Trattamento e protezione dei dati personali

Trattamento e protezione dei dati personali (6 CFU) – Prof. Shaira Thobani

Tutela dei dati nel Dlgs 196/2003 (parte 1)

Tutela dei dati personali e diritto alla privacy.

Oggetto del codice

Oggetto del codice è la disciplina del trattamento dei dati personali, anche detenuti all’estero, effettuato da chiunque sia stabilito nel territorio dello Stato, o in un luogo comunque soggetto alla sovranità dello Stato. Esso trova applicazione anche nel caso di trattamento di dati personali effettuato da chiunque sia stabilito nel territorio di un Paese non appartenente all’Unione europea che impieghi, per il trattamento stesso, strumenti situati nel territorio dello Stato anche diversi da quelli elettronici, salvo che essi siano utilizzati solo ai fini di transito nel territorio dell’Unione europea. Il codice si applica, infine, al trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali, ma solo se i dati sono destinati ad una comunicazione sistematica o alla diffusione (art. 5, D.Lgs. 196/2003).

Art. 1 (Oggetto)

1. Il trattamento dei dati personali avviene secondo le norme del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, di seguito «Regolamento», e del presente codice, nel rispetto della dignità umana, dei diritti e delle libertà fondamentali della persona.

Il codice è il Dlgs 196/2003. L’art. 1 dispone che chiunque ha diritto alla protezione dei dati personali che lo riguardano. Il trattamento dei dati si deve svolgere nel rispetto della riservatezza dei propri dati personali.

È considerato un autonomo diritto fondamentale della persona questo nuovo diritto si iscrive nella giurisprudenza ampliando quanto già sancito nell’art. 5 del C.c.

Il diritto alla riservatezza consiste nella tutela di vicende personali e familiari che non hanno per i terzi interesse apprezzabile anche se compiute all’esterno dell’ambito familiare a meno che non interessino interessi pubblici preminenti. Non può quindi essere negato a nessuno indipendentemente alla loro notorietà.

L’interesse della persona fisica o giuridica a preservare la propria riservatezza deve ritenersi come un diritto soggettivo alla stessa stregua dell’art. 2 della costituzione in tema di difesa della personalità.

Il problema odierno dello sviluppo tecnologico è la possibilità di elaborazione di una quantità enorme dei dati e si è quindi cercato di stabilire un equilibrio fra il flusso dei dati e la tutela della vita privata del cittadino. Quindi il diritto alla riservatezza riproduce lo schema tipico del diritto di proprietà e simboleggia il diritto al mantenimento del controllo sui propri dati.

La prima legge è stata la L. 98 del 21.2.1989 che ha ratificato la convenzione del diritto di Europa n.108, la seconda è stata la 675/1996 che ha dato attuazione alla direttiva europea 1995/46 CE. Quest’ultima è stata il primo tassello del sistema del trattamento dei dati personali implementata da successive normative. L’entrata in vigore del codice 196/2003 ha raccolto tutte le precedenti leggi sostituendole. Successivamente DL 109/2008 ha poi integrato e aggiornato il codice. Ulteriore modifica e integrazione è stata data dalla L. 14/2009.

Il codice: tre parti

• Principi generali: in materia di protezione dei dati personali ed è applicabile alla generalità dei soggetti.
• Disposizioni che regolano il trattamento dati personali in relazione a specifici settori di appartenenza.
• Disposizioni relative alla tutela dell’interessato ed alle sanzioni previste in caso di violazione della normativa in materia.

Principio di necessità del trattamento

Nell’ambito dei principi generali che regolano la materia, l’art. 3 introduce il principio di necessità nel trattamento dei dati personali e prescrive che i sistemi informativi e i programmi informatici siano configurati in modo tale da ridurre al minimo l’utilizzazione di dati personali e di dati identificativi, fino ad escluderne il trattamento quando le finalità perseguite nei singoli casi possano essere realizzate mediante dati anonimi o opportune modalità che permettano di identificare l’interessato solo in caso di necessità.

L’art. 3 prescrive che i sistemi informatici riducano al minimo dei dati personali quando le elaborazioni possano essere realizzate utilizzando dati anonimi.

Il dato anonimo e le altre categorie di dati

Il dato è anonimo quando, già in origine o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile (art. 4, comma 1, lett. n).

Secondo l’art. 4 del codice della privacy, per dato personale si intende qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione. Nell’ambito della categoria dei dati personali il legislatore ha, poi, distinto i dati sensibili che sono quei dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni o organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale; e i dati giudiziari definiti come quei dati personali idonei a rivelare provvedimenti in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato.

Dati semisensibili

I cosiddetti dati semi sensibili, cui si riferisce l’articolo 17 del codice, sono dati diversi da quelli sensibili e giudiziari il cui trattamento presenta rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell’interessato, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare (es. dati biometrici).

Dati semi sensibili: Dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici. Nell’ambito dei dati personali si distinguono: dati sensibili (salute, opinioni politiche, religione, vita sessuale), dati giudiziari (casellario, anagrafe di reato, qualità di indagato o imputato), dati semi-sensibili (trattamento presenta rischi specifici relativi alla dignità dell’interessato). Il titolare del trattamento può essere chiunque sia nazionale che estero, persona fisica o giuridica ente, pubblica amministrazione o associazione. Il titolare dei dati ha la facoltà di nominare un responsabile persona fisica o giuridica che fornisca idonea garanzia di rispetto e sicurezza dei dati. Possono essere nominati anche più soggetti.

I soggetti del trattamento

Titolare

Titolare del trattamento è la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza (art. 4, comma 1, lett. f).

Responsabile

Il titolare, a sua volta, ha la facoltà di nominare un responsabile, definito dall’art. 4, comma 1, lett. g) del codice come la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali.

Incaricato

Gli incaricati, invece, sono quelle persone fisiche autorizzate a compiere operazioni di trattamento (art. 4, comma 1, lett. h), che operano sotto la diretta autorità del titolare o del responsabile. La designazione è effettuata per iscritto e individua, puntualmente, l’ambito del trattamento consentito (art. 30).

Altra figura diversa è quella dell’incaricato. È colui che è autorizzato per iscritto ad utilizzare i dati e si deve indicare puntualmente l’ambito dell’utilizzo consentito. Se i dati contengono dati genetici, biometrici, mediche, abitudini, posizione geografica, ricerche campionarie, rischio di solvibilità economica, situazione patrimoniale, ecc. (art. 37 c 1) il titolare deve provvedere a notificare all’autorità garante il trattamento a cui deve procedere.

• Titolare
• Responsabile
• Incaricato

L’interessato è dotato di una serie di diritti che gli consentono di gestire e controllare l’utilizzo dei dati fino alla possibilità di disporne la cancellazione. L’interessato è quindi la persona fisica, giuridica, ente o associazione a cui si riferiscono i dati personali; ha il diritto di ottenere la conferma dell’esistenza dei dati personali che lo riguardano, dell’utilizzo e della loro comunicazione in modo intelligibile e gli scopi per i quali i dati sono stati raccolti e come sono trattati (art. 7). L’interessato ha diritto ad opporsi in tutto o in parte alla comunicazione di dati. La richiesta del trattamento dei dati può essere fatta senza particolari formalità (raccomandata, mail, ecc.).

Il titolare è tenuto ad adottare specifiche misure anche utilizzando appositi programmi. I dati vengono estratti a cura del responsabile e del titolare.

Diritto dell’interessato

L’interessato ha diritto di ottenere l’indicazione dell’origine dei dati personali, delle finalità e modalità del trattamento, della logica applicata in caso di trattamento effettuato con l’ausilio di strumenti elettronici, degli estremi identificativi del titolare, dei responsabili e del rappresentante designato. L’interessato ha diritto di ottenere l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione dei dati, la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge.

L’interessato ha diritto di opporsi, in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che lo riguardano. Inoltre, può opporsi al trattamento di dati utilizzato a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale (art. 7, comma 4). I dati personali oggetto di trattamento devono essere trattati in modo lecito e secondo correttezza; raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; devono, poi, essere esatti e, se necessario, aggiornati; pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati; conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati (art. 11).

Informativa

I dati personali oggetto di trattamento devono essere trattati in modo lecito e secondo correttezza; raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; devono, poi, essere esatti e, se necessario, aggiornati; pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati; conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati (art. 11).

Obblighi di sicurezza

Per quanto riguarda la sicurezza del trattamento dei dati il codice individua due tipologie di misure di sicurezza, le misure idonee e le misure minime. L’art. 31 del codice, trattando delle misure idonee, dispone che i dati personali oggetto di trattamento devono essere custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. Alle misure minime è, invece, dedicato il successivo art. 33. Nel quadro dei più generali obblighi di sicurezza di cui all’articolo 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime, volte ad assicurare un livello minimo di protezione dei dati personali. Invero le misure minime rappresentano, ex art. 4, comma 3, lett. a), il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi.

La tutela dei dati oggi

Il tema della protezione dei dati personali si è sviluppato di pari passo con l’evoluzione tecnologica. Era inizialmente legato alla nascita della stampa rotativa, l’evoluzione della tecnica ha creato la necessità di potenziare tali diritti. Nel tempo è diventata una serie di libertà legate alle proprie abitudini. Avere il controllo dell’impiego dei propri dati personali è fondamentale e centrale per l’economia.

L’elaborazione dei dati analizza abitudini, preferenze ed usi tali da comprendere e prevedere gli eventi futuri con maggiore precisione ed elaborazione di profili utili a comprendere le preferenze delle persone utili per indirizzare il mercato e le scelte dei soggetti. Il GDPR è entrato in vigore dal 25/05/2018. Le finalità sono quelle di garantire che i dai siano trattati nel rispetto delle libertà personali. Privacy: comprende tutti i diritti connessi alla sfera privata e alla protezione dei dati personali dell’individuo.

Intorno agli anni 70 la dottrina e la giurisprudenza hanno dovuto focalizzare il controllo dei dati personali a seguito dello sviluppo tecnologico e l’avvento dei computer e di internet. La Germania è stata la prima ad elaborare una legge riguardante la privacy seguita dalla Francia e dalla Spagna. L’impianto della normativa ha disposto dei limiti e ha instituito un organismo nazionale indipendente incaricato della protezione dei dati personali, firmata a Nizza ed entrata in vigore col trattato di Lisbona nel 2009. Si sono poi succedute diverse direttive europee che aggiornano e modificano le precedenti a causa del rapido sviluppo tecnologico e conseguente necessità di adeguare i propri schemi.

In Italia la prima Legge sulla Privacy è la 675/96 del 31/12/96. La legge ha disciplinato il diritto alla riservatezza ed alla identità personale ed ha individuato le persecuzioni dell’individuo tramite l’utilizzo dei dati personali. La L 675/96 dovendosi adeguare all’evoluzione delle tecnologie e giurisprudenziale si è aggiornata con decreto del 2003 “Codice della Privacy”. Il GDPR 679/2016 in vigore dal 2018 ed il decreto 101/2018 ha sostituito i precedenti ed è in vigore in tutta Europa. Al momento è rilevante la compatibilità del GDPR con alcune tecnologie emergenti, fra cui le “BlockChain” (modalità di archiviazione nella rete dei dati) un esempio è il cloud computing.

Le problematiche emerse sono:

• Il GDPR prevede che l’archiviazione dei dati personali sia gestito da un controller dedicato. La Block Chain è invece in data base distribuito nei diversi nodi di una rete.
• Il GDPR prevede che i dati siano modificabili e cancellabili. Una caratteristica dei Block Chain è proprio quella di non consentire la modificabilità e cancellazione in quanto di basa su registri immutabili. Nella maggior parte delle Block Chain ci sono due categorie di dati che potrebbero essere definite personali, ovvero i dati TRANSNAZIONALI e i METADATA fra cui rientrano gli indirizzi legati al mittente ed al destinatario e la registrazione delle transazioni. Nel caso delle cripto valute ed i sistemi di tokenizzazione che funzionano attraverso le Block chain gli indirizzi utilizzati sono collegati ad un portafoglio che rende facilmente individuabile l’interessato; da un punto di vista giuridico un indirizzo di posta elettronica, collegandolo a tutte le attività collegate a tale indirizzo rende facilmente accessibile usi, costumi, tendenze, preferenze dell’individuo.

Il tema dell’identificabilità è il fulcro del GDPR, rimanere in linea con lo sviluppo tecnologico è particolarmente difficile. Il 679/16 ha affrontato tale problematica aggiungendo numerose innovazioni in modo che la norma non diventi obsoleta in tempi brevi.

La regolazione della privacy negli USA

Solitamente questo diritto viene indicato con il termine inglese “privacy”, entrato a far parte dell’uso comune anche in Italia, con il quale si intende riferirsi a tutto l’insieme dei diritti e delle libertà connesse alla tutela della sfera privata e alla protezione dei dati personali dell’individuo. E di privacy si inizia a parlare già nell’epoca illuminista, quando emergono i primi elementi che consentono di porre dei limiti alla ingerenza del potere statuale sull’individuo. Ma prima che questa esigenza di non ingerenza nella vita privata si traduca in una analisi giuridica si dovrà attendere oltre un secolo. Fu nel 1890 ad opera di due avvocati di Boston, Sam ...