I dati personali sono tutte le informazioni che identificano o rendono identificabile una persona fisica: nome, email, indirizzo IP, numero di targa. I dati sensibili (definiti dal GDPR “categorie particolari di dati personali”) sono un sottoinsieme più ristretto — origine etnica, salute, orientamento sessuale, convinzioni religiose — che richiedono una protezione legale molto più elevata.
La differenza pratica: per trattare dati personali ordinari basta una base giuridica tra le sei previste dall’art. 6 GDPR. Per trattare dati sensibili serve quasi sempre il consenso esplicito oppure specifiche esenzioni previste dall’art. 9, con conseguenze ben più gravi in caso di violazione.
Con l’entrata in vigore del GDPR (Regolamento UE 2016/679), la normativa sulla privacy ha introdotto una distinzione precisa tra le diverse tipologie di dati personali. Non tutti sono uguali dal punto di vista della protezione richiesta. Confonderli — o trattarli nello stesso modo — espone aziende e professionisti a sanzioni fino al 4% del fatturato globale annuo.
Per chi gestisce un sito web, una newsletter o attività di digital marketing, la comprensione di questa distinzione è fondamentale: raccogliere form di contatto, tracciare comportamenti degli utenti o gestire dati sanitari dei clienti sono tutti scenari con requisiti normativi precisi e molto diversi tra loro.
In questa guida troverai definizioni precise, una tabella di confronto immediata e risposte ai casi pratici più frequenti: il codice fiscale è un dato sensibile? E la fotografia di un volto?
Cosa sono i dati personali
Qualsiasi informazione riguardante una persona fisica identificata o identificabile. Si considera identificabile la persona che può essere individuata direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.
In pratica, un dato è personale se — da solo o combinato con altri dati — permette di risalire a una persona fisica specifica. La soglia è volutamente ampia:
- Dati anagrafici: nome, cognome, data e luogo di nascita
- Dati di contatto: numero di telefono, indirizzo email, indirizzo fisico
- Identificativi digitali: indirizzo IP, cookie ID, user ID, dati di geolocalizzazione
- Dati economici: codice fiscale, partita IVA (se riferita a persona fisica), IBAN
- Immagini: fotografie del volto, video che consentono il riconoscimento
- Dati comportamentali: cronologia di navigazione, acquisti, interazioni online
Il concetto chiave è l’identificabilità, non l’identificazione diretta. Anche un indirizzo IP è un dato personale, perché l’ISP può risalire all’intestatario del contratto.
Cosa sono i dati sensibili (categorie particolari)
Il GDPR non usa più il termine “dati sensibili” (proprio del vecchio Codice Privacy italiano) ma parla di categorie particolari di dati personali: quei dati che, per la loro natura, possono creare rischi particolari per i diritti e le libertà fondamentali se trattati illecitamente, favorendo discriminazioni gravi. Il loro trattamento è vietato per default salvo esenzioni specifiche.
L’art. 9 del GDPR elenca tassativamente le 9 categorie particolari:
- Origine razziale o etnica
- Opinioni politiche
- Convinzioni religiose o filosofiche
- Appartenenza sindacale
- Dati genetici (DNA, profilo genetico)
- Dati biometrici quando trattati per identificare univocamente una persona (impronte digitali, riconoscimento facciale)
- Dati relativi alla salute (diagnosi, cartelle cliniche, esenzioni, invalidità)
- Vita sessuale
- Orientamento sessuale
Il trattamento di queste categorie è vietato per default dall’art. 9 GDPR. Per renderlo lecito occorre rientrare in una delle esenzioni tassative previste dallo stesso articolo — nella maggior parte dei contesti commerciali, si richiede il consenso esplicito dell’interessato.
Differenza: tabella di confronto immediata
| Caratteristica | Dati Personali | Dati Sensibili (cat. particolari) |
|---|---|---|
| Riferimento normativo | Art. 4 n. 1 GDPR | Art. 9 GDPR |
| Definizione | Qualsiasi info che identifica una persona fisica | Sottocategoria ad alto rischio di discriminazione |
| Esempi | Nome, email, IP, targa, IBAN | Stato di salute, DNA, orientamento sessuale, etnia |
| Trattamento di default | Ammesso con base giuridica | Vietato salvo esenzioni art. 9 |
| Base giuridica necessaria | Una tra le 6 basi dell’art. 6 (contratto, consenso, legittimo interesse…) | Consenso esplicito o altra esenzione specifica art. 9 |
| Misure di sicurezza | Adeguate al rischio (art. 32) | Rafforzate; DPIA quasi sempre obbligatoria |
| Data breach | Notifica al Garante se rischio elevato | Notifica quasi sempre obbligatoria; maggiori rischi sanzionatori |
Esempi pratici: cosa è personale e cosa è sensibile
Il confine non è sempre intuitivo. Ecco i casi concreti più frequenti che generano dubbi:
- Nome e cognome
- Indirizzo email aziendale o personale
- Numero di telefono
- Indirizzo IP
- Data di nascita
- Fotografia del volto (senza riconoscimento biometrico)
- Indirizzo di residenza
- Codice fiscale, IBAN
- Diagnosi medica o cartella clinica
- Certificato di invalidità o esenzione ticket
- Dati genetici (test del DNA)
- Impronte digitali per identificazione
- Scansione facciale per accesso biometrico
- Appartenenza a un sindacato
- Orientamento sessuale dichiarato
- Origine etnica rilevata da documenti
Il codice fiscale è un dato sensibile?
È una delle domande più frequenti, e la risposta è no: il codice fiscale è un dato personale ordinario, non una categoria particolare ai sensi dell’art. 9 GDPR.
Il codice fiscale identifica in modo univoco una persona fisica (nome, cognome, data e luogo di nascita, sesso sono codificati nell’algoritmo), quindi rientra senza dubbio nella definizione di dato personale. Ma non appartiene alle 9 categorie particolari elencate dall’art. 9, che riguardano salute, genetica, etnia e orientamento sessuale.
Questo non significa che si possa trattare superficialmente: richiede comunque una base giuridica (tipicamente il contratto o l’obbligo legale), misure di sicurezza adeguate e una corretta informativa privacy.
La stessa logica vale per l’IBAN (dato personale, non sensibile) e per la fotografia del volto quando viene semplicemente visualizzata. Quest’ultima diventa categoria particolare solo quando viene processata con tecnologie di riconoscimento biometrico per identificare univocamente la persona.
Come trattarli correttamente: le regole chiave
- Individuare e documentare la base giuridica (art. 6 GDPR) prima di iniziare il trattamento
- Redigere e rendere disponibile una informativa privacy chiara (art. 13-14 GDPR)
- Applicare il principio di minimizzazione: raccogliere solo i dati strettamente necessari
- Definire e rispettare i tempi di conservazione (retention policy)
- Adottare misure di sicurezza tecniche e organizzative adeguate al rischio (art. 32)
- Nominare il fornitore come responsabile del trattamento (art. 28) se tratta i dati per tuo conto
Un aspetto spesso sottovalutato del trattamento dei dati personali online riguarda i cookies: molti siti li installano senza un consenso valido, esponendosi a sanzioni. Per capire quali tipi di cookie richiedono il consenso, come implementare un banner conforme e come gestire la cookie policy, leggi la nostra guida completa su cosa sono i cookies e come gestirli.
- Verificare di rientrare in una delle esenzioni dell’art. 9 comma 2: nella maggior parte dei contesti commerciali serve il consenso esplicito, non sufficiente il consenso generico
- Valutare se il trattamento richiede una Valutazione d’Impatto (DPIA) ex art. 35 GDPR — quasi sempre sì per dati sanitari, biometrici e genetici
- Prevedere misure di sicurezza rafforzate: cifratura, accesso strettamente limitato, pseudonimizzazione
- Tenere un Registro dei Trattamenti (art. 30) con indicazione specifica del tipo di categoria particolare trattata
- Valutare se è obbligatoria la nomina di un DPO (Data Protection Officer)
Quando dati personali o sensibili finiscono indicizzati su Google senza consenso, il GDPR garantisce strumenti concreti per intervenire: dal diritto all’oblio alla deindicizzazione tecnica. Per una panoramica completa dei metodi disponibili, consulta la guida su come eliminare risultati da Google a tutela della reputazione online.
La gestione dei dati personali diventa particolarmente delicata quando si affidano attività aziendali a partner esterni: nell’ecommerce outsourcing, ad esempio, è essenziale nominare i fornitori come responsabili del trattamento e verificare che le misure di sicurezza siano adeguate lungo tutta la catena operativa.
Creiamo articoli, guide e contenuti web che spiegano concetti complessi in modo semplice e ottimizzato per la ricerca. Privacy, GDPR, normativa: ne parliamo con chiarezza.
Scopri il nostro servizioDomande frequenti
I dati personali comprendono tutte le informazioni che identificano una persona (nome, email, IP, targa). I dati sensibili — che il GDPR chiama “categorie particolari” — sono un sottoinsieme specifico: salute, genetica, biometria, etnia, religione, orientamento sessuale. Tutti i dati sensibili sono anche dati personali, ma non viceversa. Il regime di protezione è molto più stringente per le categorie particolari: trattamento vietato per default, consenso esplicito e misure rafforzate.
No. Il codice fiscale è un dato personale (identifica univocamente una persona) ma non rientra nelle categorie particolari dell’art. 9 GDPR. Non riguarda salute, genetica, etnia, religione o orientamento sessuale. Va comunque trattato con le dovute cautele: base giuridica valida, misure di sicurezza adeguate e corretta informativa privacy.
Dipende dall’uso. Una fotografia del volto è un dato personale ordinario (permette l’identificazione) ma non è di per sé una categoria particolare. Diventa un dato biometrico — e quindi categoria particolare ai sensi dell’art. 9 — solo quando viene elaborata con tecnologie di riconoscimento facciale per identificare univocamente una persona (es. accesso biometrico, sorveglianza automatizzata).
Il trattamento illecito di categorie particolari espone a sanzioni fino a 20 milioni di euro o al 4% del fatturato globale annuo. In Italia il Garante Privacy ha già inflitto sanzioni milionarie per trattamenti illeciti di dati sanitari. Oltre alla sanzione amministrativa, può sorgere responsabilità civile per danni all’interessato e, nei casi più gravi, responsabilità penale.
Sì. Il vecchio Codice Privacy italiano (D.lgs. 196/2003) usava la categoria “dati sensibili” con un elenco parzialmente diverso. Il GDPR ha sostituito questa denominazione con “categorie particolari di dati personali” (art. 9), allargando la tutela ai dati biometrici e genetici, che prima non erano espressamente inclusi. Il termine “dati sensibili” è rimasto nell’uso comune ma tecnicamente oggi si parla di categorie particolari.
I dati giudiziari (condanne penali, reati, misure di sicurezza) sono regolati dall’art. 10 GDPR, una norma separata dall’art. 9. Non fanno tecnicamente parte delle “categorie particolari” ma sono soggetti a limitazioni severe: il loro trattamento è consentito solo sotto il controllo dell’autorità pubblica o con un’autorizzazione specifica dell’ordinamento nazionale.
