Trattamento dei dati personali nell’ambito dei servizi online – Linee guida
La società moderna è caratterizzata da una crescente diffusione di servizi online quali l’e-commerce, le prenotazioni online o i social media. L’utilizzo di tali servizi essendo, spesso, gratuito per i consumatori, è, nella sostanza, finanziato da aziende che grazie ai banner effettuano pubblicità online e tracciano le preferenze degli utenti, di norma inconsapevoli.
Il trattamento dei dati personali degli utenti che navigano su un determinato sito può essere lecito se l’utente ne è consapevole e può decidere di rifiutare nonché se il trattamento è effettuato ex. Art 6 GDPR in forza di una determinata base giuridica. In particolare, con le Linee Guida 2/2019 lo European Data Protection Board (EDPB) ha chiarito l’applicabilità dell’art. 6 comma 1 lett. b), quale base giuridica di liceità del trattamento di dati nel contesto di contratti stipulati nell’ambito dei servizi online.
La liceità del trattamento di cui all’articolo 6(1)(b) ruota attorno al concetto di “necessità”: il trattamento deve essere necessario ai fini della esecuzione del contratto e ai fini dell’esecuzione di misure precontrattuali richieste dall’utente. Ma, quando il trattamento di dati personali deve considerarsi necessario al fine dell’esecuzione di un contratto di servizi online?
In generale, il concetto di necessità deve sempre essere interpretato restrittivamente. Per questo si deve guardare da un lato allo scopo del trattamento, che deve sempre essere comunicato all’utente in modo chiaro; dall’altro al tipo di contratto che deve essere eseguito, in quanto la necessità deve essere valutata con riferimento allo specifico contratto in oggetto. In questo caso, infatti, il trattamento deve essere necessario nel senso di garantire la performance del contratto, il quale senza la raccolta di quei dati personali non potrebbe eseguirsi. Ulteriormente, necessità non equivale a utilità: pur potendo essere un trattamento di dati utile per il Titolare se ci sono delle alternative meno invadenti per l’utente il trattamento non può essere considerato necessario.
La medesima valutazione di necessità del trattamento va effettuata dal Titolare qualora sia richiesto dall’utente di fornire informazioni per l’esecuzione di misure precontrattuali per l’ottenimento delle quali è necessaria l’acquisizione di dati personali. Il fatto che il trattamento di dati in ambito precontrattuale risulti necessario perché facilita la conclusione del futuro contratto non legittima ovviamente il trattamento di quei medesimi dati per scopi diversi da quelli per cui sono stati forniti o per attività di marketing.
In entrambi i casi previsti dall’art. 6(1)(b), effettuata la valutazione di necessità, qualora il trattamento non risultasse oggettivamente necessario non sarebbe vietato, ma dovrebbe essere giustificato tramite il ricorso ad una base giuridica diversa.
