Che cosa è un “dato personale”?. Studio inglese sul concetto di dato personale. Proposti alcuni modelli teorici per un’applicazione armonica della direttiva Ue sulla privacy

Un ponderoso
studio dell’Università di Sheffield, condotto per l’Autorità per la protezione
dei dati del Regno Unito (http://www.informationcommissioner.gov.uk/…PDF),
ha cercato di definire che cosa costituisca un “dato personale” secondo un
modello concettuale rapportato, in primo luogo, alle definizioni contenute nella
Direttiva 95/46/CE. Ne emerge la difficoltà di definire il dato personale in
maniera univoca, essendo necessario tenere conto sia del contesto, che puo’
rendere “personale” un dato in determinati casi, sia delle componenti
intrinseche al dato (vi sono alcuni dati che sono per loro natura personali in
quanto univocamente identificativi di una determinata persona: è il caso del
DNA, a giudizio degli Autori). Lo studio propone, dunque, alcuni modelli teorici
di “dato personale” che possono rivelarsi utili, soprattutto alle autorità di
protezione dati, per applicare coerentemente la normativa nazionale e valutare
la natura personale o meno di un determinato elemento informativo. Lo studio
sottolinea, inoltre, che ogni dato personale è inscindibilmente connesso alla
dignità umana: “è dato personale ogni informazione relativa alla dignità
della persona, per cui qualsiasi vulnus di tale informazione è arrecato ai
diritti ed alle libertà fondamentali della persona”.

Lo studio ha
seguito tre filoni di indagine: un’analisi della letteratura sull’argomento; una
rassegna delle definizioni formali di “dato personale” presenti nelle
legislazioni nazionali e sovranazionali; un’analisi delle prassi seguite dalle
autorità di protezione dati di numerosi Paesi UE e non-UE sulla base delle
risposte fornite ad un questionario fatto circolare all’inizio del 2004. Ne è
emersa un’assenza sostanziale di univocità sul concetto di “dato personale”
alla luce della definizione di cui alla direttiva 95/46 (“qualsiasi informazione
concernente una persona fisica identificata o identificabile”), non solo fra
diversi Paesi, ma anche all’interno dello stesso Paese (in base alle risposte
fornite al questionario).

Tuttavia,
l’analisi concettuale ha permesso di evidenziare che nel definire il “dato
personale” si utilizzano tre criteri principali, spesso in modo intercambiabile:
a) la capacità del dato di identificare una persona fisica; b) la capacità del
dato di avere effetti su una persona fisica; c) la capacità del dato di
identificare ed avere effetti su una persona fisica. Per tutti questi aspetti,
risulta fondamentale il ruolo svolto dal contesto nel definire il concetto di
“sfera privata” e, quindi, nel valutare se il dato sia “personale” o meno.

Per tenere
fede all’obiettivo della direttiva 95/46, che è quello di creare un sistema
europeo armonizzato di protezione dei dati sostenendo, al contempo, lo sviluppo
del mercato unico, lo studio propone di elaborare modelli teorici che servano da
ausilio nel definire che cosa costituisca un dato personale. In tal modo si
potrà evitare che un’applicazione non conforme del concetto di “dato personale”
mini alla radice il raggiungimento dell’obiettivo di armonizzazione inerente
alla direttiva 95/46/CE.

Lo studio
postula che ciascun  modello teorico (basato, è bene sottolinearlo, sulle
risultanze dello studio della letteratura specializzata, della legislazione, e
degli approcci empirici sopra descritti) debba partire dalla definizione del 
“concetto ideale” di dato personale. In sostanza, i modelli teorici servirebbero
da guida per costruire strategie di classificazione che  evidenziano svantaggi e
svantaggi, lasciando poi ai singoli Paesi (ed alle singole Autorità) il compito
di selezionare quella giudicata più adeguata.

Quali sono
questi modelli teorici? Partendo dalla premessa che ciascuno di essi è
incentrato sul valore preponderante assegnato ad un singolo elemento
significativo, lo studio ne individua tre.

• Il modello
  dell’ “identificatore univoco” (dato personale = informazione univocamente
  identificativa di una persona fisica). Nel valutare la natura di un dato,
  cioè, si prescinde da ogni considerazione contestuale. Questo comporta una
  considerevole riduzione delle categorie di dati classificabili come
  “personali”, a meno di stabilire una sorta di gerarchia sulla base della
  rispondenza al criterio ideale dell’identificazione univoca. In tale
  gerarchia, ad esempio, il vertice sarebbe occupato dal DNA, ed a seguire da
  tutti gli altri dati. Dunque, sempre a titolo esemplificativo, in questo
  modello l’impronta digitale sarebbe più vicina al concetto di dato personale
  del semplice “nome”. Il problema è stabilire dove tracciare il confine fra
  quanto è dato personale e quanto non lo è, ed ovviamente il riferimento al
  contesto non aiuta, proprio perchè in questo modello concettuale si prescinde
  dalla significatività del contesto.

• Il modello
  degli “effetti indipendenti dal contesto” (dato personale = informazione in
  grado di avere effetti su una persona fisica a prescindere dal contesto di
  riferimento). Anche in questo caso appare problematico definire un elenco di
  dati in grado di “avere effetti” su una persona, proprio perchè si tratta di
  formulare un giudizio affidabile sugli effetti che una data informazione puo’
  avere rispetto ad una persona fisica, a prescindere dal contesto. Un’ipotetica
  strategia di classificazione basata su tale approccio potrebbe, comunque,
  tenere conto dell’importanza del contesto sociale nella valutazione degli
  effetti sulla privacy. Questo comporta, naturalmente, il problema di capire
  quale sia il contesto sociale di riferimento per la singola persona, e quali
  categorie di informazione abbiano necessariamente effetti sulla privacy di
  tale persona all’interno del contesto sociale di riferimento. E’ chiaro,
  inoltre, che una strategia di classificazione basata su questo modello teorico
  non è focalizzata sul concetto di “identificazione” che pure è parte
  integrante della definizione di “dato personale” contenuta nella direttiva
  95/46, e dunque non sembra particolarmente idonea a dare conto dei principi
  comunitari.

• Il modello
  delle “strategie dipendenti dal contesto” (dato personale = informazione in
  grado di identificare o avere effetti su una persona fisica in base al
  contesto di riferimento). In questo caso, il rischio è di ritenere tutti i
  dati come potenzialmente personali, essendo qualunque informazione  in grado
  di identificare e/o avere effetti su una persona fisica nelle idonee
  circostanze. Per ovviare a tale rischio, si potrebbe adottare una strategia
  reattiva, tesa a valutare se una certa informazione sia realmente in grado di
  identificare e/o avere effetti su una persona fisica nelle circostanze
  specifiche. Meglio ancora, a giudizio degli autori dello studio, sarebbe
  adottare una strategia in cui si diano indicazioni più precise sulla
  possibilità che un dato sia considerato personale in futuro – ossia, se è
  probabile che si ripresentino le condizioni contestuali per le quali un dato
  permette di identificare e/o avere effetti su una persona, allora il dato puo’
  essere considerato “personale”. Cio’ porterebbe alla definizione di un elenco
  di dati che sarebbero classificati come “personali” a motivo della
  probabilità del verificarsi di condizioni contestuali “propizie”. Anche
  questo approccio non è esente da difficoltà, in primo luogo per la
  necessità di effettuare previsioni sulla maggiore o minore probabilità del
  verificarsi di determinate circostanze.

A giudizio
degli autori  nessuno dei tre modelli teorici sembrerebbe essere sufficiente, in
forma isolata, a garantire un’idonea strategia di classificazione del “dato
personale”. Appare invece preferibile un approccio composito che tragga spunto
da più modelli per costruire una strategia decisionale maggiormente affidabile.

 

 

https://www.litis.it