Un caso pratico tra sviluppo, privacy e GDPR
Una startup italiana ha sviluppato una fitness app in grado di tracciare:
– battito cardiaco
– posizione GPS
– cicli del sonno
– numero di passi giornalieri
– alimentazione e umore
La raccolta dei dati avviene tramite sensori del telefono, API di terze parti (es. Apple Health) e questionari compilati dall’utente.
Tutto sembra funzionare, ma… è legale tutto questo? Serve il consenso? Serve un DPO? Quali obblighi ha chi gestisce i dati?
Problema giuridico
Nel trattamento dei dati personali, il Regolamento GDPR (UE 2016/679) impone:
-
una base giuridica lecita (es. consenso, contratto, obbligo legale)
-
una finalità specifica, esplicita e legittima
-
il rispetto dei principi di minimizzazione, proporzionalità e trasparenza
Nel caso in esame, l’app tratta dati particolari (salute, posizione), per cui è richiesto un livello più alto di protezione.
Analisi pratica
Vediamo quali aspetti devono essere corretti o chiariti.
Serve il consenso?
Sì, per i dati sulla salute e la geolocalizzazione serve un consenso esplicito, separato e documentabile.
Il semplice accettare i termini d’uso non basta.
Serve l’informativa privacy?
Sì, deve essere chiara, concisa e facilmente accessibile.
Deve spiegare:
-
quali dati vengono raccolti
-
perché vengono trattati
-
per quanto tempo
-
se vengono condivisi con terzi
-
se c’è profilazione automatica
Si può raccogliere tutto insieme?
No. Il principio di minimizzazione (art. 5 GDPR) vieta la raccolta indiscriminata di dati.
Se per la funzione base bastano i passi e l’umore, non si può tracciare il battito cardiaco “perché sì”.
Serve nominare un DPO?
Dipende. Se i dati vengono trattati su larga scala e riguardano categorie particolari (come salute), il DPO può essere obbligatorio.
Si possono usare API esterne?
Sì, ma serve un Data Processing Agreement (DPA) con i fornitori, e trasparenza nell’informativa.
Checklist pratica per startup
-
Hai raccolto un consenso valido e tracciabile?
-
Hai scritto un’informativa chiara e completa?
-
Hai definito solo i dati strettamente necessari per ciascuna funzione?
-
Hai un registro dei trattamenti aggiornato?
-
Hai un DPO interno o esterno, se necessario?
-
Hai firmato un DPA con ogni fornitore (es. hosting, API, analytics)?
Cosa può andare storto?
Nel 2021, una nota app di benessere mentale è stata multata di 1.2 milioni di euro per non aver informato correttamente gli utenti e per aver raccolto dati sensibili senza consenso esplicito.
Tuttavia, anche una semplice app può diventare una miniera di responsabilità giuridiche.
Non basta “non fare nulla di male”: serve dimostrare la propria compliance.
Se stai sviluppando o gestendo un'app, chiediti:
“Ho davvero bisogno di tutti questi dati?”
E soprattutto:
“Potrei spiegare tutto questo a un utente in meno di 30 secondi?”
Bonus per i lettori Juris Novum
Scarica qui il nostro template gratuito di informativa privacy per app mobile
A cura degli studenti sotto la Facoltà di Giurisprudenza e Ingegneria Informatica
