Il dato personale non è solo quello che identifica direttamente e fisicamente una persona e il concetto di “dato personale” può variare a seconda del contesto in cui un’informazione viene considerata.

Un’informazione, che di per sé non identifica una persona, infatti, può rappresentare un “dato personale” quando, associata ed incrociata con altri dati (anche detenuti da diversi titolari), consente l’identificazione di un individuo.

Il nuovo Regolamento europeo per la tutela dei dati personali (il GDPR che entrerà in vigore il 25 maggio 2018) include espressamente tra i dati personali anche i dati online: pensiamo alle tecniche di profilazione nel mondo del web, dove i navigatori in rete vengono identificati attraverso indirizzi IP, browser, cookies, dati di geolocalizzazione e simili.

Il Considerando 30 del GDPR recita: “Le persone fisiche possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati, quali gli indirizzi IP, a marcatori temporanei (cookies) o a identificativi di altro tipo, come i tag di identificazione a radiofrequenza. Tali identificativi possono lasciare tracce che, in particolare se combinate con identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili delle persone fisiche e identificarle”.

Come abbiamo già visto (L’indirizzo IP dinamico è un dato personale), anche la Corte di Giustizia europea ha espressamente definito l’indirizzo IP (Internet Protocol) anche dinamico come un dato personale.

Con una recente sentenza del 24 aprile 2018 (caso Benedik c. Slovenia -ric. 62357/14), la CEDU ha anche chiarito che –trattandosi di un dato personale- solo l’autorità giudiziaria può lecitamente accedere all’indirizzo IP dinamico assegnato ad un utente della rete, per esempio al fine di identificare il responsabile di un cyber crimine.

Nel caso all’esame della Corte europea, la polizia svizzera aveva accertato che alcuni utenti di una rete di condivisione file “p2p” si scambiavano e potevano scaricare immagini e video pornografici, registrando gli indirizzi IP di quegli utenti tra i quali figurava anche il ricorrente.

La polizia slovena –in forza di una norma interna- aveva acquisito i dati relativi a quell’indirizzo IP dinamico, senza autorizzazione dell’autorità giudiziaria e richiedendoli direttamente al gestore dei servizi di rete nazionale: nel caso di specie, tra l’altro, l’abbonamento Internet era intestato al padre del ricorrente alla cui identità –non è chiaro in quale modo- la polizia era comunque risalita.

La CEDU ha stigmatizzato la contraddittorietà della norma interna, sottolineando come le norme europee e internazionali tutelino tutti dati relativi alle comunicazioni elettroniche, soprattutto se oggetto di indagini penali, e ricordando agli Stati che la tutela della riservatezza di quel tipo di dati può essere limitata solo in casi tassativi come la lotta al crimine online e solo in forza di un ordine giudiziario.

Il caso era anche particolare in quanto l’IP era relativo ad una persona estranea alle indagini in quanto, come spesso accade, l’abbonamento internet viene usato non solo dall’intestatario ma anche dai familiari, che hanno pieno diritto alla segretezza delle loro comunicazioni.

Anche la nostra Corte di Cassazione, del resto, si è recentemente pronunciata sull’importanza dell’indirizzo IP come dato utile per identificare l’autore di una condotta illecita (sentenza 5352/2018).

Nel caso all’esame della Suprema Corte, una sindacalista era stata condannata per un post diffamatorio pubblicato su un forum, con il suo account; la donna sosteneva che il suo account era accessibile da altri utenti e contestava l’omessa verifica da parte della Procura dell’indirizzo IP di provenienza della frase diffamatoria. La Corte ha accolto il ricorso, ritenendo che il solo account senza indirizzo IP non fosse sufficiente per accertare la paternità dei post diffamatori: l’indirizzo IP può essere utile per verificare, quanto meno, il titolare della linea telefonica associata.