Assessment del Legittimo Interesse

Contesto del trattamento. Gli interessati dal trattamento sono avvisati, circa il trattamento e della base giuridica in base alla quale Adasta Media tratta le preferenze espresse dagli utenti riguardo al trattamento dei dati, tramite la Consent Management Platform (“CMP”) sui siti web degli editori/inserzionisti (“Siti”). Come richiesto dalla legge applicabile e dal TCF, Adasta Media ha effettuato un test di bilanciamento in cui è stato confermato che il trattamento per la Finalità Speciale 3 in questione non comporta alcun rischio di impatto negativo sugli interessi o sui diritti e le libertà fondamentali degli interessati.

Finalità del trattamento. La sentenza della CGUE nel caso C-604/22 (IAB Europe vs APD) stabilisce che la TC String può costituire dato personale se può essere associata ad altri dati che possono rendere possibile identificare l’individuo interessato e se Adasta Media ha mezzi ragionevoli per identificare una persona fisica specifica da una TC String, quando associata a informazioni identificabili. La memorizzazione e la comunicazione delle scelte privacy degli utenti sotto forma di TC String nel contesto del TCF viene effettuata con lo scopo di garantire e poter dimostrare che gli utenti hanno espresso una scelta (ad esempio, acconsentito al trattamento dei loro dati personali per varie finalità e/o vendor).

Il trattamento previsto è necessario e proporzionato allo scopo anzidetto, considerando che Adasta Media, secondo il GDPR (art. 6), così come in base alla Direttiva e-Privacy, come attuata in Italia (art. 122 Codice Privacy, e alle Linee Guida del Garante per la Protezione dei Dati Personali (“Linee guida sull’uso dei cookie e di altri strumenti di tracciamento – 10 giugno 2021”) non è autorizzata a trattare i dati a meno che gli utenti abbiano espresso il proprio consenso a memorizzare e/o accedere alle informazioni su un dispositivo (secondo la “Finalità 1 – Archiviare informazioni su dispositivo e/o accedervi”) e Adasta Media è in grado di dimostrare di aver ottenuto detto consenso. È inoltre necessario che l’utente non sia chiamato a compiere le sue scelte ogni volta che entra in un Sito dell’editore. Non ci sono alternative meno intrusive che utilizzano meno o nessun dato personale, poiché l’uso di dati personali è necessario per dimostrare che un utente ha espresso una scelta specifica. La TC String contiene solo informazioni strettamente necessarie per raggiungere lo scopo previsto di memorizzare, comunicare e osservare le scelte privacy degli utenti.

Tenendo conto della natura e della finalità del trattamento, è possibile affermare che i rischi per gli interessati relativi ai loro diritti e libertà sono molto bassi. In particolare, tra gli altri, Adasta Media valuta i seguenti aspetti:

• Natura dei dati: non vengono trattati dati personali appartenenti a categorie particolari o relativi a condanne penali e reati. Inoltre, la TC String è una stringa di caratteri che rappresenta scelte privacy astratte dell’utente senza attribuirle direttamente a un utente specifico;
• Caratteristiche degli interessati: Adasta Media non raccoglie volontariamente dati relativi a relativi a soggetti vulnerabili (come i bambini);
• Aspettative ragionevoli degli interessati: una persona ragionevole si aspetterebbe il trattamento alla luce del fatto che gli editori richiedono agli utenti di esprimere le loro scelte, anche per conto di Adasta Media, e sia Adasta Media che gli editori devono essere in grado di dimostrare di aver registrato le scelte espresse. Inoltre, gli utenti sono informati del trattamento tramite le interfacce delle CMP;
• Probabilità di qualsiasi rischio: la TC String stesso non presenta particolari rischi per la privacy degli interessati, poiché riflette semplicemente le loro scelte privacy.

• è necessario garantire la corretta registrazione delle scelte privacy degli utenti. Se le scelte degli utenti non vengono registrate, gli utenti sono tenuti a esprimere le loro scelte ogni volta che entrano nel Sito dell’editore (un onere che comporterebbe probabilmente altri problemi, dato che gli utenti non possono essere continuamente sollecitati ad esprimere le loro scelte, secondo l’EDPB ed in base alle linee guida del Garante per la Protezione dei Dati Personali);
• il trattamento delle scelte privacy degli utenti è necessario ai sensi degli articoli 5 e 6 del GDPR e dell’articolo 122 del Codice Privacy. Le informazioni devono essere memorizzate in relazione alle scelte privacy degli utenti per poterle rispettare, indipendentemente da quali scelte precisamente l’utente faccia, inclusa la loro mancata prestazione del consenso.