Affrontiamo questo argomento che spesso, durante le attività di assistenza e consulenza, abbiamo avuto modo di esaminare singolarmente con i casi che si sono presentati nel tempo.
Ai sensi dell'Art.13 del GDPR il Titolare del Trattamento deve informare gli interessati fornendo loro, fra le altre, anche le finalità delle elaborazioni, i c.d. trattamenti, eseguite con i dati personali conferiti.
I dati personali, oggi considerati il petrolio contemporaneo, possono essere utilizzati anche per finalità non sempre eseguite completamente dal Titolare che li raccoglie.
Spesso, soprattutto per finalità di Marketing, un Titolare potrebbe raccogliere dati personali di interessati da destinare ad attività di Marketing o altre finalità specifiche eseguite da soggetti terzi.
Le norme privacy vigenti non pongono "un divieto" alla cessione dei dati da un Titolare ad un soggetto terzo; anzi uno degli obiettivi del GDPR è costituito dalla libera circolazione dei dati in UE mediante il rispetto di criteri identici in tutto il vecchio continente.
Sebbene non siano posti limiti alla circolazione, la cessione dei dati personali a favore di un soggetto terzo, che opererà nella qualità di Titolare autonomo, può avvenire rispettando i requisiti posti dal GDPR, fra questi l'Art. 6 che indica le basi giuridiche per il trattamento, di conseguenza "il motivo" che giustifica/sostiene la cessione dei dati personali dell'interessato a favore di soggetti terzi.
E' difficile immaginare, per la cessione dei dati personali a terzi che operano come Titolari Autonomi, basi giuridiche quali ad esempio l'esecuzione del contratto o obblighi di legge; la cessione dei dati ad un terzo è eseguibile, quasi sempre, previa concessione del consenso da parte dell'interessato.
Per la cessione dei dati a terzi è possibile consultare anche il Provvedimento del Garante "Linee guida in materia di attività promozionale e contrasto allo spam - 4 luglio 2013 [2542348]"
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/2542348
Il provvedimento sopra indicato, cita inoltre che
"Pertanto, chi, quale titolare del trattamento, intenda raccogliere i dati personali degli interessati anche per comunicarli (o cederli) a terzi per le loro finalità promozionali deve previamente rilasciare ai medesimi un´idonea informativa, ai sensi dell´art. 13, comma 1, del Codice, che individui, oltre agli altri elementi indicati nella norma, anche ciascuno dei terzi o, in alternativa, indichi le categorie (economiche o merceologiche) di appartenenza degli stessi (ad esempio: "finanza", editoria", "abbigliamento": cfr. lettera d della detta norma).
Inoltre, occorre che il titolare acquisisca un consenso specifico per la comunicazione (e/o cessione) a terzi dei dati personali per fini promozionali, nonché distinto da quello richiesto dal medesimo titolare per svolgere esso stesso attività promozionale."
Con l'introduzione del GDPR, il c.d. "Cessionario", cioè il soggetto che riceverà di dati personali, dovrà, se non fatto in precedenza, informare gli interessati ai sensi dell'Art.14 del GDPR.
In particolare, ai sensi dell'Art.14 del GDPR, nel caso di cessione, il terzo cessionario deve informare gli interessati, i cui dati sono stati ricevuti dal Titolare,
- entro un termine ragionevole dall'ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati;
- nel caso in cui i dati personali siano destinati alla comunicazione con l'interessato, al più tardi al momento della prima comunicazione all'interessato; oppure
- nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali.
Iusprivacy ha rilasciato oggi all'interno della propria piattaforma l'accordo di cessione fra il Titolare autonome ed il terzo c.d. Cessionario.
L'argomento non può essere evaso in modo completo all'interno del presente articolo in quanto è necessario declinare un "percorso tecnico e legale" in funzione del contesto dei singoli casi.
