Dati personali: il test della «persona identificabile»

Ai sensi del GDPR, i dati personali non comprendono soltanto elementi evidenti come il nome completo o il numero di identificazione nazionale. Includono qualsiasi informazione che possa identificare una persona vivente, direttamente o indirettamente. Ad esempio, la qualifica professionale di una persona abbinata al suo codice postale potrebbe essere sufficiente per individuarla, anche senza conoscerne il nome. La differenza fondamentale è tra i dati che identificano una persona autonomamente, ossia un identificatore diretto, e quelli che consentono di identificarla soltanto se combinati con altri elementi, ossia un identificatore indiretto. Entrambi rientrano nell'ambito di applicazione del regolamento.

Un espediente ricorrente negli esami consiste nel presentare un insieme di dati dal quale è stato rimosso il nome, ma che contiene ancora un numero univoco di dipendente o una posizione GPS precisa. Ricordare che anche qualsiasi identificativo online, come un indirizzo IP o un ID cookie, rientra nella definizione se può essere ricondotto a una persona. Per non cadere in un distrattore, chiedersi: una persona ragionevole, utilizzando le informazioni disponibili, potrebbe collegare questi dati a una specifica persona fisica? Se sì, si tratta di dati personali. Prestare attenzione anche ai dati pseudonimizzati: rimangono dati personali se esiste ancora da qualche parte la chiave che consente la reidentificazione.

Un rapido test mentale: immaginare di trovare un foglio di calcolo contenente soltanto «Cliente 123» e una cronologia degli acquisti. Se si possiede anche un elenco separato che collega «Cliente 123» a «Jane Smith», entrambi gli insiemi contengono dati personali. Non appena un'informazione può essere collegata a una persona reale, anche mediante un codice o una combinazione di elementi, si applica il GDPR. Questo è il fulcro del test della «persona identificabile»: concentrarsi sul collegamento, non soltanto sull'etichetta.