Tutte le informazioni che riguardano la situazione personale di una persona sono considerate dati personali. L’unico fattore rilevante è che queste informazioni possano essere attribuite a una persona fisica o che ciò sia almeno indirettamente possibile.
Il legame tra la persona e i dati è importante
Tutti i dati personali devono poter essere assegnati a una persona specifica. Ciò che sembra logico a prima vista, tuttavia, ha un grande impatto ad un esame più attento. Infatti non è necessario che solo un certo gruppo di persone possa effettuare questa assegnazione. L’unica cosa importante è che questa associazione possa essere fatta, anche se il legame non è pubblico.
L’affermazione ”Il colore degli occhi del Cancelliere federale è grigio-blu” è un esempio. In questo caso, l’informazione personale è il colore degli occhi. Anche se il nome di Angela Merkel non viene citato esplicitamente, l’affermazione ”il Cancelliere Federale” è sufficiente per stabilire un collegamento. È irrilevante che la Cancelliera sia conosciuta da una persona specifica.
Dati personali in azienda
Data di nascita, indirizzo e numero di carta d’identità sono considerati dati personali. Di norma, possono essere assegnati a una persona specifica. Per questo motivo, tutte le informazioni sui dipendenti di un’azienda sono dati personali.
Lo stesso vale per il resto del database aziendale. Nell’area ERP spiccano in particolare i sistemi CRM. Dai dati disponibili, ad esempio, si potrebbe dedurre che il signor Max Mustermann ama acquistare abbigliamento sportivo di una certa marca. Poiché è possibile stabilire una correlazione diretta tra il comportamento di acquisto e la persona, tali informazioni sono considerate dati personali.
I dati personali non sono sempre immediatamente riconoscibili
A volte non è immediatamente riconoscibile se determinate informazioni appartengono al gruppo dei dati personali. Ciò è dovuto in particolare al fatto che l’individuo non è in grado di dedurre una persona specifica da un’informazione. A questo proposito vale la pena menzionare l’indirizzo IP. Nessuno, a parte il fornitore di accesso a Internet, è in grado di stabilire un collegamento. Anche le autorità investigative dipendono dalla collaborazione del provider in caso di violazione. Tuttavia, da un punto di vista legale, anche queste informazioni sono da considerarsi dati personali, in quanto è possibile stabilire una relazione di questo tipo. Chi sia in grado di farlo è irrilevante.
I dati personali e il Regolamento generale sulla protezione dei dati
Il nuovo Regolamento Generale sulla Protezione dei Dati (GDPR) è un insieme di regole per il trattamento dei dati personali. Questi dati sono quindi al centro dell’intero GDPR. Ciò è evidente dalla sola definizione del termine ”dati personali”, che è notevolmente più ampia nel regolamento rispetto alla precedente legge federale sulla protezione dei dati. Mentre il BDSG fa riferimento solo a ”dettagli individuali su circostanze personali o di fatto”, il GDPR è molto specifico su questo punto nell’articolo 4:
”[…] qualsiasi informazione relativa a una persona fisica identificata o identificabile (di seguito denominata ”interessato”); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”.
Sulla base di questa definizione, il trattamento dei dati personali disciplinato dal GDPR può essere riassunto in sei requisiti fondamentali:
- Liceità e trasparenza:
I dati possono essere raccolti solo se ciò è espressamente consentito. - Limitazione dello scopo:i dati di
possono essere trattati solo per lo scopo per cui sono stati raccolti. - Minimizzazione dei dati:
Possono essere raccolti solo i dati strettamente necessari. - Precisione:
I dati memorizzati devono essere corretti e aggiornati. - Limitazione dell’archiviazione: i dati di
possono essere archiviati solo per il tempo necessario allo scopo. - Riservatezza: i dati di
possono essere accessibili solo alle persone che ne hanno bisogno per il loro lavoro.
Il GDPR regolamenta il trattamento dei dati personali in modo molto dettagliato. Di conseguenza, il trattamento dei dati è soggetto a maggiori restrizioni in molte aree rispetto a quanto accadeva in precedenza con le leggi sulla protezione dei dati. Tuttavia, il GDPR introduce solo piccole novità rispetto alla precedente legge federale sulla protezione dei dati. Ciononostante, la protezione dei dati sta attirando l’attenzione di molte aziende in tutta Europa, non da ultimo a causa del drastico aumento delle multe e delle sanzioni esplicite per ogni violazione.
Avviso legale:
I contenuti gratuiti e liberamente accessibili di questo sito web sono stati creati con la massima cura possibile. Tuttavia, segnaliamo espressamente che non ci assumiamo alcuna garanzia o altra responsabilità per l’accuratezza, l’attualità o la completezza delle guide giornalistiche e delle informazioni fornite su questo sito.
Il contenuto di questo sito web non è da intendersi come consulenza legale per la tua azienda su cui puoi fare affidamento per la conformità alle normative legali sulla protezione dei dati – in particolare il GDPR – né può sostituire la consulenza legale individuale.
Inoltre, accedendo a questi contenuti gratuiti e liberamente accessibili, non si instaura alcun rapporto contrattuale tra noi e l’utente del sito web in assenza di una corrispondente volontà giuridicamente vincolante da parte nostra.
