Fare chiarezza nel lessico della privacy

C’è un equivoco che continua a camminare silenzioso nei corridoi degli studi professionali, delle imprese e – ancor più delicatamente – delle strutture sanitarie: la distinzione tra dati personali, dati sensibili e dati comuni.

Un equivoco comprensibile, certo. Ma superato, come un vecchio cartello stradale rimasto dopo che la strada è cambiata.

Con l’entrata in vigore del Regolamento Generale sulla Protezione dei Dati (GDPR), il legislatore europeo ha compiuto una scelta netta e, per certi versi, poetica: tutti i dati che parlano di una persona sono dati personali.

Nessun dato è banale, nessun frammento di identità è neutro.

Oggi, secondo il GDPR, non esiste più la distinzione formale tra “dati comuni” e “dati sensibili”.

Esistono invece:

Dati personali (art. 4 GDPR): qualsiasi informazione che consenta di identificare, direttamente o indirettamente, una persona fisica.

Dati particolari (art. 9 GDPR): una sotto-categoria di dati personali che richiede tutele rafforzate.

In altre parole:

👉 tutti i dati personali vanno protetti,

👉 alcuni vanno protetti di più.

I dati particolari: ciò che tocca l’essenza della persona.

Nel perimetro dei dati particolari rientrano informazioni che incidono profondamente sulla dignità, sulla libertà e sull’identità dell’individuo.

Tra questi troviamo:

dati genetici

dati biometrici intesi a identificare in modo univoco una persona fisica

dati relativi alla salute

convinzioni religiose o filosofiche

appartenenza sindacale

orientamento sessuale

Quelli che un tempo chiamavamo “dati sensibili” oggi vivono qui, in questo spazio di maggiore attenzione giuridica ed etica.

Dati sanitari: quando la protezione diventa cura i dati relativi alla salute sono, a pieno titolo, dati particolari.

Ed è qui che il GDPR alza la soglia di protezione: il trattamento di questi dati è, in linea generale, vietato.

Ma – come spesso accade nel diritto ben fatto – il divieto non è cieco.

L’articolo 9 del GDPR prevede specifiche eccezioni, perché la tutela della persona passa anche dalla possibilità di curarla.

Quando è lecito trattare i dati sanitari (senza consenso)Secondo l’art. 9 GDPR, i dati sanitari possono essere trattati anche senza il consenso dell’interessato, solo se ricorrono determinate condizioni, tra cui:

motivi di interesse pubblico rilevante, sulla base del diritto nazionale o dell’Unione Europea

motivi di interesse pubblico nel settore della sanità pubblica

finalità di cura, medicina preventiva, diagnosi, assistenza o terapia sanitaria o sociale

In questi casi, il GDPR compie un gesto di equilibrio: non chiede il consenso, ma chiede responsabilità.

L’informativa: non burocrazia, ma patto di fiducia.

Se il consenso non è necessario, l’informazione lo è sempre.

Il centro medico, la struttura sanitaria o il singolo professionista devono fornire al paziente un’informativa completa, chiara e comprensibile, che spieghi:

quali dati vengono trattati

per quali finalità

con quali modalità

per quanto tempo e quali sono i diritti dell’interessato

L’informativa non è un modulo da firmare distrattamente.

È un atto di trasparenza, un patto di fiducia, una forma moderna di rispetto.

Uno sguardo al futuro.

Nel tempo dell’intelligenza artificiale, dei fascicoli sanitari elettronici e della medicina predittiva, i dati non sono più solo numeri: sono storie di vita.

Proteggerli non significa rallentare l’innovazione, ma orientarla.

Perché una tecnologia che non sa custodire l’umano finisce, prima o poi, per smarrirlo.

E la vera sostenibilità – anche digitale – nasce sempre da qui.