GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

17/IT
WP251 rev.01

Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione
ai fini del regolamento 2016/679

adottate il 3 ottobre 2017

Versione emendata e adottata in data 6 febbraio 2018

... (omissis) ...

III. Disposizioni generali sulla profilazione e sul processo decisionale automatizzato

La presente panoramica delle disposizioni si applica a tutte le profilazioni e a tutti i processi decisionali automatizzati. Qualora il trattamento soddisfi la definizione di cui all’articolo 22, paragrafo 1, si applicano le disposizioni specifiche supplementari di cui al capitolo IV.

A. Principi in materia di protezione dei dati

I principi in materia di protezione dei dati sono pertinenti per tutte le attivita' di profilazione e tutti i processi decisionali automatizzati che comportano l’uso di dati personali4. Al fine di agevolare il rispetto delle norme, il titolare del trattamento dovrebbe considerare i seguenti elementi fondamentali:

... (omissis) ...

3. Articolo 5, paragrafo 1, lettera c) - minimizzazione dei dati

Le opportunita' commerciali create dalla profilazione, da costi di memorizzazione piu' economici e dalla capacita' di trattare grandi quantita' di informazioni possono incoraggiare le organizzazioni a raccogliere piu' dati personali di quelli di cui hanno effettivamente bisogno, poiche' tali dati potrebbero rivelarsi utili in futuro. Il titolare del trattamento deve assicurarsi di rispettare il principio di minimizzazione dei dati e le prescrizioni dei principi di limitazione della finalita' e limitazione della conservazione.

Il titolare del trattamento dovrebbe essere in grado di spiegare in maniera chiara e giustificare la necessita' della raccolta e della conservazione dei dati personali oppure prendere in considerazione l’utilizzo di dati aggregati, anonimizzati o (laddove cio' consenta una protezione sufficiente) pseudonimizzati per la profilazione.

4. Articolo 5, paragrafo 1, lettera d) - esattezza

Il titolare del trattamento dovrebbe esaminare l’esattezza in tutte le fasi del processo di profilazione, in particolare quando:

• raccoglie i dati;
• analizza i dati;
• crea un profilo per una persona o
• applica un profilo per prendere una decisione su una persona.

Se i dati utilizzati nel contesto di un processo decisionale automatizzato o di profilazione non sono esatti, qualsiasi decisione o profilo che ne derivera' sara' viziato. Le decisioni possono essere prese sulla base di dati obsoleti o di un’interpretazione errata di dati esterni. Eventuali inesattezze possono portare a previsioni o affermazioni inappropriate in merito, ad esempio, alla salute, al rischio di credito o al rischio assicurativo di una data persona.

Anche qualora i dati grezzi siano registrati in maniera esatta, l’insieme dei dati potrebbe non essere pienamente rappresentativo oppure l’analisi potrebbe contenere distorsioni nascoste.

Il titolare del trattamento deve introdurre misure efficaci per verificare e assicurare su base continuativa che i dati riutilizzati od ottenuti indirettamente siano esatti e aggiornati. Cio' sottolinea ulteriormente l’importanza di fornire informazioni chiare sui dati personali trattati, in maniera da consentire all’interessato di correggere eventuali inesattezze e migliorare la qualita' dei dati.

... (omissis) ...

Fonte: Garante per la Protezione dei dati - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227