Quando si parla di trattamenti di dati personali che presentano un rischio elevato per i diritti e le libertà fondamentali delle persone è necessario condurre una valutazione di impatto privacy non solo per gestire al meglio il rischio inerente il trattamento, ma anche per dimostrare di aver adottato misure tecniche e organizzative adeguate.
Come noto, tra i presupposti di legittimità di un trattamento un ruolo fondamentale lo riveste l’informativa ai sensi dell’art. 13 Reg.UE 679/2016. Si tratta di un adempimento che nel tempo ha trovato una speciale declinazione nel mondo della videosorveglianza finalizzata alla rilevazione dell’audience di gradimento di prodotti o servizi per scopi commerciali.
L’annuncio, quasi un mese fa, da parte del Ceo di Facebook (ora Meta) della volontà di creare uno spazio condiviso che vada oltre il semplice social network, per approdare verso un’esperienza il più completa possibile, sia virtuale che in realtà aumentata, sia per svago che per lavoro, ha dato ufficialmente il via alla corsa per colonizzare questo nuovo spazio concettuale denominato “metaverso”.
L’indice priorità di rischio/priority number (IRP - RPN) è un indicatore che permette di individuare quando è necessario intervenire, con misure di mitigazione dedicate, considerando il rischio associato ad un evento inaccettabile e quando invece lo stesso rischio può essere considerato come accettabile. Il Titolare è comunque consapevole che l’unico modo per eliminare un rischio è quello di rimuovere la fonte che lo genera.
Il GDPR attribuisce grande rilevanza alla profilazione, ma meno spazio al marketing poiché ciò che più preoccupa il legislatore comunitario è l’attività di profilazione condotta con l’ausilio di strumenti automatici. L’attività di marketing non viene certo considerata di per sé un’attività illegittima, ma può diventare oggetto di particolare interesse dal punto di vista privacy (vedi ad esempio l’art. 21 del GDPR).
Con la sentenza 33809/2021 depositata il 12 novembre scorso la quarta sezione civile della Cassazione, competente in materia di lavoro, presieduta da Guido Raimondi – ex presidente della CorteEdu – si è occupata del caso di un dirigente commerciale di un’azienda che, al termine del rapporto di lavoro, aveva restituito al datore di lavoro il pc aziendale avuto in dotazione asportando alcuni dati e cancellandone degli altri attinenti e-mail, numeri di telefono ed informazioni su prodotti e metodi di produzione.
