Digital Omnibus Package del 19 Novembre

Dichiarazioni rese all’interno del parere congiunto

Le proposte di revision normative rigettate da EDPB e EDPS

Definizione di dati personali: le informazioni non sono considerate dati personali se non contengono elementi che possono essere ragionevolmente utilizzati per identificare la persona fisica a cui si riferiscono.

La revisione è considerata inammissibile in quanto potrebbe causare incertezza e quindi comportare un onere aggiuntivo per i responsabili del trattamento dei dati nel loro lavoro di interpretazione; inoltre, tale definizione non riflette accuratamente la giurisprudenza più recente della CGUE (la causa “Deloitte”).

“Il riferimento all’incertezza che potrebbe sorgere in merito al concetto di dati personali è ben fondato secondo il parere degli autori”.

Pseudonimizzazione dei dati personali, il cui ambito di revisione include la disposizione relativa all’adozione di atti di esecuzione da parte della Commissione europea, valutando se le tecniche disponibili siano all’avanguardia e sviluppando mezzi e criteri per valutare il rischio di re-identificazione in relazione agli interessati.

In questo caso, l’atto di esecuzione è considerato incompatibile con lo scopo della normativa relativa alla protezione dei dati personali e quindi non idoneo a garantire tale protezione.

“Considerando il commento sopra riportato sul concetto di dati personali, il caso della pseudonimizzazione è diverso, in quanto si ritiene che l’intervento della Commissione attraverso un atto di esecuzione volto a definire «mezzi e criteri» potrebbe aiutare i responsabili del trattamento dei dati quando devono capire se i dati pseudonimizzati sono personali o meno”.

Proposte accettate con richiesta di miglioramenti da parte di EDPB e EDPS

Definizione di ricerca scientifica: ogni ricerca che può anche supportare l’innovazione, come ad esempio lo sviluppo tecnologico.

L’EDPB e l’EDPS raccomandano di sviluppare ulteriormente la definizione proposta di ricerca scientifica, partendo dal considerando 28 e passando alla parte operativa in cui si afferma che la ricerca scientifica porta a risultati verificabili e trasparenti.

Esenzione per consentire il trattamento dei dati biometrici: se il trattamento dei dati biometrici è necessario per confermare l’identità dell’interessato e se i dati biometrici o i mezzi necessari per la verifica sono sotto il controllo esclusivo dell’interessato.

L’EDPB e l’EDPS sottolineano l’importanza di rispettare i principi di necessità e proporzionalità e di ricorrere a metodi alternativi che non comportino il trattamento di dati biometrici.

IA e interesse legittimo nel trattamento di categorie particolari di dati personali.

Nel caso in oggetto, va osservato che tale base giuridica potrebbe già essere utilizzata (parere 28/2024 sui modelli di IA), anche se si raccomanda di chiarire che il diritto di opposizione (articolo 21 del GDPR) dovrebbe essere portato all’attenzione degli interessati, ove possibile e con sufficiente anticipo rispetto al trattamento dei loro dati personali.

Per il trattamento accessorio e residuale di categorie particolari di dati nel contesto dello sviluppo e del funzionamento di un sistema o modello di IA è prevista una deroga specifica (lettera k dell’articolo 9, paragrafo 2, GDPR) al divieto di trattamento di categorie particolari di dati.

L’EDPB e l’EDPS raccomandano di aggiungere il riferimento al trattamento “accessorio e residuale” nella parte operativa, al fine di garantire che il trattamento sia effettivamente solo accessorio e residuale.

Si tratta di un chiarimento fondamentale per garantire la corretta attuazione dell’articolo.

Si raccomanda inoltre di chiarire la necessità di impedire il riutilizzo di tali dati per altri scopi.

Di fondamentale importanza per il rinvio della proposta di revisione dell’articolo 4 della legge sull’IA: l’EDPB e l’EDPS raccomandano di chiarire l’interazione tra le due disposizioni e di delineare chiaramente l’ambito di applicazione dell’articolo 9, paragrafo 2, lettera k), del GDPR, come suggerito sopra.

Diritti degli interessati: possono essere addebitati costi o la richiesta può essere rifiutata se manifestamente eccessiva – di natura ripetitiva – o se gli interessati perseguono finalità diverse dalla tutela dei propri diritti.

L’EDPB e l’EDPS sottolineano il rischio relativo alla protezione dei dati personali e delle persone fisiche, richiamando il termine proposto nella bozza “abuso di diritti” e preferendo invece l’uso di “abuso di richiesta”.

In generale, vi sono molte preoccupazioni su quando una richiesta debba essere considerata eccessiva e manifestamente infondata, suggerendo che dovrebbe essere inclusa la possibilità per la persona fisica di specificare meglio la richiesta.

Esenzione dall’obbligo di fornire informazioni quando i dati personali sono raccolti dall’interessato nel contesto di un rapporto chiaro e limitato.

La preoccupazione evidenziata riguarda i concetti di “attività non ad alta intensità di dati” e “relazione chiara e delimitata”, che causano incertezza e ambiguità.

“Condividiamo questa posizione, considerando che il concetto di “attività non ad alta intensità di dati” e di “relazione chiara e delimitata” sono spesso, nel mondo reale, molto soggettivi”.

Processo decisionale automatizzato individuale: una decisione che produce effetti giuridici nei confronti di una persona fisica o che incide in modo analogo significativamente su di essa non può essere basata esclusivamente sul trattamento automatizzato, compresa la profilazione, a meno che tale decisione:

a) sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento, indipendentemente dal fatto che la decisione possa essere presa con mezzi diversi da quelli basati esclusivamente sul trattamento automatizzato.

L’EDPB e l’EDP chiariscono i limiti della revisione proposta, sottolineando che essa riguarda solo il fatto che una decisione potrebbe teoricamente essere presa anche da un essere umano, al fine di impedire al responsabile del trattamento di prendere la decisione con mezzi esclusivamente automatizzati.

Inoltre, l’EDPB e l’EDPS raccomandano di modificare la proposta per fornire un’interpretazione corretta, in modo che il processo decisionale automatizzato sia in linea di principio consentito ogniqualvolta sia disponibile nel contesto di un contratto, nonostante l’uso del termine «necessario».

Sembra quindi esserci un’apertura riguardo alla possibilità di una nuova applicazione del concetto di necessità nell’esecuzione delle misure contrattuali.

“A nostro avviso, sarebbe molto utile aggiungere anche una clausola che conferisca al titolare del trattamento dei dati la facoltà di valutare l’interesse legittimo di basare la decisione esclusivamente su processi automatizzati”.

Punto di accesso unico: in caso di violazione dei dati personali, il titolare del trattamento può procedere alla notifica attraverso un unico punto di accesso, in conformità con le varie normative (NIS2 e GDPR).

L’EDPB e l’EDPS raccomandano di prendere in considerazione un unico punto di accesso per la notifica delle violazioni dei dati che tenga conto di tutta la legislazione pertinente oltre a Nis2, come Dora, eIDAS, ecc.