Il Regolamento Generale sulla Protezione dei Dati (GDPR 2016/679) stabilisce le regole fondamentali per il trattamento dei dati personali nell’Unione Europea. In questo articolo scopriremo i sette principi fondamentali del GDPR, illustrati con esempi concreti e applicazioni pratiche. Continua a leggere per scoprire come il GDPR possa diventare uno strumento strategico per rafforzare la fiducia dei clienti e migliorare la gestione dei dati nella tua azienda.

– Cosa significa l’acronimo GDPR
– Quando si applica il GDPR
– I 7 principi del GDPR
o Liceità, correttezza e trasparenza
o Limitazione della finalità
o Minimizzazione dei dati
o Esattezza
o Limitazione della conservazione
o Integrità e riservatezza
o Responsabilizzazione
– Conformità al GDPR

GDPR è l’acronimo di “General Data Protection Regulation“, tradotto in italiano come “Regolamento Generale sulla Protezione dei Dati”. Si tratta del Regolamento UE 2016/679, che si applica dal 25 maggio 2018 e che ha sostituito la precedente Direttiva 95/46/CE sulla protezione dei dati.

Il GDPR ha rivoluzionato l’approccio delle aziende verso l’accesso, l’utilizzo e la conservazione dei dati personali, che oggi rivestono un ruolo sempre più centrale nelle attività economiche e sociali. Il principio fondamentale che ispira l’intero impianto normativo è il riconoscimento del diritto di ogni individuo di mantenere il controllo sui propri dati personali, con particolare attenzione alle categorie speciali di dati.

Questo regolamento ha come obiettivo di cedere il controllo dei dati agli individui, conferendo a questi ultimi strumenti concreti per gestire attivamente, ed eventualmente condividere, le informazioni e i dati che li riguardano. Essere conformi al GDPR non si limita ad un adempimento burocratico ma costituisce una nuova modalità di concepire la relazione tra cittadini e organizzazioni basata sulla trasparenza e sul rispetto della dignità personale. La prospettiva privilegiata, però, è quella delle aziende: il Regolamento ci racconta come le stesse organizzazioni devono trattare i dati personali dei loro consumatori, clienti, fornitori, dipendenti o collaboratori.

Per approfondire il testo ufficiale del regolamento, è possibile consultare il sito ufficiale della Commissione Europea.

Il GDPR si applica in diverse circostanze, che è importante conoscere per determinare se la propria attività rientra nell’ambito di applicazione del regolamento:

• Ambito territoriale (Art. 3 GDPR): il regolamento si applica a tutte le organizzazioni che trattano dati personali di residenti nell’UE, indipendentemente dalla sede dell’organizzazione. Ciò significa che anche un’azienda con sede negli Stati Uniti deve conformarsi al GDPR se tratta dati di cittadini europei. Per maggiori informazioni riguardo all’applicazione territoriale del GDPR si vedano le Linee-guida 3/2018 sull’ambito di applicazione territoriale EDPB. È una delle grandi novità del GDPR: per la prima volta una norma supera i confini territoriali del continente in cui è stata promulgata. Questo spiega le pesanti sanzioni che le Big Tech hanno subito nel corso degli ultimi anni. Un esempio eclatante? La multa da 1,2 mld € inflitta a Meta.
• Tipologia di dati (Art. 2 GDPR): il GDPR si applica a qualsiasi operazione su dati personali, ovvero informazioni relative a una persona fisica identificata o identificabile. Questo include nomi, indirizzi, numeri di telefono, indirizzi e-mail, informazioni biometriche, dati di localizzazione e identificatori online.
• Categorie di trattamento: il regolamento copre raccolta, registrazione, organizzazione, conservazione, adattamento, modifica, estrazione, consultazione, uso, comunicazione, diffusione, limitazione, cancellazione e distruzione dei dati.
• Tipologia di Trattamento: il GDPR cita il trattamento automatizzato, parzialmente automatizzato e non automatizzato. Inoltre, specifica che i dati personali trattati devono essere “contenuti in un archivio o destinati a figurarvi”.  Su quest’ultimo punto, sono nate diverse interpretazioni dottrinali sulla estensione o meno della conservazione, quale requisito di applicabilità, a tutti i trattamenti o solo a quelli NON automatizzati. Purtroppo, la struttura grammaticale della frase può lasciare dubbi.

Il GDPR non si applica:

• • Al trattamento di dati personali effettuato da persone fisiche nell’ambito di attività esclusivamente personali o domestiche. tenere un’agenda con i numeri di telefono degli amici o pubblicare foto di famiglia su un album privato online).
  • Al trattamento di dati anonimi (dati che non possono essere ricondotti a una persona identificabile). ricerche di mercato che utilizzano dati demografici generali, senza nomi o indirizzi o dati di vendita di un prodotto, dove i clienti non sono identificabili.
  • Al trattamento di dati di persone giuridiche (aziende, enti, associazioni). l’elenco dei contatti di un’azienda, con informazioni sulla partita IVA di una società.

I principi fondamentali del GDPR, enunciati nell’Articolo 5 del regolamento, rappresentano le linee guida essenziali per qualsiasi trattamento di dati personali. Questi principi devono essere rispettati da tutte le organizzazioni che raccolgono e trattano dati personali nell’ambito del GDPR.

I principi generali del GDPR sono utilizzati per fornire un quadro flessibile e adattabile alla rapida evoluzione tecnologica (tra cui l’Intelligenza Artificiale) garantendo al contempo la protezione dei diritti fondamentali degli individui nel trattamento dei loro dati personali. Questi principi rappresentano quindi la chiave della sua efficacia, assicurando una protezione dei dati personali capace di adattarsi alle più disparate situazioni. Questa flessibilità si estende sia nel tempo, permettendo al regolamento di rimanere attuale nonostante le rapide evoluzioni tecnologiche, sia nello spazio, garantendo un’applicazione armonizzata in tutti gli Stati membri dell’Unione Europea.

Quali sono questi principi e cosa prevedono?

Liceità, correttezza e trasparenza

Questo principio richiede che il trattamento dei dati personali sia effettuato in modo lecito, corretto e trasparente nei confronti dell’interessato.

Cosa significa in pratica:

• Liceità: il trattamento deve basarsi su una delle basi giuridiche previste dall’Articolo 6 del GDPR tra cui rientrano:

1. Il consenso dell’interessato, che deve essere libero, specifico, informato, inequivocabile e revocabile;
2. L’esecuzione di un contratto o l’esecuzione di misure precontrattuali;
3. Un obbligo legale al quale è soggetto il titolare del trattamento;
4. L’ interesse vitale dell’interessato o di un’altra persona fisica;
5. L’esecuzione di un compito di interesse pubblico;
6. Il perseguimento dell’interesse legittimo del titolare.

• Correttezza: i dati devono essere trattati in modo equo, senza inganno o manipolazione. La correttezza implica che i dati personali siano esatti e, se necessario, aggiornati. Il titolare del trattamento è tenuto ad adottare tutte le misure ragionevoli per garantire che i dati inesatti siano rettificati o cancellati tempestivamente. Su questo punto gioca un ruolo fondamentale anche un altro principio, che è quello della limitazione della conservazione dei dati, su cui ci soffermeremo più avanti
• Trasparenza: gli interessati devono essere informati in modo chiaro e comprensibile su come vengono utilizzati i loro dati. Come richiesto dagli articoli 12-14 del GDPR, è previsto l’obbligo per il titolare del trattamento di fornire agli interessati informazioni chiare, trasparenti, intelligibili e facilmente accessibili sul trattamento dei loro dati personali; questo è fondamentale per garantire la correttezza nel trattamento dei dati personali, poiché permette agli interessati di comprendere come i loro dati vengono utilizzati e di esercitare i propri diritti in modo consapevole.

Esempio pratico: Un e-commerce che raccoglie dati dei clienti, per finalità di marketing, ad esempio deve (1) fornire un’informativa privacy chiara e accessibile in cui spiega nel dettaglio i trattamenti di dati personali legati al marketing (2) indicare correttamente la base giuridica e, nel caso del consenso, delimitare il trattamento e permettere al cliente di fare scelte granulari (ad esempio, rispetto al mezzo con cui essere contattato) (3) in generale, conformarsi al principio di accountability informando il Cliente di eventuali trasferimenti di dati extra UE, delle proprie politiche di data retention o fornendo l’elenco dei propri Responsabili (cc.dd Data Processors).

 Limitazione della finalità

Una delle domande chiave poste dal GDPR è: perché il titolare del trattamento utilizza questi dati? La risposta risiede nel concetto di finalità, che obbliga il titolare a definire in modo preciso e legittimo lo scopo del trattamento. Secondo il principio di limitazione delle finalità i dati personali devono essere raccolti per solo per finalità determinate, esplicite e legittime, e non possono essere trattati in modo incompatibile con tali finalità.

Da sottolineare è che in base al GDPR, il trattamento dei dati deve aderire alla finalità iniziale di raccolta, impedendo modifiche arbitrarie. Occorre quindi richiedere un nuovo consenso agli interessati per la nuova finalità o stabilire invece una nuova base giuridica. Tuttavia, la normativa prevede eccezioni:

• finalità compatibili, da dimostrare mediante un bilanciamento ad opera del Titolare;
• archiviazione di interesse pubblico, ricerca scientifica o statistica, purché siano rispettate garanzie adeguate come pseudonimizzazione e minimizzazione dei dati (art. 5, par. 1, lett. b, del GDPR).

Il Codice Privacy permette poi ulteriori eccezioni per trattamenti per ricerca scientifica o statistica, con autorizzazione dell’Autorità di controllo, se l’informativa agli interessati è impossibile o sproporzionata, a condizione che siano adottate misure di tutela adeguate.

Esempio pratico:

Una app di fitness che raccoglie dati sulla posizione degli utenti per tracciare i percorsi di corsa non può utilizzare questi dati per creare profili di marketing senza esplicito consenso aggiuntivo degli utenti. Allo stesso modo, un negozio online che raccoglie l’indirizzo e-mail del cliente con la finalità di inviare la conferma dell’ordine e aggiornamenti sulla spedizione, non può utilizzare la stessa mail per inviare comunicazioni di marketing o promozione di altri prodotti.

Minimizzazione dei dati

Per minimizzazione si intende che i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Ciò significa che i titolari del trattamento non possono raccogliere più dati di quanti ne siano effettivamente necessari per la finalità del trattamento indicata. Questo principio è connesso al principio di limitazione della conservazione, che stabilisce un limite temporale per la conservazione dei dati necessari al conseguimento delle finalità per cui sono stati raccolti.

Esempio pratico: Un’azienda che offre un servizio di newsletter non dovrebbe richiedere il numero di telefono o l’indirizzo di residenza se queste informazioni non sono necessarie per l’erogazione del servizio.

Un esempio recente è la sentenza della Corte di Giustizia (CJEU) nel Caso C-394/23 del 9 gennaio 2025, che ha stabilito che l’identità di genere non costituisce un dato necessario per l’acquisto di biglietti ferroviari. Questo significa che durante l’acquisto di biglietti non è più richiesto fornire informazioni riguardo al sesso del passeggero. La sentenza ha ribadito che per il servizio di trasporto ferroviario (così come per gli altri tipi di servizi di trasporto), unicamente i dati rigorosamente necessari all’esecuzione del servizio possono essere raccolti, sottolineando l’importanza del principio di minimizzazione dei dati.

L’integrazione del principio di minimizzazione fin dalla fase di progettazione, cuore della privacy by design, assicura che vengano trattati solo i dati strettamente necessari, riducendo al minimo i rischi per la privacy degli interessati.

Un esempio pratico è la tecnica di data masking o offuscamento dei dati. Lo scenario è un’azienda che sviluppa un’app per la gestione delle prenotazioni di hotel. Per analizzare i dati e migliorare il servizio, vuole esaminare il comportamento degli utenti senza esporre informazioni personali.

Per garantire la minimizzazione dei dati durante test o analisi, i campi sensibili (come nomi, e-mail e numeri di telefono) vengono sostituiti o offuscati tramite tecniche di pseudonimizzazione. Questo processo permette di identificare gli utenti attraverso un codice univoco, anziché con il loro nome.

Esattezza

Il principio dell’esattezza impone che i dati personali degli individui debbano essere esatti e, se necessario, aggiornati. Questo significa che devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti. Questo principio è particolarmente importante perché garantisce che le decisioni basate sui dati siano corrette, proteggendo i diritti degli individui ed evitando errori o discriminazioni.

Cosa significa in pratica per le aziende?

• Verificare periodicamente l’accuratezza dei dati;
• Implementare processi per aggiornare i dati;
• Consentire agli interessati di rettificare i propri dati.

Questo principio è espresso dall’Art. 16 del Regolamento, che stabilisce che l’interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. 

Esempio pratico: Un’azienda richiede ai candidati di inoltrare nuovamente il proprio CV dopo due anni dalla sua conservazione, per assicurarsi che le informazioni siano aggiornate. Infatti, i candidati potrebbero nel frattempo aver acquisito nuove certificazioni o skills rispetto all’ultima versione del CV in possesso della società e l’eventuale assenza di informazioni aggiornate potrebbe pregiudicare una corretta valutazione delle competenze attuali.

Limitazione della conservazione

I dati personali devono essere conservati in una forma che consenta l’identificazione degli interessati per un periodo non superiore a quello necessario agli scopi per i quali sono trattati.

Cosa significa in pratica:

• Definire periodi di conservazione specifici per diverse categorie di dati
• Implementare processi per la cancellazione automatica dei dati al termine del periodo di conservazione
• Anonimizzare i dati quando possibile, una volta che si esaurita la finalità relativa ai dati trattati.

Esempio pratico: Un’azienda che raccoglie dati per una promozione a tempo limitato dovrebbe eliminare questi dati una volta conclusa la promozione, a meno che non sussistano altre basi legali per la conservazione.

Un esempio pratico è quello del 10 febbraio 2022, in cui l’Autorità Garante ha sanzionato Clearview AI di 20 milioni di euro per aver monitorato biometricamente persone in Italia e per aver violato il principio di limitazione della conservazione, conservando un database di immagini senza definire un periodo e senza rispondere adeguatamente ai reclami.

I periodi di conservazione dei dati personali variano significativamente a seconda della finalità del trattamento e delle normative applicabili; ad esempio, i dati dei CV dei candidati possono essere conservati per un breve periodo, come 12 mesi, per future opportunità lavorative, mentre i dati contabili devono essere conservati per 10 anni come previsto dalla legge, e in alcuni casi, come per i dati sanitari, i tempi di conservazione possono estendersi per decenni o addirittura essere indefiniti, in base alle specifiche esigenze di cura e alle disposizioni di legge.

Integrità e riservatezza

I dati personali devono essere trattati in modo da garantire un’adeguata sicurezza, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o danno accidentali. È innanzitutto l’art. 32 GDPR che ci ricorda quanto sia importante la sicurezza del dato e questa responsabilità è posta non solo in carico al Titolare (Data Controller) ma anche al Responsabile (Data Processor) secondo le rispettive competenze.

Fra le tante misure applicabili:

• Limitare l’accesso ai dati solo al personale autorizzato (che è anche espressione del principio di minimizzazione dei dati);
• Crittografare i dati sensibili, per evitare la loro divulgazione in caso di violazione dei propri sistemi;
• Effettuare regolari test di sicurezza, per valutare la resilienza dei propri sistemi;
• Implementare al proprio database le PETs (Privacy Enhancing Technologies); fra tutte, la c.d. differential privacy.

Esempio pratico: Un’azienda che gestisce dati sanitari dovrebbe implementare misure di sicurezza avanzate come la crittografia end-to-end, l’autenticazione a due fattori per l’accesso ai sistemi e procedure di risposta agli incidenti di sicurezza.

Responsabilizzazione o Accountability

Il titolare del trattamento è responsabile del rispetto dei principi precedenti e deve essere in grado di dimostrarlo. Quindi non è solo una questione di essere conformi, ma anche di dimostrarlo di esserlo.

Fra le azioni che sono espressione di questo principio:

• Documentare tutte le decisioni relative al trattamento dei dati e motivare le proprie scelte;
• Tenere un registro delle attività di trattamento (art. 30 GDPR);
• Effettuare valutazioni d’impatto sulla protezione dei dati (DPIA) per i trattamenti ad alto rischio;
• Effettuare LIA (Legitimate Interest Assessment) quando necessario.

La nomina di un DPO è fondamentale per garantire la conformità al GDPR in molte organizzazioni. Per approfondire quando è obbligatorio nominare un DPO e quali sono i suoi compiti, è possibile consultare questa guida completa sul ruolo del DPO.

Raggiungere e mantenere la conformità al GDPR richiede quindi un approccio proattivo e sistematico alla protezione dei dati. Ecco alcuni passi fondamentali:

• Mappatura dei dati: identificare tutti i dati personali trattati dall’organizzazione, dove sono conservati e come vengono utilizzati.
• Valutazione dei rischi: effettuare una valutazione d’impatto sulla protezione dei dati (DPIA) per identificare e mitigare i rischi più elevati.
• Implementazione di politiche e procedure: stabilire politiche e procedure chiare per la protezione dei dati, inclusi processi per la gestione delle violazioni dei dati.
• Formazione del personale: assicurarsi che tutti i dipendenti siano consapevoli delle loro responsabilità in materia di protezione dei dati.
• Revisione continua: rivedere e aggiornare regolarmente le misure di protezione dei dati per garantire la conformità continua.

La conformità al GDPR non è solo un obbligo legale, ma anche un’opportunità per rafforzare la fiducia dei clienti e migliorare la gestione dei dati. Investire nella protezione dei dati può portare a processi aziendali più efficienti e a un vantaggio competitivo nel mercato.

Perché scegliere BSD Legal?

1. La privacy e, in generale, la protezione dei dati personali è la nostra passione. Una passione così forte che, qualche anno fa, alcuni dei nostri partner hanno fondato Privacy Network, un’associazione no-profit diventata ormai un punto di riferimento in Italia e non solo per la divulgazione di questi temi. Ma non solo: da anni siamo sponsor e ideatori, insieme ad altri colleghi e amici, dell’evento Privacy Week che riunisce gli stakeholders del settore e che ha visto l’Autorità Garante come ente patrocinante.

2. L’esperienza conta in un settore così specialistico. Abbiamo ideato soluzioni di privacy-by-design in sistemi ad alto contenuto tecnologico come: app, sistemi IA, gestionali SaaS e tanti altri prodotti in settori anche relativi alle c.d.“infrastrutture critiche”.

3. Adottiamo un approccio tailor-made su ogni nuovo progetto e cliente. E non potrebbe essere diversamente. Di fronte ad una consulenza così specialistica e tecnica, non ci può essere un altro approccio.

Se volete approfondire la nostra metodologia, vi invitiamo a visitare il nostro sito.