Il 25 maggio 2018 ha segnato l’entrata in vigore delle norme GDPR (“General Data Protection Regulation”) ed il concetto di dato è cambiato radicalmente. I dati personali sono diventati una merce che il titolare del trattamento può usare e trasmettere rispettando i principi della regolamentazione. Se il diretto interessato revoca il consenso, i dati tornano ad essere diritti indisponibili e rientrano tra quelli della privacy.
Nella nuova regolamentazione GDPR i dati diventano un elemento metagiuridico che può essere merce (trattato con consenso) oppure no (con consenso revocato) e quindi diventa necessario indicare l’informativa agli interessati. È cambiata la definizione di dato personale perché oggi in un mondo avanzato a livello tecnologico è divenuto qualcosa di più articolato rispetto a quello che era in passato. Oggi per dati personali si intende una vasta gamma di informazioni che possono ricondurre facilmente ad un individuo specifico ed oltre ai semplici dati anagrafici in questa categoria rientrano anche altre informazioni come quelle relative alle relazioni, allo stile di vita, alla razza, all’orientamento sessuale, e così via.
Tipologie di dati personali
Il regolamento GDPR si applica a tantissimi settori e per comprenderlo fino in fondo è opportuno conoscere la definizione dei cosiddetti dati personali. Partendo dalle origini latine della parola “datum” (“fatto”), il vocabolo indica un elemento, una cosa non propriamente definita ma esistente sotto varie forme. Per questa ragione i dati si presentano in tanti modi differenti come numeri/lettere (testi), immagini ferme (foto, grafici) o in movimento (riprese video) oppure sotto forma di suono e così via. I dati, inoltre, possono essere individuati e conservati su supporti fisici di vario genere oppure trasmessi tramite la rete di comunicazione così da raggiungere numerosi utenti che possono avere obiettivi e finalità di ogni genere.
I dati possono essere raccolti e conservati su supporti fisici di tipo cartaceo, digitale, ottico, magnetico, ecc. e in questa pratica le pubbliche amministrazioni svolgono un ruolo fondamentale. Esse raccolgono e gestiscono una quantità di dati gigantesca che fino a poco tempo fa erano dei semplici strumenti per svolgere pratiche burocratiche ed istituzionali. Oggi le amministrazioni possiedono una certa autonomia riguardo la gestione dei processi e, di conseguenza, dei dati. Per superare gli ostacoli legati alla poca visione sistemica delle varie amministrazioni e per favorire al meglio la condivisione dei dati è stato iniziato un percorso che spingesse ad una sorta di “cultura del dato” inserita in un contesto socio-amministrativo.
I dati possono essere rilevati ed organizzati in modi diversi.
- Rilevati singolarmente (dati elementari su cui non sono state fatte elaborazioni di nessun tipo). In questo caso, tali dati vengono anche definiti “atomici” o “grezzi” per far capire che essi si presentano in modo disorganizzato, risultandoa anche difficili da leggere, comprendere ed interpretare.
- I dati possono essere organizzati in sistemi aggregati (“aggregated data”) o strutturati (“structured data”) ed in questo caso si parla di “metadati”. Se si parla di raccolta di dati da parte di istituzioni o entità di tipo simile si costruiscono i cosiddetti “database” ossia delle basi di dati collegati tra loro per un accesso più immediato ai dati di cui si ha bisogno.
- I dati possono essere ottenuti in base a elementi passati ed in questo caso si parla di “historycal data” oppure registrati esattamente nel momento in cui vengono esposti e vengono chiamati “real data”.
- I dati possono essere previsti o attesi (“previsional data” e “expected data”) in un dato arco di tempo basandosi su calcoli matematici, statistici o di tipo combinatorio.
Tipologie di dati sensibili
Quando si parla di dati sensibili ci si riferisce a tutti quelli di tipo personale che possono rivelare informazioni delicate di un determinato soggetto quali origini razziali, fede religiosa, orientamento sessuale, condizioni di salute, informazioni politiche, sindacali e l’appartenenza ad associazioni o organizzazioni.
- I dati descrittivi permettono di identificare un soggetto o una risorsa e si possono ottenere con dei sistemi di recupero chiamati “Information Retrieval” tramite i database.
- I dati strutturali collegano le diverse componenti di risorse articolate.
- I dati amministrativi sono tutte quelle informazioni tecniche su determinate risorse. Sono fondamentali nel mondo informatico perché permettono di documentare processi tecnici e forniscono informazioni importanti sui vari contenuti di tipo gestionale.
Nel regolamento questi dati sensibili vengono protetti ed in questa categoria rientrano anche i cosiddetti dati “particolari”.
A proposito di dati sensibili nel GDPR, se ne parla ampiamente in un articolo del portale PrivacyLab.
Dati particolari: cosa si intende?
Nello stesso GDPR viene indicata una categoria di dati particolari nella quale rientrano tutti quelli personali e molto intimi, la cui diffusione potrebbe danneggiare il singolo. Questi dati chiamati “particolari” hanno bisogno di altissimi livelli di protezione e controllo. Sostanzialmente i dati particolari sono gli “ex” dati sensibili ma ora vengono suddivisi ulteriormente in varie sotto-categorie per facilitare la loro identificazione e, quindi, la loro protezione.
Tra i dati particolari rientrano quelli relativi ai minori, che devono ricevere una maggiore custodia e che appartengono a tutti i soggetti minorenni. Proprio per la loro età, i giovanissimi potrebbero avere una minore consapevolezza dell’importanza della diffusione dei propri dati e necessitano quindi di una maggiore tutela. La protezione si potrebbe applicare all’uso dei dati di minori con finalità promozionali oppure per la realizzazione di falsi profili con scambi di personalità. Il diritto al consenso in merito all’utilizzo dei propri dati deve avvenire da parte del soggetto interessato liberamente dopo aver ricevuto la giusta informazione sull’argomento.
Anche i dati relativi alle condizioni di salute rientrano nella categoria dei dati particolari. I dati sulla salute comprendono indicazioni riguardo malattie esistenti o possibili rischi di contrarne, cartelle cliniche, analisi del sangue, e così via. Anche le informazioni fornite dal soggetto interessato mediante telefonata registrata rientrano nella categoria da proteggere. Per questo genere di dati è fondamentale rispettare tutte le norme elencate dal GDPR per la tutela della privacy personale.
I dati particolari, secondo l’articolo 9 del GDPR non vanno trattati senza l’esplicito consenso da parte del diretto interessato. Online, tale consenso viene espresso barrando una casella, mentre nella vita reale l’individuo viene invitato a leggere l’informativa e sottoscriverla con la propria firma.
Ora nei dati particolari rientrano anche altre informazioni a quelle che potevano essere categorizzate come “dati sensibili”.
- Informazioni identificative (dati anagrafici e foto) e giudiziarie.
- Informazioni sulla comunicazione elettronica, che sia mediante cellulare, telefono o Internet.
- Informazioni sugli spostamenti.
- Informazioni su dati genetici, medici e sullo stato di salute.
Dati Particolari o Personali? Ecco qualche esempio
Ecco qualche esempio per capire se si è di fronte a dati particolari o se si tratta semplicemente di dati personali.
Giorgio è sposato ma ha un’amante. Un giorno la moglie chiama in ufficio e si sente rispondere che Giorgio è malato e non presente a lavoro, mentre in realtà sta passando il tempo con l’amante. La moglie scopre tutto e la segretaria che ha comunicato la malattia di Giorgio ha ufficialmente trattato dei dati particolari (lo stato di salute) che non poteva assolutamente comunicare.
Altro esempio: Giorgio ha un’auto aziendale su cui è presente un dispositivo sempre attivo per la geolocalizzazione: in questo caso si parla di dati personali e non di dati particolari.
Paolo fa parte di un partito ed ogni anno rinnova l’iscrizione. L’adesione al partito rivela lo schieramento politico di Paolo e quindi è un dato particolare. Al tempo stesso, Paolo gioca a bocce tutte le domeniche. In questo caso si tratta di un dato personale che parla delle sue abitudini ma non di un dato particolare.
Francesca è vegana e Claudia celiaca, il primo è un dato personale (rivela convinzioni di tipo filosofico), il secondo invece è un dato particolare (parla delle condizioni di salute).