Responsabili del trattamento ex art. 28 GDPR e data retenction ultra vires per finalità di tutela dei diritti

Il saggio indaga il tema della conservazione dei dati da parte del Responsabile ex art. 28 del Regolamento Europeo 27 aprile 2016, n. 679 (General Data Protection Regulation o GDPR) dimostrando, come le finalità di tutela dei diritti possano rappresentare, tramite la categoria del legittimo interesse, una base giuridica idonea a paralizzare la richiesta del titolare di restituzione o cancellazione dei dati ex art. 28, paragrafo 3, lett. c, GDPR alla cessazione dell’incarico e, dunque, a legittimare i trattamenti ultra vires aventi tali finalità. L’analisi si sofferma sulle caratteristiche del giudizio di bilanciamento e sul corredo degli strumenti di tutela proattiva della privacy by design e by default di cui è possibile giovarsi per strutturare trattamenti che siano in grado di superare il vaglio della meritevolezza in concreto in riferimento alle finalità de quibus. In questo senso il giudizio di bilanciamento si configura, quanto agli elementi che ne costituiranno l’oggetto, come un giudizio a formazione progressiva in cui, in un’ottica di maggior accountability, devono riconoscersi specifici obblighi informativi in capo al titolare che abbia esposto i “propri” interessati – in virtú della decisione di esternalizzare una o piú attività ricorrendo a responsabili ex art. 28 – a possibili trattamenti ulteriori dei loro dati per le finalità in esame.