Transcription
[Musica]
Si dice spesso che il petrolio del xxi secolo non si trova nel sottosuolo, ma nel web, sotto forma di dati. Chi è in grado di estrarre informazioni dai dati, come il petrolio dal sottosuolo, ha in mano le chiavi del mondo in cui viviamo. Opportunamente incrociati e aggregati, i dati sono in grado di fornirci una miriade di informazioni, con enormi ricadute per la ricerca, lo sviluppo, il business, le strategie politiche. Pensate, per esempio, alle politiche sanitarie in tempo di pandemia: conoscere i dati di sviluppo del contagio, i dati di accesso agli ospedali, la gestione dei posti di rianimazione, lo spostamento delle persone. Ecco, sono tutte informazioni essenziali per gestire efficacemente un'emergenza sanitaria.
È in questo quadro che si inserisce il Regolamento Generale per la Protezione dei Dati, il GDPR, che detta regole comuni a tutti i 27 paesi membri dell'Unione Europea. Più precisamente, il GDPR si occupa della tutela dei dati personali. Meglio ancora, si occupa della tutela dei dati personali delle persone fisiche. Vediamo che cosa vuol dire.
[Musica]
Partiamo dal concetto di persone fisiche. Le persone fisiche non sono altro che le persone in carne e ossa, come me che vi sto parlando, e come voi che state guardando questo video. Dunque, il GDPR si applica solo ai dati personali delle persone fisiche e non si applica, invece, ai dati delle imprese, delle pubbliche amministrazioni, delle associazioni, in generale a tutte quelle che il diritto chiama persone giuridiche. In questo senso, potremmo dire che il GDPR ha un'impostazione antropocentrica.
[Musica]
Vediamo ora che cosa sono i dati personali. Sono dati personali tutte le informazioni che consentono di identificare una persona fisica in modo diretto, per esempio nome e cognome o una fotografia del viso, oppure indiretto, per esempio il numero di targa o il codice fiscale, e che forniscono informazioni sulle sue caratteristiche fisiche, il suo stile di vita, le sue relazioni, il suo stato di salute, la sua situazione economica e sociale, la sua religione, con l'adesione a un partito politico. Già da questa definizione avrete capito che i dati personali possono presentarsi in forme molto diverse: un'immagine o un audio, un'informazione scritta o un codice identificativo. Se sono riferibili direttamente o indirettamente a una persona fisica, allora sono dati personali e sono soggetti al GDPR.
[Musica]
A questo punto, siamo in grado di stabilire per esclusione quali dati non sono dati personali e, quindi, non sono soggetti al GDPR. Non sono dati personali i dati anonimi e i dati anonimizzati, cioè resi anonimi in un secondo momento. Entrambi escludono che si possa risalire all'identità della persona interessata e, perciò, il GDPR non si applica. Un esempio di dati anonimi può essere quello dei dati statistici, che spesso, appunto, sono o anonimi in partenza o anonimizzati in un secondo momento.
[Musica]
Diversi dai dati anonimi sono i dati pseudonimizzati. I dati pseudonimizzati, se presi da soli, non consentono di risalire all'identità della persona, ma se vengono uniti ad altre informazioni, allora consentono di farlo. Per esempio, io posso associare un codice identificativo ai miei clienti o ai partecipanti allo studio clinico per proteggerne l'identità. Ma se unisco quel codice identificativo ad altre informazioni, per esempio la data di nascita, il sesso, le iniziali di nome e cognome, allora può essere possibile io risalga alla loro identità. Proprio perché i dati pseudonimi forniscono un anonimato solo reversibile, provvisorio, allora sono considerati a tutti gli effetti dati personali e, dunque, ai dati pseudonimizzati il GDPR si applica.
[Musica]
I dati personali si dividono in due grandi gruppi, e vedremo perché è importante distinguerli. Il primo gruppo è quello dei dati comuni, così chiamati perché non rivelano aspetti particolarmente intimi della nostra vita. Ne fanno parte, per esempio, i dati anagrafici, il codice fiscale, il numero di targa, la residenza, l'indirizzo IP. Nel secondo gruppo, invece, troviamo quelli che potremmo definire i più personali fra i dati personali. Il GDPR li chiama categorie particolari di dati personali, ma prima del GDPR venivano chiamati dati sensibili, proprio perché rivelano aspetti intimi e personali della nostra vita. Appartengono alle categorie particolari di dati personali: la nostra origine razziale o etnica, il nostro stato di salute, la nostra vita sessuale o orientamento sessuale, le nostre opinioni politiche, l'appartenenza a un sindacato, la nostra confessione religiosa e i nostri eventuali trascorsi giudiziari. Ancora, rientrano fra i dati particolari i dati genetici, pensate al DNA, e i dati biometrici, che identificano in modo univoco la nostra persona. Può darsi che quest'ultima categoria suoni poco familiare, ma chissà quanti di voi sbloccano lo smartphone utilizzandone l'impronta digitale o il riconoscimento facciale. Bene, l'impronta digitale e la conformazione del nostro volto sono dati biometrici, così come lo sono la forma dell'iride, la nostra immagine scansionata all'aeroporto per il controllo passeggeri, la tonalità della nostra voce e così via.
Perché è importante distinguere i dati comuni dalle categorie particolari di dati personali? È importante perché per le categorie particolari di dati personali, e solo per quelle, il GDPR pone come regola generale quella del divieto di utilizzo. In altre parole, per queste categorie particolari di dati, la regola è quella che non si possono usare. L'uso, quindi, è da considerarsi del tutto eccezionale e deve ubbidire a standard di sicurezza più elevati, per esempio la richiesta di un consenso esplicito dell'interessato per l'uso di quelle specifiche categorie di dati.
[Musica]
Ora che sappiamo che cosa sono i dati personali, dobbiamo chiederci in che modo debbano essere maneggiati, gestiti, conservati, in una parola, trattati. Partiamo proprio da qui, dalla definizione di trattamento dei dati personali che ci è fornita dal GDPR. Costituisce un trattamento qualsiasi operazione applicata ai dati personali, compiuta con o senza l'aiuto di processi automatizzati. Raccogliere dati, organizzarli, conservarli in archivio sono tutti esempi di trattamento. Se, per esempio, a un e-commerce conservo gli indirizzi email degli iscritti alla mia newsletter, sto facendo un trattamento. Se sono un medico e sto archiviando i dati sanitari dei miei pazienti, sto facendo un trattamento. Se sono un insegnante e sto inserendo nel registro i dati personali dei miei alunni, sto facendo un trattamento.
[Musica]