| Onorevoli Deputati! -- Con legge 21 febbraio 1989, n.
98, il Parlamento ha autorizzato la ratifica della Convenzione
n. 108 sulla protezione delle persone rispetto al trattamento
automatizzato di dati di carattere personale, adottata a
Strasburgo il 28 gennaio 1981.
Il legislatore ha posto le basi, così, per colmare il
sensibile ritardo, oggetto di diffusi commenti critici in
campo internazionale e comunitario, con il quale l'Italia si
sta dotando di una legislazione "generale" sull'utilizzazione
delle informazioni di carattere personale.
(*) Deliberato nella riunione del Consiglio dei ministri
dell'11 gennaio 1995.
Pag. 2
La Convenzione, entrata in vigore il 1^ ottobre 1985, è
stata ratificata da tutti i Paesi dell'Unione, esclusa la
Grecia dove l' iter parlamentare, peraltro, è in via di
definizione. Il medesimo accordo è stato ratificato da tempo
anche dai quattro Paesi che fanno parte dell'Unione dal 1^
gennaio 1995 (Austria, Finlandia, Norvegia e Svezia).
L'entrata in vigore della Convenzione è fissata, ai sensi
del relativo articolo 22, paragrafo 3, al primo giorno del
mese successivo allo scadere del termine di tre mesi dalla
data del deposito dello strumento di ratifica.
Allo stato, l'Italia non può depositare tale strumento in
quanto, ai sensi dell'articolo 4 della Convenzione, le parti
contraenti sono tenute ad adottare previamente, nel diritto
interno, le misure necessarie per dare effetto ai princìpi
fondamentali per la protezione dei dati enunciati nella
Convenzione, al più tardi al momento dell'entrata in vigore di
questa nei loro confronti.
L'assenza in Italia di una legislazione generale in materia
condiziona una serie ulteriore di delicati ed indifferibili
impegni su scala internazionale e comunitaria, risultando di
ostacolo insuperabile, in primo luogo, alla ratifica
dell'Accordo di Schengen del 14 giugno 1985 sulla soppressione
graduale dei controlli alle frontiere dei Paesi aderenti,
ratifica che pure è stata autorizzata dalla legge 30 settembre
1993, n. 388. Tale Accordo è stato dichiarato operativo lo
scorso 22 dicembre, e vi è il concreto rischio, da
scongiurare, che l'Italia non possa farvi parte a tutti gli
effetti dal momento della sua entrata in vigore, fissata per
il 26 marzo 1995.
Ma vi è di più. L'attuazione di un numero cospicuo di altri
strumenti di origine pattizia, essenziali per
l'amministrazione dello Stato, è legata anch'essa alla previa
esistenza di una disciplina normativa interna sull'uso delle
informazioni personali scambiate in virtù dei medesimi
strumenti: si pensi, ad esempio, allo scambio di dati nel
quadro del sistema informativo doganale, al sistema
d'informazione europeo, alla protezione dei dati inerenti le
frodi ai danni delle Comunità europee, ai flussi
transfrontalieri di dati in applicazione della Convenzione di
Dublino del 15 giugno 1990 sul diritto di asilo, ratificata in
virtù della legge 23 dicembre 1992, n. 523, eccetera.
Si può dire anzi che nel quadro della cooperazione
internazionale e dei lavori preparatori di vari strumenti
pattizi si va diffondendo il ricorso a clausole che vincolano
puntualmente gli Stati aderenti a disciplinare normativamente,
al proprio interno, l'uso delle informazioni delle quali è
previsto il flusso oltrefrontiera.
Va sottolineato, inoltre, che l'Italia non ha adempiuto
integralmente all'"obbligazione positiva" di proteggere la
vita privata delle persone, che grava sugli Stati in virtù
dell'articolo 8 della Convenzione europea per la salvaguardia
dei diritti dell'uomo e delle libertà fondamentali.
La ratifica della Convenzione n. 108 di Strasburgo è stata
oggetto anche di reiterati solleciti da parte dei competenti
organi comunitari, in relazione all'Atto unico di integrazione
europea. E' pacifico, infatti, che la mancanza di una
legislazione interna in materia influisce negativamente sullo
stesso mercato interno, ostacolando il libero (ma garantito in
termini di "protezione delle persone") flusso di informazioni
all'interno della Comunità, creando disparità di trattamento
tra persone fisiche e fra operatori economici, determinando,
inoltre, distorsioni imprevedibili anche in termini di
concorrenza, in una società che avverte invero il bisogno
crescente di disporre in tempo reale di informazioni corrette
ed utilizzabili, in quanto acquisite ed impiegate
nell'osservanza di regole precise.
L'importanza di una legislazione uniforme in materia è
comprovata dalle risultanze del Consiglio europeo di Edimburgo
nonché, da ultimo, da quello di Corfù del 24-25 giugno 1994,
che ha impresso un impulso forte ad alcune iniziative
normative comunitarie in materia di tecnologie
dell'informazione, ivi compresa la proposta modificata di
direttiva quadro sulla tutela dei dati personali SYN 287.
Tale direttiva armonizzerà le legislazioni vigenti nei vari
Stati membri poiché la piena realizzazione del mercato interno
Pag. 3
esige, quale condizione per il libero flusso delle
informazioni all'interno della Comunità, un grado di
protezione dei dati equivalente, che rafforzi ad un livello
più elevato le garanzie già offerte dalla Convenzione europea
per la salvaguardia dei diritti dell'uomo e delle libertà
fondamentali, e consenta agli Stati di superare le
differenziazioni createsi in applicazione di alcune opzioni
consentite dalla citata Convenzione di Strasburgo.
La tutela dei diritti fondamentali dell'individuo alla
riservatezza e all'identità personale, riaffermati da recenti
pronunce della Corte costituzionale, non consente, in uno con
gli impegni internazionali ai quali si è accennato, di
attendere l'entrata in vigore della sia pur imminente
direttiva sulla tutela dei dati personali. Va tenuto conto, al
riguardo, della stessa necessità di prevedere una vacatio
legis superiore a quella ordinaria, per dare la possibilità
a tutti gli operatori pubblici e privati di apprendere appieno
le nuove regole di gestione delle banche dati. Non va
sottaciuto, poi, che l'emanazione della stessa normativa di
attuazione, specie regolamentare, che è essenziale alla piena
funzionalità della legge e del relativo sistema di tutela
amministrativo e giurisdizionale, richiederà dei tempi tecnici
che rendono ancor più urgente il varo di una legge.
L'odierna iniziativa tiene conto dell'assetto
costituzionale dei diritti e delle libertà coinvolte nonché
del bilanciamento fattone nelle leggi degli altri Paesi;
inoltre, come imposto da un principio di diritto comunitario,
si ispira alle linee di fondo della proposta di direttiva
comunitaria.
In altre parole, la nuova legge non può limitarsi ad una
elencazione scarna e meccanica dei princìpi fondamentali
contenuti nel capitolo II della Convenzione di Strasburgo. A
parte il fatto che è la stessa Convenzione ad imporre che i
medesimi princìpi siano sviluppati e resi effettivi da un
corpo organico di norme, non può non operarsi una
considerazione globale ed equilibrata delle problematiche che
investono la materia, come pure del trend in atto negli
altri Paesi e su scala comunitaria ed internazionale.
Si propone, quindi, un quadro normativo basato su una
visione più organica rispetto a quella sottesa ad altre
iniziative legislative del passato.
Gli oneri che si prefigurano a carico di operatori pubblici
ed economici sono delineati in termini di corretto equilibrio
fra gli interessi coinvolti, nel bilanciare i quali si è
tenuto conto anche del dibattito aperto da anni in sede
internazionale e delle legislazioni dei Paesi di area
europea.
In termini più generali, il presente disegno di legge non
intende ostacolare la circolazione dei dati personali, né
delimitare in un ambito ristretto la formazione,
l'utilizzazione e l'interconnessione delle banche di dati.
Questo genere di finalità è stato alla base, piuttosto, di
alcune legislazioni di "prima generazione", che hanno
introdotto una disciplina di carattere
burocratico-autorizzatorio, giustificabile in ragione del
numero ristretto di banche di dati e della concentrazione
della loro disponibilità in pochi soggetti.
L'incremento sensibile del flusso di circolazione delle
informazioni pone il legislatore, ora, di fronte ad esigenze
profondamente mutate; amministrazioni pubbliche,
organizzazioni private e singoli individui avvertono il
bisogno crescente di disporre in tempi reali di una gamma
vasta di informazioni da utilizzare a fini decisionali e di
programmazione, ed un arretramento rispetto alla "società
della conoscenza" non è ipotizzabile.
D'altro canto, il livello elevato di circolazione dei dati,
anche transfrontaliero, esige un rafforzamento delle misure di
salvaguardia dei diritti fondamentali delle persone, che sono
esposte a pregiudizi reali dalle varie utilizzazioni delle
informazioni personali, specie quando si operano determinate
elaborazioni, o si intrecciano dati disseminati in più archivi
ovvero si sfruttano notizie inesatte.
Il bilanciamento degli interessi in gioco trova nella Carta
costituzionale linee direttive precise, ben evidenziate dalla
dottrina, nell'ambito delle norme che interessano l'iniziativa
economica da un lato e i diritti fondamentali della persona
dall'altro.
Pag. 4
Con la nuova legge si riconosce espressamente, e si
delimita, la liceità della raccolta dei dati personali,
sottraendo questa attività al quadro di incertezza sinora
registratosi. Si individuano, allo stesso tempo, alcuni
presupposti sostanziali che hanno per scopo quello di
instaurare una prassi di correttezza e di trasparenza, nei
termini imposti dalla Convenzione n. 108.
La protezione riconosciuta alle persone è connessa alla
loro riservatezza ed identità personale. Si forniscono agli
interessati alcuni strumenti specifici di tutela del loro
diritto ad una corretta rappresentazione del proprio modo
d'essere e della propria immagine, diritto che può essere leso
da informazioni inesatte, incomplete, o non aggiornate, come
pure dalle decisioni che possono essere adottate su tali basi
dalla pubblica amministrazione o nell'ambito di rapporti
privati.
Il presente disegno di legge non investe problematiche
diverse da quelle della protezione dei dati e non condiziona,
dunque, le scelte da operarsi su questioni connesse, quale
quella, ad esempio, dell'informatizzazione della pubblica
amministrazione.
Rispetto al disegno di legge dell'XI legislatura (Atto
Camera n. 1526, XI), approvato il 17 novembre 1993 in un testo
unificato con altre proposte, e con larghi consensi, dalla
Camera dei deputati, e trasmesso al Senato (Atto Senato n.
1670, XI), si è provveduto a introdurre diverse modifiche
volte a tener conto delle riserve e delle preoccupazioni
maturate soprattutto nel settore privato riguardo agli
adempimenti organizzativi che il provvedimento presuppone.
Mantenendo intatti i princìpi di tutela che tale disegno di
legge aveva riaffermato nel rispetto della Costituzione, si è
reso il presente disegno di legge meno oneroso dal lato
applicativo, soprattutto sotto il profilo burocratico e per
quanto riguarda le condizioni che legittimano l'elaborazione
dei dati.
Oltre ad un'ampia serie di precisazioni formali, sono state
introdotte le seguenti, principali, novità: gli archivi
cartacei (che devono essere disciplinati in quanto la tutela
dei diritti della persona non ammette eccezioni in ragione
della natura del supporto sul quale figurano i dati) sono
stati esclusi dall'obbligo di notificazione al Garante, e
l'applicazione della legge nei loro confronti è stata
differita al 1^ luglio 1996, seguendo un'ottica di gradualità
di cui beneficerà la stessa attività del Garante; si è
ristretta ampiamente la sfera delle disposizioni applicabili
alle informazioni riguardanti le persone giuridiche pubbliche
e private e gli enti, in termini compatibili, però, con la
citata giurisprudenza che riconosce anche alle persone
giuridiche il diritto all'identità personale; anche per questo
genere di informazioni, poi, si è escluso l'obbligo di
notificazione; si è snellita sensibilmente la procedura di
notificazione; nell'ambito dei presupposti che legittimano la
raccolta e l'elaborazione dei dati, sono state inserite altre
condizioni equipollenti e sono stati resi meno rigorosi taluni
presupposti utilizzabili dai privati e dalla pubblica
amministrazione; è stato in parte rimodulato il sistema
sanzionatorio, sia sotto il profilo edittale che dal lato
dell'elemento soggettivo; si è prevista espressamente
l'impugnabilità di alcuni provvedimenti del Garante; sono
stati allungati alcuni termini della disciplina transitoria;
si è inserita una clausola formale di salvezza del segreto del
giornalista; è stato dato uno spazio più ampio alla disciplina
dei cosiddetti codici deontologici; si è consentita la nomina
di un responsabile-persona giuridica o ente (non solo, dunque,
di una persona fisica); si è introdotta una disciplina
transitoria più favorevole per il trattamento di dati
"sensibili" da parte della pubblica amministrazione; si è
consentito alle imprese assicuratrici di trattare dati di
carattere sanitario sulla base di un'autorizzazione specifica
del Garante; si è reintrodotto nel disegno di legge l'articolo
già licenziato per l'aula dalla Commissione giustizia della
Camera, che contiene una previsione di delega al Governo per
una disciplina integrativa indispensabile ed equilibrata.
* * *
L'articolo 1 reca una serie di definizioni indispensabili
per una corretta applicazione della legge. Si chiarisce, così,
la sfera operativa di varie disposizioni, tenendo
Pag. 5
conto delle problematiche emerse in relazione ad altre leggi,
specie di area europea, che impiegano concetti analoghi.
Come previsto dalla proposta di direttiva, ed in sintonia
con le leggi di altri Paesi, la legge dovrà avere come oggetto
il "trattamento" dei dati e non i dati in sé e per sé, ovvero
la "banca dati". Per quanto riguarda i dati automatizzati,
quindi, non ha importanza se sussista o meno, in concreto, una
banca dati. La definizione di quest'ultima, tuttavia, è stata
mantenuta allo scopo di chiarire che, per i dati cartacei, la
nuova legge non si applicherà alle informazioni "disperse" (ad
esempio, su singoli fogli non assemblati tra loro), né a
semplici agende o rubriche telefoniche, venendo in
considerazione i soli dati registrati in veri e propri
archivi, individuabili attraverso la definizione di "banca di
dati".
Anche le altre definizioni traggono origine dal dibattito
approfondito sviluppatosi in più sedi internazionali, e sono
adeguatamente soppesate nei minimi dettagli.
Le informazioni che hanno per oggetto le persone
giuridiche, gli enti ed altri organismi, menzionati nelle
definizioni di "dato personale" e di "interessato", saranno
protette nella misura adeguata.
La "riservatezza" di tali entità - tutelata espressamente
in un numero considerevole di disposizioni di legge e di
regolamento - non può essere garantita in termini del tutto
identici a quelli osservati per le persone fisiche, dovendosi
tener conto di altri concomitanti interessi meritevoli
anch'essi di protezione (si pensi, ad esempio,
all'utilizzazione indebita che una società commerciale
potrebbe fare del diritto di accesso, chiedendo di conoscere
le informazioni che la riguardano in possesso di un'impresa in
concorrenza).
La facoltà prevista dall'articolo 3, paragrafo 2, lettera
b), della Convenzione n. 108, dev'essere oggetto, però,
di esercizio sia pure parziale, dovendosi tener conto della
necessità di tutelare il diritto all'identità personale che,
come s'è detto, spetta per giurisprudenza pacifica anche alle
persone giuridiche. Va tenuto conto, poi, che le associazioni
che non hanno uno scopo di profitto e le fondazioni meritano
anch'esse una specifica protezione, specie quando sono
composte da un numero ristretto di aderenti ovvero operano nel
quadro di interventi di tipo sociale-assistenziale.
L'articolo 2 determina il campo di applicazione della legge
alla quale sono soggetti (articolo 3, paragrafo 1, della
Convenzione n. 108) sia il settore pubblico sia quello
privato, con alcune esclusioni: il comma 1 individua,
anzitutto, i trattamenti per scopi puramente personali i
quali, in termini conformi alla proposta di direttiva, saranno
esclusi dal campo applicativo sia della legge che della
Convenzione di Strasburgo, nei modi previsti dal relativo
articolo 3, paragrafo 2, lettera a). Il medesimo comma 1
non entra nel merito del genere di "scopo personale", che
potrà anche essere legato allo svolgimento di un'attività
professionale sempreché i dati non siano diffusi a terzi,
fatta salva la possibilità di comunicazioni episodiche e non
sistematiche. Questo tipo di trattamenti dovrà essere protetto
anch'esso, tuttavia, da misure idonee di sicurezza.
L'articolo 2, comma 1, non ripropone il discusso principio
della così detta "libertà informatica" del quale si è
prospettata, con varie formule, la positivizzazione. A
prescindere dal dibattito dottrinale sulla proprietà o meno di
una simile nozione (e circa i soggetti che in versanti
"contrapposti" possono invocarne la titolarità), si è preso
atto delle critiche e delle perplessità che in sede
internazionale sono emerse in termini di conformità alla
Convenzione. Il diritto ad informarsi e ad essere informati è
stato cristallizzato, quindi, in una norma - più corretta -
sul campo di applicazione della legge. Dal lato "contrario",
per quanto riguarda il diritto ad essere tutelati nei
confronti del trattamento dei dati, si potrà fare riferimento
alle norme che sanciscono i diritti dell'interessato e la loro
azionabilità (esempio, articoli 11 e 22).
Pag. 6
Di un secondo gruppo di trattamenti, appartenenti ad
interessi vitali della collettività, viene proposta
l'esclusione dal campo di applicazione della sola legge
interna (articolo 2, commi 4 e 5), ferma restando
l'applicazione della Convenzione n. 108. Si tratta di
trattamenti individuati mediante un riferimento normativo
specifico o ratione materiae, in stretta aderenza
all'articolo 9, paragrafo 2, lettera a), della
Convenzione, per il quale, ferma restando l'applicabilità
della Convenzione (ad esempio, in relazione al principio di
sicurezza di cui all'articolo 7 della Convenzione, che non è
derogabile), gli Stati membri possono introdurre alcune
circoscritte eccezioni a specifiche disposizioni della
medesima Convenzione, in particolare per ciò che concerne il
diritto di accesso dell'interessato (che può essere escluso o
assoggettato a regole più specifiche) e gli strumenti di
tutela, quando vi è necessità di proteggere interessi
tassativamente enumerati.
La disciplina di questo secondo gruppo di trattamenti
resterà demandata, in una prima fase, alle specifiche leggi
istitutive o comunque "di supporto", le quali dovranno
conformarsi o adeguarsi ai princìpi fondamentali della
Convenzione e alle raccomandazioni già adottate dal Consiglio
d'Europa, nei termini previsti dai decreti delegati da
emanarsi in virtù dell'articolo 34 del presente disegno di
legge.
In armonia con le scelte maturate in ambito comunitario,
l'articolo 2, comma 3 delimita il campo applicativo della
legge in rapporto ai dati cartacei, nei termini sopra esposti.
Sarà onere del soggetto che raccoglie i dati effettuare una
prognosi circa la possibilità che le informazioni siano
suscettibili, da un punto di vista obiettivo, di essere
inserite in una banca dati, disapplicando la legge quando tale
possibilità di utilizzazione va esclusa in radice.
L'articolo 3 individua alcuni presupposti sostanziali per
la raccolta e per altre operazioni di trattamento, presupposti
che per il settore pubblico sono individuati nella
strumentalità delle medesime operazioni al perseguimento dei
compiti e delle funzioni istituzionali di ciascuna
amministrazione.
Per il settore privato, la norma individua invece alcune
situazioni equipollenti al consenso (non necessariamente
scritto) dell'interessato.
L'articolo 4 sancisce il principio di qualità dei dati
personali in armonia con l'articolo 5 della Convenzione,
individuando specifici e dettagliati criteri.
Fin dalla prima rilevazione del fenomeno informatico è
apparso evidente che i dati cosiddetti "sensibili", che
riguardano più da vicino la personalità etico-sociale
dell'individuo e le sue caratteristiche psico-sanitarie,
possono recare un pregiudizio maggiore alla persona, specie se
trattati logicamente o intrecciati con altre informazioni
sensibili.
Per queste categorie di dati, tutte le legislazioni di area
che si occupano della materia e la stessa legge n. 121 del
1981 (articolo 7), contengono, al pari dell'articolo 6 della
Convenzione, regole particolari: l'interessato è protetto con
maggiori garanzie che l'articolo 5 del presente disegno di
legge individua in primis, nel consenso scritto, salvo
che per casi tassativamente individuati dalla legge e
rispondenti ad indubbie finalità di interesse pubblico.
L'articolo 6 estende la portata applicativa dell'articolo
9, comma quarto, della citata legge n. 121 del 1981 (articolo
di cui è prevista la necessaria abrogazione: articolo 33)
anche al settore amministrativo ivi comprese, pertanto, le
decisioni di ordine disciplinare, escludendo che i
provvedimenti giudiziari ed amministrativi possano essere
basati esclusivamente su un trattamento automatizzato di dati
avente per scopo la definizione del profilo o della
personalità dell'interessato. Per quanto riguarda il settore
privato, tale principio è affermato dal comma 2 in termini
opportunamente differenziati.
L'articolo 7 attua il principio della sicurezza dei dati,
che non è derogabile ex articolo 9 della Convenzione, in
termini conformi alle legislazioni che si sono occupate del
settore, sancendo un criterio generale del quale i commi 2 e 3
prevedono una traduzione in concreto, anche per esigenze di
tassatività delle fattispecie sanzionatorie, secondo un'ottica
di gradualità
Pag. 7
compatibile con gli impegni comunitari e con la necessità di
un pronto deposito dello strumento di ratifica della
Convenzione.
Il comma 4 disciplina gli obblighi del titolare del
trattamento in caso di cessazione di tale attività. Il comma
5, poi, in sintonia con l'indirizzo comunitario, esplicita in
riferimento alle banche dati il principio che l'articolo 2050
del codice civile sancisce in tema di responsabilità.
L'articolo 8 contiene una previsione indispensabile per il
nuovo quadro di trasparenza e che si rivela funzionale
all'esercizio dei diritti dell'interessato e dei poteri
attribuiti al Garante.
Si tratta, come appare evidente, di un mero obbligo di
partecipazione al Garante dell'operatività di un trattamento o
di un insieme di trattamenti, configurato in termini il più
possibile snelli, compatibilmente con le esigenze conoscitive
che sono alla base della trasparenza.
Si è evitato conseguentemente, il ricorso ad un regime
generalizzato di tipo autorizzatorio, ed il conseguente
ingolfamento dell'ufficio del Garante in pratiche di ordine
burocratico.
Il contenuto conoscitivo della notificazione è identificato
per categorie generali di informazioni, in modo tale da
circoscrivere al minimo un'eventuale nuova notificazione.
Di vitale importanza è la norma (articolo 9) che pone a
carico del titolare del trattamento, all'atto della nomina di
un responsabile, l'onere di effettuare scelte idonee e
consapevoli e di sorvegliare sull'andamento delle operazioni
di trattamento; della nomina del responsabile, va dato atto
nella notificazione a norma dell'articolo 8.
L'articolo 10 individua un contenuto minimo di informazioni
da fornire al momento della raccolta all'interessato o alla
persona presso la quale vengono raccolti dei dati inerenti il
medesimo interessato, il che ha rilevanza ai fini della
correttezza della raccolta (articoli 4, comma 1, lettera
a), e 24) e per mettere in grado l'interessato di
esprimere consapevolmente il consenso, allorché richiesto.
Le posizioni soggettive individuate dall'articolo 11 sono
prefigurate in termini di veri e propri diritti in attuazione
dell'articolo 8 della Convenzione.
Sulla base delle notificazioni effettuate, sarà istituito
presso il Garante un registro generale al quale l'interessato
avrà accesso gratuito.
Avvalendosi, ove necessario, del contenuto conoscitivo di
tale registro, l'interessato potrà richiedere al responsabile
del trattamento di adempiere ad una o più delle richieste
indicate nell'articolo 11, comma 1, lettera b), in
taluni casi ad intervalli di tempo ragionevole e con un
eventuale contributo spese.
L'articolo 11 si collega, in caso di contenzioso, al
sistema di tutela delineato dall'articolo 22.
Di particolare rilievo (in ossequio a quanto esplicitato
nel memorandum esplicativo della Convenzione ed in
aderenza a scelte effettuate in altri ordinamenti) risulta la
tutela dei dati relativi alle persone decedute, dati dai
quali, in ipotesi, può derivare un pregiudizio anche a
terzi.
I limiti imposti dall'articolo 12 all'esercizio di alcuni
diritti dell'interessato si giustificano in ragione della
previsione di cui all'articolo 9, paragrafo 3, della
Convenzione, nonché delle caratteristiche dei dati presi in
considerazione e delle finalità della relativa utilizzazione,
ferma restando la possibilità per l'interessato di investire
il Garante per un controllo "discreto" da effettuarsi ai sensi
del comma 2 del medesimo articolo.
Opportunamente, poi, il comma 3 dell'articolo 12 impone
alcune cautele per la comunicazione all'interessato dei dati
di carattere sanitario.
Gli articoli 13 e seguenti del presente disegno di legge
dettano regole specifiche in materia di comunicazione e di
diffusione dei dati, che integrano o modificano le
disposizioni generali contenute in altri articoli del disegno
di legge che disciplinano il trattamento con riferimento ad un
arco più ampio di operazioni. Al pari dell'articolo 3, comma
2, l'articolo 13 individua alcune situazioni equipollenti al
consenso dell'interessato.
Pag. 8
I divieti di cui all'articolo 14 sono legati all'importanza
della completezza del contenuto informativo della
notificazione (in ragione dell'attività di controllo e dei
diritti dell'interessato), all'effettività dei provvedimenti
adottati in sede di tutela amministrativa e giurisdizionale o
per la tutela di interessi rilevanti della collettività,
nonché all'osservanza del principio di cui all'articolo 4,
comma 1, lettera e).
L'articolo 15 disciplina, in sintonia con l'articolo 3, la
comunicazione e diffusione dei dati ad opera della pubblica
amministrazione. Tenuto conto della mole dei dati da questa
custoditi, si è sancita una regola che finalizza
l'utilizzazione dei dati al principio di competenza,
nell'osservanza di norme specifiche che possono prevedere
anche, fermo restando il diritto di accesso ai documenti
amministrativi, la comunicazione e la diffusione dei dati in
favore di soggetti privati.
L'articolo 15 si propone di favorire nell'ambito della
pubblica amministrazione un interscambio proficuo di dati
personali allorché ciò sia necessario allo svolgimento dei
compiti istituzionali di ciascuna amministrazione.
Sussistono, peraltro, esigenze di trasparenza e di
chiarezza, che vanno attuate anche nei confronti
dell'interessato, il quale, sebbene il trattamento non
presupponga il suo consenso - articolo 3, comma 1 -, deve
poter conoscere attraverso regole espresse e precostituite
l'ambito generale del flusso di circolazione delle
informazioni che lo riguardano, al fine di esercitare i propri
diritti. Pertanto, si fissa un criterio in base al quale la
comunicazione e la diffusione devono essere previste in linea
di massima da una disposizione di legge o di regolamento,
fatta salva la possibilità di disporre comunque una
comunicazione o diffusione all'interno della pubblica
amministrazione allorché, anche in assenza di tale
disposizione, le predette operazioni risultino comunque
necessarie allo svolgimento dei compiti istituzionali di
ciascuna amministrazione.
L'articolo 15 non si occupa delle modalità attraverso cui
può avvenire la comunicazione o diffusione, che potranno
essere operate anche sulla base di apposite convenzioni.
La comunicazione dei dati sanitari è subordinata, in
sintonia con l'articolo 5, al consenso scritto
dell'interessato, con alcune rilevanti eccezioni fondate sulla
preminenza del diritto alla salute: dal consenso si può
prescindere ove sussistano esigenze di cura dell'interessato o
di terzi, oppure laddove la comunicazione e la diffusione
siano effettuate in forma anonima per scopi di ricerca
scientifica o di statistica (articolo 17) oppure (in sintonia
con l'articolo 9 della Convenzione) per gli scopi di cui
all'articolo 17, comma 1, lettera b) (deroghe valide,
queste ultime, anche per altri tipi di dati).
Esigenze di prevenzione e di cura sia di singoli che della
collettività rendono necessario derogare al principio del
consenso per assicurare una limitata e garantita circolazione
dei dati sanitari tra strutture specifiche, laddove la
disponibilità dei dati personali risulti utile, ad esempio,
per lo studio dell'evoluzione di fenomeni patologici e
dell'efficacia di attività curative.
In tali casi, la valutazione della preminenza
dell'interesse alla conoscenza non può essere affidata alle
stesse strutture che detengono i dati, ma deve essere
attribuita all'organo di controllo, che opererà con l'ausilio
del parere del Consiglio superiore di sanità, dal quale potrà
prescindere nei casi di particolare urgenza.
La diffusione con strumenti informativi di dati sanitari
personali non è ammessa.
Il trasferimento anche temporaneo di dati oltre frontiera è
oggetto di disciplina al di là del fatto che esso sia
realizzato mediante comunicazione o diffusione, tenuto conto
dei rischi e delle implicazioni che possono derivare, in
termini di utilizzabilità dei dati e di legislazione
applicabile, dalla dislocazione all'estero degli stessi.
In sintonia con il sistema della notificazione prescelto in
linea generale (articolo 8), con gli sviluppi in itinere
circa il libero flusso di informazioni tra i Paesi
comunitari o aderenti alla Convenzione, nonché con l'articolo
12 della Convenzione, anche in questo caso non si è previsto
un regime
Pag. 9
autorizzatorio, e si è circoscritto l'obbligo del soggetto
che intende trasferire i dati a quello di una specifica
notificazione, modellata su quella "generale", notificazione
che sarà inserita per esigenze organizzative in un'apposita
sezione del registro di cui all'articolo 20.
Si tratta anche in questo caso di un obbligo che può
esaurirsi in una sola notificazione, purché completa e
aggiornata.
La Convenzione, nel sancire entro certi limiti la libertà
di trasmissione di dati oltre frontiera, subordina
quest'ultima, per determinate categorie di dati o di
trattamenti oggetto di regolamentazione specifica,
all'accertamento dell'equivalenza della tutela assicurata nel
Paese straniero, e prevede un'ipotesi peculiare in riferimento
al caso dei dati destinati ad un ulteriore trasferimento in
altro Paese straniero non aderente alla Convenzione. Al
riguardo il presente disegno di legge prevede alcune regole
elastiche ma allo stesso tempo efficaci.
Per quanto riguarda l'"equivalenza", oggetto di
approfondimento in sede internazionale, la difformità tra i
vari ordinamenti non rende agevole l'identificazione analitica
dei singoli casi di "equivalenza"; si demanda al Garante,
quindi (il quale potrà acquisire e approfondire in sede
internazionale un'ampia documentazine intorno alle
legislazioni estere, curandone ex articolo 20, comma 1,
lettera i), la più ampia conoscibilità),
l'individuazione in concreto del "grado" di protezione, con
conseguente possibilità di esercizio del potere di divieto ove
si accerti l'insussistenza nel Paese straniero di una tutela
corrispondente con la normativa italiana.
Essendo il trattamento correlato ad un insieme sistematico
di informazioni che possono essere ripartite in più "archivi"
collegati, che a loro volta sono dislocabili anche in più
Stati, si pone il problema dell'individuazione della legge
applicabile.
Poiché quest'ultima può risultare di grado non omogeneo nei
Paesi interessati, potrebbero verificarsi abusi ed aggiramenti
della disciplina legislativa (ad esempio, adducendo la
"dislocazione" di un dato oltrefrontiera, si potrebbe
sottrarre all'applicabilità della legge italiana i dati il cui
trattamento, ivi compresa la comunicazione, sia effettuato
pressoché totalmente in Italia: anche in questo caso, un ruolo
necessario di tipo ricognitivo può essere svolto dall'autorità
di controllo).
La tutela dei diritti e delle facoltà disciplinati negli
articoli già illustrati trova un fulcro importante nella
creazione del Garante per la protezione dei dati, la cui
istituzione è stata "preannunciata" dagli articoli 9 e
seguenti della legge di ratifica dell'Accordo di Schengen 30
settembre 1993, n. 388.
La Convenzione non fa espresso riferimento ad una autorità
di controllo. La proposta di direttiva, invece, obbliga gli
Stati membri ad istituire un'autorità indipendente che vigili
sulla protezione dei dati personali.
In quasi tutti i Paesi nei quali è in vigore una
legislazione in materia, esiste un'autorità di controllo, con
poteri e funzioni riconducibili ad un nucleo omogeneo: la
scelta di affidare ad un'autorità indipendente il compito di
vigilare sull'attuazione della legge è in linea, quindi, con
le esperienze di tali Paesi.
L'articolo 19 individua i requisiti soggettivi dei
componenti l'organo del Garante, ed il procedimento per la
relativa nomina.
Per tali aspetti si è ritenuto opportuno di non individuare
nuove procedure e di assumere a modello i procedimenti
previsti per l'istituzione degli altri due organismi di
garanzia già presenti nel nostro ordinamento ed in qualche
modo comparabili (Garante per la radiodiffusione e l'editoria;
Autorità garante per la concorrenza e il mercato).
L'articolo 19 mira ad assicurare i caratteri di
indipendenza e di imparzialità dell'organo.
Anche per la struttura del relativo ufficio nonché per il
reperimento del personale e dei mezzi idonei a farlo
funzionare, ci si è ispirati ai modelli già collaudati per le
citate autorità.
L'articolo 21 fissa il numero dei dipendenti, istituisce un
fondo per le spese e rinvia ad un futuro regolamento la
Pag. 10
formulazione delle norme concernenti, in particolare,
l'organizzazione ed il funzionamento dell'ufficio.
I compiti del Garante, invece, sono indicati specificamente
nell'articolo 20.
Viene in rilievo, in primo luogo, la tenuta del registro
generale delle informazioni risultanti dalle notificazioni,
che sarà consultabile da chiunque. L'interessato potrà
conoscere, così, le categorie di informazioni inserite nelle
varie banche dati, e potrà verificare successivamente, presso
il responsabile di ciascun trattamento, esercitando il diritto
d'accesso, l'esistenza di dati che lo riguardano.
Il Garante avrà, poi, compiti di controllo e di vigilanza
(articolo 20, comma 1, lettere b), c) e f)), per
l'assolvimento dei quali sarà dotato di poteri più efficaci
della semplice richiesta di informazioni, inclusivi del potere
di ispezione e di accesso alla banca dati.
Il Garante potrà adottare anche i provvedimenti
specificamente indicati nelle disposizioni della legge (vedi,
ad esempio, gli articoli 14, comma 3, 15, comma 1, 16, comma
2, 18, comma 2, e 22) e dovrà denunciare penalmente i fatti di
cui verrà a conoscenza nello svolgimento dei propri
compiti.
Inoltre, vi è l'espressa designazione del Garante quale
autorità competente alla cura dei rapporti di cooperazione
internazionale (articolo 13 della Convenzione n. 108).
Il Garante avrà anche compiti più generali quali quelli
(articolo 20, comma 1, lettere h), i) m) ed n)) di
stimolare la formazione di codici deontologici settoriali, per
favorire una maggiore osservanza della legge; di promuovere
una cultura più adeguata in materia, agevolando la conoscenza
delle norme che la regolano ivi inclusi i criteri di
sicurezza; di svolgere una funzione consultiva e propulsiva
nei confronti del Governo, segnalando l'opportunità di nuove
misure legislative e regolamentari necessarie in una materia
soggetta a rapide trasformazioni; di predisporre annualmente
una relazione sull'attività svolta e sullo stato di
applicazione della legge.
L'articolo 20, comma 1, lettera d) attribuisce al
Garante un compito di vigilanza il cui esercizio può essere
sollecitato da segnalazioni o reclami di soggetti interessati
o di associazioni rappresentative; riconosce, inoltre, una
funzione più specifica di garanzia dei diritti degli
interessati, in sede di esame dei ricorsi presentati ex
articolo 22, norma alla quale la disposizione si ricollega
direttamente per ciò che riguarda il piano di tutela.
A questo proposito, si sono operate delle scelte innovative
rispetto alle forme tradizionali di tutela. Il Garante,
avvalendosi della posizione di indipendenza nonché dei poteri
riconosciuti dall'articolo 22, deve costituire il baricentro
di una protezione efficace dei diritti degli interessati;
strumentali a questa collocazione sono i requisiti richiesti
per la nomina del presidente e degli altri componenti tale
autorità.
Di qui la costruzione di uno speciale procedimento di
decisione su veri e propri ricorsi degli interessati,
assistito da una successiva ed eventuale tutela di ordine
giurisdizionale, procedimento che dovrebbe assorbire, sotto il
profilo quantitativo, la quota maggiore del contenzioso in
materia. Si evita, così, di appesantire ulteriormente il già
gravoso carico di lavoro degli uffici giudiziari. Peraltro,
l'articolo 22, comma 1, non impedisce all'interessato di
rivolgersi in primis all'autorità giudiziaria
ordinaria.
In questa prospettiva i poteri processuali del Garante sono
stati rafforzati rispetto alle procedure dei comuni ricorsi
amministrativi, e si è conferito all'organo il potere di
adottare provvedimenti cautelari, munendo la decisione del
carattere dell'esecutività e introducendo una specifica
sanzione penale per il caso della sua inosservanza.
Il procedimento dinanzi al Garante è stato connotato dei
caratteri il più possibile vicini a quelli della
giurisdizione, quali il contraddittorio e l'istruzione
probatoria, demandando ad un successivo regolamento la
fissazione di precise regole procedurali (articolo 21, comma
3).
Pag. 11
Ferma restanto la centralità della tutela del Garante, si è
ritenuto di sottoporre i ricorsi ad un "filtro", sia pur
minimo, al fine di evitare la concentrazione di un numero
eccessivo di controversie in capo al nuovo organo.
Si è previsto, perciò, che il ricorso potrà essere proposto
(di regola) solo dopo che siano trascorsi tre giorni dalla
presentazione di una richiesta al responsabile del
trattamento, favorendosi, così, la risoluzione consensuale dei
potenziali conflitti.
Al contempo, venendo in rilievo alcuni diritti fondamentali
della persona la cui tutela riveste quasi sempre un carattere
di urgenza, e non potendo i filtri processuali produrre
l'effetto di un ostacolo all'accesso alla giurisdizione, si è
stabilito che il ricorso non esaminato dal Garante entro il
termine di venti giorni s'intende rigettato. Per la fase
giurisdizionale si è scelto il procedimento camerale
disciplinato dagli articoli 737 e seguenti codice di procedura
civile alla stregua dell'analoga soluzione già adottata
dall'articolo 10 della legge 1^ aprile 1981, n. 121,
riguardante la tutela dei privati rispetto ai dati registrati
nel Centro elaborazione dati della Polizia di Stato.
Tale scelta appare coerente anche con il sistema
complessivo di tutela configurato dall'articolo 22: dal
momento che la fase dinanzi al Garante ha i caratteri di una
tutela sostanzialmente piena dei diritti, assimilabile in gran
parte a quella giurisdizionale, ben può la fase
giurisdizionale, che assume un ruolo non necessariamente
"primario", avere i caratteri del rito camerale, senza che con
ciò risultino limitate le garanzie delle parti anche sotto il
profilo delle impugnative.
Nell'articolo 22, comma 7, figura un riferimento esplicito
all'articolo 4 della legge 20 marzo 1865, n. 2248, allegato
E), le cui disposizioni potranno essere derogate per dare
esecuzione alle pronunce del tribunale recanti un ordine nei
confronti del responsabile di un trattamento operato presso la
pubblica amministrazione.
Di particolare significato risultano la scelta di affidare
ad una sola autorità giudiziaria, quella ordinaria, le
controversie connesse all'applicazione della nuova legge
(articolo 22, comma 8), nonché la scelta di consentire, in
deroga alle comuni regole, il risarcimento del danno non
patrimoniale in riferimento a violazioni della riservatezza e
dell'identità personale che pur rivestendo particolare gravità
(si pensi al danno da informazione inesatta) non sono
sanzionate dal punto di vista penale. Quest'ultima scelta si
collega a quella operata dall'articolo 12 della citata legge
n. 388 del 1993.
La previsione di sanzioni "adeguate" è richiesta
esplicitamente dall'articolo 10 della Convenzione di
Strasburgo. La stessa proposta di direttiva ribadisce
l'obbligo degli Stati membri di prevedere sanzioni
"dissuasive"; anche per questo aspetto, poi, si è tenuto conto
dell'esperienza degli altri Paesi di area europea, che sono
orientati pressoché tutti verso una tutela penale dei beni
giuridici protetti, ritenuti di livello primario.
Tale orientamento è conforme, inoltre, a quello ricavabile
dal sistema penale vigente dal quale, pur in mancanza di
specifiche previsioni in materia di dati personali, emerge una
chiara indicazione (vedi, ad esempio, gli articoli 615- bis
e 620 del codice penale) per ritenere la vita privata un
bene essenziale per il quale è necessaria una tutela
rafforzata che non può esaurirsi in mere sanzioni di carattere
pecuniario, che sono oltretutto inadatte nel settore della
pubblica amministrazione oltreché inefficaci per le imprese di
grandi dimensioni. La stessa recente legge sulla criminalità
informatica (legge 23 dicembre 1993, n. 547) conferma la
validità dell'approccio seguito.
Si è evitato, peraltro, di fare uso di fattispecie
contravvenzionali, e si è concentrata l'attenzione su delitti
di natura dolosa e, in alcuni casi, sul solo dolo specifico.
Il sistema sanzionatorio già previsto dal già citato disegno
di legge presentato nella scorsa legislatura è stato quindi
rimodulato. Si è proceduto all'individuazione e alla
tipizzazione delle condotte ritenute meritevoli di sanzione,
graduando la pena in ragione della gravità del fatto,
Pag. 12
determinata in base al livello della messa in pericolo del
bene tutelato.
L'articolo 23 introduce il reato di omessa o infedele
notificazione, poiché la notificazione rappresenta il
presupposto necessario per l'esercizio dei poteri del Garante
e per lo sviluppo dei diritti degli interessati.
Nell'articolo 24 si sanziona l'illiceità del trattamento in
ragione della violazione di specifici obblighi e divieti
previsti nelle disposizioni di legge richiamate. E' prevista
una pena più grave per i casi in cui la condotta illecita
provochi un nocumento.
L'articolo 25 sanziona la mancata adozione delle misure
tecniche fissate con decreto presidenziale, volte a garantire
la sicurezza dei dati anche rispetto a possibili alterazioni o
sottrazioni da parte di terzi. Limitatamente a questo reato è
prevista anche un'ipotesi colposa, punita con una pena meno
elevata.
Gli articoli 26 e 28, comma 1, rafforzano la posizione del
Garante sia nella veste di autorità chiamata a decidere su di
un reclamo e ad adottare le conseguenti misure (articolo 22,
commi 4 e 5), sia nei suoi compiti di controllo e di raccolta
di informazioni (articoli 20, comma 2 e 22, comma 4). Per
quest'ultima ipotesi si è ritenuto, alla stregua di
fattispecie analoghe previste a tutela dell'attività del
Garante per la radiodiffusione e l'editoria e dell'Autorità
garante per la concorrenza e il mercato, di introdurre una
sanzione amministrativa.
L'articolo 27 stabilisce la pena accessoria della
pubblicazione della sentenza nei casi di condanna per uno dei
delitti previsti dalla nuova legge, pena che segue il regime
comune di sospendibilità ai sensi dell'articolo 166, primo
comma, del codice penale.
Nel capo VIII sono inserite alcune disposizioni finali e
transitorie.
Con l'articolo 29 si stabilisce che la legge in questione
vincola anche il legislatore regionale, il quale, nel
disciplinare le materie previste dall'articolo 117 della
Costituzione, nelle quali possono ricorrere disposizioni
connesse, in vario modo, alla protezione dei dati (ad esempio,
in materia di ordinamento degli uffici regionali), dovrà
attenersi ai princìpi fondamentali contenuti nella nuova legge
i quali non potranno essere derogati in alcun modo, essendo
oltretutto dettati in attuazione di obblighi internazionali e
comunitari.
Con tale affermazione, senza entrare nel merito della
questione del rango particolare delle norme attuative di una
convenzione internazionale, si è inteso sottolineare il valore
dei princìpi che assumono le nuove disposizioni, rispetto alla
legislazione regionale e alla stessa, vigente, legislazione
statale.
Al fine di consentire al Garante una conoscenza completa e
tempestiva di tutti i provvedimenti giurisdizionali in materia
di protezione di dati, l'articolo 30 impone alle cancellerie
presso i diversi organi giudiziari di trasmettere al Garante
copia dei provvedimenti adottati dall'autorità giudiziaria
concernenti l'applicazione della legge.
L'articolo 31 fissa alcune disposizioni transitorie per
regolare la prima fase di applicazione della legge. In
particolare, va segnalata la disposizione che prevede la non
applicabilità del principio del consenso dell'interessato per
i dati personali raccolti o altrimenti trattati prima
dell'entrata in vigore della legge. Resta peraltro fermo che
gli interessati potranno far valere, ciononostante, i loro
diritti.
Si fissano, poi, dei termini per le notifiche dei
trattamenti già esistenti e per l'adozione delle misure di
protezione. Si differisce temporaneamente, infine,
l'applicazione della legge ai dati cartacei di natura non
sensibile.
Il comma 7 dell'articolo 31, in stretta relazione con
l'articolo 32, commi 2 e 3, nonché con l'articolo 34, comma 2,
risolve la sentita esigenza di un raccordo tra le attività del
nuovo Garante e dell'Autorità per l'informatica nella pubblica
amministrazione, che potranno meglio cooperare rispetto a
varie problematiche, specie riguardo alla sicurezza e alle
interconnessioni dei sistemi, grazie a dei nessi funzionali ed
organizzativi che rispettano la specificità delle attribuzioni
dei due organi permettendo loro di incrementare l'efficacia
del relativo operato.
Pag. 13
L'articolo 32 reca alcune modifiche alla legge n. 121 del
1981, onde armonizzarla pienamente alla Convenzione n. 108 del
1981.
L'articolo 33, comma 1, abroga, tra l'altro, il quarto
comma dell'articolo 8 della legge 1^ aprile 1981, n. 121, che
prevede la notficazione al Ministero dell'interno; si prevede,
quindi, il trasferimento di tutto il materiale informativo
raccolto in base a tale disposizione presso l'ufficio del
Garante.
Si fissa, poi, un criterio di abrogazione implicita di
tutte le disposizioni di legge o di regolamento incompatibili
con la nuova legge sulla protezione dei dati (salvo alcune
deroghe esplicite), ribadendo l'orientamento circa la
particolare collocazione nel sistema delle fonti di tale legge
in quanto attuativa di una convenzione internazionale e
conseguentemente circa il carattere di princìpi generali che
rivestono le norme del presente disegno di legge.
Come può evincersi facilmente osservando le norme in vigore
in altri Paesi, la materia della protezione dei dati e la
stessa attuazione della Convenzione n. 108 del 1981 non si
esauriscono nella disciplina
sopra illustrata, ma presuppongono una compiuta opera di
normazione che non può non tener conto delle raccomandazioni
del Consiglio d'Europa che l'Italia ha contribuito a far
approvare.
L'articolo 34 reintroduce nel testo, quindi, la norma che
la Commissione giustizia della Camera aveva stralciato al fine
di far marciare in sede legislativa il disegno di legge che
poi ha assunto al Senato il n. 1670. La medesima norma,
inclusa per tale esigenza nella proposta di legge della Camera
n. 2815 dell'XI legislatura (alla cui diffusa motivazione si
rinvia per esigenze di sintesi), era stata licenziata di
seguito per l'Aula. Ora, viene ripresa ed arricchita in
rapporto anche alle nuove indicazioni comunitarie, le quali
impongono una riflessione tecnica che sarà sottoposta
(articolo 34, comma 3) al parere delle competenti Commissioni
parlamentari.
L'articolo 35 assicura la copertura finanziaria del
provvedimento legislativo, meglio evidenziata nell'allegata
relazione tecnica. L'articolo 36 prevede, da ultimo, una
vacatio legis di centoventi giorni, per i motivi esposti
in premessa.
| |