Glossario sulla protezione dei dati

Un principio fondamentale del GDPR volto a garantire che i titolari del trattamento siano responsabili di dimostrare, nella pratica, il rispetto dei principi di protezione dei dati. La responsabilità richiede che le organizzazioni mettano in atto meccanismi interni e sistemi di controllo che garantiscano la conformità e forniscano prove, quali rapporti di audit, documentazione e registrazioni, per dimostrare la conformità alle autorità di controllo e agli interessati.

Una decisione di adeguatezza è un atto con cui la Commissione europea stabilisce che un paese terzo o un’organizzazione internazionale garantisce un livello di protezione dei dati sostanzialmente equivalente a quello dell’UE. Le decisioni di adeguatezza consentono il trasferimento dei dati personali verso tale paese senza ulteriori garanzie, quali le clausole contrattuali tipo; la Commissione europea le riesamina periodicamente e può revocarle qualora le misure di protezione dovessero indebolirsi.

L’Ufficio per l’IA è l’organismo della Commissione europea incaricato di vigilare sull’applicazione della legge dell’UE sull’IA e di garantirne il rispetto, in particolare per quanto riguarda i modelli di IA a uso generale e il coordinamento transfrontaliero. L’Ufficio per l’IA fornisce supporto alle autorità nazionali, pubblica linee guida, indaga sui casi di non conformità e può infliggere sanzioni ai fornitori di modelli di IA a uso generale che violano i propri obblighi, collaborando con il Rappresentante dell’UE per l’IA, che funge da punto di contatto per i fornitori extra-UE.

La rimozione o la trasformazione irreversibile dei dati personali in modo tale che le persone non possano più essere identificate, né direttamente né indirettamente. La vera anonimizzazione interrompe in modo definitivo il legame tra dati e identità, il che significa che i dati esulano dall’ambito di applicazione delle normative sulla protezione dei dati. Ottenere una vera anonimizzazione è tecnicamente complesso e richiede di prendere in considerazione tutti i metodi di reidentificazione ragionevolmente disponibili.

Per “processo decisionale automatizzato” si intende una decisione relativa a un interessato, presa esclusivamente con mezzi automatizzati, senza un coinvolgimento umano significativo, che produce effetti giuridici o di analoga rilevanza. Ai sensi dell’articolo 22 del GDPR, le persone hanno il diritto di non essere soggette a decisioni puramente automatizzate nella maggior parte dei casi, e le organizzazioni che si avvalgono di eccezioni limitate, quali il consenso, devono comunque garantire la possibilità di ottenere una revisione umana e di contestare l’esito, in particolare quando la decisione comporta la profilazione.

Politiche interne in materia di protezione dei dati adottate da organizzazioni internazionali o gruppi multinazionali che consentono il trasferimento legittimo di dati personali tra diverse entità all'interno dello stesso gruppo societario. Le norme vincolanti d'impresa (Binding Corporate Rules ) forniscono un quadro giuridicamente vincolante che garantisce standard coerenti di protezione dei dati in tutte le entità del gruppo e richiedono l'approvazione delle autorità garanti della protezione dei dati.

Dati personali derivanti da specifici trattamenti tecnici delle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica, quali impronte digitali, scansioni dell’iride, dati relativi al riconoscimento facciale, modelli vocali e DNA. I dati biometrici sono generalmente considerati una categoria speciale di dati che richiede una protezione rafforzata e una giustificazione giuridica specifica per il loro trattamento.

Nel 2018 è stata approvata in California una legge statunitense sulla privacy che garantisce ai residenti dello Stato diritti in merito alle proprie informazioni personali, tra cui il diritto di sapere quali dati vengono raccolti, il diritto alla cancellazione dei dati, il diritto di opporsi alla vendita dei dati e il diritto alla non discriminazione. Il CCPA si applica alle imprese a scopo di lucro che raccolgono informazioni personali dai residenti della California e che soddisfano specifici requisiti relativi al fatturato o al volume dei dati.

La modifica e l’estensione del CCPA, approvate in California nel 2020, hanno introdotto nuovi diritti per i consumatori, tra cui il diritto di correggere i propri dati personali, il diritto di limitare l’uso dei dati personali sensibili e i diritti relativi al processo decisionale automatizzato. Il CPRA ha istituito l’Agenzia per la tutela della privacy della California con il compito di far rispettare la normativa sulla privacy e di applicare sanzioni in caso di violazioni.

Una segnalazione formale presentata a un'autorità garante della protezione dei dati o a un'autorità di controllo da parte di un individuo che sostiene che un'organizzazione abbia violato i propri diritti in materia di protezione dei dati. Le autorità garanti della protezione dei dati hanno il potere di indagare sui reclami e di garantire il rispetto della normativa attraverso indagini, provvedimenti e sanzioni.

Un principio del GDPR che impone la protezione dei dati personali da accessi non autorizzati o accidentali, dalla divulgazione o dall’uso improprio. La riservatezza garantisce che solo le persone autorizzate possano accedere ai dati personali, imponendo alle organizzazioni di attuare misure di sicurezza tecniche e organizzative durante l’intero ciclo di vita dei dati.

La valutazione di conformità è il processo utilizzato per verificare che un sistema di intelligenza artificiale ad alto rischio soddisfi i requisiti della legge dell’UE sull’IA prima della sua immissione sul mercato. Le valutazioni di conformità possono essere effettuate internamente dal fornitore o esternamente da un organismo notificato, a seconda della categoria del sistema di intelligenza artificiale, e danno luogo al marchio CE e alla dichiarazione di conformità UE.

Autorizzazione concessa liberamente, specifica, informata e inequivocabile al trattamento dei dati personali per finalità definite. Richiede che gli interessati comprendano ciò a cui stanno acconsentendo, come saranno utilizzati i loro dati e che possano revocare il consenso in qualsiasi momento. Il consenso deve essere autenticamente volontario e non può costituire una condizione per servizi non correlati.

L’organizzazione o la persona fisica che determina le finalità, i mezzi e le modalità del trattamento dei dati personali. I titolari del trattamento hanno la responsabilità primaria della conformità e devono garantire il rispetto di tutti i principi in materia di protezione dei dati, tra cui la liceità, la trasparenza, la sicurezza e i diritti degli interessati.

Un incidente in cui i dati personali vengono consultati, utilizzati o divulgati senza autorizzazione, oppure vengono accidentalmente o illecitamente distrutti, smarriti o alterati. Le organizzazioni devono valutare le violazioni e informare le parti interessate. Se una violazione può comportare un rischio per i diritti delle persone, è necessario informare le autorità e le persone interessate.

Il principio prevede che vengano raccolti e trattati solo i dati personali adeguati, pertinenti e necessari per finalità specifiche. La minimizzazione dei dati impedisce una raccolta eccessiva di dati e riduce i rischi per la privacy, limitando la quantità di informazioni personali detenute da un’organizzazione.

Un contratto scritto tra un titolare del trattamento e un responsabile del trattamento che specifica la natura, l'ambito e le finalità del trattamento, gli obblighi in materia di sicurezza, i diritti degli interessati e i requisiti di riservatezza. Gli accordi sul trattamento dei dati sono obbligatori per legge quando un titolare del trattamento incarica un responsabile del trattamento di gestire i dati personali per suo conto.

Un ente pubblico indipendente (detto anche “autorità di controllo”) incaricato di vigilare sul rispetto della normativa in materia di protezione dei dati, di esaminare i reclami e di tutelare i diritti delle persone fisiche. Le autorità di protezione dei dati dispongono di poteri investigativi ed esecutivi, tra cui la pubblicazione di linee guida, lo svolgimento di verifiche e l’irrogazione di sanzioni.

La protezione dei dati fin dalla fase di progettazione e per impostazione predefinita è un obbligo previsto dal GDPR che impone alle organizzazioni di integrare nei sistemi, sin dall’inizio, misure di tutela dei dati e di garantire che, per impostazione predefinita, vengano trattati solo i dati personali necessari per una finalità specifica. L’articolo 25 del GDPR applica tale principio sia alla progettazione tecnica dei sistemi sia alle impostazioni predefinite degli utenti, e si affianca ai principi fondamentali di “Privacy by Design” e di “minimizzazione dei dati” in quanto principi fondamentali di responsabilità.

È necessaria un’analisi strutturata quando un’organizzazione pianifica attività di trattamento che comportano un rischio elevato per i diritti e le libertà individuali. Le valutazioni d’impatto sulla protezione dei dati individuano i rischi potenziali, ne valutano la probabilità e la gravità e documentano le misure attuate per mitigarli. Dimostrano la responsabilità dell’organizzazione e aiutano le organizzazioni a mettere in atto misure di tutela della privacy sin dall’inizio del progetto.

Un esperto indipendente nominato dalle organizzazioni per vigilare sul rispetto della normativa in materia di protezione dei dati e fungere da punto di contatto con le autorità competenti in materia. I responsabili della protezione dei dati monitorano la conformità, tengono i registri relativi al trattamento dei dati, gestiscono le richieste dei singoli e forniscono consulenza sugli obblighi in materia di protezione dei dati. In molte giurisdizioni, le autorità pubbliche e le organizzazioni che trattano grandi volumi di dati sono tenute a nominare un responsabile della protezione dei dati.

Il periodo di tempo durante il quale le organizzazioni possono conservare i dati personali. Le normative in materia di protezione dei dati prevedono che i dati personali siano conservati solo per il tempo necessario alle finalità per cui sono stati raccolti. Le organizzazioni devono stabilire e documentare i tempi di conservazione e provvedere alla cancellazione sicura o all’anonimizzazione dei dati una volta scaduto il periodo di conservazione.

Un accordo di condivisione dei dati è un contratto tra due o più titolari del trattamento che definisce le finalità, l’ambito di applicazione e le condizioni alle quali i dati personali saranno condivisi tra di loro. A differenza di un accordo sul trattamento dei dati, un accordo di condivisione dei dati disciplina la condivisione tra titolari del trattamento indipendenti, compresi i contitolari, e in genere riguarda la sicurezza, la conservazione e le modalità con cui ciascuna parte gestirà le richieste degli interessati.

Qualsiasi persona fisica identificata o identificabile a cui si riferiscono i dati personali. Gli interessati godono di diritti specifici ai sensi delle leggi sulla protezione dei dati, tra cui il diritto di accedere ai propri dati, di rettificare informazioni inesatte, di opporsi al trattamento e di richiederne la cancellazione. Le organizzazioni devono riconoscere e rispettare i diritti degli interessati in tutte le loro pratiche di trattamento dei dati.

Una richiesta formale presentata da una persona fisica a un’organizzazione in merito ai propri dati personali. Le richieste degli interessati comprendono quelle relative all’accesso, alla rettifica, alla cancellazione, all’opposizione e alla portabilità dei dati . Le organizzazioni devono disporre di procedure per ricevere, verificare e rispondere alle richieste degli interessati entro i termini previsti dalla legge.

Il trasferimento transfrontaliero dei dati personali, in particolare al di fuori della giurisdizione in cui sono stati raccolti. I trasferimenti di dati verso paesi privi di un quadro normativo adeguato in materia di protezione dei dati richiedono meccanismi giuridici quali le clausole contrattuali tipo, le norme aziendali vincolanti o le decisioni di adeguatezza, al fine di garantire che i dati continuino a essere adeguatamente protetti.

Il Digital Services Act è un regolamento dell'UE (2022/2065) che stabilisce norme per le piattaforme online, i marketplace e i servizi di intermediazione in materia di moderazione dei contenuti, trasparenza e sicurezza degli utenti. Il DSA si intreccia con la normativa sulla protezione dei dati per quanto riguarda la pubblicità mirata e la profilazione dei sistemi di raccomandazione, prevedendo obblighi più rigorosi per le piattaforme online e i motori di ricerca di dimensioni molto grandi. 

Il marketing diretto consiste nella diffusione di materiale pubblicitario a soggetti specifici tramite posta, telefono, e-mail o altri mezzi elettronici. È disciplinato sia dai requisiti relativi alle basi giuridiche previsti dal GDPR, sia da norme specifiche in materia di e-privacy, quali il PECR, che in genere richiedono il consenso preventivo per il marketing elettronico e prevedono sempre il diritto di opposizione. 

La normativa dell'UE (2009/136/CE) integra le norme sulla protezione dei dati affrontando il tema della riservatezza delle comunicazioni elettroniche e disciplinando l'uso dei cookie. La direttiva ePrivacy richiede il consenso prima di memorizzare informazioni sui dispositivi degli utenti e limita l'uso dei dati personali per finalità di marketing elettronico.

Il Comitato europeo per la protezione dei dati (EDPB) rappresenta tutte le autorità di protezione dei dati degli Stati membri dell’UE ed è responsabile di garantire un’applicazione coerente della normativa in materia di protezione dei dati in tutta l’Unione europea. L’EDPB emana linee guida e pareri che forniscono un’interpretazione autorevole dei requisiti in materia di protezione dei dati. Il Garante europeo della protezione dei dati (EDPS) vigila sul rispetto delle norme in materia di protezione dei dati all’interno delle istituzioni dell’UE.

Il diritto delle persone fisiche di chiedere alle organizzazioni la cancellazione dei propri dati personali. Conosciuto anche come“diritto all’oblio”, tale diritto si applica quando i dati non sono più necessari per la finalità originaria, quando l’interessato revoca il consenso, quando si oppone al trattamento o quando i dati sono stati trattati in modo illecito. Sono previste eccezioni in caso di obblighi di legge e per altre finalità legittime.

Regolamento UE (2024/1689) che istituisce un quadro giuridico completo per i sistemi di intelligenza artificiale utilizzati nell’UE. L’AI Act classifica i sistemi di intelligenza artificiale in base al livello di rischio e impone requisiti per i sistemi ad alto rischio, tra cui documentazione, trasparenza, supervisione umana e valutazioni d’impatto. Il regolamento affronta i rischi specifici legati all’intelligenza artificiale per i diritti e le libertà fondamentali, compresa la privacy. Le pratiche di IA vietate sono entrate in vigore il 2 febbraio 2025, mentre i requisiti più ampi relativi ai sistemi ad alto rischio si applicano a partire dall’agosto 2026.

Il rappresentante UE per l’IA è un referente locale nell’Unione europea nominato dai fornitori di sistemi di IA ad alto rischio che non dispongono di una sede nell’UE. Previsto dall’articolo 54 della legge UE sull’IA, tale ruolo rispecchia l’obbligo di nomina di un rappresentante UE ai sensi dell’articolo 27 del GDPR: gestisce le comunicazioni con l’Ufficio per l’IA e con le autorità nazionali di vigilanza del mercato e tiene a disposizione la documentazione tecnica richiesta ai fini delle ispezioni. 

Il rappresentante nell'UE è un referente locale nell'Unione europea nominato da un titolare del trattamento o da un responsabile del trattamento che non dispone di una sede nell'UE e che tratta i dati personali di persone residenti nell'UE. Ai sensi dell'articolo 27 del GDPR, il rappresentante nell'UE gestisce la corrispondenza con le autorità di protezione dei dati e gli interessati e conserva una copia del registro delle attività di trattamento dell'organizzazione; tuttavia, la sua nomina non riduce la responsabilità legale del titolare del trattamento.

Una valutazione d’impatto sui diritti fondamentali (FRIA) è una valutazione obbligatoria che alcuni gestori di sistemi di intelligenza artificiale ad alto rischio sono tenuti a effettuare ai sensi della legge dell’UE sull’IA, al fine di individuare i rischi che il sistema comporta per i diritti fondamentali delle persone. Una FRIA esamina le modalità di utilizzo del sistema, le persone che potrebbero esserne interessate e le misure di salvaguardia e di supervisione umana previste, svolgendo un ruolo simile a quello di una valutazione d’impatto sulla protezione dei dati, ma incentrata sulla legge sull’IA piuttosto che sul GDPR.

Il principale regolamento in materia di protezione dei dati nell’Unione Europea, in vigore dal 2018, disciplina il trattamento dei dati personali e tutela i diritti degli interessati nell’UE. Il GDPR si applica alle organizzazioni che trattano i dati personali dei residenti nell’UE, indipendentemente dalla sede dell’organizzazione, e stabilisce requisiti in materia di liceità, trasparenza, sicurezza, diritti individuali e responsabilità.

Un modello di IA a uso generico è un modello di IA addestrato su un ampio corpus di dati su larga scala, in grado di svolgere una vasta gamma di compiti e di essere integrato in numerose applicazioni a valle. Ai sensi della legge dell’UE sull’IA, i fornitori di modelli di IA a uso generico sono soggetti a obblighi di trasparenza, mentre i modelli classificati come fonte di “rischio sistemico” sono soggetti a ulteriori requisiti in materia di valutazione, collaudo e segnalazione degli incidenti, sotto la supervisione dell’Ufficio per l’IA. 

La legge federale degli Stati Uniti tutela la privacy e la sicurezza delle informazioni sanitarie nel settore sanitario. La legge HIPAA si applica ai soggetti interessati (operatori sanitari, piani sanitari, centri di elaborazione dati sanitari) e ai loro partner commerciali. Prevede misure di protezione per le informazioni sanitarie protette, il diritto dei singoli di accedere e modificare tali informazioni, nonché obblighi di notifica in caso di violazioni.

Un sistema di IA ad alto rischio è un sistema di IA che la legge dell’UE sull’IA classifica come fonte di rischio significativo per la salute, la sicurezza o i diritti fondamentali, come ad esempio i sistemi utilizzati nel reclutamento, nella valutazione del merito creditizio, nelle attività di contrasto o nelle infrastrutture critiche. I sistemi di IA ad alto rischio devono essere sottoposti a una valutazione di conformità e a una valutazione d’impatto sui diritti fondamentali prima di essere immessi sul mercato, oltre a soddisfare i requisiti in materia di gestione del rischio, governance dei dati, documentazione tecnica e supervisione umana.

Norma internazionale relativa ai sistemi di gestione della sicurezza delle informazioni. La norma ISO/IEC 27001 specifica i requisiti per l’istituzione, l’attuazione, il mantenimento e il miglioramento di un sistema di gestione della sicurezza delle informazioni. Le organizzazioni possono ottenere la certificazione dimostrando la conformità ai controlli di sicurezza e ai requisiti gestionali previsti dalla norma, che garantiscono il rispetto delle norme in materia di protezione dei dati.

Una norma internazionale che fornisce linee guida e raccomandazioni relative ai controlli di gestione della sicurezza delle informazioni. La norma ISO/IEC 27002 offre indicazioni dettagliate sull’attuazione dei controlli richiesti dalla norma ISO/IEC 27001, comprese misure specifiche per la protezione dei dati, il controllo degli accessi, la crittografia, la gestione degli incidenti e la sensibilizzazione alla sicurezza.

Standard internazionale che amplia gli standard ISO/IEC 27001 e 27002 per affrontare in modo specifico la gestione della privacy. Lo standard ISO/IEC 27701 fornisce requisiti e linee guida per la gestione dei dati personali attraverso sistemi di gestione delle informazioni sulla privacy (PIMS), favorendo la conformità alle normative sulla protezione dei dati quali il GDPR, il CCPA, la LGPD e altri quadri normativi simili. Aiuta le organizzazioni a integrare gli aspetti relativi alla privacy nei propri programmi più ampi di sicurezza delle informazioni ed è il primo standard internazionale specifico per la gestione delle informazioni sulla privacy.

I titolari congiunti del trattamento sono due o più titolari che determinano congiuntamente le finalità e le modalità del trattamento degli stessi dati personali. Ai sensi dell’articolo 26 del GDPR, i titolari congiunti del trattamento devono definire le rispettive responsabilità in materia di conformità in un accordo trasparente, spesso formalizzato mediante un accordo di condivisione dei dati, e gli interessati possono esercitare i propri diritti nei confronti di ciascuna delle parti, indipendentemente dall’accordo interno. 

Il GDPR si basa su principi fondamentali quali la liceità, la correttezza, la trasparenza, la limitazione delle finalità, la minimizzazione dei dati, l’accuratezza, la limitazione della conservazione, l’integrità, la riservatezza e la responsabilità.

Prima di procedere al trattamento di qualsiasi dato personale è necessario disporre di una giustificazione giuridica. Le normative in materia di protezione dei dati specificano in genere diverse basi giuridiche, quali il consenso, la necessità contrattuale, l’obbligo di legge, la tutela di interessi vitali, l’esercizio di funzioni pubbliche e gli interessi legittimi. Ogni operazione di trattamento dei dati personali deve rientrare in almeno una di queste basi giuridiche.

Una delle diverse basi giuridiche per il trattamento dei dati personali nei casi in cui l’organizzazione o una terza parte persegua interessi commerciali legittimi che non prevalgano sui diritti e sulle libertà delle persone fisiche. Il trattamento basato su interessi legittimi richiede un bilanciamento tra gli interessi dell’organizzazione e le aspettative delle persone fisiche in materia di privacy e deve essere necessario e proporzionato.

Una valutazione degli interessi legittimi è un esame documentato che le organizzazioni effettuano prima di fare ricorso agli interessi legittimi come base giuridica per il trattamento dei dati personali. Tale valutazione comprende un esame delle finalità, un esame della necessità e un esame di bilanciamento rispetto ai diritti dell’interessato; la conservazione di una traccia della valutazione sostiene il principio di responsabilità nel caso in cui la base giuridica venga successivamente contestata.

La Legge generale sulla protezione dei dati del Brasile, in vigore dal 2020, tutela i diritti degli interessati brasiliani e si applica alle organizzazioni che trattano i dati personali dei residenti in Brasile. La LGPD presenta una struttura simile a quella del GDPR, prevedendo basi giuridiche per il trattamento, diritti individuali, misure di sicurezza e responsabilità. Si applica al trattamento dei dati personali di persone fisiche che si trovano in Brasile o effettuato in Brasile.

Una persona fisica è un essere umano vivente, da distinguersi da una persona giuridica, come ad esempio una società o un'organizzazione. La normativa sulla protezione dei dati tutela specificamente i dati personali delle persone fisiche; le persone decedute e le informazioni di natura puramente aziendale non rientrano generalmente nel suo ambito di applicazione.

La direttiva NIS2 è una normativa dell’Unione europea (2022/2555) che rafforza i requisiti di sicurezza informatica per le organizzazioni operanti in settori critici e importanti, sostituendo la direttiva NIS originaria. La direttiva NIS2 prevede misure di gestione dei rischi e l’obbligo di segnalazione degli incidenti e si sovrappone sempre più agli obblighi in materia di riservatezza e notifica delle violazioni dei dati previsti dal GDPR per le organizzazioni soggette a entrambi i regimi; spesso viene valutata parallelamente alla certificazione ISO/IEC 27001. 

Il diritto di opposizione consente alle persone di opporsi al trattamento dei propri dati personali effettuato a fini di marketing diretto, per interessi legittimi o nell’ambito di un incarico di pubblico servizio. Qualora una persona si opponga al marketing diretto, il trattamento deve cessare immediatamente e senza eccezioni; per le altre basi giuridiche, il titolare del trattamento deve interrompere il trattamento a meno che non possa dimostrare l’esistenza di motivi legittimi e imperativi che prevalgano sugli interessi dell’interessato. 

Il PECR è il regolamento britannico che attua la Direttiva sulla privacy elettronica (E-Privacy Directive) e disciplina il marketing elettronico, i cookie e le tecnologie di tracciamento simili. Il PECR si applica in combinazione con il Data Protection Act 2018 del Regno Unito e, in linea di massima, richiede il consenso prima di memorizzare informazioni sul dispositivo di un utente o di inviare comunicazioni di marketing elettronico.

Qualsiasi informazione relativa a una persona fisica identificata o identificabile. La definizione è ampia e comprende nomi, numeri di identificazione, dati relativi all’ubicazione, identificatori online, indirizzi e-mail, indirizzi IP e qualsiasi altra informazione che identifichi direttamente o indirettamente una persona o che possa identificarla se combinata con altri dati.

La legge federale canadese sulla privacy disciplina le modalità con cui le organizzazioni del settore privato raccolgono, utilizzano e divulgano i dati personali. Il PIPEDA si applica alle imprese a scopo di lucro che svolgono attività commerciali e sancisce i diritti degli individui, tra cui l’accesso ai dati, l’accuratezza, il consenso e i meccanismi di reclamo. Le province canadesi hanno emanato leggi simili in materia di privacy che garantiscono tutele sostanzialmente equivalenti.

Il diritto alla portabilità dei dati consente agli interessati di ricevere i dati personali che hanno fornito a un titolare del trattamento in un formato strutturato e leggibile da dispositivo automatico e, ove possibile, di farli trasmettere direttamente a un altro titolare del trattamento. Esso si applica solo nei casi in cui il trattamento sia basato sul consenso o su un contratto e sia effettuato con mezzi automatizzati, a differenza del diritto di accesso, che si applica indipendentemente dalla base giuridica.

Un principio secondo cui le organizzazioni devono integrare gli aspetti relativi alla protezione dei dati nella tecnologia, nei sistemi e nei processi aziendali sin dalle prime fasi di sviluppo. Il concetto di “privacy by design” prevede l’integrazione delle misure di tutela della privacy nelle fondamenta del progetto, anziché limitarsi ad adeguarsi alle norme di conformità a posteriori, dopo l’implementazione.

Un’organizzazione o un soggetto che tratta dati personali per conto di un titolare del trattamento. I responsabili del trattamento devono attenersi alle istruzioni del titolare e adottare misure di sicurezza adeguate. I responsabili del trattamento agiscono in base a contratti scritti che specificano l’ambito del trattamento e gli obblighi in materia di sicurezza.

La profilazione è il trattamento automatizzato dei dati personali utilizzato per valutare aspetti personali di un individuo, quali la previsione del suo comportamento, delle sue preferenze, del suo stato di salute o della sua situazione economica. La profilazione è soggetta a una regolamentazione più rigorosa quando rientra in un processo decisionale automatizzato che produce effetti giuridici o di importanza analoga.

Una pratica vietata in materia di IA è un utilizzo dell’IA che la legge dell’UE sull’IA vieta categoricamente poiché il rischio per le persone è ritenuto inaccettabile, come ad esempio il “social scoring” da parte delle autorità pubbliche e l’IA che manipola il comportamento al fine di causare danni. Le pratiche vietate sono entrate in vigore il 2 febbraio 2025, con largo anticipo rispetto alle scadenze più generali relative alla conformità dei sistemi di IA ad alto rischio.

Il trattamento dei dati personali in modo tale da impedirne l'identificazione diretta senza ricorrere a informazioni aggiuntive conservate separatamente e protette. A differenza dell'anonimizzazione, la pseudonimizzazione è reversibile; se si ha accesso alle informazioni di collegamento, è possibile reidentificare gli individui. I dati pseudonimizzati rimangono dati personali, ma presentano rischi ridotti per la privacy.

Per “destinatario” si intende qualsiasi persona fisica o giuridica, autorità pubblica o altro ente a cui vengono comunicati i dati personali, indipendentemente dal fatto che si tratti o meno di una terza parte. La definizione di “destinatario” ai sensi del GDPR è ampia e comprende altri titolari del trattamento e responsabili del trattamento, distinguendosi così dal concetto più ristretto di “terza parte”.

Documentazione tenuta dai titolari e dai responsabili del trattamento dei dati, che descrive in dettaglio tutte le attività di trattamento dei dati personali. Il ROPA deve includere informazioni relative alle finalità del trattamento, alle categorie di dati personali trattati, ai destinatari dei dati, ai periodi di conservazione e alle misure di sicurezza tecniche e organizzative. Il ROPA funge da prova della responsabilità e del rispetto degli obblighi in materia di protezione dei dati.

Il diritto alla limitazione del trattamento consente agli interessati di limitare l’utilizzo dei propri dati personali in situazioni specifiche, ad esempio quando ne viene contestata l’esattezza o mentre è in corso l’esame di un’opposizione. Qualora il trattamento sia limitato, i dati possono comunque essere conservati ma non possono essere altrimenti trattati senza il consenso, salvo che per l’esercizio di diritti legali.

Il diritto delle persone a richiedere e ricevere una copia dei propri dati personali in possesso di un’organizzazione, insieme alle informazioni relative alle modalità di trattamento degli stessi. Le organizzazioni sono tenute a rispondere alle richieste di accesso entro i termini stabiliti, fornendo di norma i dati in un formato elettronico di uso comune.

Il diritto delle persone fisiche di richiedere la rettifica dei dati personali inesatti. Le organizzazioni devono rettificare le informazioni inesatte senza indebito ritardo e, ove possibile, informare della rettifica i terzi che hanno ricevuto i dati inesatti.

Essendo una categoria più ampia rispetto aquella dei “dati di categoria speciale”,le informazioni personali sensibili comprendono i dati che richiedono una protezione rafforzata ai sensi delle normative in materia di protezione dei dati. Tra gli esempi figurano le informazioni sanitarie, i dati finanziari, i dati biometrici, i dati comportamentali, le informazioni genetiche e i numeri di previdenza sociale. Il trattamento delle informazioni personali sensibili richiede in genere il consenso esplicito o altre giustificazioni giuridiche specifiche.

I dati di categoria speciale sono dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose, l'appartenenza sindacale, i dati biometrici utilizzati a fini di identificazione, i dati relativi alla salute o quelli riguardanti la vita sessuale o l'orientamento sessuale. Il trattamento dei dati di categoria speciale è vietato per principio e richiede sia una base giuridica standard sia una condizione specifica ai sensi dell'articolo 9, come il consenso esplicito — una categoria più ristretta rispetto a quella delle informazioni personali sensibili. 

Clausole contrattuali preapprovate che autorizzano il trasferimento di dati personali da una giurisdizione all’altra, laddove le leggi in materia di protezione dei dati possano differire. Le clausole contrattuali standard costituiscono una base giuridica per i trasferimenti internazionali in assenza di una decisione di adeguatezza, sebbene le organizzazioni debbano effettuare valutazioni d’impatto per identificare e mitigare i rischi specifici di ciascun Paese.

Un sub-responsabile del trattamento è un soggetto terzo incaricato da un responsabile del trattamento di svolgere attività di trattamento per conto del titolare del trattamento. Ai sensi dell’articolo 28 del GDPR, il responsabile del trattamento deve ottenere la previa autorizzazione scritta del titolare del trattamento prima di incaricare un sub-responsabile del trattamento e rimane pienamente responsabile nei confronti del titolare del trattamento per il rispetto, da parte del sub-responsabile, dei propri obblighi in materia di protezione dei dati. 

Una richiesta formale da parte di un individuo volta a ottenere una copia dei propri dati personali e informazioni sulle modalità di trattamento degli stessi da parte dell'organizzazione. Le organizzazioni sono tenute a rispondere entro i termini previsti, fornendo tutti i dati personali in loro possesso relativi all'individuo insieme ai dettagli relativi al trattamento.

Un rappresentante svizzero è un referente locale in Svizzera nominato da un titolare del trattamento che non dispone di una sede in Svizzera e che tratta i dati personali di persone residenti in Svizzera. Prevista dall’articolo 14 della FADP svizzera, questa figura è funzionalmente equivalente ai requisiti relativi al rappresentante nell’UE e al rappresentante nel Regno Unito, sebbene sia disciplinata dal diritto svizzero anziché da quello dell’UE.

Qualsiasi paese al di fuori della giurisdizione disciplinata da un quadro normativo in materia di protezione dei dati (ad esempio, al di fuori dell'UE/SEE ai sensi del GDPR). I trasferimenti verso paesi terzi richiedono meccanismi giuridici quali decisioni di adeguatezza, clausole contrattuali tipo o norme aziendali vincolanti per garantire un'adeguata protezione dei dati.

Qualsiasi persona fisica o giuridica diversa dall’interessato, dal titolare del trattamento, dal responsabile del trattamento o dai dipendenti autorizzati a trattare i dati sotto l’autorità del titolare. I terzi possono essere destinatari esterni dei dati o titolari del trattamento indipendenti che prendono autonomamente le proprie decisioni in materia di trattamento.

Tale principio impone alle organizzazioni di fornire alle persone informazioni chiare e accessibili sulle modalità di raccolta, utilizzo e protezione dei loro dati personali. La trasparenza comprende in genere le informative sulla privacy e altre comunicazioni, che aiutano le persone a comprendere le pratiche di trattamento dei dati.

Normativa britannica che attua e integra i requisiti del GDPR nel Regno Unito. Il Data Protection Act 2018 definisce le norme specifiche del Regno Unito in materia di trattamento dei dati, stabilisce il ruolo dell’Information Commissioner’s Office (ICO) ed estende la protezione dei dati ad ambiti non contemplati dal GDPR, tra cui il trattamento dei dati da parte delle forze dell’ordine e la sicurezza nazionale. Si applica alle organizzazioni che trattano i dati personali dei residenti nel Regno Unito.

Un rappresentante nel Regno Unito è un referente locale nel Regno Unito nominato da un titolare del trattamento o da un responsabile del trattamento che non disponga di una sede nel Regno Unito e che tratti i dati personali di persone residenti nel Regno Unito. Prevista dall’equivalente dell’articolo 27 del GDPR del Regno Unito, tale disposizione è entrata in vigore il 1° gennaio 2021, quando il Regno Unito è diventato un paese terzo dal punto di vista dell’UE; ciò significa che la maggior parte delle società non UE deve ora nominare rappresentanti distinti per l’UE e per il Regno Unito, anziché un unico rappresentante combinato.

Sistemi che acquisiscono e archiviano immagini o filmati contenenti dati personali. La videosorveglianza deve essere legittima, necessaria e proporzionata e deve prevedere una chiara segnaletica che informi le persone del fatto che sono oggetto di monitoraggio. L'accesso deve essere limitato al personale autorizzato e la conservazione dei dati deve essere limitata a quanto strettamente necessario.