GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

17/IT
WP260 rev.01

Linee guida sulla trasparenza ai sensi del regolamento 2016/679

Adottate il 29 novembre 2017

Versione emendata adottata l’11 aprile 2018

IL GRUPPO DI LAVORO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI

istituito dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, visti gli articoli 29 e 30 della stessa, visto il suo regolamento interno, HA ADOTTATO LE PRESENTI LINEE GUIDA:

Il Gruppo di lavoro e' stato istituito in virtu' dell’articolo 29 della direttiva 95/46/CE. E' l’organo consultivo indipendente dell’UE per la protezione dei dati personali e della vita privata. I suoi compiti sono fissati all’articolo 30 della direttiva 95/46/CE e all’articolo 15 della direttiva 2002/58/CE.

Le funzioni di segreteria sono espletate dalla direzione C (Diritti fondamentali e Stato di diritto) della direzione generale Giustizia, Commissione europea, B-1049 Bruxelles, Belgio, ufficio MO-59 02/013.

... (omissis) ...

Informazioni relative all’ulteriore trattamento

45. Gli articoli 13 e 14 contengono entrambi una disposizione che impone al titolare del trattamento d’informare l’interessato qualora intenda trattare ulteriormente i dati personali che lo riguardano per una finalita' diversa da quella per cui sono stati raccolti/ottenuti. In tal caso, “prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalita' e ogni ulteriore informazione pertinente di cui al paragrafo 2”. Tali disposizioni danno concreta attuazione al principio di cui all’articolo 5, paragrafo 1, lettera b), secondo cui i dati personali devono essere raccolti per finalita' determinate, esplicite e legittime ed e' vietato trattarli successivamente in modo incompatibile con tali finalita'. La seconda parte dell’articolo 5, paragrafo 1, lettera b), afferma che un ulteriore trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non e', conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalita' iniziali. Qualora i dati personali siano ulteriormente trattati per finalita' compatibili con quelle iniziali (l’articolo 6, paragrafo 4, regola la questione), trovano applicazione l’articolo 13, paragrafo 3, e l’articolo 14, paragrafo 4. Le disposizioni di questi articoli che impongono di informare l’interessato dell’ulteriore trattamento supportano la posizione assunta nel regolamento, secondo cui l’interessato dovrebbe ragionevolmente attendersi, al momento e nel contesto della raccolta dei dati personali, che possa avere luogo un trattamento per una particolare finalita'. In altre parole, l’interessato non dovrebbe essere colto di sorpresa dalla finalita' del trattamento dei dati personali che lo riguardano.

46. Nella parte in cui si riferiscono alla fornitura di “ogni ulteriore informazione pertinente di cui al paragrafo 2”, l’articolo 13, paragrafo 3, e l’articolo 14, paragrafo 4, possono essere interpretati a prima vista come se lasciassero al titolare del trattamento una certa liberta' di valutazione circa la portata e le categorie particolari d’informazioni di cui al rispettivo paragrafo 2 (ovvero, a seconda del caso, articolo 13, paragrafo 2, o articolo 14, paragrafo 2) che dovrebbero essere fornite all’interessato (il considerando 61 parla a tale proposito di “altre informazioni necessarie”). La posizione prestabilita e' comunque che tutte le informazioni di cui a detto paragrafo dovrebbero essere fornite all’interessato, salvo che una o piu' categorie d’informazioni non esistano o non siano applicabili.

47. Il Gruppo raccomanda che i titolari del trattamento, per essere trasparenti, corretti e responsabili, considerino di mettere a disposizione degli interessati, nella rispettiva dichiarazione/informativa sulla privacy, informazioni sull’analisi di compatibilita' svolta ai sensi dell’articolo 6, paragrafo 4, qualora la nuova finalita' del trattamento si fondi su una base giuridica diversa dal consenso o da un atto legislativo dell’Unione o degli Stati membri (in altre parole, una spiegazione del modo in cui il trattamento per una finalita' diversa sia compatibile con la finalita' iniziale). L’intento e' offrire agli interessati la possibilita' di valutare la compatibilita' dell’ulteriore trattamento e delle garanzie fornite e di decidere se esercitare o no i loro diritti, ad es., tra gli altri, il diritto di limitazione di trattamento o il diritto di opporsi al trattamento. Laddove i titolari del trattamento scelgano di non includere tali informazioni nella dichiarazione/informativa sulla privacy, il Gruppo raccomanda che esplicitino agli interessati il fatto che tali informazioni possono essere ottenute su richiesta.

48. Connessa all’esercizio dei diritti dell’interessato e' la questione della tempestivita'. Come evidenziato sopra, la fornitura d’informazioni in maniera tempestiva e' un elemento di vitale importanza degli obblighi di trasparenza di cui agli articoli 13 e 14, intrinsecamente legato al concetto di trattamento corretto. Le informazioni relative all’ulteriore trattamento devono essere fornite “prima di tale ulteriore trattamento”. Il Gruppo ritiene che tra la comunicazione e l’inizio del trattamento debba intercorrere un periodo di tempo ragionevole, e non che il trattamento cominci non appena l’interessato riceve la comunicazione. Cio' garantisce agli interessati i vantaggi pratici del principio della trasparenza, offrendo loro una possibilita' significativa di valutare l’ulteriore trattamento (e potenzialmente esercitare i loro diritti al riguardo). Quale sia un termine ragionevole dipende dalle circostanze specifiche. Il principio della correttezza impone che piu' invasivo (o meno atteso) e' l’ulteriore trattamento, piuÌ� lungo debba essere il periodo. Allo stesso modo, il principio di responsabilizzazione implica che i titolari del trattamento siano in grado di dimostrare che le conclusioni cui sono giunti circa la tempistica della fornitura delle informazioni sono giustificate nel caso specifico e che la tempistica e' nel complesso corretta nei confronti degli interessati (si vedano anche le precedenti considerazioni circa la valutazione dei termini ragionevoli ai paragrafi 30-32.)

... (omissis) ...

Fonte: Garante per la Protezione dei dati - Linee guida sulla trasparenza ai sensi del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227