PSI, protezione dei dati personali, anonimizzazione

• Autore: Eleonora Bassi
• Carica: Dottore di ricerca in Filosofia del diritto, Teoria delle scienze normative e dell'ordinamento internazionale; svolge attività di ricerca presso il Dipartimento di Scienze giuridiche dell'Università di Torino
• Pagine: 65-83

PSI, protezione dei dati personali, anonimizzazione

ELEO NOR A BASS I∗

SOMM ARI O:1. Introduzione – 2. Apertura dell’informazione del settore pubblico e

protezione dei dati personali. Il quadro normativo europeo e italiano – 3. Informazio-

ne del settore pubblico e strumenti tecnici per la protezione della privacy – 4. Persona-

lità, identif‌icabilità, anonimizzazione – 4.1. Sul concetto di dato personale – 4.2. Iden-

tif‌icabilità e contestualità – 4.3. Identif‌icabilità e anonimizzazione – 5. Modelli giu-

ridici di anonimizzazione – 5.1. Dati statistici e dati giudiziari – 5.2. Diversi tipi di

anonimizzazione per dati personali riutilizzabili – 6. Responsabilità per i trattamenti

di anonimizzazione

1. INT RODU ZIO NE

Il dibattito sul riutilizzo delle informazioni detenute dal settore pubbli-

co (PSI) si è indirizzato principalmente al riutilizzo dei dati pubblici, e non

dei dati personali. Tuttavia, una parte dell’informazione pubblica ha carat-

tere personale: si pensi ai registri anagraf‌ici, societari, automobilistici o dei

crediti, sull’occupazione o sull’assistenza sociale1.

Nel 2003 è stata emanata la direttiva 2003/98/CE sul riutilizzo dell’infor-

mazione del settore pubblico, recepita in Italia con d.lgs. 24 gennaio 2006,

n. 36, poi modif‌icato con l. 4 giugno 2010, n. 96. Il principale oggetto di

tale direttiva non sono i dati personali; essi tuttavia possono essere aperti al

riutilizzo.

∗L’Autrice è dottore di ricerca in Filosof‌ia del diritto, Teoria delle scienze normative e

dell’ordinamento internazionale; svolge attività di ricerca presso il Dipartimento di Scienze

giuridiche dell’Università di Torino nell’ambito del Progetto “Extracting Value from Pu-

blic Sector Information: Legal Framework and Regional Policies” e collabora con il Centro

NEXA su Internet e Società del Politecnico di Torino.

1La necessità di una tutela della sfera privata per il caso in cui archivi e pubblici registri

contengano dati personali era già presa in considerazione nella Raccomandazione R (91) 10

del Consiglio d’Europa, relativa alla comunicazione a terzi di dati personali detenuti da or-

ganismi pubblici del 1991, e nel Libro verde sull’informazione del settore pubblico nella società

dell’informazione preparato dalla Commissione europea nel 1998; cfr. L’informazione del set-

tore pubblico: una risorsa fondamentale. Libro verde sull’informazione del settore pubblico nella

società dell’informazione, COM (1998) 585, parr. 108-112. Si r invia a G. AICH HOLZ ER, H.

BURK ERT (eds.), Public Sector Information in the Digital Age, Cheltenham-Northampton,

Edward Elgar Publishing, 2004, per una ricostruzione del dibattito e degli studi che hanno

condotto alla direttiva 2003/98/CE sul riutilizzo dell’informazione del settore pubblico, e al

saggio di C.D. RAAB ,Privacy Issues as Limits to Access, nello stesso volume, pp. 23-46, per

quanto attiene alla conciliabilità tra disciplina del riuso e tutela della privacy.

66 Informatica e diritto /Il quadro giuridico

Nondimeno, come si vedrà in prosieguo, i margini per un legittimo riu-

tilizzo non sono ampi e richiedono l’adozione di strumenti tecnici e giuri-

dici ad hoc, tanto per una migliore protezione dei dati personali, quanto per

valorizzare la spinta alla trasparenza e all’apertura del mercato dell’informa-

zione, presente nella direttiva sul riutilizzo.

2. APE RTUR A DEL L’INFOR MAZ ION E DEL S ETTO RE PU BBL ICO E P RO-

TEZ ION E DEI DAT I PER SON ALI. IL QUAD RO NORM ATIVO EURO PEO

E ITAL IAN O

Il testo della direttiva del 2003/98/CE stabilisce che essa “non pregiudica

in alcun modo il livello di tutela delle persone f‌isiche con riguardo al tratta-

mento dei dati personali ai sensi delle disposizioni di diritto comunitario e

nazionale e non modif‌ica, in particolare, i diritti e gli obblighi previsti dalla

direttiva 95/46/CE” (art. 1, co. 4)2, subordinando, pertanto, il trattamento

di riutilizzo dell’informazione del settore pubblico al rispetto della direttiva

95/46/CE in materia di protezione dei dati personali3.

Il riutilizzo di dati personali raccolti o detenuti dal cd. settore pubblico,

così come previsto dalla direttiva 2003/98/CE è stato giudicato in termini

di piena compatibilità con la direttiva 95/46/CE a tutela dei dati personali.

Così si esprimeva il Gruppo di lavoro Art. 29 nel parere 7/20034, ove inten-

2La direttiva 2003/98/CE fa riferimento alla disciplina sulla tutela dei dati personali in

soli tre passaggi: al Considerando 21, al sopra citato art. 1, co. 4, e all’art. 2, co. 5, che stabili-

sce che ai f‌ini della direttiva si intende per “’dati personali’,i dati quali def‌initi all’ar t. 2, lett.

a), della direttiva 95/46/CE”. Per una ricostruzione del quadro normativo e dei principali

punti critici di una disciplina del riutilizzo di dati personali, si rinvia a M. ALOVI SIO, E. BA S-

SI,Protezione dei dati personali e riutilizzo dell’informazione del settore pubblico, (in corso di

pubblicazione, ma disponibile in versione provvisoria all’indirizzo http://www.evpsi.org/).

3Nel testo della direttiva sul riutilizzo sembra essere menzionato il solo diritto fonda-

mentale alla protezione dei dati personali, e non invece il diritto (fondamentale) alla tutela

della privacy. Tuttavia, mi pare che il richiamodel co. 4 dell’art. 1 della direttiva sul riuso sia

abbastanza chiaro nel f‌inalizzare la clausola di salvezza per la tutela dei dati personali alla più

ampia tutela delle persone f‌isiche. La priorità riconosciuta alla protezione dei dati personali,

come disciplinata dalla direttiva 95/46/CE, rafforza ed esplicita, anziché sminuire, la tutela

della privacy; cosicché non vi sia spazio per ipotesi di riutilizzo rispettose della tutela dei dati

personali ma potenzialmente lesive del diritto alla privacy.

4Si tratta di un Gruppo di lavoro istituito ai sensi dell’articolo 29 della direttiva

95/46/CE. È un organo consultivo europeo indipendente sulla protezione dei dati e sul-

la riservatezza. I suoi compiti sono descritti all’articolo 30 della direttiva 95/46/CE e al-

l’articolo 14 della direttiva 97/66/CE. A norma dell’articolo 30 della direttiva 95/46/CE il

Gruppo di lavoro può formulare raccomandazioni su qualsiasi questione riguardante la tu-