Dalla Newsletter n. 234 del 15 - 21 novembre 2004 del Garante

Studio inglese sul concetto di dato personale. Proposti alcuni modelli teorici per un’applicazione armonica della direttiva Ue sulla privacy

Un ponderoso studio dell’Università di Sheffield, condotto per l’Autorità per la protezione dei dati del Regno Unito ha cercato di definire che cosa costituisca un “dato personale” secondo un modello concettuale rapportato, in primo luogo, alle definizioni contenute nella Direttiva 95/46/CE. Ne emerge la difficoltà di definire il dato personale in maniera univoca, essendo necessario tenere conto sia del contesto, che può rendere “personale” un dato in determinati casi, sia delle componenti intrinseche al dato (vi sono alcuni dati che sono per loro natura personali in quanto univocamente identificativi di una determinata persona: è il caso del DNA, a giudizio degli Autori). Lo studio propone, dunque, alcuni modelli teorici di “dato personale” che possono rivelarsi utili, soprattutto alle autorità di protezione dati, per applicare coerentemente la normativa nazionale e valutare la natura personale o meno di un determinato elemento informativo. Lo studio sottolinea, inoltre, che ogni dato personale è inscindibilmente connesso alla dignità umana: “è dato personale ogni informazione relativa alla dignità della persona, per cui qualsiasi vulnus di tale informazione è arrecato ai diritti ed alle libertà fondamentali della persona”.
Lo studio ha seguito tre filoni di indagine: un’analisi della letteratura sull’argomento; una rassegna delle definizioni formali di “dato personale” presenti nelle legislazioni nazionali e sovranazionali; un’analisi delle prassi seguite dalle autorità di protezione dati di numerosi Paesi UE e non-UE sulla base delle risposte fornite ad un questionario fatto circolare all’inizio del 2004. Ne è emersa un’assenza sostanziale di univocità sul concetto di “dato personale” alla luce della definizione di cui alla direttiva 95/46 (“qualsiasi informazione concernente una persona fisica identificata o identificabile”), non solo fra diversi Paesi, ma anche all’interno dello stesso Paese (in base alle risposte fornite al questionario).
Tuttavia, l’analisi concettuale ha permesso di evidenziare che nel definire il “dato personale” si utilizzano tre criteri principali, spesso in modo intercambiabile: a) la capacità del dato di identificare una persona fisica; b) la capacità del dato di avere effetti su una persona fisica; c) la capacità del dato di identificare ed avere effetti su una persona fisica. Per tutti questi aspetti, risulta fondamentale il ruolo svolto dal contesto nel definire il concetto di “sfera privata” e, quindi, nel valutare se il dato sia “personale” o meno.
Per tenere fede all’obiettivo della direttiva 95/46, che è quello di creare un sistema europeo armonizzato di protezione dei dati sostenendo, al contempo, lo sviluppo del mercato unico, lo studio propone di elaborare modelli teorici che servano da ausilio nel definire che cosa costituisca un dato personale. In tal modo si potrà evitare che un’applicazione non conforme del concetto di “dato personale” mini alla radice il raggiungimento dell’obiettivo di armonizzazione inerente alla direttiva 95/46/CE.
Lo studio postula che ciascun  modello teorico (basato, è bene sottolinearlo, sulle risultanze dello studio della letteratura specializzata, della legislazione, e degli approcci empirici sopra descritti) debba partire dalla definizione del  “concetto ideale” di dato personale. In sostanza, i modelli teorici servirebbero da guida per costruire strategie di classificazione che  evidenziano svantaggi e svantaggi, lasciando poi ai singoli Paesi (ed alle singole Autorità) il compito di selezionare quella giudicata più adeguata.

Quali sono questi modelli teorici? Partendo dalla premessa che ciascuno di essi è incentrato sul valore preponderante assegnato ad un singolo elemento significativo, lo studio ne individua tre.
Il modello dell’ “identificatore univoco” (dato personale = informazione univocamente identificativa di una persona fisica). Nel valutare la natura di un dato, cioè, si prescinde da ogni considerazione contestuale. Questo comporta una considerevole riduzione delle categorie di dati classificabili come “personali”, a meno di stabilire una sorta di gerarchia sulla base della rispondenza al criterio ideale dell’identificazione univoca. In tale gerarchia, ad esempio, il vertice sarebbe occupato dal DNA, ed a seguire da tutti gli altri dati. Dunque, sempre a titolo esemplificativo, in questo modello l’impronta digitale sarebbe più vicina al concetto di dato personale del semplice “nome”. Il problema è stabilire dove tracciare il confine fra quanto è dato personale e quanto non lo è, ed ovviamente il riferimento al contesto non aiuta, proprio perché in questo modello concettuale si prescinde dalla significatività del contesto.
Il modello degli “effetti indipendenti dal contesto” (dato personale = informazione in grado di avere effetti su una persona fisica a prescindere dal contesto di riferimento). Anche in questo caso appare problematico definire un elenco di dati in grado di “avere effetti” su una persona, proprio perché si tratta di formulare un giudizio affidabile sugli effetti che una data informazione può avere rispetto ad una persona fisica, a prescindere dal contesto. Un’ipotetica strategia di classificazione basata su tale approccio potrebbe, comunque, tenere conto dell’importanza del contesto sociale nella valutazione degli effetti sulla privacy. Questo comporta, naturalmente, il problema di capire quale sia il contesto sociale di riferimento per la singola persona, e quali categorie di informazione abbiano necessariamente effetti sulla privacy di tale persona all’interno del contesto sociale di riferimento. E’ chiaro, inoltre, che una strategia di classificazione basata su questo modello teorico non è focalizzata sul concetto di “identificazione” che pure è parte integrante della definizione di “dato personale” contenuta nella direttiva 95/46, e dunque non sembra particolarmente idonea a dare conto dei principi comunitari.
Il modello delle “strategie dipendenti dal contesto” (dato personale = informazione in grado di identificare o avere effetti su una persona fisica in base al contesto di riferimento). In questo caso, il rischio è di ritenere tutti i dati come potenzialmente personali, essendo qualunque informazione  in grado di identificare e/o avere effetti su una persona fisica nelle idonee circostanze. Per ovviare a tale rischio, si potrebbe adottare una strategia reattiva, tesa a valutare se una certa informazione sia realmente in grado di identificare e/o avere effetti su una persona fisica nelle circostanze specifiche. Meglio ancora, a giudizio degli autori dello studio, sarebbe adottare una strategia in cui si diano indicazioni più precise sulla possibilità che un dato sia considerato personale in futuro – ossia, se è probabile che si ripresentino le condizioni contestuali per le quali un dato permette di identificare e/o avere effetti su una persona, allora il dato può essere considerato “personale”. Ciò porterebbe alla definizione di un elenco di dati che sarebbero classificati come “personali” a motivo della probabilità del verificarsi di condizioni contestuali “propizie”. Anche questo approccio non è esente da difficoltà, in primo luogo per la necessità di effettuare previsioni sulla maggiore o minore probabilità del verificarsi di determinate circostanze.

A giudizio degli autori  nessuno dei tre modelli teorici sembrerebbe essere sufficiente, in forma isolata, a garantire un’idonea strategia di classificazione del “dato personale”. Appare invece preferibile un approccio composito che tragga spunto da più modelli per costruire una strategia decisionale maggiormente affidabile.

per consultare lo studio: http://www.frareg.com/news/documentazione/gestione/personal_data.pdf

Anticipazione della legge quadro sulla privacy (04.02.02)
Certificazione BS 7799 sulla sicurezza informatica (10.05.02)
Come attuare le modifiche recate dal D.Lgs, 467/2001 in relazione alla notifica (02.09.02)
L'uso di internet sul posto di lavoro: le linee-guida del Garante tedesco (31.01.03)
Il viaggio on line vuole la privacy (16.05.03)
Approvato il Codice della Privacy (30.07.03)
No degli esperti UE ai test genetici sui lavoratori (10.10.03)
Lavoro: accessi ai dati e percorso professionale (10.11.03)
Malattie professionali: lecite le segnalazioni dei medici all’Inail (02.12.03)
Il nuovo Codice della Privacy (10.02.04)
Videosorveglianza e protezione dati personali (15.03.04)
Obblighi di sicurezza e documento programmatico: slitta al 30 giugno la redazione del dps (24.03.04)
Chiarimenti sui trattamenti da notificare al Garante (23.04.2004)
Prime riflessioni sui criteri di redazione del Documento programmatico sulla sicurezza (20.05.2004)
Adempimenti semplificati per gli avvocati (16.06.04)
Rinnovate le autorizzazioni generali (02.09.04)
La normativa in materia di privacy e il D.lgs. 626/94 (04.10.04)
Lavoro. Il fascicolo del dipendente è riservato, solo copie autorizzate (27.10.04)
Dati sanitari in busta chiusa (15.11.04)