GDPR – Dati Personali

Il termine “dati personali” è la porta d’ingresso per l’applicazione del Regolamento Generale sulla Protezione dei Dati (GDPR). Solo se un trattamento di dati riguarda dati personali, si applica il Regolamento Generale sulla Protezione dei Dati. Il termine è definito nell’Art. 4 (1). I dati personali sono qualsiasi informazione che si riferisce a una persona fisica identificata o identificabile.

Gli interessati sono identificabili se possono essere identificati direttamente o indirettamente, in particolare facendo riferimento a un identificatore come un nome, un numero di identificazione, dati sulla posizione, un identificatore online o una delle diverse caratteristiche speciali, che esprimono l’identità fisica, fisiologica, genetica, mentale, commerciale, culturale o sociale di queste persone fisiche. In pratica, questi includono anche tutti i dati che sono o possono essere assegnati a una persona in qualsiasi modo. Ad esempio, il numero di telefono, della carta di credito o personale di una persona, dati del conto, targa, aspetto, numero cliente o indirizzo sono tutti dati personali.

Poiché la definizione include “qualsiasi informazione”, si deve presumere che il termine “dati personali” debba essere interpretato nel modo più ampio possibile. Ciò è suggerito anche dalla giurisprudenza della Corte di Giustizia dell’Unione Europea, che considera come dati personali anche informazioni meno esplicite, come le registrazioni degli orari di lavoro che comprendono informazioni sull’orario in cui un dipendente inizia e termina la sua giornata lavorativa, nonché pause o orari che non rientrano nell’orario di lavoro. Inoltre, le risposte scritte di un candidato durante un test e qualsiasi osservazione dell’esaminatore riguardante tali risposte sono “dati personali” se il candidato può essere teoricamente identificato. Lo stesso vale per gli indirizzi IP. Se il titolare del trattamento ha l’opzione legale di obbligare il fornitore a consegnare ulteriori informazioni che gli permettano di identificare l’utente dietro l’indirizzo IP, anche questo è un dato personale. Inoltre, si deve notare che i dati personali non devono essere oggettivi. Informazioni soggettive come opinioni, giudizi o stime possono essere dati personali. Pertanto, questo include una valutazione della solvibilità di una persona o una stima della performance lavorativa da parte di un datore di lavoro.

Ultimo ma non meno importante, la legge stabilisce che le informazioni per un riferimento personale devono riferirsi a una persona fisica. In altre parole, la protezione dei dati non si applica alle informazioni su entità giuridiche come società, fondazioni e istituzioni. Per le persone fisiche, invece, la protezione inizia e si estingue con la capacità giuridica. Fondamentalmente, una persona ottiene questa capacità alla nascita e la perde alla morte. I dati devono quindi essere attribuibili a persone viventi identificate o identificabili per essere considerati personali.

Oltre ai dati personali generali, bisogna considerare soprattutto le categorie particolari di dati personali (noti anche come dati personali sensibili) che sono altamente rilevanti perché sono soggetti a un livello di protezione più elevato. Questi dati includono dati genetici, biometrici e sulla salute, nonché dati personali che rivelano l’origine razziale ed etnica, opinioni politiche, convinzioni religiose o ideologiche o l’appartenenza sindacale.