Dati particolari
Pubblicata il · Aggiornata il · Verificata il
I dati particolari sono le categorie di dati personali che l’articolo 9 del GDPR (Regolamento UE 2016/679) vieta di trattare: origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, dati biometrici usati per identificare una persona, dati sulla salute, dati sulla vita sessuale o sull’orientamento sessuale.
Il divieto è la regola; le eccezioni sono tassative e vanno lette in modo restrittivo.
Le eccezioni che contano per uno studio professionale
Il consenso esplicito è la più intuitiva, ma non l’unica. Contano anche: l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria; la medicina preventiva o del lavoro, la valutazione della capacità lavorativa, la diagnosi e l’assistenza sanitaria; l’interesse pubblico rilevante, quando previsto da una norma proporzionata.
Uno studio medico che tratta dati sulla salute dei pazienti per erogare la cura non ha bisogno del consenso come base primaria: l’eccezione della finalità sanitaria (lettera h) copre già quel trattamento, purché la riservatezza sia garantita da un professionista soggetto al segreto.
Dove entra l’AI nella gestione dei dati particolari
Uno strumento di intelligenza artificiale (AI) che elabora dati sanitari, come un trascrittore di cartelle cliniche, tratta dati particolari a ogni utilizzo. La base giuridica non cambia perché il mezzo è automatizzato. Va verificato che lo strumento non li usi per altre finalità, come addestrare il modello, senza una base propria.
L'eccezione per correggere le distorsioni dei sistemi di AI
Per scoprire se un sistema di AI discrimina, a volte bisogna guardare proprio i dati più delicati. Pensa a un software che seleziona i curriculum: per capire se scarta più spesso le persone di una certa origine etnica o con una disabilità, bisogna conoscere l'origine o lo stato di salute dei candidati su cui lo si mette alla prova. Ma l'origine etnica, la salute, la religione e gli altri dati particolari (articolo 9 del GDPR) di regola non si possono trattare.
Per sciogliere il nodo, l’Omnibus digitale sull’AI (Regolamento UE 2026/1744, in vigore dal luglio 2026) ha aggiunto all’AI Act (Regolamento UE 2024/1689) l’articolo 4a. Dice questo: i dati particolari si possono trattare in via eccezionale, solo nella misura strettamente necessaria e solo per trovare e correggere le distorsioni (in inglese bias). Vale per il fornitore di un sistema ad alto rischio e, con la stessa logica, per i fornitori e i deployer di altri sistemi e modelli di AI e per chi usa un sistema ad alto rischio (il deployer). Lo dice l’articolo 4a, paragrafo 2, dell’AI Act: «I fornitori e i deployer di altri sistemi e modelli di IA e i deployer di sistemi di IA ad alto rischio possono eccezionalmente trattare categorie particolari di dati personali», con le condizioni e le garanzie del paragrafo 1. Non obbliga nessuno a cercare le distorsioni: è un permesso.
Perché sia consentito, servono tutte e sei le garanzie:
gli stessi risultati non si ottengono in modo efficace con altri dati, per esempio sintetici o anonimi;
limiti tecnici al riutilizzo, sicurezza rafforzata e pseudonimizzazione, cioè i dati separati dai nomi;
accesso solo a persone autorizzate e vincolate alla riservatezza, con controlli e documentazione rigorosi;
nessuna trasmissione né accesso a terzi;
cancellazione appena la distorsione è corretta, o a fine conservazione se prima;
nel registro dei trattamenti, perché quei dati erano davvero necessari e perché altri dati non bastavano.
Cosa non sono i dati particolari secondo il GDPR
I dati particolari sono solo quelli elencati nell'articolo 9 del GDPR, e l'elenco non si allarga per somiglianza. I dati economici, la situazione familiare o il luogo in cui una persona si trova possono essere molto riservati, ma non sono dati particolari: restano dati personali comuni, che vanno comunque protetti.
Domande frequenti
I dati giudiziari sono dati particolari?
No, il GDPR li tratta a parte (articolo 10 del GDPR), con regole proprie.
Serve sempre il consenso per trattare dati sulla salute?
No: per le finalità di cura vale l’eccezione sanitaria, non il consenso.
L’eccezione bias dell’AI Act vale per qualsiasi sistema?
Per i fornitori di sistemi ad alto rischio. Con le stesse garanzie l’articolo 4a, paragrafo 2, dell’AI Act lo estende a «i fornitori e i deployer di altri sistemi e modelli di IA e i deployer di sistemi di IA ad alto rischio». Solo per la correzione delle distorsioni e solo per i dati strettamente necessari.