Nel dibattito sulla compliance al GDPR (Regolamento europeo sulla protezione dei dati personali) e sulla responsabilità dei soggetti coinvolti nei flussi informativi, uno degli equivoci più ricorrenti riguarda i servizi di recapito, perché si continua a confondere il contatto materiale con la responsabilità giuridica.
Questa confusione genera interpretazioni semplicistiche e un’idea distorta del General Data Protection Regulation come norma che segue gli oggetti invece delle decisioni.
Ecco un principio cardine della protezione dei dati personali: la responsabilità non nasce dalla prossimità fisica al dato, ma dal potere di governarlo.
Attraverso il caso emblematico dei servizi di recapito, vediamo come il GDPR non attribuisce ruoli e obblighi a chi trasporta informazioni senza poter incidere sul loro contenuto, ma individui tali ruoli e obblighi in capo a chi ne determina finalità, modalità e destino.
Comprendere questa logica significa compiere un salto di maturità nella compliance perché consente di passare da una visione meccanica e difensiva a una lettura autenticamente giuridica, organizzativa e responsabile della protezione dei dati.
Indice degli argomenti
Il GDPR non segue le mani che toccano i dati ma il potere che li governa
Nel dibattito quotidiano sulla compliance talvolta si sente dire che “chiunque tocchi un dato assume una responsabilità”.
È una semplificazione che rassicura perché offre un confine netto e apparentemente facile da comprendere, ma proprio per questo, però, secondo me, è fuorviante.
La protezione dei dati personali non nasce dal contatto materiale né dalla vicinanza fisica al supporto che li contiene. Il suo fondamento è più profondo e riguarda il controllo informativo cioè il potere effettivo di decidere:
- che cosa accade a quel dato;
- perché viene utilizzato, in che modo e con quali conseguenze per i soggetti interessati.
È qui che il diritto della protezione dei dati colloca la responsabilità: non nel gesto meccanico del “toccare” ma nella capacità di incidere sul destino dell’informazione.
Per questo motivo, è essenziale tenere a mente un principio che spesso si perde nel rumore della pratica quotidiana: il GDPR non è una norma che governa gli oggetti o i contenitori, ma una disciplina che regola le relazioni di potere che si instaurano intorno ai dati personali.
Una compliance matura
Comprendere questo passaggio significa cambiare prospettiva e quindi smettere di guardare ai dati come a cose che passano di mano e iniziare a leggerli come informazioni che generano responsabilità solo laddove qualcuno ne assume davvero il controllo.
È da qui che prende forma una compliance matura, capace di distinguere il gesto materiale dal governo sostanziale del dato e di collocare correttamente obblighi e responsabilità.
Il possesso non è trattamento
Quando si parla di dati personali, uno degli equivoci più frequenti nasce dall’osservazione del gesto e non della sostanza.
Così, se si vede qualcuno che trasporta un documento all’interno di una busta
chiusa, che lo tiene materialmente tra le mani, si potrebbe essere portati a pensare che quel semplice possesso faccia scattare automaticamente una responsabilità sul contenuto.
In realtà, il diritto della protezione dei dati segue un’altra logica molto più rigorosa e al tempo stesso più concreta.
Si pensi a un servizio di consegna che riceve una busta sigillata contenente cartelle cliniche, fascicoli giudiziari o altre informazioni di estrema delicatezza. Quella busta viaggia, passa di mano in mano, ma resta chiusa. Non può essere aperta, né letta né alterata. Quindi il contenuto informativo rimane inaccessibile.
In questa situazione il corriere non entra mai in relazione con il dato in quanto tale: trasporta un involucro ma non governa un’informazione.
Ed è proprio qui che si colloca il discrimine giuridico.
Il GDPR parla di trattamento solo quando esiste una relazione effettiva con il dato personale cioè una possibilità concreta di accedervi, di utilizzarlo, di influenzarne il percorso o il significato.
Senza questa relazione, il trattamento non prende forma e il semplice trasporto fisico di un contenitore, per quanto carico di informazioni sensibili, non crea di per sé quel legame che la normativa richiede per far nascere obblighi e responsabilità.
Comprendere questo passaggio significa spostare lo sguardo dal gesto materiale al rapporto reale con l’informazione ed è uno dei passaggi più importanti per leggere correttamente la logica del Regolamento europeo sulla protezione dei dati personali.
Il corriere come semplice canale di trasmissione
Per comprendere davvero il ruolo del servizio di recapito è utile fermarsi un momento e osservare la sua funzione per ciò che è, senza sovrapporvi categorie che non gli appartengono.
Il corriere si colloca lungo il percorso che un’informazione compie dal mittente al destinatario, ma resta sempre esterno al significato di ciò che trasporta.
È un passaggio non un nodo decisionale è un tramite materiale che consente lo spostamento dell’informazione senza mai entrare nel governo del contenuto.
Chi affida una busta a un servizio di consegna ha già deciso perché quei dati devono essere inviati e a chi e ha anche già stabilito il contesto, la finalità, l’uso che ne verrà fatto una volta arrivati a destinazione.
Il corriere non prende parte a nessuna di queste scelte. Non orienta il trattamento, non lo modifica, non ne influenza gli esiti, ma si limita a garantire che l’involucro arrivi da un punto all’altro, restando estraneo al valore informativo che quel contenuto racchiude.
È per questo che, nel linguaggio giuridico, il servizio di recapito viene descritto come un “mere conduit”, un semplice canale di trasmissione.
Almeno, così lo definisce l’ICO (Information Commissioner’s Office) Autorità di controllo Britannica, nelle sue Linee Guida sull’individuazione dei ruoli di “controller” e “processor”.
Il ruolo della responsabilità nel diritto della protezione dei dati
Mancando qualsiasi controllo sulle finalità e sui mezzi del trattamento, viene meno il presupposto stesso per attribuire al corriere un ruolo di titolare o di responsabile del trattamento.
La responsabilità, nel diritto della protezione dei dati, segue sempre il potere di decidere e di incidere sull’informazione.
Quindi appare evidente che laddove questo potere non esiste non può nascere neppure il ruolo privacy previsto dal GDPR.
La responsabilità segue il potere, non la vicinanza
Si è detto che nel sistema della protezione dei dati la responsabilità non nasce dal semplice contatto, ma dalla possibilità concreta di incidere sull’informazione.
Ora, attribuire gli obblighi stabiliti dal GDPR a un soggetto come il corriere che non può verificare l’esattezza dei dati, non può aggiornarli né ridurli al necessario o stabilirne i tempi di conservazione, significherebbe chiedergli l’impossibile.
Sarebbe una forzatura concettuale prima ancora che giuridica.
La data protection funziona solo se resta ancorata al potere decisionale perché è lì che si esercita il controllo reale sul dato.
Quindi non avrebbe alcun senso pretendere da un servizio di recapito il rispetto dei principi di protezione dei dati rispetto al contenuto delle lettere che trasporta perché quel contenuto, per definizione, resta fuori dalla sua sfera di governo e quindi fuori dalla sua responsabilità.
Lo smarrimento come esito di una scelta organizzativa e della connessa valutazione del rischio
Quando un plico contenente dati personali viene smarrito durante il trasporto, la responsabilità non si dissolve lungo il percorso né si trasferisce automaticamente a chi lo stava materialmente consegnando, ma resta in capo al titolare del trattamento che ha deciso di utilizzare quel mezzo di trasmissione. Ogni scelta organizzativa incorpora una valutazione del rischio e produce conseguenze.
Se la sicurezza del dato era un requisito essenziale, spettava al titolare adottare modalità di invio coerenti con quel livello di sensibilità.
In questa prospettiva, la perdita del plico non interrompe la catena della responsabilità, ma la riporta semplicemente al punto in cui il trattamento viene davvero governato.
Quando il corriere diventa titolare a pieno titolo
Il servizio di recapito non è estraneo al GDPR in senso assoluto, perché anche esso tratta dati personali. La differenza sta nel perimetro di questo trattamento.
Il corriere diventa titolare quando gestisce i dati necessari a organizzare e svolgere la propria attività: i nominativi dei mittenti e dei destinatari, gli indirizzi, le informazioni di tracciamento, i dati del personale.
In questo spazio, il controllo esiste davvero, le decisioni vengono prese e il trattamento è pienamente consapevole.
È qui che nasce la responsabilità giuridica, in modo coerente con la logica del sistema.
Il confine è netto: la responsabilità emerge solo dove il dato smette di essere un contenuto ignoto e diventa un’informazione governata.
La lezione da trarre dal caso del corriere e GDPR
Alla fine di questa riflessione sul corriere, il punto fermo è uno solo: nel GDPR la responsabilità non segue il dato come un’ombra, ma si ancora saldamente al potere che lo governa.
Dove non esiste la possibilità di decidere, orientare, utilizzare o modificare un’informazione non può esistere neppure una responsabilità in senso proprio.
Questa consapevolezza libera la protezione dei dati da molte ambiguità e restituisce al sistema la sua coerenza originaria.
Il GDPR non è una normativa che punisce il passaggio materiale delle informazioni, ma una disciplina che chiede conto delle scelte, delle valutazioni di rischio e delle decisioni organizzative.
È lì che si misura la responsabilità ed è lì che si colloca la vera compliance.
Quando si smette di inseguire i dati come oggetti che cambiano mano, la protezione dei dati diventa ciò che deve essere: una pratica di responsabilità consapevole e un presidio concreto a tutela delle persone.
