La limitazione delle finalità richiede di raccogliere dati personali per scopi determinati, espliciti e legittimi e di valutare gli utilizzi successivi. La domanda operativa è semplice da formulare e spesso difficile da risolvere: possiamo usare questo archivio per una nuova attività? La risposta dipende da finalità iniziale, presupposti del nuovo uso, contesto e conseguenze per le persone.
Gli articoli 5 e 6 GDPR forniscono il quadro del principio e della valutazione di compatibilità. Questa guida segue il percorso definizione dello scopo, confronto fra usi, garanzie e decisione documentata. Il risultato è una scheda che consente di decidere prima di esportare i dati o attivare una nuova elaborazione.
Scrivere una finalità che descriva un’attività
Formule come «gestione aziendale» o «miglioramento del servizio» possono essere troppo ampie per guidare scelte concrete. Descrivete il risultato perseguito: gestire una richiesta, erogare una prestazione, prevenire una determinata frode o inviare comunicazioni di un certo tipo. La precisione permette di capire quali dati servano e quando il trattamento debba terminare.
Distinguete finalità e mezzi. Utilizzare un CRM, un modello statistico o un fornitore cloud descrive il modo di operare, non necessariamente lo scopo. Una modifica dello strumento può lasciare invariata la finalità; una nuova attività commerciale può cambiarla anche se utilizza la stessa applicazione e le stesse colonne.
Il registro dei trattamenti dovrebbe mantenere questa distinzione. Se una scheda comprende più finalità, verificate che dati, basi giuridiche, destinatari e conservazione rimangano comprensibili per ciascuna. La comodità amministrativa di una voce unica non deve nascondere decisioni diverse.
Descrivere il nuovo uso senza minimizzarne le differenze
Indicate chi propone l’attività, quali dati vorrebbe utilizzare e quale risultato attende. Annotate destinatari, durata, automazione e conseguenze. Un progetto presentato come semplice «analisi» può in realtà produrre classificazioni individuali, selezioni commerciali o decisioni sul personale.
La mappatura dei sistemi aiuta a individuare copie e flussi aggiuntivi. Un’esportazione verso un ambiente sperimentale può introdurre nuovi accessi e un fornitore non presente nel processo originario. Questi elementi devono entrare nella valutazione prima dell’utilizzo di dati reali.
Chiedete anche se il risultato sia ottenibile con dati anonimi, aggregati o meno dettagliati. L’anonimizzazione e la pseudonimizzazione producono effetti diversi: sostituire il nome con un codice non esclude automaticamente il trattamento dal GDPR. La scelta deve essere verificata rispetto alle possibilità di identificazione.
Individuare il quadro giuridico del nuovo trattamento
L’articolo 6, paragrafo 4, descrive la valutazione del trattamento per una finalità diversa quando non si basa sul consenso dell’interessato o su una specifica previsione del diritto dell’Unione o nazionale che rispetti le condizioni indicate. Non trattate il test come una scorciatoia universale che permette qualsiasi riutilizzo se l’organizzazione lo ritiene utile.
Esaminate la base giuridica pertinente e gli eventuali vincoli specifici. Se il progetto richiede consenso, valutate se quello già raccolto copra davvero il nuovo scopo; un consenso generico a futuri utilizzi non risolve automaticamente la questione. Se una norma autorizza l’attività, identificate disposizione e limiti.
Per le categorie particolari di dati, verificate anche l’articolo 9. Una conclusione favorevole sulla compatibilità non elimina le condizioni richieste per salute, convinzioni o altre informazioni protette. Mantenete separati i passaggi nel fascicolo, così da rendere visibile il ragionamento.
Applicare i fattori di compatibilità
Considerate il collegamento fra finalità iniziale e ulteriore, il contesto della raccolta, il rapporto con la persona, la natura dei dati, le possibili conseguenze e le garanzie appropriate. I fattori devono essere descritti con fatti. «La persona se lo aspetta» richiede una spiegazione legata al servizio, all’informazione fornita e alla relazione concreta.
La natura dei dati comprende anche delicatezza e dettaglio. Un archivio di recapiti può diventare più invasivo se combinato con frequenza degli acquisti, ubicazioni o informazioni provenienti da altre fonti. La valutazione deve considerare il risultato della combinazione, non soltanto ciascun campo isolatamente.
Le conseguenze possono essere favorevoli, sfavorevoli o difficili da prevedere. Descrivete come l’uso potrebbe modificare opportunità, prezzi, accesso a servizi o percezione della persona. La reversibilità e la possibilità di contestare un risultato incidono sulla valutazione, ma non cancellano automaticamente un’incompatibilità.
| Fattore | Domanda operativa | Evidenza da raccogliere |
|---|---|---|
| Collegamento | Quale relazione esiste fra i due scopi? | Descrizione dei processi |
| Contesto | In quali condizioni i dati sono stati ottenuti? | Informativa e rapporto con l’interessato |
| Natura | Quale informazione rivelano i dati e le combinazioni? | Dizionario e campione sintetico |
| Conseguenze | Che cosa cambia per la persona? | Scenari d’uso e decisioni prodotte |
| Garanzie | Quali possibilità di abuso vengono ridotte? | Configurazione e prova delle misure |
Valutare le garanzie senza attribuire loro effetti eccessivi
Riduzione dei campi, accessi limitati, separazione degli identificativi e aggregazione possono modificare il rischio. Descrivete come funzionano e quali limiti presentano. Una clausola interna che vieta la reidentificazione ha una funzione diversa da una separazione tecnica che impedisce agli analisti di accedere alle informazioni aggiuntive.
La minimizzazione dei dati deve riguardare anche durata e destinatari. Un progetto sperimentale può richiedere un campione limitato, ma il campione deve essere sufficiente e appropriato allo scopo. Evitate di trasferire l’intero archivio per comodità quando una porzione controllata permetterebbe la valutazione.
Se il progetto produce decisioni automatizzate, esaminate separatamente il relativo regime. La compatibilità del riutilizzo e la liceità della decisione sono questioni collegate ma distinte. Una garanzia utile per la prima non soddisfa necessariamente tutte le condizioni della seconda.
Usare un caso ipotetico per confrontare alternative
Un servizio di assistenza vuole analizzare richieste passate per migliorare le risposte. La prima opzione utilizza statistiche aggregate sui tempi e sulle categorie; la seconda invia testi integrali a un nuovo fornitore; la terza classifica individualmente i clienti per limitarne l’accesso. Le tre attività non hanno lo stesso effetto, pur partendo dal medesimo archivio.
La scheda deve distinguere dati necessari, nuovi destinatari, informazione alle persone e conseguenze. Il confronto può far emergere un’alternativa che raggiunge lo scopo con minore esposizione. L’esempio non costituisce un’autorizzazione generale: serve a mostrare perché il nome «miglioramento del servizio» non basta a descrivere la decisione.
Informare e attuare la decisione
Quando il titolare intende effettuare un ulteriore trattamento per una finalità diversa, gli articoli 13 e 14 prevedono obblighi informativi pertinenti prima di tale trattamento. Verificate quale disposizione si applichi e quali informazioni debbano essere fornite. Aggiornare soltanto una pagina non dimostra che il processo abbia raggiunto le persone attraverso un canale adeguato.
Collegate la conclusione alla configurazione del progetto: campi ammessi, destinatari, accessi, durata e modalità di cancellazione. Assegnate un responsabile alle condizioni e verificatele prima dell’avvio con dati reali. Se il progetto cambia dopo l’approvazione, la scheda deve essere riaperta.
Il registro delle decisioni di accountability può conservare proposta, alternative, fonti e motivazione finale. Indicate anche le opzioni respinte e la ragione, quando utile a evitare che riemergano senza una nuova valutazione.
Per approfondimenti interpretativi, consultate i principi illustrati dall’EDPB. Il fascicolo deve comunque rispondere a una domanda concreta: quali dati possono essere usati, per quale nuovo risultato e con quali garanzie. Se la conclusione non permette a chi implementa il progetto di riconoscere questi limiti, occorre renderla più precisa prima dell’utilizzo.
Alla chiusura del progetto, confrontate anche gli output con lo scopo approvato. Un’analisi inizialmente aggregata può produrre file intermedi individuali o classificazioni conservate per un utilizzo successivo. Identificate tali risultati, assegnate loro una gestione coerente e impedite che diventino un nuovo archivio disponibile senza valutazione. Il controllo delle finalità riguarda ciò che viene prodotto, oltre ai dati prelevati dalla fonte iniziale.