I dati relativi all’identità di genere rientrano nella categoria dei dati sensibili ai sensi dell’art. 9 del Regolamento UE 2016/679 (GDPR), con conseguente obbligo di base giuridica rafforzata per il loro trattamento. Uno studio legale che gestisce fascicoli di lavoro, contenziosi in materia familiare o sistemi di screening basati su algoritmi deve verificare se i propri trattamenti coinvolgono questa categoria di dati. L’omessa valutazione espone a sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo.
Punti chiave
- Punto 1 — I dati sull’identità di genere sono dati sensibili ex art. 9 GDPR e richiedono base giuridica rafforzata.
- Punto 2 — L’AI Act UE classifica come alto rischio i sistemi che trattano dati biometrici o di identità personale.
- Punto 3 — Lo studio deve aggiornare il registro dei trattamenti se gestisce fascicoli giuslavoristici o familiari con questi dati.
Ogni studio legale che tratta fascicoli giuslavoristici, di diritto di famiglia o che utilizza software con funzioni di profilazione deve chiedersi una cosa concreta: i dati sull’identità di genere dei propri clienti e controparti sono trattati in modo conforme al GDPR? La risposta, nella maggior parte dei casi, è che il registro dei trattamenti non li contempla esplicitamente — e questo è già un problema.
Il tema è approfondito in un recente articolo pubblicato su GiuriCivile.it, che ricostruisce il quadro europeo su dati di genere, identità di genere, privacy e intelligenza artificiale, segnalando anche il volume “Donne, dati e algoritmi” come riferimento specialistico.
Il contesto normativo
L’art. 9 del Regolamento UE 2016/679 (GDPR) vieta in linea di principio il trattamento dei dati che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose, i dati genetici, biometrici e — per quanto qui rileva — i dati relativi alla salute o alla vita sessuale e all’orientamento sessuale. L’identità di genere, pur non menzionata esplicitamente, rientra in quest’ultima categoria secondo le linee guida dell’EDPB (European Data Protection Board) e la giurisprudenza della Corte di Giustizia UE, tra cui la sentenza C-184/20 del 1° agosto 2022 (Vyriausioji tarnybinės etikos komisija), che ha esteso la lettura dell’art. 9 ai dati indirettamente rivelatori di categorie sensibili. Sul fronte tecnologico, l’AI Act (Regolamento UE 2024/1689, in vigore dal 2 agosto 2024) classifica come sistemi ad alto rischio quelli che trattano dati biometrici per inferire caratteristiche personali, con obblighi specifici di trasparenza e conformità.
Cosa cambia per lo studio
- Revisione del registro dei trattamenti: se lo studio gestisce fascicoli di diritto del lavoro, discriminazioni, rettificazione di sesso o diritto di famiglia, occorre verificare se i trattamenti relativi a identità di genere sono censiti con la corretta base giuridica ex art. 9, par. 2, GDPR (tipicamente: esecuzione di un contratto con l’interessato, obbligo legale o consenso esplicito).
- Informativa da aggiornare: l’informativa privacy dello studio deve indicare espressamente le categorie particolari di dati trattate e la loro base giuridica. Un’informativa generica che citi solo “dati personali” non è sufficiente.
- Valutazione d’impatto (DPIA): l’art. 35 GDPR impone la DPIA quando si trattano su larga scala dati di cui all’art. 9. Studi con pratiche seriali in materia di lavoro o famiglia devono valutare se la soglia è superata.
- Strumenti e software: se lo studio usa piattaforme di gestione documentale o CRM con funzioni di analisi, occorre verificare con il fornitore se il sistema elabora o inferisce dati di identità di genere — con possibile ricaduta sotto l’AI Act come sistema ad alto rischio.
- Contenzioso per discriminazione: nelle cause ex d.lgs. 216/2003 (discriminazioni sul lavoro) o d.lgs. 198/2006 (codice pari opportunità), i dati sull’identità di genere della parte assistita vanno trattati con protocolli rafforzati anche nella corrispondenza interna allo studio.
Attenzione a
Acquisizione inconsapevole di dati sensibili. Il rischio più frequente non è il trattamento intenzionale ma quello incidentale: una mail del cliente che menziona la propria identità di genere, un documento allegato agli atti, un referto medico in un fascicolo di lavoro. Anche il semplice archivio non strutturato di email costituisce trattamento ai sensi dell’art. 4 GDPR, con tutti gli obblighi che ne derivano.
Sanzioni e responsabilità solidale con fornitori. Il Garante per la protezione dei dati personali ha già irrogato sanzioni per mancato censimento di categorie particolari di dati nel registro dei trattamenti. In caso di utilizzo di software di terzi non conformi, lo studio risponde come titolare del trattamento anche per le violazioni imputabili al responsabile esterno, salvo clausole contrattuali specifiche ex art. 28 GDPR.
Domande frequenti
L’identità di genere è un dato sensibile ai sensi del GDPR?
Sì. Secondo l’EDPB e la sentenza CGUE C-184/20 del 1° agosto 2022, i dati sull’identità di genere rientrano nell’art. 9 GDPR come dati relativi alla vita sessuale o all’orientamento sessuale. Il loro trattamento richiede una base giuridica rafforzata tra quelle elencate all’art. 9, par. 2, GDPR e va censito nel registro dei trattamenti con specifica motivazione.
Uno studio legale deve fare la DPIA se tratta dati di identità di genere?
Dipende dalla scala del trattamento. L’art. 35 GDPR impone la DPIA per trattamenti su larga scala di categorie particolari ex art. 9. Uno studio con un numero seriale di pratiche in materia di lavoro o diritto di famiglia dovrebbe valutare il superamento della soglia. In caso di dubbio, il Garante italiano raccomanda di effettuarla comunque.
Cosa rischia uno studio legale che non aggiorna l’informativa privacy sui dati sensibili?
Un’informativa incompleta che non indica le categorie particolari di dati trattate viola l’art. 13 GDPR. Il Garante può irrogare sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per violazioni degli obblighi informativi. Nei contenziosi, l’omissione può essere eccepita dalla controparte come violazione procedurale.
Fonte di riferimento: Giuricivile