Cosa dice l’articolo 5 del GDPR?

Immagina di iscriverti alla newsletter di un e-commerce per ricevere uno sconto sul tuo primo acquisto. Il negozio, però, non si limita a inviarti le e-mail promozionali che hai richiesto: decide di cedere il tuo numero di telefono a un’agenzia terza di telemarketing senza il tuo permesso, oppure continua a conservare i tuoi dati nel suo database per dieci anni, anche dopo che hai cancellato il tuo account. Ecco, è esattamente per prevenire e sanzionare abusi come questo che entra in gioco l’articolo 5 del GDPR.

L’articolo 5 rappresenta il vero e proprio cuore pulsante del Regolamento Generale sulla Protezione dei Dati (GDPR 2016/679). L’articolo 5 del GDPR stabilisce i principi cardine applicabili a qualsiasi attività di trattamento di dati personali. Nello specifico, per quanto riguarda l’articolo 5, la norma impone che le informazioni siano trattate in modo lecito, corretto e trasparente. I dati devono essere raccolti solo per finalità determinate ed esplicite (limitazione della finalità), devono essere limitati a ciò che è strettamente necessario (minimizzazione dei dati), mantenuti esatti e aggiornati, conservati solo per il tempo indispensabile e gestiti garantendone l’integrità e la riservatezza. A coronare il tutto c’è il principio di “Responsabilizzazione” (o Accountability), che obbliga il titolare del trattamento non solo a rispettare questi principi, ma a essere in grado di dimostrarlo in ogni momento.

In questo articolo esploreremo nel dettaglio ciascuno di questi principi comprendendo come applicarli concretamente per adeguare la gestione della privacy aziendale al GDPR, tutelando i diritti degli interessati e mettendo al riparo la propria organizzazione da sanzioni severissime, che per la violazione di questi principi base possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo.

– I principi applicabili al trattamento dei dati personali

– Art. 5 GDPR e AI Act

– Consulenza Privacy by Design

Per comprendere appieno la portata dell’articolo 5, è utile osservare come i tribunali, i Garanti della Protezione dei Dati Europei e la stessa Corte di Giustizia Europea (CJEU) applicano questi principi nella realtà. Spesso, infatti, le aziende incappano in sanzioni proprio per aver sottovalutato queste regole fondamentali. Ecco alcuni casi emblematici:

Minimizzazione dei dati (Art. 5.1.c) e Limitazione della conservazione (Art. 5.1.e): adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»)

Per minimizzazione si intende che i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Nella sentenza C-446/21 (Schrems v Meta Platforms, 4 ottobre 2024) la Corte di giustizia dell’Unione europea ha chiarito un punto molto concreto per la pubblicità personalizzata: un social network non può “mettere in un unico calderone” tutti i dati che ha su un utente (dati prodotti sulla piattaforma + dati raccolti tramite strumenti di tracciamento su siti/app di terzi) e poi usarli in blocco per profilazione e ads senza distinguere:

• quali categorie di dati sono effettivamente necessarie per quella specifica finalità, e
• per quanto tempo è giustificato conservarli/riutilizzarli in quel contesto.

In altre parole, la Corte afferma che la personalizzazione pubblicitaria non legittima automaticamente l’uso illimitato dell’intero patrimonio informativo disponibile: per rispettare la minimizzazione il titolare deve selezionare e limitare i dati impiegati per l’advertising a quelli strettamente necessari (e non “tutto ciò che è tecnicamente possibile raccogliere”), con limiti anche di tipologia e tempo. Top of Form

Bottom of Form

La stessa limitazione si applica in termine di tempo di conservazione dei dati. Un esempio è la conservazione di metadati di posta elettronica e log (Provvedimento n. 243 del 29 aprile 2025). In questo caso, il Garante Italiano ha sanzionato la regione Lombardia per una conservazione eccessiva dei metadati di posta elettronica e dei log di navigazione internet dei dipendenti, chiarendo che la conservazione di tali dati deve essere limitata a 21 giorni, oltre i quali occorre azionare le garanzie di legge (come accordo sindacale o autorizzazione dall’Ispettorato Nazionale del Lavoro).

Liceità, correttezza e trasparenza (Art. 5.1.a): i dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»)

Questo principio richiede che il trattamento dei dati personali sia effettuato in modo lecito, corretto e trasparente nei confronti dell’interessato. Ma nella pratica?

Il Garante italiano ha inflitto una sanzione di 5 milioni di euro a un noto chatbot basato sull’AI (“Replika”). Tra le motivazioni, l’Autorità ha riscontrato la mancanza di una base giuridica valida per l’addestramento degli algoritmi prima del lancio del servizio. Inoltre, l’informativa fornita agli utenti era vaga e utilizzava termini generici come migliorare i servizi, senza spiegare chiaramente che i dati sarebbero stati usati per addestrare modelli di intelligenza artificiale, violando così il principio di trasparenza.

Limitazione della finalità (Art. 5.1.b): raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»)

Una delle domande chiave poste dal GDPR è: perché il titolare del trattamento utilizza questi dati? La risposta risiede nel concetto di finalità, che obbliga il titolare a definire in modo preciso e legittimo lo scopo del trattamento. Secondo il principio di limitazione delle finalità i dati personali devono essere raccolti per solo per finalità determinate, esplicite e legittime, e non possono essere trattati in modo incompatibile con tali finalità.

Integrità e Riservatezza (Art. 5.1.f): trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»)

I dati personali devono essere trattati in modo da garantire un’adeguata sicurezza, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o danno accidentali.

Esattezza dei Dati (Art.5.1.f): esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»)

Il principio dell’esattezza impone che i dati personali degli individui debbano essere esatti e, se necessario, aggiornati. Questo significa che devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti.

Responsabilizzazione / Accountability (Art. 5.2): il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»)

Il titolare del trattamento è responsabile del rispetto dei principi precedenti e deve essere in grado di dimostrarlo. Quindi non è solo una questione di essere conformi, ma anche di dimostrarlo di esserlo. Nel caso C-683/21, la CJEU ha ribadito che il principio di Accountability impone che sia sempre il titolare del trattamento a dover dimostrare proattivamente di essere in regola con tutti i principi, inclusa la minimizzazione. Non basta agire bene, bisogna poterne fornire la prova documentata in caso di controllo.

I dati sensibili Art. 9 GDPR

L’applicazione dei principi dell’articolo 5 richiede un livello di sicurezza e attenzione ancora maggiore quando si trattano le “categorie particolari di dati personali”. Per questi dati, infatti, l’articolo 9 del GDPR prevede un generale divieto di trattamento, salvo specifiche eccezioni (come il consenso esplicito dell’interessato o il fatto che i dati siano resi manifestamente pubblici dallo stesso).

Nella tabella seguente riassumiamo quali sono i dati sensibili previsti dalla normativa e alcuni esempi pratici per riconoscerli:

I dati “Inferred” invece?

Un altro principio derivante dall’Articolo 5 è il principio di esattezza del dato. Il principio di esattezza, disciplinato dalla lettera d) e stabilisce che i dati personali in fase di trattamento devono essere esatti e, laddove necessario, mantenuti aggiornati. Secondo questo principio, il titolare del trattamento ha l’obbligo di adottare tutte le misure ragionevoli per rettificare o cancellare tempestivamente i dati personali che risultano inesatti. Lo scopo fondamentale di tale principio è proteggere l’individuo dal rischio di subire trattamenti irrazionali o ingiusti basati su rappresentazioni errate e non accurate.

Un ricerca dell’ European Journal of Law and Technology evidenzia che l’esattezza può essere interpretata in due modi: un’esattezza “assoluta“, intesa come dato di fatto che riflette fedelmente la realtà (come una data di nascita), e un’esattezza “relativa“, secondo cui il livello di precisione richiesto dipende dalla finalità per cui i dati vengono trattati. Gli autori del paper sotto esame si concentrano su quest’ultima accezione, sottolineando che ha senso esigere un livello di esattezza molto elevato quando il trattamento avviene in contesti che possono avere effetti negativi sull’individuo (ad esempio per l’assunzione lavorativa o la concessione di prestiti), mentre livelli di esattezza inferiori possono essere tollerati per scopi con impatti trascurabili, come i sistemi che suggeriscono film o serie tv.

Per quanto riguarda i dati dedotti (inferred personal data), il paper li definisce come quei dati risultanti da inferenze generate attraverso strumenti automatizzati, in particolare tramite sistemi di intelligenza artificiale o machine learning. Il saggio cita due categorie principali per esemplificare i dati inferred:

• Le previsioni (predictions): Sono “ipotesi fondate” o scommesse basate sull’analisi di grandi quantità di dati, che indicano cosa si pensa accadrà nel futuro. Esempi specifici menzionati nel testo includono la previsione di eventi della vita come gravidanze e divorzi, la probabilità di avere successo, la previsione di un coinvolgimento in incidenti, la probabilità di comportarsi in modo antisociale o di commettere un crimine, oppure l’essere classificati come individui ad “alto rischio di credito”. Il problema di questi dati è che, basandosi su calcoli probabilistici e riguardando eventi futuri, non sono oggettivamente verificabili al momento in cui vengono generati.
• I dati sulle emozioni (emotion data): Sono generati da sistemi di calcolo affettivo (affective computing) che deducono lo stato emotivo di un individuo a partire, ad esempio, dalle sue espressioni facciali o dal tono della voce. Il paper porta questo esempio per sottolineare il “problema dell’oggettività”: le emozioni sono altamente soggettive e, di conseguenza, i dati dedotti su di esse rappresentano informazioni non dimostrate e di dubbia certezza fattuale. Ciò che un sistema deduce oggettivamente a livello tecnico potrebbe non corrispondere affatto all’emozione soggettivamente vissuta dalla persona.

L’entrata in vigore dell’AI Act, il Regolamento europeo sull’Intelligenza Artificiale 2024/1689, si affianca operando in stretta sinergia con il GDPR. Infatti, se il GDPR tutela i diritti fondamentali dell’individuo rispetto all’uso delle sue informazioni, l’AI Act interviene ponendo regole sulla sicurezza, lo sviluppo e la governance tecnica dei sistemi di IA.

L’IA Act rappresenta una pietra miliare nella regolamentazione dell’utilizzo dell’intelligenza artificiale (IA) nell’Unione Europea, posizionandola come leader mondiale nello sviluppo e utilizzo responsabile dell’IA. Questo regolamento, il primo nel suo genere, ha l’obiettivo di fornire un quadro normativo e di governance che garantisca la sicurezza, trasparenza e tracciabilità dei sistemi AI, assicurando al contempo innovazione e competitività tecnologica.

Lo sviluppo di modelli di intelligenza artificiale, in particolare il machine learning, richiede enormi quantità di dati per l’addestramento. Questa necessità crea una naturale tensione operativa proprio con i principi dell’articolo 5 del GDPR, in particolare con la minimizzazione dei dati e la limitazione della finalità. Tuttavia, il legislatore europeo ha concepito le due normative per integrarsi a vicenda. Ecco come l’AI Act declina e rafforza i principi dell’articolo 5:

• Esattezza (Art. 5.1.d del GDPR): l’articolo 10 dell’AI Act potenzia enormemente questo principio. Per i sistemi di IA ad alto rischio, impone che i set di dati utilizzati per l’addestramento e il test degli algoritmi siano pertinenti, sufficientemente rappresentativi e, per quanto possibile, privi di errori e completi. Questo è fondamentale per prevenire decisioni automatizzate ingiuste o discriminatorie.
• Trasparenza (Art. 5.1.a del GDPR): oltre alle normali informative, l’AI Act introduce obblighi di trasparenza verticali e specifici. Impone, ad esempio, di informare chiaramente gli utenti quando stanno interagendo con un sistema di intelligenza artificiale (come un chatbot) e rende obbligatorio etichettare i contenuti sintetici (audio, immagini, video o testi) generati o manipolati dall’IA (i cosiddetti deepfake) – 50 AI Act.
• Responsabilizzazione / Accountability (Art. 5.2 del GDPR): l’AI Act espande l’obbligo di rendicontazione. Chi utilizza sistemi di IA ad alto rischio (in settori come risorse umane, sanità o credito) è tenuto a garantire una supervisione umana (human oversight) e, in molti casi, a condurre una Valutazione d’Impatto sui Diritti Fondamentali (FRIA). Quest’ultima non sostituisce la Valutazione d’Impatto sulla Protezione dei Dati (DPIA) art. 35 GDPR, ma la integra, valutando l’impatto del sistema su una gamma più ampia di diritti fondamentali oltre alla sola privacy.

Raggiungere e mantenere la conformità al GDPR richiede quindi un approccio proattivo e sistematico alla protezione dei dati. Ecco alcuni passi fondamentali:

• Mappatura dei dati: identificare tutti i dati personali trattati dall’organizzazione, dove sono conservati e come vengono utilizzati.
• Valutazione dei rischi: effettuare una valutazione d’impatto sulla protezione dei dati (DPIA) per identificare e mitigare i rischi più elevati.
• Implementazione di politiche e procedure: stabilire politiche e procedure chiare per la protezione dei dati, inclusi processi per la gestione delle violazioni dei dati.
• Formazione del personale: assicurarsi che tutti i dipendenti siano consapevoli delle loro responsabilità in materia di protezione dei dati.
• Revisione continua: rivedere e aggiornare regolarmente le misure di protezione dei dati per garantire la conformità continua.

La conformità al GDPR non è solo un obbligo legale, ma anche un’opportunità per rafforzare la fiducia dei clienti e migliorare la gestione dei dati. Investire nella protezione dei dati può portare a processi aziendali più efficienti e a un vantaggio competitivo nel mercato.

Perché scegliere BSD Legal?

1. La privacy e, in generale, la protezione dei dati personali è la nostra passione. Una passione così forte che, qualche anno fa, alcuni dei nostri partner hanno fondatoPrivacy Network,un’associazione no-profit diventata ormai un punto di riferimento in Italia e non solo per la divulgazione di questi temi. Ma non solo: da anni siamo sponsor e ideatori, insieme ad altri colleghi e amici, dell’evento Privacy Week che riunisce gli stakeholders del settore e che ha visto l’Autorità Garante come ente patrocinante.
2. L’esperienza conta in un settore così specialistico. Abbiamo ideato soluzioni di privacy-by-design in sistemi ad alto contenuto tecnologico come: app, sistemi IA, gestionali SaaS e tanti altri prodotti in settori anche relativi alle c.d.“infrastrutture critiche”.
3. Adottiamo un approccio tailor-made su ogni nuovo progetto e cliente. E non potrebbe essere diversamente. Di fronte ad una consulenza così specialistica e tecnica, non ci può essere un altro approccio.

Se volete approfondire la nostra metodologia, vi invitiamo a visitare il nostro sito.