Si usano come sinonimi, eppure indicano cose diverse. La privacy è il diritto alla riservatezza della propria vita privata. La protezione dei dati personali invece, è l'insieme di regole che stabilisce come le informazioni che ti identificano possono essere raccolte e usate da altri. Capire la differenza ti aiuta a sapere quali diritti puoi esercitare e verso chi.
Due concetti, due storie
La privacy, come diritto di "essere lasciati soli", nasce in ambito anglosassone: la sua formalizzazione risale al 1890, con l'articolo di Warren e Brandeis sulla Harvard Law Review. È un concetto legato alla sfera intima e alla decisione personale su cosa divulgare di sé.
La protezione dei dati è invece una risposta europea a un problema più moderno ossia la sorveglianza di massa e il trattamento automatizzato delle informazioni. Curiosamente, il GDPR (Regolamento UE 2016/679) non menziona mai la parola "privacy" ma disciplina il trattamento dei dati personali, cioè qualsiasi operazione su informazioni che identificano una persona (nome, email, codice fiscale, IP, dati sanitari, geolocalizzazione).
Riassumendo la privacy è il diritto; la protezione dei dati è la disciplina che lo rende esigibile nell'era digitale. Una differenza pratica aiuta a capire meglio come vengono contraddistinte. Se racconti pubblicamente una tua condizione di salute, non violi la privacy di te stesso ma chi raccoglie quell'informazione in un database deve comunque rispettare le regole sulla protezione dei dati, poiche' si tratta di un dato sensibile (art. 9 GDPR).
Cosa è cambiato col GDPR
Prima del GDPR, in Italia la materia era regolata dalla legge 675/1996 — quella che ha creato il Garante Privacy — e poi dal Codice Privacy (D.Lgs. 196/2003). Il GDPR, applicabile dal 25 maggio 2018, ha cambiato la filosofia della norma:
- Accountability: chi tratta dati non deve solo rispettare regole formali, ma dimostrare di averle rispettate con misure concrete (registro dei trattamenti, DPIA, gestione dei data breach).
- Ambito extraterritoriale: si applica anche a aziende extra-UE che offrono servizi a cittadini europei.
- Diritti espliciti: accesso, rettifica, cancellazione (diritto all'oblio), portabilità e opposizione al trattamento.
- Figure chiave: il titolare del trattamento (chi determina finalità e mezzi del trattamento, art. 4 GDPR), il responsabile (chi tratta dati per conto del titolare) e il Data Protection Officer (DPO), obbligatorio per certe organizzazioni.
- Privacy by design: la protezione dei dati va integrata fin dalla progettazione di prodotti e servizi.
Per i trasferimenti di dati verso gli Stati Uniti, dopo varie vicende, dal 10 luglio 2023 opera il Data Privacy Framework UE-USA, che certifica le aziende americane aderenti come conformi al GDPR.
Perché conta per te, in pratica
Conoscere questa distinzione ti dà leve concrete. Se un'azienda usa i tuoi dati in modo improprio, non puoi appellarti alla "privacy" in senso vago: puoi esercitare diritti precisi verso un titolare preciso, con reclamo al Garante come estrema ratio. La legge ti mette in mano gli strumenti, ma sei tu a doverli usare, e usarli bene richiede metodo più che conoscenza giuridica.
E quando scegli servizi alternativi, il quadro normativo europeo pesa. Provider come Proton o Tuta hanno costruito la loro intera architettura sulla protezione dei dati in senso europeo: dati cifrati, server UE o Svizzera, minimizzazione della raccolta. Servizi di rimozione dati come Incogni esistono proprio per esercitare in modo automatizzato i diritti di cancellazione che il GDPR ti riconosce. Sono tutti pezzi dello stesso puzzle e nei prossimi dieci consigli pratici per proteggere la tua privacy online li rimetteremo insieme, passo per passo. passo per passo.