Il codice fiscale è un dato sensibile?
No. Il codice fiscale è un dato personale, non un dato sensibile. Le due espressioni vengono usate come sinonimi nel linguaggio corrente, ma nel GDPR indicano due cose diverse: «dato personale» è la categoria generale, e vi rientra qualunque informazione che identifichi una persona fisica; «dato sensibile» è il nome tradizionale delle categorie particolari dell’articolo 9, che sono un elenco chiuso. Il codice fiscale sta nella prima, non nella seconda.
La risposta in breve
Il codice fiscale identifica una persona fisica, quindi è un dato personale a tutti gli effetti e il suo trattamento segue il Regolamento (UE) 2016/679. Non è però un dato sensibile, perché non rivela nessuna delle informazioni che l’articolo 9 protegge in modo rafforzato. La distinzione non è un cavillo: cambia le condizioni alle quali qualcuno può trattare quel dato, e cambia la risposta a quasi tutte le domande pratiche che le persone si fanno.
Personale e sensibile non sono sinonimi
Sono dati personali le informazioni che identificano o rendono identificabile una persona fisica. È una definizione larghissima: ci rientrano il nome, un indirizzo e-mail, una targa, e naturalmente il codice fiscale, che è costruito proprio a partire da cognome, nome, data e comune di nascita. I dati sensibili sono invece un sottoinsieme ristretto, definito per elencazione.
| Dato | Categoria | Perché |
|---|---|---|
| Codice fiscale | Dato personale comune | identifica una persona fisica, quindi rientra nella definizione generale |
| Referto medico | Categoria particolare | rivela lo stato di salute, che l’articolo 9 elenca espressamente |
| Nome e cognome | Dato personale comune | identificano la persona senza rivelare nulla delle categorie protette |
| Impronta digitale | Categoria particolare | è un dato biometrico trattato per identificare univocamente qualcuno |
Che cosa dice l’articolo 9
L’articolo 9 del GDPR vieta in linea di principio il trattamento delle categorie particolari di dati, salvo eccezioni tassative. L’elenco è questo, ed è chiuso:
- origine razziale o etnica
- opinioni politiche
- convinzioni religiose o filosofiche
- appartenenza sindacale
- dati genetici
- dati biometrici usati per identificare una persona
- dati relativi alla salute
- dati relativi alla vita sessuale o all’orientamento sessuale
Il codice fiscale non compare in nessuna voce, e non ci arriva neppure per via indiretta: le informazioni che veicola sono la data di nascita, il sesso registrato alla nascita e il luogo di nascita. Nessuna delle tre è una categoria particolare.
Che cosa comporta in pratica
Chi tratta un dato sensibile deve poggiare su una delle eccezioni dell’articolo 9, che sono poche e specifiche. Chi tratta il codice fiscale ha invece bisogno di una base giuridica ordinaria: un obbligo di legge, l’esecuzione di un contratto, il consenso, un interesse legittimo. È il motivo per cui una fattura può riportare il tuo codice senza chiederti nulla, mentre un modulo di iscrizione a una newsletter che lo pretende deve spiegare a che cosa gli serve.
Cambia anche la valutazione del rischio. La diffusione di un dato sanitario è di per sé un danno; la diffusione di un codice fiscale, che compare su fatture, ricette, contratti e certificati, è un problema soprattutto in combinazione con altri dati.
A chi appartiene un codice fiscale
È la domanda che porta più persone su questa pagina, e la risposta onesta è che dal codice non si risale al titolare. Non esiste un registro pubblico consultabile, e la struttura stessa del codice lo impedisce: le sei lettere iniziali sono una estrazione di consonanti che non si può invertire per ottenere nome e cognome, perché molte persone diverse producono la stessa terna.
Quello che si può fare è il contrario: partire da dati anagrafici che già si conoscono e controllare se corrispondono. È esattamente ciò che fa il servizio pubblico di verifica del codice fiscale in Agenzia delle Entrate, che risponde sulla corrispondenza e non restituisce mai un nome.
Se il codice finisce in giro
Il codice fiscale è un identificatore, non una credenziale: da solo non apre nessun servizio e non autorizza nessuna operazione. Chi lo conosce sa che esisti e sa quando e dove sei nato, cose che in molti contesti sono già note. Il rischio reale si presenta quando il codice viaggia insieme ad altro, per esempio la copia di un documento, perché è la combinazione a rendere credibile un tentativo di impersonazione.
Questo non autorizza a diffondere il codice altrui. Trattare dati personali senza base giuridica resta illecito anche quando il dato non è sensibile, e la tutela non dipende da quanto il dato sembri innocuo.
Domande frequenti
Fonti
Garante per la protezione dei dati personali, «Cosa intendiamo per dati personali?», che elenca le categorie particolari e le distingue dai dati personali comuni · Regolamento (UE) 2016/679, articolo 4, punto 1 (definizione di dato personale) e articolo 9 (categorie particolari) · Agenzia delle Entrate, scheda del servizio «Verifica codice fiscale».