Un dato personale è un’informazione riguardante una persona fisica identificata o identificabile. Per riconoscerlo non basta cercare nome e cognome: identificativi online, combinazioni di attributi, valutazioni e dati tecnici possono riguardare una persona anche quando il collegamento non è immediatamente visibile. La classificazione deve considerare contenuto, contesto e mezzi ragionevolmente utilizzabili per l’identificazione.
L’articolo 4, punto 1, e il considerando 26 GDPR forniscono il criterio. Questa guida segue un percorso pratico per classificare archivi, report e flussi, distinguendo dati direttamente identificativi, informazioni indirette e risultati derivati. Il risultato è una scheda che rende esplicita la ragione della classificazione e le condizioni che potrebbero cambiarla.
Individuare la persona cui l’informazione si riferisce
Un’informazione può riguardare una persona per il suo contenuto, per lo scopo con cui viene utilizzata o per gli effetti che produce. Un punteggio associato a un cliente, una valutazione professionale o un evento riferito a un account possono essere rilevanti anche se non descrivono caratteristiche anagrafiche.
Chiedete quale soggetto venga osservato, valutato o interessato dall’uso. Un dato su un’azienda può contenere il nome di un referente, il recapito professionale di una persona o informazioni riferite a un’attività individuale. La circostanza che il contesto sia professionale non esclude automaticamente la protezione dei dati personali.
Evitate una classificazione basata soltanto sul formato. Numeri, immagini, registrazioni audio e testi liberi possono contenere informazioni personali. Anche una nota interna o un giudizio soggettivo può riguardare una persona; il carattere personale non dipende dal fatto che l’informazione sia corretta o condivisa dall’interessato.
Riconoscere identificativi diretti e indiretti
Nome, codice identificativo e recapito possono rendere il collegamento immediato nel contesto. Altri elementi richiedono combinazioni: luogo, tempo, ruolo, comportamento o identificativo del dispositivo. La domanda non è soltanto se un campo isolato riveli il nome, ma se l’insieme consenta di distinguere e collegare la persona.
La guida agli indirizzi IP mostra come un’informazione tecnica possa richiedere un’analisi di contesto. Analogamente, un identificativo cliente può essere facilmente collegato a un’anagrafica da chi gestisce il servizio, anche se appare casuale a chi legge un file separato.
Considerate anche gruppi piccoli e combinazioni rare. Una tabella senza nomi può identificare una persona se descrive l’unico individuo con una particolare funzione, in un luogo e in un periodo noti. La rimozione degli identificativi diretti è quindi un passaggio possibile, non una prova sufficiente di anonimato.
Valutare mezzi e informazioni aggiuntive
Elencate dati ulteriori disponibili, soggetti che li possiedono e possibilità ragionevoli di collegamento. Il considerando 26 richiede di considerare fattori obiettivi, come costi, tempo e tecnologia. Non assumete capacità illimitate, ma non ignorate mezzi ordinari o informazioni facilmente reperibili.
La sentenza Breyer, C-582/14, relativa agli IP dinamici nel quadro precedente al GDPR, mostra l’importanza delle informazioni aggiuntive e dei mezzi giuridici per ottenerle. Una classificazione deve quindi dichiarare il contesto e non limitarsi a verificare se il nome sia già presente nello stesso archivio.
Registrate le ipotesi e le lacune. Se non conoscete il destinatario o i dati che può combinare, una conclusione definitiva sull’anonimato può essere prematura. Il fascicolo deve indicare quali informazioni mancano e quale gestione viene adottata finché la valutazione non è completata.
Distinguere pseudonimizzazione e anonimizzazione
La pseudonimizzazione riduce la possibilità di attribuzione diretta attraverso la separazione di informazioni aggiuntive e relative misure. Non equivale automaticamente all’uscita dal GDPR. La valutazione dell’identificabilità richiede di considerare soggetti, dati disponibili e garanzie effettive, senza affidarsi al nome attribuito alla trasformazione.
Per l’anonimizzazione, l’obiettivo è un risultato nel quale la persona non sia più identificabile secondo il criterio pertinente. Verificate possibilità di isolamento, collegamento e inferenza nel contesto del rilascio. Un file condiviso con un gruppo ristretto e un dataset pubblicato su Internet presentano condizioni diverse.
Controllate anche output e interrogazioni. Una serie di risultati aggregati può consentire di ricostruire informazioni individuali attraverso confronti successivi. La valutazione deve comprendere ciò che l’utilizzatore può ottenere nel tempo, oltre al singolo report esaminato durante la progettazione.
Classificare dati osservati, dichiarati e derivati
I dati dichiarati provengono dalla persona; quelli osservati descrivono attività o eventi; quelli derivati risultano da elaborazioni. Questa distinzione aiuta a capire fonte, affidabilità e modalità di contestazione. Un’inferenza non dovrebbe essere presentata come fatto verificato soltanto perché un sistema l’ha prodotta.
La gestione dell’esattezza deve permettere di correggere errori e comprendere il contesto. Per un dato derivato, può essere necessario esaminare la fonte e l’elaborazione, anziché modificare soltanto il valore finale. Se il risultato alimenta una decisione rilevante, valutate anche conseguenze e possibilità di riesame.
Le decisioni automatizzate dell’articolo 22 rappresentano un tema distinto dalla definizione di dato personale. Un’informazione può essere personale senza essere utilizzata in una decisione soggetta a quella disposizione. Evitate di confondere il perimetro del dato con il regime di una specifica operazione. La guida al trattamento automatizzato chiarisce invece come qualificare le operazioni informatiche ordinarie, anche quando non producono una decisione significativa.
Individuare regimi ulteriori
Dopo aver riconosciuto il dato personale, chiedete se rientri nelle categorie particolari dell’articolo 9 o nei dati relativi a condanne penali e reati dell’articolo 10. La classificazione generale non esaurisce l’analisi giuridica, perché alcune informazioni richiedono condizioni e garanzie ulteriori.
Considerate inoltre contesto lavorativo, sanitario, scolastico o altri ambiti pertinenti. Il dato non cambia necessariamente natura, ma possono cambiare finalità ammesse, accessi e regole applicabili. Una tabella utile deve mantenere visibili queste condizioni senza trasformare ogni categoria in un’etichetta astratta priva di conseguenze operative.
Costruire la scheda del dataset
| Campo | Domanda da documentare |
|---|---|
| Informazioni | Quali attributi, contenuti e metadati sono presenti? |
| Persone | A chi si riferiscono e con quale collegamento? |
| Identificazione | Quali dati diretti o combinazioni sono disponibili? |
| Contesto | Chi utilizza il dataset e per quale attività? |
| Mezzi | Quali collegamenti sono ragionevolmente possibili? |
| Trasformazioni | Quali misure riducono l’attribuzione? |
| Regimi ulteriori | Sono presenti categorie particolari o altri vincoli? |
| Riesame | Quali cambiamenti possono modificare la conclusione? |
Collegate la scheda alla mappatura dei sistemi e al trattamento che utilizza il dataset. Un medesimo file può essere copiato in ambienti diversi con nuovi destinatari; la classificazione deve accompagnare il flusso e le eventuali trasformazioni.
Tradurre la classificazione in decisioni
Se i dati sono personali, individuate finalità, base giuridica, informazione, diritti, conservazione e sicurezza pertinenti. La minimizzazione dei dati aiuta a ridurre ciò che viene raccolto o condiviso. Non conservate un attributo soltanto perché è stato classificato correttamente: occorre comunque giustificarne l’uso.
Se sostenete che il risultato sia anonimo, conservate ragionamento e prove adeguate, insieme a limiti e condizioni. Un cambiamento dei dati disponibili al destinatario o del modo di pubblicazione può richiedere un nuovo esame. L’anonimato non dovrebbe essere una casella ereditata indefinitamente da una valutazione precedente.
La verifica finale può utilizzare un caso sintetico e chiedere a un revisore di spiegare il collegamento alla persona, le informazioni aggiuntive e le conseguenze della classificazione. Se la conclusione si basa soltanto sull’assenza di nomi, approfondite l’analisi. Il criterio utile è la possibilità ragionevole di identificare la persona nel contesto, accompagnata da decisioni documentate sul trattamento effettivo.
Conservate anche la versione del dataset esaminato e la descrizione dei destinatari autorizzati. Una conclusione riferita a un file con pochi attributi non può essere riutilizzata senza verifica dopo l’aggiunta di localizzazioni, date precise o identificativi persistenti. Il processo di modifica dello schema dovrebbe quindi segnalare cambiamenti che aumentano la possibilità di collegamento. Questa responsabilità deve essere assegnata a chi conosce il flusso e può confrontare il nuovo contenuto con le ipotesi della valutazione precedente.