Il trattamento di dati personali può essere considerato lecito qualora sussista un interesse preponderante del titolare del trattamento. Prima di comprendere quando sussista un interesse preponderante, motivo giustificativo del trattamento, è necessario precisare cosa si intende per trattamento.
Definizione di trattamento
La LPD definisce trattamento qualsiasi operazione relativa a dati personali, indipendentemente dai mezzi e dalle procedure impiegati, ossia: raccolta, registrazione, conservazione, utilizzazione, modifica, comunicazione, archiviazione, cancellazione o distruzione dei dati.
Interesse preponderante
In particolare, ai sensi della LPD, sussiste un interesse preponderante nei seguenti casi:
- il titolare tratta dati personali di un contraente in relazione diretta per la conclusione o esecuzione di un contratto
- il titolare si trova in rapporto di concorrenza economica con un’altra persona. In tale contesto i dati non possono essere comunicati a terzi (sono escluse dalla nozione di terzi le imprese appartenenti al medesimo gruppo)
- il titolare effettua valutazioni in ordine alla solvibilità della persona di cui tratta i dati personali. A ciò si aggiungono particolari condizioni ossia:
- Che non siano coinvolti dati degni di particolare protezione e che non sia effettuata profilazione ad alto rischio
- Che i dati siano comunicati solo a terzi che ne necessitino per la conclusione o l’esecuzione di un contratto con la persona interessata
- Che i dati non risalgano a oltre dieci anni e che la persona interessata sia maggiorenne
- il titolare tratta dati personali a titolo professionale ossia in vista della pubblicazione nella parte redazionale di un mezzo di comunicazione di massa con carattere periodico oppure, se non vi è pubblicazione, tratta dati personali esclusivamente a titolo di strumento di lavoro personale
- il titolare tratta dati personali per scopi impersonali, in particolare nei settori della ricerca, della pianificazione o della statistica. A ciò si aggiungono particolari condizioni ossia:
- Il titolare, quanto prima possibile, tenendo conto dello scopo perseguito e del fatto che si renda necessario in parte la lettura in chiaro dei dati, anonimizza i dati; se ciò non è possibile o richiede un onere sproporzionato, prende misure adeguate a impedire che le persone interessate possano essere identificate.
- Un esempio di adozione di misura adeguata potrebbe ravvisarsi nella pseudonimizzazione ossia quel processo che fa si che i dati personali non possano più essere attribuiti ad un interessato specifico senza l’ausilio di informazioni aggiuntive. La condizione che deve sussistere affinché si possa far riferimento alla pseudonimizzazione è che le informazioni aggiuntive sopra menzionate siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che i dati personali non siano attribuiti a una persona fisica identificata o identificabile. È importante ricordare che la pseudonimizzazione è un processo reversibile mentre l’anonimizzazione è un processo irreversibile.
- comunica a terzi i dati personali degni di particolare protezione soltanto in una forma che non permetta d’identificare le persone interessate; se ciò non è possibile, prende misure per garantire che i terzi possano trattare i dati soltanto per scopi impersonali
- i risultati sono pubblicati soltanto in una forma che non permetta d’identificare le persone interessate
- Il titolare, quanto prima possibile, tenendo conto dello scopo perseguito e del fatto che si renda necessario in parte la lettura in chiaro dei dati, anonimizza i dati; se ciò non è possibile o richiede un onere sproporzionato, prende misure adeguate a impedire che le persone interessate possano essere identificate.
- il titolare raccoglie dati personali di una personalità pubblica che si riferiscono alla sua attività pubblica.
Articolo a cura di Roberta De Giusti | Data Protection Consultant, Privacy Desk Suisse
