Quali sono i dati personali citati dal GDPR?

Viviamo in un’epoca definita dalla “datificazione” di ogni interazione umana. Se i dati rappresentano il motore della trasformazione digitale, la loro protezione costituisce il perimetro di sicurezza dello Stato di diritto moderno. Ma cosa intendiamo esattamente quando parliamo di “dati“? In questo articolo analizzeremo la definizione di dato personale ai sensi dell’Art. 4 del GDPR, per poi approfondire il regime speciale delle “categorie particolari” ex Art. 9.

La rilevanza della data protection, o in Italiano protezione dei dati, non esaurisce la sua ratio nella mera tutela della sfera privata dell’interessato. Sotto il profilo individuale, essa si configura come un presidio essenziale della dignità e delle libertà fondamentali, volto a prevenire discriminazioni e a garantire l’autodeterminazione informativa.

Ma la protezione dei dati rappresenta un pilastro della governance aziendale: una gestione sicura e conforme del patrimonio informativo non è solo un obbligo di compliance, ma un fattore determinante per la salvaguardia del know-how, del segreto industriale e della reputazione del brand, consolidando il legame di fiducia con il mercato e trasformando la sicurezza in un vantaggio competitivo tangibile.

Prima di iniziare un caso concreto. “Se uso Face ID solo per far accedere l’utente alla mia app, sto trattando dati biometrici ai sensi dell’Art. 9 del GDPR?”

Questa è una delle domande che riceviamo più spesso negli ultimi mesi. E la risposta è: dipende. Dipende da dove viene elaborato il dato, da chi lo controlla, da cosa ne viene fatto dopo. Un’impronta digitale gestita localmente dal Secure Enclave di Apple, che non lascia mai il dispositivo, non è la stessa cosa di un sistema che invia l’immagine del viso a un server per il matching. Eppure, la confusione è diffusa. Negli audit che conduciamo, capita ancora di trovare informative che trattano Face ID come “dato biometrico soggetto a consenso esplicito”, quando in realtà il titolare dell’app non sta nemmeno trattando quel dato, lo sta solo usando come meccanismo di autenticazione delegato al sistema operativo.

Il problema non è solo di compliance formale: è che molte aziende stanno rinunciando a tecnologie sicure e user-friendly perché convinte, erroneamente, che il GDPR le renda impraticabili.

– L’articolo 9 del GDPR e i dati sensibili

– Come trattare i dati sensibili citati dal GDPR

– Privacy-by-design e dati personali/sensibil

– Consulenza Privacy by Design

Secondo l’Articolo 4, un dato personale è molto più del semplice binomio nome e cognome: è qualsiasi informazione che possa ricondurre a noi, anche indirettamente. Letteralemente un dato personale viene definito come: “qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”.

Un dato personale potrebbe essere il vostro nome e cognome, ma anche il vostro indirizzo o il vostro codice fiscale. Tuttavia, la nozione di identificabilità, come definita dal GDPR, trascende il mero dato anagrafico (es. mario rossi con numero di telefono xxxx con codice fiscale xxx) ma include ogni informazione che permetta di identificare una persona, anche se non direttamente.

Ai sensi del Considerando 26 del GDPR, la qualifica di “identificabile” non richiede una certezza assoluta, ma si fonda su un test di ragionevolezza che valuta se il titolare o un terzo possano risalire all’identità dell’interessato impiegando mezzi proporzionati in termini di costi, tempo e tecnologie disponibili.

Un esempio: un’azienda di trasporti pubblici raccoglie dati sui movimenti dei passeggeri tramite una tessera elettronica. I dati registrati non contengono il nome o il cognome dell’utente, ma includono:
• un codice identificativo della tessera
• gli orari di accesso e uscita
• le fermate utilizzate con regolarità

Formalmente il passeggero non è direttamente identificato. Tuttavia, applicando il test di ragionevolezza del Considerando 26, l’azienda potrebbe:
• incrociare il codice della tessera con i dati di pagamento o di registrazione (se la tessera è nominativa), oppure
• ricostruire le abitudini di viaggio (casa–lavoro) e risalire con buona probabilità a una persona specifica

Poiché questa identificazione è ragionevolmente possibile usando mezzi proporzionati (senza sforzi eccessivi in termini di costi, tempo o tecnologia), il passeggero deve essere considerato “identificabile”.
Di conseguenza, quei dati sono dati personali e ricadono pienamente nell’ambito di applicazione del GDPR.

Il legislatore europeo ha poi individuato un nucleo di informazioni che, per la loro natura intrinseca, richiedono un regime di protezione più rinforzato. L’Articolo 9 disciplina le cosiddette “categorie particolari di dati personali” (precedentemente definiti “dati sensibili”), la cui compromissione potrebbe ledere i diritti e le libertà fondamentali dell’individuo. Ai sensi del paragrafo 1 dell’Art. 9, rientrano in tale alveo le informazioni atte a rivelare:

• Origine razziale o etnica;
• Opinioni politiche;
• Convinzioni religiose o filosofiche;
• Appartenenza sindacale;
• Dati genetici (caratteristiche biologiche ereditarie o acquisite);
• Dati biometrici (quando intesi a identificare in modo univoco una persona fisica);
• Dati relativi alla salute (stato di benessere fisico o psichico, inclusa l’erogazione di servizi sanitari);
• Dati relativi alla vita sessuale o all’orientamento sessuale.

Le categorie particolari di dati, in ragione del loro rischio intrinseco per la dignità e la riservatezza dell’interessato, sono soggette a una tutela rafforzata volta a prevenire potenziali discriminazioni o lesioni ai diritti e alle libertà fondamentali. La natura ultrasensibile di tali informazioni ha indotto il legislatore a prevedere un regime di protezione di carattere eccezionale, fondato sulla proibizione generale del trattamento, consentito solo in presenza di deroghe tassative e rigorose misure di sicurezza. Ma quali sono questi dati particolari e in che modo possiamo riconoscerli? Ecco alcuni esempi.

• Dati biometrici e pattern comportamentali: tramite l’uso di dispositivi mobili e sistemi di autenticazione ha normalizzato la condivisione di dati biometrici. Per esempio, l’impronta digitale o la scansione facciale (FaceID) utilizzate per sbloccare smartphone o applicazioni bancarie. Sebbene spesso risiedano in un’area protetta del dispositivo (Secure Enclave), la loro gestione rientra nell’alveo dei dati biometrici volti a identificare univocamente una persona fisica.
• Dati relativi alla salute tramite “Internet of Bodies” (IoB): i dispositivi wearable (smartwatch, fitness tracker) raccolgono flussi costanti di dati che, ai sensi del GDPR, rientrano nella categoria dei dati relativi alla salute. Per esempio, il battito cardiaco a riposo, i cicli del sonno, i livelli di saturazione di ossigeno o il numero di passi.
• Orientamento e vita sessuale via App: l’utilizzo di applicazioni di dating o di monitoraggio del benessere riproduttivo comporta il conferimento di dati estremamente sensibili. Per esempio tramite preferenze relazionali espresse nei filtri di ricerca o dati inseriti in app per il monitoraggio del ciclo mestruale.

Il regime giuridico dell’Articolo 9 si fonda su un divieto generale di trattamento. A differenza dei dati comuni, per i quali il Titolare deve individuare una base giuridica ex Art. 6, per i dati sensibili l’attività è considerata illecita ab origine, a meno che non ricorra una delle deroghe tassative previste dal paragrafo 2.

Il trattamento è consentito esclusivamente nelle seguenti circostanze:
• Consenso Esplicito (lett. a): l’interessato presta una manifestazione di volontà libera, specifica, informata e, a differenza del consenso ordinario, espressa in forma inequivocabile per finalità determinate.
• Obblighi in materia di Diritto del Lavoro (lett. b): trattamento necessario per assolvere obblighi o esercitare diritti del Titolare o dell’interessato nel campo del diritto del lavoro e della sicurezza sociale.
• Tutela di Interessi Vitali (lett. c): qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso (es. emergenza sanitaria).
• Dati resi manifestamente pubblici (lett. e): qualora l’interessato abbia deliberatamente diffuso le informazioni.
• Accertamento o difesa di un diritto (lett. f): necessario per agire in sede giudiziaria.
• Interesse pubblico rilevante o finalità sanitarie (lett. g, h, i): sulla base del diritto dell’Unione o degli Stati membri, proporzionato alla finalità perseguita (es. diagnosi medica, gestione di sistemi sanitari).

Quando il trattamento coinvolge dati sensibili (salute, biometria, opinioni politiche, ecc.), come detto, il GDPR alza l’asticella del rigore. L’Articolo 9, par. 2, lett. a) non si accontenta di un consenso inequivocabile, ma esige che esso sia esplicito.

Qual è la differenza sostanziale? Mentre il consenso inequivocabile può essere dedotto da un comportamento attivo (es. il caricamento volontario di una foto), il consenso esplicito richiede una conferma diretta e formale. Dal punto di vista della cybersecurity e del diritto tech, ciò si traduce spesso nell’implementazione di:

• Firme digitali o elettroniche;
• Procedure di double opt-in rafforzate;
• Dichiarazioni scritte o flag specifici accompagnati da una formula che richiami espressamente la natura sensibile del dato trattato.

L’onere della prova (principio di Accountability) ricade interamente sul Titolare, che deve essere in grado di dimostrare non solo che il consenso è stato prestato, ma che l’interessato ha compreso appieno la gravità e la delicatezza del conferimento.

È opportuno ricordare che il consenso non è l’unica via, né sempre la più appropriata. In determinati contesti (sanitario, giuslavoristico o di sicurezza pubblica), il trattamento può fondarsi sulla necessità di assolvere obblighi di legge o proteggere interessi vitali. Tuttavia, qualora si scelga la via del consenso, la sua natura “esplicita” diventa il parametro di legittimità su cui si misurerà l’eventuale controllo delle Autorità.

Il principio di privacy by design assume un rilievo centrale quando il trattamento riguarda categorie particolari di dati personali. Se, infatti, l’Articolo 9 del GDPR introduce un regime di protezione rafforzato fondato su un divieto generale di trattamento, l’Articolo 25 ne rappresenta la traduzione operativa sul piano tecnico e organizzativo.

In altri termini, più il dato è sensibile, maggiore deve essere il livello di “protezione incorporata” nel sistema che lo tratta. Privacy by design e dati sensibili non sono concetti paralleli, ma elementi che si rafforzano reciprocamente: il primo costituisce lo strumento attraverso cui il secondo può essere trattato in modo lecito, proporzionato e conforme al principio di accountability.

Come chiarito dal GDPR, il titolare del trattamento è tenuto a integrare le garanzie di protezione sin dalla fase di progettazione del trattamento e non ex post, quando il rischio si è già materializzato. Questo approccio risulta imprescindibile nel caso di dati idonei a rivelare informazioni sulla salute, sull’orientamento sessuale, sulle opinioni politiche o su caratteristiche biometriche e genetiche dell’interessato, ossia dati che, se compromessi, possono determinare effetti discriminatori o pregiudizi irreversibili per i diritti e le libertà fondamentali della persona.

Secondo l’European Data Protection Board (EDPB), i dati appartenenti a categorie particolari “meritano una protezione maggiore” proprio in ragione della loro capacità di incidere sulla dignità e sull’identità dell’individuo. Ne consegue che il titolare non può limitarsi a individuare una deroga ex Art. 9, par. 2, ma deve dimostrare di aver progettato l’intero trattamento secondo logiche di minimizzazione, sicurezza e controllo del rischio.

Privacy by design come presidio di liceità per i dati sensibili
Applicare il principio di privacy by design nel trattamento di dati sensibili significa, in concreto:
• Ridurre al minimo i dati trattati: ad esempio, un’app per la prenotazione di visite mediche può richiedere esclusivamente i dati identificativi necessari alla gestione dell’appuntamento, evitando la raccolta preventiva di informazioni cliniche non pertinenti.
• Limitare l’accesso ai dati ai soli soggetti autorizzati: l’accesso ai dati sensibili può essere consentito esclusivamente a personale specificamente autorizzato, tramite profili di accesso differenziati e autenticazione forte.
• Adottare misure tecniche che rendano il dato inutilizzabile in caso di accesso non autorizzato: la cifratura dei dati a riposo e in transito garantisce che, anche in caso di data breach, le informazioni sanitarie o biometriche risultino illeggibili a soggetti terzi.
• Progettare flussi informativi trasparenti e comprensibili per l’interessato: l’interfaccia dell’app può indicare in modo chiaro quali dati sensibili vengono raccolti, per quali finalità e per quanto tempo, evitando informative stratificate o eccessivamente tecniche.
• Prevedere meccanismi di sicurezza proporzionati al rischio specifico del trattamento: nel trattamento di dati biometrici, l’adozione di soluzioni di autenticazione locale sul dispositivo (senza conservazione centrale del dato) consente di ridurre significativamente il rischio per i diritti dell’interessato.

Il tutto tenendo conto, come richiesto dall’Art. 25 GDPR, dello stato dell’arte, dei costi di attuazione, della natura e delle finalità del trattamento, nonché dell’impatto sui diritti e sulle libertà delle persone fisiche.

Esempio: privacy by design in un’app che tratta dati sanitari

Si pensi a un’applicazione mobile che monitora parametri di salute tramite dispositivi wearable (battito cardiaco, qualità del sonno, livelli di ossigenazione). In questo caso, i dati trattati rientrano a pieno titolo tra i dati relativi alla salute ex Art. 9 GDPR. Un approccio privacy by design può tradursi, ad esempio, in:
• raccolta locale dei dati, con trasmissione al server solo in forma aggregata o pseudonimizzata;
• crittografia end-to-end dei flussi informativi;
• separazione logica tra dati identificativi e dati sanitari;
• impostazioni di default orientate alla minimizzazione, che consentano all’utente di scegliere quali parametri condividere;
• accessi profilati e tracciati per il personale autorizzato.

In questo modo, la protezione dei dati sanitari non dipende esclusivamente dal consenso esplicito dell’utente, ma è incorporata nell’architettura stessa dell’applicazione.

Esempio: privacy by design e dati biometrici

Un ulteriore ambito emblematico è quello dei dati biometrici utilizzati per l’identificazione univoca, come impronte digitali o riconoscimento facciale.

Nel caso di un’app che utilizza la biometria per l’accesso dell’utente, una misura di privacy by design consiste nel non conservare il dato biometrico in chiaro, ma nel demandare l’autenticazione al sistema operativo del dispositivo (es. Secure Enclave), evitando che il titolare entri in possesso dell’informazione biometrica. Analogamente, nell’uso di sistemi di videosorveglianza con riconoscimento facciale, l’adozione di tecniche di blurring o mascheramento automatico dei volti, attivabili di default e disattivabili solo in presenza di specifici presupposti di legge, rappresenta un esempio concreto di integrazione della protezione dei dati sensibili nella progettazione del trattamento.

Il legame tra privacy by design e dati sensibili evidenzia, in ultima analisi, il ruolo centrale del principio di responsabilizzazione (accountability). Il titolare non è chiamato solo a rispettare formalmente il GDPR, ma a dimostrare di aver compiuto scelte progettuali consapevoli e orientate alla tutela dell’interessato. In questo senso, la privacy by design non è una misura accessoria, ma un criterio di legittimità sostanziale del trattamento, soprattutto quando sono coinvolti dati particolari.

Per un approfondimento sul significato e sull’applicazione pratica del principio, è possibile consultare l’articolo dedicato sul tema della privacy by design disponibile sul sito BSD Legal: https://bsdlegal.it/privacy-by-design-significato/

L’applicazione del principio di privacy by design non può essere ridotta a una scelta tecnologica o a un adempimento formale. Si tratta, piuttosto, di un l’analisi preventiva dei rischi, la definizione di misure tecniche e organizzative proporzionate, l’eventuale conduzione di valutazioni d’impatto (DPIA) e la capacità di documentare le scelte effettuate in un’ottica di responsabilizzazione.

BSD Legal affianca imprese, pubbliche amministrazioni e fornitori di soluzioni digitali nella revisione di trattamenti complessi, con particolare attenzione ai settori ad alto impatto tecnologico e regolatorio, quali sanità digitale, istruzione, intelligenza artificiale e cybersecurity. L’approccio adottato integra la conformità normativa con le esigenze operative e di business, trasformando la protezione dei dati da vincolo regolatorio a fattore di affidabilità e sostenibilità del progetto.

Perchè scegliere BSD Legal?

1. La privacy e, in generale, la protezione dei dati personali è la nostra passione. Una passione così forte che, qualche anno fa, alcuni dei nostri partners hanno fondato Privacy Network, un’associazione no-profit diventata ormai un punto di riferimento in Italia e non solo per la divulgazione di questi temi.
2. L’esperienza conta in un settore così specialistico. Abbiamo ideato soluzioni di privacy-by-design per diversi sistemi come: app, sistemi IA, gestionali e tanti altri prodotti in tanti settori anche relativi alle c.d.“infrastrutture critiche”.
3. Adottiamo un’approccio tailor-made su ogni nuovo progetto e cliente. E non potrebbe essere diversamente. Di fronte ad una consulenza così specialistica e tecnica, non ci può essere un altro approccio.

pagina di approfondimento sulla privacy by design.