Un controllo sul casellario, una verifica preassuntiva o la pubblicazione di una sentenza possono trasformarsi rapidamente in un problema di privacy. Il GDPR consente il trattamento dei dati giudiziari solo in condizioni precise: qui chiarisco quali informazioni rientrano nella categoria, quale base giuridica serve in Italia, quali limiti valgono per aziende e pubbliche amministrazioni e come organizzare un trattamento realmente difendibile.
Le regole essenziali per gestire correttamente i dati giudiziari
- Articolo 10: condanne, reati e misure di sicurezza richiedono garanzie rafforzate.
- Legge italiana: fuori dal controllo dell’autorità pubblica serve una norma che autorizzi il trattamento.
- Consenso insufficiente: la volontà dell’interessato, da sola, non supera i requisiti dell’articolo 10.
- Minimizzazione: si raccolgono solo le informazioni indispensabili per uno scopo concreto.
- Sicurezza e accessi: autorizzazioni selettive, cifratura, registri e tempi di conservazione documentati sono fondamentali.
Che cosa sono davvero i dati giudiziari secondo il GDPR
Il GDPR parla di dati relativi a condanne penali e reati, comprese le misure di sicurezza connesse. Nella pratica italiana rientrano in questa area anche le informazioni che rivelano la qualità di indagato o imputato, l’esistenza di un procedimento penale o determinati provvedimenti iscritti nel casellario giudiziale.
Non tutti i documenti provenienti da un tribunale sono automaticamente “dati giudiziari” ai sensi dell’articolo 10. Una sentenza civile, per esempio, resta un dato personale e deve essere trattata secondo i principi generali del GDPR, ma potrebbe contenere anche informazioni sanitarie, familiari o patrimoniali soggette ad altre tutele. La natura del dato dipende dal contenuto, non soltanto dall’ufficio che lo ha prodotto.
La differenza rispetto ai dati sensibili
I dati giudiziari non coincidono con le categorie particolari dell’articolo 9, spesso chiamate informalmente dati sensibili. Un procedimento penale può però contenere dati relativi alla salute, all’origine etnica o alla vita sessuale. In quel caso si applicano più livelli di protezione contemporaneamente, con basi giuridiche e misure di sicurezza da valutare separatamente.
Questa distinzione non è un dettaglio teorico. Ho visto spesso informative aziendali usare la parola “sensibili” come contenitore generico, senza spiegare perché il dato venga raccolto e quale regola ne autorizzi l’uso. È un’impostazione debole: la documentazione deve identificare con precisione che cosa si tratta, per quale finalità e sulla base di quale norma.
Perché l’articolo 10 impone un controllo più severo
Un’informazione su un’indagine o su una condanna può incidere sull’occupazione, sulla reputazione, sull’accesso a un servizio e sulla libertà di una persona per molti anni. Per questo l’articolo 10 stabilisce che il trattamento avvenga sotto il controllo dell’autorità pubblica oppure sia autorizzato dal diritto dell’Unione o degli Stati membri, con garanzie adeguate per i diritti dell’interessato.
In Italia il riferimento centrale è l’articolo 2-octies del Codice in materia di protezione dei dati personali. Per un soggetto privato non basta quindi sostenere che il controllo “sarebbe utile” o che il candidato ha consegnato spontaneamente un certificato. Occorre verificare l’esistenza di una specifica disposizione di legge o di regolamento che renda lecito quel trattamento e ne delimiti le condizioni.
Il consenso non risolve ogni problema
Il consenso può avere un ruolo in alcuni trattamenti ordinari, ma non sostituisce l’autorizzazione richiesta dall’articolo 10. Nel rapporto di lavoro, inoltre, il consenso del dipendente o del candidato è spesso poco libero per via dello squilibrio tra le parti. Raccogliere una firma su un modulo non rende automaticamente legittima una ricerca generalizzata sul passato penale.
La base giuridica va costruita su due piani. Il primo riguarda i dati personali comuni, secondo l’articolo 6 del GDPR. Il secondo riguarda l’autorizzazione specifica al trattamento dei dati giudiziari, che deve derivare dalla legge, dal regolamento applicabile o dal controllo dell’autorità competente. Le due verifiche sono cumulative, non alternative.
Come cambia il trattamento per aziende e pubbliche amministrazioni
Il caso più frequente per un’impresa è la verifica dei requisiti di una persona prima dell’assunzione o dell’affidamento di un incarico. Questa attività è lecita solo quando una norma la rende necessaria, per esempio per mansioni o settori che richiedono particolari requisiti di affidabilità. Un datore di lavoro non può chiedere il certificato del casellario a tutti i candidati “per sicurezza”.
Per ogni trattamento suggerisco di compilare una scheda interna con almeno cinque elementi: finalità, norma autorizzativa, categorie di persone coinvolte, dati indispensabili e periodo di conservazione. Se uno di questi campi rimane vago, il progetto non è ancora pronto per entrare in produzione.
| Scenario | Rischio principale | Approccio corretto |
|---|---|---|
| Selezione del personale | Controlli generalizzati sui candidati | Verifica solo quando una norma collega il requisito alla mansione |
| Appalto o fornitura | Raccolta di documenti eccedenti | Richiedere esclusivamente le dichiarazioni e le prove previste dalla procedura |
| Videosorveglianza | Confondere immagini con prove di reato | Definire finalità, accessi e conservazione senza usare le immagini per scopi incompatibili |
| Pubblicazione online | Diffusione di nomi e vicende penali | Pubblicare solo ciò che una norma impone e oscurare gli elementi non necessari |
Pubblicare non significa semplicemente conservare
La consultazione interna di un documento e la sua pubblicazione su un sito web hanno un impatto molto diverso. La diffusione online può rendere l’informazione accessibile a un numero indeterminato di persone, favorire la copia da parte dei motori di ricerca e rendere difficile il controllo sulla sua permanenza. Le iniziali non garantiscono sempre l’anonimato: combinando ufficio, ruolo, data e altri dettagli, una persona può restare facilmente identificabile.
Nel settore pubblico la trasparenza amministrativa non autorizza qualsiasi pubblicazione. Prima di mettere online un atto bisogna verificare l’obbligo concreto, la durata prevista, il livello di anonimizzazione e la presenza di dati giudiziari non indispensabili. La trasparenza deve essere applicata con misura, non come una scorciatoia per rendere pubblico l’intero documento.
Il metodo pratico per rendere lecito il trattamento
La gestione corretta parte prima della raccolta. Un’organizzazione dovrebbe poter dimostrare, anche dopo mesi, perché ha acquisito quel dato e perché non avrebbe potuto raggiungere lo stesso obiettivo con un’informazione meno invasiva.
- Definire lo scopo. Scrivere una finalità concreta, come la verifica di un requisito obbligatorio, evitando formule generiche quali “valutazione dell’affidabilità”.
- Individuare la norma. Collegare il trattamento a una disposizione nazionale o europea precisa e verificare che riguardi proprio quel tipo di controllo.
- Ridurre la raccolta. Se è sufficiente un’autodichiarazione o una verifica puntuale, non conservare un fascicolo penale completo.
- Informare l’interessato. L’informativa deve spiegare finalità, base giuridica, destinatari, tempi di conservazione e diritti esercitabili.
- Limitare gli accessi. Il documento deve essere visibile solo alle persone che ne hanno bisogno per il proprio incarico.
- Stabilire la cancellazione. Alla fine della procedura o del rapporto, i dati vanno eliminati o resi anonimi quando non esiste più una ragione documentata per conservarli.
La minimizzazione non significa soltanto raccogliere meno file. Significa anche evitare copie nelle caselle email, allegati scaricati sul desktop, cartelle condivise senza permessi e fogli Excel duplicati. Il punto più fragile spesso non è il database principale, ma la copia temporanea dimenticata in un sistema secondario.
Quando serve una valutazione d’impatto
Una valutazione d’impatto sulla protezione dei dati, o DPIA, serve quando il trattamento può presentare un rischio elevato per le persone. L’uso sistematico di dati giudiziari, l’incrocio con altre banche dati, la profilazione e gli strumenti automatizzati sono segnali che richiedono un’analisi approfondita, soprattutto se l’attività coinvolge molti interessati.
La DPIA non è una formalità da compilare a posteriori. Deve descrivere il flusso dei dati, i rischi di accesso improprio o di errore, le misure adottate e il rischio residuo. Se quel rischio resta elevato e non può essere ridotto, il titolare deve valutare il confronto preventivo con il Garante prima di iniziare il trattamento.
Sicurezza, conservazione e diritti delle persone
Il GDPR non stabilisce un unico numero di giorni valido per tutti i dati giudiziari. Il periodo dipende dalla finalità, dagli obblighi di legge e dalla necessità di dimostrare una decisione. Conservare un certificato per tutta la durata della carriera, quando serviva solo per completare una verifica iniziale, è difficilmente proporzionato. Il termine deve essere scritto nella policy, non lasciato alla memoria dell’ufficio.
Le misure tecniche devono essere coerenti con la sensibilità del trattamento. In genere considero indispensabili autenticazione individuale, controllo degli accessi per ruolo, cifratura durante il trasferimento e, quando appropriato, anche a riposo, registrazione degli accessi, backup protetti e procedure per la cancellazione sicura.
Il titolare deve inoltre scegliere con attenzione eventuali responsabili esterni, come fornitori di software HR, società di investigazione o piattaforme documentali. Il contratto previsto dall’articolo 28 del GDPR non basta da solo: bisogna verificare subfornitori, localizzazione dei dati, tempi di conservazione e gestione degli incidenti.
Leggi anche: Responsabile del trattamento GDPR - regole e controlli
Che cosa può chiedere l’interessato
La persona può esercitare, in base al caso concreto, i diritti di accesso, rettifica, cancellazione, limitazione e opposizione. L’azienda deve rispondere senza ingiustificato ritardo e, di regola, entro un mese dalla richiesta; il termine può essere esteso di altri due mesi per richieste complesse, informando l’interessato delle ragioni.
Questi diritti non sono sempre assoluti. Possono esistere limiti legati a indagini, obblighi legali, tutela di procedimenti giudiziari o competenze dell’autorità pubblica. La risposta, però, deve essere motivata: un rifiuto generico è fragile e rende più difficile dimostrare la correttezza del titolare.
Se si verifica una violazione, per esempio l’invio del certificato alla persona sbagliata, bisogna valutare rapidamente il rischio per gli interessati. Quando ricorrono le condizioni previste dal GDPR, la notifica al Garante va effettuata entro 72 ore dalla conoscenza del data breach; nei casi di rischio elevato può essere necessario informare anche le persone coinvolte.
Gli errori che espongono maggiormente un’organizzazione
Il primo errore è confondere la reperibilità con la liceità. Un’informazione trovata su un giornale, in un albo o su un sito istituzionale non diventa automaticamente libera da usare per qualsiasi finalità. La provenienza pubblica può incidere sulla valutazione del trattamento, ma non elimina limitazione della finalità, esattezza e proporzionalità.
- Chiedere il casellario a tutti i dipendenti senza distinguere ruoli e obblighi.
- Usare il consenso come unica giustificazione del controllo.
- Conservare il documento oltre il tempo necessario.
- Inviare informazioni penali tramite email non protette o cartelle condivise.
- Pubblicare sentenze con nomi, iniziali e dettagli facilmente riconducibili alla persona.
- Lasciare che un algoritmo attribuisca automaticamente un giudizio di affidabilità.
Quest’ultimo punto merita prudenza. Un software può aiutare a verificare la completezza di una pratica, ma non dovrebbe trasformare una vecchia denuncia, un’archiviazione o una condanna non pertinente in un punteggio permanente. L’automazione amplifica gli errori e può rendere difficile spiegare all’interessato perché sia stata presa una decisione sfavorevole.
Esiste infine una distinzione importante per le forze dell’ordine e per le autorità giudiziarie. Quando il trattamento è svolto per prevenire, accertare o perseguire reati nell’esercizio delle funzioni competenti, può trovare applicazione la disciplina specifica collegata alla direttiva europea 2016/680 e al decreto legislativo 51/2018, invece del solo GDPR. Per imprese, professionisti e normali amministrazioni, resta invece centrale la verifica prevista dall’articolo 10 e dal Codice privacy italiano.
La regola pratica per non trasformare un controllo in un rischio privacy
Prima di raccogliere un dato giudiziario, mi pongo sempre tre domande: quale norma mi autorizza, quale informazione mi serve davvero e chi deve poterla vedere. Se una risposta manca, il trattamento va ripensato prima ancora di scegliere il software o predisporre il modulo.
Una procedura breve, mirata e documentata protegge meglio sia l’organizzazione sia la persona interessata. La conformità non nasce dall’accumulare certificati, ma dal dimostrare che ogni informazione è stata usata per uno scopo legittimo, per il tempo necessario e con garanzie proporzionate al rischio.
