Cosa sono i dati personali

Per poter comprendere bene le regole a protezione della privacy, è importante chiarire che cosa si intende per dato personale.

Secondo la normativa vigente (Regolamento UE n. 2016/679) il dato personale è qualunque informazione relativa a persona fisica, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale.

Dato personale è anche un’immagine, un suono e qualunque notizia o informazione che sia riferibile ad un soggetto determinato o determinabile.

Tutti i codici identificativi, sia quelli ricavati da dati anagrafici (p. es. il codice fiscale), sia i codici univoci attribuiti ad una persona in base a criteri predefiniti (p. es. i codici cliente) sono dati personali.

Dato personale è quindi qualsiasi informazione riferita (o anche semplicemente riferibile tramite un codice) ad una persona: anche il numero di targa di una vettura riferita ad un proprietario o il numero di una polizza riferita ad un assicurato. Anche il tipo di riviste alle quali la persona è abbonata o la tipologia di acquisti effettuati per corrispondenza o tramite il telefono.

È assai comune pensare che il dato personale si identifichi con il nome e il cognome della persona interessata. Questo non è corretto. Il nome della persona interessata è semplicemente lo strumento attraverso il quale un’informazione può essere attribuita ad un soggetto determinato. A questo proposito va ricordato che raramente i dati personali sono gestiti in modo isolato. Solitamente sono inseriti in una “banca dati” che viene definita come qualsiasi complesso di dati personali, ripartito in una o più unità dislocate in uno o più siti, organizzato secondo una pluralità di criteri determinati, tali da facilitarne il trattamento.

Può succedere che in una banca dati siano contenuti solo il nome e il cognome della persona interessata. A bene riflettere però anche in questo caso il nome e cognome della persona interessata non sono il “vero” dato personale. Semmai l’informazione preziosa che qualifica la banca dati, nella quale sono inseriti i dati anagrafici dell’individuo, è costituita dal fatto che in quella lista sono stati inseriti soggetti che sono accomunati da una caratteristica concreta (ad es. sono tutti acquirenti di prodotti per corrispondenza).

Una categoria particolare di dati personali sono i dati sensibili: si tratta dei dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni oppure organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale.

Secondo questa definizione, in verità assai ampia e probabile fonte di problemi applicativi, la qualità di dato sensibile è collegata alla idoneità del medesimo a costituire strumento di conoscenza per rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale e a rivelare lo stato di salute e la vita sessuale della persona.

In linea teorica, quindi qualsiasi dato, anche quello in apparenza più neutro e innocuo, può essere strumento idoneo a rivelare uno degli elementi sopra ricordati. Ad esempio, perfino il nome di una persona può essere idoneo a rivelare alcuni aspetti “sensibili” della sua sfera personale. Analizzando il cognome degli abitanti di una città sarà possibile discriminare, con buon margine di approssimazione, gli abitanti che hanno una certa origine etnica. Quindi non è tanto il dato personale ad essere in sé sensibile; quanto, piuttosto, l’uso del dato stesso che un soggetto possa farne.

Questa tipologia di dati è sottoposta ad un livello di protezione più elevato di quello previsto per i dati non sensibili.