Portabilità dei dati nel GDPR: ambito, formati e limiti

La portabilità dei dati è il diritto riconosciuto dall'articolo 20 del Regolamento Generale sulla Protezione dei Dati (GDPR) di ricevere determinati dati personali e, se desiderato, trasmetterli a un altro titolare del trattamento. La consegna deve avvenire in un formato strutturato, di uso comune e leggibile da macchina. Il diritto consente anche di richiedere la trasmissione diretta tra titolari quando tecnicamente fattibile.

Il suo scopo pratico è consentire a una persona di archiviare e riutilizzare informazioni su di sé senza essere legata al formato scelto da un servizio. Può facilitare il cambio di fornitore o l'uso dei dati in un altro strumento, ma non garantisce un'importazione automatica né che il servizio ricevente offra le stesse funzioni. L'articolo 20 riguarda i dati personali, non il trasferimento di un intero account o la replicazione di un prodotto.

È utile distinguere tre usi della parola portabilità. La portabilità del GDPR è un diritto di protezione dei dati; la portabilità numerica consente di mantenere un numero di telefono cambiando operatore; e una migrazione tecnica sposta database, applicazioni o file tra sistemi. Sono simili perché implicano trasferire qualcosa, ma hanno obiettivi e regole diverse.

Il diritto si applica quando il trattamento è effettuato con mezzi automatizzati e si basa sul consenso della persona o su un contratto con essa. Inoltre, i dati devono riguardare la persona che richiede la portabilità e essere stati forniti al titolare. Non si applica, ad esempio, al trattamento necessario per un compito di interesse pubblico o per l'esercizio di poteri pubblici.

L'ambito di 'forniti' non si limita a ciò che è stato scritto in un modulo. Le linee guida sulla portabilità includono sia i dati comunicati consapevolmente—come un nome o un elenco creato dall'utente—sia determinati dati osservati durante l'uso di un servizio. Tra questi possono esserci registri di attività, cronologie di utilizzo, dati di traffico o di localizzazione, a seconda del trattamento e delle circostanze.

Al contrario, i dati inferiti o dedotti dal titolare da altri dati attraverso le proprie analisi, come una valutazione o una previsione creata dal servizio, sono fuori dal diritto di portabilità. Il confine dipende da come è stato generato ciascun dato: il fatto che un'informazione descriva una persona non è sufficiente di per sé perché sia portabile ai sensi dell'articolo 20. Il diritto di accesso è distinto e ha un altro ambito.

I dati di altre persone richiedono anche cautela. Se un insieme include informazioni che identificano o influenzano terzi—ad esempio, una conversazione condivisa—la sua consegna non deve danneggiare i loro diritti e libertà. La portabilità non autorizza una divulgazione illimitata di informazioni altrui: il titolare deve considerare le circostanze e proteggere i dati delle altre persone.

Il GDPR richiede un formato strutturato, di uso comune e leggibile da macchina. In termini pratici, le informazioni devono conservare un'organizzazione che consenta l'elaborazione tramite software, senza ridursi a un'immagine o a un documento difficile da riutilizzare. Le linee guida menzionano lo sviluppo di formati interoperabili e strumenti che aiutano a scaricare o trasmettere i dati come buone pratiche.

JSON, CSV e XML sono esempi comuni di formati strutturati che possono essere leggibili da macchina, ma il GDPR non ne prescrive uno per tutti i casi. La scelta dipende dai dati e da come sono organizzati. Un file CSV può servire per righe e colonne semplici; JSON o XML possono rappresentare strutture annidate con più dettaglio. Avere un'estensione di file nota non garantisce di per sé che sia completo, comprensibile o importabile senza aggiustamenti.

La portabilità non richiede nemmeno che il titolare e il servizio ricevente utilizzino sistemi compatibili. Il considerando 68 del GDPR incoraggia a promuovere formati interoperabili, ma chiarisce che il diritto non obbliga a creare o mantenere una compatibilità tecnica universale. Pertanto, ricevere un file portabile non equivale a completare la migrazione: potrebbe essere necessario adattare campi, risolvere duplicati o verificare quali dati il nuovo servizio accetta.

Queste caratteristiche descrivono il formato, non determinano di per sé quali dati devono essere inclusi. Prima si valuta se ciascun dato rientra nell'ambito dell'articolo 20; poi, come consegnarlo affinché possa essere ricevuto e riutilizzato.

La richiesta è presentata all'azienda o all'organismo che tratta i dati, non all'Autorità Garante per la Protezione dei Dati Personali (AGPD) perché li raccolga. L'AGPD offre un modulo indicativo per rivolgersi al titolare. Nella richiesta, è opportuno identificare la persona, indicare che si esercita il diritto dell'articolo 20 e descrivere i dati o il servizio a cui si riferisce, oltre a specificare se si richiede una trasmissione diretta e a quale titolare.

Il titolare può verificare l'identità in caso di dubbi ragionevoli, ma le informazioni aggiuntive richieste devono essere proporzionate. Se una persona agisce tramite un rappresentante, potrebbe essere necessario dimostrare tale rappresentanza. È utile conservare una copia della richiesta e la prova del suo invio; se la risposta non arriva o non risolve la richiesta, questi elementi aiutano a documentare ciò che è accaduto.

Il termine generale per rispondere a una richiesta di diritti del GDPR è di un mese dalla ricezione. Può essere esteso fino a due mesi aggiuntivi quando necessario a causa della complessità o del numero di richieste, ma il titolare deve informare dell'estensione e spiegare i suoi motivi entro il primo mese. Questo termine è per rispondere; non significa che qualsiasi trasferimento tra servizi debba essere completato in un mese.

Una sequenza semplice per preparare la richiesta è: identificare il titolare, delimitare i dati o il periodo di interesse, richiedere una copia portabile o una trasmissione diretta, e specificare il destinatario se si sceglie quest'ultima opzione. Se la trasmissione diretta non è tecnicamente possibile, il diritto prevede comunque che la persona riceva i propri dati per gestirli da sola.

La trasmissione diretta tra titolari è riconosciuta solo quando tecnicamente fattibile. L'articolo 20 non obbliga due organizzazioni a mantenere una connessione tra i loro sistemi né il ricevente ad accettare qualsiasi struttura di dati. L'interoperabilità facilita il trasferimento, ma dipende dalla progettazione dei servizi e dai formati utilizzati.

Il diritto non annulla nemmeno altre obbligazioni del titolare né il diritto alla cancellazione. Il GDPR stabilisce che l'esercizio della portabilità non pregiudica il diritto di richiedere l'eliminazione dei dati; allo stesso tempo, richiedere una copia portabile non elimina automaticamente i dati che il titolare deve conservare per altre ragioni legali o contrattuali. Sono diritti distinti e possono richiedere richieste separate.

La portabilità non deve influire negativamente sui diritti e sulle libertà di altre persone. Questo può richiedere di proteggere o escludere parti di un insieme condiviso, senza trasformare la richiesta in un'autorizzazione a rivelare dati di terzi. Inoltre, una richiesta su dati personali non dà diritto a ottenere qualsiasi documento interno, segreto commerciale, analisi o codice utilizzato dal servizio.

Le limitazioni pratiche appaiono anche nell'interpretazione dell'ambito: l'utente può ricevere dati inseriti e determinati dati osservati, ma non necessariamente profili, punteggi o conclusioni generati dal fornitore. Pertanto, quando si cambia servizio, è consigliabile verificare quali categorie specifiche sono incluse e quali elementi non vengono trasferiti, invece di assumere che l'intero storico dell'account venga esportato.

In un servizio di musica, un elenco di riproduzione creato dall'utente è un esempio chiaro di informazione inserita; i registri di ascolto possono essere dati osservati dal servizio e rientrare nell'analisi di portabilità a seconda del contesto. Una raccomandazione o un punteggio generato da quei registri è diverso: può costituire un'inferenza del fornitore, non un dato fornito nel senso di questo diritto.

Nella posta elettronica o nei social network, un'export potrebbe includere dati del profilo e determinate attività, ma i messaggi e i contatti possono coinvolgere altre persone. La presenza di informazioni condivise obbliga a considerare i loro diritti. Nei servizi di salute o bancari, l'articolo 20 non crea una categoria settoriale automatica: bisogna verificare la base giuridica del trattamento, se è automatizzato e come è stato generato ciascun dato. Il diritto non garantisce nemmeno che l'applicazione ricevente accetti il file senza adattamento.

La portabilità numerica è un'altra figura. Ad esempio, l'autorità messicana delle telecomunicazioni descrive quel diritto come mantenere lo stesso numero cambiando operatore. Non si tratta di esportare dati personali conformemente al GDPR, né i suoi termini o condizioni devono essere confusi con quelli dell'articolo 20. Una migrazione di database, d'altra parte, è un progetto tecnico e può comprendere dati o sistemi che non sono oggetto di questo diritto individuale.

In sintesi, la portabilità dei dati personali serve a ottenere e riutilizzare una parte definita delle informazioni legate a una persona, sotto condizioni legali specifiche. Prima di esercitarla, aiuta a distinguere quali dati sono stati inseriti, quali osservati e quali inferiti; poi, scegliere tra ricevere il file o richiederne il trasferimento diretto. Il risultato è il controllo su determinati dati, non una garanzia di cambio di servizio senza attriti.