Dati personali: cosa sono esattamente secondo il GDPR

Ognuno di noi è abituato a parlare di dati personali, soprattutto in tema di diritto alla privacy. In realtà, però, sono in pochi a sapere esattamente cosa sono i dati personali, come sono classificati, in che modo la legge li protegge da una gestione incauta o fraudolenta. Cerchiamo dunque di fornire una definizione del concetto di dato personale, approfondendo un discorso mirato sul tema.

LEGGI ANCHE: Diritto all’oblio e alla cancellazione: cosa vuol dire

Cosa sono i dati personali

Il termine dati personali ha un significato preciso, che viene chiarito all’interno dell’articolo 4 del GDPR, in cui è specificato che:

“Ai fini del presente regolamento s’intende per:

«dato personale»: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”.

Identificazione diretta e identificazione indiretta

I dati personali sono informazioni che rendono identificabile una persona. Nell’estratto presentato viene posta una prima differenza importante: i dati, per essere ritenuti personali, devono rendere identificabile la persona in maniera diretta o indiretta. Spieghiamo la differenza.

Come facilmente intuibile, i dati diretti riportano informazioni che permettono di identificare in modo immediato, senza il bisogno di elaborazione dei dati, la persona interessata. Sono considerati dati diretti i dati anagrafici (nome e cognome) e fotografie che raffigurano la persona. I dati indiretti sono invece dei dati associati alla persona che permettono la sua identificazione tramite una ricerca incrociata; parliamo ad esempio del Codice Fiscale, della targa di un veicolo o dell’indirizzo IP.

Dati cosiddetti sensibili

Con l’introduzione del GDPR è stato possibile anche effettuare una mappatura dei dati, cosiddetti sensibili, ponendo un ordine all’interno di un ambito fino a quel momento confuso. Ecco come il Regolamento europeo classifica i dati in base alla loro tipologia:

• • Dati genetici: sono le informazioni che riguardano le caratteristiche genetiche dell’individuo, fornendo elementi spesso univoci per definire la sua identità. Tali informazioni sono rilevate attraverso analisi specifiche come quella del DNA, dell’RNA e dei cromosomi.

• • Dati biometrici: i dati ottenuti attraverso un test tecnico utile a scansionare connotati fisici, comportamentali o fisiologici, che permettono l’identificazione diretta o indiretta dell’individuo. Esempi di questi dati sono le informazioni relative alla calligrafia e quelle ottenute tramite l’acquisizione di contenuti fotografici e visuali.

• • Dati sulla salute: le informazioni relative allo stato di salute fisica e psichica della persona.

Dati giudiziari

Con dati giudiziari si intendono tutti quei documenti capaci di attestare eventuali atti giudiziari comminati alla persona e riportati nel casellario giudiziale (procedimenti penali in via temporanea e definitiva, obblighi e/o restrizioni, libertà condizionata e ogni altro provvedimento alternativo alla detenzione del soggetto).

LEGGI ANCHE: GDPR: cos’è, come funziona e tutto ciò che occorre sapere

Che significa “trattamento dei dati”

Chiarito cosa sono i dati personali e come si classificano, concludiamo chiarendo un ultimo concetto, quello di Trattamento dei dati personali. Il GDPR, infatti, tutela il diritto degli utenti a ottenere un trattamento dei propri dati lecito e non nocivo per la privacy, ma cosa significa “trattare i dati personali”?

Con la parola “trattamento” si intende qualsiasi operazione o set di operazioni eseguiti su un singolo dato o su un gruppo di dati personali. Dunque, la raccolta, la registrazione, l’archiviazione, la consultazione, l’uso e ogni altra azione riguardante i dati di una persona sono considerati come trattamento dei dati e, in quanto tale, devono ossequiare le direttive fornite dal GDPR in modo da scongiurare il rischio di incorrere in sanzioni.