Quali dati personali raccoglie davvero un modulo d’iscrizione

Una scuola di musica di Bellinzona mette online l’iscrizione semestrale. Il modulo si costruisce in fretta: nome, cognome, e-mail, telefono, indirizzo, data di nascita del bambino, strumento, una casella per le osservazioni, un segno di spunta per le condizioni. Nove campi, mezz’ora di lavoro.

Quello che poi compare nella tabella è più di nove indicazioni. Una parte non è mai stata chiesta, una parte rientra in una categoria che la legge federale sulla protezione dei dati (LPD) tratta a sé — e un campo raccoglie ciò che nessuno aveva previsto.

Campo per campo

Secondo l’art. 5 lett. a LPD, i dati personali sono «tutte le informazioni concernenti una persona fisica identificata o identificabile». È più ampio di quanto suoni nell’uso quotidiano: basta che una persona sia identificabile, non che compaia il suo nome.

Campo	Cosa ci arriva davvero	Cosa vi si accompagna
Nome e cognome	L’identità, direttamente	Rende attribuibili tutti gli altri campi
Indirizzo e-mail	Spesso nome, cognome e datore di lavoro in una sola riga	Un canale su cui la persona resta raggiungibile
Numero di telefono	Un numero, di solito lo stesso per anni	Facile da incrociare con altri elenchi
Indirizzo	Il domicilio, il quartiere, a volte la situazione abitativa	Insieme al nome, quasi sempre univoco
Data di nascita	L’età, la minore età, l’annata	Una chiave frequente per collegare fra loro insiemi di dati
Elenchi a scelta	Esattamente ciò che è stato chiesto — e a volte di più	«Corso per persone senza lavoro» dice qualcosa sulla situazione
Campo libero	Tutto ciò che a chi risponde sembra importante	Si veda più sotto
Caricamento file	Il contenuto del file e i suoi metadati	Una foto porta spesso ora di scatto e apparecchio, un PDF il nome dell’autrice
Casella di consenso	Il fatto del consenso, sensatamente con ora e testo mostrato	La prova di che cosa si è acconsentito, e quando

L’elenco a scelta merita un secondo sguardo. Un menu a tendina sembra innocuo perché le opzioni sono date. Ma le opzioni stesse possono contenere affermazioni: «tariffa ridotta per beneficiari AI», «gruppo di rientro dopo malattia», «corso serale per membri del sindacato». Chi seleziona una simile opzione rivela un’indicazione che il modulo non poneva come domanda.

Cosa arriva senza che nessuno lo digiti

Accanto ai campi compilati, al momento dell’invio nasce un secondo strato di informazioni. Sul modulo è invisibile e nella tabella di valutazione è per lo più già visibile.

L’ora. Ogni voce porta un orario. Su un modulo d’iscrizione è un dato amministrativo. Su un modulo di segnalazione interna l’orario è esso stesso un’informazione: in una piccola azienda, chi ha segnalato qualcosa alle 23.40 di una domenica può già essere in parte individuato.

La pagina di provenienza. Molti strumenti registrano da quale pagina è arrivata la persona. Può essere innocuo. Può anche significare che nella tabella risulta che qualcuno ha letto la pagina «consulenza in caso di indebitamento» prima di iscriversi.

Le indicazioni tecniche. A seconda dello strumento vengono registrati indirizzo IP, browser e apparecchio. Se in un caso concreto tali indicazioni rendano una persona identificabile si decide all’art. 5 lett. a LPD — e quindi in base a cosa altro compare nella stessa riga.

Gli stati intermedi. I moduli che salvano durante la digitazione conservano anche ciò che qualcuno ha scritto e poi cancellato. La seconda risposta, più meditata, non sostituisce ovunque la prima.

Questo strato non nasce da cattive intenzioni, ma dalle impostazioni predefinite. L’art. 7 cpv. 3 LPD riguarda esattamente questo punto: il titolare del trattamento garantisce, mediante impostazioni predefinite adeguate, che il trattamento sia limitato al minimo necessario per lo scopo, salvo diversa indicazione della persona interessata.

La categoria che la legge tratta a sé

La LPD non divide i dati personali in «importanti» e «secondari», ma conosce un gruppo elencato in modo esaustivo. L’art. 5 lett. c LPD indica come dati personali degni di particolare protezione:

1. i dati concernenti le opinioni o attività religiose, filosofiche, politiche o sindacali
2. i dati concernenti la salute, la sfera intima o l’appartenenza a una razza o etnia
3. i dati genetici
4. i dati biometrici che identificano in modo univoco una persona fisica
5. i dati concernenti perseguimenti e sanzioni amministrativi e penali
6. i dati concernenti misure d’assistenza sociale

Un nome non lo è. Neppure un numero di telefono. Lo è invece l’indicazione che un bambino soffre d’asma, così come quella che qualcuno non può venire in un dato giorno per motivi religiosi, o che un’iscrizione passa dall’assistenza sociale — oppure l’impronta digitale con cui si apre un controllo d’accesso. L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) cita i dati sanitari e caratteristiche biometriche come le impronte digitali fra gli esempi di questa categoria.

Cosa dipende da questa qualificazione

La categoria non è un’etichetta, ma il punto di aggancio di diverse disposizioni. La legge vi collega fra l’altro:

• La forma del consenso. Quando il consenso è necessario, è valido soltanto se dato liberamente per uno o più trattamenti determinati e dopo un’adeguata informazione (art. 6 cpv. 6 LPD). Per i dati degni di particolare protezione deve inoltre essere esplicito (art. 6 cpv. 7 lett. a LPD). A proposito dei questionari sulla salute, l’IFPDT rileva che consensi generici formulati in modo globale non bastano, mentre bastano dichiarazioni formulate in concreto.
• La comunicazione a terzi. Vi è lesione della personalità in particolare quando dati degni di particolare protezione sono comunicati a terzi (art. 30 cpv. 2 lett. c LPD). È illecita se non sussiste un motivo giustificativo ai sensi dell’art. 31 LPD.
• Verbalizzazione e regolamento del trattamento. Se dati degni di particolare protezione sono trattati automaticamente su vasta scala e le misure preventive non bastano a garantire la protezione dei dati, l’art. 4 OPDa esige almeno la verbalizzazione di memorizzazione, modifica, lettura, comunicazione, cancellazione e distruzione. A un trattamento su vasta scala si aggiunge un regolamento del trattamento secondo l’art. 5 OPDa.
• Il registro delle attività di trattamento. Le imprese con meno di 250 collaboratori al 1° gennaio ne sono in linea di principio esentate — salvo che siano trattati su vasta scala dati degni di particolare protezione o che vi sia una profilazione a rischio elevato (art. 24 OPDa).
• La valutazione d’impatto. Un rischio elevato sussiste in particolare in caso di trattamento su larga scala di dati degni di particolare protezione (art. 22 cpv. 2 lett. a LPD).

Le espressioni «su vasta scala» e «su larga scala» non sono quantificate da nessuna parte. Se una scuola di musica con 300 iscrizioni a semestre vi rientri è una questione del caso concreto e non si legge nel testo di legge.

Il campo libero

Resta il campo a cui si pensa di meno e in cui arriva di più.

«C’è altro che dovremmo sapere?» è una domanda cortese. È anche un invito aperto. In una scuola di musica vi si legge: «Nora è allergica alle noci, per favore tenetene conto al campo.» In una società sportiva: «Prendo anticoagulanti, il mio medico di famiglia lo sa.» Su un modulo di corso: «Vengo tramite il programma d’integrazione professionale, la fattura va al servizio sociale.» Nel modulo di contatto di un consultorio, a volte compare l’intera storia.

Tre aspetti meritano attenzione.

Primo: le indicazioni non sono state raccolte, ma offerte. Nessuno ha chiesto della salute. Eppure ora quelle indicazioni stanno nella stessa tabella dei numeri di telefono — e, una volta lì, sono dati concernenti la salute ai sensi dell’art. 5 lett. c n. 2 LPD. Che siano arrivate senza che le si chiedesse non cambia nulla alla qualificazione.

Secondo: il testo libero non si può ordinare. Un campo «allergie» può essere nascosto, memorizzato separatamente, reso visibile a una cerchia ristretta e cancellato dopo un termine. Un campo «osservazioni» no, perché in anticipo nessuno sa cosa conterrà. Tutti coloro che possono aprire la tabella vedono tutto.

Terzo: è prima di tutto una questione di progettazione. La legge esige che i dati personali siano raccolti in modo proporzionato e soltanto per uno scopo determinato e riconoscibile per la persona interessata (art. 6 cpv. 2 e 3 LPD). L’IFPDT formula la stessa idea per le associazioni dicendo che possono essere trattati solo i dati realmente necessari al perseguimento dello scopo sociale. Un campo il cui contenuto è indeterminato in anticipo rende difficile questa verifica — non perché sia vietato, ma perché su qualcosa di ignoto si giudica male. Chi trasforma «osservazioni» in due campi concreti e chiaramente denominati sa in anticipo cosa arriverà.

Un modulo in cui nulla di tutto ciò entra in gioco

Il caso opposto è altrettanto istruttivo. Una falegnameria di Biasca ha sul proprio sito un modulo di contatto con tre campi: nome, e-mail, messaggio. Nessuna data di nascita, nessun indirizzo, nessun caricamento, nessun elenco a scelta con opzioni delicate. Le richieste riguardano ante di cucina e termini di consegna.

Anche qui si tratta di dati personali, e i principi dell’art. 6 LPD valgono come ovunque. Ma nessuna delle disposizioni sui dati degni di particolare protezione entra in gioco, perché tali dati semplicemente non compaiono — con una riserva: il campo «messaggio» è un campo libero. Anche lì un giorno può comparire una frase su una malattia. La differenza rispetto al primo esempio non è la tecnica, ma la probabilità e la quantità.

Proprio per questo la domanda su quali campi abbia un modulo è più utile di quella su quale software lo abbia generato. Alla prima si risponde in dieci minuti stampando il proprio modulo e scorrendolo riga per riga. Anche per i privati che allestiscono un modulo per una manifestazione o un’ordinazione collettiva è la stessa mezza pagina di lavoro.

Con Formulare sviluppiamo un’applicazione web proprio per questo caso: moduli le cui risposte vengono cifrate già nel browser e restano memorizzate in Svizzera. Questo non cambia nulla riguardo ai campi che un modulo contiene — resta la decisione di chi lo allestisce. Cambia quanti punti lungo il percorso possono leggere le risposte.