Privacy: differenze tra le versioni

Versione delle 18:34, 22 giu 2025

Versione attuale delle 11:31, 14 set 2025

(13 versioni intermedie di 8 utenti non mostrate)

Riga 166:

=== Il documento di riconoscimento ===

La regola generale è che è vietato il trattamento della carta d'identità (o mezzo equivalente) di una persona a meno che una legge lo consenta esplicitamente.

Vi sono situazioni, previste dalle leggi italiane, per le quali un soggetto è tenuto a fornire un documento di riconoscimento. La norma principale è il [[Testo unico delle leggi di pubblica sicurezza|TULPS]] che prevede 5 casi. Secondariamente, altri casi sono: acquisto di una carta SIM, acquisto di biglietti aerei, check in di biglietti di pubblico trasporto o operazioni simili, contratti di pubblici servizi o procedure di servizi regolamentati (anche quelli gestiti da aziende private), operazioni e attività svolte da enti o imprese e intermediari che devono applicare la norma antiriciclaggio cioè il DL n. 231/2007, delega al ritiro di corrispondenza presso le Poste o referti medici, accettazione in hotel o simili, sottoscrizione di dichiarazione sostitutiva di atto notorio fornita nei casi regolamentati da legge, adempimenti verso la pubblica amministrazioni, richieste da parte delle forze di polizia (Testo Unico delle Leggi di Pubblica Sicurezza), imbarco su aeromobile o accesso ad aree ristrette delle stazioni ferroviarie o similari, registrazione presso il seggio elettorale, altre responsabilità, in capo a determinati soggetti, esplicitamente previste da Legge e/o dai Regolamenti)<ref>{{Cita web|url=https://www.laleggepertutti.it/303759_chi-puo-trattenere-la-carta-didentita|titolo=Chi può trattenere la carta d’identità|accesso=28 giugno 2022}}</ref>.

Vi sono situazioni, previste dalle leggi italiane, per le quali un soggetto è tenuto a fornire un documento di riconoscimento. La norma principale è il [[Testo unico delle leggi di pubblica sicurezza|TULPS]] che prevede 5 casi. Secondariamente, altri casi sono: acquisto di una carta SIM,; acquisto di biglietti aerei,; check in di biglietti di pubblico trasporto o operazioni simili,; esecuzione contratti di pubblici servizi o procedure di servizi regolamentati (anche quelli gestiti da aziende private),; operazioni e attività svolte da enti o imprese e intermediari che devono applicare la norma antiriciclaggio cioè il DL n. 231/2007,; delega al ritiro di corrispondenza presso le Poste o di referti medici,; eseguire l’incasso di un assegno da parte di un soggetto non conosciuto dalla banca; accettazione in hotel o simili,; sottoscrizione di dichiarazione sostitutiva di atto notorio fornita nei casi regolamentati da legge,; adempimenti verso la pubblica amministrazioni,; richieste da parte delle forze di polizia (Testo Unico delle Leggi di Pubblica Sicurezza); necessità di identificare, da parte del notaio, i presenti quando devono sottoscrivere un atto; imbarco su aeromobile o accesso ad aree ristrette delle stazioni ferroviarie o similari,; verificare l'età minima richuesta per la somministrazione di bevande alcoliche o la partecipazione a spettacoli per adulti; registrazione presso il seggio elettorale,; altre responsabilità, in capo a determinati soggetti, esplicitamente previste da Legge e/o dai Regolamenti)<ref>{{Cita web|url=https://www.laleggepertutti.it/303759_chi-puo-trattenere-la-carta-didentita|titolo=Chi può trattenere la carta d’identità|accesso=28 giugno 2022}}</ref>.

D'altra parte le specifiche operazioni successive, a capo del soggetto che ha richiesto il documento ad una persona, sono diverse a seconda che:

Riga 175 ⟶ 177:

* sono registrati gli estremi del documento.

A parte il rispetto delle norme privacy è importante sottolineare che il trattamento del documento d'identità è estremamente critico in relazione al '''furto di dati (personali)''' e ai relativi potenziali effetti devastanti per l'interessato (ad esempio frodi) nonché l'eventuale carico penale per il titolare del trattamento.

Il garante della privacy italiano ha emanato, nel 2005, un provvedimento aal riguardo<ref>{{Cita web|url=https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/1189435|titolo=Quando identificare e fotocopiare i documenti di riconoscimento dei clienti - 27 ottobre 2005 [1189435]|accesso=28 giugno 2022}}</ref>. C'è da notare che, in generale, trattenere e/o conservare un documento d'identità (anche la copia) ma pure l'apparente innocua registrazione del numero, sono tutte operazioni a rischio da parte di chi le esegue (smarrimento, sottrazione, uso criminale o illecito) e, pertanto, da eseguire solamente quando lecito e solo se strettamente necessario. In quella prescrizione il Garante ricorda altre opzioni per identificare una persona.

Per il garante italiano sono solo due i trattamenti della carta d'identità legittimi<ref>{{Cita web|url=https://www.altalex.com/documents/news/2019/03/29/gdpr-fotocopia-carta-di-identita|titolo=GDPR, quando è obbligatorio chiedere e conservare la fotocopia della carta di identità?ccesso=22 agosto 2024}}</ref>:

Riga 184 ⟶ 186:

# procedure della PA (art. 45 del D.P.R. del 28 dicembre 2000, n. 445).

In nessun altro caso vi è un obbligo di esibizione, consegna (e tanto meno dell'immagine) di un documento di identità. Anche perché, a parte l'uso come mezzo di identificazione, in molte procedure burocratiche (ad esempio il pagamento di prestazioni rese alla PA o a privati che erogano servizi pubblici) sono sufficienti numero, data emissione e data scadenza, non serve avere l'intero documento né tantomeno conservarloarchviarne una copia o custodirlo temporaneamente.

Ne consegue che, all'infuori dei casi previsti per legge, e pure con il consenso dell'interessato, per il principio di pertinenza e non eccedenza, non è legittimo né trattenere il documento (carta d'identità, passaporto, ecc.) né, tanto meno, farne una copia e conservarla. La mera esibizione della carta d'identità ai fini dell'identificazione di un soggetto (si pensi al caso della portineria di un'azienda per il controllo degli accessi), finalizzata a scopi pre contrattuali, contrattuali o di sicurezza ambientale (procedure di evacuazione per emergenza) potrebbe essere legittima<ref>{{Cita web|url=https://anorc.eu/attivita/e-lecito-per-le-societa-trattenere-la-copia-del-documento-di-identita-del-visitatore|titolo=E’ lecito, per le società, trattenere la copia del documento di identità del visitatore|accesso=31 luglio 2022}}</ref> ma non lo sarebbe la tracciatura sul registro visitatori, specie se è richiesta la firma autografa che è un elemento personale critico (uso eccessivo e non pertinente). E comunque, all'interessato va fornita l'informativa che espliciti le finalità e le operazioni del trattamento dei dati personali contenuti nel documento di riconoscimento.

Questo non significa che il Garante vieti tout court il trattamento della carta d'identità: esso però deve essere o legittimato da una legge (vedi sopra) o accuratamente proceduralizzato da parte dell'organizzazione (valutazione del rischio, registro trattamenti, informativa interessato, istruzioni operative per gli incaricati, audit).

La stragrande maggioranza degli abusi (effettuati (sia da privati che dalla pubblica amministrazione), nel conservare illecitamente (e inutilmente) la copia di una carta d'identità di una persona, è immotivata per il semplice motivo che il GDPR impone il principio della minimizzazione dei dati, secondo cui si possono raccogliere solo le informazioni strettamente necessarie allo scopo dichiarato. Conservare copie dei documenti "per comodità" non è consentito. È sufficiente ricavare i soli dati neccessati (leggendoli e restituendo immediatamente la carta) o, meglio, acquisirli direttamente dall'interessato.

E comunque, all'interessato va fornita l'informativa che espliciti le specifiche finalità e le operazioni del trattamento dei dati personali contenuti nel documento di riconoscimento. Già solo non citare l'uso della carta d'identità è sanzionabile. Inoltre, questa misura va inserita nel registro dei trattamenti dell'organizzazione.

Ne consegue che, all'infuori dei casi previsti per legge, e pure con il consenso dell'interessato, per il principio di pertinenza e non eccedenza, non è legittimo né trattenere il documento (carta d'identità, passaporto, ecc.) né, tanto meno, farne una copia e conservarla. La mera esibizione della carta d'identità ai fini dell'identificazione di un soggetto (si pensi al caso della portineria di un'azienda per il controllo degli accessi), finalizzata a scopi pre contrattuali, contrattuali o di sicurezza ambientale (procedure di evacuazione per emergenza) potrebbe essere legittima<ref>{{Cita web|url=https://anorc.eu/attivita/e-lecito-per-le-societa-trattenere-la-copia-del-documento-di-identita-del-visitatore|titolo=E’ lecito, per le società, trattenere la copia del documento di identità del visitatore|accesso=31 luglio 2022}}</ref> ma non lo sarebbe la tracciatura sul registro visitatori, specie se è richiesta la firma autografa che è un elemento personale critico (uso eccessivo e non pertinente). E comunque, all'interessato va fornita l'informativa che espliciti le finalità e le operazioni del trattamento dei dati personali contenuti nel documento di riconoscimento.

=== Dopo la morte ===