In un interessante provvedimento del 20 luglio 2017, il Garante ha ravvisato la violazione del principio di minimizzazione dei dati personali da parte del gestore di un sito di commercio elettronico che richiedeva all’utente il conferimento di alcuni dati personali, anche solo per la navigazione sul sito.
La minimizzazione dei dati personali: cos’è?
La minimizzazione dei dati personali è uno dei principi generali in materia di privacy, fatto proprio sia dal codice per la protezione dei dati personali, sia dal nuovo GDPR. L’idea alla base della minimizzazione si ravvisa nella necessità di limitare le operazioni di trattamento a quanto effettivamente necessario per il perseguimento delle finalità del Titolare.
Facciamo un semplice esempio, se dirigo un supermarket e devo raccogliere i dati dei miei clienti per l’iscrizione a un programma fedeltà, avrei sicuramente necessità dei dati anagrafici e dei dati di contatto. Viceversa, non avrei bisogno di richiedere all’utente se possieda o meno una casa di proprietà o quale sia il suo reddito annuo.
La Minimizzazione è, quindi, la limitazione del trattamento dei dati personali dell’utente allo “stretto necessario”.
Da un punto di vista normativo, il principio di minimizzazione dei dati personali è codificato nell’art. 3 del codice, secondo cui “I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità“.
Si tratta, comunque, di un principio cardine anche del nuovo GDPR – che, come noto, sarà definitivamente applicato a partire dal 25 maggio 2018 -, in quanto, ai sensi dell’art. 5 del medesimo regolamento, i dati personali sono [..] limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
Finalità e minimizzazione dei dati personali
Per comprendere appieno le implicazioni della limitazione del trattamento dei dati personali al “necessario” è necessario chiarire che cosa si intenda per finalità del trattamento.
La finalità del trattamento è lo scopo per il quale devono essere trattati i dati personali. Ad esempio, l’invio di comunicazioni promozionali è una finalità, la cessione dei dati a terzi costituisce una seconda e separata finalità e così via.
La minimizzazione è intimamente connessa con la finalità. Il Titolare può trattare solo quei dati personali che sono necessari al perseguimento di una finalità determinata.
Minimizzazione dei dati personali e e-commerce.
Chiariti i principi generali, passiamo ora ad esaminare il caso deciso dal Garante Italiano, con il provvedimento n. 324 del 20 luglio 2017, doc. web. n. 6955363.
Il caso riguardava un sito di commercio elettronico dove la visualizzazione delle proposte commerciali era subordinata al completamento di una procedura di registrazione nella quale l’utente era tenuto a fornire il proprio indirizzo di posta elettronica e ad accettare i termini e condizioni e la privacy policy.
Un primo elemento di criticità viene ravvisato dal Garante nel fatto che “il trattamento dell’informazione relativa all’indirizzo di posta elettronica non può ritenersi necessario per consentire la “navigazione” nel sito web e la conseguente visualizzazione delle proposte commerciali ivi contenute“.
Il Garante, in buona sostanza, ritiene che la raccolta di dati effettuata dal sito di e-commerce in questione risulterebbe “eccessiva” rispetto al perseguimento della finalità consistente nel mero accesso ai contenuti presenti sul sito de quo.
Inoltre, il Garante afferma che la raccolta dei dati non sarebbe, in linea di principio, neppure necessaria al fine del perfezionamento degli acquisti, salva prova contraria. In relazione a tale punto, tuttavia, mi permetto di segnalare che, ai fini del perfezionamento di un acquisto online, il gestore del sito, in base alla normativa di cui al D.lgs 206/2005 e del D.lgs 70/2003, è tenuto ad inviare all’utente una conferma scritta dell’ordine effettuato e delle condizioni applicabili. Per cui, a mio modesto avviso, in questo caso la raccolta, quanto meno, dell’indirizzo email si renderebbe necessaria.
Ad ogni modo, dalla lettura di questo provvedimento, emerge, ancora una volta, la necessità di tenere in debita considerazione le implicazioni privacy dei progetti informatici, sin dal momento della progettazione (principio del privacy by design). Una buona progettazione, rispettosa delle esigenze della privacy, consentirà al Titolare di risparmiare tempo e costi nelle fasi successive e, soprattutto, quello di ridurre il rischio di incorrere in sanzioni amministrative.
