Uno, nessuno o centomila? Minimizzazione e privacy by default nel primo provvedimento del Garante dopo il GDPR

Lo scritto commenta il provvedimento n. 396 del 28 giugno 2018 con cui il Garante privacy torna ad occuparsi del trattamento dei dati personali effettuato tramite sistemi di localizzazione. Per la prima volta, però, da un lato, la liceità del trattamento viene verificata anche al lume delle disposizioni del Regolamento (UE) 2016/679; dall’altro, l’Autorità di controllo italiana ingiunge ad un fornitore di servizi di localizzazione di incorporare il diritto alla privacy—per impostazione predefinita—nelle funzionalità del prodotto, dando concreto significato al principio di privacy by design. L'Autrice ritiene che se il giudizio sulla illiceità del trattamento, condotto tramite l’applicazione dei principi cardine in materia di protezione dei dati personali, è occasione di consolidamento e conferma di schemi argomentativi già applicati dal Garante, per un verso, nuovo è il rilievo che essi assumono al lume della disciplina regolamentare; per altro verso, rilevante è l’approccio dell’Autorità che, in ottica di effettiva tutela dei diritti e delle libertà degli interessati, ne prescrive il rispetto, non solo al titolare del trattamento, ma anche al fornitore del servizio, finanche incidendo direttamente sulla sua libertà d’impresa.