Le linee guida in materia di processi automatizzati di profilazione del WP29 prevedono che questo particolare meccanismo, può essere adottato anche per interessi legittimi del titolare alla stregua del marketing diretto, come per esempio in materia di creazione di account e messaggi pubblicitari; tale interesse però va bilanciato con gli altri tutelati dalla normativa europea, tra cui quelli dell’interessato, al fine di poterne valutare la prevalenza rispetto a quest’ultimo.
Il nuovo GDPR più volte suole far riferimento all’importanza di adottare specifiche tutele di protezione degli infanti da questa modalità di analisi comportamentale e personale, ma non si ravvisa un grado di specificazione adeguato in termini di conversione in concreto della tutela.
L’onere di disciplinare in senso pratico la materia è demandato agli Stati membri, i quali sono chiamati a porre in essere delle restrizioni sostanziali attraverso l’adozione di leggi e codici di condotta, nuovi o integrare gli esistenti per orientare gli interpreti in una trasposizione del testo scritto al lato pratico. Il regolamento in sostanza non spiega come e cosa porre in essere, ma lascia il compito a ciascuno Stato di disciplinare la materia per le categorie e il contesto a cui deve essere applicato.
Il consenso esplicito ex art.6, par. 1, lett. a) legittima le decisioni automatizzate, incluse le profilazioni altrimenti vietate ai sensi dell’art.22, par 2, GDPR.
Invero l’articolo 22 GDPR non opera distinzioni in merito al fatto che il trattamento riguardi adulti o minori. Tuttavia il Considerando 71 afferma che le decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione, che producono effetti giuridici o in modo analogo significativi non dovrebbero riguardare minori.
Si tratta di un aspetto che deve essere evidenziato in quanto lo stesso Gruppo ex art.29 (nelle Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679 aggiornate al 6 febbraio 2018) non ritiene che ciò rappresenti un divieto assoluto di questo tipo di trattamento in relazione ai minori e tuttavia, alla luce del precedente Considerando, raccomanda al titolare di non giustificare il trattamento facendo affidamento sulle eccezioni ex art.22, paragrafo 2.
Trattamento automatizzato sul luogo di lavoro.
Molte delle attività svolte di solito nel contesto lavorativo comportano il trattamento di dati personali dei lavoratori; tale attività è sotto plurimi profili un’attività estremamente delicata e complessa, costellata da plurimi equilibri, interessi e diritti.
Costituiscono esempi di registrazioni che comportano il trattamento di dati personali tutelati dalla direttiva 95/46/CE: le domande di lavoro e le referenze professionali, le informazioni sulle retribuzioni e le imposte, le informazioni fiscali e sulle prestazioni sociali, le registrazioni relative alle ferie annuali, alle assenze straordinarie/non retribuite, alle note informative/di valutazione annuali, alle promozioni, ai trasferimenti, la formazione, ai problemi di disciplina, agli infortuni sul lavoro, etc.
Il trattamento dei dati personali nel contesto lavorativo è oggetto di discussione a livello sia comunitario che nazionale, così che “I governi e i garanti della protezione dei dati degli Stati membri hanno elaborato o stanno elaborando normative, codici o raccomandazioni per regolare vari aspetti della protezione dei dati nel contesto lavorativo”.
Nel quadro dell’Agenda per la politica sociale la Commissione europea ha varato una consultazione delle parti sociali sulla protezione dei dati nel contesto lavorativo. Per contribuire all’applicazione omogenea delle norme nazionali di recepimento della direttiva 95/46/CE relativa alla tutela dei dati, il gruppo di lavoro ha istituito un sottogruppo per esaminare la questione e ha adottato un documento approfondito reperibile su Internet al seguente indirizzo: http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/index.htm.
Il controllo della posta elettronica comporta necessariamente il trattamento di dati personali. Il trattamento di dati sotto forma di suono e di immagine nel contesto lavorativo rientra nel campo d’applicazione della legislazione di protezione dei dati ed anche la sorveglianza video dei lavoratori è disciplinata dalle disposizioni della direttiva e dalle leggi nazionali che la recepiscono.