Diritto della privacy L14 Mercatorum

Diritto della privacy è l'esame da 12 CFU (settore IUS/10) del profilo Scienze giuridiche per la criminologia, l'investigazione e la sicurezza di Scienze Giuridiche L14 Mercatorum: studia come la legge protegge i dati personali, dal regolamento europeo GDPR al Codice privacy italiano, e come queste regole si applicano al lavoro, alle indagini, alla sanità, al marketing e alla rete. Nel piano di studi A.A. 2026/2027 è al 2° anno.

Il corso procede dai principi alla pratica: prima le fonti, i dati personali e le basi giuridiche, poi i diritti delle persone e i ruoli di chi tratta i dati, infine i settori in cui le regole generali incontrano problemi particolari. Chi ha studiato Diritto Costituzionale riconosce i diritti della persona su cui la tutela dei dati si fonda, mentre le regole sui controlli dei lavoratori si ritrovano in Diritto del lavoro e della sicurezza sul lavoro e quelle sui reati informatici in Diritto Penale.

Codici e programmi

Il codice non si sceglie: lo assegna Mercatorum in base al piano di studi. Per questo insegnamento i programmi ufficiali sono due, entrambi da 12 CFU e dello stesso settore (IUS/10), e valgono solo per il profilo Scienze giuridiche per la criminologia, l'investigazione e la sicurezza:

Per sapere quale elenco ti riguarda basta contare le lezioni del PDF che vedi in piattaforma: 60 o 77.

Argomenti del programma da approfondire

La protezione dei dati personali nasce dall'idea che le informazioni sulle persone abbiano un valore e un rischio: servono per erogare servizi, lavorare, indagare, curare, ma possono anche essere usate per sorvegliare, discriminare o truffare. Il diritto della privacy non vieta di usare i dati, ma stabilisce a quali condizioni e con quali garanzie. Il programma è costruito in modo che le regole generali siano seguite da molte applicazioni concrete. Questa guida lo divide in tredici blocchi, in un ordine didattico: i numeri delle lezioni si riferiscono al programma da 60 lezioni, salvo diversa indicazione.

1. Le fonti: Codice privacy e GDPR

Le prime quattro lezioni spiegano perché esiste una disciplina dei dati e da quali fonti nasce. Il punto di partenza è il diritto alla riservatezza, cioè alla protezione della vita privata dalle intrusioni altrui, che nel tempo si è allargato alla protezione dei dati personali: non solo tenere riservata un'informazione, ma controllare come viene raccolta, usata e conservata, soprattutto da quando gli strumenti informatici permettono di elaborare enormi quantità di dati. Nella Costituzione non c'è un articolo dedicato, ma il quadro si ricava dai diritti della persona e dalle garanzie su libertà personale, domicilio e corrispondenza (artt. 2, 13, 14 e 15). In Europa la protezione dei dati è un diritto fondamentale: la Carta dei diritti fondamentali dell'Unione europea distingue il rispetto della vita privata (art. 7) dalla protezione dei dati personali (art. 8), e la Convenzione europea dei diritti dell'uomo tutela la vita privata e familiare all'art. 8.

La disciplina vigente ha due livelli. Il regolamento (UE) 2016/679, noto come GDPR, è direttamente applicabile in tutti gli Stati membri dal 25 maggio 2018 e ha sostituito la direttiva del 1995. In Italia convive con il Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196), adeguato al regolamento dal decreto legislativo 10 agosto 2018, n. 101: il GDPR detta le regole comuni e il Codice le completa dove il regolamento lascia spazio agli Stati, per esempio sui dati dei minori, sul lavoro e sulle sanzioni penali. La lezione 4 ne descrive l'ambito di applicazione. Quanto alla materia (art. 2), il regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e a quello non automatizzato di dati contenuti in un archivio; non si applica ai trattamenti per attività esclusivamente personali o domestiche. Quanto al territorio (art. 3), vale per i titolari e i responsabili stabiliti nell'Unione e anche per quelli stabiliti fuori, se offrono beni o servizi a persone nell'Unione o ne monitorano il comportamento.

Collegamento: prima di studiare le regole bisogna sapere a che cosa si applicano: che cosa è un dato personale, e che cosa vuol dire trattarlo.

2. I dati personali

La lezione 5 è il perno del corso. Il GDPR definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile (art. 4): è identificabile la persona che può essere individuata, direttamente o indirettamente, con un nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale. Il trattamento è qualsiasi operazione compiuta sui dati: dalla raccolta alla registrazione, dalla consultazione alla comunicazione, fino alla cancellazione. Il regolamento protegge le persone fisiche, non le persone giuridiche, e non si applica ai dati anonimi, cioè a quelli che non permettono più di identificare nessuno; i dati pseudonimizzati, invece, restano personali, perché con informazioni aggiuntive tenute separate la persona è ancora identificabile. I dati delle persone decedute non rientrano nel regolamento, ma il Codice ne regola i diritti, che possono essere esercitati da chi ha un interesse proprio o agisce a tutela dell'interessato.

È una definizione volutamente ampia, e il lavoro dello studente è imparare a riconoscerla nei casi concreti: un indirizzo email aziendale, una targa, un indirizzo IP, una fotografia sono dati personali se riferiti a una persona identificabile.

Collegamento: sapere che cosa è un dato personale non basta: occorre sapere quando e a quali condizioni lo si può trattare. Sono i principi e le basi giuridiche del blocco successivo.

3. Principi, basi giuridiche e consenso

La lezione 6 presenta i principi dell'art. 5 del GDPR, che orientano ogni trattamento: liceità, correttezza e trasparenza; limitazione della finalità (i dati sono raccolti per scopi determinati e non usati in modo incompatibile); minimizzazione (solo i dati adeguati, pertinenti e limitati a quanto necessario); esattezza; limitazione della conservazione (solo per il tempo necessario); integrità e riservatezza (sicurezza dei dati). Il titolare del trattamento deve rispettarli e deve poter dimostrare di averlo fatto: è il principio di responsabilizzazione (accountability), che attraversa tutto il regolamento.

La lezione 7 risponde alla domanda «quando posso trattare dati?». Ogni trattamento ha bisogno di una base giuridica tra quelle dell'art. 6, che sono sullo stesso piano: nessuna è preferita alle altre.

Il consenso (lezione 8, artt. 4 e 7) è una manifestazione di volontà libera, specifica, informata e inequivocabile, data con una dichiarazione o un'azione positiva: il silenzio e le caselle già spuntate non bastano. Il titolare deve poterne dimostrare l'esistenza, la richiesta deve essere distinta da altre dichiarazioni e comprensibile, e l'interessato può revocarlo in qualsiasi momento con la stessa facilità con cui lo ha dato. Il consenso non è libero, in generale, se la prestazione di un servizio dipende dal consenso a un trattamento non necessario per eseguirlo.

Collegamento: per alcuni dati le regole generali non bastano, perché il rischio per la persona è più alto: sono i dati particolari, i dati giudiziari e quelli dei minori.

4. Dati particolari, giudiziari e dei minori

Alla lezione 9 il corso passa alle categorie particolari di dati (art. 9 GDPR): quelli che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, e poi i dati genetici, i dati biometrici trattati per identificare in modo univoco una persona, i dati relativi alla salute e alla vita o all'orientamento sessuale. Il trattamento è in via di principio vietato, e ammesso solo nelle eccezioni tassative del secondo paragrafo: tra le principali, il consenso esplicito dell'interessato, gli obblighi in materia di diritto del lavoro e della sicurezza sociale, la tutela di interessi vitali, la difesa di un diritto in sede giudiziaria, motivi di interesse pubblico rilevante, la medicina preventiva e del lavoro, la sanità pubblica, l'archiviazione e la ricerca. Il Codice richiede per alcuni di questi dati (genetici, biometrici, relativi alla salute) misure di garanzia ulteriori. I dati relativi a condanne penali e reati (art. 10) possono essere trattati solo sotto il controllo dell'autorità pubblica o se una norma lo autorizza con garanzie adeguate: un tema che il corso, dedicato anche alle investigazioni, riprende più volte.

La lezione 10 riguarda il trattamento dei dati dei minori. Per i servizi della società dell'informazione offerti direttamente ai minori, come i social network, il GDPR (art. 8) fissa a sedici anni l'età del consenso valido, lasciando agli Stati la possibilità di abbassarla fino a tredici: l'Italia l'ha fissata a quattordici anni (art. 2-quinquies del Codice). Sotto quell'età il consenso va dato o autorizzato da chi esercita la responsabilità genitoriale, e le informazioni rivolte ai minori devono essere scritte in un linguaggio che possano capire. Il programma 2024/2025 chiude con un approfondimento sui rischi e sulle possibilità della presenza dei minori online.

Collegamento: definito chi può essere trattato e a quali condizioni, il blocco successivo guarda alla persona a cui i dati si riferiscono: l'interessato e i suoi diritti.

5. I diritti degli interessati

Il GDPR dà all'interessato, cioè alla persona a cui i dati si riferiscono, un insieme di strumenti per controllare il trattamento. Tutti si esercitano con le regole comuni dell'art. 12: il titolare deve facilitare l'esercizio dei diritti e rispondere senza ingiustificato ritardo e, di regola, entro un mese dalla richiesta, termine prorogabile di due mesi nei casi di particolare complessità; le informazioni sono gratuite, salvo richieste manifestamente infondate o eccessive. Il primo strumento, però, è preventivo: l'informativa (lezione 16, artt. 13 e 14), che il titolare deve dare in forma concisa, trasparente e intelligibile, e che indica chi tratta i dati, per quali finalità e con quale base giuridica, a chi saranno comunicati, per quanto tempo saranno conservati e quali diritti ha l'interessato, compreso quello di proporre reclamo al Garante. Gli artt. 13 e 14 distinguono i dati raccolti presso l'interessato da quelli ottenuti da altre fonti.

Il diritto di accesso (lezione 11, art. 15) permette di sapere se è in corso un trattamento e di ottenere copia dei dati con le informazioni sul trattamento. Le lezioni 12, 13 e 15 trattano gli altri diritti: la rettifica dei dati inesatti o incompleti, la limitazione del trattamento in casi come la contestazione dell'esattezza dei dati, l'opposizione, la cancellazione (il cosiddetto diritto all'oblio) e la portabilità, cioè la possibilità di ricevere i propri dati in un formato strutturato e di uso comune e di trasmetterli a un altro titolare. Il diritto all'oblio ha una storia nota: la Corte di giustizia dell'Unione europea, nel caso Google Spain del 2014, ha riconosciuto che una persona può chiedere al gestore di un motore di ricerca di eliminare dai risultati, a certe condizioni, i collegamenti a pagine che la riguardano.

Due lezioni collocano i diritti nei loro confini. La lezione 14 riguarda l'interazione con il contesto giornalistico: il GDPR (art. 85) chiede agli Stati di conciliare la protezione dei dati con la libertà di espressione e di informazione, e il Codice contiene le norme sul trattamento per finalità giornalistiche, accompagnate da regole deontologiche e dal criterio dell'essenzialità dell'informazione. La lezione 39 tratta le limitazioni all'esercizio dei diritti: l'art. 23 del regolamento consente al legislatore di limitarli, con misure necessarie e proporzionate, per motivi come la sicurezza pubblica, la prevenzione e il perseguimento dei reati o la tutela di altri diritti, e il Codice ne indica i casi.

Collegamento: ai diritti di una parte corrispondono gli obblighi dell'altra: nel blocco successivo si vede chi sono i soggetti che trattano i dati e che cosa devono fare.

6. Titolare, responsabile, DPO e registro dei trattamenti

Il GDPR costruisce il sistema attorno a pochi ruoli. Il titolare del trattamento (lezione 18) è chi determina le finalità e i mezzi del trattamento ed è il primo destinatario degli obblighi: deve mettere in atto misure tecniche e organizzative adeguate e dimostrare che il trattamento è conforme (art. 24), progettando i trattamenti in modo da proteggere i dati fin dall'inizio e per impostazione predefinita (art. 25). Se più soggetti decidono insieme finalità e mezzi sono contitolari e devono ripartire per accordo le rispettive responsabilità (art. 26). Il responsabile del trattamento (lezione 19) tratta i dati per conto del titolare: il rapporto è regolato da un contratto o da un altro atto giuridico che fissa oggetto, durata, natura e finalità del trattamento, tipo di dati e obblighi (art. 28). Il responsabile può avvalersi di un sub-responsabile solo con autorizzazione del titolare e con gli stessi obblighi. Chi, all'interno dell'organizzazione, tratta materialmente i dati sotto l'autorità del titolare o del responsabile (la figura che il vecchio Codice chiamava incaricato) non ha un ruolo autonomo: agisce su istruzioni (art. 29), e il Codice consente al titolare di attribuire compiti e funzioni a persone designate.

Il responsabile della protezione dei dati, in sigla DPO (lezione 20, artt. 37-39), è una figura di garanzia: informa e consiglia il titolare, sorveglia l'osservanza del regolamento, collabora con il Garante e ne è il punto di contatto. Deve essere designato dalle autorità pubbliche e, in generale, dai soggetti la cui attività principale consiste in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di categorie particolari di dati o di dati giudiziari; deve poter agire in autonomia, senza ricevere istruzioni sull'esecuzione dei compiti. Il registro delle attività di trattamento (lezione 17, art. 30) è il documento in cui il titolare e il responsabile descrivono ciò che fanno: finalità, categorie di interessati e di dati, destinatari, trasferimenti, tempi di conservazione e misure di sicurezza. È lo strumento con cui si dimostra la conformità; l'obbligo non riguarda in generale le imprese con meno di 250 dipendenti, salvo che il trattamento presenti rischi per i diritti degli interessati, non sia occasionale o riguardi categorie particolari di dati o dati giudiziari. La lezione 26 sulla responsabilità dei soggetti chiude il quadro: chi subisce un danno da un trattamento illecito ha diritto al risarcimento dal titolare o dal responsabile (art. 82), con le rispettive responsabilità. Il programma 2024/2025 mette a confronto la disciplina della protezione dei dati con la responsabilità amministrativa degli enti del decreto legislativo n. 231 del 2001, due sistemi di compliance diversi che condividono l'idea di organizzazione e prevenzione, e dedica una lezione al DPO in pratica.

Collegamento: i ruoli servono a garantire la sicurezza dei dati. Che cosa succede quando la sicurezza fallisce è il tema del blocco seguente.

7. Sicurezza, violazioni, valutazione d'impatto e audit

L'art. 32 del GDPR impone al titolare e al responsabile di adottare misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio, tenendo conto dello stato dell'arte, dei costi e della natura del trattamento. Tra gli esempi che il regolamento cita ci sono la pseudonimizzazione e la cifratura, la capacità di assicurare riservatezza, integrità, disponibilità e resilienza dei sistemi, la capacità di ripristinare i dati dopo un incidente e una procedura per provare e valutare regolarmente l'efficacia delle misure. Quando la sicurezza fallisce si ha una violazione dei dati personali (lezione 22, art. 4): una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati. La lezione 29 si chiede se a una violazione segua necessariamente una sanzione: no, perché il Garante valuta caso per caso, secondo i criteri dell'art. 83, la natura e la gravità della violazione, le misure adottate per attenuarne il danno e il grado di cooperazione del titolare. Il programma 2024/2025 la affianca a un approfondimento con un esperto su sicurezza informatica e gestione di un data breach. Le tappe da conoscere sono queste:

La prevenzione passa da altri strumenti. La valutazione d'impatto sulla protezione dei dati (DPIA, lezione 31, art. 35) è obbligatoria quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, per esempio una valutazione sistematica basata su trattamenti automatizzati, inclusa la profilazione, con effetti giuridici significativi, il trattamento su larga scala di categorie particolari di dati o di dati giudiziari, o la sorveglianza sistematica su larga scala di zone accessibili al pubblico. Contiene la descrizione del trattamento, la valutazione della necessità e proporzionalità, dei rischi e delle misure per affrontarli; se resta un rischio elevato, il titolare consulta il Garante prima di iniziare (art. 36). I codici di condotta (lezione 23, artt. 40 e 41) sono strumenti con cui le associazioni di categoria precisano l'applicazione del regolamento a un settore; sono approvati dall'autorità e il rispetto è controllato da un organismo accreditato. Infine l'audit (lezione 57) è la verifica sistematica della conformità di un trattamento alle regole: serve a individuare le non conformità e a proporre azioni correttive, in coerenza con il principio di responsabilizzazione.

Collegamento: le regole che abbiamo visto valgono nell'Unione europea. Che cosa accade se i dati lasciano i suoi confini è il tema del blocco successivo.

8. Trasferimenti di dati fuori dall'Unione europea

La lezione 25 riguarda il trasferimento dei dati personali fuori dall'UE. Il capo V del GDPR parte da un principio: i dati possono lasciare lo spazio europeo solo se il livello di protezione garantito dal regolamento non è compromesso (art. 44). Le condizioni sono in ordine di preferenza. Il trasferimento è libero verso i Paesi per cui la Commissione europea ha adottato una decisione di adeguatezza, cioè ha accertato che garantiscono un livello di protezione sostanzialmente equivalente (art. 45). In mancanza servono garanzie adeguate (art. 46), come le clausole contrattuali tipo approvate dalla Commissione o le norme vincolanti d'impresa per i gruppi multinazionali (art. 47). Solo in situazioni specifiche si ricorre alle deroghe dell'art. 49, come il consenso esplicito dell'interessato debitamente informato dei rischi o la necessità di eseguire un contratto.

La storia dei trasferimenti verso gli Stati Uniti spiega perché il tema è delicato. Nel 2015 la Corte di giustizia dell'Unione europea ha invalidato la decisione di adeguatezza del Safe Harbour; nel 2020, con la sentenza Schrems II, ha invalidato anche la decisione sul Privacy Shield e ha confermato la validità delle clausole contrattuali tipo, a condizione di una verifica caso per caso della protezione nel Paese di destinazione. Il programma 2024/2025 dedica una lezione al trasferimento di dati tra Europa e Stati Uniti e al problema del Privacy Shield. Nel luglio 2023 la Commissione ha adottato una nuova decisione di adeguatezza, il Data Privacy Framework tra Unione europea e Stati Uniti; il 3 settembre 2025 il Tribunale dell'Unione europea ha respinto un ricorso di annullamento contro quella decisione (causa T-553/23) e la sentenza è stata impugnata davanti alla Corte di giustizia.

La lezione 27 affronta le implicazioni della Brexit. Il Regno Unito è uscito dall'Unione europea il 31 gennaio 2020 e dopo il periodo transitorio, concluso il 31 dicembre 2020, è diventato un Paese terzo: per i trasferimenti di dati la Commissione ha adottato nel 2021 decisioni di adeguatezza, poi prorogate. Il programma 2024/2025 aggiunge un'intervista sul trasferimento dei dati personali al di fuori dell'Europa.

Collegamento: chi controlla che tutte queste regole siano rispettate, e con quali conseguenze, è il tema del blocco sull'autorità di controllo e sulle sanzioni.

9. Garante, EDPB, sanzioni e strumenti di tutela

Il GDPR affida il controllo a autorità di controllo indipendenti, una per Stato membro (artt. 51 ss.). In Italia è il Garante per la protezione dei dati personali, autorità collegiale indipendente: i suoi poteri (art. 58) comprendono compiti di indagine, come ordinare di fornire informazioni, svolgere audit e accedere ai locali; poteri correttivi, dall'ammonimento all'ordine di conformare il trattamento fino alla limitazione o al divieto di trattamento e alle sanzioni pecuniarie; poteri autorizzativi e consultivi. Il programma 2024/2025 approfondisce l'attività ispettiva del Garante e le sanzioni irrogate dalle altre autorità europee. Nelle questioni transfrontaliere vale il principio dello sportello unico (lezione 33): l'autorità dello stabilimento principale del titolare è l'autorità di controllo capofila e coopera con le altre autorità interessate (art. 56). Il Comitato europeo per la protezione dei dati (EDPB, lezione 32, artt. 68 ss.) riunisce i vertici delle autorità nazionali e il Garante europeo della protezione dei dati: emette linee guida e pareri e, nei casi di disaccordo, adotta decisioni vincolanti per assicurare un'applicazione coerente del regolamento.

Le sanzioni (lezioni 28 e 29, art. 83) devono essere in ogni caso effettive, proporzionate e dissuasive. Il regolamento prevede due fasce di sanzioni amministrative pecuniarie: fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore, per le violazioni meno gravi (come quelle sugli obblighi del titolare e del responsabile); fino a 20 milioni di euro o, per le imprese, fino al 4%, se superiore, per le violazioni dei principi di base del trattamento, dei diritti degli interessati e dei trasferimenti. L'importo concreto dipende dai criteri dell'art. 83, paragrafo 2: tra gli altri natura, gravità e durata della violazione, carattere doloso o colposo, misure adottate per attenuare il danno, precedenti violazioni, cooperazione con l'autorità. Per la fascia più alta il calcolo del tetto è semplice e si può provare qui sotto:

Gli strumenti di tutela (lezione 55) sono il reclamo al Garante (art. 77), il ricorso giurisdizionale contro le decisioni del Garante (art. 78) e contro il titolare o il responsabile (art. 79), che in Italia si propone davanti al giudice ordinario, e il diritto al risarcimento del danno materiale e immateriale (art. 82). Le due vie, quella davanti all'autorità e quella davanti al giudice, sono distinte e l'interessato sceglie quale seguire.

Collegamento: le regole generali sono finite. Da qui il programma le applica a contesti concreti, cominciando dal luogo dove si trattano più dati sulle persone: il lavoro.

10. Lavoro, videosorveglianza e nuove tecnologie

La lezione 36 sul trattamento dei dati sui luoghi di lavoro applica le regole generali a un contesto in cui le parti non sono alla pari. L'art. 88 del GDPR lascia agli Stati e ai contratti collettivi la possibilità di dettare norme più specifiche; il Codice le contiene negli articoli sul rapporto di lavoro, tra cui quelli sulla pertinenza dei dati raccolti, sulle garanzie in materia di controllo a distanza e sul lavoro agile, e rinvia allo Statuto dei lavoratori, in particolare all'art. 4 sugli strumenti di controllo e all'art. 8 sul divieto di indagini sulle opinioni. Poiché il lavoratore dipende dal datore, il suo consenso è difficilmente considerato libero: per questo i trattamenti nel rapporto di lavoro si fondano di norma su altre basi, come l'esecuzione del contratto o gli obblighi di legge. La violazione delle regole statutarie sui controlli a distanza e sulle indagini sulle opinioni è anche un reato previsto dal Codice.

La videosorveglianza (lezione 35) è un trattamento di dati personali ogni volta che le immagini permettono di identificare le persone. Servono una base giuridica e finalità determinate, la proporzionalità dello strumento rispetto allo scopo, un'informativa a chi è ripreso, di norma con un cartello ben visibile che rinvia al testo completo, e, sul luogo di lavoro, il rispetto dell'art. 4 dello Statuto, cioè l'accordo sindacale o l'autorizzazione dell'Ispettorato. Il Comitato europeo ha dedicato alla videosorveglianza linee guida apposite. La lezione 34 riguarda i trattamenti automatizzati e le nuove tecnologie: la profilazione (art. 4) è qualsiasi trattamento automatizzato di dati per valutare aspetti personali, come rendimento, interessi o comportamento, e l'art. 22 riconosce all'interessato il diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o incida significativamente su di lui; l'eccezione è ammessa per il contratto, la legge o il consenso esplicito, con garanzie come l'intervento umano e la possibilità di contestare la decisione. Il tema ritorna nella lezione 58 su intelligenza artificiale, algoritmi e dati personali, che si colloca accanto al regolamento europeo sull'intelligenza artificiale (regolamento (UE) 2024/1689) e alla legge italiana n. 132 del 2025.

Collegamento: la tecnologia cambia anche il modo di indagare. Il blocco successivo riguarda le regole privacy di chi svolge investigazioni.

11. Investigazioni e prove digitali

È il blocco che distingue di più questo corso, perché si rivolge al profilo che studia criminologia, investigazione e sicurezza. La lezione 21 su il ruolo della privacy nell'attività dell'investigatore (e la lezione 37 sul trattamento dei dati da parte degli investigatori privati) parte da un'osservazione: chi indaga raccoglie dati, spesso senza che l'interessato lo sappia, e deve quindi poggiare l'attività su una base giuridica e rispettare finalità, proporzionalità e minimizzazione. Gli investigatori privati operano con la licenza prefettizia prevista dal testo unico delle leggi di pubblica sicurezza (art. 134) e, quando agiscono per un difensore, nell'ambito delle investigazioni difensive (art. 327-bis del codice di procedura penale), per cercare elementi di prova a favore del proprio assistito. La difesa di un diritto in sede giudiziaria è una base che il GDPR riconosce sia per i dati comuni sia per le categorie particolari, e il Garante ha adottato regole deontologiche per questi trattamenti; il programma 2024/2025 ne tratta in un'intervista dedicata. In quel contesto i diritti degli interessati possono essere limitati.

La lezione 30 sull'Open Source Intelligence (OSINT) riguarda la raccolta di informazioni da fonti aperte, come siti, social network e registri pubblici. Il punto da ricordare è che un dato accessibile a tutti non è per questo libero: resta personale, e per usarlo servono una base giuridica, una finalità e il rispetto dei principi dell'art. 5. La lezione 24 sull'acquisizione online delle prove informatiche riguarda il modo di raccogliere elementi digitali (pagine web, messaggi, immagini) senza comprometterne autenticità e integrità: la legge n. 48 del 2008, che ha ratificato la Convenzione di Budapest sulla criminalità informatica, ha modificato il codice di procedura penale per disciplinare ispezioni, perquisizioni e sequestri di dati informatici, e nella pratica si parla di copia forense e di catena di custodia per documentare che cosa è stato acquisito, come e da chi. La lezione 38 collega nuove tecnologie, privacy e investigazione: gli stessi principi valgono per ogni strumento di monitoraggio, dalle telecamere alla geolocalizzazione.

Per le autorità pubbliche la lezione 40 tratta il trattamento da parte delle autorità in materia penale. Il GDPR non si applica ai trattamenti per prevenzione, indagine, accertamento e perseguimento di reati: li disciplina la direttiva (UE) 2016/680, attuata in Italia con il decreto legislativo 18 maggio 2018, n. 51.

Collegamento: dopo il lavoro e le indagini, il programma attraversa i settori in cui le regole generali si adattano a esigenze diverse.

12. I settori: sanità, banche, marketing, cookie, pubblica amministrazione

Le lezioni 41-44 passano in rassegna quattro categorie di titolari. Per gli avvocati (lezione 41) la difesa di un diritto in giudizio è una base giuridica che consente di trattare i dati del cliente e della controparte senza il consenso di quest'ultima, nei limiti del segreto professionale e delle regole deontologiche. Gli informatori commerciali (lezione 42) raccolgono informazioni su persone e imprese e le forniscono ai clienti: valgono comunque base giuridica, informativa e diritti degli interessati. In ambito sanitario (lezione 43) i dati sulla salute sono una categoria particolare, e il GDPR ammette il trattamento per finalità di cura e di medicina preventiva senza il consenso dell'interessato quando avviene sotto la responsabilità di un professionista tenuto al segreto. Nel settore bancario e assicurativo (lezione 44) i dati finanziari servono a valutare l'affidabilità: i sistemi di informazioni creditizie sono regolati da un codice di condotta. Il programma 2024/2025 aggiunge un'intervista sul trattamento nel settore bancario.

Le lezioni 50-52 riguardano la rete. I cookie (lezione 50) sono regolati dalla direttiva ePrivacy, che il Codice ha recepito: i cookie tecnici, necessari al funzionamento del sito, richiedono solo l'informativa, mentre quelli di profilazione e marketing richiedono il consenso preventivo dell'utente; il Garante ha adottato linee guida specifiche. Il GDPR su internet e social media (lezione 51) ricorda che le piattaforme stabilite fuori dall'Unione sono soggette al regolamento se offrono servizi a persone nell'Unione; la Corte di giustizia ha precisato che pubblicare dati personali su una pagina accessibile a chiunque non rientra nell'eccezione per le attività personali o domestiche. Nel marketing (lezione 52) le comunicazioni commerciali con sistemi automatizzati, come email e SMS, richiedono il consenso preventivo, con una limitata eccezione per la vendita di prodotti analoghi ai propri clienti (art. 130 del Codice), e l'interessato può sempre opporsi al marketing diretto (art. 21 GDPR). Il programma 2024/2025 si chiede come i dati online alimentino un modello di business fondato sulla sorveglianza, quello che la dottrina chiama capitalismo di sorveglianza, e dedica una lezione ai bitcoin e alle criptovalute, dove il problema è conciliare registri immutabili e diritto alla cancellazione.

Le lezioni 53, 54 e 56 collegano la privacy alla pubblica amministrazione. L'anticorruzione (legge n. 190 del 2012) e la trasparenza (decreto legislativo n. 33 del 2013) impongono di pubblicare dati e documenti: il bilanciamento con la protezione dei dati si fa verificando che la pubblicazione sia prevista da una norma e rispetti i principi dell'art. 5, e l'accesso civico generalizzato incontra tra i suoi limiti la tutela dei dati personali. Il whistleblowing (lezione 54, decreto legislativo n. 24 del 2023) protegge chi segnala illeciti nel proprio contesto di lavoro, con canali di segnalazione interni ed esterni e la tutela dalle ritorsioni; la riservatezza dell'identità del segnalante può limitare i diritti della persona segnalata. Nel trattamento dei dati nella pubblica amministrazione (lezione 56) la base è l'interesse pubblico o l'obbligo legale, il DPO è obbligatorio per le autorità e gli organismi pubblici (art. 37) e il Codice richiede che il compito di interesse pubblico sia previsto da una norma. Il programma 2024/2025 aggiunge il tema del trattamento dei dati nel contesto emergenziale, con le app di contact tracing introdotte dal decreto-legge n. 28 del 2020, e un'intervista su privacy, trasparenza e pubblica amministrazione.

Collegamento: alcune violazioni delle regole su dati e sicurezza non restano nell'ambito amministrativo ma diventano reati: sono gli ultimi temi del programma.

13. Reati informatici, cyberbullismo e reati in materia di dati

La lezione 45 su sicurezza e rischi digitali collega le misure dell'art. 32 alle minacce concrete: phishing, malware, accessi non autorizzati. Le lezioni 47 e 48 trattano i crimini informatici, che il codice penale punisce con figure come l'accesso abusivo a un sistema informatico o telematico (art. 615-ter), l'intercettazione illecita di comunicazioni informatiche (art. 617-quater), il danneggiamento di informazioni, dati e programmi (art. 635-bis) e la frode informatica (art. 640-ter), introdotte o riformate dalla legge n. 547 del 1993 e dalla legge n. 48 del 2008. La lezione 46 sul cyberbullismo richiama la legge 29 maggio 2017, n. 71, che lo definisce come l'insieme di pressioni, aggressioni, molestie, ricatti, ingiurie, denigrazioni, diffamazioni, furti d'identità e trattamenti illeciti di dati commessi per via telematica in danno di minorenni, e che offre rimedi rapidi: il minore che ha compiuto quattordici anni, o il genitore, può chiedere al gestore del sito o del social di oscurare, rimuovere o bloccare i contenuti e, se non ottiene risposta, rivolgersi al Garante; è previsto anche l'ammonimento del questore. Il programma 2024/2025 aggiunge un approfondimento sul fenomeno del digital kidnapping, cioè dell'uso di immagini di minori diffuse online.

La lezione 49 sui reati in materia di protezione dei dati riguarda le fattispecie del Codice: il trattamento illecito di dati (art. 167), la comunicazione e diffusione illecita e l'acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala (artt. 167-bis e 167-ter), le falsità nelle dichiarazioni al Garante (art. 168), l'inosservanza dei provvedimenti del Garante (art. 170) e la violazione delle regole statutarie sui controlli a distanza e sulle indagini sulle opinioni dei lavoratori (art. 171). Accanto alle sanzioni amministrative del GDPR, queste norme mostrano che la protezione dei dati ha anche una difesa penale.

Come lo studiano

• Studia per ruoli e per diritti. Titolare, responsabile, contitolare, DPO da una parte; accesso, rettifica, cancellazione, limitazione, portabilità e opposizione dall'altra. Una scheda per ogni figura e una per ogni diritto, con le stesse voci, rende i confronti immediati: il confronto interattivo in questa pagina segue lo stesso schema.
• Collega ogni lezione all'articolo che la governa. Il corso applica pochi articoli del GDPR a molti contesti: sapere se una lezione si regge sull'art. 6, sull'art. 9, sull'art. 28 o sull'art. 35 aiuta a riconoscere lo schema anche in un settore nuovo.
• Distingui GDPR e Codice. Il regolamento detta le regole comuni; il Codice completa dove il regolamento lascia spazio agli Stati (dati dei minori, lavoro, reati). Per ogni regola chiediti da quale delle due fonti arriva.
• Ricorda i numeri. Pochi ricorrono: un mese per rispondere agli interessati, le 72 ore per notificare una violazione, i quattordici anni del consenso dei minori in Italia, le due fasce di sanzioni (10 milioni e 2%, 20 milioni e 4%). Un foglio unico con questi numeri si ripassa in pochi minuti.
• Con il codice 0142012IUS10I, studia anche le 17 lezioni in più. Sono approfondimenti e interviste su temi che si agganciano ai blocchi della guida: trasferimenti verso gli Stati Uniti, sanzioni dei Garanti europei, attività ispettiva, DPO, criptovalute, contact tracing, minori online.
• Segui i temi in evoluzione. Trasferimenti verso gli Stati Uniti e il Regno Unito, intelligenza artificiale e sicurezza informatica cambiano in fretta: se le dispense che usi sono meno recenti, confronta i punti con il testo vigente.
• Il testo di riferimento è facoltativo. Il PDF indica un testo di riferimento suggerito dal docente e lo definisce facoltativo; il materiale della piattaforma comprende videolezioni, dispense e slide.
• Usa i questionari di autovalutazione. Ogni lezione ha il suo: servono a capire subito se hai colto il concetto, prima di passare alla successiva.

Domande dalla community

Il gruppo di questo esame è piccolo e i dubbi che ricorrono riguardano soprattutto il codice e il materiale di studio.

Quale programma ho, quello da 60 o quello da 77 lezioni?

Alcuni colleghi si scambiano il codice per confrontare il proprio programma. Il modo più semplice è aprire il PDF che hai in piattaforma e contare le lezioni: 60 per 0142512IUS10I, 77 per 0142012IUS10I. L'elenco di questa guida le comprende entrambe.

Come si studia: dispense o solo videolezioni?

Il materiale ufficiale è fatto di videolezioni, dispense, slide e questionari di autovalutazione. I colleghi riportano di seguire le videolezioni e fare il questionario di ogni lezione; le dispense servono per i dettagli e un riassunto è utile come schema da affiancare, non come sostituto.

C'è un gruppo per ogni codice?

No: c'è un solo gruppo WhatsApp per l'insegnamento, aperto a chi ha l'uno o l'altro codice. Per questo conviene indicare il proprio codice quando si chiede qualcosa sul programma.

Come funziona l'esame

Quanto tempo serve

A 12 CFU corrispondono di norma 300 ore di impegno complessivo (25 ore per credito), di cui le videolezioni sono solo una parte: il resto è studio delle dispense, schede e questionari. Con cinque lezioni a settimana il programma da 60 lezioni si chiude in dodici settimane e quello da 77 in sedici, prima del ripasso finale.

Nel programma da 60 lezioni le prime venti riguardano la parte generale (fonti, dati personali, principi, diritti degli interessati, ruoli di titolare, responsabile e DPO) e vanno studiate con cura, perché le altre quaranta ne sono le applicazioni: violazioni, trasferimenti, autorità e sanzioni, lavoro, investigazioni, settori e reati. Chi ha già studiato Diritto Privato parte più veloce sui concetti di contratto e consenso.

Questa materia ti prepara a…

• Diritto del lavoro e della sicurezza sul lavoro — i controlli a distanza e il trattamento dei dati dei lavoratori uniscono le due materie dello stesso anno
• Diritto Penale — i reati informatici e i reati in materia di protezione dei dati si inseriscono nel sistema penale
• Contrattualistica — il rapporto tra titolare e responsabile del trattamento è regolato da un contratto, e il consenso è una manifestazione di volontà
• Le professioni che si occupano di protezione dei dati, sicurezza delle informazioni e conformità, comprese le attività di investigazione e di sicurezza a cui il profilo è orientato

Domande frequenti

Quanti CFU vale Diritto della privacy L14 Mercatorum?

12 CFU, settore IUS/10, al 2° anno del piano di studi del profilo Scienze giuridiche per la criminologia, l'investigazione e la sicurezza. I codici sono due: 0142512IUS10I (60 lezioni, piano A.A. 2026/2027) e 0142012IUS10I (piano A.A. 2024/2025). Gli argomenti del programma 2026/2027 sono tutti compresi in quello 2024/2025.

Cosa studia il diritto della privacy?

Studia come la legge protegge i dati personali: il regolamento europeo GDPR e il Codice privacy italiano, i principi e le basi giuridiche del trattamento, i diritti degli interessati, i ruoli di titolare, responsabile e responsabile della protezione dei dati, le violazioni dei dati, i trasferimenti fuori dall'Unione europea, le sanzioni e l'autorità di controllo, e poi i settori particolari: lavoro, videosorveglianza, investigazioni, sanità, marketing, cookie e reati informatici.

Dove è previsto il diritto alla protezione dei dati personali?

È un diritto fondamentale riconosciuto dall'art. 8 della Carta dei diritti fondamentali dell'Unione europea e dall'art. 16 del Trattato sul funzionamento dell'Unione europea. È disciplinato dal regolamento (UE) 2016/679 (GDPR), applicabile dal 25 maggio 2018, e dal Codice in materia di protezione dei dati personali (decreto legislativo 196/2003, modificato dal decreto legislativo 101/2018).

Qual è la differenza tra titolare e responsabile del trattamento?

Il titolare determina le finalità e i mezzi del trattamento ed è il primo destinatario degli obblighi del GDPR (art. 4 e art. 24). Il responsabile tratta i dati per conto del titolare, in base a un contratto o a un altro atto giuridico che ne fissa compiti e limiti (art. 28). Il responsabile della protezione dei dati (DPO) è una terza figura, indipendente, che informa e sorveglia il rispetto delle regole: è obbligatorio solo nei casi previsti dall'art. 37.

Quali sono i diritti dell'interessato nel GDPR?

L'interessato ha diritto a ricevere l'informativa (artt. 13 e 14), di accesso (art. 15), di rettifica (art. 16), alla cancellazione o all'oblio (art. 17), alla limitazione del trattamento (art. 18), alla portabilità dei dati (art. 20) e di opposizione (art. 21), oltre a non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato (art. 22). Il titolare risponde di regola entro un mese dalla richiesta.

Entro quanto tempo va notificata una violazione dei dati personali?

Il titolare notifica la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per i diritti e le libertà delle persone (art. 33 del GDPR). Se il rischio è elevato deve informare anche gli interessati (art. 34) e in ogni caso documenta la violazione.

Quanto tempo serve per studiare Diritto della privacy?

A 12 CFU corrispondono di norma 300 ore di impegno complessivo (25 ore per credito), tra videolezioni, studio delle dispense e questionari. Con cinque lezioni a settimana il programma da 60 lezioni si chiude in dodici settimane e quello da 77 in sedici, prima del ripasso.

Come funziona l'esame di Diritto della privacy Mercatorum?

Le regole seguono il formato degli esami Mercatorum, uguale per tutte le materie, e cambiano spesso. Per i dettagli aggiornati leggi la guida agli esami Pegaso, Mercatorum e San Raffaele.