Dai trattamenti di dati su larga scala, che valutano il rendimento professionale, alla situazione economica e di salute delle persone, alla profilazione delle loro preferenze o degli spostamenti, passando per i trattamenti automatizzati (online e attraverso app) di grandi quantitativi di dati. Sono queste alcune categorie di trattamenti dati individuati dal Garante Privacy che dovranno essere sottoposti a valutazione d’impatto, in linea con quanto stabilito dal GDPR.
Il Garante Privacy, si legge nel bollettino odierno, ha predisposto, come stabilito per le Autorità di controllo nazionali dal Gdpr, un elenco delle tipologie di trattamento che i soggetti pubblici e privati dovranno sottoporre a valutazione di impatto. L’elenco recepisce le osservazioni del Comitato europeo per la protezione dei dati al quale era stato sottoposto dal Garante per il prescritto parere.
La valutazione di impatto è obbligatoria quando il trattamento dei dati – per l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto o le finalità – può presentare un rischio elevato per i diritti e le libertà delle persone.
Nell’elenco il Garante ha indicato, tra gli altri, trattamenti valutativi o di scoring su larga scala (che valutino ad esempio il rendimento professionale e la situazione economica); trattamenti automatizzati volti ad assumere decisioni che producono effetti giuridici o incidono in modo significativo sulla persona (ad esempio sui clienti di una banca, tramite l’utilizzo di dati registrati in una centrale rischi); trattamenti sistematici di dati biometrici e di dati genetici, trattamenti effettuati con l’uso di tecnologie innovative (IoT, intelligenza artificiale, monitoraggi effettuati da dispositivi indossabili). Trattamenti che prevedono l’incrocio dei dati di consumo di beni digitali con dati di pagamento (es. mobile payment).
L’elenco, in corso di pubblicazione nella Gazzetta ufficiale, non è esaustivo ed è stato adottato applicando il “meccanismo di coerenza”, uno strumento volto ad assicurare un’applicazione coerente ed uniforme del Regolamento generale sulla protezione dei dati in tutta l’Unione Europea.
Oltre che per i trattamenti indicati nell’elenco, occorre ricordare che PA e aziende hanno l’obbligo di adottare una valutazione di impatto sulla protezione dei dati anche quando ricorrano due o più criteri individuati dal Gruppo di lavoro articolo 29 nelle Linee guida in materia di valutazione di impatto nel 2017 (WP 248, rev. 01) e fatte proprie dal Comitato europeo per la protezione dei dati il 25 maggio 2018, oppure quando un titolare ritenga che un trattamento che soddisfa anche solo uno dei criteri richieda una valutazione di impatto.
Tra i criteri individuati nelle Linee guida figurano, ad esempio, la valutazione (comprensiva di profilazione) sul rendimento professionale, la salute, le preferenze personali; il monitoraggio sistematico delle persone; il trattamento che impedisce agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto.