Le informative: quali, quante, quando e perchè. Parte seconda

Ci sono casi particolari che godono di protezioni specifiche sia in base al dato che viene trattato, sia in base al tipo di soggetto interessato.

Esaminiamoli.

L'informativa come condizione di legittimità del trattamento di categorie particolari di dati.

Ai sensi dell'art. 9 del GDPR «è vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona.»

Questo a meno che il titolare del trattamento non possa, tra gli altri, dimostrare che l'interessato abbia prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche (art. 9 comma 2 gdpr).

Il consenso, per essere considerato valido non dovrà essere implicito o tacito ma al contrario dovrà essere inequivocabile (cioè manifestato mediante un'azione positiva), libero, specifico e informato ovvero preceduto da un'adeguata informativa.

Questo perché affinché la scelta possa definirsi libera e consapevole, l'interessato deve essere reso edotto circa gli elementi essenziali del trattamento, sulle sue finalità e sulle conseguenze del suo assenso, prima che il trattamento stesso inizi.

Di conseguenza, in ossequio al principio di trasparenza, prima che l'interessato abbia ricevuto tutte le informazioni relative al trattamento, non potrà esprimere alcun consenso.

 Si segnale che nel 2019, il Garante per la protezione dei dati personali, con il provvedimento n. 146/2019 ha emanato una serie di prescrizioni relative al trattamento di categorie particolari di dati con le quali ha ridefinito i parametri a cui devono conformarsi tutti coloro che in veste di Titolari o Responsabili del trattamento trattano categorie particolari dati, suddividendoli in cinque diverse categorie:

1. trattamento di categorie particolari di dati nei rapporti di lavoro. In particolare il Garante ha distinto tra trattamenti effettuati nella fase preliminare rispetto all'assunzione e quelli effettuati nel corso del rapporto di lavoro;
2. trattamento di categorie particolari di dati da parte degli organismi di tipo associativo, delle fondazioni, delle chiese e associazioni o comunità religiose;
3. trattamento di categorie particolari di dati da parte degli investigatori privati;
4. prescrizioni relative al trattamento dei dati genetici;
5. prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica.

Per ogni categoria vengono presi in considerazione l’ambito di applicazione, le finalità del trattamento e vengono specificati gli interessati cui i dati si riferiscono.

Vengono altresì dettate delle specifiche indicazioni che, in modo più dettagliato, individuano le possibili modalità di trattamento.

Tenendo il focus sul piano informativo, tra le varie prescrizioni fornite dal Garante, si segnala che nell'ambito dei trattamenti dei dati genetici, il titolare del trattamento deve rendere agli interessati le consuete informazioni ai sensi degli artt. 13 e 14 Regolamento (UE) 2016/679 e anche ai sensi degli artt. 77 e 78 del Codice per il medico di medicina generale e per il pediatra di libera scelta, evidenziando, in particolare:

1. i risultati conseguibili anche in relazione alle notizie inattese che possono essere conosciute per effetto del trattamento dei dati genetici;
2. la facoltà o meno, per l’interessato, di limitare l’ambito di comunicazione dei dati genetici e il trasferimento dei campioni biologici, nonché l’eventuale utilizzo di tali dati per ulteriori scopi.

Dopo il raggiungimento della maggiore età, le informazioni sul trattamento di dati personali verranno poi fornite all’interessato anche ai fini dell’acquisizione di una nuova manifestazione del consenso.

 In relazione ai trattamenti effettuati mediante test genetici per finalità di tutela della salute o di ricongiungimento familiare, inoltre, il titolare del trattamento deve fornire all’interessato una consulenza genetica prima e dopo lo svolgimento dell’analisi.

Prima dell’introduzione di screening genetici finalizzati alla tutela della salute da parte di organismi sanitari, inoltre, devono essere adottate idonee misure per garantire un’attività di informazione al pubblico in merito alla disponibilità e alla volontarietà dei test effettuati, alle specifiche finalità e conseguenze, anche nell’ambito di pubblicazioni istituzionali e mediante reti di comunicazione elettronica.

 L'informativa per soggetti minori e la “minore età digitale”.

L'argomento è di strettissima attualità, specie con riferimento al trattamento dei dati di soggetti minori d'età, in ambiente digitale.

La premessa necessaria è data dal considerando 38 del GDPR che afferma che i minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali.

E aggiunge che tale specifica protezione dovrebbe, in particolare, riguardare l’utilizzo dei dati personali dei minori a fini di marketing o di creazione di profili di personalità o di utente e la raccolta di dati personali relativi ai minori all’atto dell’utilizzo di servizi forniti direttamente a un minore.

Ai sensi dell'articolo 2 quinques comma 2 del Codice della privacy, in relazione all'offerta diretta ai minori, circa i servizi della società dell'informazione, il titolare del trattamento deve redigere con linguaggio particolarmente chiaro e semplice, conciso ed esaustivo, facilmente accessibile e comprensibile dal minore, al fine di rendere significativo il consenso prestato da quest'ultimo, le informazioni e le comunicazioni relative al trattamento che lo riguardi.

Il titolare del trattamento può utilizzare immagini, illustrazioni, fumetti, animazioni e tutti gli strumenti utili a rendere maggiormente accessibili i contenuti dell'informativa ai minori, anche servendosi delle moderne tecniche di legal design.

L'art. 8 del gdpr poi specifica che il consenso del minore che rende legittimo il trattamento in relazione ai servizi della società dell'informazione, è solo quello di un minore che abbia compiuto almeno 16 anni; il nostro paese ha poi portato questo termine a 14 anni e ove il minore avesse un'età inferiore ai 14 anni, il trattamento sarà lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale.

Ovviamente ove il minore possa rendere il consenso autonomamente, deve essergli garantito anche l'esercizio dei diritto previsti dagli artt. 15 e seguenti del gdpr. In particolare deve essergli consentito di revocare il consenso con la stessa facilità con cui lo ha prestato.

 In questa sede occorre anche segnalare che nel mese di novembre 2022, l'Autorità garante per l'infanzia e l'adolescenza ha sottoposto alla Presidente del Consiglio Giorgia Meloni dei temi di discussione circa la tutela dei minori, mai troppo garantiti.

Fra questi vanno annoverati anche i diritti in ambiente digitale e a questo proposito l'Autorità ha fatto alcune proposte:

1. per la verifica dell’età dei minorenni che accedono a social network e app è stata chiesta l’introduzione di un nuovo sistema basato sulla certificazione dell’identità da parte di terzi, come avviene per la Spid;
2. è stato chiesto di innalzare a 16 anni (come originariamente previsto dal gdpr) l’età minima per prestare il consenso al trattamento dei dati personali da parte dei fornitori di servizi online (l'età del consenso digitale che attualmente è, appunto, 14 anni);
3. per i baby influencer l'Autorità ha sollecitato l’adozione di una disciplina che preveda la verifica dei profitti generati online dai minori e il diritto all’oblio per i contenuti pubblicati su richiesta diretta dei ragazzi, una volta compiuti 14 anni e ha chiesto anche di estendere le tutele già previste per i minorenni che lavorano, come ad esempio nello spettacolo e nella pubblicità;
4. per i casi di sharenting (condivisione online delle foto dei figli da parte di genitori e parenti) l'autorità ha sollecitato l’applicabilità delle disposizioni in materia di cyberbullismo che consentono ai minorenni di chiedere direttamente la rimozione dei contenuti.

La discussione su queste proposte dovrebbe partire dalla consapevolezza che, specie sui social, i minori andrebbero maggiormente tutelati.