Linee guida 01/2020 sul trattamento dei dati personali nel contesto dei veicoli connessi e delle applicazioni legate alla mobilità Versione 2.0 adottate il 9 marzo 2021

L'analisi è riservata agli iscritti. Segui la newsletter dell'Osservatorio oppure il Podcast iscrizione gratuita 30 giorni

-

Eestimated reading time: 94 min Adottato 1 Linee guida 01/2020 sul ........... ... .... ......... .. ...

 

Testo riservato. Per iscriversi: all'Osservatorio - al Podcast (30 gg gratuito)

05" class="dizioword">........... ... .... ......... ...
contesto dei veicoli connessi e delle applicazioni legate alla
mobilità
Versione 2.0
adottate il 9 marzo 2021

Adottato 2
Cronologia delle versioni
Versione 2.0 9 marzo 2021 Adozione delle linee guida
dopo la consultazione pubblica
Versione 1.0 28 gennaio 2020 Adozione delle linee guida per
consultazione pubblica

Adottato 3
Indice
1 INTRODUZIONE ................................ ................................ ................................ ................................ 4
1.1 Lavori correlati ................................ ................................ ................................ ......................... 5
1.2 Diritto applicabile ................................ ................................ ................................ .................... 6
1.3 Ambito di applicazione ................................ ................................ ................................ ............ 8
1.4 Definizioni ................................ ................................ ................................ .............................. 12
1.5 Rischi relativi alla tutela della vita privata e alla protezione dei dati ................................ .... 14
2 RACCOMANDAZIONI GENERALI ................................ ................................ ................................ .... 17
2.1 Categorie di dati ................................ ................................ ................................ .................... 17
2.2 Finalità ................................ ................................ ................................ ................................ ... 19
2.3 Pertinenza e min imizzazione dei dati ................................ ................................ .................... 19
2.4 Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita ...... 19
2.5 Informazione ................................ ................................ ................................ ......................... 23
2.6 Diritti dell'interessato ................................ ................................ ................................ ............ 25
2.7 Sicurezza ................................ ................................ ................................ ................................ 26
2.8 Trasferimento di .... ......... . ..... ................................ ................................ .................. ..
2.9 Trasferimento di .... ......... .. .. ..... ....'../... ... ................................ ................... ..
2.10 Uso di tecnologie Wi -Fi di bordo ................................ ................................ ........................... 28
3 STUDI DI CASI ................................ ................................ ................................ ................................ .28
3.1 Prestazione di un servizio da parte di un terzo ................................ ................................ ..... 28
3.2 eCall ................................ ................................ ................................ ................................ ....... 32
3.3 Studi sull'incidentalità ................................ ................................ ................................ ........... 35
3.4 Furto d'auto ................................ ................................ ................................ ........................... 37

Adottato 4
Il comitato europeo per la protezione dei dati,
visto l 'articolo 70, paragrafo 1, lettera e), del regolamento (UE) 2016/679 del Parlamento europeo e
del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al
trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la
direttiva 95/46/CE (di seguito "GDPR "),
visto l 'accordo SEE, in particolare l 'allegato XI e il protocollo 37, modificati dalla decisione del comitato
misto SEE n. 154/2018 del 6 luglio 2018 1,
visti gli articoli 12 e 22 del proprio regolamento interno,
HA ADOTTATO LE SEGUE NTI LINEE GUIDA
1 INTRODUZIONE
1. Simbolo dell 'economia del XX secolo, l 'automobi le è uno dei beni di consumo di massa che
hanno influenzato la società nel suo complesso. Solitamente associate al concetto di libertà,
le automobili sono spesso considerate più di un semplice mezzo di trasporto. Di fatto esse
rappresentano un ambito priva to in cui le persone possono godere di una certa autonomia
decisionale al riparo da interferenze esterne. Oggi, mentre i veicoli connessi si apprestano a
diventare prodotti di largo consumo, tale visione non corrisponde più alla realtà. La
connettività di bordo si sta rapidamente estendendo dai modelli di lusso e dai marchi di
fascia alta ai modelli di fascia media realizzati in grandi quantità e i veicoli si stanno
trasformando in enormi hub di dati. Non solo i veicoli ma anche i conducenti e i passeggeri
sono sempre più connessi. Infatti molti modelli lanciati sul mercato negli ultimi anni
integrano sensori e apparecchiature di bordo connesse, capaci di raccogliere e registrare,
tra l 'altro, le prestazioni del motore, le abitudini di guida, i luoghi visita ti e, potenzialmente,
persino i movimenti oculari del conducente, la frequenza cardiaca oppure .... .......... ..
fine di identificare in maniera univoca una data persona fisica 2.
2. Il ........... .. ...... .... ....... .. .. .......... ........., ... ... è ........ ....
operatori tradizionali del settore automobilistico ma è anche plasmato dall 'emergere di
nuovi operatori dell 'economia digitale. Questi nuovi operatori potranno offrire servizi di
infotainment quali musica online, informazioni sul traffico e sulle condizioni stradali, oppure
fornire sistemi e servizi di assistenza alla guida, ad esempio software di guida autonoma,
aggiornamenti sullo stato del veicolo, assicurazioni basate sull 'uso ( usage -based ) o
mappatura dinamica. Inoltre poiché i veicoli s ono connessi tramite reti di comunicazione
elettronica, anche i gestori delle infrastrutture stradali e gli operatori di telecomunicazione
coinvolti in questo processo svolgono un ruolo importante per quanto riguarda le potenziali
operazioni di trattamento che interessano i .... ......... .. .......... . ...........
1I riferimenti agli "Stati membri" nel presente documento sono da intendersi come riferimenti agli "Stati
membri del SEE".2Infografica "Data and the connected car" del Future of ....... ...... .....://......./.. -
content/uploads/2017/06/2017_0627 -FPF -Connected -Car -Infographic -Version -1.0.pdf .

Adottato 5
3. Inoltre i veicoli connessi stanno generando crescenti quantità di dati che possono essere
considerati, per la maggior parte, .... ......... .. ...... ........ . .......... . ...........
Anche q ualora non siano direttamente correlati a un nominativo ma si riferiscano ad aspetti
tecnici e a caratteristiche del veicolo, i dati raccolti da un 'automobile connessa
riguarderanno comunque il conducente o i passeggeri. A titolo di esempio i dati riguarda nti
lo stile di guida o la distanza percorsa, i dati relativi all 'usura di parti del veicolo, i dati relativi
all 'ubicazione o quelli raccolti da videocamere possono riguardare il comportamento del
conducente nonché informazioni concernenti altre persone c he potrebbero trovarsi
all 'interno del veicolo, oppure interessati che si trovano nelle vicinanze. Tali dati tecnici sono
prodotti da una persona fisica e consentono la sua identificazione diretta o indiretta da parte
del ........ ... ........... . .. .. . ..... .. ....... ..ò ...... ........... .. .........
utilizzabile da diversi utenti. Pertanto, come accade per i personal computer, questa
potenziale pluralità di utenti non influisce sulla natura personale dei dati.
4. Nel 2016 la Fédération Internationale d e l 'Automobile (FIA) ha organizzato una campagna a
livello europeo dal titolo "My Car My Data "per sondare l 'opinione dei cittadini europei
riguardo alle automobili connesse 3. La campagna ha rivelato un forte interesse dei
conducenti nei confronti della connettività ma ha anche evidenziato la necessità di
esercitare una sorveglianza sull 'uso dei dati prodotti dai veicoli e l 'importanza di
ottemperare alla normativa in materia di protezione dei dati personali. Per ciascuna delle
parti interessate la sfida consiste dunque nell 'integrare la dimensione della "protezione dei
dati personali "sin dalla fase di progettazione del prodotto e nell 'offrire trasparenza agli
utilizzatori di automobili oltre alla possibilità di esercitare il controllo in relazione ai lor o dati
come previsto al considerando 78 del GDPR. Tale approccio contribuisce a rafforzare la
fiducia degli utenti e dunque lo sviluppo a lungo termine di tali tecnologie.
1.1 Lavori correlati
5. I veicoli connessi sono ampiamente diventati oggetto di regolamenta zione nell 'ultimo
decennio, in particolare negli ultimi due anni. A livello nazionale e internazionale sono stati
dunque pubblicati vari lavori in materia di sicurezza e ....... ... ....... ......... ....
normative e iniziative mirano a integrare con norme settoriali i quadri esistenti in materia di
protezione dei dati e di tutela della vita privata o a fornire orientamenti ai professionisti.
1.1.1 Iniziative a livello europeo e internazionale
6. A decorrere dal 31 marzo 2018 un sistema eCall di bordo basato sul 112 è obbligatorio su
tutti i nuovi tipi di veicoli M1 e N1 (autovetture e veicoli leggeri) 4,5. Nel 2006 il Gruppo di
lavoro Articolo 29 aveva già adottato un documento di lavoro sulle implicazioni in materia
di protezione dei dati e rispetto della vita priva ta dell 'iniziativa eCall 6. Inoltre, come discusso
in precedenza, ad ottobre del 2017 il Gruppo di lavoro Articolo 29 ha adottato un parere sul
3Campagna "My Car My Data", http://www.mycarmydata.eu/ . 4The interoperable EU -wide eCall, https://ec.europa.eu/transport/themes/its/road/action_plan/ecall_en . 5Decisi one n. 585/2014/UE del Parlamento europeo e del Consiglio, del 15 maggio 2014, sulla diffusione in
tutto il territorio dell'Unione europea di un servizio elettronico di chiamata di emergenza (eCall) interoperabile
(Testo rilevante ai fini del SEE), https://eur -lex.europa.eu/legal -content/IT/TXT/?uri=CELEX%3A32014D0585 . 6Documento di lavoro sulle implicazioni in materia di protezione dei dati e rispetto della vita privata
dell'iniziativa eCall, https://ec.europa.eu/justice/article -29/documentation/opinion -
recommendation/files/2006/wp125_it.pdf .

Adottato 6
trattamento dei .... ......... ... ........ ... ....... .. ......... ............ ...........
(C-ITS).
7. A gennaio del 2017 l 'Agenzia dell 'Unione europea per la cibersicurezza (ENISA) ha pubblicato
uno studio incentrato sulla cibersicurezza e sulla resilienza delle automobili intelligenti che
elenca i componenti sensibili nonché le min acce, i rischi e i fattori di atte nuazione
corrispondenti e le possibili misure di sicurezza da attuare 7. A settembre del 2017 la
conferenza internazionale dei commissari in materia di protezione dei dati e della vita
privata (ICDPPC) ha adottato una risoluzione sui veicoli connessi 8. Infi ne ,ad aprile del 2018
anche il gruppo di lavoro internazionale sulla tutela dei dati nelle telecomunicazioni
(IWGDPT) ha adottato un documento di lavoro sui veicoli connessi 9.
1.1.2 Iniziative nazionali dei membri del comitato europeo per la protezione dei dat i (EDPB)
8. A gennaio del 2016 la conferenza delle autorità tedesche federali e statali per la protezione
dei dati e l 'associazione tedesca dell 'industria automobilistica (VDA) hanno pubblicato una
dichiarazione comune sui principi della protezione dei dati n ei veicoli connessi e non
connessi 10. Ad agosto del 2017 il Centre for Connected and Autonomous Vehicles (CCAV)
britannico ha pubblicato un documento di orientamento che stabilisce i principi della
cibersicurezza per i veicoli connessi e automatizzati al fi ne di sensibilizzare alla questione il
settore automobilistico 11. Ad ottobre del 2017 l 'autorità francese per la protezione dei dati,
la Commission Nationale de l 'Informatique et des Libertés (CNIL), ha pubblicato un
pacchetto di conformità per le automobil i connesse allo scopo di fornire alle parti
interessate una serie di indicazioni su come integrare la protezione dei dati fin dalla
progettazione e per impostazione predefinita in modo che gli interessati possano esercitare
un controllo efficace sui dati c he li riguardano 12.
1.2 Diritto applicabile
9. Il quadro giuridico dell 'UE pertinente è costituito da l GDPR, che si applica ogniqualvolta un
trattamento di dati nel contesto dei veicoli connessi comport iil ........... .. .... .........
di persone fisiche.
10. Oltre al GDPR, la direttiva 2002/58/CE, riveduta dalla direttiva 2009/136/CE (di seguito
"direttiva e -privacy "),definisce una norma specifica per tutti gli operatori che intendono
archiviare informazioni o accedere a informazioni archiviate nell 'apparecch iatura
terminale di un abbonato o di un utente nello Spazio economico europeo (SEE).
7"Cyber sec urity and resilience of smart cars", https://www.enisa.europa.eu/publications/cyber -security -and -
resilience -of-smart -cars . 8"Resolution on data protectio n in automated and connected vehicles",
https://edps.europa.eu/sites/edp/files/publication/resolution -on -data -prot ection -in-automated -and -
connected -vehicles_en_1.pdf . 9Documento di lavoro "Connected Vehicles", https://www.datenschutz -berlin.de/infothek -und -
service/veroeffentlichungen/working -paper/ . 10"Data protection aspects of using connected and non -connected vehicles",
https://www.ld a.bayern.de/media/dsk_joint_statement_vda.pdf . 11Principles of cyber security for connected and automated vehicles,
https://www.gov .uk/government/publications/principles -of-cyber -security -for -connected -and -automated -
vehicles . 12Pacchetto di conformità per un uso ............ ... .... ..... .......... ........,
https://www.cnil.fr/en/connected -vehicles -compliance -package -responsible -use -data .

Adottato 7
11. Di fatto sebbene la maggioranza delle disposizioni contenute nella direttiva e -privacy
(articolo 6, articolo 9 ecc.) si applichi soltanto ai ......... .. ....... .. ..... ........
elettronica accessibili al pubblico e ai ......... .. .... ......... .. .............,
l'articolo 5, paragrafo 3, della direttiva e -privacy costituisce una disposizione di carattere
generale. Esso si applica non soltanto ai servizi di comunicazion e elettronica ma anche a
qualsiasi soggetto , sia ess o pubblic o o privat o, che registri o legga informazioni su
un 'apparecchiatura terminale indipendentemente dalla natura dei dati che sono archiviati
o a cui si accede.
12. Per quanto riguarda il concetto di "apparecchiatura terminale ", la definizione è fornita dalla
direttiva 2008/63/CE 13. L 'articolo 1, lettera a), definisce le apparecchiature terminali come
"le apparecchiature allacciate direttamente o indirettamente all 'interfaccia di una rete
pubblica di tel ecomunicazioni per trasmettere, trattare o ricevere informazioni; in entrambi
i casi di allacciamento, diretto o indiretto, esso può essere realizzato via cavo, fibra ottica o
via elettromagnetica; un allacciamento è indiretto se l 'apparecchiatura è interp osta fra il
terminale e l 'interfaccia della rete pubblica; b) le apparecchiature delle stazioni terrestri per
i collegamenti via satellite ".
13. Pertanto, a condizione che siano soddisfatti i suddetti criteri, il veicolo connesso e il
dispositivo ad esso collegato dovrebbero essere considerati "apparecchiature terminali "
(alla stregua di un computer, di uno smartphone o di una smart TV) e trovano a pplicazione,
ove pertinente, le disposizioni dell 'articolo 5, paragrafo 3, della direttiva e -privacy.
14. Come delineato dall 'EDPB nel parere 5/2019 sull 'interazione tra la direttiva e -privacy e il
GDPR 14, l'articolo 5, paragrafo 3, della direttiva e -privacy prevede che, di norma, e fatte salve
le deroghe a detta norma di cui al punto 17 in appresso, l 'archiviazione di informazioni o
l'accesso ad informazioni già archiviate nell 'apparecchiatura terminale di un abbonato o
utente richiedano il suo ........ ..... ....... ..... ...... .. ... .. ............ ..........
nel dispositivo dell 'utente finale costituiscono dati personali, l 'articolo 5, paragrafo 3, della
direttiva e -privacy prevale sull 'articolo 6 del .... ... ........ .... .......à .. .............
di o a ccesso a tali informazioni 15. Qualunque operazione di ........... .. .... .........
successiva alle operazioni di ........... .. ... ....., ........ .. ........... .. ....
personali ottenuti mediante l 'accesso a informazioni nell 'apparecchiatura terminale, per
essere lecita deve avere un fondamento giuridico a norma dell 'articolo 6 del GDPR 16.
15. Poiché, al momento di richiedere il ........ ... '............. ..... ............ .
all 'accesso alle stesse a norma dell 'articolo 5, paragrafo 3, della direttiva e -pri vacy, il titolare
del ........... ....à .......... ... '........... ..... .. .......à ... ..........., ........
qualsiasi ........... .......... .... .......... .. ... ..... (..... .. "...........
successivo "), il ........ . ..... .... '........ . ... .... . ........à .. ...... .. ..........
13Direttiva 2008/63/CE della Commissione, del 20 giugno 2008, relativa alla concorrenza sui mercati delle
apparecchiature terminali di telecomunicazio ni (Versione codificata) (Testo rilevante ai fini del SEE),
https://eur -lex.europa.eu/legal -content/it/ALL/?uri=CELEX%3A32008L0063 . 14Comitato europeo per la protezione dei dati, Parere 5/2019 sull'interazione tra la direttiva e -privacy e il
regolamento generale sulla protezione dei dati, in particolar e per quanto concerne competenze, compiti e
poteri delle autorità per la protezione dei dati , adottato il 12 marzo 2019 (di seguito "parere 5/2019"),
punto 40. 15Ibidem, punto 40.16Ibidem, punto 41.

Adottato 8
giuridico più adeguato su cui basare il ........... ... .... ......... .......... . .....
operazioni (nella misura in cui la finalità del ........... .......... ... ........
dall 'interessato che esprime il suo consenso, cf r. i punti 53 -54 in appresso). Pertanto il
consenso costituirà probabilmente il fondamento giuridico sia per l 'archiviazione delle
informazioni e l 'accesso alle informazioni già archiviate sia per il ........... .......... ..
dati personali 17. Di fatto nel valutare l 'osservanza dell 'articolo 6 del .... .. ........ ......
conto del fatto che il ........... ... ... ......... ........ .......... .......à ... .. .....
il legislatore dell 'UE ha cercato di offrire un 'ulteriore tutela 18. Inoltre, nell 'individuare la base
giuridica appropriata, i titolari del ........... ...... ...... ..... .... '....... ... .......
degli interessati in maniera da rispettare il principio di correttezza 19. La conclusione è che i
titolari del ........... ... ....... ........ . '........ . ... .... ... ....... . '.........
tutela offerta dall 'articolo 5, paragrafo 3, della direttiva e -privacy.
16. L'EDPB ricorda che il concetto di ........ ..... ......... . -....... ........... .. ........
di ........ ... .... . .... .......... ..... . ......... . .. .......... ... .. ........ .. ...
all 'articolo 4, punto 11, e all 'articolo 7 del GDPR.
17. Sebbene il principio fondante sia costituito dal consenso, l 'articolo 5, paragrafo 3, della
direttiva e -privacy consente tuttavia di esonerare l 'archiviazione di i nformazioni o l 'accesso
a informazioni già archiviate nell 'apparecchiatura terminale dall 'obbligo del consenso
informato qualora l 'operazione soddisfi uno dei criteri seguenti:
 deroga 1: abbia luogo al solo fine di effettuare la trasmissione di una comuni cazione
su una rete di comunicazione elettronica;
 deroga 2: abbia luogo nella misura strettamente necessaria per consentire al fornitore
di un servizio della società dell 'informazione esplicitamente richiesto dall 'abbonato o
dall 'utente di erogare tale ser vizio.
18. In tali casi il ........... .. .... ........., ........ . .... ......... ........ ........
l'accesso a informazioni archiviate nell 'apparecchiatura terminale, si fonda su una delle basi
giuridiche fornite dall 'articolo 6 del GDPR. Ad esempio il con senso non è richiesto laddove il
trattamento dei dati sia necessario per fornire servizi di navigazione GPS richiesti
dall 'interessato qualora tali servizi siano qualificabili come servizi della società
dell 'informazione.
1.3 Ambito di applicazione
19. L'EDPB desi dera sottolineare che le presenti linee guida intendono facilitare l 'osservanza
della normativa in rapporto a l ........... .. .... ......... .......... .. .. '..... .....
di parti interessate che operano in questo contesto. Il presente documento, tuttavia, non è
finalizzato a illustrare tutti i casi d 'uso possibili in tale contesto, né a fornire orientament i
per ogni possibile situazione specifica.
17Il ........ ......... ....'........ ., ......... ., .. ... ......... ". -......." . .. ........ .......... ....
fondamento giuridico per il ........... ... .... (........ . ... ....) ... .. ........ .......à .........
possono essere ottenuti nello stesso momento (ad esempio mediante la selezione di una casella che indichi con
chiarezza l'oggetto del ........ ........ ....'...........)......... ./...., ..... ............. ....... ... .. .......... ... ...., ..... ..... ./.... ... ........... .. .... ......... .. .....
dell'articolo 6, paragrafo 1, lettera b), del regolamento gen erale sulla protezione dei dati nel contesto della
fornitura di servizi online agli interessati , Versione 2.0, 8 ottobre 2019, punto 1.

Adottato 9
20. Ilpresente documento si concentra, in particolare, sul ........... ... .... ......... ..
relazione all 'uso non professionale di veicoli connessi da parte degli interessati :conducenti,
passeggeri, proprietari di veicoli, altri utenti della strada ecc. Più specificamente il
documento riguarda i dati personali: i) trattati all 'interno del veicolo, ii) scambiati tra il
veicolo e i dispositivi personali ad esso connessi (ad esempio lo smartphone dell 'utente)
oppure iii) raccolti localmente nel veicolo ed esportati verso soggetti estern i(ad esempio
case costruttrici , gestori di infrastrutture, imprese di assicurazione, officine di riparazione)
ai fini di un ulteriore trattamento.
21. Nel presente documento la definizione di veicolo connesso deve essere interpretata in senso
lato. Il veicolo connesso può essere definito come un veicolo dotato di numerose centraline
elettroniche di controllo (ECU) collegate tra loro per mezzo di una rete di bordo, nonché di
strumenti di connettività che consentono di condividere informazioni con altri dispositivi
interni ed esterni al veic olo. Ciò consente lo scambio di dati tra il veicolo e i dispositivi
personali ad esso collegati, ad esempio per il mirroring delle applicazioni mobili sull 'unità di
informazione e intrattenimento in-dash [sul cruscotto] della vettura. Inoltre lo sviluppo d i
applicazioni mobili stand -alone , ossia indipendenti dal veicolo (ad esempio basate
esclusivamente sull 'utilizzo dello smartphone), che forniscono assistenza ai conducenti,
rientra nell 'oggetto del presente documento, in quanto tali applicazioni contribui scono a
determinare le capacità di connettività del veicolo anche qualora, di fatto, non si basino di
per sé sullo scambio di dati con il veicolo stesso. Le applicazioni per i veicoli connessi sono
molteplici e diversificate. Di seguito se ne forniscono al cuni esempi 20.
22. Gestione della mobilità: funzioni che consentono ai conducenti di raggiungere la
destinazione in tempi brevi e in maniera efficiente sul piano dei costi, fornendo informazioni
tempestive riguardanti la navigazione GPS, la presenza di condizio ni ambientali
potenzialmente pericolose (ad esempio ghiaccio sulle strade), la congestione del traffico o
la presenza di lavori stradali, parcheggi o autofficine, il consumo ottimizzato del carburante
o i pedaggi stradali.
23. Gestione del veicolo: funzioni intese ad aiutare i conducenti a ridurre i costi d 'esercizio e a
migliorare la facilità di utilizzo, ad esempio avvisi sullo stato del veicolo e avvisi di
manutenzione programmata, ............. ... .... ........ ... '........ (.. ....... ... .
servizi di ri parazione del veicolo), assicurazioni personalizzate di tipo "Pay As/How You
Drive ", operazioni a distanza (ad esempio impianto di riscaldamento) o configurazioni del
profilo (ad esempio posizion amento dei sedili).
24. Sicurezza stradale: funzioni che avvisano il conducente riguardo a pericoli esterni e risposte
interne, ad esempio protezione in caso di collisione, avvisi di pericolo, avvisi di deviazione
dalla corsia di marcia, rilevamento della stanchezza del conducente, chiamata d 'emergenza
(eCall) o "scatol e nere "(registratori di dati relativi ad eventi incidentali) utilizzate a fini di
indagine.
25. Intrattenimento: funzioni che forniscono informazioni e offrono intrattenimento al
conducente e ai passeggeri, ad esempio interfacce con gli smartphone (chiamate t elefoniche
a mani libere, SMS vocali), hotspot WLAN, musica, video, internet, social media, servizi di
mobile office o servizi di "domotica ".
20PwC Strategy 2014. "In the fast lane. The bright future of connected cars",
https://www.strategyand.pwc.com/media/file/Strategyand_In -the -Fast -Lane.pdf .

Adottato 10
26. Assistenza alla guida: funzioni che comportano l 'automazione parziale o totale della guida,
ad esempio assistenza operativa o guida autonoma in presenza di traffico intenso, nelle
manovre di parcheggio o sulle autostrade.
27. Benessere: funzioni che monitorano il comfort del conducente, la sua capacità di guidare e
la sua idoneità alla guida, come ad esempio il rilevament o della stanchezza o l 'assistenza
medica.
28. Pertanto i veicoli possono nascere già connessi o no e i .... ......... ....... ...... ........
con mezzi diversi, ossia: i) sensori di bordo, ii) telematic box o iii) applicazioni mobili (ad
esempio accessibili da un dispositivo appartenente al conducente). Per rientrare nell 'ambito
di applicazione del presente documento le applicazioni mobili devono essere correlate
all 'ambiente di guida. Ad esempio le applicazioni di navigazione GPS rientrano nell 'ambito
del pres ente documento. Sono invece escluse dall 'ambito delle presenti linee guida le
applicazioni le cui funzionalità si limitano a suggerire ai conducenti luoghi di interesse
(ristoranti, monumenti storici ecc.).
29. Molti dei dati generati da un veicolo connesso r iguardano persone fisiche identificate o
identificabili e pertanto costituiscono dati personali. Ad esempio i dati comprendono dati
direttamente identificativi (come l 'identità completa del conducente) e dati indirettamente
identificativi , quali informazioni dettagliate sui viaggi effettuati, i dati sull 'utilizzo del veicolo
(riguardanti, ad esempio, lo stile di guida o la distanza percorsa) o i dati tecnici del veicolo
(ad esempio dati relativi all 'usura di parti del veicolo), che, messi in relaz ione con altri dati e
soprattutto con il numero di identificazione del veicolo (VIN), possono permettere di risalire
a una persona fisica. I .... ......... ... ....... ........ ....... ........... .....
metadati, ad esempio relativi allo stato di manutenzi one del veicolo. In altri termini
qualunque dato associabile a una persona fisica rientra quindi nell 'ambito di applicazione
del presente documento.
30. L'ecosistema del veicolo connesso comprende un 'ampia gamma di operatori interessat i. Più
precisamente tale ecosistema comprende operatori tradizionali del settore automobilistico
e operatori emergenti del settore digitale. Le presenti linee guida sono pertanto rivolte alle
case costruttrici di veicoli, ai produttori di accessori e ai ......... .. .........., .. ..........
di autoveicoli, alle concessionarie automobilistiche, ai ......... .. ....... ..............., ..
gestori di parchi veicoli, alle compagnie di assicurazione dei veicoli a motore, ai ......... ..
servizi di intrattenimento, agli operatori di tel ecomunicazioni, ai gestori di infrastrutture
stradali e alle amministrazioni pubbliche, nonché agli interessati. L 'EDPB sottolinea che le
categorie di interessati saranno diverse in rapporto al singolo servizio (ad esempio
conducenti, proprietari, passegge ri ecc.). Il suddetto elenco non è esaustivo, in quanto
l'ecosistema è costituito da una vasta gamma di servizi, alcuni dei quali richiedono
l'autenticazione o l 'identificazione diretta mentre altri non necessitano di autenticazione o
identificazione.
31. Alcuni ........... .. .... .. ..... .. ....... ....... ... '....... ... ....... .... ..........
"per l 'esercizio di attività a carattere esclusivamente personale o domestico " e di
conseguenza sono esclusi dall 'ambito di applicazione del GDPR 21. Ciò riguarda, in particolare,
l'uso esclusivo di .... ......... ... '....... ... ....... .. ..... ..... ........... ... .. .....
trasmessi al quadro strumenti del veicolo. Tuttavia l 'EDPB ricorda che, conformemente al
21Cfr. l'articolo 2, paragrafo 2, lettera c), del GDPR.

Adottato 11
considerando 18, il GDPR "si applica ai titolari del trattamento o ai responsabili del
trattamento che forniscono i mezzi per trattare .... ......... .... '...... .. .... .......à .
carattere personale o domestico ".
1.3.1 Quali operazioni non rientrano nell 'ambito di applicazione del presente documento
32. I datori di lavoro che forniscono autovetture aziendali ai loro dipendenti potrebbero
decidere di monitorare le azioni dei dipendenti (ad esempio per garantire la sicurezza del
dipendente, delle merci o dei veicoli, per assegnare risorse, per tenere traccia di un ser vizio
e addebitarne il costo o per controllare le ore di lavoro). Il ........... .. .... .......... ...
datori di lavoro in tale contesto solleva considerazioni che attengono specificamente
all 'ambito dei rapporti di lavoro e che potrebbero essere discipli nate da normative del lavoro
a livello nazionale sulle quali le presenti linee guida non possono soffermarsi 22.
33. Anche se il ........... .. .... ... ........ ... ....... ........... ......... ... '...
professionale (ad esempio trasporto pubblico) , dei traspor ti condivisi e della soluzione MaaS
(Mobility -as-a-Service) potrebbe sollevare considerazioni specifiche che esulano dall 'ambito
di applicazione delle presenti linee guida generali, molti dei principi e delle raccomandazioni
formulati nel presente document o saranno applicabili anche a tali tipologie di trattamento.
34. Poiché sono sistemi abilitati alla connessione radio, i veicoli connessi sono soggetti al
tracciamento passivo, ad esempio al tracciamento Wi -Fi o Bluetooth. In tal senso non
differiscono da altr i dispositivi connessi e rientrano nell 'ambito di applicazione della
direttiva e -privacy, che è attualmente in fase di revisione. Ne consegue che è esclusa
dall 'ambito del presente documento anche la localizzazione su vasta scala di veicoli dotati
di conne ssione Wi -Fi23da parte di soggetti che transitano o sostano in prossimità del veicolo
e che utilizzano i comuni servizi di localizzazione degli smartphone. Tali servizi comunicano
regolarmente ai server centrali tutte le reti Wi -Fi visibili. Poiché il Wi -Fi integrato può essere
considerato un identificativo secondario del veicolo 24, vi è il rischio di una raccolta
sistematica e continuativa di profili completi degli spostamenti dei veicoli.
35. Sempre più spesso i veicoli sono dotati di dispositivi per la regis trazione di immagini (ad
esempio telecamere di assistenza al parcheggio o dashcam ). Poiché ciò si ricollega al
problema dell eripres e effettuate in luoghi pubblici, che esige una valutazione del quadro
legislativo pertinente, specifico di ciascuno Stato me mbro, tale trattamento di dati non
rientra nell 'ambito di applicazione delle presenti linee guida.
22Il Gruppo di lavoro Articolo 29 si è espresso a tale riguardo nel pare re 2/2017 sul ........... ... .... ...
posto di lavoro (WP249), https://ec.europa.eu/newsroom/article29/item -detail.cfm?item_id=610169 . 23Per maggiori informazioni cfr. https://www.datenschutzzentrum.de/artikel/1269 -Location -Services -can -
Systematically -Track -Vehicle s-with -WiFi -Access -Points -at-Large -Scale.html . 24Markus Ullmann, Tobias Franz, and Gerd Nolden, Vehicle Identi fication Based on Secondary Vehicle Identi fier
--Analysis, and Measurements, in Proceedings, VEHICULAR 2017, The Sixth International Conference on
Advances in Vehicular Systems, Technologies and Applications, Nice, France, July 23 to 27, 2017, pagg. 32 -37.

Adottato 12
36. Il ........... .. .... ... ........ ... ....... .. ......... ............ ........... (. -...),
quali definiti nella direttiva 2010/40/UE 25, è stato oggetto di un parere specifico del Gruppo
di lavoro Articolo 29 26. Sebbene la definizione del concetto di C -ITS nella direttiva non
contenga specifiche tecniche, nel suo parere il Gruppo di lavoro Articolo 29 si concentra sulle
comunicazioni a corto raggio, ossia que lle che non comportano l 'intervento di un operatore
di rete. Più specificamente esso fornisce un 'analisi per casi di utilizzo specifici con riguardo
alla fase iniziale di attuazione e si è impegnato a valutare in una fase successiva le nuove
questioni che certamente sorgeranno con l 'attuazione di livelli di automazione più elevati.
Poiché le implicazioni per la protezione dei dati nel contesto del C -ITS sono molto specifiche
(quantitativi di dati senza precedenti sull 'ubicazione, trasmissione continua di da ti personali,
scambio di dati tra veicoli e altre infrastrutture di trasporto ecc.) e il tema è tuttora oggetto
di discussione a livello europeo, il ........... .. .... ......... .. .... ........ .....
dall 'ambito di applicazione delle presenti linee guida .
37. Infine il presente documento non mira ad affrontare tutte le possibili questioni e i possibili
interrogativi sollevati dai veicoli connessi e non può essere pertanto considerato esaustivo.
1.4 Definizioni
38. Iltrattamento di .... ......... ......... ......... .......... ... ........ .... .........,
come la raccolta, la registrazione, l 'organizzazione, la strutturazione, la conservazione,
l'adattamento o la modifica, l 'estrazione, la consultazione, l 'uso, la comunicazione m ediante
trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o
l'interconnessione, la limitazione, la cancellazione o la distruzione ecc. 27.
39. L'interessato è la persona fisica a cui si riferiscono i dati che sono oggetto di trattamento.
Nel contesto dei veicoli connessi potrà trattarsi, in particolare, del conducente (principale o
occasionale), del passeggero o del proprietario del veicolo 28.
40. Iltitolare del trattamento è la persona che determina le finalità e i mezzi del tr attamento
che ha luogo nei veicoli connessi 29. I titolari del ........... ....... ...... . ......... ..
servizi che trattano i dati del veicolo per trasmettere al conducente informazioni sul traffico,
messaggi relativi alla guida ecologica o avvisi sul funz ionamento del veicolo, oppure imprese
di assicurazione che offrono contratti a consumo di tipo "Pay As You Drive "o costruttori di
veicoli che raccolgono dati sull 'usura di parti del veicolo per migliorarne la qualità. A norma
dell 'articolo 26 del GDPR ,du e o più titolari possono determinare congiuntamente le finalità
e i mezzi del ........... .. ...... ........ ........... ........... ... ............ .. ...
caso essi devono definire con chiarezza i rispettivi obblighi, con particolare riguardo
25Direttiva 2010/40/UE del Parlamento europeo e del Consiglio, del 7 luglio 2010, sul quadro
generale per la diffusione dei sistemi di trasporto i ntelligenti nel settore del trasporto stradale e nelle
interfacce con altri modi di trasporto, https://eur -lex.europa.eu/legal -
content/it/TXT/PDF/?uri=CELEX:32010L0040 . 26Gruppo di lavoro Articolo 29 -Parere 03/2017 sul documento intitolato "Trattamento dei .... ......... ...
contesto del sistema di trasporto intelligente cooperativo (C -ITS)",
http://ec.europa.eu/newsroom/article29/item -detail.cfm?item_id=610171 . 27Cfr. l'articolo 4, punto 2, del GDPR.28Cfr. l'articolo 4, punto 1, del GDPR.29Cfr. l'articolo 4, punto 7, del .... . .. ......... ... ........ ....... ... .. .......... ... .... ... ......
Guidelines 07/2020 on the concepts of controller and processor in the GDPR (di seguito "Linee guida
07/2020").

Adottato 13
all 'eserciz io dei diritti degli interessati e alla comunicazione delle informazioni di cui agli
articoli 13 e 14 del GDPR.
41. Ilresponsabile del trattamento è chiunque tratti .... ......... .. .... . ... ..... ...
titolare del trattamento 30. Il ............ ... ........ ... ......... . ...... . .... ....... ..
istruzioni del ........ ... ..........., ..... .......... .... .... ... . ...... ...... . ...... ..
esempio in alcuni casi è possibile che i costruttori di accessori e i ......... .. ..........
trattino dati per con to dei costruttori di veicoli (il che non implica che non possano essere
titolari del ........... ... ..... .......à). ..... . ......... ... . ............ ... ...........
devono mettere in atto misure tecniche e organizzative adeguate in modo tale da gara ntire
un livello di sicurezza idoneo al rischio, l 'articolo 28 del .... ......... ... ........ ...
responsabili del trattamento.
42. Per destinatario si intende la persona fisica o giuridica, l 'autorità pubblica, il servizio o un
altro organismo che riceve com unicazione di dati personali, che si tratti o meno di terzi 31. A
titolo di esempio un partner commerciale del fornitore di servizi che riceva da quest 'ultimo
dati personali generati dal veicolo è ............ .. .... ......... ., ................. ...
fatto che funga da nuovo ........ ... ........... . .. ............ ... ..........., è
tenuto ad adempiere tutti gli obblighi imposti dal GDPR.
43. Tuttavia ,le autorità pubbliche che possono ricevere comunicazione di dati personali
nell 'ambito di una specifica in dagine conformemente al diritto dell 'Unione o degli Stati
membri non sono considerate destinatari 32; il ........... .. .... .... .. ..... .. .....
autorità pubbliche deve essere conforme alle norme applicabili in materia di protezione dei
dati secondo le fi nalità del trattamento. Ad esempio le autorità di contrasto sono terzi
autorizzati quando richiedono .... ......... .... '...... .. .. '........ ............. ..
diritto dell 'Unione o degli Stati membri.
30Cfr. l'articolo 4, punto 8, del .... . .. ..... ..... ../........... .'........ ., ..... ., ... .... . .. ..... ..... ../............... ., ..... ., . ............ .. ... .....

Adottato 14
1.5 Rischi relativi alla tutela della vita privata e alla protezione dei dati
44. Il Gruppo di lavoro Articolo 29 ha già espresso diverse preoccupazioni in merito ai sistemi
del cosiddetto internet degli oggetti ( Internet of Things -IoT) che possono essere estese
anche ai veicoli connessi 33. I problemi relativi alla sicurezza e al controllo dei dati, già
sottolineati in relazione all 'IoT, sono ancora più cruciali nel contesto dei veicoli connessi,
giacché attengono a questioni di sicurezza stradale (e possono avere un impatto
sull 'integrità fisica del conducente) in un contesto tradizionalmente percepito come isolato
e protetto da interferenze esterne.
45. Inoltre i veicoli connessi sollevano serie preoccupazioni per la tutela della vita privata e la
protezione dei dati per quanto concerne il ........... .. .... .... .... ... '.........., ..
quanto il carattere sempre più invasivo di questo ........... ..ò ....... . .... ..... ..
attuali possibilità di mantenere l 'anonimato. L 'EDPB desidera porre un particolare accento
e sensibilizzare le parti interessate sul fatto che l'utilizzo di tecnologie di localizzazione esige
l'introduzione di specifiche tutele al fine di impedire la sorveglianza delle persone e l 'abuso
dei dati.
1.5.1 Mancanza di controllo e asimmetria informa tiva
46. I conducenti e i passeggeri dei veicoli potrebbero n on essere sempre adeguatamente
informati in merito al ........... ... .... ... .. ..... ... '....... . ... ..... .. .. .......
connesso. È possibile che le informazioni siano fornite soltanto al proprietario del veicolo,
che potrebbe non essere il conducent e, e che inoltre non siano fornite in maniera
tempestiva. Esiste dunque il rischio che le funzionalità o le opzioni offerte non siano
sufficienti per esercitare il controllo necessario affinché le persone interessate possano
avvalersi del loro diritto al r ispetto della vita privata e alla protezione dei dati. Si tratta di un
aspetto importante in quanto, nel corso della loro vita utile, i veicoli potrebbero appartenere
a più di un proprietario perché sono venduti o perché, anziché essere acquistati, sono
acquisiti in leasing.
47. Inoltre la comunicazione nel veicolo può essere avviata automaticamente e tramite
impostazioni predefinite, senza che il diretto interessato ne sia al corrente. In assenza della
possibilità di controllare efficacemente l 'interazione tr a il veicolo e le apparecchiature ad
esso connesse, il controllo del flusso di dati da parte dell 'utente è destinato a diventare
estremamente difficile. Sarà ancora più difficile controllarne l 'uso successivo per evitare il
rischio di una “eterogenesi di f unzioni” (function creep ).
1.5.2 Qualità del ........ .... '......
48. L'EDPB sottolinea che, laddove il ........... ... .... ... ...... ... ........, ...... ......
rispettati tutti gli elementi che rendono valido tale consenso; ciò significa che il consenso
deve essere libero, specifico e informato e costituisce una manifestazione di volontà
inequivocabile dell 'interessato, secondo l 'interpretazione fornita nelle linee guida dell 'EDPB
sul consenso 34. I titolari del ........... ...... ........ ..... .......... .... .......à ..
ottenimento di un consenso valido presso i vari partecipanti, quali i proprietari o gli
utilizzatori di autovetture. Tale ........ .... ...... ........ ............., ... .......à
specifiche e non può essere accorpato al contratto di acquisto o leasing di una nuova
33Gruppo di lavoro Articolo 29 –Parere 8/2014 sui re centi sviluppi nel campo dell'Internet degli oggetti,
https://ec.europa.eu/justice/article -29/documentation/opinion -recommendation/files/20 14/wp223_it.pdf . 34Comitato europeo per la protezione dei dati, Linee guida 5/2020 sul ........ .. ..... ... ........... (. .)
2016/679 , Versione 1.1, 4 maggio 2020 (di seguito "linee guida 5/2020").

Adottato 15
autovettura. Il ........ .... ..... ...... ........ ... .. ...... .......à ... ... .. .. è
espresso.
49. Lo stesso principio deve essere applicato quando il ........ è .......... ... ...........
alla direttiva e -privacy, ad esempio in ca so di ............. .. ............ . .. ....... .
informazioni già archiviate nel veicolo, come previsto in taluni casi dall 'articolo 5,
paragrafo 3, di tale direttiva. Infatti, come già sottolineato, in tale contesto il ........ ....
essere interpretato alla luce del GDPR.
50. In molti casi l 'utente potrebbe non essere consapevole del ........... ... .... ..........
nel suo veicolo. Tale mancanza di informazione costituisce un ostacolo rilev ante quando si
tratta di dimostrare la validità del ........ .. ..... ... ...., ......é .. ........ ....
essere informato. In tali circostanze il ........ ... ..ò ...... .......... .... ....
giuridica per il corrispondente ........... ... .... . ..... ... .....
51. I meccanismi tipicamente utilizz ati per ottenere il ........ ..... ....... ....... .........
di difficil eapplica zione nel contesto dei veicoli connessi. Ne risulta un consenso "di bassa
qualità ", basato su un ’informazione carente, oppure l'impossib ilità concreta di prestare un
consenso ben calibrato che tenga conto delle preferenze individuali . Nella pratica può essere
difficile ottenere il ........ ..... ....... .......... . .......... ... ....... .....
rapporto col proprietario del veicolo, come nel caso di veicoli di seconda mano, acquisiti in
leasing, noleggiati o presi in prestito.
52. Nei casi in cui la direttiva e -privacy non richiede il ........ .... '..........., .. ........ ...
trattamento ha comunque la responsabilità di scegliere, ai sensi del l'articolo 6 del GDPR, il
fondamento giuridico più adatto al caso per il ........... ... .... ..........
1.5.3 Ulteriore ........... .. .... .........
53. Quando sono raccolti sulla base del ........ . ..... .... '........ ., ......... ., .....
direttiva e -privacy o sulla base di una delle deroghe di cui all 'articolo 5, paragrafo 3 e sono
successivamente trattati conformemente all 'articolo 6 del GDPR, i dati possono essere
sottoposti a un ulteriore ........... ........ .. .. ........ ... ........... ...... ..
ulterio re ........ ... .... .......à ....... . è .. ..... .. .......... ... .. ........... è
basato su l diritto dell 'Unione o degli Stati membri ai fini del la salvaguardia degli obiettivi di
cui all 'articolo 23, paragrafo 1, del GDPR 35. L 'EDPB ritiene che l 'ulteri ore ........... .....
base della verifica di compatibilità ai sensi dell 'articolo 6, paragrafo 4, del .... ... ...
possibile in tali casi, in quanto pregiudicherebbe il livello di protezione dei dati offerto dalla
direttiva e -privacy. Infatti il consenso, ove previsto dalla direttiva e -privacy, deve essere
specifico e informato; ciò significa che gli interessati devono essere al corrente della finalità
di ciascun ........... .. .... . ..... .. ....... .. ......... .......à .......... ... .. ..... ..
ritenere possibile l 'ulteriore ........... ..... .... .. ... ........ .. ............à .. .....
dell 'articolo 6, paragrafo 4, del .... .......... .. ......... ...... ... ......... ... ........
stabiliti dalla direttiva vigente.
54. L'EDPB ricorda che il ........ ...... .. ... ..........à ... . '......... ..........., .. ......
il ........ è ...... .... .. ......... . ..........
35Cfr. anche comitato europeo per la protezione dei dati, Guidelines 10/2020 on restrictions under Article 23
GDPR . 36Linee guida 5/2020, sezioni 3.2 e 3.3.

Adottato 16
55. Ad esempio i dati di telemetria, che sono raccolti durante l 'utilizzo del veicolo a scopo di
manutenzione, non possono essere comunicati alle comp agnie di assicurazione dei veicoli a
motore senza il ........ ..... ...... .. .... ..... ............ ... .......... . .....
conseguente offerta di polizze assicurative basate sulla condotta di guida.
56. Inoltre i dati raccolti dai veicoli connessi possono e ssere trattati dalle autorità di contrasto
per rilevare violazioni dei limiti di velocità o altre infrazioni se e quando sono soddisfatte le
condizioni specifiche della direttiva sulla protezione dei dati nelle attività di polizia e
giudiziarie. In questo caso tali dati saranno considerati relativi a condanne penali e reati in
base alle condizioni stabilite dall 'articolo 10 del .... . . .... ............ .........
eventualmente applicabile. I costruttori possono fornire tali dati alle autorità di contrasto
qualora siano soddisfatte le condizioni specifiche per tale trattamento. L 'EDPB sottolinea
che il ........... .. .... ......... .......... .. .... ..... .. .......... .. ......... .....
autorità di contrasto non costituisce una finalità determinata, esplici ta e legittima ai sensi
dell 'articolo 5, paragrafo 1, lettera b), del GDPR. Quando sono autorizzate dalla legge, le
autorità di contrasto potrebbero costituire "terzi "ai sensi dell 'articolo 4, punto 10, del
GDPR; in questo caso i costruttori sarebbero aut orizzati a trasmettere loro i dati di cui
dispongono nel rispetto delle disposizioni di legge pertinenti di ciascuno Stato membro.
1.5.4 Raccolta di dati eccedenti
57. Il continuo aumento del numero di sensori integrati nei veicoli connessi comporta il rischio
assa i elevato di una raccolta di dati eccedenti rispetto a quell inecessari allo scopo.
58. Lo sviluppo di nuove funzionalità, più specificamente quelle basate su algoritmi di
apprendimento automatico ( machine learning ), potrebbe rendere necessaria la raccolta di
una grande quantità di dati per un periodo di tempo prolungato.
1.5.5 Sicurezza dei dati personali
59. L'ampia gamma di funzionalità, servizi e interfacce (ad esempio web, USB, RFID, Wi -Fi)
offerta dai veicoli connessi aumenta la superficie di attacco e dunque il numero di
vulnerabilità potenziali attraverso cui i .... ......... .......... ...... ............ .
differenza della maggioranza dei dispositivi IoT, i veicoli connessi sono sistemi critici in cui
una violazione della sicurezza potrebbe mettere a repentagl io la vita degli utilizzatori e delle
persone che si trovano nelle vicinanze. È dunque ancora più importante affrontare il rischio
rappresentato dalla possibilità che gli hacker tentino di sfruttare le vulnerabilità dei veicoli
connessi.
60. Inoltre i dati pe rsonali memorizzati nei veicoli e/o in ambiti esterni (ad esempio le
infrastrutture di cloud computing ) devono essere adeguatamente protetti dall 'accesso non
autorizzato. Ad esempio durante un intervento di manutenzione il veicolo sarà affidato a un
meccan ico che avrà bisogno di accedere ad alcuni dati tecnici. Il meccanico deve poter
accedere ai dati tecnici ,ma potrebbe tentare di accedere a tutti i dati memorizzati nel
veicolo.

Adottato 17
2 RACCOMANDAZIONI GENE RALI
61. Al fine di attenuare i suddetti rischi per gli inte ressati, si invitano produttori di veicoli e di
accessori, ......... .. ....... . .... ..... ..... ........... ... ...... .. ......à .. ........ .
di ............ ... ........... .. ......... .. ....... ........ . ....... ......
raccomandazioni di caratt ere generale formulate nei paragrafi seguenti .
2.1 Categorie di dati
62. Come osservato nell 'introduzione, i dati associati ai veicoli connessi saranno da ritenersi per
la maggior parte .... ......... ..... ...... .. ... .... ............. .. ... . ..ù .......
identificabili. Ciò vale anche per i dati tecnici relativi agli spostamenti del veicolo (ad esempio
velocità o distanza percorsa) e allo stato del veicolo (ad esempio temperatura del liquido di
raffreddamento del motore, regime del mot ore, pressione degli pneumatici). Taluni dati
generati dai veicoli connessi potrebbero meritare particolare attenzione anche per via della
loro sensibilità e/o del loro potenziale impatto sui diritti e sugli interessi degli interessati.
L'EDPB ha individua to tre categorie di .... ......... .. ... . .......... .. ....... . .........,
i ......... .. ....... . ..... ........ ... ........... .......... ..... ........... ..........:
dati relativi all 'ubicazione, .... .......... (. ......... ......... ........... .. .... .. ...
all 'articolo 9 del GDPR) e dati che potrebbero rivelare reati o violazioni del codice della
strada.
2.1.1 Dati relativi all 'ubicazione
63. Nella raccolta di .... ......... . .......... .. ....... . ........., . ......... .. ....... . .....
titolari del ........... .......... ...... ........ ... . .... ........ ... '.......... ....
particolarmente atti a fornire indicazioni sulle abitudini di vita degli interessati. I viaggi
effettuati hanno la particolare caratteristica di permettere di risalire al lu ogo di lavoro e di
residenza, nonché ai centri di interesse (svago) del conducente e possono eventualmente
rivelare informazioni sensibili quali il credo religioso (attraverso il luogo di culto )oppure
l'orientamento sessuale (sulla base dei luoghi visitat i). Pertanto i produttori di veicoli e
accessori, i ......... .. ....... . ..... ........ ... ........... .......... ..... .... .. ...
raccogliere dati relativi all 'ubicazione tranne qualora ciò sia assolutamente necessario per
la finalità del trattamento. A titolo di esempio , laddove il ........... ........
nel l’individuare il movimento del veicolo ,il giroscopio è sufficiente allo scopo e non è
necessario raccogliere dati relativi all 'ubicazione.
64. In generale la raccolta di dati relativi all 'ubicazione deve rispettare anche i principi seguenti:
 configurazione adeguata della frequenza di accesso ai dati relativi all 'ubicazione, e del loro
livello di dettaglio, in relazione alla finalità del trattamento. Ad esempio un 'applicazione per le
previsi oni del tempo non dovrebbe essere in grado di accedere ogni secondo alla posizione del
veicolo, nemmeno qualora l 'interessato abbia espresso il proprio consenso;
 comunicazione di informazioni accurate sulla finalità del ........... (.. ....... ..
cronologi a delle localizzazioni è conservata? Se lo è, a che scopo?);
 quando il ........... è ...... ... ........, ........... .. .. ........ ...... (......,
specifico e informato) che sia distinto dalle condizioni generali di vendita o di utilizzo, ad
esempio sul computer di bordo;

Adottato 18
 attivazione della localizzazione non per impostazione predefinita e in maniera continuativa fin
dall 'avvio del veicolo, ma soltanto quando l 'utente attiva una funzionalità che richiede di
localizzare i l veicolo;
 comunicazione all 'utente del fatto che la funzione di localizzazione è stata attivata, in
particolare mediante l 'utilizzo di icone (ad esempio una freccia che si sposta sul display);
 possibilità di disattivare la localizzazione in qualsiasi momento;
 definizione di un periodo di conservazione limitato.
2.1.2 Dati biometrici
65. Nel contesto dei veicoli connessi i .... .......... .......... .. .... .. ............ .. ....
univoco una persona fisica possono essere trattati, tra l 'altro, limitatamente a quanto
previsto dall 'articolo 9 del .... . .. .... .... ....... ........., ... .......... . '....... .
un veicolo, l 'autenticazione del conducente/proprietario e/o l 'accesso alle impostazioni del
profilo e alle preferenze del conducente. Nel valutare il possibile u tilizzo di dati biometrici,
al fine di garantire all 'interessato il pieno controllo sui dati che lo riguardano è necessario,
da un lato, prevedere l 'esistenza di un 'alternativa non biometrica (ad esempio l 'utilizzo di
una chiave o di un codice) senza ulter iori vincoli (in altri termini l 'uso di .... .......... ...
dovrebbe essere obbligatorio) e, dall 'altro lato, conservare e confrontare il modello
biometrico in forma cifrata solo a livello locale, senza che i .... .......... ..... ........ ..
un terminale di lettura/raffronto esterno.
66. Nel caso dei dati biometrici 37 è importante garantire che la soluzione di autenticazione
biometrica sia sufficientemente affidabile, in particolare rispettando i principi seguenti:
 l'adeguamento della soluzione biometrica utili zzata (ad esempio il tasso di falsi positivi e falsi
negativi) è funzionale al livello di sicurezza del controllo degli accessi richiesto;
 la soluzione biometrica utilizzata si basa su un sensore resistente agli attacchi (ad esempio
utilizzo di impronte pi ane per il riconoscimento delle impronte digitali);
 il numero di tentativi di autenticazione è limitato;
 il modello biometrico è memorizzato nel veicolo in forma cifrata utilizzando un algoritmo
crittografico e una gestione delle chiavi adeguati allo stat o dell 'arte;
 i dati grezzi utilizzati per l 'elaborazione del modello biometrico e per l 'autenticazione
dell 'utente sono trattati in tempo reale senza mai essere archiviati, neppure localmente.
2.1.3 Dati che rivelano reati o altre violazioni
67. Ai fini del tratta mento di dati relativi a potenziali reati ai sensi dell 'articolo 10 del GDPR ,
l'EDPB raccomanda di ricorrere al ........... ...... ... ...., ... ..... . '........... .. ..
pieno controllo (cfr. le considerazioni relative al ........... ...... ..... ....... ...). ..
realtà, fatte salve alcune eccezioni (cfr. gli studi sull 'incidentalità illustrat inella sezione 3.3),
il ........... ....... .. .... ... ........ ..... . ..... .......... è ........ ........ .. ....
alla sensibilità dei dati è necessario porre in essere misure di sicurezza efficaci come quelle
37Il principio di divieto di cui all'articolo 9, paragrafo 1, del .... ........ .............. . " .... ..........
intesi a identificare in modo univoco una persona fisica ".

Adottato 19
descritte nella sezione 2.7, al fine di of frire una protezione contro l 'accesso, la modifica e la
cancellazione illeciti di tali dati.
68. Alcune categorie di .... ......... ........... ... ....... ........ .......... ........ ... è
stato commesso o è in corso di commissione un reato o un altro tipo d i violazione ( "dati
relativi ai reati ") e pertanto potrebbero essere soggette a particolari restrizioni (ad esempio
dati indicanti che il veicolo ha oltrepassato una striscia bianca, dati relativi alla velocità
istantanea di un veicolo combinati con dati s ulla localizzazione esatta). In particolare qualora
tali dati siano trattati dalle autorità nazionali competenti a fini di indagine penale e
perseguimento di reati, si applicherebbero le garanzie previste all 'articolo 10 del GDPR.
2.2 Finalità
69. I dati personal i possono essere trattati per una vasta gamma di finalità in relazione ai veicoli
connessi, tra cui la sicurezza del conducente, l 'assicurazione, il trasporto efficiente,
l'intrattenimento o i servizi di informazione. Conformemente al .... . ........ ...
trattamento devono garantire che le finalità perseguite siano "determinate, esplicite e
legittime ", che i dati siano successivamente trattati in un modo che non sia incompatibile
con tali finalità e che vi sia una valida base giuridica per il ........... .. ..... ......
previsto all 'articolo 5 del GDPR. Alcuni esempi concreti di finalità perseguite dai titolari del
trattamento che operano nel contesto dei veicoli connessi sono illustrati nella parte III delle
presenti linee guida, in cui sono inoltre formulat e raccomandazioni specifiche per ciascuna
tipologia di trattamento.
2.3 Pertinenza e min imizzazione dei dati
70. Al fine di rispettare il principio della min imizzazione dei dati 38 iproduttori di veicoli e
accessori, i ......... .. ....... . ..... ........ ... ... ........ .......... ........ ...........
attenzione alle categorie di dati che essi hanno la necessità di ottenere da un veicolo
connesso, giacché sono tenuti a raccogliere soltanto .... ......... .......... . ......... ..
trattamento. Ad esempio i dati re lativi all 'ubicazione sono particolarmente invasivi e
possono rivelare molte delle abitudini di vita degli interessati. Pertanto gli operatori del
settore dovrebbero avere particolare cura di evitare la raccolta di dati relativi all 'ubicazione
tranne qualo ra essa sia assolutamente necessaria rispetto alla finalità del ........... (....
la sezione 2.1. e le considerazioni ivi contenute riguardo ai dati relativi all 'ubicazione).
2.4 Protezione dei dati fin dalla progettazione e protezione per impostazione
predefi nita
71. Tenuto conto del volume e della varietà dei .... ......... ........ ... ....... ........,
l'EDPB rileva che i titolari del ........... .... ...... . ......... ... .. .......... ..........
nel contesto dei veicoli connessi siano configurate in maniera da rispettare la vita privata
delle persone applicando gli obblighi in materia di protezione dei dati fin dalla progettazione
e per impostazione predefinita di cui all 'articolo 25 del GDPR. Le tecnologie dovrebbero
essere progettate in modo da min imizzare la raccolta di dati personali, fornire impostazioni
predefinite a tutela della vita privata e garantire che gli interessati siano correttamente
informati e abbiano la possibilità di modificare agevolmente le configura zioni associate ai
loro dati personali. A beneficio del settore e dei ......... ..... .. ............ ........ ......
utile fornire orientamenti specifici sulle modalità con cui case produttrici e ......... .. .......
38Articolo 5, paragrafo 1, lettera c), del GDPR.

Adottato 20
possono adempiere agli obblighi in ma teria di protezione dei dati fin dalla progettazione e
per impostazione predefinita.
72. Talune prassi di carattere general e, descritte in appresso, possono anch 'esse contribuire a
ridurre i rischi per i diritti e le libertà delle persone fisiche associati ai veicoli connessi 39.
2.4.1 Trattamento locale di dati personali
73. In generale i produttori di veicoli e accessori, i ......... .. ....... . ..... ........ ...
trattamento dovrebbero, per quanto possibile, utilizzare processi che non prevedano l 'uso
di dati persona li o il trasferimento di .... ......... ... '....... ... ....... (..... . ....
dovrebbero essere trattati internamente). Tuttavia, per loro stessa natura, i veicoli connessi
presentano di fatto alcuni rischi, ad esempio la possibilità di attacchi al trattam ento svolto
in sede locale da parte di soggetti esterni ,o fughe di dati locali mediante la vendita di parti
del veicolo. È dunque opportuno prestare particolare attenzione e prevedere l 'adozione di
misure di sicurezza adeguate per garantire che i dati con tinuino ad es sere trattati solo
localmente. Tale scenario offre il vantaggio di garantire all 'utente il pieno ed esclusivo
controllo dei .... ......... ... .. .......... ., ... .... ......., ........, "... .....
progettazione ",minori rischi per la tutela della vita privata soprattutto perché vieta alle parti
interessate di effettuare il ........... ... '........ .... '............ .... ........ ....... ..
trattamento di dati sensibili, quali .... .......... . .... ........ . ..... . ..... ..........,
nonché di dati dettagliati relativi all 'ubicazione ,che sarebbe altrimenti soggetto a norme più
stringenti (cfr. in appresso). Analogamente tale approccio presenta min ori rischi per la
cibersicurezza e comporta una min ore latenza, il che lo rende particolarmente indicato per
le funzioni di assistenza alla guida automatizzata. Di seguito si forniscono alcuni esempi di
questo tipo di soluzione:
 applicazioni di guida ecologica che trattano dati nel veicolo per mostrare in tempo reale sul
display di bordo consigli in materia di guida ecologica;
 applicazioni che comportano il trasferimento di .... ......... . .. ........... .... ..
esempio uno smartphone sotto il pieno controllo dell 'utente (ad esempio tramite Bluetooth o
Wi -Fi) e nelle quali i dati del veicolo non so no trasmessi al fornitore dell 'applicazione o al
produttore del veicolo; un esempio potrebbe essere costituito dall 'associazione dello
smartphone per l 'utilizzo del display della vettura, dei sistemi multimediali, del microfono (o
di altri sensori) per le telefonate ecc., nella misura in cui i dati raccolti rimangano sotto il
controllo dell 'interessato e siano utilizzati esclusivamente per fornire il servizio da questi
richiesto;
 applicazioni di bordo per il miglioramento della sicurezza, ad esempio quelle che prevedono la
trasmissione di segnali acustici o di vibrazioni del volante quando il conducente sorpassa una
vettura senza azionare la freccia o supera una linea bianca, o che forniscono avvisi sullo stato
del veicolo (ad esempio sull 'usura delle pastig lie dei freni);
 applicazioni per lo sblocco, l 'avvio e/o l 'attivazione di determinati comandi del veicolo
mediante i .... .......... ... .......... ........... ... '....... ... ....... (.. .......
modelli facciali o vocali o particolarità delle impronte di gitali).
39Cfr. anche comitato europeo per la protezione dei dati, Linee guida 4/2019 sull'articolo 25 -Protezione dei
dati fin dalla progettazione e per imposta zione predefinita , Versione 2.0, adottate il 20 ottobre 2020 (di seguito
"linee guida 4/2019").

Adottato 21
74. Applicazioni come quelle s opra indicate comportano un ........... .......... .. ...
persona fisica per l 'esercizio di attività a carattere esclusivamente personale (ossia senza il
trasferimento di .... ......... . .. ........ . . .. ............ ... ...........). ..
conformità con l 'articolo 2, paragrafo 2, del GDPR, tali applicazioni esulano pertanto
dall 'ambito di applicazione del GDPR.
75. Tuttavia, sebbene il .... ... .. ........ .. ........... .. .... ......... .......... .. ...
persona fisica per l 'esercizio di attività a carattere esclusivamente personale o domestico,
conformemente al suo considerando 18 esso si applica invece ai titolari o ai responsabili del
trattamento che forniscono i mezzi per trattare .... ......... .... '...... .. .... . ......à .
carattere personale o domestico ( produttori automobilistici, ......... .. ....... ....).
Quando agiscono in qualità di titolari o di responsabili del trattamento, tali soggetti devono
pertanto sviluppare un 'applicazione di bordo sicura ,nel risp etto del principio di tutela della
vita privata fin dalla progettazione e per impostazione predefinita. Ad ogni modo ,
conformemente al considerando 78 del GDPR "(i)n fase di sviluppo, progettazione, selezione
e utilizzo di applicazioni, servizi e prodotti basati sul ........... .. .... ......... . ...
trattano .... ......... ... ........ .. .... ........, . .......... ... ........, ... ....... .
delle applicazioni dovrebbero essere incoraggiati a tenere conto del diritto alla protezione
dei dati allorché sv iluppano e progettano tali prodotti, servizi e applicazioni e, tenuto debito
conto dello stato dell 'arte, a far sì che i titolari del ........... . . ............ ...
trattamento possano adempiere ai loro obblighi di protezione dei dati "40. Da un lato quest o
processo migliorerà lo sviluppo di servizi incentrati sull 'utente e, dall 'altro lato, faciliterà e
consentirà in futuro eventuali utilizzi successivi che potrebbero rientrare nell 'ambito di
applicazione del GDPR. Più specificamente l 'EDPB raccomanda di s viluppare una piattaforma
applicativa di bordo sicura, fisicamente separata dalle funzioni della vettura legate alla
sicurezza, affinché l 'accesso ai dati del veicolo non dipenda da capacità cloud esterne non
necessarie.
76. Ogniqualvolta possibile ,iprodutto ri di autovetture e i ......... .. ....... ..........
prendere in considerazione la possibilità di un ........... ...... ... .... .. .... .. .........
i rischi potenziali del ........... .. ..... , ..... ......... ... ...... ... ..... ......... ...
Gruppo d i lavoro Articolo 29 41.
77. In generale gli utenti dovrebbero essere in grado di controllare la modalità con cui i propri
dati sono raccolti e trattati all 'interno del veicolo:
 le informazioni relative al ........... ...... ...... ....... ..... ...... ... .... ......
(manuale, impostazioni ecc.);
 l'EDPB raccomanda di sottoporre a trattamento ,per impostazione predefinita ,soltanto i dati
strettamente necessari al funzionamento del veicolo. Gli interessati dovrebbero avere la
possibilità di attivare o disattivare il ........... ... .... ... .... ..... .......à . .. ..... ..
ogni altro titolare/responsabile del trattamento nonché di cancellare i dati in questione,
tenendo conto della finalità e della base giuridica del trattamento;
 i dati non dovrebbero essere trasmessi a terzi (ossia l 'utente ha accesso esclusivo ai dati);
40Per ulteriori raccomandazioni in materia di tutela della vita privata fin dalla progettazione e per impostazione
predefinita, cfr. anche le linee guida 4/2019 . 41Gruppo di lavoro Articolo 29 –Parere 05/2012 sul cloud computing ,https://ec.europa.eu/justice/article -
29/documentation/opinion -recomm endation/files/2012/wp196_it.pdf .

Adottato 22
 i dati dovrebbero essere conservati soltanto per il periodo di tempo necessario alla prestazione
del servizio o secondo quanto altrimenti previsto dal diritto dell 'Unione o degli Stati membri;
 gli interessati dovrebbero essere in grado di cancellare definitivamente qualsiasi dato
personale prima che i veico li siano messi in vendita;
 gli interessati dovrebbero, ove fattibile, avere un accesso diretto ai dati generati da tali
applicazioni.
78. Infine, sebbene non sia sempre possibile ricorrere al ........... ...... ... .... .... . '...,
spesso potrà essere predisp osto un "trattamento ibrido ". Ad esempio, nel contesto
dell 'assicurazione basata sull 'uso del veicolo , i .... ......... ........ .... ........ .. .....
(ad esempio la forza esercitata sul pedale del freno, il chilometraggio percorso ecc.)
potrebbero essere trattati all 'interno del veicolo oppure dal fornitore di servizi telematici
per conto dell 'impresa di assicurazione (il ........ ... ...........) ...ì .. ........
punteggi numerici da trasmettere a quest 'ultima con una frequenza prestabilita (ad esempio
su base mensile). In tal modo l 'impresa di assicurazione non avrà accesso ai dati grezzi sulla
condotta di guida ma potrà accedere soltanto al punteggio aggregato, che è il risultato del
trattamento. Il rispetto del principio di min imizzazione dei dati è co sì garantito sin dalla
progettazione. Ciò significa anche che gli utenti devono avere la possibilità di esercitare i
loro diritti quando i dati sono conservati da altri soggetti: ad esempio l 'utente dovrebbe
avere la possibilità di cancellare i dati conser vati nei sistemi di un 'officina di riparazione o di
una concessionaria alle condizioni stabilite dall 'articolo 17 del GDPR.
2.4.2 Anonimizzazione e pseudonimizzazione
79. Qualora sia prevista la trasmissione di .... ......... ... '....... ... ......., .......
opport uno valutare la possibilità di renderli anonimi prima della loro trasmissione. In fase di
anonimizzazione il ........ ... ........... ........ ...... ..... .. ..... . ........... ...
potrebbero potenzialmente condurre alla re -identificazione dei dati, ad e sempio la
trasmissione di dati anonimizzati localmente. L 'EDPB ricorda che i principi di protezione dei
dati non si applicano alle informazioni anonime, vale a dire alle informazioni che non si
riferiscono a una persona fisica identificata o identificabile o a .... ......... ....
sufficientemente anonimi da impedire o da non consentire più l 'identificazione
dell 'interessato 42. Una volta che un insieme di dati è reso effettivamente anonimo e le
persone non sono più identificabili, le norme europee in materia di protezione dei dati non
sono più applicabili. Pertanto l 'anonimizzazione, ove pertinente, potrebbe costituire una
strategia valida per preservare i vantaggi e attenuare i rischi relativi ai veicoli connessi.
80. Come precisato nel parere del Gruppo di lavo ro Articolo 29 sulle tecniche di
anonimizzazione, per conseguire l 'anonimizzazione dei dati si possono utilizzare vari metodi,
talvolta in combinazione tra loro 43.
81. Altre tecniche come ad esempio la pseudonimizzazione 44 possono contribuire a ridurre i
rischi generati dal ........... ... ...., ....... ..... ..., ..... ........... ... ...., ...
conseguire la finalità del ........... ... .... ......... .... ............ ............... ..
42Cfr. l'articolo 4, punto 1, e il considerando 26 del GDPR.43Gruppo di lavoro Articolo 29 -Parere 05/2014 sulle tecniche di anonimizzazione,
https://ec.europa.eu/justice/article -29/documentation/opinion -recommendation/files/2014/wp216_it.pdf . 44Articolo 4, punto 5, del GDPR. Relazione dell'Enisa del 3 dicembre 2019,
https://www.enisa.europa.eu/publications/pseudonymisation -techniques -and -best -practices .

Adottato 23
pseudonimizzazione, se rafforzata d a garanzie di sicurezza, migliora la protezione dei dati
personali riducendo i rischi di abuso. A differenza dell 'anonimizzazione, la
pseudonimizzazione è reversibile e i dati pseudonimizzati sono considerati dati personali
soggetti al GDPR.
2.4.3 Valutazioni d 'impatto sulla protezione dei dati
82. Alla luce della portata e della sensibilità dei .... ......... ... ....... ...... ........
attraverso i veicoli connessi è probabile che il trattamento, soprattutto in situazioni nelle
quali i .... ......... .... ........ ... '....... ... ......., ......... ...... .. ....... .......
per i diritti e le libertà delle persone. In tali casi gli operatori del settore saranno tenuti a
effettuare una valutazione d 'impatto sulla protezione dei dati al fine di individuare e
attenuar e i rischi secondo quanto previsto agli articoli 35 e 36 del GDPR. Anche laddove la
valutazione d 'impatto sulla protezione dei dati non sia necessaria, è buona prassi
effettuarne una quanto prima nella fase di progettazione. Ciò consentirà agli operatori d el
settore di integrare i risultati di tale analisi nelle rispettive scelte di progettazione prima della
diffusione di nuove tecnologie.
2.5 Informazione
83. Prima del ........... ... .... ........., .... ....... ... '........... ............
riguardanti l 'identità del ........ ... ........... (.. ....... .. .......... .. ....... .
accessori o il fornitore di servizi), la finalità del trattamento, i destinatari dei dati, il periodo
di conservazione dei dati e i diritti dell 'interessato a norma del GDPR 45.
84. Ino ltre il produttore di veicoli e accessori, il fornitore di servizi e ogni altro ........ ...
trattamento dovrebbero fornire all 'interessato, in termini chiari, semplici e facilmente
accessibili, anche le informazioni seguenti:
 i dati di contatto del respo nsabile della protezione dei dati;
 le finalità del ........... ... .... ......... . .... ......... .....é .. .... ......... ...
trattamento;
 il riferimento esplicito ai legittimi interessi perseguiti dal ........ ... ........... . .. .....
qualora tali l egittimi interessi costituiscano la base giuridica del trattamento;
 gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
 il periodo di conservazione dei .... ......... ......, .. ... è ........., . ....... .......... ...
determinare tale periodo;
 l'esistenza del diritto dell 'interessato di chiedere al ........ ... ........... . '....... .. ....
personali e la rettifica o la cancellazione degli stessi o la ........... ... ........... ... ....
personali che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla ..........à ...
dati;
45Articolo 5, paragrafo 1, lettera a), e articolo 13 del GDPR. Cfr. anche il documento del Gruppo di lavoro
Articolo 29 Linee guida sulla trasparenza ai sensi del regolamento 2016/679 (wp260rev.01), approvato
dall'EDPB.

Adottato 24
 l'esistenza del diritto di revocare il ........ .. ......... ....... ..... ............ .. ......à
del ........... ...... ... ........ ........ ..... ..... ...... ....... .. ........... ...
basato sul consenso;
 ove applicabile, l 'intenzione del ........ . .. ........... .. .......... .... ......... . .. .....
terzo o a un 'organizzazione internazionale e il riferimento alle garanzie utilizzate per il
trasferimento;
 se la comunicazione di .... ......... è .. ....... ...... . ............ ...... .. .........
necessario per la conclusione di un contratto, e se l 'interessato ha l 'obbligo di fornire i dati
personali nonché le possibili conseguenze della mancata comunicazione di tali dati;
 l'esistenza di un processo decisionale automatizzato, compresa la profilaz ione, che produca
effetti giuridici che riguardano l 'interessato o che incida in modo analogo significativamente
sulla sua persona, e informazioni significative sulla logica utilizzata, nonché l 'importanza e le
conseguenze previste di tale ........... ... .'............ .. ...... ....... ........ ......
costituito dalla fornitura a persone fisiche di polizze di assicurazione basate sull 'uso del veicolo ;
 il diritto di proporre reclamo a un 'autorità di controllo;
 informazioni relative all 'ulteriore trattame nto;
 in caso di contitolarità del trattamento, informazioni chiare e complete sulle responsabilità di
ciascun ........ ... ............
85. In alcuni casi i .... ......... ... .... ........ ............ ...... . '............ .. .......
un produttore di veicol i e accessori potrebbe affidare a un concessionario la raccolta di
informazioni sul proprietario del veicolo in modo tale da offrire un servizio di assistenza
stradale di emergenza. Quando la raccolta dei dati non è diretta, il produttore di veicoli e
acce ssori, il fornitore di servizi o un altro ........ ... ..........., ..... . ....... ..
informazioni di cui sopra, deve indicare le categorie di .... ......... ..........., ..
provenienza dei .... ......... ., .. ... ...., ........... .. .... .... ......... . .. .....
pubblicamente disponibili. Il ........ ... ........... .... ....... .... ............ ..... ..
termine ragionevole dall 'ottenimento dei dati e non oltre il più breve fra i termini seguenti
conformemente all 'articolo 14, paragrafo 3, del GDPR: i) entro un mese dall 'ottenimento dei
dati, in considerazione delle specifiche circostanze in cui i .... ......... .... ........, ..) ..
momento della prima comunicazione all 'interessato, oppure iii) se i dati sono trasmessi a un
terzo, prima della trasmissi one.
86. Potrà inoltre essere necessario fornire nuove informazioni agli interessati nel caso in cui
subentri un nuovo ........ ... ............ .. ........ .. .......... ........ ... ...........
con veicoli connessi può essere fornito da diversi titolari del trattamento a seconda del
paese o della regione in cui è richiesta l 'assistenza. I nuovi titolari del trattamento
dovrebbero fornire agli interessati le informazioni necessarie quando questi ultimi si
spostano da un paese all 'altro e i servizi che interagi scono con i veicoli connessi sono forniti
da nuovi titolari del trattamento.
87. Le informazioni possono essere fornite agli interessati secondo un approccio multilivello 46,
ossia distinguendo fra due livelli di informazioni: da un lato le informazioni di primo livello,
46Cfr. il documento del Gruppo di lavoro Articolo 29 Linee guida sulla trasparenza ai sensi del regolamento
2016/679 (wp260rev.01), approvato dall'EDPB.

Adottato 25
che sono le più importanti per gli interessati e, dall 'altro lato, le informazioni che si presume
siano di interesse in una fase successiva. Le informazioni essenziali di primo livello
comprendono, oltre all 'identità del ........ ... ..........., .. .......à ... ........... . ...
descrizione dei diritti dell 'interessato, così come ogni altra informazione sul ........... ...
ha il maggiore impatto sull 'interessato e su trattament iche potrebbe ro coglierlo di sorpresa.
Per i veicoli connessi l 'EDPB raccomanda che l 'interessato sia informato di tutti i destinatari
attraverso le informazioni di primo livello . Come indicato dal Gruppo di lavoro Articolo 29
nelle linee guida sulla trasparenza, i titolari del ........... .......... ....... ...
destinatari le informazioni più pregnanti per gli interessati. In pratica si tratterà solitamente
dei nomi dei destinatari, in maniera tale che gli interessati sappiano con precisione chi è in
possesso dei .... ......... ... .. ........... .. . ........ ... ......... .. ... .... .. .....
di fornire i nomi dei destinatari, le informazioni dovrebbero essere quanto più specifiche
possibile e indicare la tipologia del destinatario (ad esempio facendo riferimento alle attività
svolte), l 'ambito di attività, il settore, il c omparto e la sede dei destinatari.
88. Gli interessati possono essere informati mediante clausole concise e facilmente
comprensibili contenute nel contratto di vendita del veicolo, oppure nel contratto di
prestazione di servizi e/o in qualsiasi supporto scritt o, utilizzando documenti distinti (ad
esempio il manuale o il libretto di manutenzione del veicolo) oppure il computer di bordo.
89. In aggiunta alle informazioni necessarie si potrebbe fare ricorso a icone standardizzate,
secondo quanto previsto dagli artico li 13 e 14 del GDPR, al fine di aumentare la trasparenza
riducendo potenzialmente la necessità di presentare all 'interessato grandi quantità di
informazioni scritte. Le icone dovrebbero essere visibili nei veicoli così da fornire, in maniera
comprensibile e chiaramente leggibile, un quadro d 'insieme del ........... .........
L'EDPB sottolinea l 'importanza di standardizzare le icone, affinché l 'utente ritrovi gli stessi
simboli indipendentemente dalla marca o dal modello del veicolo. Ad esempio quando sono
raccolte determinate tipologie di dati, come dati relativi all 'ubicazione, i veicoli potrebbero
essere dotati di un a segnalazione a bordo (ad esempio una spia all 'interno del veicolo) che
informi i passeggeri della raccolta di dati.
2.6 Diritti dell 'interessat o
90. Iproduttori di veicoli e accessori, i ......... .. ....... . ..... ........ ... ...........
dovrebbero agevolare il controllo da parte degli interessati sui dati che li riguardano
durante l 'intero periodo del trattamento, attraverso strumenti specif ici che consentano agli
interessati di esercitare efficacemente i loro diritti, in particolare il diritto di accesso, di
rettifica, di cancellazione, il diritto di limitazione di ........... ., . ....... ..... ....
giuridica del trattamento, il diritto all a ..........à ... .... . .. ....... .. ............
91. Per facilitare le modifiche delle impostazioni sarebbe opportuno attivare un sistema di
gestione dei profili al fine di memorizzare le preferenze dei conducenti noti e aiutarli a
modificare facilmente, i n qualsiasi momento, le rispettive impostazioni sulla privacy. Il
sistema di gestione dei profili dovrebbe centralizzare ogni impostazione dei dati per ciascun
trattamento, soprattutto per facilitare l 'accesso, la cancellazione, l 'eliminazione e la
portabi lità dei .... ......... ........... ... ....... ... ....... .. ......... .... '............
I conducenti dovrebbero avere la possibilità di bloccare temporaneamente o
definitivamente, in qualsiasi momento, la raccolta di determinate tipologie di dati, salvo
qualora il ........ ... ........... ... ........... . .......... .. ........ .. ........... ....
sulla base di uno specifico fondamento giuridico. Nel caso di contratti che prevedono
un 'offerta personalizzata in base alla condotta di guida, ciò potrebbe c omportare per

Adottato 26
l'utente il conseguente ripristino delle condizioni contrattuali standard. Tali funzionalità
dovrebbero essere disponibili all 'interno del veicolo ma potrebbero essere messe a
disposizione degli interessati anche attraverso altri mezzi (ad es empio un 'applicazione
dedicata). Inoltre per consentire agli interessati di eliminare rapidamente e con facilità dati
personali che possono essere memorizzati nel quadro strumenti della vettura (ad esempio
cronologia della navigazione GPS, navigazione sul web ecc.) l 'EDPB raccomanda ai
costruttori di fornire una funzionalità semplice (ad esempio un pulsante di cancellazione).
92. Anche la vendita di un veicolo connesso e il conseguente passaggio di proprietà dovrebbero
determinare la cancellazione di eventuali dati personali che non sono più necessari per le
finalità specifiche precedenti ,e l 'interessato dovrebbe essere in grado di esercitare il suo
diritto alla portabilità.
2.7 Sicurezza
93. Iproduttori di veicoli e accessori, i ......... .. ....... . ..... ........ ... ...........
dovrebbero porre in essere misure atte a garantire la sicurezza e la riservatezza dei dati
trattati e adottare tutte le precauzioni utili ad impedire che una persona non autorizzata
acquisisca il controllo dei dati. In particolare gli operatori del settore dovrebbero prendere
in considerazione l ’adozione del le misure seguenti:
 cifratura dei canali di comunicazione per mezzo di un algoritmo conforme allo stato dell 'arte;
 messa a punto di un sistema di gestione delle chiavi di cifrat ura che sia univoco per veicolo e
non per modello;
 laddove i dati siano conservati a distanza, cifratura mediante algoritmi conformi allo stato
dell 'arte;
 aggiornamento periodico delle chiavi di cifratura;
 protezione delle chiavi di cifratura dalla possi bile divulgazione;
 autenticazione dei dispositivi di ricezione di dati;
 misure atte a garantire l 'integrità dei dati (ad esempio mediante hashing );
 tecniche di autenticazione utente affidabili per l 'accesso ai .... ......... (........, ...........
elettr onico ecc.).
94. Per quanto riguarda, più specificamente, le case costruttrici , l'EDPB raccomanda di attuare
le misure di sicurezza seguenti:
 separazione delle funzioni vitali del veicolo da quelle che si basano costantemente sulle
capacità di telecomunicazi one (ad esempio "infotainment ");
 attuazione di misure tecniche che consentano alle case costruttrici di correggere rapidamente
le vulnerabilità di sicurezza durante la vita utile del veicolo;
 per quanto riguarda le funzioni vitali del veicolo, utilizzo p rioritario, nei limiti del possibile, di
mezzi di comunicazione sicuri specificamente dedicati al trasporto;

Adottato 27
 creazione di un sistema di allarme in caso di attacco ai sistemi del veicolo, con la possibilità di
attivare l 'esercizio in modalità degradata 47;
 conservazione della cronologia degli accessi al sistema informatico del veicolo, ad esempio
limitata ai sei mesi precedenti, per consentire di individuare l'origine di un potenziale attacco
e di eseguire periodicamente un esame delle informazioni registrate in modo da individuare
eventuali anomalie.
95. Queste raccomandazioni generali dovrebbero essere integrate da requisiti specifici che
tengano conto delle caratteristiche e della finalità di ciascun trattamento.
2.8 Trasferimento di .... ......... . .....
96. In linea di massima soltanto il ........ ... ........... . . '........... ..... ....... .. ....
generati da un veicolo connesso. Il ........ ... ........... ..ò ........ ........... ....
personali a un partner commerciale (destinatario), nella misura in cui tale tr asmissione si
fondi su una delle basi giuridiche di cui all 'articolo 6 del GDPR.
97. Considerata la possibile sensibilità dei dati sull 'uso del veicolo (ad esempio viaggi effettuati,
stile di guida), l 'EDPB raccomanda di ottenere sistematicamente il consenso dell 'interessato
prima di trasmettere i suoi dati a un partner commerciale che agisca in qualità di ........ ...
trattamento (ad esempio mediante la selezione di una casella non preselezionata oppure,
ove tecnicamente fattibile, utilizzando un dispositivo fisico o logico a cui la persona possa
accedere dal veicolo). Il partner commerciale diventa, a sua volta, ............ ... .... ...
riceve ed è soggetto a tutte le disposizioni del GDPR.
98. Ilproduttore del veicolo, il fornitore di servizi o un altro titola re del ........... ..ò
trasmettere .... ......... . .. ............ ... ........... ... .........à .....
prestazione del servizio all 'interessato, fermo restando che il ............ ... ...........
non può utilizzare tali dati per i propri scopi. Titolari e responsabili del ........... ....
tenuti a redigere un contratto o un altro atto giuridico che specifichi gli obblighi di ciascuna
parte e richiami le disposizioni dell 'articolo 28 del GDPR.
2.9 Trasferimento di .... ......... .. .. ..... .... '../... ...
99. Qu ando i .... ......... .... .......... .. .. ..... ..... ...... ......... ....... ....
previste speciali garanzie per assicurare che il trasferimento avvenga in condizioni di
sicurezza.
100. Di conseguenza il ........ ... ........... ..ò .......... .... ......... . .. ............
soltanto nella misura in cui tale trasferimento abbia luogo in conformità con i requisiti di
cui al capo V del GDPR.
47La modalità degradata è una modalità di esercizio che garantisce le funzioni essenziali per l'utilizzo in
sicurezza del veicolo (ad esempio requisiti min imi di sicurezza), nonostante la disattivazione di altre funzionalità
meno importanti (ad esempio il f unzionamento del dispositivo di geoguida può essere considerato non
essenziale, a differenza dell'impianto frenante).

Adottato 28
2.10 Uso di tecnologie Wi -Fi di bordo
101. I progressi compiuti nel campo della tecnologia cellulare hanno reso possib ile l 'utilizzo
agevole di internet in viaggio. Oltre alla connettività Wi -Fi disponibile nel veicolo attraverso
l'hotspot di uno smartphone o un dispositivo dedicato (dongle [chiave meccanica] OBD -II,
router o modem wireless ecc.), oggi la maggioranza dell e case produttrici offre modelli che
includono una connessione dati cellulare integrata e sono anche in grado di creare reti Wi -
Fi. A seconda dei casi si dovranno prendere in considerazione vari aspetti:
la connettività Wi -Fi è offerta come servizio da un operatore del trasporto stradale, ad
esempio da un tassista ai suoi clienti. In questo caso il professionista o la sua azienda
potrebbe essere considerato un fornitore di servizi internet (ISP) e come tale essere
soggetto a particolari obblighi e restrizio ni riguardo al ........... ... .... ......... ...
suoi clienti;
la connettività Wi -Fi è ad uso esclusivo del conducente (non è disponibile per i passeggeri).
In tal caso il ........... ... .... ......... è ........... .. '.......à . .........
esclusivament e personale o domestico ai sensi dell 'articolo 2, paragrafo 2, lettera c), e del
considerando 18 del GDPR.
102. In generale il proliferare di interfacce di connessione a internet tramite Wi -Fi presenta
maggiori rischi per la tutela della vita privata delle per sone. In effetti attraverso i loro veicoli
gli utenti diventano emittenti continui e possono pertanto essere identificati e localizzati. Al
fine di impedire la localizzazione i produttori di veicoli e accessori dovrebbero quindi
predisporre opzioni "opt -ou t" di facile utilizzo atte a impedire il rilevamento
dell 'identificativo del servizio di rete ( Service Set Identifier o SSID) della rete Wi -Fi di bordo.
3 STUDI DI CASI
103. La presente sezione illustra cinque esempi specifici di ........... ... ........ ... ... ....
connessi, corrispondenti ad altrettanti scenari che potrebbero configurarsi per le parti
interessate del settore. Gli esempi riguardano ........... ... .......... ... ....... ..
calcolo non erogabile localmente nel veicolo e/o il trasferimento di dati personali a un
soggetto ..... ... . '.......... .. .. '......... ....... . .. ......... .. ......... ...........à .
distanza. Per ciascuna tipologia di trattamento sisp ecifica no le finalità previste, le categorie
di dati raccolti, il periodo di conservazione di tali dati, i diritti degli interessati, le misure di
sicurezza da attuare e i destinatari delle informazioni. Qualora alcuni di questi aspetti non
siano illustrati nel pro sieguo del documento, valgono le raccomandazioni generali formulate
nelle sezioni precedenti.
104. Gli esempi prescelti non sono esaustivi e intendono fornire un 'indicazione della varietà di
tipologie di trattamento, di basi giuridiche, di soggetti ecc. che pos sono intervenire nel
contesto dei veicoli connessi.
3.1 Prestazione di un servizio da parte di un terzo
105. Gli interessati possono stipulare un contratto con un fornitore di servizi per ricevere servizi
a valore aggiunto relativi al proprio veicolo. Ad esempio l'interessato potrebbe stipulare una
polizza di assicurazione basata sull 'uso che preveda uno sconto del premio assicurativo in
funzione del chilometraggio percorso ( "Pay As You Drive ") o della buona condotta di guida
("Pay How You Drive ") e che richieda i l monitoraggio delle abitudini di guida da parte

Adottato 29
dell 'impresa di assicurazione. L 'interessato potrebbe anche stipulare con una società un
contratto che offra assistenza stradale in caso di guasto e che comporti la comunicazione
della posizione del veicolo alla società, oppure con un fornitore di servizi per la ricezione di
messaggi o avvisi relativi al funzionamento del veicolo (ad esempio avvisi sullo stato di usura
dei freni o avvisi di manutenzione).
3.1.1 Assicurazione basata sull 'uso del veicolo
106. L'assicuraz ione "Pay as You Drive "è una tipologia di assicurazione basata sull 'uso del veicolo
che tiene traccia del chilometraggio percorso dal conducente e/o delle sue abitudini di guida
per differenziare e ricompensare i conducenti che guidano in condizioni di "sicurezza "
offrendo loro tariffe di premio scontate. L 'assicuratore inviterà il conducente a installare un
servizio telematico integrato, un 'applicazione mobile o ad attivare un modulo integrato dal
costruttore che tiene traccia dei chilometri percorsi e/o della condotta di guida (frenate,
accelerazione rapida ecc.) del contraente. Le informazioni raccolte dal dispositivo telematico
saranno utilizzate per assegnare al conducente un punteggio al fine di esaminare quali rischi
potrebbe presentare per l 'impresa di assicurazione.
107. Poiché l 'assicurazione basata sull 'uso del veicolo esige il ........ . ..... .... '........ .,
paragrafo 3, della direttiva e -privacy, l 'EDPB sottolinea che il contraente deve avere la
possibilità di scegliere una polizza di assicurazion e non basata sull 'uso. Se così non fosse il
consenso non sarebbe considerato liberamente prestato, giacché l 'esecuzione del contratto
sarebbe condizionata alla prestazione del consenso. Inoltre l 'articolo 7, paragrafo 3, del
GDPR stabilisce che l 'interessa to ha il diritto di revocare il consenso.
3.1.1.1 Base giuridica
108. Quando i dati sono raccolti attraverso un servizio di comunicazione elettronica accessibile
al pubblico (ad esempio attraverso la scheda SIM contenuta nel dispositivo telematico), sarà
necessario ottenere il ........ ... ...... ........ . ............ ..à .......... ... .......
come previsto dall 'articolo 5, paragrafo 3, della direttiva e -privacy. In questo contesto,
infatti, non è applicabile nessuna delle deroghe previste dalle suddette disposizioni: il
trattamento non è eseguito al solo fine di effettuare la trasmissione di una comunicazione
su una rete di comunicazione elettronica né riguarda un servizio della società
dell 'inf ormazione esplicitamente richiesto dall 'abbonato o dall 'utente. Il ........ ........
essere ottenuto al momento della conclusione del contratto.
109. Per quanto riguarda il ........... .. .... ......... .......... .. .. .............
sull 'apparecchiatura termin ale dell 'utente finale o all'accesso alla stessa, l 'impresa di
assicurazione può invocare l 'articolo 6, paragrafo 1, lettera b), del .... .. ...... .........
contesto, a condizione che sia in grado di stabilire che il ........... .. ..... .... '...... ..
un contratto validamente concluso con l 'interessato e che è necessario all 'esecuzione di tale
contratto. Nella misura in cui il ........... è .............. .......... ... . '..........
del contratto concluso con l 'interessato, l 'EDPB ritiene che l 'applicazio ne dell 'articolo 6,
paragrafo 1, lettera b), del .... ... ....... ... ....... .. ....... ........ ......... .......
dall 'articolo 5, paragrafo 3, della direttiva e -privacy in questo caso specifico. Tale
fondamento giuridico si configura attraverso la stip ula, da parte dell 'interessato, del
contratto con l 'impresa di assicurazione.

Adottato 30
3.1.1.2 Dati raccolti
110. I .... ......... .. ... ...... ..... .... .. ... ....:
 dati commerciali e dati relativi alle operazioni : informazioni di identificazione dell 'interessato,
dati relativi alle operazioni, dati relativi ai mezzi di pagamento ecc.;
 dati di utilizzo : .... ......... ........ ... ......., ......... .. ....., ......... ....
111. L'EDPB raccomanda che, nella misura del possibile e considerato il rischio che i dati raccolti
tramite la telematic box possano essere utilizzati impropriamente per creare un profilo
esatto degli spostamenti del conducente, i dati grezzi relativi alla condotta di guida siano
trattati:
 all 'interno del veicolo nelle telematic box o nello smartphone dell 'utente, in modo tale che
l'assicuratore abbia accesso soltanto ai dati dei risultati (ad esempio un punteggio relativo alle
abitudini di guida) e non ai dati grezzi dettagliati (cfr. la sezione 2.1);
 oppure dal fornitore di serviz i telematici per conto del ........ ... ........... (. '....... ..
assicurazione) per generare punteggi numerici che saranno trasferiti all 'impresa di
assicurazione con una frequenza prestabilita. In questo caso i dati grezzi devono essere
separati dai dati direttamente riferiti all 'identità del conducente. Ciò significa che il fornitore
di servizi telematici riceve i dati in tempo reale ma ignora i nomi, le targhe e altre informazioni
dei contraenti. Dall 'altro lato l 'assicuratore conosce i nomi dei contrae nti ma riceve soltanto i
punteggi e il chilometraggio totale e non i dati grezzi utilizzati per calcolare detti punteggi.
112. Occorre inoltre rilevare che laddove i soli dati necessari per l 'esecuzione del contratto siano
quelli relativi al chilometraggio ,i d ati relativi all 'ubicazione non devono essere raccolti.
3.1.1.3 Periodo di conservazione
113. Nel contesto del ........... .. .... .......... ... . '.......... .. .. ......... (..... ... ..
prestazione di un servizio) è importante distinguere due tipologie di dati pri ma di definirne
i rispettivi periodi di conservazione:
 dati commerciali e dati relativi alle operazioni: questi dati possono essere conservati in una
banca dati attiva per l 'intera ...... ... .......... .. ....... ... ......... ....... ......
archiviati fi sicamente (su un supporto distinto, ad esempio DVD) o logicamente (tramite
gestione delle autorizzazioni) nell 'eventualità di un contenzioso. Successivamente, una volta
scaduti i termini legali di prescrizione, i dati devono essere cancellati o resi anonim i;
 dati di utilizzo: i dati di utilizzo possono essere classificati come dati grezzi o come dati
aggregati. Come indicato sopra, laddove possibile, i titolari o i responsabili del trattamento
non dovrebbero trattare dati grezzi. Se invece il trattamento è necessario, i dati grezzi
dovrebbero essere conservati soltanto finché sono necessari all 'elaborazione dei dati aggregati
e alla verifica della validità del processo di aggregazione. I dati aggregati dovrebbero essere
conservati soltanto per il periodo d i tempo necessario alla prestazione del servizio o secondo
quanto altrimenti previsto dal diritto dell 'Unione o degli Stati membri.
3.1.1.4 Informazione e diritti degli interessati
114. Prima del ........... .. .... ......... è .......... ....... ... '..........., .. .......
trasparente e comprensibile, le informazioni di cui all 'articolo 13 del GDPR. In particolare
occorre fornire informazioni riguardanti il periodo di conservazione dei dati personali
oppure, se non è possibile, i criteri utilizzati per determinare ta le periodo. In quest 'ultimo

Adottato 31
caso l 'EDPB raccomanda di adottare un approccio di tipo esplicativo per evidenziare la
differenza tra i dati grezzi e il punteggio ottenuto sulla base di tali dati, sottolineando, se del
caso, che l 'impresa di assicurazione prov vederà a raccogliere unicamente il punteggio
risultante ove appropriato.
115. Laddove i dati siano trattati non all 'interno del veicolo ma da parte di un fornitore di servizi
telematici per conto del ........ ... ........... (. '....... .. .............), ..... .. .....
informare l 'interessato che, in questo caso, il fornitore non avrà accesso ai dati direttamente
riferiti all 'identità del conducente (quali nomi, targhe ecc.). Inoltre, considerata l 'importanza
di informare gli interessati in merito alle conseguen ze del ........... ... .... ......... ...
li riguardano e dato che gli interessati non dovrebbero essere colti di sorpresa dal
trattamento dei loro dati personali, l 'EDPB raccomanda di informare l 'interessato
dell 'esistenza della ............ . ..... ........ ........... ..... ....... .. ............
non comporti il ........ ........... ............. ........ ... '........ .. ... .....
116. Per quanto riguarda i diritt idegli interessati, questi devono essere informati specificamente
dei mezzi di cui dispon gono per esercitare il diritto di accesso, rettifica, limitazione e
cancellazione. Poiché i dati grezzi raccolti in questo contesto sono forniti dall 'interessato
(tramite moduli specifici o attraverso la sua attività) e trattati sulla base dell 'articolo 6,
paragrafo 1, lettera b), del .... (.......... .. .. .........), . '........... .. .. ......à ..
esercitare il suo diritto alla ..........à ... ..... .... ........... ..... ..... ..... ... .......
alla ..........à ... ...., . '.... .......... .......... .. . ....... .. "........ ... .........
la differenza fra le categorie di dati che un interessato può ricevere attraverso l 'esercizio del
diritto alla ..........à ......é ... ....... .. ....... "...
117. Le informazioni possono essere fornite all 'atto della sottoscri zione del contratto.
3.1.1.5 Destinatario
118. L'EDPB raccomanda che, nei limiti del possibile, i dati relativi all 'utilizzo del veicolo siano
trattati direttamente all 'interno delle telematic box , affinché l 'assicuratore abbia accesso
unicamente ai dati dei risultati (ad esempio un punteggio) e non ai dati grezzi dettagliati.
119. Qualora i dati siano raccolti da un fornitore di servizi telematici per conto del ........ ...
trattamento (l 'impresa di assicurazione) per generare punteggi numerici, il fornitore non
avrà bisog no di conoscere l 'identità del conducente (ad esempio nomi, targhe ecc.) o dei
contraenti.
3.1.1.6 Sicurezza
120. Valgono le raccomandazioni generali. Cfr. la sezione 2.7.
3.1.2 Affitto e prenotazione di un posto auto
121. Il proprietario di un posto auto decide di affittarlo. A tale scopo inserisce un annuncio e fissa
il prezzo del posto auto su un 'applicazione web. A inserimento effettuato, l 'applicazione
avvisa il proprietario ogni qual volta un conducente desideri prenotare il posto auto. Il
conducente può scegliere una des tinazione e verificare la disponibilità di parcheggi sulla
base di una molteplicità di criteri. Ottenuta l 'approvazione del proprietario, l 'operazione è
confermata e il fornitore del servizio tratta il pagamento e poi utilizza la navigazione per
guidare l 'utente fino a destinazione.
48Gruppo di lavoro Articolo 29, Linee -guida sul dir itto alla "portabilità dei dati" (WP242) rev.01, approvate
dall'EDPB, pag. 13.

Adottato 32
3.1.2.1 Base giuridica
122. Quando i dati sono raccolti per mezzo di una comunicazione elettronica accessibile al
pubblico si applica l 'articolo 5, paragrafo 3, della direttiva e -privacy.
123. Trattandosi di un servizio della società dell 'informazione, l 'articolo 5, paragrafo 3, della
direttiva e -privacy non richiede l 'ottenimento del ........ ... ..... ........ ....
informazioni già archiviate nel veicolo qualora tale servizio sia esplicitamente richiesto
dall 'abbonato.
124. Per il trattamento di .... ......... .. .............. ... . .... ......... ... '.......... ...
contratto di cui l 'interessato è parte la base giuridica sarà costituita dall 'articolo 6,
paragrafo 1, lettera b), del GDPR.
3.1.2.2 Dati raccolti
125. I dati trattati comprendono i dati di co ntatto del conducente (nome, e -mail, recapito
telefonico), il tipo di veicolo (ad esempio autovettura, autocarro, motociclo), il numero di
targa, il periodo di sosta, gli estremi del pagamento (ad esempio dati della carta di credito)
nonché i dati di navig azione.
3.1.2.3 Periodo di conservazione
126. I dati dovrebbero essere conservati finché sono necessari all 'esecuzione del contratto di
parcheggio o secondo quanto altrimenti previsto dal diritto dell 'Unione o degli Stati membri.
Al termine di tale periodo i dati sono cancellati o resi anonimi.
3.1.2.4 Informazione e diritti degli interessati
127. Prima del ........... .. .... ......... .. .......... ....... ... '..........., .. .......
trasparente e comprensibile, le informazioni di cui all 'articolo 13 del GDPR.
128. L'interessato do vrebbe essere informato specificamente dei mezzi di cui dispone per
esercitare il diritto di accesso, rettifica, limitazione e cancellazione. Poiché i dati raccolti in
questo contesto sono forniti dall 'interessato (tramite moduli specifici o attraverso la sua
attività) e trattati sulla base dell 'articolo 6, paragrafo 1, lettera b), del .... (.......... ..
un contratto), l 'interessato ha la facoltà di esercitare il suo diritto alla ..........à ... .....
Come evidenziato nelle linee guida sul diritto alla por tabilità dei dati, l 'EDPB raccomanda
vivamente ai titolari di "spiegare con chiarezza la differenza fra le categorie di dati che un
interessato può ricevere attraverso l 'esercizio del diritto alla ..........à ......é ... ....... ..
accesso ".
3.1.2.5 Destinatario
129. In linea di massima soltanto il ........ . .. ............ ... ........... ..... ....... ..
dati.
3.1.2.6 Sicurezza
130. Valgono le raccomandazioni generali. Cfr. la sezione 2.7.
3.2 eCall
131. Nel caso di un incidente grave nell 'Unione europea, il veicolo attiva automaticamente una
chiamata eCall al numero 112, il numero di emergenza valido per tutta l 'UE (per maggiori
dettagli, cfr. la sezione 1.1) che consente l 'invio tempestivo di un 'ambulanza nel luogo
dell 'incidente a norma del regolamento (UE) 2015/758, del 29 aprile 2015, relativo ai
requisiti di omologazione per lo sviluppo del sistema eCall di bordo basato sul servizio 112 e
che modifica la direttiva 2007/46/CE (di seguito "regolamento (UE) 2015/758 ").

Adottato 33
132. In effetti il generatore eCall installato all 'interno del veicolo, che consente la trasmissione
tramite una rete mobile di comunicazione senza fili, avvia una chiamata di emergenza, che
è attivata automaticamente da sensori di bordo o manualmente dagli occupanti del veicolo
soltanto in caso di incidente. Oltr e all 'attivazione del canale audio, il secondo evento attivato
in automatico a seguito di un ......... ........ ... ........ .. ..... ... ... .. ....
(Minimum Set of Data -MSD) e nel trasmetterla al centro di raccolta delle chiamate di
emergenza (PSAP).
3.2.1 Base giuridica
133. Per quanto riguarda l 'applicazione della direttiva e -privacy, occorre prendere in
considerazione due disposizioni:
 l'articolo 9 riguardante i dati relativi all 'ubicazione diversi dai dati relativi al traffico, che si
applica soltanto ai se rvizi di comunicazione elettronica;
 l'articolo 5, paragrafo 3, per l 'accesso alle informazioni archiviate nel generatore installato
all 'interno del veicolo.
134. Sebbene, in linea di massima, dette disposizioni prevedano il ........ .... '..........., ..
regola mento (UE) 2015/758 costituisce un obbligo legale a cui il ........ ... ........... è
soggetto (l 'interessato non è in grado di operare una scelta autenticamente libera e sarà
nell 'impossibilità di rifiutare il ........... ... .... ... .. ..........). .... .... ..
regolamento (UE) 2015/758 prevale sulla necessità di ottenere il ........ ... ..........
per il ........... ... .... ........ ... '.......... . .... '... ...
135. La .... ......... ... ........... .. .... .... ...à . '........... .. .. ....... ...... ....
previsto dall 'articolo 6, paragrafo 1, lettera c), del .... (..... .. ........... (..)
2015/758).
3.2.2 Dati raccolti
136. Il regolamento (UE) 2015/758 stabilisce che i dati inviati dal sistema eCall di bordo basato
sul 112 contengono solo le informazioni min ime di cu i alla norma EN 15722:2015 "Sistemi
intelligenti di trasporto — eSafety — serie min ima di dati per chiamate eCall (MSD) ", ossia:
 l'indicazione dell 'attivazione manuale o automatica della chiamata eCall;
 il tipo di veicolo;
 il numero di identificazione del veicolo (VIN);
 il tipo di propulsione del veicolo;
 la marcatura temporale del messaggio di dati iniziale generato nell 'ambito dell 'evento eCall in
corso;
49Occorre rilevare che l'articolo 8, paragrafo 1, lettera f), del mandato negoziale del Consiglio sulla proposta di
regolamento "e -privacy" prevede effettivamente una deroga spe cifica per il sistema eCall in quanto il consenso
non è richiesto se è necessario localizzare l'apparecchiatura terminale quando un utente finale effettua una
comunicazione di emergenza al numero unico di emergenza europeo "112" o al numero di emergenza
na zionale, in conformità dell'articolo 13, paragrafo 3.

Adottato 34
 le ultime coordinate di latitudine e longitudine note del veicolo, determinate il più tardi
possibile prima che sia generato il messaggio;
 l'ultima direzione di marcia reale nota del veicolo, determinata il più tardi possibile prima che
sia generato il me ssaggio (soltanto le ultime tre posizioni del veicolo).
3.2.3 Periodo di conservazione
137. Il regolamento (UE) 2015/758 stabilisce che i dati sono conservati solo per il periodo di
tempo necessario ad affrontare le situazioni di emergenza. Tali dati sono cancellati
completamente quando non sono più necessari per tale scopo. Inoltre i dati sono soppressi
automaticamente e costantemente dalla memoria interna del sistema eCall. È possibile
conservare soltanto le ultime tre posizioni del veicolo nella misura in cui ciò risulti
strettamente necessario a indicare la posizione attuale e la direzione di marcia del veicolo
al momento dell 'evento.
3.2.4 Informazione e diritti degli interessati
138. A norma dell 'articolo 6 del regolamento (UE) 2015/758 i costruttori devono fornire
informa zioni chiare e complete sul ........... ... .... .......... .......... .. .......
eCall. Le informazioni sono fornite nel manuale di istruzioni del proprietario separatamente
per il sistema eCall di bordo basato sul 112 e per eventuali sistemi eCall suppor tati da servizi
di terzi prima dell 'utilizzo del sistema. Le informazioni includono:
 il riferimento alla base giuridica per il trattamento;
 la precisazione del fatto che il sistema eCall di bordo basato sul 112 è attivato in automatico;
 le modalità del t rattamento di dati svolto dal sistema eCall di bordo basato sul 112;
 le finalità specifiche del ........... .. .... .. ....., ... è ....... ..... .......... .. .........
di cui all 'articolo 5, paragrafo 2, primo comma, del regolamento (UE) 2015/758;
 i tip i di dati raccolti ed elaborati e i destinatari di tali dati;
 il periodo di conservazione dei dati nel sistema eCall di bordo basato sul 112;
 la precisazione del fatto che non vi è alcun tracciamento costante del veicolo;
 le modalità per l 'esercizio dei diritti degli interessati nonché il servizio di contatto responsabile
del la gestione delle domande di accesso;
 eventuali informazioni supplementari necessarie riguardo alla tracciabilità, al controllo e al
trattamento dei .... ......... .. ......... .... . ........ .. .. ....... ..... .......... ..
servizi di terzi (TPS eCall) e/o di altri servizi a valore aggiunto, che sono soggetti al consenso
esplicito del proprietario e conformi al GDPR. Occorre tenere conto in modo particolare del
fatto che possono esis tere differenze tra il ........... ... .... ........ ........ .. .......
eCall di bordo basato sul 112 e i sistemi TPS eCall di bordo o altri servizi a valore aggiunto.
139. Inoltre anche il fornitore di servizi deve fornire agli interessati, in maniera traspar ente e
comprensibile, le informazioni di cui all 'articolo 13 del GDPR. In particolare l 'interessato
deve essere informato delle finalità del ........... ... .... ......... . .... .........,
nonché del fatto che il ........... ... .... ......... .. .... .. .. ....... ...... . ... è
soggetto il ........ ... ............

Adottato 35
140. Tenendo conto della natura del trattamento, le informazioni sui destinatari o sulle categorie
di destinatari dei .... ......... .......... ...... ...... . ... ........... .......... ......
informati del fatto che i dati non sono disponibili ad alcun soggetto al di fuori del sistema
eCall di bordo basato sul 112 prima dell 'attivazione del sistema eCall.
141. Per quanto riguarda i diritti degli interessati, occorre rilevare che, poiché il trattament o è
basato su un obbligo legale, il diritto di opposizione e il diritto alla ..........à ... ..
applicano.
3.2.5 Destinatario
142. I dati non sono disponibili ad alcun soggetto al di fuori del sistema eCall di bordo basato sul
112 prima dell 'attivazione del sistema eCall.
143. Una volta attivato (manualmente dagli occupanti del veicolo o automaticamente non
appena un sensore di bordo rileva una collisione grave), il sistema eCall stabilisce una
connessione vocale con lo PSAP pertinente e l 'MSD è inviato all 'operat ore dello PSAP.
144. Inoltre i dati trasmessi attraverso il sistema eCall di bordo basato sul 112 e trattati dagli PSAP
possono essere trasferiti ai servizi di pronto intervento e ai servizi associati di cui alla
decisione n. 585/2014/UE solo in caso di incidenti relativi a eCall e alle condizioni di cui alla
stessa decisione ; tali dati sono utilizzati esclusivamente al fine di conseguire gli obiettivi di
cui alla suddetta decisione. I dati trattati dagli PSAP attraverso il sistema eCall di bordo
basato s ul 112 non sono trasmessi ad alcuna parte terza senza il previo consenso esplicito
dell 'interessato.
3.2.6 Sicurezza
145. Il regolamento (UE) 2015/758 stabilisce che nel sistema eCall devono essere integrate
tecnologie atte a rafforzare la tutela della privacy, al f ine di fornire agli utenti un livello di
protezione adeguato, nonché le necessarie tutele per prevenire attività di sorveglianza e
abusi. Inoltre le case costruttrici dovrebbero garantire che il sistema eCall basato sul numero
112 e qualunque altro sistema che fornisca un servizio eCall gestito da servizi di terzi o un
servizio a valore aggiunto siano progettati in modo da non consentire lo scambio di dati
personali tra tali sistemi.
146. Per quanto riguarda gli PSAP ,gli Stati membri dovrebbero assicurarsi che i dati personali
siano protetti dagli abusi, compresi la perdita oppure l 'accesso e la modifica non autorizzati ,
e che siano definiti a livello adeguato e debitamente rispettati protocolli in materia di
memorizzazione , periodo di conservazione, trattamen to e protezione .
3.3 Studi sull 'incidentalità
147. Gli interessati possono partecipare, su base volontaria, a studi sull 'incidentalità finalizzati ad
approfondire la conoscenza delle cause degli incidenti stradali e, più in generale, a
perseguire finalità scient ifiche.
3.3.1 Base giuridica
148. Quando i dati sono raccolti attraverso un servizio pubblico di comunicazione elettronica, il
titolare del ........... ....à ........ .. ........ .... '........... ... ..... ........ .
informazioni già archiviate nel veicolo come prev isto dall 'articolo 5, paragrafo 3, della
direttiva e -privacy. In questo contesto, infatti, non è applicabile nessuna delle deroghe
previste dalle suddette disposizioni: il ........... ... è ........ .. .... .... .. ..........
la trasmissione di una comunic azione su una rete di comunicazione elettronica né riguarda

Adottato 36
un servizio della società dell 'informazione esplicitamente richiesto dall 'abbonato o
dall 'utente.
149. Per quanto riguarda il ........... .. .... ......... . ....... ..... ..... ......à . .....
quantit à dei .... ......... ......... ... ... ..... .... '............à, . '.... .......... ... ..
trattamento sia basato sul previo consenso dell 'interessato conformemente all 'articolo 6 del
GDPR. Tale consenso previo deve essere espresso in una forma specifica, a ttraverso la quale
l'interessato manifesti la volontà di partecipare allo studio e acconsenta al ........... ...
suoi .... ......... ... .... .......à. .. ........ .... ...... .. '........... .. ......à ......,
specifica e informata della persona i cui dati sono trattati (ad esempio selezione di una
casella non preselezionata o configurazione del computer di bordo per attivare una funzione
nel veicolo). Tale ........ .... ...... ........ ............., ... .......à .......... .
non può essere accorpato al co ntratto di acquisto o leasing di una nuova autovettura; inoltre
deve poter essere revocato con la stessa facilità con cui lo si è espresso. La ...... ...
consenso determina l 'interruzione del ........... . .. ........... ............. ... ....
dalla banca dati attiva o l’anonimizzazione degli stessi.
150. Il ........ ......... . ..... .... '........ ., ......... ., ..... ......... . -....... . ..
consenso necessario come fondamento g iuridico per il ........... ... .... ....... ......
ottenuti nello stesso momento (ad esempio mediante la selezione di una casella che indichi
con chiarezza l 'oggetto del ........ ........ .... '...........).
151. Occorre rilevare che, in base alle condizioni de l ........... (...... ... ........ ...
trattamento ecc.), si potrà individuare legittimamente un 'altra base giuridica, purché questa
non riduca l 'ulteriore tutela offerta dall 'articolo 5, paragrafo 3, della direttiva e -privacy (cfr.
il punto 15). Qualora i l ........... ... ...... .. .. ..... .......... ......... .... ..
esempio l 'esecuzione di un compito di interesse pubblico (articolo 6, paragrafo 1, lettera e),
del GDPR), l 'EDPB raccomanda di includere nello studio gli interessati su base volontaria.
3.3.2 Dat i raccolti
152. Il ........ ... ........... ......... .... ......... ............ ......... .. ............
153. Occorre prendere in considerazione due tipologie di dati:
 dati relativi ai partecipanti e ai veicoli ;
 dati tecnici provenienti dai veicoli (velocità istantanea ecc.).
154. Gli studi scientifici nel campo dell 'incidentalità giustificano la raccolta di dati relativi alla
velocità istantanea, anche da parte di persone giuridiche che non gestiscono un servizio
pubblico in senso stretto.
155. In effetti, come rileva to sopra, l 'EDPB ritiene che i dati relativi alla velocità istantanea raccolti
nell 'ambito di uno studio sull 'incidentalità non costituiscano dati relativi a reati per via della
destinazione d 'uso (ossia non sono raccolti a fini di indagine o perseguimento di un reato),
il che ne giustifica la raccolta da parte di persone giuridiche che non gestiscono un servizio
pubblico in senso stretto.
3.3.3 Periodo di conservazione
156. È importante distinguere due tipologie di dati. In primo luogo i dati relativi ai partecipant i e
ai veicoli , che possono essere conservati per tutta la ...... ..... ....... .. ....... ..... .
dati tecnici provenienti dai veicoli , che dovrebbero essere conservati per il periodo più breve

Adottato 37
possibile per il conseguimento della specifica finalità. A ta le riguardo, cinque anni dalla data
di conclusione dello studio rappresentano un periodo ragionevole. Al termine di tale periodo
i dati devono essere cancellati o resi anonimi.
3.3.4 Informazione e diritti degli interessati
157. Prima del ........... .. .... ........ . è .......... ....... ... '..........., .. .......
trasparente e comprensibile, le informazioni di cui all 'articolo 13 del GDPR. In particolare ,in
caso di raccolta di dati relativi alla velocità istantanea ,gli interessati dovrebbero essere
informati specificamente di tale raccolta. Poiché il ........... .. .... è ...... ... ........,
l'interessato deve essere informato specificamente dell 'esistenza del diritto di revocare il
consenso in qualsiasi momento senza pregiudicare la liceità del ........... . .... . ...
consenso prestato prima della revoca. Inoltre poiché i dati raccolti in tale contesto sono
forniti dall 'interessato (tramite moduli specifici o attraverso la sua attività) e trattati sulla
base dell 'articolo 6, paragrafo 1, lettera a), del .... ( ........), . '........... .. .. ......à
di esercitare il suo diritto alla ..........à ... ..... .... ........... ..... ..... ..... ...
diritto alla ..........à ... ...., . '.... .......... ......... .. ........ .. "........ ...
chiarezza la differenza fra le categorie di dati che un interessato può ricevere attraverso
l'esercizio del diritto alla ..........à ......é ... ....... .. ....... ". ........ .. ........ ...
trattamento dovrebbe offrire una modalità semplice per revocare il consenso, liberamente
e in q ualsiasi momento, e dovrebbe sviluppare strumenti che gli consentano di rispondere
alle richieste di ..........à ... .....
158. Tali informazioni possono essere fornite al momento della sottoscrizione del modulo con cui
l'interessato accetta di partecipare allo studio sull 'incidentalità.
3.3.5 Destinatario
159. In linea di massima soltanto il ........ . .. ............ ... ........... ..... ....... ..
dati.
3.3.6 Sicurezza
160. Come rilevato sopra, le misure di sicurezza poste in essere devono essere adattate al livello
di sensibilità dei dati. Se ,ad esempio ,lo studio sull 'incidentalità comporta la raccolta di dati
relativi alla velocità istantanea (o qualunque altro tipo di dati relativi a condanne penali e a
reati) ,l'EDPB raccomanda vivamente di porre in essere misure d i sicurezza efficaci, ad
esempio:
 attuazione di misure di .................. (.. ....... ....... ... ...... ....... .. ....
quali cognome/nome dell 'interessato e numero di serie);
 conservazione dei dati relativi alla velocità istantanea e dei dati relati vi all 'ubicazione in banche
dati separate (ad esempio utilizzando un meccanismo di cifratura conforme allo stato dell’arte
con procedure di approvazione e chiavi distinte);
 e/o cancellazione dei dati relativi all 'ubicazione non appena l 'evento o la sequen za di
riferimento sia no stati qualificat i(ad esempio :tipo di strada, evento diurno/notturno) e
conservazione dei dati di identificazione diretta in un database separato a cui abbia accesso
soltanto un ristretto numero di persone.
3.4 Furto d 'auto

Adottato 38
161. In caso di furto gli interessati potrebbero voler tentare di ritrovare il proprio veicolo
utilizzando la localizzazione . L'uso dei dati relativi all 'ubicazione è strettamente limitato alle
esigenze dell 'indagine e alla valutazione del caso da parte delle a utorità competenti.
3.4.1 Base giuridica
162. Quando i dati sono raccolti per mezzo di un servizio di comunicazione elettronica accessibile
al pubblico si applica l 'articolo 5, paragrafo 3, della direttiva e -privacy.
163. Trattandosi di un servizio della società dell 'inf ormazione, l 'articolo 5, paragrafo 3, della
direttiva e -privacy non richiede l 'ottenimento del ........ ... ..... ........ ....
informazioni già archiviate nel veicolo qualora tale servizio sia esplicitamente richiesto
dall 'abbonato.
164. Per quanto riguarda il trattamento di dati personali, il fondamento giuridico per il
trattamento dei dati relativi all 'ubicazione sarà il ........ ... ............ ... ....... ., ..
del caso, l 'esecuzione di un contratto (soltanto per i dati necessari all 'esecuzione del
contrat to di cui il proprietario del veicolo è parte).
165. Il ........ .... ...... .. '........... .. ......à ......, ......... . ......... ..... .......
i cui dati sono trattati (ad esempio selezione di una casella non preselezionata o
configurazione del computer d i bordo per attivare una funzione sul veicolo). La libertà di
espressione del ........ ........ .. ..........à .. ........ .. ........ .. .........
momento e l 'interessato dovrebbe esserne informato espressamente . La ...... ...
consenso determina l 'interru zione del trattamento. A questo punto i dati dovrebbero essere
cancellati dalla banca dati attiva, resi anonimi oppure archiviati.
3.4.2 Dati raccolti
166. I dati relativi all 'ubicazione possono essere trasmessi soltanto a partire dalla denuncia del
furto; per il re sto, non possono essere raccolti su base continuativa.
3.4.3 Periodo di conservazione
167. I dati relativi all 'ubicazione possono essere conservati esclusivamente per il periodo durante
il quale il caso è oggetto di valutazione da parte delle autorità competenti, opp ure fino al
termine di una procedura di accertamento dei fatti che non si concluda con la conferma del
furto del veicolo.
3.4.4 Informazione dell 'interessato
168. Prima del ........... .. .... ......... .. .......... ....... ... '..........., .. .......
trasparente e comprensibile, le informazioni di cui all 'articolo 13 del GDPR. Più
specificamente l 'EDPB raccomanda che il ........ ... ........... ........ ... .. ....... ...
è sottoposto a sorveglianza costante e che i dati relativi all 'ubicazione possono essere
raccol ti e trasmessi soltanto a partire dalla denuncia del furto. Inoltre il ........ ...
trattamento deve fornire all 'interessato informazioni relative al fatto che l 'accesso ai dati è
consentito soltanto a gli operatori autorizzati della piattaforma di telesorveglianza e alle
autorità legalmente autorizzate.
169. Per quanto riguarda i diritti degli interessati, quando il ........... ... .... è ...... ...
consenso l 'interessato dovrebbe essere informato specificamente dell 'esi stenza del diritto
di revocare il ........ .. ......... ....... ..... ............ .. ......à ... ...........
basat osul ........ ........ ..... ..... ....... ....... ...... . .... ........ .. ......
contesto sono forniti dall 'interessato (tramite moduli s pecifici o attraverso la sua attività) e

Adottato 39
trattati sulla base dell 'articolo 6, paragrafo 1, lettera a) (consenso), o dell 'articolo 6,
paragrafo 1, lettera b) (esecuzione di un contratto), del .... . '........... .. .. ......à ..
esercitare il suo diritto all a ..........à ... ..... .... ........... ..... ..... ..... ... .......
alla ..........à ... ...., . '.... .......... ......... .. ........ .. "........ ... .........
la differenza fra le categorie di dati che un interessato può ricevere attraverso l 'eserciz io del
diritto alla ..........à ......é ... ....... .. ....... ".
170. Pertanto il ........ ... ........... ........ ....... ... .......à ........ ... ........ ..
consenso (solo laddove il ........ ........... .. .......... ......... ... ........... ),
liberamen te e in qualsiasi momento, e dovrebbe sviluppare strumenti che gli consentano di
rispondere alle richieste di ..........à ... .....
171. Le informazioni possono essere fornite all 'atto della sottoscrizione del contratto.
3.4.5 Destinatari
172. Nel caso di una denuncia di furto, i dati relativi all 'ubicazione possono essere trasmessi i)
agli operatori autorizzati della piattaforma di telesorveglianza e ii) alle autorità legalmente
autorizzate.
3.4.6 Sicurezza
173. Valgono le raccomandazioni generali. Cfr. la sezione 2.7.