Un dato personale è qualsiasi informazione che riguarda una persona fisica identificata o identificabile, direttamente o indirettamente. Nome e indirizzo e-mail sono dati personali ovvi. Ma lo sono anche un indirizzo IP, una targa, una voce registrata o la combinazione "età, CAP, professione", se permettono di risalire a qualcuno. È il concetto centrale del GDPR: tutto ciò che il regolamento protegge passa da qui. E tutto ciò che non è un dato personale resta fuori dalla sua protezione.
Un esempio concreto
Un'agenzia per il lavoro inventata a Napoli riceve una candidatura. Il fascicolo contiene:
- nome, cognome, telefono, e-mail: dati personali diretti;
- codice fiscale, curriculum, ultima busta paga: dati personali;
- "ingegnera, 41 anni, due figli, 80121": dati personali indiretti, perché insieme possono bastare a identificare la persona;
- lo stipendio medio per ingegneri in Campania calcolato su 300 candidature: non è un dato personale, finché nessuno può esserne ricavato.
La linea non passa tra "sensibile" e "banale", ma tra "permette di identificare qualcuno" e "non lo permette".
I dati personali nel dettaglio
La definizione (articolo 4, punto 1, del GDPR). È dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile. Si considera identificabile la persona che può essere identificata, direttamente o indirettamente, con riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online, o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.
Esempi di dati personali:
- nome, cognome, indirizzo, e-mail, numero di telefono;
- codice fiscale, numero di tessera sanitaria, numero cliente;
- indirizzo IP, identificativi dei cookie, dati di geolocalizzazione;
- foto, registrazione vocale, impronta digitale;
- reddito, situazione familiare, cronologia degli acquisti;
- un insieme di attributi indiretti (età, professione, città) che insieme indicano una sola persona.
Le categorie particolari. Alcuni dati personali sono protetti in modo più forte: dati sanitari, genetici e biometrici, religione, orientamento sessuale, opinioni politiche, appartenenza sindacale, origine etnica (articolo 9 del GDPR).
Cosa non è un dato personale. I dati di una società in quanto tale (fatturato, ragione sociale, sede legale) non sono dati personali, salvo che si riferiscano a una persona fisica, per esempio un imprenditore individuale. Nemmeno i dati davvero anonimi.
Chi vigila. In Italia il Garante per la protezione dei dati personali. Le sanzioni del GDPR arrivano a 20 milioni di euro o al 4% del fatturato mondiale annuo. Per il quadro generale, vedi cos'è il GDPR.
Questa è un'informazione generale, non una consulenza legale.
Cosa la nozione non protegge
Poiché tutto il GDPR si regge sulla nozione di dato personale, tutto ciò che non lo è esce dal suo campo.
- Un dato anonimizzato non è più personale. Il considerando 26 del GDPR esclude le informazioni anonime. Il contenuto di un fascicolo, staccato dalla persona, può essere aggregato, concesso in licenza e venduto legalmente a data broker o sviluppatori di IA.
- Il contenuto professionale non è protetto in quanto tale. Una clausola, una strategia, un prezzo negoziato non sono dati personali. Il GDPR li copre solo quando sono legati a una persona. Per i professionisti, c'è anche il segreto professionale, che però segue la stessa logica.
- Le condizioni d'uso decidono. Se un servizio si riserva una licenza per riutilizzare i tuoi contenuti, una volta tolti gli identificativi può farne ciò che le sue condizioni permettono.
- L'identificabilità è più ampia di quanto si pensi. Uno studio del 2019 su Nature Communications ha stimato che il 99,98% degli americani può essere reidentificato a partire da 15 attributi. Sostituire un nome con un codice non porta un dato fuori dal GDPR: vedi pseudonimizzazione e anonimizzazione.
La legge protegge il nome e ciò che vi conduce. Il resto, una volta staccato, può entrare in un mercato. La pagina la traccia dei dati mostra questo percorso per un medico, un avvocato e un'azienda, e vendere dati riservati è perfettamente legale ne raccoglie le fonti.
Cosa significa quando usi strumenti di IA
Quando scrivi, detti o carichi un documento in uno strumento di IA, quasi sempre contiene dati personali. Verifica:
- Il fornitore agisce come responsabile del trattamento (articolo 28 del GDPR), solo su tue istruzioni?
- Prende una licenza di riutilizzo sui tuoi contenuti, anche anonimizzati?
- I tuoi contenuti vengono usati per addestrare modelli?
- I fornitori dei modelli conservano le tue richieste?
- Dove sono ospitati i dati?
Wysor è costruito perché né la parte personale né il resto escano dal tuo controllo. Wysor agisce solo come responsabile del trattamento, sulle tue istruzioni, e non prende alcuna licenza di riutilizzo: i tuoi contenuti servono solo a far funzionare il servizio per te. Non addestriamo mai modelli sui tuoi contenuti e non li vendiamo mai, anonimizzati o no. Questi impegni sono scritti nel contratto e vincolano chiunque possa un giorno possedere Wysor. I dati sono cifrati in transito e a riposo, ospitati nell'Unione europea, e ogni fornitore di modelli collegato (GPT, Claude, Gemini e altri) applica la zero data retention. Per il quadro completo, vedi l'IA conforme al GDPR.
Domande frequenti
Quali sono esempi di dati personali? Nome, indirizzo, e-mail, telefono, codice fiscale, indirizzo IP, foto, voce, geolocalizzazione, reddito. Ma anche una combinazione di informazioni indirette che permette di riconoscere una persona.
Il codice fiscale è un dato personale? Sì. Identifica in modo univoco una persona fisica ed è quindi un dato personale a tutti gli effetti.
Che differenza c'è tra dati personali e dati sensibili? Ogni dato sensibile è un dato personale, ma non viceversa. Quelli che si chiamavano "dati sensibili" corrispondono oggi alle categorie particolari dell'articolo 9 del GDPR (salute, religione, orientamento sessuale, ecc.), il cui trattamento è vietato salvo eccezioni.
L'indirizzo e-mail aziendale è un dato personale? Sì, se riguarda una persona: [email protected] identifica un dipendente. Un indirizzo generico come [email protected], che non rimanda a una persona, di norma no.
Un dato anonimizzato è ancora un dato personale? No. Un dato davvero anonimo non si riferisce più a una persona ed esce dal GDPR. È proprio per questo che può essere riutilizzato e venduto legalmente.
Per approfondire
- Cos'è il GDPR? Spiegazione semplice
- Pseudonimizzazione e anonimizzazione: la differenza
- Segreto professionale spiegato in modo semplice
- Cos'è l'IA generativa? Spiegazione semplice
- La traccia dei dati
- Vendere dati riservati è perfettamente legale: le fonti
Hai una domanda sui dati personali e l'IA? Scrivici a [email protected] o tramite il modulo di contatto nell'app.
