Diritto alla privacy: cos’è, come viene tutelato e quali diritti garantisce

Che cosa si intende per diritto alla privacy

Il diritto alla privacy protegge la persona da interferenze ingiustificate nella propria sfera privata.
Può riguardare la vita familiare, il domicilio, le comunicazioni, la reputazione, l’identità personale e il modo in cui vengono raccolte e utilizzate le informazioni relative a un individuo.

La sua funzione non consiste nell’impedire qualsiasi utilizzo dei dati. Molte attività quotidiane richiedono necessariamente un trattamento: un datore di lavoro gestisce i dati dei dipendenti, una banca quelli dei clienti, una struttura sanitaria le informazioni dei pazienti e una piattaforma online i dati necessari a fornire un servizio.

Il punto centrale è stabilire se quel trattamento avvenga secondo regole chiare, finalità determinate e nel rispetto dei diritti dell’interessato.

Diritto alla riservatezza e protezione dei dati personali

Le espressioni diritto alla riservatezza e protezione dei dati personali vengono spesso utilizzate come sinonimi, ma descrivono profili differenti.

Il diritto alla riservatezza protegge la persona dalle intrusioni nella propria vita privata. Può riguardare, per esempio, la diffusione non autorizzata di una conversazione privata, di fotografie o di informazioni familiari.
La protezione dei dati personali, invece, disciplina l’intero ciclo di vita dell’informazione: raccolta, registrazione, organizzazione, consultazione, utilizzo, comunicazione, conservazione e cancellazione.

Una società può quindi violare le regole sulla protezione dei dati anche senza rendere pubblica un’informazione. Può accadere, ad esempio, quando raccoglie più dati del necessario, li utilizza per una finalità diversa da quella dichiarata oppure li conserva per un periodo eccessivo.

Quali norme regolano oggi il diritto alla privacy

Il quadro normativo europeo e italiano è formato da più fonti coordinate tra loro.
Il GDPR stabilisce i principi generali, le basi giuridiche del trattamento, gli obblighi di titolari e responsabili, le regole sulla sicurezza e i diritti riconosciuti alle persone fisiche.
In Italia continua a operare anche il decreto legislativo 196/2003, il cosiddetto Codice Privacy, da leggere insieme al GDPR e alle successive modifiche.

Il Garante per la protezione dei dati personali vigila sull’applicazione della normativa italiana, adotta provvedimenti, riceve reclami e segnalazioni e mette a disposizione indicazioni interpretative.
A livello europeo, il Comitato europeo per la protezione dei dati, o EDPB, favorisce un’applicazione coerente del GDPR tra le autorità nazionali.

Che cosa sono i dati personali

Per dato personale si intende qualsiasi informazione relativa a una persona fisica identificata o identificabile.
Il concetto non comprende soltanto nome, cognome, indirizzo e data di nascita. Possono essere dati personali anche:

• numero di telefono ed email;
• codice fiscale;
• immagine e registrazione vocale;
• posizione geografica;
• identificativi di account;
• informazioni economiche e professionali;
• cronologia degli acquisti;
• dati relativi a preferenze e comportamenti.

La persona non deve necessariamente essere identificata in modo diretto. È sufficiente che possa esserlo anche indirettamente, combinando l’informazione con altri elementi ragionevolmente disponibili.

Identificatori online e dati digitali

Nel diritto informatico assumono particolare importanza gli identificatori generati durante l’utilizzo di dispositivi e servizi digitali.

Un indirizzo IP, un identificatore pubblicitario, un cookie o il codice associato a un dispositivo possono diventare dati personali quando permettono, direttamente o insieme ad altre informazioni, di ricondurre l’attività a una persona.
Non ogni dato tecnico è automaticamente personale in qualsiasi contesto. La valutazione dipende dalla possibilità concreta di identificare l’utente e dagli strumenti ragionevolmente utilizzabili dal soggetto che tratta il dato.

Per questo la pseudonimizzazione non equivale all’anonimizzazione.
Un dato pseudonimizzato resta personale se la persona può essere nuovamente identificata mediante informazioni aggiuntive. Un dato realmente anonimo, invece, non deve più consentire l’identificazione con mezzi ragionevolmente utilizzabili.

Le categorie particolari di dati personali

Il GDPR attribuisce una tutela rafforzata ad alcune informazioni che, per la loro natura, possono incidere profondamente sulla dignità e sulle libertà individuali.

L’articolo 9 comprende, tra gli altri:

• origine razziale o etnica;
• opinioni politiche;
• convinzioni religiose o filosofiche;
• appartenenza sindacale;
• dati genetici;
• dati biometrici utilizzati per identificare univocamente una persona;
• dati relativi alla salute;
• dati sulla vita sessuale;
• dati sull’orientamento sessuale.

Nel linguaggio comune queste informazioni vengono ancora definite “dati sensibili”. La denominazione tecnica utilizzata dal GDPR è però categorie particolari di dati personali.

Dati relativi a condanne penali e reati

I dati relativi a condanne penali, reati e misure di sicurezza non rientrano formalmente nelle categorie particolari dell’articolo 9 GDPR.

Sono disciplinati separatamente dall’articolo 10 e possono essere trattati soltanto nei casi e con le garanzie previste dalla normativa applicabile.

Quando il trattamento dei dati è lecito

Uno degli errori più diffusi consiste nel ritenere che qualsiasi utilizzo dei dati richieda necessariamente il consenso della persona.
Il GDPR prevede invece diverse basi giuridiche del trattamento. Il titolare deve individuare quella corretta prima di iniziare a utilizzare i dati. Le principali basi giuridiche sono:

• consenso;
• esecuzione di un contratto o misure precontrattuali;
• adempimento di un obbligo legale;
• tutela di interessi vitali;
• esecuzione di un compito di interesse pubblico o esercizio di pubblici poteri;
• perseguimento di un legittimo interesse, quando non prevalgano i diritti e le libertà dell’interessato.

Il consenso è soltanto una delle basi giuridiche

Quando viene utilizzato, il consenso deve essere libero, specifico, informato e inequivocabile. Non può essere ottenuto attraverso formule ambigue, caselle già selezionate o condizioni che impediscano una scelta reale.
Deve inoltre essere possibile revocarlo con la stessa facilità con cui è stato prestato. La revoca non rende illecito il trattamento effettuato prima di quel momento, ma impedisce di continuare a utilizzare i dati sulla base del consenso revocato.

Il consenso non è però sempre appropriato.
Un datore di lavoro, per esempio, può avere difficoltà a fondarsi sul consenso del dipendente quando lo squilibrio tra le parti rende dubbia la libertà della scelta.

Il consenso dei minori

Una disciplina specifica riguarda i minori quando il trattamento è basato sul consenso e riguarda l’offerta diretta di servizi della società dell’informazione.
In Italia il minore che ha compiuto 14 anni può esprimere autonomamente il consenso in questo specifico contesto. Per i minori di 14 anni il consenso deve invece essere prestato da chi esercita la responsabilità genitoriale.

Questa regola non riguarda indistintamente ogni trattamento di dati dei minori: opera quando ricorrono le condizioni previste dalla normativa e il trattamento si fonda effettivamente sul consenso.

Contratto, obbligo legale e legittimo interesse

Il trattamento fondato sul contratto deve essere realmente necessario per fornire il servizio richiesto. Il semplice inserimento di una clausola in un contratto non rende automaticamente necessario qualsiasi trattamento.
L’obbligo legale opera quando una norma impone al titolare di raccogliere, conservare o comunicare determinate informazioni, ad esempio per determinati adempimenti fiscali, contabili o previdenziali.

Il legittimo interesse richiede invece una valutazione più articolata. Il titolare deve individuare un interesse concreto, verificare che il trattamento sia necessario e bilanciarlo con i diritti e le aspettative ragionevoli dell’interessato.

I principi che devono guidare ogni trattamento

Anche quando esiste una base giuridica, il trattamento non è automaticamente corretto. Deve rispettare i principi previsti dal GDPR.

Liceità, correttezza e trasparenza
La persona deve poter comprendere in modo chiaro come vengono utilizzati i propri dati.

Limitazione della finalità
I dati devono essere raccolti per finalità determinate, esplicite e legittime.

Minimizzazione dei dati
Il titolare deve raccogliere soltanto le informazioni adeguate, pertinenti e necessarie rispetto allo scopo perseguito.

Esattezza e aggiornamento
I dati devono essere corretti e aggiornati quando necessario.

Limitazione della conservazione
I dati non possono essere conservati indefinitamente: il periodo deve essere collegato alle finalità e agli obblighi applicabili.

Integrità, riservatezza e responsabilizzazione
Il titolare deve proteggere le informazioni attraverso misure tecniche e organizzative adeguate ed essere in grado di dimostrare il rispetto delle regole.

Chi gestisce i dati personali

Il titolare non è semplicemente il soggetto che “possiede” le informazioni. È colui che determina perché e come devono essere trattate. Il responsabile opera invece per conto del titolare sulla base di un rapporto disciplinato dalla normativa.
Il Responsabile della protezione dei dati, o DPO, svolge funzioni di consulenza, sorveglianza e collegamento con l’autorità di controllo.

Quali diritti può esercitare l’interessato

Il diritto alla privacy non si limita a imporre obblighi alle organizzazioni. Attribuisce alla persona strumenti concreti per conoscere e controllare l’utilizzo delle proprie informazioni. Tra i principali diritti previsti dal GDPR rientrano:

• ricevere informazioni chiare sul trattamento;
• ottenere conferma dell’esistenza o meno di dati personali trattati;
• accedere ai dati e riceverne copia;
• chiedere la rettifica delle informazioni inesatte;
• richiedere la cancellazione nei casi previsti;
• ottenere la limitazione del trattamento;
• opporsi ad alcuni utilizzi;
• ricevere i dati in formato strutturato e trasferirli a un altro titolare;
• ottenere tutela rispetto a determinate decisioni esclusivamente automatizzate.

Il diritto alla cancellazione non è assoluto

Il cosiddetto diritto all’oblio non consente di eliminare qualsiasi informazione in ogni circostanza. La cancellazione può essere richiesta, per esempio, quando i dati non sono più necessari, il consenso viene revocato e manca un’altra base giuridica oppure il trattamento risulta illecito.

Il titolare può però dover conservare determinate informazioni per adempiere obblighi di legge, esercitare il diritto di difesa o perseguire altre finalità riconosciute dalla normativa.

Privacy digitale, profilazione e decisioni automatizzate

La trasformazione digitale ha ampliato la capacità di raccogliere e analizzare informazioni.
La profilazione consiste nell’utilizzo automatizzato dei dati per valutare determinati aspetti personali, come rendimento professionale, situazione economica, preferenze, affidabilità, comportamento, posizione o spostamenti.

La profilazione non è necessariamente vietata, ma deve poggiare su una base giuridica, rispettare i principi del GDPR ed essere descritta in modo trasparente.
Il rischio aumenta quando i sistemi non si limitano a registrare informazioni fornite direttamente dall’utente, ma producono inferenze e classificazioni sulla base del comportamento osservato.

Quando una decisione automatizzata produce effetti giuridici o incide in modo analogo e significativo sulla persona, il GDPR prevede garanzie specifiche.

Quando si verifica una violazione della privacy

Una violazione del diritto alla privacy o della disciplina sulla protezione dei dati può assumere forme molto diverse.

Può derivare da:

• raccolta di dati senza una base giuridica;
• utilizzo per finalità incompatibili;
• informativa assente o ingannevole;
• comunicazione a soggetti non autorizzati;
• mancato rispetto di una richiesta di accesso o cancellazione;
• conservazione eccessiva;
• misure di sicurezza inadeguate;
• profilazione svolta senza le garanzie necessarie.

È importante distinguere la violazione normativa dal data breach. Il data breach è una violazione di sicurezza che può provocare distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali.

Non tutte le violazioni della privacy sono quindi data breach. Un’organizzazione può utilizzare i dati in modo illecito anche senza subire un incidente informatico.

Diritto alla privacy: il controllo sui dati come libertà individuale

Nel contesto digitale, il diritto alla privacy non coincide con il nascondere la propria identità o con il rifiutare qualsiasi circolazione delle informazioni.
Consiste soprattutto nella possibilità di conoscere e influenzare il modo in cui i dati vengono raccolti, collegati, analizzati e conservati.
Il GDPR traduce questo principio in una struttura fatta di basi giuridiche, obblighi di trasparenza, sicurezza, minimizzazione, responsabilizzazione e diritti esercitabili.
Il Codice Privacy integra questo sistema nell’ordinamento italiano, mentre il Garante vigila sul rispetto delle regole.

Il diritto alla privacy diventa così una condizione della libertà individuale nell’ambiente digitale e nella vita quotidiana.
Quando una persona perde ogni controllo sulla propria identità informativa, non viene compromessa soltanto la riservatezza: possono essere condizionate reputazione, opportunità professionali, accesso ai servizi e capacità di scegliere senza essere costantemente profilata.

Proteggere i dati personali non significa quindi bloccare l’innovazione o impedire l’utilizzo delle tecnologie. Significa progettare servizi e processi nei quali l’informazione venga utilizzata in modo proporzionato, comprensibile e rispettoso della persona.