Sempre più spesso, anche nel nostro quotidiano, sentiamo parlare di dati sensibili, di consenso al trattamento dei dati e, soprattutto in ambito aziendale, di protezione dei dati sensibili. Ma cosa sono esattamente? Quali sono le informazioni che rientrano nella categoria dei dati protetti? Proviamo a fare chiarezza insieme!

Dati sensibili: cosa sono?

I dati sensibili sono dati da tutto quell’insieme di dati personali e informazioni che identificano o rendono identificabile (direttamente o indirettamente) una persona fisica. Rientrano inoltre tra i dati sensibili anche tutte quelle informazioni sulle sue caratteristiche, le abitudini, lo stile di vita, le condizioni di salute, le relazioni personali, lo stato patrimoniale ed economico…

Nello specifico sono particolarmente importanti:

• I dati che permettono l'identificazione diretta: vedi, ad esempio, i dati anagrafici o le immagini che ritraggono una persona.
• I dati che permettono l'identificazione indiretta: Si pensi ai diversi numeri di identificazione usati di frequente come il codice fiscale, l'indirizzo IP o anche la targa della nostra automobile.
• Dati c.d. sensibili: ossia quelli che rivelano le convinzioni religiose, l'origine razziale od etnica, le ideologie filosofiche, le opinioni politiche o l'appartenenza sindacale. Ma anche, e forse soprattutto, quelli che forniscono informazioni sullo stato di salute o la vita sessuale di una persona fisica. Nell’articolo 9 il Regolamento (UE) 2016/679 ha incluso anche i dati genetici ed i dati biometrici.
• Dati c.d. giudiziari: ossia quelli relativi a condanne penali e reati.  cioè quelli che possono rivelare l'esistenza di determinati provvedimenti giudiziari soggetti ad iscrizione nel casellario giudiziale o la qualità di imputato o di indagato. Con l’articolo 10 il Regolamento (UE) 2016/679) fa rientrare anche i dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza.
• Geolocalizzazione e comunicazioni elettroniche: Le nuove tecnologie ci facilitano molte attività quotidiane, basti pensare alle numerose applicazioni che ci indicano la strada, la localizzazione di un particolare negozio o tengono traccia delle nostre performance sportive. Senza contare poi il mare di informazioni ed intrattenimento forniti dai vari social network! Ma cosa chiedono in cambio tutti questi servizi? L'evoluzione delle nuove tecnologie ha reso particolarmente facile la condivisione di informazioni riguardanti i luoghi da noi frequentati e tutti i nostri spostamenti. Si tratta di una mole di informazioni non indifferente che merita protezione e il cui trattamento non va sottovalutato.

Chi protegge i dati sensibili?

La figura preposta alla protezione dei dati sensibili è quella del DPO, ossia del Data Protector manager. Il DPO si avvale, oltre che delle conoscenze acquisite con i suoi studi, di tecnologie avanzate necessarie a gestire grandi quantitativi di dati. Si tratta di un ruolo molto importante all’interno di un’azienda, sia essa pubblica che privata. Anche se la sua utilità è universalmente riconosciuta, non è una figura professionale obbligatoria per tutti.

L’art. 37 par. 1 del GDPR, stabilisce tre casi specifici in cui la designazione del DPO è da considerarsi obbligatoria:

1. nel settore pubblico: la nomina di un DPO è sempre obbligatoria. Fanno eccezione solo le autorità giurisdizionali quando esercitano le loro funzioni;
2. nel settore privato: la nomina di un DPO è obbligatoria quando il titolare effettua, nel contesto delle proprie “attività principali”:
   1. trattamenti che comportano il “monitoraggio regolare e sistematico” degli interessati su larga scala;
   2. trattamenti “su larga scala” di categorie particolari di dati personali di cui all’art. 9 (dati particolari), o di dati relativi a condanne penali e a reati di cui all’art. 10.

Il DPO è dunque il Data Protection Officer. In italiano viene definito anche RPD, acronimo che sta per Responsabile della Protezione dei Dati.

Si tratta di una nuova figura introdotta dal GDPR che ha la funzione di affiancare titolare, addetti e responsabili del trattamento nella conservazione dei dati e nella gestione de i rischi che riguardano la loro protezione. In pratica si occupa di far sì che l’azienda per cui lavora segua scrupolosamente e diligentemente le indicazioni del Regolamento europeo. 

Il DPO è quindi una professione che include diverse skill e diversi ambiti. Un buon Data Protector Manager è prima di tutto un legale ed un tecnico, ma è anche una figura di riferimento in grado di prendere decisioni strategiche fondamentali e dotata di potere esecutivo. Senza contare poi che funge da tramite fra l’organizzazione e l’autorità.

I suoi compiti, per quanto vari e multi-sfaccettati, sono ben riassunti nel GDPR all’articolo 39:

• informare;
• sorvegliare;
• cooperare

Cosa si intende con trattamento dei dati sensibili?

Dopo aver capito cosa sono esattamente i dati sensibili ed esserci occupati della figura di riferimento che si occupa della loro gestione, vediamo insieme cosa si intende con “trattamento dei dati sensibili”.

Per trattamento dei dati si intendono qualsiasi operazione (o insieme di operazioni) applicate a dati personali o insiemi di dati personali. Rientrano sia le operazioni compiute con l'ausilio di processi automatizzati che senza di essi.

Non solo la loro raccolta, registrazione o conservazione, ma anche la loro modifica, la comunicazione mediante trasmissioni, la loro messa a disposizione o la loro cancellazione.

Tutti coloro che procedono al trattamento dei dati personali altrui, hanno l’obbligo di adottare precise misure per garantirne il corretto e sicuro utilizzo.

Il d.lgs 196/2003, ossia il codice sulla privacy, identificava i dati sensibili, cioè tutti quei i dati che potevano essere trattati solo con il consenso scritto dell'interessato. Erano considerati dati sensibili i dati personali in grado di divulgare:

• l'origine razziale ed etnica di un individuo
• le sue convinzioni e adesioni religiose, politiche e filosofiche
• lo stato di salute e la vita sessuale

È però stato fatto un cambiamento che richiede un piccolo approfondimento per chiarirci le idee. Con l’entrata in vigore del GDPR, i dati sensibili hanno cambiato nome e sono diventati dati particolari che, a loro volta, sono una componente della più ampia categoria dei dati personali.

L’articolo 9 del GPDR ci dice che i dati particolari non devono essere trattatati senza aver prima ottenuto il consenso esplicito dell’interessato. Ma in realtà sono anche previste delle eccezioni in tutti quei casi di necessità che servono per assolvere ad alcuni obblighi ben codificati. Il confine tra dati sensibili e dati particolari è labile e, nella realtà dei fatti poco è cambiato. Sono infatti davvero irrisorie le eccezioni molto poche e molto ben definite.