Cosa dice l’articolo 5 del GDPR?
Immagina di iscriverti alla newsletter di un e-commerce per ricevere uno sconto sul tuo primo acquisto. Il negozio, però, non si limita a inviarti le e-mail promozionali che hai richiesto: decide di cedere il tuo numero di telefono a un’agenzia terza di telemarketing senza il tuo permesso, oppure continua a conservare i tuoi dati nel suo database per dieci anni, anche dopo che hai cancellato il tuo account. Ecco, è esattamente per prevenire e sanzionare abusi come questo che entra in gioco l’articolo 5 del GDPR.
L’articolo 5 rappresenta il vero e proprio cuore pulsante del Regolamento Generale sulla Protezione dei Dati (GDPR 2016/679). L’articolo 5 del GDPR stabilisce i principi cardine applicabili a qualsiasi attività di trattamento di dati personali. Nello specifico, per quanto riguarda l’articolo 5, la norma impone che le informazioni siano trattate in modo lecito, corretto e trasparente. I dati devono essere raccolti solo per finalità determinate ed esplicite (limitazione della finalità), devono essere limitati a ciò che è strettamente necessario (minimizzazione dei dati), mantenuti esatti e aggiornati, conservati solo per il tempo indispensabile e gestiti garantendone l’integrità e la riservatezza. A coronare il tutto c’è il principio di “Responsabilizzazione” (o Accountability), che obbliga il titolare del trattamento non solo a rispettare questi principi, ma a essere in grado di dimostrarlo in ogni momento.
I principi applicabili al trattamento dei dati personali
Per comprendere appieno la portata dell’articolo 5, è utile osservare come i tribunali, i Garanti della Protezione dei Dati Europei e la stessa Corte di Giustizia Europea (CJEU) applicano questi principi nella realtà. Spesso, infatti, le aziende incappano in sanzioni proprio per aver sottovalutato queste regole fondamentali. Ecco alcuni casi emblematici:
-
01Minimizzazione dei dati (Art. 5.1.c) e Limitazione della conservazioneadeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»)
-
02Liceità, correttezza e trasparenza (Art. 5.1.a)i dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»)
-
03Limitazione della finalità (Art. 5.1.b)raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»)
-
04Integrità e Riservatezza (Art. 5.1.f)trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»)
-
05Esattezza dei Dati (Art.5.1.f)esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»)
-
06Responsabilizzazione / Accountability (Art. 5.2)il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»)
Le categorie particoalri di dati (Art. 9 GDPR)
L’applicazione dei principi dell’articolo 5 richiede un livello di sicurezza e attenzione ancora maggiore quando si trattano le “categorie particolari di dati personali”. Per questi dati, infatti, l’articolo 9 del GDPR prevede un generale divieto di trattamento, salvo specifiche eccezioni (come il consenso esplicito dell’interessato o il fatto che i dati siano resi manifestamente pubblici dallo stesso).
-
01Origine razziale o etnicaQualsiasi informazione o documento che riveli in modo esplicito la razza o l'etnia di una persona fisica
-
02Opinioni politicheNon solo l'iscrizione attiva a un partito, ma anche i dati dedotti dal tracciamento online (ad esempio, le visite al "sito Internet di un partito politico" o le interazioni e i "mi piace" sui social network riguardanti esponenti politici)
-
03Convinzioni religiose o filosoficheInformazioni, adesioni o dichiarazioni che rivelano il credo religioso o il pensiero filosofico dell'interessato
-
04Appartenenza sindacaleDati che indicano l'iscrizione a un sindacato (es. le trattenute sindacali in busta paga gestite dal datore di lavoro)
-
05Dati genetici e biometriciDati trattati al fine di "identificare in modo univoco una persona fisica". Rientrano in questa categoria i sistemi di autenticazione avanzati, come il riconoscimento facciale, la mappatura della retina o le impronte digitali
-
06Dati relativi alla saluteQualsiasi informazione inerente allo stato di salute fisica o mentale di un individuo, comprese le cartelle cliniche e la fruizione di prestazioni di assistenza sanitaria
-
07Vita sessuale o orientamento sessualeInformazioni sulla sfera intima. Oltre alle dichiarazioni pubbliche, i tribunali hanno stabilito che questo dato può emergere anche indirettamente e in modo illecito tracciando l'uso di "applicazioni e siti Internet di incontro"
