La sezione raccoglie contributi autorali, realizzati da professionisti specializzati nella materia, che intendono fare il punto sugli aspetti più critici e delicati del nuovo impianto legislativo emerso con l’introduzione del GDPR.

di Jacopo Purificati "A differenza di tanti altri scenari, dove l’Authority interviene sulla base di reclami o segnalazioni degli interessati o anche d’ufficio, ma per violazioni sostanzialmente determinate dal titolare del trattamento, nel caso di un attacco informatico come quello in narrativa occorre chiedersi quanta responsabilità possa essere effettivamente imputata all’organizzazione colpita e quanta, invece, deve restare in capo agli hacker autori degli attacchi".

di Fabiola Iraci Gambazza "Le peculiarità tecniche degli LLM - tra cui l’opacità dei processi di apprendimento, la natura probabilistica degli output e la capacità di adattamento continuo - mettono (...) in discussione alcuni dei presupposti tradizionali della disciplina della protezione dei dati personali e rendono più complessa l’applicazione di principi consolidati quali la minimizzazione, l’esattezza, la limitazione della conservazione e la trasparenza".

di Maria Valeria Feraco "L’impiego di sistemi di intelligenza artificiale nel contesto lavorativo richieda una verifica di conformità su un duplice piano, non sovrapponibile ma strettamente interdipendente: quello della protezione dei dati personali, ai sensi del GDPR, e quello della regolazione del sistema di IA, ai sensi dell’AI Act".

di Maria Valeria Feraco "Il punto di equilibrio non è quindi quello di sacrificare la protezione dei dati in nome dell’innovazione, né quello di ostacolare la ricerca con vincoli sproporzionati, ma quello di rendere possibile una ricerca affidabile, verificabile e socialmente utile entro un perimetro di accountability".

di Simona Loprete "Anche una prima richiesta di accesso può, in determinate circostanze, essere già considerata 'eccessiva' ai sensi del GDPR e quindi abusiva. Il rispetto formale delle condizioni di applicazione dell’art. 15 non esclude, di per sé, il carattere eccessivo della richiesta".

di Annalisa Spedicato "Le linee guida impongono ai fornitori di servizi di dichiarare espressamente di non utilizzare tecniche di tracciamento, dalle quali possa emergere lo status di disabilità dell’utente, rispettando dunque i principi di liceità, correttezza, trasparenza e minimizzazione fissati dal Regolamento (UE) 2016/679".

di Simona Loprete "L’uso secondario dei dati sanitari è, sempre più, considerato legittimo in presenza di un interesse pubblico (prevenzione e salute pubblica, ricerca scientifica, innovazione), anche in assenza di un nuovo consenso dell’interessato, purché le misure di garanzia siano commisurate ai rischi per gli interessati e le finalità siano compatibili con il contesto originario di raccolta".

di Jacopo Purificati "L’estrazione e l’organizzazione automatizzate di anagrafiche, volte a valutare le caratteristiche personali e comportamentali della clientela, allo specifico scopo di assoggettarla al trasferimento dei rapporti contrattuali configura un vero e proprio processo decisionale automatizzato in grado di incidere significativamente sulle persone fisiche".

di Maria Valeria Feraco "Ne emerge (...) una prima tensione: un trattamento può essere pienamente critico alla luce del GDPR e, al contempo, meno rilevante nella logica di classificazione del rischio propria dell’AI Act".

di Simona Loprete "La perentorietà dei termini entro i quali l’autorità procedente deve concludere le varie fasi del procedimento, sino al provvedimento finale, rappresenta un presupposto imprescindibile per garantire il rispetto di principi fondamentali dell’ordinamento, coperti da garanzia costituzionale".

di Ariella Fonsi "L’obbligo di informazione non riguarda soltanto la comunicazione di determinati elementi formali, ma richiede che tali informazioni siano rese in modo effettivamente accessibile, comprensibile e idoneo a consentire agli interessati di comprendere il trattamento dei propri dati personali".

di Simona Loprete "Il dossier si distingue dal fascicolo sanitario elettronico e dal trattamento dei dati necessario per l’erogazione della singola prestazione sanitaria. Il trattamento tramite dossier è, infatti, specifico e ulteriore rispetto a quello effettuato dal professionista sanitario con le informazioni acquisite in occasione della cura di un singolo evento clinico. Elemento centrale della disciplina del dossier sanitario è, di conseguenza, la sua natura facoltativa. La costituzione del dossier e la consultazione dei dati che lo compongono presuppongono, per tale ragione, uno specifico e distinto consenso dell’interessato, che deve essere libero, informato e revocabile in ogni momento".

di Maria Valeria Feraco "Negli ultimi anni (...) la tutela dei minori nell’ecosistema digitale è diventata una priorità strutturale delle politiche europee, anche alla luce della crescente esposizione dei ragazzi a contenuti dannosi, pratiche commerciali aggressive, meccanismi di profilazione e rischi relazionali come il grooming. In questo quadro, l’età non rileva solo per impedire l’accesso a determinati contenuti, ma anche per modulare l’esperienza digitale in modo coerente con il livello di maturità dell’utente".

di Simona Loprete "La circostanza secondo cui la newsletter contenga anche contenuti informativi non esclude di per sé l’integrazione della fattispecie della comunicazione di marketing diretto".

di Fabiola Iraci Gambazza "La sentenza in commento ha una valenza pratica di rilievo per i titolari del trattamento che operano a livello transfrontaliero nell'Unione. Prima di questa pronuncia, l'unica via di contestazione della decisione dell'EDPB dinanzi alla CGUE era quella “indiretta”, attraverso il rinvio pregiudiziale di validità sollevato dal giudice nazionale nell'ambito del ricorso avverso la decisione finale dell'Autorità di controllo".

di Fabiola Iraci Gambazza "L’AI Act trova applicazione “senza pregiudizio” per la normativa in materia di protezione dei dati personali. La conformità di un sistema di IA ai requisiti previsti dall’AI Act non esonera, pertanto, l’ente dall’onere di dimostrare la liceità del trattamento ai sensi del GDPR".

di Simona Loprete "Il Titolare del trattamento mantiene un ruolo centrale nella determinazione delle finalità e dei mezzi del trattamento e, per tale ragione, resta giuridicamente responsabile di garantire che effettivamente l’intera catena di responsabili, sub-responsabili e sub-sub-responsabili (e così via), anche se lunga, impieghi garanzie sufficienti per attuare le misure tecniche e organizzative adeguate al rispetto del GDPR".

di Piera Di Stefano "Il trattamento di un dato legittimamente inserito nel web, altrettanto lecitamente vi permane finchè perdurano le ragioni che ne giustificano la permanenza. Solo quando subentra un grado di obsolescenza tale da far venir meno la finalità della raccolta, scatta il diritto all’oscuramento".

di Ariella Fonsi "Il Digital Omnibus introduce un nuovo articolo 4a, che estende ai fornitori e agli utilizzatori di sistemi che non sono classificati come ad alto rischio la possibilità di trattare categorie particolari di dati personali (come definiti dal GDPR) ai fini della rilevazione e mitigazione dei bias".

di Maria Valeria Feraco "I modelli pay or ok, nella loro attuale configurazione, sollevano seri dubbi di compatibilità con i requisiti di libertà del consenso previsti dal GDPR. In particolare, il rischio di trasformare la protezione dei dati personali in un “servizio premium” riservato a chi può sostenere un costo economico appare difficilmente conciliabile con la qualificazione della protezione dei dati come diritto fondamentale".

di Annalisa Spedicato "Lo stesso Garante ha (...) rilevato come l’attuale design dell’ATT prompt potrebbe avere conseguenze su (i) l’effettiva comprensione da parte dell’utente del concetto di tracciamento e (ii) l’autonomia degli sviluppatori nella definizione dei mezzi e delle modalità del trattamento, in quanto l’ATT prompt è caratterizzato da scarse possibilità di personalizzazione da un punto di vista informativo".

di Jacopo Purificati "I due regimi di responsabilità devono agire in misura indipendente, senza che l’applicabilità o meno dell’uno interferisca con l’applicabilità o meno dell’altro".

di Annalisa Spedicato "Lo scopo legittimo per cui è ammesso installare un GPS su un’auto aziendale è (...) quello connesso a scopi organizzativi, produttivi o di sicurezza dell’azienda e del suo patrimonio, come anche quello di proteggere l’immagine aziendale".

di Ariella Fonsi "Tra le novità sicuramente più interessanti del Digital Omnibus si annoverano le modifiche all’art. 9 del GDPR e, in generale, alla possibilità di utilizzare particolari categorie di dati per finalità di training dei sistemi di IA, così come definiti dall’AI Act. Nello specifico, la Commissione propone di inserire un’ulteriore deroga al divieto di trattamento delle categorie particolari di dati per lo sviluppo e funzionamento di sistemi di IA".

di Jacopo Purificati "E' necessario il consenso dell’interessato per qualsiasi comunicazione di marketing diretto trattando i suoi dati di contatto; invece, il consenso non è necessario per l’invio, mediante coordinate di posta elettronica, ottenute nel contesto della precedente vendita di prodotti o servizi, di comunicazioni che promuovono prodotti o servizi analoghi a quelli venduti".