Indice
La guida
Dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile, direttamente o indirettamente, mediante riferimento a un identificatore (nome, numero, dati di localizzazione, identificativo online, elementi caratteristici della identita fisica, fisiologica, genetica, psichica, economica, culturale o sociale).
Significato giuridico
La definizione di dato personale e contenuta nell’art. 4 n. 1 del Reg. UE 2016/679 (GDPR). Categorie: dati personali comuni (nome, indirizzo, email, dati di contatto, dati professionali, fotografie, video); dati particolari (art. 9 GDPR, ex dati sensibili: origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici, salute, vita sessuale o orientamento sessuale): tutela rafforzata, trattamento di regola vietato salvo deroghe specifiche (consenso esplicito, interesse vitale, finalita sanitarie, ecc.); dati giudiziari (art. 10 GDPR: relativi a condanne penali, reati, misure di sicurezza), trattabili solo dietro autorita o disposizione di legge. Identificabilita: la persona e identificabile se puo essere individuata anche solo indirettamente, mediante combinazione di piu informazioni. Pseudonimizzazione (art. 4 n. 5 GDPR): tecnica che separa l’identificazione dell’interessato dai dati, riducendo (ma non eliminando) il rischio; resta dato personale. Anonimizzazione: rende irreversibilmente non identificabile la persona; il dato anonimo non e piu dato personale e non rientra nel GDPR.
Esempio pratico
L’indirizzo email “mario.rossi@email.it” e dato personale (identifica una persona specifica). L’indirizzo IP del dispositivo e dato personale (puo essere ricondotto a un utente). Una foto in cui si riconosce il volto e dato personale. Una statistica aggregata “il 45% dei clienti ha tra 30 e 40 anni” non e dato personale (anonimo). Una cartella clinica e dato particolare (salute): tutela rafforzata, trattamento solo per finalita sanitarie con consenso o base giuridica specifica.
Differenze con istituti simili
Si distingue dal dato anonimo, che non identifica alcuna persona e non rientra nel GDPR. Diverge dal dato pseudonimizzato, che resta dato personale ma con tutele aggiuntive di sicurezza. Si distingue dai dati delle persone giuridiche (societa, enti), che non rientrano nel GDPR (alcuni Stati hanno proprie discipline residuali). Le informazioni commerciali sui prodotti o sui servizi non sono dati personali se non riferite a una persona specifica.
Riferimenti normativi
- art. 4 n. 1 Reg. UE 2016/679 – definizione di dato personale
- art. 9 GDPR – categorie particolari di dati
- art. 10 GDPR – dati relativi a condanne penali e reati
- art. 4 n. 5 GDPR – pseudonimizzazione
Per il testo normativo integrale e aggiornato consulta Normattiva.it.