Dati personali e sensibili: differenze e tutele

Indice dei contenuti

• Cosa sono i dati personali
• Cosa sono i dati sensibili (dati particolari)
• Differenza tra dati personali e dati sensibili
• Come devono essere trattati
• Misure di sicurezza per proteggere i dati
• Basi di liceità del trattamento
• Tutelare un interesse vitale e pubblico

Sai davvero che cosa distingue i dati personali dai dati sensibili? In un mondo in cui ogni giorno condividiamo informazioni personali su piattaforme digitali, app, social network o moduli online, è essenziale comprendere che non tutti i dati hanno lo stesso livello di protezione.

Il Regolamento europeo 2016/679 (GDPR) ha definito con precisione cosa si intende per dati personali e dati sensibili, chiarendo le modalità con cui devono essere trattati e le misure di sicurezza da adottare per proteggerli.

In questo approfondimento analizzeremo in modo chiaro la differenza tra dati personali e dati sensibili, quali informazioni rientrano nella categoria dei dati particolari, quando è necessario il consenso esplicito, e come la legge tutela la persona fisica nei casi di uso improprio o violazione.

Cosa sono i dati personali

Secondo il GDPR, i dati personali sono informazioni relative a una persona fisica identificata o identificabile. Questo significa che qualunque elemento che permetta di risalire direttamente o indirettamente a un individuo rientra in questa categoria.
Esempi comuni di dati personali includono:

• nome, cognome e indirizzo;
• numero di telefono, email, codice fiscale;
• indirizzo IP, geolocalizzazione, cookie identificativi.

Un dato personale può identificare qualcuno anche in modo indiretto, quando viene combinato con altre informazioni.

Esempio
Un codice cliente o un numero di tessera sanitaria diventano dati personali se, tramite un database, consentono di individuare il titolare.

Non rientrano invece in questa categoria le informazioni riferite a soggetti giuridici (aziende, enti o associazioni), tranne quando un indirizzo o una denominazione contengono dati identificativi di una persona fisica, come “mario.rossi@azienda.it”.

Cosa sono i dati sensibili (dati particolari)

I cosiddetti dati sensibili, oggi chiamati dati particolari dal GDPR, comprendono tutte quelle informazioni che rivelano aspetti intimi della persona e che, se divulgate o usate impropriamente, possono causare discriminazioni o danni significativi.
Rientrano in questa categoria i dati che rivelano:

• origine razziale o etnica;
• opinioni politiche;
• convinzioni religiose o filosofiche;
• appartenenza sindacale;
• dati genetici;
• dati biometrici utilizzati per identificare una persona;
• dati relativi alla salute;
• vita sessuale o orientamento sessuale.

Si tratta, dunque, di informazioni personali che richiedono una protezione molto più rigorosa. Il trattamento di questi dati è vietato, salvo specifiche eccezioni: ad esempio, quando la persona ha espresso un consenso esplicito, oppure quando il trattamento serve per tutelare un interesse vitale o per motivi di interesse pubblico rilevante, come la sanità o la sicurezza nazionale.

Differenza tra dati personali e dati sensibili

La differenza tra dati personali e dati sensibili riguarda la natura dell’informazione e il livello di tutela previsto.

• I dati personali identificano un individuo o lo rendono identificabile (es. nome, indirizzo, numero di telefono).
• I dati sensibili o particolari, invece, rivelano aspetti profondi della sua identità, come la salute, la fede, l’origine etnica o l’orientamento sessuale.

Esempio
L’indirizzo email “maria.bianchi@gmail.com” è un dato personale, ma un referto medico o un test genetico sono dati sensibili, perché appartengono alla sfera più privata dell’individuo.

La distinzione incide anche sul trattamento dei dati: per i primi è sufficiente un consenso informato, per i secondi serve un consenso esplicito, espresso in forma scritta o con un’azione inequivocabile, e devono essere applicate misure di sicurezza rafforzate come crittografia, pseudonimizzazione e accesso controllato.

Come devono essere trattati

Il trattamento dei dati comprende ogni operazione che riguarda la gestione delle informazioni: raccolta, registrazione, consultazione, conservazione, modifica, comunicazione e cancellazione.
Ogni trattamento deve rispettare i principi fondamentali del GDPR: liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, integrità e riservatezza.

Chi tratta dati personali e dati sensibili deve:

• Identificare una base giuridica valida (consenso, contratto, obbligo legale, interesse pubblico).
• Limitare la raccolta ai soli dati necessari.
• Applicare misure di sicurezza tecniche e organizzative adeguate.
• Conservare i dati per un periodo proporzionato alle finalità.
• Consentire all’interessato di esercitare i propri diritti (accesso, rettifica, cancellazione, portabilità, opposizione).

Nel caso dei dati particolari, è spesso obbligatorio redigere una valutazione d’impatto sulla protezione dei dati (DPIA) e nominare un responsabile della protezione dei dati (DPO).

Misure di sicurezza per proteggere i dati

La protezione dei dati sensibili e dei dati personali è un pilastro della cyber security moderna. Le aziende e le pubbliche amministrazioni devono adottare misure di sicurezza adeguate, sia tecniche sia organizzative.
Tra le più importanti troviamo:

• Crittografia dei dati, per impedire l’accesso a chi non possiede la chiave di decrittazione.
• Pseudonimizzazione, che sostituisce le informazioni identificative con codici anonimi.
• Controllo degli accessi, per garantire che solo il personale autorizzato possa visualizzare o modificare i dati.
• Backup e disaster recovery, per assicurare la disponibilità dei dati anche in caso di incidente informatico.
• Formazione del personale, essenziale per ridurre errori umani e violazioni accidentali.

In caso di violazione (data breach), il titolare del trattamento deve comunicare l’incidente all’Autorità Garante entro 72 ore e informare gli interessati quando il rischio per i loro diritti è elevato.

Basi di liceità del trattamento

Il GDPR stabilisce che il trattamento di dati personali e dati sensibili sia lecito solo se fondato su una base giuridica.
Per i dati personali, le basi principali sono:

• consenso dell’interessato;
• obbligo contrattuale o legale;
• legittimo interesse del titolare;
• interesse pubblico.

Per i dati sensibili, invece, il trattamento è ammesso solo se:

• l’interessato ha dato un consenso esplicito;
• il trattamento serve a tutelare un interesse vitale;
• è necessario per motivi di interesse pubblico rilevante;
• è richiesto per l’esercizio di diritti in sede giudiziaria.

Questo sistema mira a bilanciare la libertà di trattamento con la tutela dei diritti fondamentali della persona.

Tutelare un interesse vitale e pubblico

Il GDPR riconosce eccezioni al consenso quando il trattamento dei dati sensibili è indispensabile per tutelare un interesse vitale o per motivi di interesse pubblico.

Esempio
Il settore sanitario: un medico può trattare i dati relativi alla salute di un paziente in emergenza anche senza consenso, per salvargli la vita.

Allo stesso modo, enti pubblici o organizzazioni possono trattare dati genetici o biometrici per garantire la sicurezza nazionale, la prevenzione di epidemie o la protezione sociale, sempre nel rispetto dei principi di proporzionalità e trasparenza.

In sintesi

Comprendere la differenza tra dati personali e dati sensibili è indispensabile per vivere consapevolmente nel mondo digitale. Ogni volta che navighiamo online, compiliamo un modulo o scarichiamo un’app, stiamo affidando a terzi una parte della nostra identità.

Sapere quali categorie di dati stiamo condividendo, come devono essere trattati e quali misure di sicurezza ci proteggono, significa difendere il nostro diritto alla riservatezza e alla libertà personale.

Il rispetto della privacy non è un optional, ma un diritto fondamentale che tutela la persona fisica e la sua dignità, oggi più che mai minacciata da un’economia basata sui dati.

Domande e risposte

1. Cosa sono i dati personali?
   Sono tutte le informazioni che permettono di identificare una persona, come nome, email, codice fiscale o indirizzo IP.
2. Cosa sono i dati sensibili?
   Sono i dati che rivelano aspetti privati come origine etnica, opinioni politiche, salute o orientamento sessuale.
3. Qual è la differenza tra dati personali e dati sensibili?
   I primi identificano un individuo, i secondi rivelano aspetti profondi e necessitano di tutele più forti.
4. I dati biometrici rientrano tra i dati sensibili?
   Sì, perché servono per identificare una persona in modo univoco.
5. Quando posso trattare dati sensibili senza consenso?
   Solo per motivi di interesse vitale o pubblico, come in emergenze sanitarie.
6. Chi è responsabile del trattamento dei dati?
   Il titolare del trattamento e, se nominato, il responsabile della protezione dei dati (DPO).
7. Il consenso deve essere sempre scritto?
   Per i dati sensibili sì, deve essere esplicito e inequivocabile.
8. Posso chiedere la cancellazione dei miei dati?
   Sì, grazie al diritto all’oblio previsto dal GDPR.
9. Cosa succede in caso di violazione dei dati?
   L’organizzazione deve informare il Garante e gli utenti entro 72 ore.
10. Cosa significa tutelare un interesse vitale?
    Trattare i dati per proteggere la vita o la salute di una persona, quando non può dare il consenso.