"La legge sulla privacy". " Ne senti parlare di continuo, ma quasi mai in modo preciso. In Italia la materia si regge su tre pilastri: un regolamento europeo, un codice nazionale e un'autorità indipendente che li fa rispettare. Conoscerli serve a capire chi deve proteggere i tuoi dati, cosa puoi pretendere e a chi rivolgerti quando qualcosa va storto.
Pilastro 1: il GDPR, la regola europea
Il Regolamento UE 2016/679 (GDPR) è la norma di riferimento, applicata dal 25 maggio 2018 in tutta l'Unione Europea. È direttamente applicabile in Italia senza bisogno di leggi di recepimento: stabilisce che cosa sono i dati personali, le basi giuridiche per trattarli, i diritti degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione - artt. 15-22) e i doveri di chi li tratta. Il campo è più ampio di quanto si pensi: oltre a nome e indirizzo, sono dati personali anche email, indirizzo IP, cookie identificativi, dati di geolocalizzazione e preferenze..
Pilastro 2: il Codice Privacy, l'integrazione italiana
Il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003) nasce prima del GDPR, quando disciplinava tutta la materia. Con l'arrivo del regolamento europeo è stato riscritto dal D.Lgs. 101/2018: le norme in contrasto sono state abrogate e oggi il Codice integra il GDPR con disposizioni specifiche italiane: aspetti procedurali, sanzionatori e settori particolari come giornalismo e ricerca scientifica. I codici deontologici verificati dal Garante sono diventati "regole deontologiche" con efficacia normativa.
Pilastro 3: il Garante, chi fa rispettare le regole
Il Garante per la protezione dei dati personali è l'autorità amministrativa indipendente che vigila sull'applicazione delle norme in Italia. Istituito dalla prima legge privacy (n. 675/1996), oggi opera in base agli artt. 57-58 del GDPR e all'art. 154 del Codice. I suoi poteri sono:
- Controllare: ispezioni, accesso a documenti e banche dati
- Decidere i reclami presentati dai cittadini
- Ordinare: rettifica, cancellazione, limitazione o divieto dei trattamenti illeciti
- Sanzionare: multe fino a 20 milioni di euro o al 4% del fatturato annuo mondiale per le violazioni più gravi (10 milioni o 2% per quelle meno gravi), secondo i limiti degli artt. 83 GDPR e 166 Codice Privacy
Come usare tutto questo, in pratica
Il meccanismo a tua disposizione parte sempre dallo stesso punto: il titolare del trattamento, cioè chi decide finalità e modalità del trattamento — che può essere un'azienda, un ente o un professionista (art. 4 GDPR). La strada è a gradini:
- Richiesta diretta al titolare per esercitare i tuoi diritti; deve rispondere entro un mese
- Reclamo al Garante (gratuito, presentabile online su garanteprivacy.it) se non risponde o rifiuta
- Autorità giudiziaria, con eventuale risarcimento del danno.
Un caso concreto di questi poteri in azione: il Garante ha stabilito che le amministrazioni pubbliche non possono usare dati biometrici per rilevare le presenze dei dipendenti, per mancanza di una base giuridica valida. Dimostrazione che l'autorità interviene anche sulla Pubblica Amministrazione, non solo sui privati.
Perché il quadro italiano è un vantaggio
Rispetto ad altri paesi, la combinazione GDPR + Garante attivo dà ai cittadini italiani leve concrete che altrove non esistono. È anche il motivo per cui servizi come Incogni o Optery funzionano meglio in Europa: le richieste di cancellazione che inviano ai data broker poggiano esattamente su questi articoli. E quando scegli strumenti come Proton o Tuta, scegli aziende che rispettano per design un quadro normativo tra i più severi al mondo.