Uno dei primi elementi da chiarire per approcciarsi al GDPR è il suo ambito di applicazione materiale. Non è possibile, infatti, applicare le sue disposizioni se non si stabilisce quali siano i dati a cui si riferisce e in quali casi vada applicato il Regolamento.
Innanzitutto, rileviamo che la nozione di dato personale fornita dal Regolamento non si discosta, in linea di massima, da quella già contenuta nel nostro Codice della Privacy (secondo cui, ai sensi dell’art. 3, co. 1, lett. b), è dato personale “qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale”). Difatti, il GDPR definisce dato personale “qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»)”, con la ulteriore precisazione che “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, par. 1, GDPR).
Leggendo la definizione di dato personale si evince che la protezione offerta dal GDPR è diretta esclusivamente alle persone fisiche, indipendentemente dalla nazionalità o dal luogo di residenza, e non alle persone giuridiche (in linea di continuità, peraltro, con quanto già previsto dal Codice della Privacy).
Un secondo elemento di fondamentale importanza è la determinazione delle tipologie di attività rilevanti ai sensi della nuova normativa: la disciplina introdotta dal Regolamento dovrà essere applicata ai casi di trattamenti di dati personali interamente o parzialmente automatizzati, nonché ai trattamenti manuali che abbiano ad oggetto dati personali contenuti o destinati ad essere contenuti in archivi.
È utile tenere presente, nell’approcciarsi al regolamento, che uno degli obiettivi di fondo avuto di mira dal legislatore europeo nel delineare i confini di applicazione del GDPR è stato quello di creare una struttura giuridica stabile in grado di affrontare e superare i possibili (e probabili) tentativi di elusione delle regole di nuova introduzione. E, come punto di partenza per raggiungere questo risultato, si è cercato di dare alla protezione dei dati personali un’impostazione neutrale soprattutto sotto il profilo tecnologico, in continua evoluzione e di difficile controllo. Anche alla luce dell’esperienza passata e dei gravi limiti che la precedente normativa ha evidenziato da questo punto di vista, si è ritenuto, infatti, indispensabile fare in modo che la disciplina del Regolamento non venga a dipendere e non sia limitata nella sua applicazione dalle specifiche tecniche utilizzate per le operazioni di trattamento dei dati personali.
Rispetto all’ambito sopra delineato, occorre evidenziare peraltro che lo stesso GDPR introduce alcune deroghe, escludendo espressamente dalla sua portata una serie di trattamenti e, in particolare, quelli effettuati:
- per attività che non rientrano nell’ambito di applicazione del diritto europeo;
- nell’esercizio di attività riguardanti la politica estera e la sicurezza comune dell’UE (disciplinate in modo specifico dal titolo V, capo 2, del Trattato sull’Unione Europea – TUE);
- dalle autorità pubbliche competenti, a fini di prevenzione, indagine, perseguimento di reati ed esecuzione di sanzioni penali (incluse misure di salvaguardia per la sicurezza pubblica), per salvaguardare l’indipendenza della magistratura ed evitare ingerenze da parte delle autorità di controllo in settori particolarmente delicati;
- nell’ambito di attività a carattere esclusivamente personale e domestico da parte di persone fisiche, senza connessioni con attività commerciali o professionali: vale a dire, attività di corrispondenza o creazione di indirizzari ad uso personale, ma anche uso dei social network e simili attività online, sempre per fini personali.
Ipotesi ben diversa, però, è quella di coloro che forniscono i mezzi per trattare i dati personali nell’ambito di attività personali o domestiche (come ad esempio, chi fornisce gli strumenti per scambiare dati tramite i social network), come puntualizzato nel Considerando n. 18 annesso al Regolamento: in questo caso, infatti, il GDPR dovrà trovare piena applicazione.
