Siamo giunti alla terza ed ultima parte del documento EDPB, in cui parleremo di categorie particolari di dati.

Categorie particolari di dati

Il GDPR fornisce una protezione specifica per categorie particolari di dati personali che sono particolarmente sensibili, in relazione ai diritti e alle libertà fondamentali degli individui. Tali dati sono definiti nell’articolo 9 del GDPR, come categorie speciali di dati personali e comprendono dati relativi alla salute, all’origine razziale o etnica, alla biometria, al credo religioso o filosofico, alle opinioni politiche, all’appartenenza a un sindacato, alla vita sessuale o all’orientamento sessuale.

I responsabili del trattamento possono trattare categorie particolari di dati solo se sono in grado di soddisfare una delle condizioni di cui all’articolo 9, paragrafo 2, GDPR, come l’ottenimento del consenso esplicito dell’interessato o il fatto che i dati siano stati palesemente resi pubblici dall’interessato. Per questi dati, nel caso di targeting, occorre determinare se, e a quali condizioni, il fornitore di social media e il beneficiario possono elaborare legalmente tali dati. Nell’esempio riportato nelle Guidelines, un utente dichiara apertamente sui social la sua appartenenza ad un partito; questa connotazione è necessaria per individuare possibili obiettivi di una campagna mirata. In questo caso, il trattamento di questi dati è in linea di principio vietato, ai sensi dell’articolo 9, paragrafo 1. Sia il fornitore di social media che il targeter possono quindi avvalersi di una delle deroghe di cui all’articolo 9, paragrafo 2, per il loro trattamento, oltre ad avere entrambi una base giuridica ai sensi dell’articolo 6. Dalle esenzioni di cui all’articolo 9, paragrafo 2, sembra che l’unica esenzione applicabile in questa situazione sarebbe quella di ottenere un consenso esplicito, ai sensi dell’articolo 9, paragrafo 2, lettera a), GDPR, o la circostanza della dichiarazione pubblica da parte dell’utente (per dimostrare che l’interessato ha manifestato chiaramente l’intenzione di rendere pubblici i dati, ed è necessaria una valutazione caso per caso).

Questa “manifestazione esplicita” si fonda su 5 elementi:

1. le impostazioni predefinite della piattaforma di social media (cioè se l’interessato ha preso una specifica azione per cambiare queste impostazioni private predefinite in impostazioni pubbliche); oppure
2. la natura della piattaforma di social media (cioè se questa piattaforma è intrinsecamente legata all’idea di connettersi con i conoscenti più stretti dell’interessato o di creare relazioni intime (come le piattaforme di incontri online), o se è destinato a fornire una più ampia gamma di relazioni interpersonali, come le relazioni professionali, o microblogging, media sharing, piattaforme per condividere le recensioni online, ecc… ; oppure
3. l’accessibilità della pagina in cui sono pubblicati i dati sensibili (cioè se le informazioni sono accessibili al pubblico o se, ad esempio, è necessaria la creazione di un conto prima di accedere alle informazioni); o
4. la visibilità dell’informazione quando l’interessato è informato della natura pubblica delle informazioni che pubblicano (cioè se c’è per esempio un banner continuo sulla pagina, o se il pulsante per la pubblicazione informa l’interessato che l’informazione sarà resa pubblica…); oppure
5. se l’interessato ha pubblicato egli stesso i dati sensibili, o se invece i dati sono stati pubblicati da un terzo (ad esempio una foto pubblicata da un amico che rivela dati sensibili) o dedotti.

Uno solo di questi elementi per l’EPDB non è sufficiente ma sarà necessaria una combinazione di più circostanze.

L’articolo 9 non viene attivato se l’elaborazione da parte del fornitore di servizi di social media non dà luogo a inferenza di categorie speciali di dati e il provider ha adottato misure per evitare che tali dati possano essere dedotti o utilizzati per il targeting. In ogni caso, l’elaborazione di una grande quantità di dati personali degli utenti può comportare rischi specifici per i diritti e le libertà delle persone fisiche, che devono essere affrontati attuando adeguate misure di sicurezza, come prescritto dall’Articolo 32, anche tenendo conto dell’esito della DPIA da eseguire ai sensi dell’articolo 35 del GDPR.

L’articolo 26, paragrafo 1, della GDPR prevede che i controllori congiunti determinino in modo trasparente le rispettive responsabilità, per il rispetto degli obblighi del GDPR, in un accordo. Se l’accordo è superficiale o incompleto, entrambi i controllori saranno ritenuti inadempienti. E nella circostanza in cui i targeters si trovino ad aderire ad accordi predefiniti, senza alcuna possibilità di negoziare o apportare modifiche (condizioni “prendere o lasciare”), questo non li esimerà da essere ritenuti ugualmente responsabili.

Riproduzione Riservata

Avv. Raffaella Aghemo