Negli ultimi tempi si è parlato molto di “Weople”, l’app fondata dalla startup milanese Hoda S.r.l., che promette agli iscritti una remunerazione in cambio della cessione dei loro dati personali.

In sostanza, l’impresa italiana che la gestisce offre diversi servizi (offerte commerciali, analisi statistiche e di mercato), proponendosi come intermediaria nel rapporto tra aziende e utenti e chiedendo, su delega di questi ultimi, di ottenere le informazioni personali custodite presso grandi imprese allo scopo di inserirle, al sicuro, all’interno della propria banca dati.

 

Come funziona l’app?

Una volta creato l’account personale, si attiva una cassetta di sicurezza (caveau) dove Weople deposita i dati dell’interessato preventivamente richiesti alle aziende che ne sono in possesso. Si tratta nello specifico dei dati relativi agli account social, alle spese effettuate con la propria carta fedeltà o tramite gli account e-commerce e non ultimo i dati posseduti dai colossi del web, come Google e Apple.

 

Le segnalazioni pervenute all’Autorità Garante

Già a partire dai primi mesi del 2019 sono pervenute diverse segnalazioni all’attenzione dell’Autorità Garante da parte di imprese che lamentavano di aver ricevuto da parte di “Weople” numerosissime richieste di trasferimento alla piattaforma di dati personali e di consumo, registrati soprattutto nelle carte di fedeltà.

Nonostante il caso della app sia emerso in Italia, il Garante per la privacy ha sollevato alcuni dubbi relativi alla portabilità dei dati[1] e alla loro commerciabilità , ritenendo di conseguenza opportuno coinvolgere le altre Autorità di protezione dati per una riflessione generale sul tema, proponendo una lettera all’attenzione del Comitato europeo per la protezione dei dati personali (Edpb), chiedendo un parere sulla questione.

La lettera proposta dall’Autorità Garante si concentra principalmente su due temi:

• Il primo legato alla portabilità dei dati riguarda l’ulteriore complicazione determinata dall’esercitare tale diritto, introdotto dal GDPR, mediante una delega e con il conseguente rischio di possibili duplicazioni delle banche dati oggetto di portabilità.
• Il secondo aspetto di assoluta rilevanza, segnalato nella lettera, riguarda il delicato tema della commerciabilità dei dati, causata dall’attribuzione di un vero e proprio controvalore al dato personale.

 

Applicare il principio di accountability

In attesa della pronuncia dell’Edpb e vista la particolare attività di intermediazione svolta da Weople, il Garante invita le aziende private che riceveranno le richieste di portabilità ad operare nel rispetto del principio di accountability stabilito dal GDPR, valutando se ottemperare alle richieste o motivare un eventuale rifiuto.

 

[1]   L’art.20 par.1 del GDPR afferma che: L’interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti qualora:

a) il trattamento si basi sul consenso ai sensi dell’articolo 6, paragrafo 1, lettera a), o dell’articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell’articolo 6, paragrafo 1, lettera b); 

b) il trattamento sia effettuato con mezzi automatizzati.