Regolamento - 27/04/2016 - n. 679 art. 20 - Diritto alla portabilità dei dati

Formato: strutturato, di uso comune e leggibile da dispositivo automatico

«L'aspettativa è che il titolare trasmetta i dati personali in un formato interoperabile, ma ciò non configura alcun obbligo in capo agli altri titolari di supportare tale formato. Pertanto, la trasmissione diretta dei dati da un titolare all'altro potrebbe avvenire se è possibile instaurare una comunicazione fra due sistemi, in modo sicuro, e se il sistema ricevente è tecnicamente in grado di ricevere i dati in ingresso» (LG 18). L'ex Gruppo di lavoro 29 (oggi EDPB) caldeggiava inoltre nelle citate linee guida per «quei titolari che hanno a che fare con insiemi complessi e di grandi dimensioni» l'utilizzo «di uno strumento automatizzato che consenta l'estrazione dei dati pertinenti», ossia solo quelle parti del set di dati che siano realmente utilizzabili dalla piattaforma ricevente» (ibidem).

Condizioni e limiti per la portabilità

L'esercizio del diritto alla portabilità è subordinato alla presenza di alcune condizioni e registra alcuni specifici limiti. Innanzitutto, sono portabili solo i dati personali trattati sulle basi giuridiche dal consenso al trattamento, ai sensi degli artt. 6.1.a) e 9.2.a) GDPR, o del consenso contrattuale ai sensi dell'art. 6.1.b). Ciò esclude nella regolarità dei casi dal novero dei titolari di trattamento soggetti alla portabilità le pubbliche amministrazioni, che possono utilizzare la base “consenso” solo in ipotesi marginali. Ulteriore condizione è che venga in considerazione un trattamento automatizzato, il che impedisce l'applicazione dell'istituto a trattamenti manuali. Questa condizione è del resto logica e coerente con la necessità che i dati personali circolino tra sistemi informatici, la portabilità riguardando la struttura e la rappresentazione dei dati: il diritto in parola è cioè necessariamente legato alla natura informatica dell'ambiente di trattamento.

Quanto ai limiti, oggetto del diritto alla portabilità possono essere soltanto dati personali «forniti» dall'interessato, il che esclude l'ampia casistica dei dati inferiti, ossia creati dal titolare del trattamento a partire dalle informazioni raccolte presso l'interessato. I dati personali inferiti potranno comunque essere oggetto di diritto di accesso ai sensi dell'art. 15 GDPR, ma in questo caso non potrà esserne pretesa la trasmissione in un formato strutturato.

Ulteriore limite, precisato al paragrafo 4 dell'articolo in commento, è quello di «non ledere i diritti e le libertà altrui». Il limite va colto in relazione ai dati cd. “pluripersonali”, v. commento subart. 4.1) GDPR: la portabilità (come altri diritti) può infatti avere ad oggetto informazioni riguardanti contemporaneamente più persone fisiche individuabili, ad es. tipicamente il mittente e il destinatario di una comunicazione elettronica. Giova notare che l'esercizio della portabilità non lede ipso facto i terzi interessati “portati” unitamente ai dati personali loro collegati, la lesione dei diritti di costoro costituendo piuttosto un'eventualità estrema, da valutare con cautela caso per caso. Diversamente, ne risulterebbe frustrato l'esercizio stesso della portabilità in tutte le situazioni di tipo relazionale, coinvolgenti cioè altri soggetti. Chiarisce l'ex Gruppo di lavoro 29 che «la lesione [...] si configurerebbe, per esempio, se la trasmissione dei dati da un titolare all'altro impedisse a soggetti terzi di esercitare i diritti di cui godono in quanto interessati ai sensi del RGPD – come il diritto di informativa, accesso, ecc» (LG Port., 12).

I dati «forniti» dall'interessato non vanno intesi esclusivamente come quelli attivamente e consapevolmente resi dall'interessato, ma anche come quelli osservati: «[... I]l Gruppo di lavoro ritiene che, per dare pieno riconoscimento alla portata di questo nuovo diritto, la nozione di dati “forniti da” un interessato debba riferirsi anche ai dati personali osservati sulla base delle attività svolte dagli utenti, come per esempio i dati grezzi generati da un contatore intelligente o altri oggetti connessi, le registrazioni delle attività svolte, la cronologia della navigazione su un sito web o delle ricerche effettuate [...].

Viceversa, i dati inferenziali e derivati sono creati dal titolare sulla base dei dati “forniti dall'interessato”. Per esempio, l'esito di una valutazione concernente la salute di un utente o il profilo creato nell'ambito di disposizioni in materia finanziaria e di gestione del rischio (per esempio, al fine di attribuire uno score creditizio o di ottemperare a normativa antiriciclaggio) non possono essere considerati, di per sé, dati “forniti dall'interessato”. [...P]ertanto, esulano dal campo di applicazione di questo nuovo diritto» (LG Port., 10-11).

«In molti casi i titolari trattano informazioni contenenti dati personali relativi a una pluralità di interessati; non è possibile, pertanto, dare un'interpretazione eccessivamente restrittiva dell'espressione “dati personali che riguardano l'interessato”. Per esempio, i tabulati telefonici riferiti a un abbonato, la messaggistica interpersonale o i dati VoIP comprendono talora informazioni su terzi in rapporto alle chiamate in entrata e in uscita. Anche se si tratta di tabulati contenenti dati personali relativi a una pluralità di individui, l'abbonato deve avere la possibilità di ottenere tali informazioni a seguito di una richiesta di portabilità visto che i tabulati contengono (anche) dati relativi all'interessato» (LG Port., 10).

Cancellazione e portabilità

Ai sensi dell'art. 20, par. 3 GDPR la portabilità non pregiudica l'esercizio del diritto di cancellazione, portabilità e cancellazione costituiscono cioè diritti fra loro autonomi, non diversamente da accesso e cancellazione. Pertanto, l'interessato che, ottenuta la portabilità dal titolare, intenda anche ottenere la cancellazione dei dati personali ha l'onere di azionarla autonomamente, nei casi in cui è consentita. Detto altrimenti, la portabilità determina soltanto una duplicazione dei dati personali. La cancellazione è espressamente esclusa quando i dati personali siano legittimamente conservati dal titolare, ad esempio per finalità di documentazione contrattuale ed esercizio dei relativi diritti. Cfr. considerando 68: l'esercizio del diritto alla portabilità dei dati personali «non dovrebbe segnatamente implicare la cancellazione dei dati personali riguardanti l'interessato forniti da quest'ultimo per l'esecuzione di un contratto, nella misura in cui e fintantoché i dati personali siano necessari all'esecuzione di tale contratto»». La portabilità costituisce anche uno strumento per “portare in salvo” i propri dati personali nel caso in cui la loro cancellazione sia disposta dal titolare del trattamento. Si pensi alla cessazione di un servizio o all'esclusione dell'interessato da un servizio, decise dal titolare (nelle ipotesi in cui ciò sia consentito). L'interessato non può evidentemente imporre una conservazione dei propri dati al titolare (eccettuati i casi in cui sia esperibile il diritto alla limitazione), ciò essendo incompatibile con il ruolo decisorio di quest'ultimo, né potrebbe imporgli responsabilità di custodia ulteriore. In tali casi, appare congruo che il titolare del trattamento, prima di procedere alla cancellazione dei dati personali, ricordi con ragionevole anticipo all'interessato la possibilità di esercitare il diritto alla portabilità e fare salvo in tal modo il proprio patrimonio informativo. Appare un'applicazione del generale principio di accountability.

Stessa condotta dovrebbe essere osservata quando l'interessato si accinga a cessare la fruizione di un servizio.

«Il Gruppo di lavoro raccomanda ai titolari di informare sempre dell'esistenza del diritto alla portabilità prima che gli interessati procedano alla chiusura di un account. In tal modo gli utenti potranno avere contezza dei propri dati personali e trasmetterli con facilità a un proprio dispositivo ovvero a un altro fornitore di servizi prima della rescissione [sic, n.d.a.] del contratto» (LG Port., 15).