Le categorie particolari di dati personali dell’articolo 9 GDPR richiedono una valutazione distinta dalla sola base giuridica generale. Per trattarle occorre individuare una condizione applicabile fra quelle previste dall’articolo 9, oltre al pertinente presupposto dell’articolo 6. La decisione deve riguardare finalità, dati e garanzie del trattamento concreto, senza trasformare una firma dell’interessato in una soluzione universale.
L’articolo 9 GDPR riguarda dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, dati biometrici intesi a identificare in modo univoco una persona, salute, vita sessuale e orientamento sessuale. Questa guida segue il percorso classificazione, presupposti, garanzie e verifica, per costruire una matrice di trattamento utilizzabile.
Classificare il contenuto e ciò che può rivelare
Non fermatevi al nome del campo. Una scelta alimentare può, a seconda del contesto, rivelare informazioni sulla salute o sulle convinzioni; un’assenza può essere registrata in modo da comunicare una condizione sanitaria a persone che non ne hanno bisogno. Occorre valutare contenuto, contesto e informazioni ulteriori disponibili.
I dati biometrici richiedono attenzione alla finalità indicata dalla disposizione. Una fotografia non diventa automaticamente una categoria particolare per il solo fatto di mostrare un volto; il trattamento tecnico e l’uso per identificare univocamente la persona sono elementi rilevanti. Documentate il funzionamento effettivo senza dedurre la qualificazione soltanto dal nome «riconoscimento» usato dal fornitore.
Per i dati relativi a condanne penali e reati, il GDPR prevede il distinto articolo 10. Non inseriteli indistintamente nella medesima casella dell’articolo 9. La classificazione dei dati personali dovrebbe mantenere visibili queste differenze, perché incidono sui presupposti e sulle garanzie da esaminare.
Definire la finalità prima di scegliere il presupposto
Descrivete quale risultato richiede il dato e perché non sia sufficiente un’informazione meno dettagliata. Un datore di lavoro può aver bisogno di gestire un’assenza senza conoscere ogni dettaglio clinico. Un servizio può dover verificare un requisito senza conservare integralmente il documento che lo dimostra.
La minimizzazione dei dati aiuta a ridurre campi, destinatari e copie. La necessità deve essere valutata anche per gli allegati e per i testi liberi, dove possono comparire informazioni ulteriori rispetto a quelle richieste. Definite istruzioni per gestire dati ricevuti incidentalmente e non pertinenti.
Distinguete finalità principali e usi successivi. Un dato raccolto per assistenza sanitaria non è automaticamente utilizzabile per marketing o analisi del personale. Il test sul riutilizzo e sulle finalità deve considerare anche il particolare regime della categoria coinvolta.
Documentare articolo 6 e condizione dell’articolo 9
Create due campi distinti nella scheda: base giuridica generale e condizione che consente il trattamento della categoria particolare. La guida alle basi giuridiche dell’articolo 6 affronta il primo livello. Citare soltanto «obbligo legale» o soltanto «articolo 9» non rende comprensibile la combinazione utilizzata.
Le condizioni dell’articolo 9 comprendono ipotesi diverse, con requisiti propri: consenso esplicito, obblighi e diritti in ambito lavorativo e di protezione sociale, interessi vitali nelle circostanze previste, attività di determinati organismi, dati manifestamente resi pubblici, esigenze giudiziarie e specifiche finalità di interesse pubblico, sanitarie o di ricerca. Non sono formule intercambiabili.
Quando la condizione richiede un fondamento nel diritto dell’Unione o nazionale, identificate la disposizione pertinente e le garanzie richieste. Una generica utilità sociale non equivale al rilevante interesse pubblico previsto dalla norma. Analogamente, la disponibilità di un’informazione online non dimostra da sola che l’interessato l’abbia manifestamente resa pubblica nel senso pertinente.
Valutare il consenso esplicito nel contesto
Se il trattamento si basa su consenso esplicito, verificate libertà, specificità, informazione e manifestazione dimostrabile. Spiegate che cosa accade in caso di rifiuto o revoca. Una scelta condizionata da un rapporto di dipendenza o dall’assenza di un’alternativa può richiedere un esame particolarmente attento.
Il modello di consenso privacy può aiutare a organizzare le informazioni, ma non determina il presupposto giuridico corretto. Prima di usare un modulo, verificate che il consenso sia appropriato per la finalità e che le conseguenze della revoca siano gestibili e spiegate correttamente.
Conservate versione dell’informazione, scelta e contesto della raccolta. Non raccogliete però ulteriori dati particolari per dimostrare una preferenza quando basta una registrazione meno invasiva. La prova deve essere sufficiente e collegata alla finalità, senza creare un archivio sproporzionato di documenti personali.
Limitare accessi e divulgazione interna
Definite quali ruoli necessitano del contenuto e quali soltanto di un esito sintetico. Un responsabile organizzativo può aver bisogno di sapere che una persona è assente, mentre il dettaglio sanitario richiede un altro perimetro. La disponibilità tecnica del documento non giustifica la consultazione da parte di ogni utente del sistema.
Separate archivi, autorizzazioni e canali di comunicazione quando il contesto lo richiede. Verificate esportazioni, allegati e schermate condivise. Le categorie particolari possono comparire in notifiche o oggetti di messaggi, rendendole visibili a destinatari che non hanno accesso all’archivio principale. Per un canale interno di whistleblowing, verificate quindi anche ricevute, allegati e ruoli incaricati, oltre al contenuto della segnalazione.
Quando il processo comprende la pubblicazione di atti amministrativi, usate la verifica specifica dell’albo pretorio prima di caricare documenti e allegati: la liceità della raccolta interna non risolve da sola la questione della diffusione online.
La cifratura e gestione delle chiavi può essere una misura pertinente, ma deve essere collegata allo scenario di rischio. Proteggere il supporto non impedisce a un account autorizzato in modo eccessivo di leggere i dati. Il controllo dei ruoli rimane quindi essenziale.
Esaminare rischi, conservazione e diritti
Valutate le conseguenze di divulgazione, alterazione o indisponibilità sulle persone. Considerate contesto, vulnerabilità, volume e possibilità di discriminazione o altri danni. La DPIA deve essere esaminata quando ricorrono i criteri applicabili, senza presumere che ogni singolo dato particolare imponga automaticamente lo stesso documento.
Definite conservazione per finalità e categorie, distinguendo documenti originali, estratti e copie operative. Se un’esigenza richiede soltanto la verifica di un requisito, chiedete se sia necessario conservare il documento completo. La decisione deve tenere conto degli obblighi applicabili e delle esigenze documentate, evitando durate copiate da un settore diverso.
Organizzate accesso, rettifica e altri diritti attraverso personale autorizzato. La verifica dell’identità deve essere proporzionata anche alla delicatezza delle informazioni, ma non deve introdurre ostacoli inutili. Preparate modalità di consegna che riducano il rischio di rivelare i dati a un destinatario errato.
Applicare i limiti specifici alle decisioni automatizzate
Per le decisioni dell’articolo 22, il paragrafo 4 prevede un limite specifico: le decisioni ammesse dal paragrafo 2 non possono basarsi su categorie particolari, salvo che si applichi l’articolo 9, paragrafo 2, lettera a), oppure lettera g), e siano in vigore misure adeguate di tutela. Non basta quindi una qualsiasi delle condizioni dell’articolo 9.
Registrate questa verifica separatamente nella scheda del sistema. Una base che consente il trattamento di informazioni sanitarie per una finalità non autorizza automaticamente una decisione unicamente automatizzata con effetti significativi. L’analisi deve mantenere distinti trattamento del dato, decisione e garanzie.
Usare una matrice di controllo
| Campo | Contenuto da documentare |
|---|---|
| Categoria | Informazione raccolta e ciò che può rivelare |
| Finalità | Risultato perseguito e necessità del dettaglio |
| Articolo 6 | Presupposto generale pertinente |
| Articolo 9 | Condizione specifica e fondamento richiesto |
| Accessi | Ruoli autorizzati e livello informativo necessario |
| Garanzie | Misure, conservazione e modalità dei diritti |
| Verifica | Evidenze, lacune e responsabile del riesame |
Il percorso EDPB sul trattamento lecito permette di individuare approfondimenti pertinenti al caso. Riesaminate la matrice quando cambiano finalità, dati o destinatari. Il controllo finale deve permettere di spiegare perché l’organizzazione usa quell’informazione, quale condizione lo consente e come impedisce che il dettaglio personale circoli oltre il necessario.
Per i trattamenti rientranti nell’articolo 9, paragrafo 2, lettera h), verificate anche le condizioni del paragrafo 3 relative al trattamento da parte o sotto la responsabilità di professionisti soggetti al segreto professionale, oppure di altre persone tenute a un obbligo di segretezza nei termini previsti. Questo requisito deve riflettersi nell’organizzazione del servizio e negli accessi. Non basta indicare una finalità sanitaria se il dato viene poi reso disponibile indistintamente a personale o fornitori che non rientrano nel perimetro autorizzato. Registrate quindi ruoli, obblighi e istruzioni applicabili insieme alla condizione utilizzata.