oppure più controverso. Nelle situazioni contemplate dall’articolo 7, lettera f), potrebbero pertanto rientrare sia l’esercizio di diritti fondamentali o la protezione di importanti interessi personali o sociali che altri contesti meno ovvi o addirittura problematici. Per essere considerato “legittimo” ed essere pertinente ai sensi dell’articolo 7, lettera f), l’interesse dovrà essere lecito, ossia conforme al diritto nazionale e unionale. Dovrà inoltre essere abbastanza specifico e articolato in maniera sufficientemente chiara da consentire di eseguire il test comparativo valutando l’interesse legittimo del responsabile del trattamento rispetto agli interessi e ai diritti fondamentali dell’interessato. Dovrà altresì rappresentare un interesse concreto ed effettivo, ossia non essere teorico. Se il responsabile del trattamento, o il terzo cui devono essere comunicati i dati, ha tale interesse legittimo, questo non significa necessariamente che possa invocare l’articolo 7, lettera f), come fondamento giuridico per il trattamento. La possibilità di invocare l’articolo 7, lettera f), dipenderà dall’esito del test comparativo che segue. Il trattamento deve inoltre essere “necessario per il perseguimento dell’interesse legittimo” del responsabile del trattamento o, nel caso della comunicazione dei dati, del/dei terzo/i. Devono pertanto essere sempre privilegiati mezzi meno invasivi per conseguire lo stesso obiettivo. La definizione del concetto di “interessi” degli interessati è addirittura più ampia poiché non prevede un elemento di “legittimità”. Se il responsabile del trattamento o il terzo possono perseguire qualsiasi interesse, purché legittimo, per contro tutte le categorie di interessi dell’interessato devono essere prese in considerazione e valutate comparativamente rispetto a quelle del responsabile del trattamento o del terzo, nella misura in cui siano pertinenti nell’ambito del campo di applicazione della direttiva.

Applicazione del test comparativo

Nell’interpretare il campo di applicazione dell’articolo 7, lettera f), il Gruppo di lavoro intende conseguire un approccio equilibrato, che garantisca la necessaria flessibilità ai responsabili del trattamento in situazioni in cui non sussiste un indebito impatto sugli interessati, fornendo contemporaneamente loro una certezza del diritto e garanzie sufficienti che questa disposizione indeterminata non sarà utilizzata in maniera impropria. Per eseguire questo test comparativo è innanzitutto importante considerare, da un lato, la natura e l’origine dell’interesse legittimo nonché l’eventualità che il trattamento sia necessario per il perseguimento di tali interessi e, dall’altro, l’impatto sugli interessati. Questa valutazione iniziale deve tenere conto delle misure, quali la trasparenza o la raccolta limitata di dati, che il responsabile del trattamento prevede di adottare per ottemperare alla direttiva. Dopo aver analizzato e valutato comparativamente i due elementi, è possibile giungere a un “bilanciamento” provvisorio: si può concludere in via preliminare se l’interesse legittimo del responsabile del trattamento prevale sui diritti e sugli interessi degli interessati. Potrebbero tuttavia esistere casi in cui l’esito del test comparativo è dubbio e non è chiaro se prevale l’interesse legittimo del responsabile del trattamento (o del terzo) e se il trattamento può basarsi sull’articolo 7, lettera f). Per questo motivo è importante svolgere un’ulteriore valutazione nell’ambito del test comparativo. In questa fase, il responsabile del trattamento potrebbe valutare se è in grado di introdurre misure supplementari, che vadano oltre il rispetto delle disposizioni orizzontali della direttiva, per contribuire a proteggere gli interessati. Tra le misure supplementari potrebbe figurare, per esempio, la disponibilità di un meccanismo facilmente accessibile ed efficace volto ad assicurare agli interessati la possibilità incondizionata di revocare il proprio consenso al trattamento dei dati.

Fattori chiave da considerare nell’applicazione del test comparativo

Sulla base delle precedenti considerazioni, tra i fattori utili da considerare nell’esecuzione del test comparativo figurano:

• la natura e l’origine dell’interesse legittimo, tra cui: - l’eventualità che il trattamento dei dati sia necessario per l’esercizio di un diritto fondamentale, o - altrimenti necessario per l’esecuzione di un compito di interesse pubblico o sia riconosciuto a livello sociale, culturale o giuridico/normativo dalla comunità interessata;
• l’impatto sugli interessati, tra cui: - la natura dei dati, ad esempio l’eventualità che il trattamento riguardi dati che potrebbero essere considerati sensibili o che sono stati ottenuti da fonti accessibili al pubblico; - le modalità di trattamento dei dati, tra cui l’eventualità che i dati siano resi pubblici o altrimenti resi accessibili a un ampio numero di persone o che grandi quantità di dati personali siano trattate o combinate con altri dati (per esempio, nel caso dell’elaborazione di profili, a fini commerciali, a fini di contrasto o per altri scopi); - le ragionevoli aspettative dell’interessato, specialmente riguardo all’utilizzo e alla comunicazione dei dati nel contesto pertinente; - lo status del responsabile del trattamento e dell’interessato, tra cui il bilanciamento dei poteri tra l’interessato e il responsabile del trattamento o l’eventualità che l’interessato sia un minore o altrimenti appartenga a una categoria più vulnerabile della popolazione.
• garanzie supplementari volte a evitare un indebito impatto sugli interessati, tra cui: - la minimizzazione dei dati (ad esempio rigorose limitazioni della quantità di dati raccolti e l’immediata cancellazione dei dati dopo il loro utilizzo); - misure tecniche e organizzative volte a garantire che i dati non possano essere utilizzati per adottare decisioni o intraprendere altre azioni riguardo alle persone (“separazione funzionale”); - utilizzo estensivo di tecniche di anonimizzazione, aggregazione dei dati, tecnologie di rafforzamento della tutela della vita privata, tutela della vita privata fin dalla progettazione (“privacy by design”) nonché valutazioni di impatto sulla tutela della vita privata e sulla protezione dei dati; - maggiore trasparenza, diritto generale e incondizionato di revoca (“opt-out”), portabilità dei dati e misure correlate volte a responsabilizzare gli interessati.

Responsabilità, trasparenza, il diritto di opposizione e oltre

Relativamente a queste garanzie, nonché alla valutazione comparativa generale del bilanciamento degli interessi, tre questioni svolgono spesso un ruolo cruciale nel contesto dell’articolo 7, lettera f), e richiedono pertanto un’attenzione speciale: - l’esistenza di alcune misure supplementari e l’eventuale necessità di prevederne altre ai fini di una maggiore trasparenza e responsabilità; - il diritto dell’interessato a opporsi al trattamento e, oltre al diritto di opposizione, la possibilità di revocare il consenso al trattamento dei dati senza la necessità di fornire alcuna giustificazione; - la responsabilizzazione degli interessati: la portabilità dei dati e la disponibilità di meccanismi efficaci volti a permettere all’interessato di accedere ai suoi dati, modificarli, cancellarli, trasferirli o sottoporli altrimenti a un trattamento successivo (o permetterne l’ulteriore trattamento da parte di terzi).

______________

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227