Approfondimenti in breve

La protezione dei dati personali riguarda persone, processi e strumenti. Queste pillole aiutano le aziende a comprendere gli obblighi principali del GDPR 2016/679 e le regole sull’intelligenza artificiale.

DATI PERSONALI E PRINCIPI DEL GDPR 2016/679

1. Che cosa sono i dati personali?
   Sono informazioni riferite a una persona fisica identificata o identificabile, anche indirettamente.
2. Quali dati richiedono maggiori cautele?
   Il GDPR tutela in modo specifico salute, origine razziale o etnica, opinioni politiche, religione, appartenenza sindacale e orientamento sessuale. Rientrano inoltre i dati genetici e quelli biometrici utilizzati per identificare univocamente una persona.
3. Il sesso anagrafico è un dato particolare?
   Da solo, non rientra nelle categorie particolari dell’articolo 9. Vi rientrano invece vita sessuale e orientamento sessuale.
4. Quali regole valgono per i dati penali?
   I dati relativi a condanne penali e reati seguono la disciplina specifica dell’articolo 10 del GDPR.
5. Il GDPR riguarda soltanto i dati informatici?
   Si applica anche ai dati cartacei contenuti, o destinati a essere contenuti, in archivi organizzati.
6. Serve sempre il consenso?
   No. Il trattamento può basarsi anche su contratto, obbligo legale, interessi vitali, compito pubblico o legittimo interesse, quando applicabili.
7. Quali principi deve rispettare il trattamento?
   Liceità, correttezza, trasparenza, finalità definite, minimizzazione, esattezza, conservazione limitata e sicurezza.
8. Quanti dati può raccogliere un’azienda?
   Soltanto quelli adeguati, pertinenti e necessari rispetto alle finalità dichiarate.
9. Per quanto tempo si possono conservare i dati?
   Il titolare deve stabilire tempi giustificati dalle finalità e dagli obblighi applicabili. La conservazione indefinita richiede di essere evitata.
10. Che cosa significa responsabilizzazione?
    Il titolare deve rispettare il GDPR e dimostrare le proprie scelte attraverso misure e documentazione adeguate.

INFORMATIVE E DIRITTI DELLE PERSONE

11. Come deve essere l’informativa privacy?
    Chiara, comprensibile e facilmente accessibile. Deve spiegare, tra l’altro, finalità, basi giuridiche, conservazione e diritti.
12. Quando bisogna fornire l’informativa?
    Di regola, alla raccolta diretta dei dati. Per i dati acquisiti altrove valgono termini ed eccezioni dell’articolo 14.
13. L’informativa deve essere sempre cartacea?
    No. Può essere elettronica e, alle condizioni previste dal GDPR, anche orale su richiesta dell’interessato.
14. Chi deve dimostrare il consenso?
    Quando il trattamento si basa sul consenso, il titolare deve dimostrare che l’interessato lo ha validamente prestato.
15. Il consenso può essere revocato?
    Sì, in qualsiasi momento. Revocarlo deve essere facile quanto prestarlo, senza pregiudicare la liceità del trattamento precedente.
16. Che cosa comprende il diritto di accesso?
    L’interessato può conoscere il trattamento e ottenere una copia dei propri dati, rispettando i diritti e le libertà altrui.
17. Il diritto alla cancellazione è assoluto?
    No. Si applica nei casi previsti dall’articolo 17, con eccezioni come obblighi legali e tutela giudiziaria.
18. Quando si applica la portabilità?
    Nei trattamenti automatizzati basati su consenso o contratto, per i dati forniti dall’interessato, alle condizioni dell’articolo 20.
19. Quanto tempo ha l’azienda per rispondere?
    Di regola, un mese. Nei casi complessi può prorogare di altri due mesi, informando tempestivamente l’interessato e motivando la proroga.
20. Ci si può opporre al marketing diretto?
    Sì, in qualsiasi momento. Dopo l’opposizione, i dati non possono più essere trattati per quella finalità.

RUOLI, RESPONSABILITÀ E DPO DATA PROCTETION OFFICER

21. Chi è il titolare del trattamento?
    È il soggetto che decide finalità e mezzi del trattamento dei dati personali.
22. Chi è il responsabile del trattamento?
    È il soggetto che tratta dati per conto del titolare. Il rapporto richiede un accordo conforme all’articolo 28.
23. Chi può accedere ai dati in azienda?
    Le persone autorizzate, secondo istruzioni e permessi coerenti con le mansioni e le effettive necessità.
24. Tutte le aziende devono nominare un DPO?
    No. L’obbligo dipende dalle condizioni previste dall’articolo 37 e dalle eventuali ulteriori disposizioni applicabili.
25. Quando il DPO è obbligatorio nel settore privato?
    Quando le attività principali richiedono monitoraggio regolare e sistematico su larga scala. Oppure trattamenti su larga scala di dati particolari o relativi a condanne penali e reati.
26. La soglia di 250 dipendenti determina l’obbligo del DPO?
    No. Il numero dei dipendenti, da solo, non determina questo obbligo.
27. Il DPO è obbligatorio per gli enti pubblici?
    Di regola sì. L’eccezione riguarda le autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali.
28. Quali compiti svolge il DPO?
    Informa, consiglia e sorveglia la conformità. Fornisce inoltre pareri sulla DPIA e ne sorveglia lo svolgimento.
29. Il DPO risponde delle decisioni del titolare?
    La designazione del DPO non trasferisce le responsabilità del titolare. Il DPO deve operare con indipendenza, competenza e senza conflitti d’interesse.
30. Chi controlla il rispetto della normativa privacy?
    In Italia l’autorità di controllo è il Garante per la protezione dei dati personali, che si avvale anche della Guardia di Finanza.

SICUREZZA, DOCUMENTAZIONE E VIOLAZIONI

31. Quali misure di sicurezza servono?
    Misure tecniche e organizzative adeguate ai rischi. Possono comprendere controllo degli accessi, aggiornamenti, cifratura e copie di sicurezza.
32. Basta installare un antivirus?
    No. La protezione richiede anche procedure, manutenzione, formazione e verifiche periodiche sull’efficacia delle misure adottate.
33. Come si gestiscono gli amministratori di sistema?
    Occorre definire compiti e privilegi, individuare i soggetti interessati e applicare le prescrizioni del Garante quando pertinenti.
34. A che cosa serve il registro dei trattamenti?
    Descrive le attività di trattamento e aiuta a governare dati, responsabilità e misure di sicurezza. Le esenzioni sono limitate.
35. Quando serve una DPIA?
    Prima di iniziare un trattamento che può presentare un rischio elevato per i diritti e le libertà delle persone.
36. Che cosa significa privacy by design e by default?
    Integrare la protezione dei dati nella progettazione e impostare, per regola predefinita, soltanto i trattamenti necessari.
37. Che cosa si intende per data breach?
    Una violazione di sicurezza che causa perdita, distruzione, modifica, divulgazione o accesso non autorizzato ai dati personali.
38. Ogni violazione deve essere notificata al Garante?
    No. La notifica serve salvo che sia improbabile un rischio per le persone. Quando dovuta, va effettuata possibilmente entro 72 ore dalla conoscenza.
39. Le violazioni devono essere documentate?
    Sì, anche quando non richiedono la notifica. Il titolare deve documentare fatti, conseguenze e misure adottate.
40. Quando bisogna informare le persone coinvolte?
    Quando la violazione può comportare un rischio elevato, salvo le eccezioni previste dall’articolo 34.

INTELLIGENZA ARTIFICIALE E ALFABETIZZAZIONE

41. L’AI Act sostituisce il GDPR?
    No. Quando l’intelligenza artificiale tratta dati personali, occorre rispettare anche il GDPR e le altre disposizioni applicabili.
42. Tutti i sistemi di IA hanno gli stessi obblighi?
    No. Gli obblighi dipendono da finalità, rischi, caratteristiche del sistema e ruolo assunto dall’organizzazione.
43. Chi è il deployer?
    È il soggetto che utilizza un sistema di IA sotto la propria autorità, escluso l’uso personale non professionale.
44. Quali utilizzi dell’IA sono vietati?
    L’AI Act vieta specifiche pratiche, tra cui determinate forme dannose di manipolazione, sfruttamento delle vulnerabilità e punteggio sociale.
45. L’IA per selezionare il personale è ad alto rischio?
    I sistemi destinati alla selezione e a determinate decisioni sui lavoratori rientrano nelle categorie previste dall’AI Act. La classificazione richiede di verificare il caso concreto.
46. Quando bisogna dichiarare l’interazione con un chatbot?
    Nei casi previsti dall’articolo 50, salvo che l’interazione con un sistema di IA risulti evidente dalle circostanze.
47. Ogni contenuto creato con l’IA richiede un’etichetta?
    Gli obblighi variano secondo contenuto e ruolo. Deepfake e determinati testi di interesse pubblico seguono regole specifiche, con eccezioni.
48. Che cosa richiede l’alfabetizzazione sull’IA e la formazione è obbligatoria?
    L’articolo 4 dell’AI Act impone a fornitori e utilizzatori professionali di assicurare un livello adeguato di alfabetizzazione sull’IA. L’obbligo riguarda il personale e le altre persone che utilizzano i sistemi per loro conto.
    Fornitori e deployer devono adottare misure per assicurare competenze adeguate alle persone che operano sui sistemi per loro conto.
49. Quale formazione occorre prevedere?
    La formazione deve essere proporzionata a competenze, mansioni, strumenti utilizzati e rischi. L’articolo 4 non prescrive una durata minima universale né un attestato standard obbligatorio
50. Quando si applicano gli obblighi dell’AI Act?
    Le scadenze sono differenziate. Il calendario aggiornato distingue obblighi già applicabili e disposizioni sui sistemi ad alto rischio previste per il 2027 e il 2028.

NOVITÀ ITALIANE E DATI DEI LAVORATORI

51. Che cosa disciplina il D.Lgs. 179/2026?
    Il decreto, con entrata in vigore il 23 ottobre 2026, adegua la normativa nazionale all’AI Act. Interviene sulle autorità competenti e sull’impiego dell’IA nella formazione e in altri ambiti.
52. Chi vigila sull’intelligenza artificiale in Italia?
    Il quadro nazionale attribuisce funzioni ad AgID e ACN, con competenze specifiche per autorità settoriali. Restano ferme le competenze del Garante sulla protezione dei dati.
53. Che cosa introduce il D.Lgs. 96/2026?
    In vigore dal 7 giugno 2026, recepisce la direttiva europea sulla trasparenza retributiva e sulla parità di retribuzione.
54. Le informazioni sulle retribuzioni sono dati personali?
    Sì, quando riguardano lavoratori identificati o identificabili. La loro gestione richiede finalità definite, accessi controllati e adeguate garanzie.
55. Trasparenza retributiva significa rendere pubblici tutti gli stipendi?
    No. Gli obblighi informativi devono essere applicati rispettando la protezione dei dati personali e le garanzie previste dalla normativa.
56. Basta togliere i nomi per anonimizzare i dati retributivi?
    No. Mansioni, piccoli gruppi e altre informazioni possono consentire di riconoscere indirettamente una persona.

EMAIL, MARKETING E TRACKING PIXEL

57. Che cosa sono i tracking pixel nelle email?
    Sono elementi incorporati nei messaggi che possono rilevarne l’apertura e raccogliere ulteriori informazioni sul destinatario e sul dispositivo.
58. Quali regole introduce il provvedimento del Garante n. 284/2026?
    Le linee guida chiariscono informativa, consenso, revoca e protezione dei dati nell’uso dei tracking pixel nelle comunicazioni email.
59. Il consenso alla newsletter autorizza automaticamente il tracciamento?
    No. Occorre verificare che comprenda consapevolmente il tracciamento, secondo le condizioni e il regime transitorio delle linee guida.
60. Si può rifiutare il tracciamento continuando a ricevere le email?
    Le linee guida prevedono la possibilità di revocare il consenso al solo tracciamento. Il termine di adeguamento è il 29 ottobre 2026.