Categoria: gpdr privacy

  • Informativa privacy: GDPR e informazioni agli interessati

    Informativa privacy: GDPR e informazioni agli interessati

    [fusion_builder_container hundred_percent=”no” equal_height_columns=”no” menu_anchor=”” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=”” background_color=”” background_image=”” background_position=”center center” background_repeat=”no-repeat” fade=”no” background_parallax=”none” parallax_speed=”0.3″ video_mp4=”” video_webm=”” video_ogv=”” video_url=”” video_aspect_ratio=”16:9″ video_loop=”yes” video_mute=”yes” overlay_color=”” video_preview_image=”” border_color=”” border_style=”solid” padding_top=”” padding_bottom=”” padding_left=”” padding_right=”” type=”legacy”][fusion_builder_row][fusion_builder_column type=”1_1″ layout=”1_1″ background_position=”left top” background_color=”” border_color=”” border_style=”solid” border_position=”all” spacing=”yes” background_image=”” background_repeat=”no-repeat” padding_top=”” padding_right=”” padding_bottom=”” padding_left=”” margin_top=”0px” margin_bottom=”0px” class=”” id=”” animation_type=”” animation_speed=”0.3″ animation_direction=”left” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” center_content=”no” last=”true” min_height=”” hover_type=”none” link=”” border_sizes_top=”” border_sizes_bottom=”” border_sizes_left=”” border_sizes_right=”” first=”true” type=”1_1″][fusion_text]

    Informativa privacy

    Ognuno di noi ha – almeno una volta – sentito parlare di “informativa privacy”, ma sappiamo davvero cos’è? Probabilmente non del tutto.

    Questo documento esisteva ancor prima dell’entrata in vigore del GDPR (General Data Protection Regulation, ossia il Regolamento Generale sulla Protezione dei Dati, Regolamento UE 2016/679), ma è soprattutto dal 25 maggio 2018, giorno in cui il GDPR è divenuto pienamente applicabile, che si è ripreso a parlarne senza – probabilmente – avere ben chiaro cosa sia e quale sia la sua reale funzione.

    Il GDPR definisce chiaramente le informazioni che l’interessato ha il diritto di ricevere ed entro quali termini, prevedendo, altresì, pesanti sanzioni per il titolare del trattamento nel caso in cui ciò non avvenga correttamente.

    Ebbene sì, il GDPR non parla espressamente di “informativa”, ma di “informazioni” da fornire all’interessato, in attuazione del fondamentale principio di trasparenza legittimante il trattamento dei dati personali.

    L’informativa privacy è lo strumento attraverso il quale il titolare del trattamento concretizza il diritto dell’interessato di ricevere le prescritte informazioni.

    Andiamo, quindi, a vedere sinteticamente cos’è l’informativa privacy, qual è il suo contenuto, quali sono le sue caratteristiche, i suoi tempi e le modalità per fornirla. È comunque sempre da tenere a mente che non si tratta di uno sterile adempimento, ma di una delle basi di legittimazione del trattamento, la cui inadeguatezza comporta rilevanti sanzioni.

    Informativa privacy: cos’è

    Come accennato, l’informativa privacy o, più precisamente, informativa sul trattamento dei dati personali, è lo strumento con il quale titolare del trattamento (il soggetto che sceglie perché trattare i dati personali e come) fornisce all’interessato (la persona fisica i cui dati personali vengono trattati) tutte le prescritte informazioni sulle finalità e le modalità del trattamento, nonché sui diritti riconosciuti dalla normativa.

    Dunque, l’informativa privacy è volta a rendere consapevole l’interessato dell’identità di chi tratterà i suoi dati, per quali finalità, con chi verranno condivisi e per quanto tempo verranno conservati. Con il GDPR non siamo più di fronte ad un mero adempimento formale, ma ad un vero e proprio strumento di informazione e consapevolezza, che costituisce espressione dell’essenziale principio di trasparenza di cui all’articolo 5 del GDPR.

    Conseguentemente, nell’ipotesi di inadeguata o – addirittura – mancante informativa privacy, ci troveremo di fronte alla violazione di un principio fondamentale che costituisce una delle basi di legittimazione del trattamento dei dati personali, rendendo così tale trattamento illegittimo.

    Informativa privacy: contenuto tassativo

    Il GDPR indica negli articoli 13 e 14 le informazioni che devono tassativamente essere fornite all’interessato e, dunque, essere contenute nell’informativa privacy.

    In particolare, l’informativa deve necessariamente indicare:

    • l’identità e i dati di contatto del titolare del trattamento (ossia del soggetto che determina le finalità e i mezzi del trattamento);
    • i dati di contatto del Responsabile della Protezione dei Dati (più noto come “DPO”), ove nominato;
    • le finalità del trattamento (ossia perché vengono trattati i dati) e la base giuridica del trattamento (ossia la giustificazione che legittima il trattamento);
    • gli eventuali legittimi interessi perseguiti dal titolare del trattamento o da terzi;
    • gli eventuali destinatari o le eventuali categorie di destinatari dei dati;
    • l’eventuale trasferimento dei dati in Paesi Terzi (cioè fuori dall’Unione Europea) od organizzazioni internazionali e attraverso quali strumenti (ad esempio, sulla base di una decisione di adeguatezza della Commissione europea, di specifiche clausole contrattuali standard, ecc.);
    • il periodo di conservazione dei dati oppure, qualora ciò non sia possibile, i criteri utilizzati per determinarlo;
    • i diritti dell’interessato (diritto di accesso ai dati, diritto di rettifica dei dati inesatti, diritto alla cancellazione dei dati, diritto di limitazione del trattamento, diritto di opposizione al trattamento e diritto alla portabilità dei dati);
    • il diritto di revocare il consenso prestato, qualora esso sia la ragione legittimante il trattamento;
    • il diritto di proporre reclamo a un’autorità di controllo (ossia, in Italia, il Garante per la protezione dei dati personali);
    • l’esistenza di processi decisionali automatizzati, come la profilazione (ad esempio, è necessario spiegare all’utente di un sito web che effettua attività di profilazione che i suoi comportamenti vengono studiati e classificati al fine di svolgere un’attività di marketing profilata);
    • qualora i dati siano ottenuti direttamente presso l’interessato, la natura facoltativa od obbligatoria del conferimento dei dati e le possibili conseguenze nel caso di mancato conferimento (ad esempio, il conferimento per finalità di marketing è facoltativo, mentre il conferimento di alcuni dati è necessario per concludere un contratto);
    • qualora, invece, i dati non siano ottenuti presso l’interessato, la fonte da cui hanno origine e, in caso, la provenienza da fonti accessibili al pubblico.

     Informativa privacy: caratteristiche

    Il GDPR, all’articolo 12, specifica, in modo molto più puntuale rispetto al “Codice Privacy” (D. Lgs 196/2003), come devono essere le informazioni da rendere all’interessato.

    Nel dettaglio quindi l’informativa privacy deve, anzitutto, essere redatta «in forma concisa, trasparente, intelligibile», ossia le informazioni devono essere fornite in modo sintetico ed efficace, evitando un subissamento informativo e devono risultare comprensibili a un esponente medio del pubblico cui sono dirette.

    In altre parole, l’interessato dovrebbe essere in grado di determinare in anticipo la portata del trattamento e le relative conseguenze e, come magistralmente affermato dal Gruppo di Lavoro Articolo 29 (il Gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali), non dovrebbe essere successivamente colto di sorpresa in ordine alle modalità di utilizzo dei propri dati.

    L’informativa privacy ha l’obbligo, altresì, di essere «facilmente accessibile». L’interessato deve essere messo nella condizione di reperire facilmente le informazioni, senza trovarsi costretto a doverle cercare in modo difficoltoso tutte le volte in cui intende visionarle.

    Infine, l’informativa privacy deve necessariamente essere redatta con un «linguaggio semplice e chiaro», ossia deve essere scritta con i termini più semplici possibili, evitando frasi complesse e tecnicismi che non renderebbero l’interessato realmente informato e consapevole.

    In sostanza, l’informativa deve essere redatta in funzione del destinatario cui si rivolge, il quale deve, dunque, essere utilizzato come unità di misura nella scelta dei termini e nella formulazione delle frasi.

    Ne discende che, ovviamente, una particolare attenzione deve essere prestata laddove il destinatario sia un minore.

    Informativa privacy: tempi e modalità

    Il GDPR prevede differenti tempistiche per fornire l’informativa privacy a seconda che i dati siano, oppure no, raccolti presso l’interessato.

    In particolare, nella prima ipotesi, l’informativa deve essere fornita prima della raccolta dei dati personali o, al più tardi, nel momento della raccolta, così come previsto dall’articolo 13 del GDPR, il quale afferma che le informazioni vengono fornite all’interessato «nel momento in cui i dati personali sono ottenuti».

    Nella seconda ipotesi, ossia nel caso di dati non raccolti direttamente presso l’interessato, l’informativa deve essere fornita entro un termine ragionevole non superiore a un mese dalla raccolta oppure al momento della prima comunicazione (non della registrazione) dei dati a terzi o all’interessato, così come previsto dall’articolo 14 del GDPR.

    L’informativa deve, inoltre, essere aggiornata ogni qualvolta il titolare introduce una nuova finalità di trattamento.

    Quanto alle modalità, in linea di principio le informazioni – e, quindi, l’informativa – vengono forniti in forma scritta anche in formato elettronico; tuttavia è consentito l’utilizzo di “altri mezzi”, purché siano sempre rispettate le predette caratteristiche.

    Occorre accennare, infine, che l’articolo 12 del GDPR prevede anche la possibilità di fornire all’interessato le informazioni in forma orale, purché ne sia comprovata l’identità.

    Conclusioni

    L’informativa privacy, dunque, costituisce il mezzo mediante il quale il titolare del trattamento rende le informazioni prescritte dal GDPR al soggetto i cui dati vengono trattati, dando così attuazione al fondamentale principio di trasparenza di cui all’articolo 5 del GDPR, il cui rispetto è necessario affinché il trattamento dei dati personali sia legittimo.

    Ne discende logicamente che l’inadeguata o mancante informativa privacy, costituendo la violazione di un principio fondamentale legittimante il trattamento dei dati personali, rende tale trattamento assolutamente illegittimo.

    Pertanto, l’informativa privacy non costituisce uno sterile adempimento burocratico ed è necessario che ogni titolare del trattamento predisponga differenti informative personalizzate sulla base delle varie categorie di interessati (ad esempio, dipendenti, fornitori, clienti, candidati, ecc.), ma anche delle varie modalità di interazioni con gli interessati (ad esempio, cartacea, mediante sito web, ecc.).

    È bene, inoltre, ricordare che l’informativa privacy non è un semplice documento autoreferenziale, ma è un elemento che si inserisce nel sistema di gestione della privacy aziendale, che deve, necessariamente, coordinarsi con gli altri elementi, quale ad esempio il registro delle attività di trattamento.

    Per ulteriori informazioni in tema di GDPR leggi il nostro articolo: GDPR, tre anni dall’applicazione: come evitare sanzioni.

    [/fusion_text][/fusion_builder_column][/fusion_builder_row][/fusion_builder_container]

  • GDPR, tre anni dall’applicazione: come evitare sanzioni

    GDPR, tre anni dall’applicazione: come evitare sanzioni

    [fusion_builder_container hundred_percent=”no” equal_height_columns=”no” menu_anchor=”” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=”” background_color=”” background_image=”” background_position=”center center” background_repeat=”no-repeat” fade=”no” background_parallax=”none” parallax_speed=”0.3″ video_mp4=”” video_webm=”” video_ogv=”” video_url=”” video_aspect_ratio=”16:9″ video_loop=”yes” video_mute=”yes” overlay_color=”” video_preview_image=”” border_color=”” border_style=”solid” padding_top=”” padding_bottom=”” padding_left=”” padding_right=”” type=”legacy”][fusion_builder_row][fusion_builder_column type=”1_1″ layout=”1_1″ background_position=”left top” background_color=”” border_color=”” border_style=”solid” border_position=”all” spacing=”yes” background_image=”” background_repeat=”no-repeat” padding_top=”” padding_right=”” padding_bottom=”” padding_left=”” margin_top=”0px” margin_bottom=”0px” class=”” id=”” animation_type=”” animation_speed=”0.3″ animation_direction=”left” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” center_content=”no” last=”true” min_height=”” hover_type=”none” link=”” border_sizes_top=”” border_sizes_bottom=”” border_sizes_left=”” border_sizes_right=”” first=”true” type=”1_1″][fusion_text]

    GDPR, tre anni dalla sua applicazione: cos’è importante sapere per evitare sanzioni 

    «Affermare che non si è interessati al diritto alla privacy perché non si ha nulla da nascondere è come dire che non si è interessati alla libertà di parola perché non si ha nulla da dire».

    È così che Edward Snowden, l’ex informatico della CIA che ha svelato al mondo i programmi di sorveglianza di massa dei governi statunitense e britannico, riassume il valore e l’importanza della privacy.

    La norma fondamentale in materia di trattamento dei dati personali è il Regolamento UE 2016/679 (più noto come “GDPR”, ossia General Data Protection Regulation), che è divenuto pienamente applicabile il 25 maggio 2018.

    Tuttavia, quasi alla vigilia del terzo anniversario dell’applicazione del GDPR, ci sono ancora molte imprese e pubbliche amministrazioni impreparate e non adeguate.

    Ecco perché, ancora oggi, diviene utile analizzare brevemente le novità più significative introdotte con il GDPR e cosa è importante sapere per evitare sanzioni.

    GDPR: perché questo regolamento

    È indubbio che l’avvento delle nuove tecnologie abbia trasformato l’economia e le relazioni sociali, rendendo così necessario un quadro normativo solido e coerente in materia di protezione dei dati personali nell’Unione Europea. Il tutto al fine di tutelare le persone e creare un clima di fiducia, suscettibile, a sua volta, di consentire lo sviluppo dell’economia digitale nell’intero mercato interno.

    Per tali ragioni e in un contesto sempre più proteso verso un’economia digitale, è opportuno che le persone fisiche abbiano il controllo dei propri dati personali e che vi sia certezza giuridica e operativa tanto per le persone fisiche quanto per gli operatori economici e le autorità pubbliche.

    Ebbene, il GDPR nasce proprio dalla necessità di far fronte allo sviluppo tecnologico e alle sue sfide per la protezione dei dati personali, assicurando certezza giuridica, armonizzazione e protezione delle persone fisiche attraverso la protezione dei loro dati.

    Come affermato dal Garante Privacy italiano, il GDPR rappresenta la prima e più importante risposta che il diritto abbia espresso nei confronti della rivoluzione digitale.

    Un nuovo approccio: accountability 

    Il GDPR conferma e potenzia i principi del precedente quadro normativo (tracciato dalla direttiva comunitaria del 1995 e, in Italia, dapprima, dalla legge 675/1996 e, poi, dal Codice privacy del 2003), ma è caratterizzato da importanti elementi di novità.

    Prima di entrare nel merito delle novità più rilevanti, è opportuno ricordare che il GDPR trova applicazione non solo nei confronti delle imprese che si trovano nel territorio dell’Unione Europea, ma anche a quelle situate al di fuori ma che offrono servizi o prodotti a persone fisiche che si trovano nell’Unione Europea.

    La novità più importante della nuova normativa europea è rappresentata dalla forte responsabilizzazione (o “accountability” nella più nota accezione inglese) di titolari e responsabili del trattamento, rispetto a quanto avveniva in passato.

    Difatti, mentre nel contesto normativo precedente l’imprenditore era tenuto a rispettare un preciso disciplinare tecnico indicante le misure minime di sicurezza da osservare in modo acritico, il GDPR impone all’imprenditore di pensare in anticipo le modalità, le garanzie e i limiti di trattamento dei dati personali e di costruirne correttamente e in modo documentabile l’impianto giuridico e organizzativo, nel rispetto dei criteri specifici previsti dal regolamento.

    In altre parole, il GDPR lascia libero l’imprenditore di decidere come trattare i dati personali degli interessati, a fronte della piena assunzione di responsabilità (responsabilizzazione) e del conseguente obbligo di essere in grado di dimostrare la conformità al GDPR del proprio operato (rendicontazione).

    Un nuovo approccio: risk-based thinking 

    Nello svolgimento di tale attività, l’imprenditore deve sempre avere un approccio basato sul rischio (si parla di “risk-based thinking”), che consiste, sostanzialmente, in un approccio proattivo volto a valutare in ogni momento il rischio riferito al trattamento dei dati nello specifico contesto di riferimento, al fine di tendere ad una sua sempre maggiore riduzione.

    Un nuovo approccio: data protection by design and by default

    Tra i criteri previsti dal regolamento, fondamentale è quello dell’articolo 25 e sintetizzato nell’espressione inglese “data protection by design and by default”. Ossia la necessità di configurare il trattamento dei dati prevedendo le garanzie indispensabili alla protezione dei dati sin dall’inizio (quindi sin dalla progettazione) e come impostazione predefinita, tenendo conto del contesto complessivo dove avviene il trattamento e degli specifici rischi per i diritti e le libertà degli interessati.

    Dunque, accountability, risk-based thinking e data protection by design and by default sono chiaramente i tre pilastri della nuova normativa introdotta con il GDPR.

    Nuove regole GDPR: no centralità del consenso, informativa più rigida e nuovi diritti

    Il GDPR non introduce “solo” un nuovo approccio al trattamento dei dati personali, ma anche ulteriori importanti elementi di novità, oltre ad un inasprimento delle sanzioni, che può arrivare fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo.

    Una prima rilevante novità è costituita dal venire meno della centralità del consenso quale base giuridica per il trattamento dei dati personali, nonché dalla previsione di nuove condizioni per il medesimo.

    Vengono, inoltre, maggiormente definiti i contenuti dell’informativa sul trattamento dei dati personali, nonché le modalità e le tempistiche da rispettare per l’assolvimento di tale obbligo gravante sul soggetto che effettua operazioni di trattamento di dati personali.

    Un’altra novità riguarda l’ampliamento delle tutele degli interessati mediante l’introduzione di nuovi diritti e di tempistiche precise per ricevere riscontro dal soggetto che effettua trattamento dei suoi dati.

    Tra questi nuovi diritti il più innovativo è il “diritto alla portabilità dei dati”, che, in presenza di alcune condizioni, attribuisce all’interessato il diritto di ricevere, in un formato strutturato, di uso comune e leggibile da un dispositivo automatico, i dati personali che lo riguardano, nonché di trasmetterli ad altro titolare del trattamento.

    Nuovi adempimenti GDPR: registro, notifica data breach, valutazione di impatto e DPO

    Il GDPR prevede anche nuovi adempimenti in capo al soggetto che tratta dati personali, che, in caso di mancato rispetto, portano a sanzioni piuttosto elevate.

    Importante adempimento per i soggetti con più di 250 dipendenti o che effettuano trattamenti definiti “a rischio” (a tal fine, si veda l’articolo 30, par. 5, GDPR) o che, comunque, abbiano almeno un dipendente (così come precisato dal Garante privacy italiano nelle relative FAQ) è l’adozione del “Registro delle attività di trattamento”, i cui precisi contenuti sono indicati nell’articolo 30 GDPR e che, in sintesi, consente di disporre di un quadro aggiornato dei trattamenti in essere.

    Il GDPR prevede poi quale significativo obbligo in capo a tutti i titolari del trattamento, quello di notificare al Garante Privacy le violazioni di dati personali suscettibili di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, entro 72 ore dalla scoperta dell’evento (meglio conosciuto con l’espressione “data breach”).

    Ulteriore adempimento previsto dal GDPR in capo ai titolari che svolgono trattamenti con un possibile rischio elevato per i diritti e le libertà delle persone fisiche è rappresentato dall’obbligo di effettuare la cosiddetta “Valutazione di impatto sulla protezione dei dati”, ossia una procedura, prevista e disciplinata dall’articolo 35, volta a descrivere un trattamento per valutarne la necessità, la proporzionalità e i relativi rischi, al fine di approntare misure idonee ad affrontarli.

    Infine, un’altra importante novità (che, in alcuni casi, si configura come obbligo dei titolari e dei responsabili del trattamento) è costituita dalla figura del DPO (Data Protection Officer), un soggetto individuato in funzione delle qualità professionali e della conoscenza specialistica della normativa, che svolge una funzione consultiva, di sorveglianza sulla corretta osservanza del GDPR e di cooperazione e punto di contatto con il Garante Privacy.

    [/fusion_text][/fusion_builder_column][/fusion_builder_row][/fusion_builder_container]

  • GDPR: PROFILAZIONE E CONSENSO DELL’INTERESSATO

    GDPR: PROFILAZIONE E CONSENSO DELL’INTERESSATO

    [fusion_builder_container hundred_percent=”no” hundred_percent_height=”no” hundred_percent_height_scroll=”no” hundred_percent_height_center_content=”yes” equal_height_columns=”no” menu_anchor=”” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” status=”published” publish_date=”” class=”” id=”” background_color=”” background_image=”” background_position=”center center” background_repeat=”no-repeat” fade=”no” background_parallax=”none” enable_mobile=”no” parallax_speed=”0.3″ video_mp4=”” video_webm=”” video_ogv=”” video_url=”” video_aspect_ratio=”16:9″ video_loop=”yes” video_mute=”yes” video_preview_image=”” border_size=”” border_color=”” border_style=”solid” margin_top=”” margin_bottom=”” padding_top=”” padding_right=”” padding_bottom=”” padding_left=””][fusion_builder_row][fusion_builder_column type=”1_1″ layout=”1_1″ spacing=”” center_content=”no” link=”” target=”_self” min_height=”” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=”” background_color=”” background_image=”” background_image_id=”” background_position=”left top” background_repeat=”no-repeat” hover_type=”none” border_size=”0″ border_color=”” border_style=”solid” border_position=”all” border_radius=”” box_shadow=”no” dimension_box_shadow=”” box_shadow_blur=”0″ box_shadow_spread=”0″ box_shadow_color=”” box_shadow_style=”” padding_top=”” padding_right=”” padding_bottom=”” padding_left=”” margin_top=”” margin_bottom=”” animation_type=”” animation_direction=”left” animation_speed=”0.3″ animation_offset=”” last=”no”][fusion_separator style_type=”none” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=”” sep_color=”” top_margin=”15px” bottom_margin=”2px” border_size=”3″ icon=”” icon_circle=”” icon_circle_color=”” width=”15%” alignment=”center” /][fusion_title hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=”” content_align=”left” size=”2″ font_size=”24px” line_height=”” letter_spacing=”” margin_top=”10″ margin_bottom=”” margin_top_mobile=”10″ margin_bottom_mobile=”” text_color=”” style_type=”default” sep_color=””]

    DEFINIZIONE

    [/fusion_title][fusion_text columns=”” column_min_width=”” column_spacing=”” rule_style=”default” rule_size=”” rule_color=”” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=””]

    La profilazione è l’insieme delle attività di raccolta ed elaborazione di dati (abitudini di acquisto, ubicazione) o stati (età, caratteristiche fisiche ecc..) riferibili ad un soggetto al fine di analizzarne le caratteristiche e ricondurre detto soggetto entro categorie o gruppi.

    [/fusion_text][fusion_text columns=”” column_min_width=”” column_spacing=”” rule_style=”default” rule_size=”” rule_color=”” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=””]

    Anche il GDPR prende in considerazione la profilazione e, all’articolo 4 la definisce come: “qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica”

    Elemento essenziale della profilazione, secondo l’articolo 4 del GDPR, è la presenza di un trattamento automatizzato e, quindi, per ricadere all’interno della sua fattispecie la profilazione deve presentare i tre seguenti elementi essenziali:

    1. un soggetto identificato e identificabile (non c’è profilazione se non è identificabile un soggetto concreto);
    2. un elemento valutativo rappresentato dall’individuazione preliminare di atti o stati ritenuti significanti (età, titoli di studio, tipologia di acquisti abituali ecc..)
    3. un automatismo deduttivo consistente nell’attribuzione in modo automatizzato ad un soggetto identificato e identificabile di caratteristiche riconducibili a categorie predeterminate.

    La profilazione viene eseguita con più finalità, per lo più commerciali e generalmente tende a prevedere:

    • la capacità di eseguire un compito
    • possibili interessi
    • possibili comportamenti

    [/fusion_text][fusion_title hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=”” content_align=”left” size=”2″ font_size=”24px” line_height=”” letter_spacing=”” margin_top=”40px” margin_bottom=”” margin_top_mobile=”40px” margin_bottom_mobile=”” text_color=”” style_type=”default” sep_color=””]

    BASE GIURIDICA

    [/fusion_title][fusion_text columns=”” column_min_width=”” column_spacing=”” rule_style=”default” rule_size=”” rule_color=”” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=””]

    Per poter procedere con la profilazione l’articolo 22 del GDPR prevede la necessità del consenso, salvo i seguenti casi:

    • la profilazione sia necessaria per l’esecuzione di un contratto – art 6 par 1 lettera b) e art 22 par 2 lettera a);
    • la profilazione sia necessaria per adempiere ad un obbligo di legge – art 6 par 1 lettera c) e art 22 par 2 lettera a);
    • il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica  – art 6 par 1 lettera d);
    • il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento – art 6 par 1 lettera e);
    • la profilazione è necessaria per perseguire un interesse legittimo del titolare- art 6 par 1 lettera e).

    [/fusion_text][/fusion_builder_column][/fusion_builder_row][/fusion_builder_container]