TL;DR per il DPO
Il punto non e' il settore travel: e' il RIUSO. Dati raccolti per erogare un servizio, riutilizzati anni dopo per costruire profili e sviluppare prodotti. Contestati l'art. 14 (informativa quando i dati non arrivano dall'interessato) e l'art. 6 (base giuridica assente: il legittimo interesse era invocato ma non bilanciato).
I tre punti che contano
- La 'ragionevole aspettativa' e' il vero criterio: chi prenota un volo si aspetta che i suoi dati servano al volo, non ad alimentare lo sviluppo prodotto di un fornitore tecnologico anni dopo. Quando il riuso esce da quell'aspettativa, il legittimo interesse non regge.
- L'art. 14 e' l'articolo dimenticato: quando i dati non arrivano dall'interessato ma da un altro soggetto della filiera, l'informativa va data comunque, ed e' li' che quasi tutti si fermano.
- Il bilanciamento del legittimo interesse va DOCUMENTATO prima, non ricostruito in sede di difesa. Un LIA scritto, datato e archiviato e' cio' che distingue una posizione difendibile da un'affermazione.
Cosa fare adesso, in pratica
1) Nel registro art. 30, per ogni trattamento chiediti: i dati vengono usati SOLO per la finalita' dichiarata? Cerca in particolare analisi interne, addestramento di modelli, sviluppo prodotto e statistiche 'migliorative'; 2) dove i dati arrivano da terzi, verifica che esista l'informativa art. 14 e che sia stata effettivamente resa; 3) per ogni legittimo interesse invocato, pretendi un LIA scritto: finalita', necessita', bilanciamento, misure di mitigazione; 4) attenzione ai dati storici: un archivio raccolto anni fa non diventa liberamente riusabile col passare del tempo.
Perche' conta per i tuoi clienti
Il riuso a fini di 'miglioramento del prodotto' e' oggi la richiesta piu' frequente che arriva al DPO dai reparti marketing e sviluppo, spesso accompagnata dalla frase 'tanto sono dati che abbiamo gia''. Diciotto milioni sono una risposta chiara: averli non significa poterli usare per qualunque cosa. E con l'AI Act alle porte, la stessa domanda tornera' sotto forma di 'possiamo addestrarci un modello?'.
Fonte ufficiale:Agencia Espanola de Proteccion de Datos - sanzione ad Amadeus IT Group S.A., resa nota il 26 maggio 2026Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
