Ai sensi dell’articolo 14, paragrafo 5, lettera b), oltre alla situazione di “impossibilità” può trovare applicazione lo “sforzo sproporzionato”, in particolare per il trattamento “a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatte salve le condizioni e le garanzie di cui all’articolo 89, paragrafo 1”. Anche il considerando 62 si riferisce a queste finalità come a situazioni in cui informare l’interessato richiederebbe uno sforzo sproporzionato e afferma che, in tali casi, si dovrebbe tener conto del numero di interessati, dell’antichità dei dati e delle eventuali garanzie adeguate in essere. Considerato il rilievo posto dal considerando 62 e dall’articolo 14, paragrafo 5, lettera b), sulle finalità di archiviazione, di ricerca o statistiche, il Gruppo considera che, nell’ordinario, il titolare che non tratta dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non debba avvalersi di quest’esenzione. Il Gruppo sottolinea che, se queste sono le finalità perseguite, occorre soddisfare le condizioni di cui all’articolo 89, paragrafo 1, e che la comunicazione delle informazioni deve costituire uno sforzo sproporzionato.
Nel determinare che cosa possa configurare un’impossibilità o uno sforzo sproporzionato ai sensi dell’articolo 14, paragrafo 5, lettera b), è interessante rilevare che esenzioni analoghe non sono previste all’articolo 13 (se i dati personali sono raccolti presso l’interessato). L’unica differenza tra la situazione di cui all’articolo 13 e quella di cui all’articolo 14 è che, nella seconda, i dati personali non sono raccolti presso l’interessato. Ne consegue pertanto che l’impossibilità o lo sforzo sproporzionato deriva tipicamente da circostanze che non si applicano se i dati personali sono raccolti presso l’interessato. In altre parole, l’impossibilità o lo sforzo sproporzionato deve ricollegarsi direttamente al fatto che i dati personali sono stati ottenuti da fonte diversa dall’interessato.
Esempio
L’ospedale di una grande città chiede a tutti i pazienti che vi si recano per trattamenti in day-hospital, ricoveri di lunga durata o visite mediche di compilare un modulo di raccolta dati del paziente in cui occorre indicare gli estremi di due parenti stretti (gli interessati). Considerato l’enorme numero di pazienti che ogni giorno passano per l’ospedale, comunicare le informazioni di cui all’articolo 14 a tutte le persone elencate come parenti stretti sui moduli compilati dai pazienti richiederebbe uno sforzo sproporzionato da parte dell’ospedale.
I fattori richiamati nel considerando 62 (numero di interessati, antichità dei dati ed eventuali garanzie adeguate in essere) possono essere indicativi dei tipi di questioni che contribuiscono a far sì che il titolare del trattamento debba compiere uno sforzo sproporzionato per comunicare all’interessato le informazioni di cui all’articolo 14.
Esempio
Alcuni storici conducono una ricerca intesa a ricostruire la genealogia in base ai cognomi; in tale contesto ottengono indirettamente una consistente serie di dati su 20 000 interessati. I dati sono tuttavia stati raccolti 50 anni prima, non sono più stati aggiornati da allora e non includono i dati di contatto. Considerata la mole di dati e, più particolarmente, l’antichità degli stessi, rintracciare gli interessati a uno a uno per fornire loro le informazioni di cui all’articolo 14 richiederebbe uno sforzo sproporzionato da parte dei ricercatori.
Qualora intenda avvalersi dell’eccezione di cui all’articolo 14, paragrafo 5, lettera b), perché la comunicazione delle informazioni implicherebbe uno sforzo sproporzionato, il titolare del trattamento dovrebbe effettuare una valutazione mettendo sulla bilancia, da un lato, lo sforzo che fornire le informazioni all’interessato gli implicherebbe e, dall’altro, l’impatto e gli effetti dell’omessa comunicazione sull’interessato. Il titolare del trattamento dovrebbe documentare tale valutazione conformemente agli obblighi di responsabilizzazione che gl’incombono. In siffatto caso, l’articolo 14, paragrafo 5, lettera b), precisa che il titolare deve adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato. Ciò si applica parimenti se il titolare del trattamento stabilisce che la comunicazione delle informazioni risulta impossibile oppure può rendere impossibile o pregiudicare gravemente il conseguimento delle finalità del trattamento. Come specificato all’articolo 14, paragrafo 5, lettera b), una delle misure appropriate che il titolare del trattamento deve adottare sempre è rendere pubbliche le informazioni. Questo è possibile in un certo numero di modi, ad esempio pubblicando le informazioni sul proprio sito Internet oppure pubblicizzandole proattivamente su un giornale o su manifesti nei propri locali. Le altre misure appropriate, oltre alla pubblicità delle informazioni, dipenderanno dalle circostanze del trattamento, ma potranno includere l’effettuazione di una valutazione d’impatto sulla protezione dei dati, l’applicazione di tecniche di pseudonimizzazione dei dati, la minimizzazione dei dati raccolti e del periodo di conservazione e l’attuazione di misure tecniche e organizzative finalizzate a un livello elevato di sicurezza. Vi possono inoltre essere situazioni in cui il titolare tratta dati personali che non richiedono l’identificazione dell’interessato (ad esempio dati pseudonimizzati). In tali casi, può risultare pertinente anche l’articolo 11, paragrafo 1, dal momento che afferma che il titolare del trattamento non è obbligato a conservare, acquisire o trattare ulteriori informazioni per identificare l’interessato al solo fine di rispettare il regolamento.
