Negli ultimi anni abbiamo assistito ad un aumento esponenziale dei cosiddetti prodotti intelligenti, oggetti di uso comune che si abbinano ai più avanzati software con una connessione in rete. Si sono quindi affermati i prodotti dell’Internet of things tra cui spiccano le wearable technologies (“tecnologie indossabili”). Tra questi, solo per citarne alcuni, smartwatch, bracciali connessi, anelli bluetooth o occhiali che registrano tutto ciò che vede l’utente.
Tra i temi legali più rilevanti da tenere in considerazione per l’impiego di queste tecnologie, vi è senz’altro la tutela dei dati personali eventualmente trattati. La questione più complessa sembra essere quella relativa alle self-tracking wearable technologies, quei dispositivi connessi al monitoraggio dello stile di vita e, più in generale, della salute degli utenti, con la conseguenza che molti dei dati raccolti potrebbero essere anche dati sensibili che richiedono l’adozione di ulteriori cautele rispetto ai dati personali comuni.
L’attuale quadro normativo richiede a chi raccoglie i dati sensibili, non solo di fornire un’idonea informativa, ma anche di ottenere il consenso scritto dell’utente, in aggiunta ad un’autorizzazione del Garante per la protezione dei dati personali. La forma scritta del consenso dell’interessato è richiesta quale requisito di validità del consenso, e pertanto non solo a titolo probatorio, come avviene per il trattamento dei dati personali comuni. È tuttavia evidente che nel contesto delle wearable technologies, la raccolta di un consenso scritto per il trattamento di dati sensibili risulti senz’altro più difficoltosa, ad esempio, rispetto a quanto normalmente avviene al momento del ricovero in ospedale.
Non vi sono ancora regole specifiche in merito alle modalità e il nostro Garante non ha ancora preso un’esplicita posizione in merito. Seppur in ambito diverso, un utile spunto potrebbe essere tratto dalle Linee guida del Garante in tema di trattamento di dati per lo svolgimento di indagini di customer satisfaction in ambito sanitario. Le Linee guida ammettono la possibilità di riconoscere anche il consenso manifestato online attraverso l’apposizione di flag posti a margine dell’informativa, a condizione che vengano adottate soluzioni idonee a identificare in modo univoco l’interessato. Principio che potrebbe essere applicabile anche alle wearable technologies ma, sino ad una espressa posizione del Garante, la questione rimane aperta.
Sempre sul tema del consenso, potrebbero essere di aiuto anche alcune considerazioni già svolte dal Garante con riferimento ai cookie, e più in particolare il richiamo a forme semplificate di informativa ed eventuali modalità di approfondimento successive. In questo caso, però, si dovrebbe adottare un sistema calibrato su app mobili che permettano spazi informativi limitati ed una gestualità semplificata, rispetto alla fruizione tramite desktop.
A questo si aggiunga che i dispositivi di nuova generazione possono rilevare dati biometrici per i quali il codice privacy, pur non fornendo una specifica definizione, prevede l’adempimento di alcune formalità preliminari al trattamento, quali, ad esempio, la notifica e la richiesta di autorizzazione al Garante. Si segnala che lo stesso Garante ha pubblicato una bozza di regolamento per semplificare l’adozione di tecnologie biometriche.
Sarà quindi di grande interesse verificare se e come il nostro Garante (e, auspicabilmente, il legislatore!) interverrà nella regolamentazione delle wearable technologies. A prescindere dalla tipologia di intervento, è auspicabile che il Garante ascolti anche i vari stakeholder onde bilanciare la tutela dei dati personali con il progresso tecnologico e lo sviluppo dell’industria digitale.
