Diritto alla privacy nell’era digitale: molto più della segretezza dei dati
Il diritto alla privacy non coincide semplicemente con il desiderio di tenere nascoste alcune informazioni personali. Nell’ambiente digitale riguarda anche la possibilità di sapere chi raccoglie i nostri dati, per quale finalità li utilizza, per quanto tempo li conserva e con quali soggetti li condivide.
Ogni attività online può generare informazioni: la creazione di un account, l’utilizzo di un’applicazione, la navigazione su un sito, un acquisto, una ricerca, la posizione di uno smartphone o l’interazione con un contenuto.
Presi singolarmente, alcuni dati possono sembrare poco significativi. Quando vengono combinati, però, possono ricostruire abitudini, interessi, relazioni, condizioni economiche e aspetti molto personali della vita di un individuo.
Per questo è importante distinguere il più ampio diritto alla riservatezza e alla vita privata dal diritto alla protezione dei dati personali.
La Carta dei diritti fondamentali dell’Unione europea disciplina separatamente il rispetto della vita privata e familiare e la protezione dei dati personali, pur riconoscendo lo stretto collegamento tra i due diritti.
La protezione dei dati è quindi una componente fondamentale della privacy, ma possiede regole, soggetti, obblighi e strumenti di tutela propri. Nel sistema europeo, il riferimento principale è il Regolamento UE 2016/679, conosciuto come GDPR, coordinato in Italia con il Codice in materia di protezione dei dati personali, contenuto nel d.lgs. 196/2003 e adeguato al regolamento europeo dal d.lgs. 101/2018.
Che cosa si intende per diritto alla privacy
Il diritto alla privacy tutela la sfera personale dell’individuo da interferenze non giustificate.
Comprende la vita privata e familiare, il domicilio, le comunicazioni, la reputazione, l’identità personale e il controllo sulle informazioni che descrivono una persona.
La sua funzione non consiste nell’impedire qualsiasi utilizzo dei dati. Molte attività quotidiane richiedono necessariamente un trattamento: un datore di lavoro gestisce i dati dei dipendenti, una banca quelli dei clienti, un ospedale le informazioni sanitarie dei pazienti e una piattaforma online i dati necessari a fornire il proprio servizio.
Il punto centrale è stabilire se quel trattamento avvenga secondo regole chiare, per finalità determinate e nel rispetto dei diritti dell’interessato.
Diritto alla riservatezza e protezione dei dati personali
Le due espressioni vengono spesso utilizzate come sinonimi, ma descrivono profili differenti.
Il diritto alla riservatezza protegge la persona dalle intrusioni nella propria vita privata. Può riguardare, per esempio, la diffusione non autorizzata di una conversazione privata, di fotografie o di informazioni familiari.
La protezione dei dati personali, invece, disciplina l’intero ciclo di vita dell’informazione: raccolta, registrazione, organizzazione, consultazione, utilizzo, comunicazione, conservazione e cancellazione.
Una società può quindi violare le regole sulla protezione dei dati anche senza rendere pubblica un’informazione. Può accadere quando raccoglie più dati del necessario, li utilizza per una finalità diversa da quella dichiarata oppure li conserva troppo a lungo.
Quali norme regolano oggi il diritto alla privacy
Il quadro normativo europeo e italiano è formato da più fonti coordinate tra loro.
Il GDPR stabilisce i principi generali, le basi giuridiche del trattamento, gli obblighi di titolari e responsabili, le regole sulla sicurezza e i diritti riconosciuti alle persone fisiche. È direttamente applicabile negli Stati membri dell’Unione europea.
In Italia continua a operare anche il d.lgs. 196/2003, ma non nella sua formulazione originaria. Il Codice Privacy deve essere letto insieme al GDPR e contiene le disposizioni nazionali che integrano e specificano la disciplina europea in settori nei quali il regolamento lascia spazio agli Stati membri.
Il Garante per la protezione dei dati personali vigila sull’applicazione della normativa italiana, adotta provvedimenti, riceve reclami e segnalazioni e mette a disposizione indicazioni interpretative. A livello europeo, il Comitato europeo per la protezione dei dati, o EDPB, favorisce un’applicazione coerente del GDPR tra le autorità nazionali.
Che cosa sono i dati personali
Per dato personale si intende qualsiasi informazione relativa a una persona fisica identificata o identificabile. Il concetto non comprende soltanto nome, cognome, indirizzo e data di nascita. Possono essere dati personali anche:
- numero di telefono ed email;
- codice fiscale;
- immagine e registrazione vocale;
- posizione geografica;
- identificativi di account;
- informazioni economiche e professionali;
- cronologia degli acquisti;
- dati relativi alle preferenze e ai comportamenti.
La persona non deve necessariamente essere identificata in modo diretto. È sufficiente che possa esserlo anche indirettamente, combinando l’informazione con altri elementi ragionevolmente disponibili.
Il GDPR include nella propria definizione anche identificativi online e dati relativi all’identità fisica, genetica, economica, culturale o sociale.
Identificatori online e dati digitali
Nel diritto informatico assumono particolare importanza gli identificatori generati durante l’utilizzo di dispositivi e servizi digitali.
Un indirizzo IP, un identificatore pubblicitario, un cookie o il codice associato a un dispositivo possono diventare dati personali quando permettono al titolare, direttamente o insieme ad altre informazioni, di distinguere o ricondurre l’attività a una persona.
Non ogni dato tecnico è automaticamente personale in qualsiasi contesto.
La valutazione dipende dalla possibilità concreta di identificare l’utente e dagli strumenti ragionevolmente utilizzabili dal soggetto che tratta il dato.
Questo è uno dei motivi per cui la pseudonimizzazione non equivale all’anonimizzazione.
Un dato pseudonimizzato resta personale se la persona può essere nuovamente identificata mediante informazioni aggiuntive. Un dato realmente anonimo, invece, non deve più consentire l’identificazione con mezzi ragionevolmente utilizzabili.
Le categorie particolari di dati personali
Il GDPR attribuisce una tutela rafforzata ad alcune informazioni che, per la loro natura, possono incidere profondamente sulla dignità e sulle libertà individuali.
L’articolo 9 include:
- origine razziale o etnica;
- opinioni politiche;
- convinzioni religiose o filosofiche;
- appartenenza sindacale;
- dati genetici;
- dati biometrici utilizzati per identificare univocamente una persona;
- dati relativi alla salute;
- dati sulla vita sessuale;
- dati sull’orientamento sessuale.
Nel linguaggio comune queste informazioni vengono ancora definite “dati sensibili”.
La denominazione tecnica utilizzata dal GDPR è però categorie particolari di dati personali. Il loro trattamento è, in linea generale, vietato, salvo il ricorrere di una delle specifiche condizioni previste dalla norma.
Dati relativi a condanne penali e reati
I dati relativi a condanne penali, reati e misure di sicurezza non rientrano formalmente nelle categorie particolari dell’articolo 9.
Sono disciplinati separatamente dall’articolo 10 GDPR e possono essere trattati soltanto sotto il controllo dell’autorità pubblica oppure quando il diritto dell’Unione o nazionale autorizza il trattamento prevedendo garanzie adeguate.
Quando il trattamento dei dati è lecito
Uno degli errori più diffusi consiste nel ritenere che qualsiasi utilizzo dei dati richieda necessariamente il consenso della persona.
Il GDPR prevede invece diverse basi giuridiche. Il titolare deve individuare quella corretta prima di iniziare il trattamento e non può scegliere il consenso soltanto perché appare la soluzione più semplice.
Le principali basi giuridiche previste dall’articolo 6 sono:
- consenso;
- esecuzione di un contratto o misure precontrattuali;
- adempimento di un obbligo legale;
- tutela di interessi vitali;
- esecuzione di un compito di interesse pubblico o esercizio di pubblici poteri;
- perseguimento di un legittimo interesse, quando non prevalgano diritti e libertà dell’interessato.
Il consenso è soltanto una delle basi giuridiche
Quando viene utilizzato, il consenso deve essere libero, specifico, informato e inequivocabile.
Non può essere ottenuto attraverso formule ambigue, caselle già selezionate o condizioni che impediscano una scelta reale.
Deve inoltre essere possibile revocarlo con la stessa facilità con cui è stato prestato. La revoca non rende illecito il trattamento svolto prima di quel momento, ma impedisce di continuare a utilizzare i dati sulla base del consenso revocato.
Il consenso non è però sempre appropriato.
Un datore di lavoro, per esempio, può avere difficoltà a fondarsi sul consenso del dipendente quando lo squilibrio tra le parti rende dubbia la libertà della scelta. Allo stesso modo, un’impresa non ha bisogno del consenso per trattare i dati strettamente necessari a eseguire un contratto con il cliente.
Contratto, obbligo legale e legittimo interesse
Il trattamento fondato sul contratto deve essere realmente necessario per fornire il servizio richiesto. Il semplice inserimento di una clausola in un contratto non rende automaticamente necessario qualsiasi trattamento.
L’obbligo legale opera quando una norma impone al titolare di raccogliere, conservare o comunicare determinate informazioni. È il caso, per esempio, di alcuni adempimenti fiscali, contabili o previdenziali.
Il legittimo interesse richiede invece una valutazione più articolata. Il titolare deve individuare un interesse concreto, verificare che il trattamento sia necessario e bilanciarlo con i diritti e le aspettative ragionevoli della persona. Una formulazione generica del legittimo interesse non è sufficiente.
I principi che devono guidare ogni trattamento
Anche quando esiste una base giuridica, il trattamento non è automaticamente corretto. Deve rispettare i principi previsti dall’articolo 5 GDPR.
Liceità, correttezza e trasparenza
La persona deve poter comprendere in modo chiaro come vengono utilizzati i propri dati. Informative incomprensibili, finalità nascoste o utilizzi inattesi possono violare il principio di trasparenza anche quando il trattamento dispone formalmente di una base giuridica.
Limitazione della finalità
I dati devono essere raccolti per finalità determinate, esplicite e legittime. Non possono essere successivamente utilizzati in modo incompatibile con lo scopo originariamente dichiarato.
Minimizzazione dei dati
Il titolare deve raccogliere soltanto le informazioni adeguate, pertinenti e necessarie. Chiedere dati ulteriori “perché potrebbero servire” non è coerente con il principio di minimizzazione.
Esattezza e aggiornamento
I dati devono essere corretti e aggiornati quando necessario. Le informazioni inesatte devono essere rettificate o cancellate tempestivamente.
Limitazione della conservazione
I dati non possono essere conservati per un tempo indefinito.
Il periodo deve essere collegato alle finalità, agli obblighi di legge e alle effettive necessità del trattamento.
Integrità, riservatezza e responsabilizzazione
Il titolare deve proteggere le informazioni attraverso misure tecniche e organizzative adeguate e deve essere in grado di dimostrare il rispetto delle regole. Questo approccio prende il nome di accountability, o responsabilizzazione.
Chi gestisce i dati personali
La disciplina individua diversi soggetti, ciascuno con funzioni precise.
| Soggetto | Funzione |
|---|---|
| Interessato | Persona fisica alla quale si riferiscono i dati |
| Titolare del trattamento | Determina finalità e mezzi del trattamento |
| Responsabile del trattamento | Tratta i dati per conto del titolare |
| DPO | Sorveglia e supporta l’applicazione della normativa nei casi previsti |
| Persone autorizzate | Operano sotto l’autorità del titolare o del responsabile |
Il titolare non è semplicemente il soggetto che “possiede” o custodisce le informazioni. È colui che decide perché e come devono essere trattate.
Il responsabile opera invece sulla base di un incarico regolato contrattualmente e deve attenersi alle istruzioni del titolare. Può essere, per esempio, il fornitore di un servizio cloud, una piattaforma gestionale o una società che elabora dati per conto di un’altra organizzazione.
Il Responsabile della protezione dei dati, conosciuto come DPO, non decide le finalità del trattamento e non sostituisce il titolare. Svolge funzioni di consulenza, sorveglianza e collegamento con l’autorità di controllo.
Quali diritti può esercitare l’interessato
Il diritto alla privacy non si limita a imporre obblighi alle organizzazioni. Attribuisce alla persona strumenti concreti per conoscere e controllare l’utilizzo delle informazioni.
Tra i principali diritti previsti dal GDPR rientrano:
- ricevere informazioni chiare sul trattamento;
- ottenere conferma che siano o meno trattati dati personali;
- accedere ai dati e riceverne copia;
- chiedere la rettifica delle informazioni inesatte;
- richiedere la cancellazione nei casi previsti;
- ottenere la limitazione del trattamento;
- opporsi ad alcuni utilizzi;
- ricevere i dati in formato strutturato e trasferirli a un altro titolare;
- ottenere tutela rispetto a determinate decisioni esclusivamente automatizzate.
Il titolare deve agevolare l’esercizio di questi diritti e fornire riscontro secondo le modalità e i termini stabiliti dal GDPR.
Il diritto alla cancellazione non è assoluto
Il cosiddetto diritto all’oblio non consente di eliminare qualsiasi informazione in ogni circostanza.
La cancellazione può essere richiesta, per esempio, quando i dati non sono più necessari, il consenso viene revocato e manca un’altra base giuridica oppure il trattamento risulta illecito.
Il titolare può però dover conservare le informazioni per adempiere un obbligo legale, esercitare il diritto di difesa, tutelare la libertà di espressione o perseguire altre finalità riconosciute dalla normativa.
Privacy digitale, profilazione e decisioni automatizzate
La trasformazione digitale ha ampliato la capacità di raccogliere e analizzare informazioni.
La profilazione consiste nell’utilizzo automatizzato dei dati per valutare aspetti personali, come rendimento professionale, situazione economica, preferenze, affidabilità, comportamento, posizione o spostamenti.
Non è necessariamente vietata. Deve però poggiare su una base giuridica, rispettare i principi del GDPR ed essere descritta in modo trasparente.
Il rischio aumenta quando i sistemi non si limitano a registrare informazioni fornite direttamente dall’utente, ma producono inferenze: deducono interessi, condizioni o probabilità sulla base del comportamento osservato.
Un algoritmo può, per esempio, classificare una persona come cliente affidabile, soggetto a rischio, potenziale candidato a un lavoro o destinatario ideale di un’offerta. Quando la decisione produce effetti giuridici o incide in modo analogo e significativo sulla persona, il GDPR prevede specifiche garanzie e limita le decisioni basate esclusivamente sul trattamento automatizzato.
Quando si verifica una violazione della privacy
Una violazione della disciplina può assumere forme diverse.
Può derivare da:
- raccolta di dati senza una base giuridica;
- utilizzo per finalità incompatibili;
- informativa assente o ingannevole;
- comunicazione a soggetti non autorizzati;
- mancato rispetto di una richiesta di accesso o cancellazione;
- conservazione eccessiva;
- misure di sicurezza inadeguate;
- profilazione svolta senza le necessarie garanzie.
È importante distinguere la violazione normativa dal data breach.
Il data breach è una violazione di sicurezza che provoca accidentalmente o illecitamente distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati. Può derivare da un attacco informatico, dall’invio di un documento al destinatario sbagliato, dallo smarrimento di un dispositivo o da un errore interno.
Non tutte le violazioni della privacy sono data breach.
Un’azienda può trattare dati in modo illecito anche quando non si verifica alcun incidente di sicurezza. Allo stesso modo, un data breach non dimostra necessariamente che l’organizzazione fosse priva di ogni misura di protezione: occorre valutare le cause, il rischio per le persone e la risposta adottata.
Diritto alla privacy: il controllo sui dati come libertà digitale
Nel contesto digitale, la privacy non coincide con il nascondere la propria identità o con il rifiutare qualsiasi circolazione delle informazioni. Consiste soprattutto nella possibilità di conoscere e influenzare il modo in cui i dati vengono raccolti, collegati, analizzati e conservati.
Il GDPR traduce questo principio in una struttura fatta di basi giuridiche, obblighi di trasparenza, sicurezza, minimizzazione, responsabilizzazione e diritti esercitabili. Il Codice Privacy integra questo sistema nell’ordinamento italiano, mentre il Garante vigila sul rispetto delle regole.
Il diritto alla privacy diventa così una condizione della libertà individuale nell’ambiente digitale (e non solo). Quando una persona perde ogni controllo sulla propria identità informativa, non viene compromessa soltanto la riservatezza: possono essere condizionate opportunità professionali, accesso ai servizi, reputazione e capacità di scegliere senza essere costantemente profilata.
Proteggere i dati personali non significa quindi bloccare l’innovazione o impedire l’utilizzo delle tecnologie. Significa progettare servizi e processi nei quali l’informazione venga utilizzata in modo proporzionato, comprensibile e rispettoso della persona.
