Il presente approfondimento, premessi brevi cenni sul concetto di profilazione e sulle caratteristiche peculiari di tale attività di trattamento, si propone di individuare gli scenari applicativi della profilazione, esemplificando in quali contesti il titolare del trattamento possa beneficiare del predetto sistema di elaborazione e raccolta dei dati personale e al ricorso di quali condizioni.
Introduzione
I vantaggi della profilazione sono tangibili e si concretano nella segmentazione del mercato, nella personalizzazione dei prodotti e dei servizi offerti, nel miglioramento dell'efficienza dei processi produttivi.
Tuttavia, non possono essere sottaciuti i rischi correlati all'implementazione di processi aziendali che si avvalgano della profilazione oltre i limiti concessi dalla normativa vigente: si pensi esemplificativamente ai fenomeni discriminatori e di segregazione sociale e alla possibile limitazione della capacità di autodeterminarsi del singolo.
Per queste ragioni, il Regolamento UE 2016/679 per la protezione dei dati personali (di seguito “Regolamento” o “GDPR”) introduce disposizioni specifiche che sono volte a precisarne i limiti ea fornire gli opportuni strumenti di tutela per evitare che queste forme di trattamento dei dati personali possono essere utilizzati pregiudicando i diritti delle persone fisiche (di seguito intese anche come “interessati”).
Profilazione e marketing
Il Regolamento prevede che qualsiasi trattamento di profilazione sia lecito solo se necessario per la conclusione o l'esecuzione di un contratto o per il perseguimento di un interesse del titolare o, ancora, se basato sul consenso dell'interessato.
Focalizzandosi un momento sui rapporti tra profilazione e marketing appare evidente come il meccanismo del consenso sia un prerequisito essenziale perché l'attività di profilazione possa svolgersi lecitamente.
Tuttavia, come visto, anche il percorso di interesse può intendersi come idonea base giuridica su cui fondare il trattamento. Del resto, lo stesso Considerando 47 del Regolamento ha precisato che “ può essere considerato considerare interesse trattare dati personali per finalità di marketing diretto ”.
Ad ogni modo, tale base giuridica non si applica automaticamente: al ricorrere di tali circostanze, infatti, sarà necessario procedere a una ponderazione caso per caso.
In ogni caso, occorre assolutamente rammentare che l'articolo 21, paragrafo 2, del regolamento riconosce all'interessato un diritto incondizionato ad opporsi al trattamento dei suoi dati personali per finalità di marketing diretto , compresa la profilazione nella misura in cui sia raccolto un racconto marketing diretto.
Profilazione e marketing sui minori
Sebbene l'articolo 22 del Regolamento non impedisca al titolare del trattamento di prendere decisioni basate esclusivamente sul trattamento automatizzato in relazione ai minori, considerato il livello di individualità della categoria degli interessati in commento, sarebbe opportuno astenersi dal profilarli per finalità di marketing.
Targeting sui social media
Strettamente correlato al concetto di profilazione è il targeting, inteso come il processo che consente di individuare i segmenti obiettivo (cd target ) verso i quali orientare il marketing.
L'EDPB ha fornito delle Linee guida , ancora sottoposte a consultazione pubblica, rivolte a chiunque effettui attività di targeting degli utenti dei social media, con particolare riguardo alle responsabilità dei targeters e dei social media providers e alla definizione dei ruoli dal punto di vista privacy .
Per ciò che in questo momento ci occupiamo, quando il targeting viene effettuato attraverso i social media, la profilazione rilevata potrebbe comportare la deduzione d'informazioni e dati personali ulteriori che l'interessato non è stato divulgato.
Ci si chiede, allora, quali siano le responsabilità connesse e quali le condizioni di liceità del social media targeting .
Quanto al primo aspetto, al fine di definire i confini della responsabilità tra social media provider e targeter, le Linee Guida ricordano che è possibile arrivare a definire una titolarità quando due o più titolari del trattamento determinano congiuntamente le finalità ei mezzi del trattamento.
Quanto alle condizioni di liceità, invece, valgono le considerazioni introduttive al presente contributo. Pertanto, fermi i diritti degli interessati e gli obblighi d'informativa, le basi giuridiche che legittimano il trattamento al ricorrere di tali circostanze possono ridursi a causa: il consenso dell'interessato o il possesso dell'interesse del titolare.
