Il diritto alla portabilità dei dati disciplinato dall’art. 20 GDPR, consiste sia nel diritto di ricevere in un formato strutturato di uso comune e leggibile da dispositivo automatico, i dati personali forniti ad un titolare del trattamento sia, nel diritto di ottenere che il citato titolare trasmetta i dati ad altro titolare del trattamento, senza impedimenti e se tecnicamente fattibile.
Occorre tuttavia che siano soddisfatte tre condizioni indicate di seguito:
1) i dati personali devono essere trattati, attraverso strumenti automatizzati (quindi escludendo gli archivi cartacei), sulla base del consenso preventivo dell’interessato o per l’esecuzione di un contratto di cui è parte l’interessato;
2) i dati personali di cui si chiede la portabilità devono riguardare l’interessato ed essere quelli forniti dall’interessato. Le linee guida dell’art. 29 del Working Party WP242 rev.01 del 13.12.2016, come modificate il 5.04.2017, raccomandano ai titolari di non interpretare l’espressione “dati personali che riguardano l’interessato” in modo eccessivamente restrittivo, qualora vi siano dati personali di terzi all’interno di un insieme di dati che riguardano l’interessato e sono stati forniti da quest’ultimo, e che l’interessato utilizza per scopi personali;
3) l’esercizio del diritto alla portabilità non deve ledere i diritti e le libertà altrui. Per esempio, se l’insieme dei dati trasferiti su richiesta dell’interessato contiene dati personali che riguardano altre persone fisiche, il nuovo titolare dovrebbe trattare tali dati solo in presenza di un’idonea base giuridica. È questo il caso di un trattamento che sia svolto direttamente dall’interessato nell’ambito di attività esclusivamente personali o domestiche.
I titolari dovrebbero, offrire agli interessati la possibilità di effettuare direttamente il download delle informazioni e consentire agli interessati la trasmissione diretta di queste informazioni a un diverso titolare per esempio, mettendo a disposizione degli interessati un’API (interfaccia di programmazione di applicazioni).
I titolari devono anche informare gli interessati dell’esistenza del diritto alla portabilità “in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”. A questo proposito, il WP29 raccomanda ai titolari di illustrare con chiarezza la differenza fra le categorie di dati che un interessato può ricevere esercitando il diritto alla portabilità anziché il diritto di accesso, e di informare gli interessati specificamente in merito all’esistenza del diritto alla portabilità prima di chiudere un account, così da permettere loro di recuperare e conservare i propri dati personali.
Inoltre il WP29 raccomanda ai titolari di mettere in atto procedure idonee a consentire agli interessati di presentare una richiesta di portabilità e di ricevere i dati personali che li riguardano. I titolari devono prevedere una procedura di autenticazione in modo da stabilire con certezza l’identità dell’interessato che chiede i propri dati personali o, più in generale, chiede di esercitare i diritti riconosciutigli dal GPDR.
Il diritto alla portabilità non esclude, l’esercizio del diritto alla cancellazione ex art. 17 GDPR né gli altri diritti dell’interessato verso il titolare del trattamento, non comportando la cancellazione automatica dei dati conservati nei sistemi del titolare e non incidendo sul periodo di conservazione previsto originariamente per i dati oggetto di trasmissione (WP242).
In considerazione di ciò YouTube deve provvedere alla sua richiesta se rientra nei parametri sopra descritti.
Avv. Giovanni Cavallo
