Dati Particolari

• GPDP, Docweb 9751362, 10.2.2022 (6)

  Massima (6) – La rappresentazione vettoriale di dati biometrici non fa venire meno il carattere biometrico della rappresentazione stessa.

• GPDP, Docweb 9751362, 10.2.2022 (5)

  Massima (5) – Ove un provider statunitense, privo di un proprio stabilimento nell’UE, ponga in essere un trattamento di dati personali qualificabile come “transfrontaliero” ai sensi dell’art. 4, par. 1, n. 23 del GDPR, in quanto idoneo ad incidere su interessati in più di uno Stato membro, trova applicazione quanto previsto dall’art. 55, par. 1, GDPR, ai sensi del quale «ogni Autorità di controllo è compente ad eseguire i compiti assegnati e a esercitare i poteri ad essa conferiti a norma del (…) regolamento nel territorio del rispettivo Stato membro». Tale disposizione è idonea a fondare la competenza dell’Autorità di protezione dati italiana in ordine alla valutazione, con riguardo al proprio territorio, della conformità al Regolamento europeo del trattamento di dati personali posto in essere da tale provider e ad esercitare i poteri ad essa riconosciuti dall’art. 58 GDPR.

• GPDP, Docweb 9751362, 10.2.2022 (4)

  Massima (4) – Il trattamento posto in essere da un Internt Service Provider, consistente nella raccolta di immagini dal web (c.d. web scraping) e nella loro elaborazione con strumenti automatizzati al fine di creare rappresentazioni vettoriali di volti e, successivamente, sottoporli ad hash per indicizzare i dati, operazione necessaria per stabilire una eventuale correlazione con le immagini oggetto di comparazione caricate dagli utenti, è attività che non appare sovrapponibile a quella posta in essere da un qualsiasi motore di ricerca, tenuto conto del fatto che il titolare compie una rielaborazione tecnica delle immagini raccolte, tanto da renderle “dati biometrici”, alle quali sono peraltro associate informazioni certamente idonee ad identificare la persona ritratta, a cui viene correlato un archivio di risorse che si snoda attraverso il tempo. La valutazione di tale circostanza, unitamente alla finalità comparativa sopra evidenziata, è idonea ad integrare, come richiesto nel Considerando 24, un’attività assimilabile al controllo del comportamento dell’interessato, ossia al monitoraggio dell’interessato, in quanto posta in essere tramite il tracciamento in Internet e la successiva profilazione. Ove tale attività sia posta in essere da un provider stabilito al di fuori dell’UE, è ravvisabile l’ambito territoriale di applicazione del GDPR ai sensi dell’art. 3, par. 2, lett. b).

• GPDP, Docweb 9751362, 10.2.2022 (3)

  Massima (3) – La creazione di un archivio di dati personali che riguarda un interessato presente nell’Unione che si compone di informazioni articolate nel tempo o di riferimenti a momenti temporali diversi, arricchito con tutte le informazioni associabili alla persona stessa ed i cui dati vengono analizzati comparativamente, integra il requisito del monitoraggio del comportamento dell’interessato.

• GPDP, Docweb 9751362, 10.2.2022 (2)

  Massima (2) – Ove un Internet Service Provider con stabilimento extra UE decida di chiudere gli account europei e di non offrire più i suoi prodotti e servizi nel contesto dell’Unione europea, inibendo l’accesso agli IP europei, può ugualmente evincersi che, nel periodo precedente a tale decisione, il Provider indirizzava – e aveva l’intenzione di farlo – i propri prodotti e servizi anche in Europa. In ragione di ciò può pertanto trovare applicazione la disciplina europea in materia di protezione dei dati personali, qualora, ai sensi dell’art. 3, par. 2, lett. a), GDPR, si desumano dalla fattispecie concreti elementi che possano far ritenere sussistente l’intenzione del titolare del trattamento di offrire beni e servizi a destinatari che si trovino in Europa, anche nella ipotesi in cui il bene e servizio non venga mai commercializzato.

• GPDP, Docweb 9751362, 10.2.2022 (1)

  Massima (1) – Ove il titolare del trattamento non individui un proprio stabilimento in Europa, al fine di condurre una valutazione in ordine all’applicabilità della normativa europea in materia di protezione dei dati personali al trattamento da questi posto in essere, occorre verificare la sussistenza dei criteri di cui all’art. 3, par. 2, del GDPR (c.d. targeting). Tali criteri sono individuati nell’offerta di beni o servizi ad interessati che si trovano nell’Unione oppure nello svolgimento, rispetto a questi ultimi, di un’attività correlata al monitoraggio del comportamento di essi, nella misura in cui quest’ultimo ha luogo nell’Unione.

• Riconoscimento facciale e (il)liceità del trattamento di dati biometrici

  GPDP, Docweb n. 9751362 del 10 febbraio 2022 | Massime e Commento di Dalia Pizzocchero

• GPDP, Docweb 9727220, 13.12.2021 (3)

  Massima (3) – Le diverse verifiche – quella relativa all’obbligo vaccinale e quella relativa al possesso della certificazione verde (green pass) – devono, nel rispetto sia dei principi di protezione dei dati che del quadro normativo di settore, essere effettuate con una diversa cadenza. Diversamente dalle verifiche relative al possesso di una valida certificazione verde, non può ritenersi giustificata l’esecuzione di verifiche relative all’assolvimento dell’obbligo vaccinale con cadenza ravvicinata (quotidiana o, comunque, frequente), assicurando in ogni caso il trattamento di dati esatti e aggiornati, ai sensi dell’art. 5, par. 1, lett. d), GDPR.

• GPDP, Docweb 9727220, 13.12.2021 (2)

  Massima (2) – I trattamenti effettuati per la verifica dell’obbligo vaccinale, nei casi previsti dalla legge, devono essere tenuti separati da quelli effettuati per la verifica quotidiana del possesso della certificazione verde Covid-19 per l’accesso alle sedi di lavoro, nel rispetto delle condizioni e dei limiti previsti da norme distinte che, in modo diverso, concorrono al contenimento dell’epidemia da Covid-19 e allo svolgimento in sicurezza delle attività lavorative, economiche e sociali.

• GPDP, Docweb 9727220, 13.12.2021 (1)

  Massima (1) – I trattamenti di dati personali finalizzati alla verifica del rispetto dell’obbligo vaccinale e del possesso della c.d. certificazione verde per l’accesso ai luoghi di lavoro devono necessariamente svolgersi in maniera distinta al fine di assicurare un trattamento lecito, corretto e trasparente, limitato alle finalità determinate, esplicite e legittime, ex art. 5 GDPR.