Il trattamento inizia dalla richiesta dei dati

Una sentenza interessante arriva dalla Spagna e statuisce che già la richiesta di dati personali costituisca trattamento e debba quindi ricadere nei principi del GDPR. Certo, probabilmente non si applica al caso di un negozio che chieda i dati per compilare la tessera punti e, se rifiutiamo, tutto finisce lì. Ma il caso riguarda un Ente pubblico, che ha chiesto la diagnosi medica per giustificare un’assenza per malattia. A parte il fatto che la richiesta appare irragionevole fin dall’inizio, il punto è stato che il Tribunale ha ritenuto, in sintesi, che il principio di accountability debba essere applicato anche nello stabilire quali dati chiedere. Il che, comunque, vale per tutte le richieste, anche quelle della tessera punti.