Glossario · Glossario · Concetti GDPR
Dati personali: cosa sono e dove si nascondono nei documenti
Team Anonimatum
In breve
È dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile, direttamente o indirettamente: un nome, un codice fiscale, una targa, una firma o un insieme di dettagli che insieme rivelano di chi si parla.
Tutto il GDPR ruota intorno a un concetto: il dato personale. Se un’informazione lo è, si applicano il GDPR e il Codice privacy; altrimenti no. Prima di pubblicare, condividere o anonimizzare un documento, la prima domanda è quindi quali dati personali contiene.
La definizione normativa è volutamente ampia. Non si ferma a nome e codice fiscale: comprende ogni informazione che consenta di identificare qualcuno, anche combinando elementi che da soli sembrano innocui.
La definizione dell’articolo 4 del GDPR
Il GDPR definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile. Si considera identificabile la persona che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.
Come stabilire se qualcuno è identificabile lo spiega il considerando 26 del GDPR: occorre considerare tutti i mezzi di cui si può ragionevolmente prevedere l’utilizzo, tenendo conto di costi, tempo e tecnologia disponibile.
Identificativi diretti e indiretti
Gli identificativi diretti indicano una persona da soli: nome e cognome, codice fiscale, numero della carta d’identità, fotografia del volto. Gli identificativi indiretti non bastano isolati, ma combinati la rivelano: data di nascita, CAP, professione, ruolo, datore di lavoro, date di un fatto preciso. Una relazione fittizia che cita «la coordinatrice infermieristica della pediatria dell’ospedale cittadino nel 2024» identifica una persona senza nominarla.
Esempi di dati personali nei documenti
| Dato | Dove compare di solito | Tipo |
|---|---|---|
| Nome e cognome | Intestazioni, testo, firme, comunicazioni | Diretto |
| Codice fiscale, carta d’identità o passaporto | Contratti, istanze, moduli | Diretto |
| Indirizzo di residenza | Notifiche, verbali, fatture | Diretto o indiretto |
| Targa del veicolo | Verbali, sentenze in materia di sinistri, multe | Indiretto |
| Firma autografa o digitale | In calce a contratti e provvedimenti | Diretto |
| Numero di fascicolo o di cartella clinica | Provvedimenti, referti | Indiretto |
| Telefono, email, IBAN | Fatture, cedolini, email | Diretto o indiretto |
| Autore e ente nei metadati | Proprietà del PDF o del Word | Diretto |
Alcune categorie godono di tutela rafforzata: salute, origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati genetici e biometrici, vita od orientamento sessuale. Sono le categorie particolari di dati dell’articolo 9.
Cosa non è dato personale
- Le informazioni sulle persone giuridiche, come la ragione sociale o la partita IVA di una società (considerando 14). Nome ed email di un dipendente o di un professionista sono invece dati personali.
- Le informazioni anonime o i dati anonimizzati in modo che la persona non sia più identificabile.
- I dati delle persone decedute sono esclusi dal GDPR (considerando 27), ma il Codice privacy disciplina l’esercizio di alcuni diritti su tali dati.
- Le statistiche aggregate da cui non è possibile isolare alcun individuo.
I dati pseudonimizzati, invece, restano personali: sostituire un nome con un codice non basta se qualcuno conserva la tabella di corrispondenza. La differenza è spiegata alla voce anonimizzazione.
Individuare i dati personali prima di condividere un documento
Cercare a mano i dati personali in un fascicolo di cento pagine è lento e soggetto a dimenticanze, soprattutto con scansioni, timbri e allegati. Anonimatum rileva nomi, organizzazioni, date, indirizzi, importi, targhe, codici QR e firme con un’IA proprietaria su server nell’UE, oltre a pattern come codice fiscale, IBAN, telefono o email. Tutto si rivede prima di applicare; si può partire da qualcosa di concreto, come oscurare un documento d’identità in un PDF.
Domande frequenti
Un indirizzo IP è un dato personale?
Può esserlo. Nella sentenza Breyer (C-582/14) la Corte di giustizia ha ritenuto dato personale un IP dinamico quando chi lo detiene dispone di mezzi giuridici per identificare l’utente.
Un’email nome.cognome@azienda.it è un dato personale?
Sì, perché identifica una persona fisica precisa, anche in ambito lavorativo. Un indirizzo generico come info@ di solito non lo è.
Le iniziali sono dati personali?
Sì, se il contesto permette di capire a chi si riferiscono, cosa frequente nei documenti con date, luoghi o ruoli.
I metadati di un PDF possono contenere dati personali?
Sì. Autore, ente o ultimo utente che ha modificato il file restano spesso nelle proprietà del documento.
Trova i dati personali nei tuoi documenti
Guarda i piani e inizia a rilevare e rimuovere dati personali in PDF, Word, Excel ed email, con revisione umana prima di applicare.