Il 24 marzo 2020, l’Autoriteit Persoonsgegevens, Autorità olandese sulla protezione dei dati personali (“AP”), ha annunciato l’avvio di un’ampia indagine relativa al settore dell’automotive, volta a determinare le modalità di trattamento dei dati personali effettuato dalle case automobilistiche.
L’indagine fa seguito alla pubblicazione da parte dell’European Data Protection Board (“EDPB”) del draft delle Linee guida 1/2020, risalenti al mese di febbraio, inerenti al trattamento dei dati personali nel contesto dei veicoli collegati e delle applicazioni relative alla mobilità, tramite le quali l’EDPB ha evidenziato l’esigenza di far luce sui trattamenti effettuati in tale settore: infatti, alla luce delle innovazioni tecnologiche introdotte negli ultimi anni, non è possibile escludere a priori la riconducibilità dei dati trattati sui database delle c.d. “smart cars” alla categoria dei dati personali, così come definiti ai sensi del Regolamento (UE) 2016/679 (“GDPR”).
Nel comunicato ufficiale pubblicato sul proprio sito web, l’Autorità ha dichiarato di aver ricevuto pochi reclami da parte degli interessati rispetto al trattamento effettuato sui propri dati personali da parte delle case automobilistiche. Tuttavia – aggiunge – è probabile che il silenzio degli utenti sia dettato una mancanza di consapevolezza della privacy nel settore in oggetto. In altri termini, può a ragione ritenersi che la spinta propulsiva dell’indagine debba rinvenirsi proprio nell’auspicio di portare maggiore chiarezza e consapevolezza in relazione ai trattamenti di dati effettuati nel mondo dell’automotive, in modo da poter avviare un dialogo con i rappresentanti del settore e, ove necessario, avviare azioni esecutive.
Alla luce di tali rilievi, l’AP olandese ha pertanto comunicato di aver inoltrato un questionario a tutti i produttori di veicoli con sede nei Paesi Bassi, chiedendo informazioni in merito (i) alle tipologie di dati personali trattati, (ii) ai tempi di conservazione degli stessi, (iii) alle misure di sicurezza adottate, nonché (iv) l’indicazione dei soggetti terzi a cui i dati vengono comunicati.
L’Autorità è consapevole del fatto che molti produttori hanno la propria sede o il proprio “stabilimento principale” nell’Unione Europea in paesi diversi dall’Olanda. Pertanto, in virtù del principio di cooperazione vigente in materia di protezione dei dati personali, i risultati delle indagini verranno condivisi con le autorità europee competenti, al fine di promuovere ulteriori azioni ispettive di follow-up, nonché per la comminazione delle sanzioni conseguenti all’eventuale riscontro di violazioni della disciplina privacy applicabile.
Autore: DLA Piper
