Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
La portabilità non riguarda automaticamente tutti i dati di qualsiasi rapporto. Quando ricorrono i presupposti dell’articolo 20 GDPR, il formato deve essere strutturato, di uso comune e leggibile da dispositivo automatico: una semplice immagine del profilo può non bastare.
La situazione.
Scenario illustrativo fittizio. Un utente vuole trasferire a un altro servizio le informazioni registrate in una piattaforma di allenamento. Il gestore invia un PDF con il riepilogo annuale. Nei sistemi esistono serie cronologiche esportabili, preferenze e dati di attività osservata; alcune annotazioni del gestore derivano invece da valutazioni interne.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Occorre verificare basi del trattamento e modalità automatizzate per delimitare l’ambito dell’articolo 20.
- 02
Dati forniti e osservati nel servizio devono essere distinti da analisi o inferenze elaborate dal titolare.
- 03
Il trasferimento deve rispettare diritti e libertà delle altre persone eventualmente coinvolte.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
La portabilità si applica alle condizioni previste dal GDPR, fra cui trattamento automatizzato e fondamento sul consenso o sul contratto. Non si estende per questo solo a ogni documento presente nel fascicolo del titolare. Gli orientamenti delle autorità aiutano a distinguere informazioni fornite o osservate attraverso l’uso del servizio dalle elaborazioni ulteriori che non rientrano automaticamente nello stesso perimetro.
Il risultato deve permettere un riutilizzo effettivo dei dati pertinenti. Un file con sole pagine non elaborabili o una sintesi incompleta può non soddisfare la richiesta quando esistono dati strutturati rientranti nel diritto. La trasmissione diretta a un altro titolare va considerata quando tecnicamente fattibile; non è corretto chiedere al cliente di rivelare le credenziali del servizio di destinazione per realizzarla.
Cosa fare, in pratica.
- 01
Verificare richiesta, basi giuridiche e trattamenti automatizzati, chiarendo con la persona l’ambito senza usare domande superflue per ritardare la gestione del diritto.
- 02
Individuare i dati pertinenti e separarli da inferenze o dati di terzi che richiedono un esame specifico, mantenendo una motivazione comprensibile delle scelte.
- 03
Preparare un formato interoperabile adeguato, per esempio tabelle o dati strutturati con descrizione dei campi, verificando che l’esportazione sia effettivamente utilizzabile.
- 04
Consegnare il file o valutare la trasmissione diretta con misure di sicurezza proporzionate, senza inviarlo a destinatari non verificati o richiedere password di altri account.
- 05
Spiegare esito ed esclusioni, ricordando che la portabilità non produce da sola la cancellazione dell’account o delle informazioni legittimamente conservate dal servizio originario.
L’errore da evitare.
Equiparare un riepilogo grafico o una stampa dell’account a un’esportazione riutilizzabile, senza verificare i dati che rientrano nella domanda.
Tre verifiche da portare con te.
- Presupposti e ambito verificati.
- Formato testato per leggibilità e riutilizzo.
- Consegna sicura distinta dalla cancellazione.
Il formato non è un dettaglio estetico. Deve rendere praticabile il riutilizzo delle informazioni che il diritto effettivamente comprende.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.