GDPR - privacy e informativa – web, social network, cookie e profilazione

GDPR – privacy e informativa – web, social network, cookie e profilazione
La tutela della privacy è un tema trasversale, assume rilievo in diversi contesti; professionisti, titolari di imprese e servizi, siti web e quant’altro non possono prescindere da una adeguata informativa resa ai propri utenti e dalla loro autorizzazione alla raccolta e trattamento dei dati con adeguata cognizione e tutela dei rispettivi diritti.
L’Autorità Garante e Giudiziaria e ogni Pubblica Amministrazione, ente o società di servizi, impresa o struttura di ricerca e di studio, è tenuto a dare piena e integrale applicazione alla normativa, passando per una complessa fase transitoria relativa alla definizione agevolata delle sanzioni per violazioni del vecchio Codice verificatesi prima del 25 maggio 2018; alla trattazione di affari pregressi; alla rivisitazione, da parte del Garante, dei Codici di deontologia e buona condotta vigenti; all’elenco delle disposizioni del d.lvo n. 196 del 2003, abrogate dal nuovo decreto.
Con l’entrata in vigore del GDPR (General Data Protection Regulation) Regolamento n. 2016/679 dell’Unione europea in materia di trattamento dei dati personali e di privacy, dal 24 maggio 2016, si conferma il codice per la protezione dei dati personali (d.lgs. n. 196/2003) solo parzialmente abrogato e sostituito con la più recente normativa (d.lgs. n. 101/2018).
Si tratta in particolare di regolamentare la tutela delle persone con riguardo alla acquisizione, al trattamento e alla libera circolazione dei loro dati personali, con informazioni sui i tipi di dati, sui motivi e sulle modalità e il tempo di raccolta e di utilizzo; il tutto con la massima attenzione ai diritti degli utenti e alle procedure per proteggerli.
In sintesi, si tratta di un unico sistema normativo ma a due livelli, il GDPR, con efficacia e vigenza su tutto il territorio dell’Unione Europea; il Codice di cui al d.lgs. 196/ 2003 come novellato dal d.lgs. 101/2018 (in vigore dal 19 settembre 2018), le cui disposizioni trovano applicazione sul territorio italiano, secondo i criteri di cui all’art. 3 del GDPR, ma solo in quanto la loro interpretazione e applicazione siano conformi al Regolamento (UE) 2016/679.
In particolare, è previsto dalla normativa un titolare del trattamento, ossia colui che determina le finalità, le modalità e gli strumenti del trattamento; questi è tenuto ad informare l’interessato sulle modalità di trattamento dei dati con apposita informativa anche sulle misure di sicurezza, deve acquisire il consenso dell’interessato al trattamento dei dati e tenere un registro dei trattamenti.
Il responsabile, quale titolare del trattamento dei dati, è tenuto quindi ad informare e curare le modalità e i motivi per cui i dati vengono raccolti e utilizzati; può utilizzare i dati personali dell’utente senza la sua autorizzazione solo nei casi espressamente consentiti dalla legge. Il motivo o scopo è detto “base giuridica del trattamento” e se utilizza i dati personali per offrire all’utente prodotti e/o servizi, il trattamento si basa su un contratto.
I dati personali devono venire trattati per tutelare gli interessi legittimi del gestore o di terze parti, a patto che tali interessi non ledano i diritti e gli interessi dell’utente che è chiamato a fornire il consenso esplicito per una finalità specifica. I dati personali devono venire trattati per ottemperare al contratto oppure perché si è chiesto all’utente di eseguire operazioni specifiche prima di aderire al contratto. Inoltre, nel caso in cui un utente fornisca informazioni oltre che su se stesso anche su altre persone, il responsabile deve dare conto di come utilizzerà tali informazioni e del motivo specifico per cui sono o possono essere state fornite e acquisite informazioni e dati sensibili.
Dati sensibili sono quelli relativi alla salute o alla vita sessuale, che rivelano le abitudini, lo stile di vita, la salute, la situazione economica, le relazioni personali, l’origine razziale od etnica, le convinzioni religiose, filosofiche, le opinioni politiche, l’appartenenza sindacale ecc.; in sintesi, tutte informazioni che identificano e caratterizzano la persona.
In generale, non possono vendersi, noleggiare o condividere in altro modo i dati personali con terze parti senza il consenso dell’utente.
In rete, alcuni servizi e prestazioni richiedono, peraltro, la creazione di un account da parte dell’utente, in ogni caso, acquisizione e divulgazione/trattamento dell’ID del dispositivo utilizzato dall’utente, indirizzo IP, informazioni di accesso, tipo di browser e relativa versione, impostazione del fuso orario, dominio, tipi di plug-in del browser, informazioni di geolocalizzazione per l’ubicazione dell’utente, nonché sistema operativo e relativa versione. La rete si appropria di modelli di utilizzo, contenuti, quali annunci pubblicitari, che includono dati personali visualizzati o utilizzati nei servizi e nelle applicazioni installate nel dispositivo allo scopo di personalizzare i servizi in base alle esigenze specifiche dell’utenze.
In altre parole, le impostazioni di un nostro dispositivo, le applicazioni, i registri del servizio del prodotto o del server contengono dati tecnici che possono includere dati personali sull’utilizzo di servizi, prodotti, siti web, ecc.; oppure raccolti in relazione all’uso di social network, utilizzo di funzionalità, pagine o plug-in dei social network o comunque prodotti o servizi che consentono l’interazione con i social network.
Accedendo ad applicazioni o servizi utilizzando un account di social network, inviamo dettagli di base dal nostro profilo che ricevuti dal responsabile sono regolati dalle impostazioni relative alla privacy dell’account in questione. Per informazioni sulle modalità con cui il social network utilizza i dati personali dell’utente, occorre leggere l’informativa sulla privacy del social network.
Come detto, per “dati sensibili” “informazioni riservate” si intendono notizie che rivelano l’origine razziale o etnica, opinioni politiche, convinzioni religiose/filosofiche, appartenenza a un sindacato, informazioni genetiche, informazioni biometriche, informazioni sanitarie, informazioni sulle relazioni o sull’orientamento sessuale…
Marketing e pubblicità ormai sono strettamente connessi all’acquisizione di dati sensibili, per fornire all’utente informazioni, articoli, offerte e promozioni più adeguate e connesse al profilo dell’utente. Per questo scopo, detto profilazione, si utilizzano e condividono perlopiù i dati raccolti, altresì, tuttavia, i dati personali si possono utilizzare anche per la prevenzione di frodi e per condurre indagini in merito ad eventuali violazioni, per conformarsi alle leggi, ai regolamenti e alle ingiunzioni applicabili, nonché alle richieste di informazioni legali valide. Si possono in genere utilizzare i dati personali dell’utente per far valere o difendere i diritti legali o le condizioni per l’utilizzo di qualsiasi prodotto o servizio.
Tra le molteplici finalità, si possono utilizzare i dati personali degli utenti per collegare o combinare i dati personali raccolti dalle diverse fonti descritte in precedenza. I dati personali possono essere collegati tramite un identificatore univoco, quale ad esempio un numero di account, o in alternativa, combinando due o più database per creare un unico database di informazioni. Si possono collegare o combinare i dati anche per comodità degli utenti stessi, ad esempio per facilitare la registrazione a un nuovo servizio e per fornire servizi e contenuti personalizzati sempre migliori. Quando si scaricano o si utilizzano applicazioni o servizi che includono inserzioni pubblicitarie di terze parti integrate nell’applicazione o nel servizio in questione (oppure visualizzate dagli utenti finali all’interno di cornici, wrapper, pop-up o altri elementi pubblicitari), il gestore dei dati può condividere i dati personali raccolti sull’utilizzo di tali applicazioni e servizi con i propri partner pubblicitari di terze parti, per permettere a questi ultimi di dirigere e personalizzare in modo più efficiente le inserzioni visualizzate nel servizio o nell’applicazione utilizzata.
Alcuni partner pubblicitari di terze parti agiscono in maniera indipendente, di conseguenza, elaborano i dati condivisi conformemente alle rispettive informative sulla privacy e, in tal caso, alla prima attivazione dell’applicazione o del servizio, deve essere visualizzata una notifica che comunica all’utente che i propri dati verranno condivisi. Inoltre, l’utente deve poter controllare gli annunci personalizzati nelle impostazioni dei cookie del browser e nel proprio dispositivo tramite il menu impostazioni.
Altro aspetto di specifica rilevanza è la possibilità o meno di trasferimento internazionale dei dati personali. Per le finalità illustrate nella relativa informativa, il titolare del trattamento potrebbe trasferire i dati personali ad altri soggetti che agiscono per loro conto e comunque ad altre terze parti in Paesi con leggi che non offrono lo stesso livello di protezione.
Il titolare del trattamento deve adottare tutte le misure di sicurezza e di protezione fisiche, elettroniche e procedurali per salvaguardare i dati personali da eliminazioni accidentali o illecite, perdite, alterazioni, accesso o condivisioni non autorizzate (ad esempio, la crittografia SSL progettata per rendere i dati illeggibili. Occorre altresì limitare l’accesso ai dati raccolti (ad esempio, solo ai dipendenti che devono utilizzarli per svolgere il loro lavoro).
L’utente ha comunque sempre il diritto di accedere ai propri dati personali e richiederne una copia (anche al fine di comunicare tali dati ad un altro titolare del trattamento c.d. diritto alla portabilità dei dati personali), correggere, eliminare o limitare qualsiasi trattamento attivo.
Qualunque consenso dell’utente può sempre essere revocato sebbene il recesso non influirà su alcun trattamento che abbia già avuto luogo. Questi diritti possono essere limitati se la richiesta implica la diffusione di dati personali relativi a un’altra persona o se viene chiesto di eliminare informazioni che il titolare del trattamento deve conservare per legge.
L’utente ha anche il diritto di sporgere reclamo presso l’Autorità di controllo responsabile della protezione dei dati.