Il GDPR (Regolamento generale sulla protezione dei dati) è la legge europea che stabilisce come si possono raccogliere e usare i dati personali. Si applica dal 25 maggio 2018 in tutta l'Unione europea, a qualsiasi organizzazione che tratti dati di persone che si trovano nell'UE, grande o piccola che sia. Dà diritti alle persone (accesso, rettifica, cancellazione, opposizione) e obblighi a chi tratta i dati. In Italia vigila il Garante per la protezione dei dati personali. Protegge le persone identificabili, e solo quelle.
Un esempio concreto
Prendiamo uno studio dentistico inventato a Bologna. Ha l'anagrafica dei pazienti, le radiografie, i piani di cura, i dati di pagamento. Sono tutti dati personali, e in parte dati sanitari.
Il GDPR impone allo studio di sapere per quale scopo conserva ogni dato, di non tenerlo più del necessario, di proteggerlo e di firmare un accordo con ogni fornitore che vi accede: il gestionale, il servizio di posta, lo strumento di IA. Se un paziente chiede quali dati lo studio ha su di lui, lo studio deve rispondergli, di norma entro un mese.
Il GDPR nel dettaglio
Il nome. GDPR sta per General Data Protection Regulation, in italiano Regolamento generale sulla protezione dei dati: è il Regolamento (UE) 2016/679. In Italia si affianca al Codice privacy (d.lgs. 196/2003), adeguato al GDPR dal d.lgs. 101/2018.
A chi si applica. A imprese, studi professionali, associazioni ed enti pubblici che trattano dati personali. Vale anche per le aziende fuori dall'UE che offrono servizi a persone nell'Unione.
I due ruoli chiave.
- Il titolare del trattamento decide perché e come i dati vengono trattati. Lo studio del nostro esempio è un titolare.
- Il responsabile del trattamento tratta i dati per conto del titolare, solo su sue istruzioni. L'articolo 28 del GDPR richiede un contratto tra i due.
I principi (articolo 5). Liceità, correttezza e trasparenza; finalità precise; minimizzazione dei dati; esattezza; conservazione limitata; integrità e riservatezza.
Una base giuridica. Ogni trattamento deve poggiare su una base giuridica: consenso, contratto, obbligo di legge, legittimo interesse e altre.
I dati particolari. L'articolo 9 vieta in linea di principio il trattamento di dati sanitari, genetici, biometrici o che rivelano religione, orientamento sessuale, opinioni politiche, appartenenza sindacale o origine etnica, salvo eccezioni.
I diritti delle persone. Accesso, rettifica, cancellazione, limitazione, opposizione e portabilità.
Le sanzioni. Fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. In Italia le irroga il Garante.
Questa è un'informazione generale, non una consulenza legale.
Cosa il GDPR non protegge
Il GDPR viene spesso presentato come una protezione totale. Non lo è, e non è un difetto nascosto: è scritto nel testo.
- Protegge solo i dati personali. Il considerando 26 precisa che i principi di protezione non si applicano alle informazioni anonime. Quando un dato non può più essere collegato a una persona, il GDPR smette di applicarsi. Quel dato può essere aggregato, concesso in licenza e venduto legalmente, per esempio a data broker o sviluppatori di IA.
- Non protegge i segreti aziendali. Un piano di ristrutturazione, un margine, una strategia negoziale non sono dati personali. Il GDPR non li copre.
- Permette ciò che accetti. Se le condizioni di un servizio gli concedono una licenza per riutilizzare i tuoi contenuti, e il riutilizzo riguarda dati resi anonimi, il GDPR non lo vieta.
- Il confine è fragile. Un dato pseudonimizzato (nome sostituito da un codice) resta personale. Un dato davvero anonimo è raro: uno studio del 2019 su Nature Communications ha stimato che il 99,98% degli americani può essere reidentificato a partire da 15 attributi. Vedi pseudonimizzazione e anonimizzazione.
In breve: il GDPR protegge il nome. Il contenuto, tolto il nome, può circolare. La pagina la traccia dei dati mostra come un documento diventa una riga in un dataset, e vendere dati riservati è perfettamente legale raccoglie le fonti.
Cosa significa quando usi strumenti di IA
Uno strumento di IA è un fornitore come gli altri. Prima di affidargli dei documenti, verifica:
- Esiste un accordo di responsabile del trattamento (articolo 28) e il fornitore agisce solo su tue istruzioni?
- Le condizioni gli concedono una licenza per riutilizzare i tuoi contenuti, anche in forma anonimizzata?
- I tuoi contenuti vengono usati per addestrare modelli?
- I fornitori dei modelli conservano le richieste, o applicano la zero data retention?
- Dove sono ospitati i dati?
Wysor risponde a queste domande con il contratto, non con una promessa. Wysor agisce solo come responsabile del trattamento, sulle tue istruzioni (articolo 28 del GDPR), e non prende alcuna licenza di riutilizzo dei tuoi contenuti. Non addestriamo mai modelli sui tuoi contenuti e non li vendiamo mai, anonimizzati o no. Questi impegni sono scritti nelle nostre condizioni e vincolano chiunque possa un giorno possedere Wysor. I dati sono cifrati in transito e a riposo, ospitati nell'Unione europea, e ogni fornitore di modelli collegato applica la zero data retention. Hai più modelli (GPT, Claude, Gemini e altri) in un unico spazio di lavoro. Per il quadro completo, vedi la pagina sull'IA conforme al GDPR.
Domande frequenti
Cosa significa GDPR? GDPR è l'acronimo inglese di General Data Protection Regulation, cioè Regolamento generale sulla protezione dei dati, il Regolamento (UE) 2016/679.
Da quando si applica il GDPR? È stato approvato nel 2016 e si applica dal 25 maggio 2018 in tutti gli Stati membri dell'Unione europea.
Chi controlla il rispetto del GDPR in Italia? Il Garante per la protezione dei dati personali. Fornisce indicazioni, svolge controlli e può irrogare sanzioni.
Il GDPR vale anche per piccole imprese e liberi professionisti? Sì. Si applica a chiunque tratti dati personali nell'ambito di un'attività, indipendentemente dalle dimensioni. Alcuni obblighi, come il registro dei trattamenti, sono alleggeriti in casi precisi, ma i principi valgono per tutti.
Uno strumento di IA può essere "conforme al GDPR"? Uno strumento può essere progettato per un uso conforme: accordo di responsabile del trattamento, hosting nell'UE, nessun addestramento, zero data retention. Ma la conformità dipende anche da come lo usi tu, come titolare del trattamento.
Per approfondire
- Dati personali: definizione ed esempi semplici
- Pseudonimizzazione e anonimizzazione: la differenza
- Segreto professionale spiegato in modo semplice
- Cos'è l'IA generativa? Spiegazione semplice
- IA conforme al GDPR
- La traccia dei dati e vendere dati riservati è perfettamente legale
Hai una domanda sul GDPR o sull'uso dell'IA nella tua organizzazione? Scrivici a [email protected] o tramite il modulo di contatto nell'app.
