Civile.it
Civile.it
Il GDPR impone nuovi adempimenti oltre ai precedenti, soprattutto di documentazione e attività preventive.
L'art. 11 prevede però conseguenze interessanti su rettifica, cancellazione e diritto di accesso. Non si applicano quando l'interessato non è identficato o il trattamento non richiede più l'identificazione.
Questi gli articoli che non si applicano:
- Articolo 15 Diritto di accesso dell'interessato
- Sezione 3 Rettifica e cancellazione
- Articolo 16 Diritto di rettifica
- Articolo 17 Diritto alla cancellazione («diritto all'oblio»)
- Articolo 18 Diritto di limitazione di trattamento
- Articolo 19 Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o
- Articolo 20 Diritto alla portabilità dei dati
Ecco il testo:
1. Se le finalità per cui un titolare del trattamento tratta i dati personali non richiedono o non richiedono più l'identificazione dell'interessato, il titolare del trattamento non è obbligato a conservare, acquisire o trattare ulteriori informazioni per identificare l'interessato al solo fine di rispettare il presente regolamento.
2. Qualora, nei casi di cui al paragrafo 1 del presente articolo, il titolare del trattamento possa dimostrare di non essere in grado di identificare l'interessato, ne informa l'interessato, se possibile. In tali casi, gli articoli da 15 a 20 non si applicano tranne quando l'interessato, al fine di esercitare i diritti di cui ai suddetti articoli, fornisce ulteriori informazioni che ne consentano l'identificazione.
In poche parole se al titolare non interessa identificare, non può diventare obbligato a identificare solo per rispettare il regolamento.
Norma ampia, ma si ritiene che nel caso di servizi rivolti a minori l'identificazione sia obbligatoria ma, in fondo, in questi servizi il titolare è interessato a identificare minori.
Quando i dati personai non richiedono più di identificare l'interessato ?
E' una domanda aperta, al momento.
Il considerando 26 e pochi altri ci aiutano, ricordando l'opportunità della pseudonimizzazione:
" I dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante l’utilizzo di ulteriori informazioni, dovrebbero essere considerati informazioni su una persona fisica identificabile. Per stabilire l’identificabilità di una persona è opportuno considerare tutti i mezzi, come l’individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente. Per accertare la ragionevole probabilità di utilizzo dei mezzi per identificare la persona fisica, si dovrebbe prendere in considerazione l’insieme dei fattori obiettivi, tra cui i costi e il tempo necessario per l’identificazione, tenendo conto sia delle tecnologie disponibili al momento del trattamento, sia degli sviluppi tecnologici. I principi di protezione dei dati non dovrebbero pertanto applicarsi a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato. Il presente regolamento non si applica pertanto al trattamento di tali informazioni anonime, anche per finalità statistiche o di ricerca."
