Un contatore intelligente che registra i consumi ogni quindici minuti conosce i ritmi di vita di chi abita un’abitazione. Rileva quando una persona si trova in casa, quali apparecchi utilizza e, in alcuni casi, quali condizioni di salute la riguardano.
I dati di consumo energetico granulare costituiscono dati personali ai sensi del GDPR e, talvolta, sono anche riconducibili alle categorie particolari.
In questo articolo, il primo di due dedicati alla protezione dei dati personali nelle reti energetiche intelligenti, affrontiamo la natura di tali dati, la loro qualificazione giuridica, la distribuzione dei ruoli tra i soggetti coinvolti e le conseguenze di una loro compromissione, dove la disciplina del GDPR incontra quella sulla sicurezza delle reti.
Indice degli argomenti
La rete che interpreta l’energia
Le reti di distribuzione intelligenti (smart grid) non si limitano più a trasportare energia; la interpretano. Attraverso sensori, dati e comunicazione digitale, la rete rileva ciò che accade in ogni suo punto, si adatta in tempo reale, previene i guasti e ottimizza i flussi.
È un salto tecnologico che rende possibile la transizione energetica: senza intelligenza distribuita non si governano le rinnovabili intermittenti, non si integrano gli accumuli, non si gestisce la domanda flessibile.
Esiste, però, un rovescio della medaglia che il settore energetico non può più trattare come un dettaglio.
Nel fare tutto questo, la rete genera informazioni che parlano delle persone: presenze, abitudini, ritmi di vita.
È energia che diventa dato e dato che diventa identità.
L’esperimento mentale del contatore
Per cogliere la portata del fenomeno basta un esperimento mentale.
Quante volte si ricarica lo smartphone? Di norma la sera, prima di dormire. Quando si accende la lavatrice? La mattina presto o nel fine settimana. Quando si usa il forno? In orari serali, da cena.
Si immagini ora che qualcuno registri, ogni quindici minuti, i consumi elettrici di un’abitazione.
Quei dati, apparentemente anonimi e apparentemente tecnici, ricostruiscono la vita quotidiana con una precisione sorprendente. Rivelano se le persone sono in casa, se hanno ospiti, se seguono una dieta particolare, se hanno bambini piccoli, se lavorano di notte.
In alcuni casi rivelano persino condizioni di salute: si pensi al profilo di consumo inconfondibile di un ventilatore polmonare domestico.
Il contatore intelligente è, di fatto, un sensore biografico installato in ogni abitazione.
La qualificazione giuridica: dati personali, talvolta dati particolari
Il diritto europeo ha assunto da tempo una posizione chiara.
Già nel 2011 il Gruppo di lavoro Articolo 29, nel parere WP183, aveva chiarito che i dati raccolti dai contatori intelligenti costituiscono dati personali quando risultano associati a identificativi univoci riferibili a una persona.
La loro rilevanza non dipende dal fatto che riportino direttamente il nome dell’interessato.
È sufficiente che consentano di collegare i consumi a un individuo identificato o identificabile e di ricostruirne, anche indirettamente, abitudini, comportamenti e aspetti della vita privata.
Il GDPR ha consolidato questa impostazione attraverso una definizione ampia di dato personale.
I dati di consumo, soprattutto quando rilevati con un elevato livello di dettaglio, descrivono molto più del semplice utilizzo dell’energia.
Indicano quando una persona si trova in casa, quali apparecchi impiega, con quale frequenza e secondo quali routine. In alcuni casi la capacità informativa di questi dati si estende fino a rivelare informazioni particolarmente delicate.
È il caso dei consumi riconducibili all’impiego continuativo di apparecchiature medicali in ambito domestico.
Quando da tali informazioni è possibile desumere dati relativi alla salute, il trattamento coinvolge le categorie particolari di dati personali dell’articolo 9 del Regolamento e richiede le garanzie rafforzate ivi previste.
Il confine tra un semplice dato tecnico di rete e un’informazione sanitaria dipende, così, dal livello di dettaglio della rilevazione e dalla possibilità di collegare i consumi alle condizioni di vita della persona.
Chi risponde: un ecosistema di ruoli e responsabilità
La qualificazione dei dati di consumo come dati personali produce conseguenze sull’intero ecosistema delle reti intelligenti.
Distributori, venditori di energia, gestori dei sistemi di misurazione, aggregatori di flessibilità, comunità energetiche e fornitori di piattaforme digitali possono partecipare, con ruoli diversi, al trattamento dei dati generati dai contatori.
Non sarebbe corretto considerarli automaticamente tutti titolari del trattamento.
La qualificazione dipende dalle attività effettivamente svolte e dal potere esercitato sulle finalità e sui mezzi del trattamento.
La smart grid, quindi, non costituisce soltanto un’infrastruttura tecnologica: è un ecosistema informativo nel quale responsabilità, obblighi e relazioni tra i soggetti coinvolti devono essere individuati con precisione.
Protezione dei dati e cyber sicurezza: due discipline che convergono
La protezione giuridica dei dati e la sicurezza informatica operano su piani distinti, ma nelle infrastrutture energetiche convergono.
La compromissione di un contatore non costituisce automaticamente una violazione di dati personali.
Assume questa qualificazione quando una violazione della sicurezza determina, accidentalmente o illecitamente, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trattati.
In tali casi, il titolare deve notificare la violazione all’Autorità di controllo, salvo che sia improbabile la presenza di un rischio per i diritti e le libertà delle persone fisiche.
La notifica deve avvenire senza ingiustificato ritardo e, ove possibile, entro settantadue ore dalla conoscenza dell’evento, secondo l’articolo 33 del GDPR.
Per gli operatori energetici che rientrano nell’ambito del D.Lgs.138/2024, la stessa compromissione può assumere rilievo anche ai fini della disciplina NIS2, quando coinvolge la sicurezza delle reti e dei sistemi informativi e ne soddisfa i presupposti.
Gli obblighi derivanti dal GDPR e dal decreto NIS restano distinti, con finalità, criteri e destinatari differenti, ma possono essere attivati dallo stesso evento.
La convergenza è evidente: entrambe le discipline richiedono conoscenza dei sistemi, valutazione dei rischi, misure adeguate, capacità di rilevare gli incidenti e procedure efficaci di risposta.
L’oggetto immediato può differire, ma la qualità della protezione dipende dalla stessa capacità organizzativa di governare tecnologie, dati e responsabilità.
Transizione energetica e GDPR: il nuovo ruolo degli operatori energetici
I dati di consumo rilevati con un elevato livello di dettaglio non descrivono soltanto il funzionamento di una rete ma raccontano anche abitudini, presenze, comportamenti e aspetti della vita quotidiana.
Per questa ragione la loro gestione modifica profondamente il ruolo degli operatori energetici.
Distributori, aggregatori, comunità energetiche e fornitori tecnologici non amministrano soltanto infrastrutture e flussi di energia.
Infatti, quando trattano dati personali assumono responsabilità precise e devono rispettare il GDPR secondo il ruolo effettivamente svolto.
Stabilito che questi dati sono personali e che la loro compromissione attiva obblighi precisi, resta la domanda più concreta: come si trattano correttamente? Quali principi ne governano la raccolta, quali scelte progettuali ne riducono i rischi e in che modo la protezione dei dati può trasformarsi da vincolo in vantaggio competitivo?
Ma questo il tema del prossimo capitolo della dilogia, dedicato alla disciplina del trattamento e alla protezione dei dati fin dalla progettazione.
Partecipa alla community