Per la privacy dei dati di misura la domanda chiave è a chi si riferiscono. Il GDPR protegge i dati delle persone fisiche: la curva di un impianto intestato a una società non è, in sé, un dato personale. Lo diventa quando riguarda una persona identificata o identificabile, per esempio un produttore che è una ditta individuale o un impianto domestico, e sono dati personali anche nomi e contatti delle persone che gestiscono l'impianto.
Quando i dati di misura sono dati personali
Il Regolamento (UE) 2016/679 definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile, anche indirettamente, per esempio tramite un nome o un numero di identificazione. Il considerando 14 precisa che il regolamento non disciplina il trattamento dei dati relativi a persone giuridiche, in particolare imprese con personalità giuridica, compresi il nome, la forma e i dati di contatto della persona giuridica.
| Caso | Dato personale? |
|---|---|
| Curva e registri di un impianto di una S.r.l. o S.p.A. | Di norma no, se non si riferiscono a una persona fisica |
| Curva di un impianto intestato a una persona o a una ditta individuale | Sì, perché riguarda una persona identificabile |
| Prelievi di un'abitazione o di un'utenza legata a una persona | Sì |
| Nome, email e telefono di un referente, di un tecnico, di un operatore | Sì, anche se lavora per una società |
| Nome utente e accessi a una piattaforma o a un portale | Sì, quando identificano una persona |
In un portafoglio misto i due casi convivono: impianti di società accanto a impianti di persone fisiche. Conviene sapere quali sono, perché solo per questi valgono gli obblighi del GDPR.
Dati di misura e privacy: cosa chiede il GDPR
Quando tratti dati personali, l'articolo 5 del GDPR chiede che siano:
- raccolti per finalità determinate, esplicite e legittime, e non trattati poi in modo incompatibile;
- limitati a quanto necessario per quelle finalità (minimizzazione);
- esatti e aggiornati;
- conservati in forma identificabile non più del necessario per le finalità (limitazione della conservazione);
- protetti con misure tecniche e organizzative adeguate da trattamenti non autorizzati, perdita o distruzione.
Il titolare del trattamento deve essere in grado di dimostrare di rispettare questi principi. Per i tempi di conservazione legati alla misura vedi anche conservazione dei dati di misura.
Cosa cambia se i dati li gestisce un fornitore
Se un fornitore tratta dati personali per tuo conto, per esempio una piattaforma che archivia i dati dei tuoi impianti di persone fisiche o gli account dei tuoi operatori, il GDPR lo chiama responsabile del trattamento. L'articolo 28 prevede che il titolare ricorra solo a responsabili che presentino garanzie sufficienti e che il rapporto sia regolato da un contratto o da un altro atto giuridico che ne definisca materia, durata, natura e finalità.
L'articolo 32 chiede a titolare e responsabile misure di sicurezza adeguate al rischio, che comprendono, se del caso:
- la pseudonimizzazione e la cifratura dei dati personali;
- la capacità di assicurare riservatezza, integrità, disponibilità e resilienza dei sistemi;
- la capacità di ripristinare tempestivamente i dati dopo un incidente;
- una procedura per verificare regolarmente l'efficacia delle misure.
Le credenziali dei portali sono un caso tipico: chi le custodisce deve proteggerle. Ne parla l'articolo sulla sicurezza delle credenziali dei portali. Se i dati personali escono dall'Unione europea valgono poi le condizioni del capo V del GDPR: vedi dati degli impianti conservati nell'Unione europea.
Il limite d'uso dei dati di misura nel TIME
Accanto al GDPR c'è una regola di settore che vale per tutti i dati di misura, anche quelli delle società. Il TIME di ARERA stabilisce che i dati di misura rilevati e registrati nei punti di misura non possono essere usati per finalità diverse da quelle dei servizi di trasmissione, distribuzione, dispacciamento, vendita ed erogazione degli incentivi, salvo consenso scritto del titolare del punto di misura.
Per un produttore la conseguenza pratica è semplice: i dati del tuo POD sono legati a te come titolare, e il loro uso per altri scopi passa dal tuo consenso scritto. Se condividi i dati con consulenti, acquirenti o fornitori, chiarisci per iscritto cosa possono farne. Per i casi dubbi chiedi al tuo consulente privacy.
Come mettere in ordine i dati di misura: una checklist
- Censisci gli intestatari: quali POD e contatori sono di persone fisiche e quali di società.
- Elenca chi accede ai dati e ai portali: dipendenti, O&M, consulenti, fornitori di piattaforme.
- Verifica i contratti con i fornitori che trattano dati personali per tuo conto.
- Dai a ciascuno solo gli accessi che servono e toglili quando non servono più.
- Stabilisci per quanto tempo tieni i dati e cosa succede a fine contratto.
- Sappi dove sono i dati: in quale paese si trovano i server e chi è il fornitore di hosting.
Su questi punti enerdata dichiara alcune cose precise: le credenziali dei portali sono conservate cifrate; i dati sono su server nell'Unione europea, presso fornitori di hosting con sede nell'Unione, e non sono trasferiti fuori dall'UE; puoi esportarli in qualsiasi momento in Excel, CSV e zip; dopo la cessazione del servizio hai almeno 30 giorni per scaricarli, poi vengono cancellati con conferma scritta. I dettagli dei servizi sono in portali e-distribuzione e GSE e telelettura contatori.
Domande frequenti
La curva di carico di un impianto è un dato personale?
Lo è se si riferisce a una persona fisica identificata o identificabile, per esempio il titolare di un impianto domestico o di una ditta individuale. Se l'impianto è di una società, di norma no.
Il GDPR vale per i dati delle società?
Il GDPR non disciplina i dati delle persone giuridiche. Restano però dati personali quelli delle persone che vi lavorano, come nomi ed email dei referenti.
Un fornitore di piattaforma è responsabile del trattamento?
Sì, se tratta dati personali per tuo conto. In quel caso il rapporto va regolato da un contratto ai sensi dell'articolo 28 del GDPR.
Posso usare i dati di misura per qualsiasi scopo?
Il TIME limita l'uso dei dati di misura ai servizi regolati e agli incentivi, salvo consenso scritto del titolare del punto di misura.
enerdata
Contatori e portali in un'unica area
La telelettura dei contatori fiscali e i dati di e-distribuzione e GSE, ordinati per impianto, POD e mese.