La sezione raccoglie contributi autorali, realizzati da professionisti specializzati nella materia, che intendono fare il punto sugli aspetti più critici e delicati del nuovo impianto legislativo emerso con l’introduzione del GDPR.

di Fabiola Iraci Gambazza "L’Autorità ha richiamato l’adozione di un approccio prudente e consapevole nell'utilizzo di sistemi di IA nel contesto lavorativo: la loro capacità inferenziale impone infatti un approccio cauto, soprattutto quando i risultati derivano da processi di correlazione e classificazione caratterizzati da difficile interpretabilità".

di Piera Di Stefano "Ove l'utente possa consultare i dati giudiziari previo mero versamento di un corrispettivo economico, la condotta del gestore trasla da un'attività di informazione a una fruizione commerciale automatizzata. Il trattamento volto a consentire tale consultazione indifferenziata rimane pertanto escluso dalle tutele rafforzate per la stampa".

di Simona Loprete "Le FAQ del Garante privacy, pur non avendo natura di provvedimento, costituiscono un parametro interpretativo di riferimento con cui le organizzazioni sanitarie devono allineare le proprie informative privacy, le proprie procedure interne e i propri sistemi informativi".

di Maria Valeria Feraco "Il bias algoritmico (...) non è soltanto un problema tecnico di qualità del dataset o di calibrazione del modello. È un problema di diritti fondamentali, perché può incidere direttamente sull’eguaglianza sostanziale, sulla non discriminazione, sulla dignità della persona, sulla protezione dei dati personali e sull’accesso effettivo a opportunità e servizi essenziali".

di Simona Loprete "Il lavoratore non è una risorsa produttiva da ottimizzare attraverso la conoscenza delle sue condizioni psicofisiche, ma una persona la cui sfera più intima deve essere protetta anche e soprattutto nel contesto di una relazione caratterizzata da una strutturale asimmetria di potere".

di Jacopo Purificati "A differenza di tanti altri scenari, dove l’Authority interviene sulla base di reclami o segnalazioni degli interessati o anche d’ufficio, ma per violazioni sostanzialmente determinate dal titolare del trattamento, nel caso di un attacco informatico come quello in narrativa occorre chiedersi quanta responsabilità possa essere effettivamente imputata all’organizzazione colpita e quanta, invece, deve restare in capo agli hacker autori degli attacchi".

di Fabiola Iraci Gambazza "Le peculiarità tecniche degli LLM - tra cui l’opacità dei processi di apprendimento, la natura probabilistica degli output e la capacità di adattamento continuo - mettono (...) in discussione alcuni dei presupposti tradizionali della disciplina della protezione dei dati personali e rendono più complessa l’applicazione di principi consolidati quali la minimizzazione, l’esattezza, la limitazione della conservazione e la trasparenza".

di Maria Valeria Feraco "L’impiego di sistemi di intelligenza artificiale nel contesto lavorativo richieda una verifica di conformità su un duplice piano, non sovrapponibile ma strettamente interdipendente: quello della protezione dei dati personali, ai sensi del GDPR, e quello della regolazione del sistema di IA, ai sensi dell’AI Act".

di Maria Valeria Feraco "Il punto di equilibrio non è quindi quello di sacrificare la protezione dei dati in nome dell’innovazione, né quello di ostacolare la ricerca con vincoli sproporzionati, ma quello di rendere possibile una ricerca affidabile, verificabile e socialmente utile entro un perimetro di accountability".

di Simona Loprete "Anche una prima richiesta di accesso può, in determinate circostanze, essere già considerata 'eccessiva' ai sensi del GDPR e quindi abusiva. Il rispetto formale delle condizioni di applicazione dell’art. 15 non esclude, di per sé, il carattere eccessivo della richiesta".

di Annalisa Spedicato "Le linee guida impongono ai fornitori di servizi di dichiarare espressamente di non utilizzare tecniche di tracciamento, dalle quali possa emergere lo status di disabilità dell’utente, rispettando dunque i principi di liceità, correttezza, trasparenza e minimizzazione fissati dal Regolamento (UE) 2016/679".

di Simona Loprete "L’uso secondario dei dati sanitari è, sempre più, considerato legittimo in presenza di un interesse pubblico (prevenzione e salute pubblica, ricerca scientifica, innovazione), anche in assenza di un nuovo consenso dell’interessato, purché le misure di garanzia siano commisurate ai rischi per gli interessati e le finalità siano compatibili con il contesto originario di raccolta".

di Jacopo Purificati "L’estrazione e l’organizzazione automatizzate di anagrafiche, volte a valutare le caratteristiche personali e comportamentali della clientela, allo specifico scopo di assoggettarla al trasferimento dei rapporti contrattuali configura un vero e proprio processo decisionale automatizzato in grado di incidere significativamente sulle persone fisiche".

di Maria Valeria Feraco "Ne emerge (...) una prima tensione: un trattamento può essere pienamente critico alla luce del GDPR e, al contempo, meno rilevante nella logica di classificazione del rischio propria dell’AI Act".

di Simona Loprete "La perentorietà dei termini entro i quali l’autorità procedente deve concludere le varie fasi del procedimento, sino al provvedimento finale, rappresenta un presupposto imprescindibile per garantire il rispetto di principi fondamentali dell’ordinamento, coperti da garanzia costituzionale".

di Ariella Fonsi "L’obbligo di informazione non riguarda soltanto la comunicazione di determinati elementi formali, ma richiede che tali informazioni siano rese in modo effettivamente accessibile, comprensibile e idoneo a consentire agli interessati di comprendere il trattamento dei propri dati personali".

di Simona Loprete "Il dossier si distingue dal fascicolo sanitario elettronico e dal trattamento dei dati necessario per l’erogazione della singola prestazione sanitaria. Il trattamento tramite dossier è, infatti, specifico e ulteriore rispetto a quello effettuato dal professionista sanitario con le informazioni acquisite in occasione della cura di un singolo evento clinico. Elemento centrale della disciplina del dossier sanitario è, di conseguenza, la sua natura facoltativa. La costituzione del dossier e la consultazione dei dati che lo compongono presuppongono, per tale ragione, uno specifico e distinto consenso dell’interessato, che deve essere libero, informato e revocabile in ogni momento".

di Maria Valeria Feraco "Negli ultimi anni (...) la tutela dei minori nell’ecosistema digitale è diventata una priorità strutturale delle politiche europee, anche alla luce della crescente esposizione dei ragazzi a contenuti dannosi, pratiche commerciali aggressive, meccanismi di profilazione e rischi relazionali come il grooming. In questo quadro, l’età non rileva solo per impedire l’accesso a determinati contenuti, ma anche per modulare l’esperienza digitale in modo coerente con il livello di maturità dell’utente".

di Simona Loprete "La circostanza secondo cui la newsletter contenga anche contenuti informativi non esclude di per sé l’integrazione della fattispecie della comunicazione di marketing diretto".

di Fabiola Iraci Gambazza "La sentenza in commento ha una valenza pratica di rilievo per i titolari del trattamento che operano a livello transfrontaliero nell'Unione. Prima di questa pronuncia, l'unica via di contestazione della decisione dell'EDPB dinanzi alla CGUE era quella “indiretta”, attraverso il rinvio pregiudiziale di validità sollevato dal giudice nazionale nell'ambito del ricorso avverso la decisione finale dell'Autorità di controllo".

di Fabiola Iraci Gambazza "L’AI Act trova applicazione “senza pregiudizio” per la normativa in materia di protezione dei dati personali. La conformità di un sistema di IA ai requisiti previsti dall’AI Act non esonera, pertanto, l’ente dall’onere di dimostrare la liceità del trattamento ai sensi del GDPR".

di Simona Loprete "Il Titolare del trattamento mantiene un ruolo centrale nella determinazione delle finalità e dei mezzi del trattamento e, per tale ragione, resta giuridicamente responsabile di garantire che effettivamente l’intera catena di responsabili, sub-responsabili e sub-sub-responsabili (e così via), anche se lunga, impieghi garanzie sufficienti per attuare le misure tecniche e organizzative adeguate al rispetto del GDPR".

di Piera Di Stefano "Il trattamento di un dato legittimamente inserito nel web, altrettanto lecitamente vi permane finchè perdurano le ragioni che ne giustificano la permanenza. Solo quando subentra un grado di obsolescenza tale da far venir meno la finalità della raccolta, scatta il diritto all’oscuramento".

di Ariella Fonsi "Il Digital Omnibus introduce un nuovo articolo 4a, che estende ai fornitori e agli utilizzatori di sistemi che non sono classificati come ad alto rischio la possibilità di trattare categorie particolari di dati personali (come definiti dal GDPR) ai fini della rilevazione e mitigazione dei bias".

di Maria Valeria Feraco "I modelli pay or ok, nella loro attuale configurazione, sollevano seri dubbi di compatibilità con i requisiti di libertà del consenso previsti dal GDPR. In particolare, il rischio di trasformare la protezione dei dati personali in un “servizio premium” riservato a chi può sostenere un costo economico appare difficilmente conciliabile con la qualificazione della protezione dei dati come diritto fondamentale".