Risposta breve
In Italia il punto di partenza è il , integrato dal e da regole settoriali. Non esiste una sola base giuridica adatta a ogni uso: marketing, cookie, riutilizzo di dati pubblici, informazioni creditizie, IA e salute hanno condizioni differenti. Pubblicazione online, interesse commerciale o impiego di un algoritmo non rendono i dati liberamente utilizzabili.
In pratica, prima di trattare dati occorre definire finalità, categorie, fonte, base giuridica, destinatari e conservazione; rendere l'informativa; rispettare opposizione e altri diritti; adottare sicurezza proporzionata; verificare se servono una valutazione d'impatto o regole speciali. La conformità va documentata e mantenuta nel tempo, quando cambiano dati, fornitori o finalità. Un incidente informatico può attivare il GDPR, il decreto NIS2 o entrambi, ma le soglie e i termini non coincidono.
Marketing diretto: quando serve il consenso?
L'art. 130 del Codice privacy richiede il consenso preventivo per chiamate automatizzate senza operatore, email, fax, SMS, MMS e mezzi analoghi. Un indirizzo pubblicato sul web, nell'INI-PEC o in un albo non è per questo utilizzabile per campagne incompatibili. Anche una lista comprata va verificata: fonte, prova del consenso, destinatari, informativa dell'art. 14 GDPR e opposizioni restano responsabilità di chi la usa.
La sola eccezione generale per email è il soft spam: indirizzo ottenuto durante una vendita; promozione di prodotti o servizi propri analoghi; cliente informato e libero di rifiutare facilmente alla raccolta e in ogni messaggio. Non copre potenziali clienti, prodotti di terzi o altri mezzi.
«L'interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per finalità di marketing diretto.»
—
L'opposizione è assoluta e comprende la profilazione connessa. Per telefonate con operatore e posta cartacea opera inoltre il . Possono essere iscritte utenze fisse e mobili; sono coperti anche indirizzi postali negli elenchi pubblici. L'iscrizione revoca i consensi promozionali precedenti, salvi quelli successivi e, nei limiti di legge, specifici rapporti contrattuali in essere o cessati da non oltre trenta giorni. L'operatore consulta il Registro ogni mese e prima di ogni campagna. Un numero non iscritto non autorizza chiamate automatizzate senza consenso.
Cookie e altri strumenti di tracciamento
L'art. 122 del Codice distingue gli strumenti tecnici, strettamente necessari a trasmettere una comunicazione o fornire il servizio richiesto, dagli strumenti non necessari. I primi non richiedono consenso, ma vanno descritti. Profilazione, pubblicità comportamentale, fingerprinting e tracking non essenziale richiedono invece consenso preventivo, libero, specifico, informato, inequivocabile e revocabile con facilità equivalente a quella dell'accettazione.
Le richiedono impostazioni iniziali senza tracker non tecnici, chiusura o rifiuto visibili, accettazione e scelta granulare. Lo scrolling da solo non vale come consenso. Un cookie wall è normalmente illecito, salvo contenuto o servizio equivalente senza consenso, valutato in concreto. Dopo un rifiuto il banner può tornare, fra l'altro, se cambiano le condizioni, il sito non conosce la scelta o sono trascorsi sei mesi.
I cookie analytics sono assimilabili ai tecnici solo alle condizioni indicate dal Garante: statistiche aggregate riferite a un solo sito o app, minimizzazione dell'IP per terze parti e assenza di combinazione con altri dati o trasferimenti ulteriori. Altrimenti serve consenso.
Dati pubblici e registri: visibile non significa riutilizzabile
Per dati provenienti da registri, albi, siti istituzionali o obblighi di trasparenza occorre leggere la norma che disciplina la fonte. La conoscibilità pubblica non cancella limitazione della finalità, minimizzazione, esattezza, conservazione e informativa. Bisogna distinguere:
- consultazione del registro per la funzione legale prevista;
- riutilizzo come dato aperto, quando una norma e le condizioni applicabili lo consentono;
- informazione commerciale tratta da fonti pubbliche secondo il relativo ;
- raccolta indiscriminata da pagine web o social, che non diventa lecita soltanto perché tecnicamente possibile.
Prima di creare un database, il titolare documenta fonte, acquisizione, aggiornamento, finalità compatibile e base dell'art. 6, e rende l'informativa dell'art. 14 salvo eccezione. I dati non vanno presentati fuori contesto o mantenuti dopo l'aggiornamento o la limitazione della fonte.
Informazioni creditizie private
I sistemi di informazioni creditizie privati (SIC) sono disciplinati dal GDPR e dal . Non coincidono con la Centrale dei rischi pubblica della Banca d'Italia. Prima che il primo ritardo diventi accessibile, il partecipante deve inviare un preavviso; devono trascorrere almeno quindici giorni dalla spedizione.
I principali termini massimi sono:
- richiesta di credito: 180 giorni; se rifiutata o rinunciata, 90 giorni dall'aggiornamento con l'esito;
- ritardo poi regolarizzato fino a due rate o mesi: 12 mesi dalla registrazione della regolarizzazione;
- ritardo regolarizzato superiore a due rate o mesi: 24 mesi;
- inadempimento non regolarizzato: 36 mesi dalla scadenza contrattuale o dall'ultimo aggiornamento necessario, comunque non oltre 60 mesi dalla scadenza del rapporto;
- rapporto positivo concluso: normalmente non oltre 60 mesi, con la specifica eccezione prevista dal codice quando nel sistema restano informazioni negative non regolarizzate su altri rapporti.
I dati devono essere esatti e aggiornati mensilmente. L'interessato può ottenere accesso e rettifica e contestare una segnalazione; una richiesta di cancellazione non impone però di eliminare un dato negativo esatto prima del termine applicabile.
Intelligenza artificiale e profilazione
Quando input, addestramento o risultati riguardano persone identificabili, il GDPR copre l'intero ciclo: base, categorie speciali, informativa, minimizzazione, progettazione, sicurezza e spesso DPIA. L'art. 22 limita decisioni unicamente automatizzate con effetti giuridici o analogamente significativi e richiede, nelle eccezioni ammesse, intervento umano e contestazione.
L' aggiunge divieti e obblighi basati sul rischio; non offre una nuova base per trattare dati personali. La impone, tra l'altro, liceità, correttezza, trasparenza, compatibilità delle finalità, informazioni comprensibili e cybersicurezza lungo il ciclo di vita. AgID e ACN sono autorità nazionali per l'IA, ferme le competenze del Garante privacy. Occorre quindi svolgere separatamente la valutazione AI Act e quella GDPR.
Dati sanitari e ricerca con IA
I dati relativi alla salute sono categorie particolari dell'art. 9 GDPR. Oltre a una base dell'art. 6 serve una condizione dell'art. 9, per esempio assistenza sanitaria, sanità pubblica, obblighi lavoristici o ricerca con garanzie adeguate. L'art. 2-septies del Codice richiede le misure del Garante, comprese cifratura o pseudonimizzazione, minimizzazione e accessi selettivi, e vieta la diffusione dei dati sanitari. Il consenso non è sempre la base richiesta e non rende lecita una raccolta sproporzionata.
La legge n. 132/2025 contiene un regime specifico per ricerca e sperimentazione di IA sanitaria. Enti pubblici, privati senza scopo di lucro, IRCCS e privati sanitari in progetti con tali soggetti possono, entro l'art. 8, effettuare determinati trattamenti di rilevante interesse pubblico. L'uso secondario riguarda dati senza identificativi diretti, con informativa e garanzie; va comunicato al Garante e può iniziare dopo trenta giorni se non è bloccato. Non è una licenza generale. In sanità l'IA resta di supporto: decide il professionista e l'interessato deve sapere che è impiegata.
Sicurezza, data breach e NIS2
L'art. 32 GDPR richiede misure tecniche e organizzative adeguate al rischio: riservatezza, integrità, disponibilità, resilienza, ripristino, test, controllo degli accessi, gestione dei fornitori e, quando opportune, cifratura e pseudonimizzazione. La sicurezza va dimostrata prima dell'incidente, non improvvisata dopo.
Il titolare notifica la violazione «senza ingiustificato ritardo e, ove possibile, entro 72 ore» da quando ne viene a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà.
—
Il responsabile avvisa il titolare senza ritardo. Il titolare documenta ogni violazione. Se è probabile un rischio elevato, informa gli interessati senza ritardo, salvo le eccezioni dell'art. 34, come una cifratura efficace. La non va rinviata finché ogni dettaglio è noto: le informazioni possono seguire per fasi.
Per i soggetti essenziali o importanti coperti dal , un incidente significativo segue anche NIS2: pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza, notifica entro 72 ore, relazione intermedia se richiesta e relazione finale entro un mese dalla notifica; se l'incidente è ancora in corso, aggiornamenti mensili e relazione entro un mese dalla conclusione. Non ogni attacco è un data breach e non ogni data breach è un incidente NIS2, ma lo stesso evento può superare entrambe le soglie e richiedere due flussi coordinati.
Conclusione
La domanda corretta non è se un dato sia reperibile o una tecnologia sia disponibile, ma perché quel titolare può usare proprio quei dati, con quel mezzo, per quel tempo e con quali garanzie. Marketing, cookie, registri, credito, IA e salute richiedono verifiche settoriali oltre al GDPR. Un registro delle decisioni, consensi e opposizioni, una DPIA quando dovuta, tempi automatici di cancellazione e un piano di risposta che coordini Garante e CSIRT riducono il rischio di trasformare un uso legittimo in un trattamento illecito.
Fonti
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.