Scheda di sintesi

Introduzione

Il GDPR non definisce la nozione di “su larga scala” anche se il considerando (91) fornisce indicazioni in proposito ricomprendendo, in particolare, “trattamenti su larga scala, che mirano al trattamento di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un rischio elevato“.

Gli elementi identificativi del concetto di “larga scala” secondo il Considerando (91) sono, quindi:

• il profilo quantitativo degli interessati e dei dati
• l’estensione geografica delle implicazioni del trattamento.

Il profilo dimensionale (quantitativo-geografico) impatta direttamente sui diritti e le libertà degli individui. La “larga scala” è un criterio che, con altri, indica l’elevato rischio del trattamento.

“Criteri di individuazione”

Le linee guida wp243 rev.01 chiariscono il concetto di larga scala, indicando che va valutato considerando diversi fattori.

• il numero di interessati, in termini assoluti ovvero espressi in percentuale della popolazione di riferimento;
• il volume e la gamma dei dati personali trattati;
• la durata dell’attività di trattamento o anche la sua persistenza; e
• l’estensione geografica del trattamento.

Esempi positivi

Sono esempi di trattamenti di dati “su larga scala” (tratti dal wp243 rev. 01):

• trattamento di dati relativi a pazienti da parte di un ospedale nelle attività ordinarie; 
• trattamento di dati sugli spostamenti degli utenti di un servizio di trasporto pubblico cittadino (ad esempio, attraverso il tracciamento dei titoli di viaggio);
• trattamento di dati di geolocalizzazione raccolti in tempo reale per finalità statistiche da un responsabile del trattamento specializzato nella prestazione di servizi di questo tipo rispetto ai clienti di una catena internazionale di fast food;
• trattamento di dati relativi alla clientela da parte di una compagnia assicurativa o di una banca nelle attività ordinarie;
• trattamento di dati personali da parte di un motore di ricerca per finalità di pubblicità comportamentale;
• trattamento di dati (metadati, contenuti, ubicazione) da parte di fornitori di servizi telefonici o telematici.

Esempi negativi

Alcuni esempi di trattamento non su larga scala sono i seguenti:

• trattamento di dati relativi a pazienti svolto da un singolo professionista sanitario;
• trattamento di dati personali relativi a condanne penali e reati svolto da un singolo avvocato.

Nell’ambito delle attività di un responsabile del trattamento

Il concetto di “trattamento su larga scala” può riguardare anche un responsabile del trattamento, in relazione alle prescrizioni a lui direttamente rivolte. Nelle linee guida wp243 rev.01 vengono fatti i seguenti esempi:

• Una piccola azienda a conduzione familiare operante nel settore della distribuzione di elettrodomestici in una città si serve di un responsabile del trattamento la cui attività principale consiste nel fornire servizi di tracciamento degli utenti del sito web oltre all’assistenza per attività di pubblicità e marketing mirati. Le attività svolte dall’azienda e dai clienti non generano trattamenti di dati “su larga scala”, in considerazione del ridotto numero di clienti e della gamma relativamente limitata di attività. Tuttavia, il responsabile del trattamento, che conta numerosi clienti come questa piccola azienda familiare, svolge, nel suo complesso, trattamenti su larga scala.
• Un’azienda di medie dimensioni che produce rivestimenti in ceramica incarica un responsabile esterno della gestione dei servizi di salute occupazionale; tale responsabile ha un numero elevato di clienti con caratteristiche analoghe. Il responsabile del trattamento svolge trattamenti su larga scala mentre lo stesso non può dirsi per l’azienda committente.

Ricorrenze della nozione “su larga scala”

L’espressione “su larga scala” ha una specifica rilevanza ed il regolamento la utilizza in più circostanze; questo concetto è anche un fattore nel determinare se gli obblighi previsti dal GDPR sono attivati. Ad esempio:

1. le imprese devono nominare un responsabile della protezione dei dati (DPO) se trattano dati personali sensibili su “larga scala” o le loro attività principali comportano il monitoraggio su “larga scala”;
2. le imprese con sede al di fuori dell’UE, ma catturate dal GDPR, devono nominare un rappresentante nella UE se trattano dati personali sensibili su “larga scala”; e
3. sono necessarie valutazioni di impatto (DPIA) se il trattamento prevede dati personali sensibili o il monitoraggio di aree pubbliche su “larga scala”.