GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

17/IT
WP260 rev.01

Linee guida sulla trasparenza ai sensi del regolamento 2016/679

Adottate il 29 novembre 2017

Versione emendata adottata l’11 aprile 2018

IL GRUPPO DI LAVORO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI

istituito dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, visti gli articoli 29 e 30 della stessa, visto il suo regolamento interno, HA ADOTTATO LE PRESENTI LINEE GUIDA:

Il Gruppo di lavoro e' stato istituito in virtu' dell’articolo 29 della direttiva 95/46/CE. E' l’organo consultivo indipendente dell’UE per la protezione dei dati personali e della vita privata. I suoi compiti sono fissati all’articolo 30 della direttiva 95/46/CE e all’articolo 15 della direttiva 2002/58/CE.

Le funzioni di segreteria sono espletate dalla direzione C (Diritti fondamentali e Stato di diritto) della direzione generale Giustizia, Commissione europea, B-1049 Bruxelles, Belgio, ufficio MO-59 02/013.

... (omissis) ...

Introduzione

1. Le presenti linee guida riportano gli orientamenti pratici e l’assistenza interpretativa offerta dal Gruppo di lavoro articolo 29 (“Gruppo”) sul nuovo obbligo di trasparenza relativo al trattamento dei dati personali ai sensi del regolamento generale sulla protezione dei dati (“regolamento”)1. La trasparenza e' un obbligo trasversale a norma del regolamento, che si esplica in tre elementi centrali: 1) la fornitura agli interessati d’informazioni relative al trattamento corretto; 2) le modalita' con le quali il titolare del trattamento comunica con gli interessati riguardo ai diritti di cui godono ai sensi del regolamento; 3) le modalita' con le quali il titolare del trattamento agevola agli interessati l’esercizio dei diritti di cui godono2. Nella misura in cui il rispetto della trasparenza e' imposto con riferimento al trattamento dei dati ai sensi della direttiva (UE) 2016/680, le presenti linee guida si applicano anche all’interpretazione di tale principio4. Come tutte quelle emanate dal Gruppo, anche le presenti linee guida sono da intendersi come applicabili in generale ai titolari del trattamento, a prescindere dalle specifiche a livello settoriale o normativo tipiche per l’uno o l’altro di essi. Non possono quindi cogliere tutte le sfumature e le numerose variabili che possono presentarsi nel contesto degli obblighi di trasparenza di uno specifico settore o di un’area regolamentata. Mirano tuttavia a consentire ai titolari del trattamento di comprendere, a un livello elevato, come il Gruppo interpreti gli effetti pratici degli obblighi di trasparenza e a indicare l’approccio che, secondo il Gruppo, i titolari del trattamento dovrebbero adottare per essere trasparenti, ricomprendendo al contempo correttezza e responsabilizzazione nelle loro misure di trasparenza.

2. La trasparenza e' un aspetto che da tempo si e' consolidato nel diritto dell’Unione europea. Mira a infondere fiducia nei processi che riguardano i cittadini, permettendo loro di comprenderli e, se necessario, di opporvisi. Inoltre, e' espressione del principio di correttezza in relazione al trattamento dei dati personali affermato all’articolo 8 della Carta dei diritti fondamentali dell’Unione europea. Ai sensi dell’articolo 5, paragrafo 1, lettera a), del regolamento, oltre ai requisiti che il trattamento dei dati sia lecito e corretto, la trasparenza e' ora inclusa in quanto elemento fondamentale di questi principi. La trasparenza e' intrinsecamente legata alla correttezza e al nuovo principio di responsabilizzazione ai sensi del regolamento. Dall’articolo 5, paragrafo 2, risulta inoltre che il titolare del trattamento dev’essere sempre in grado di dimostrare che i dati personali sono trattati in modo trasparente nei confronti dell’interessato8. A questo si aggiunge il fatto che il principio di responsabilizzazione impone la trasparenza delle operazioni di trattamento affinche' il titolare del trattamento sia in grado di dimostrare il rispetto degli obblighi che il regolamento gli impone9.

3. Secondo il considerando 171 del regolamento, laddove il trattamento sia gia' in corso prima del 25 maggio 2018, il titolare del trattamento dovrebbe garantirne la conformita' agli obblighi di trasparenza alla data del 25 maggio 2018 (cosi' come a tutti gli altri obblighi previsti dal regolamento). Cio' significa che prima del 25 maggio 2018 il titolare del trattamento dovrebbe revisionare tutte le informazioni fornite agli interessati riguardo al trattamento dei dati personali che li riguardano (ad esempio in dichiarazioni/informative sulla privacy, ecc.), al fine di garantire l’adempimento degli obblighi di trasparenza esaminati nelle presenti linee guida. In caso di modifiche o aggiunte a tali informazioni, il titolare del trattamento dovrebbe esplicitare agli interessati che esse discendono dall’esigenza di conformarsi al regolamento. Il Gruppo raccomanda di portare tali modifiche o aggiunte attivamente all’attenzione degli interessati, ma il titolare del trattamento dovrebbe perlomeno mettere le informazioni a disposizione del pubblico (ad es. sul suo sito web). Se sono di carattere materiale o sostanziale, in linea con i paragrafi 29-32 infra le modifiche o le aggiunte dovrebbero tuttavia essere portate attivamente all’attenzione dell’interessato.

4. Quando il titolare del trattamento la rispetta, la trasparenza consente agli interessati di imputare la responsabilita' al titolare e al responsabile del trattamento e di esercitare il controllo sui dati personali che li riguardano, ad esempio dando o revocando il consenso informato e attivando i loro diritti di interessati. Nel regolamento il concetto di trasparenza non e' legalistico, ma piuttosto incentrato sull’utente e si concreta in vari articoli contenenti gli specifici obblighi imposti ai titolari e ai responsabili del trattamento. Gli obblighi concreti (d’informazione) sono indicati negli articoli 12-14 del regolamento. A ogni modo, la qualita', l’accessibilita' e la comprensibilita' delle informazioni sono altrettanto importanti del contenuto effettivo delle informazioni finalizzate alla trasparenza che devono essere fornite agli interessati.

5. Gli obblighi di trasparenza imposti dal regolamento si applicano a prescindere dalla base giuridica del trattamento e per tutto il ciclo di vita dello stesso. Cio' risulta chiaro dall’articolo 12, il quale stabilisce che la trasparenza si applica nelle seguenti fasi del ciclo di trattamento dei dati:

• prima o all’inizio del ciclo di trattamento dei dati, vale a dire quando i dati personali sono raccolti presso l’interessato od ottenuti in altro modo;

• nell’arco dell’intero ciclo di vita del trattamento, ovvero nella comunicazione con gli interessati sui loro diritti;

• in momenti specifici in cui il trattamento e' in corso, ad esempio quando si verifica una violazione di dati oppure in caso di modifica rilevante del trattamento.

Fonte: Garante per la Protezione dei dati - Linee guida sulla trasparenza ai sensi del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227