Geolocalizzazione e trattamento dei dati personali

Come previsto dall'art. 25 del GDPR, il titolare del trattamento deve accertarsi, attuando delle misure tecniche e organizzative, che vengano trattati, per impostazione predefinita, solo i dati personali necessari per conseguire le finalità predefinite del trattamento.

Le misure che si possono adottare sono la pseudonimizzazione e la minimizzazione. La pseudonimizzazione è definita nell'art. 4, par. 5, del GDPR, in cui si afferma che è un tipo di trattamento che rende impossibile risalire ad un interessato specifico con i soli dati personali senza informazioni aggiuntive, solo se queste vengono conservate separatamente. Una tecnica di pseudonimizzazione è la crittografia con chiave segreta, un meccanismo grazie al quale solo chi è a conoscenza della chiave può «decrittare» i dati, riuscendo così a identificare il soggetto d'interesse. Esistono anche due tipologie di strategie:

• strategie orientate ai dati:
− la minimizzazione ha come obiettivo quello di considerare durante il trattamento la quantità minima di dati possibile;
− la separazione, con cui i dati personali vengono separato, porzionati e distribuiti evitando la ricongiunzione delle varie suddivisioni;
− nascondimento, che nasconde la versione integrale dei dati;
− aggregazione, strategia con cui si aggregano i dati il più possibile, rendendoli generici al massimo.

• strategie orientate ai processi:
− informazione, con cui si fornisce la completa conoscenza di dettagli sul trattamento;
− controllo, che garantisce di far leggere, aggiornare, cancellare i propri dati agli interessati;
− rafforzamento, caso in cui si applicano misure ulteriori oltre quelle previste dalla legge;
− dimostrazione, per provare la corretta applicazione delle disposizioni del Regolamento.

Queste sono delle possibili tecniche che il titolare può adottare per garantire la protezione per impostazione predefinita o anche detta in inglese data protection by default. Chiaramente bisogna intervenire controllando il trattamento dei dati personali sia in fase di acquisizione che in fase di loro successiva rielaborazione. Un esempio di rispetto del principio di privacy by design potrebbe essere quello di dare la possibilità agli utenti online di decidere se attivare o meno i cookies volontariamente, evitando così la raccolta automatica di dati attraverso questo strumento con un grande potenziale69 che è quindi in grado di raggruppare un enorme quantità di dati personali sull'utente, soggetti a possibili pericoli di privacy. Queste impostazioni devono essere pensate e applicate creando delle funzionalità precise, in fase di progettazione, che forniscono sempre più libertà di scelta all'utilizzatore.