«Solo se non saremo implacabilmente seguiti dalla registrazione di ogni traccia che lasciamo, la costruzione dell'identità di ciascuno potrà essere libera e potrà nascere la libertà di donne e di uomini».59
L'inarrestabile sviluppo delle odierne tecnologie, il frequente ricorso all'utilizzazione dei trattamenti dei dati 59 S. Rodotà, Diritti e libertà nella storia d'Italia. Conquiste e conflitti 1861-2011, Roma,
personali unito alla possibilità di scambio e aggregazione degli stessi mediante internet, ha determinato un'evoluzione del concetto di privacy. L'uomo è ormai inserito in una società globale, in cui la maggior parte delle azioni che compie lascia “tracce”. Grazie ad esse è possibile ricostruire dei veri e propri identikit permanenti della persona che determinano la nascita di un corpo elettronico accanto a quello fisico. Si pensi alla videosorveglianza, che comporta il trattamento delle immagini o ai sistemi biometrici, che consentono di verificare l'identità di una persona mediante l'analisi dell'impronta digitale, oppure attraverso la scansione dell'iride.
Il risultato di un tale sviluppo è stato quello di aver dilatato la nozione di “dato” fino ad includervi qualsiasi contenuto informativo, dalla classica espressione alfabetica sino all'immagine o al suono.
“Il «dato» è, da decenni, al centro dell'analisi scientifica del giurista-informatico, sia da un punto di vista statico – ovvero come custodire le informazioni nel modo più razionale possibile e in relativa sicurezza – sia da un punto di vista «dinamico», ovvero come tutelare il dato quando circola, quando viene comunicato all'esterno, quando attraversa i
muri, gli uffici, i cavi”.60 Dato personale è qualsiasi
informazione, inclusi suoni e immagini, che sia tale da consentire di identificare la persona sia in modo diretto che indiretto, ottenuto cioè per connessione con altra informazione o con un semplice numero di identificazione personale, quale potrebbe derivare da un indirizzo, da un elenco telefonico, da una carta di credito o da altro mezzo di pagamento e così via. Risulta perciò costituito da quattro elementi fondamentali:
• “informazione”, ossia il contenuto del dato;
• “persona fisica”, ossia il soggetto a cui il contenuto viene collegato;
• “collegamento”, l'operazione logica di cui sopra; • “identificazione/identificabilità, ossia un attributo necessario della persona fisica.
In relazione a questi quattro elementi occorre fare alcune precisazioni: il dato personale si colloca sul piano delle informazioni, la persona fisica perciò sta sempre fuori dal dato personale, appartiene al mondo corporeo. Risulta dunque necessario che la persona fisica sia rappresentata nel dato da un elemento, detto appunto “identificativo”, che deve avere necessariamente natura informativa.
Il “collegamento” si colloca, infine sul piano dei rapporti logici, è un'operazione del pensiero. Come tale, è disomogeneo rispetto agli altri componenti. Si tratta cioè di un'operazione sul dato, ma tendenzialmente non fa parte del dato.61
L'art. 1 del Codice riproduce esattamente la disposizione contenuta nell'art. 8 della Carta di Nizza, laddove stabilisce: «1. Ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano. 2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni individuo ha il diritto di accedere ai dati raccolti che lo riguardano e di ottenere la rettifica. 3. Il rispetto di tali regole è soggetto al controllo di un'autorità indipendente».62
La dilatazione del concetto di “dato”, ha reso più vasta la tutela riconosciuta al singolo e al suo patrimonio di informazioni e la stessa espressione “qualunque informazione”, contenuta nella definizione normativa, conferisce alla nozione di dato personale la massima 61 L. Bolognini, Il regolamento privacy europeo, Milano, 2016.
portata.
Il cognome, la data di nascita, il codice fiscale ecc. sono tutti “dati” che consentono l'identificazione diretta dell'interessato e sono riconducibili alla nozione di dati identificativi, espressa dall'art. 4, comma 1, lett. c), d. lgs. n. 196/2003.
É importante notare che il nuovo diritto, così come concepito dalla Carta di Nizza, prima, e, ora, dal «codice» sui dati personali, sembra l'inevitabile prodotto proprio del «diritto generale della personalità».
Tutelare la privacy, oggi, significa controllare i trattamenti ai quali i dati sono sottoposti. Le operazioni di trattamento, pertanto, si pongono al centro del sistema normativo ed è proprio per la centralità di questo concetto che l'art. 4 del Codice Privacy inizia con la nozione di trattamento.63 Dalla
lettura della definizione si evince che la nozione di trattamento riguarda sia una singola operazione, che un complesso di operazioni. Inoltre, secondo la disciplina attuale si può avere un trattamento di dati personali anche 63 Costituisce “trattamento” qualunque operazione o complesso di operazioni, effettuatati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distribuzione di dati, anche se non registrati in una banca di dati (art. 4, comma 1, lett. a), d.lgs. n. 196/3003).
in assenza di una banca dati.64
Le operazioni di trattamento indicate dalle norma si possono suddividere in quattro fasi:
• una fase preliminare (raccolta e registrazione);
• una fase di elaborazione (organizzazione, elaborazione, modificazione, selezione, estrazione, raffronto, interconnessione, utilizzo);
• una fase di circolazione (comunicazione e diffusione);
• una fase residuale (conservazione, blocco, cancellazione, distruzione, consultazione).
I dati personali rappresentano una macro-categoria all'interno della quale la legge distingue espressamente due sottocategorie: i dati sensibili e i dati giudiziari.
I dati sensibili costituiscono uno dei nuclei originari di tutela contemplati nella Convenzione 108/1981, nella specie dall'art. 6. Con l'attributo della «sensibilità», il legislatore per la prima volta indica le informazioni riguardanti la sfera più intima dell'individuo e dotate di maggiore incidenza sullo sviluppo e sul libero esplicarsi della personalità.
Sono “dati sensibili” i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, 64 Tribunale Civile di Prato, sentenza 19 settembre 2011, n. 964.
sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale (art. 4, comma 1, lett. d), d. lgs. n. 196/2003).65
Un tema molto importante è quello relativo alla individuazione della c.d. area di sensibilità, nel senso che la sensibilità dell'informazione personale dovrà essere intesa in modo relativo e valutata, caso per caso, con riferimento al contesto e alla natura intrinseca dell'informazione. Vi possono essere situazioni in cui la “sensibilità” del dato si trae “indirettamente” da determinate circostanze o da espressioni, che ad un primo esame non sembrano rivelare contenuti personali.
I dati giudiziari sono quei dati personali idonei a rivelare i provvedimenti iscritti nel casellario giudiziale, le sanzioni amministrative dipendenti da reato e i relativi carichi pendenti, i dati idonei a rivelare la qualità di indagato o di imputato. Sono esclusi dalla nozione i provvedimenti relativi a cause civili di ogni tipo e a giudizi amministrativi, mentre sono dati giudiziari i provvedimenti definitivi di condanna 65 Si possono classificare come dati sensibili, ad esempio i dati sanitari, i dati contenuti all'interno delle buste paga inerenti la trattenuta sindacale, i dati relativi all'otto per mille in favore della chiesa cattolica, ecc.
penale relativi a delitti e i provvedimenti di espulsione e di riabilitazione dei minori.
Un breve cenno merita la categoria di dati c.d. semi- sensibili. Questa categoria non è stata definita dal legislatore e trova origine nella prassi decisoria del Garante nell'ambito del sistema di prior checking, ovvero di verifica preliminare ai sensi dell'art. 17 Codice Privacy, registrato come “trattamento che presenta specifici rischi”.66