| Onorevoli Deputati! - Al termine della XII legislatura, la
Camera dei deputati ha approvato con larghi consensi due
disegni di legge sulla tutela delle persone rispetto al
trattamento dei dati personali (Atti Senato 2296 e 2343), che
lo scioglimento anticipato del Parlamento non ha permesso di
licenziare definitivamente.
Con questo primo passo, il legislatore ha posto le basi
per colmare il sensibile ritardo, oggetto di diffusi commenti
critici in ambito internazionale e comunitario, con il quale
l'Italia si sta dotando di una legislazione "generale"
sull'utilizzazione delle informazioni di carattere
personale.
Nel 1989, (legge 21 febbraio 1989, n. 98), il Parlamento
ha autorizzato la ratifica della Convenzione n. 108 sulla
Pag. 2
protezione delle persone rispetto al trattamento automatizzato
dei dati di carattere personale, adottata a Strasburgo il 28
gennaio 1981.
La Convenzione, entrata in vigore il 1^ ottobre 1985, è
stata ratificata da tutti i Paesi dell'Unione, esclusa la
Grecia dove l' iter parlamentare, peraltro, è in via di
definizione.
L'entrata in vigore della Convenzione è fissata, ai sensi
del relativo articolo 22, paragrafo 3, al primo giorno del
mese successivo allo scadere del termine di tre mesi dalla
data del deposito dello strumento di ratifica.
Allo stato, l'Italia non può depositare tale strumento in
quanto, ai sensi dell'articolo 4 della Convenzione, le parti
contraenti sono tenute ad adottare previamente, nel diritto
interno, le misure necessarie per dare effetto ai princìpi
fondamentali per la protezione dei dati enunciati nella
Convenzione, al più tardi al momento dell'entrata in vigore di
questa nei loro confronti.
L'assenza in Italia di una legislazione generale in
materia condiziona una serie ulteriore di delicati ed
indifferibili impegni su scala internazionale e comunitaria,
risultando di ostacolo insuperabile, in primo luogo, alla
ratifica dell'Accordo di Schengen del 14 giugno 1985
sulla soppressione graduale dei controlli alle frontiere dei
Paesi aderenti, ratifica che pure è stata autorizzata dalla
legge 30 settembre 1993, n. 388. Tale Accordo è già operativo
per altri Paesi, ed un ulteriore ritardo nell'approvazione
della legge sui dati personali, oltre a sminuire l'immagine
del Paese, influirebbe negativamente sui tempi d'ingresso
dell'Italia nel Sistema d'Informazione Schengen.
Ma vi è di più. L'attuazione di un numero cospicuo di
altri strumenti di origine pattizia, essenziali per
l'amministrazione dello Stato, è legata anch'essa alla previa
esistenza di una disciplina normativa interna sull'uso delle
informazioni personali scambiate in virtù dei medesimi
strumenti. Si pensi, ad esempio, allo scambio di dati nel
quadro: a) delle due Convenzioni la cui ratifica è stata
raccomandata dal Consiglio dell'Unione europea lo scorso 26
luglio 1995 (Convenzione EUROPOL e Convenzione sull'uso
dell'informatica nel settore doganale); b) nell'ambito
del nascente Sistema d'Informazione Europeo; c)
dell'attuazione della recente disciplina sulla protezione
degli interessi finanziari delle Comunità europee; d)
dei flussi transfrontalieri di dati in applicazione della
Convenzione di Dublino del 15 giugno 1990 sul diritto di
asilo, ratificata in virtù della legge 23 dicembre 1992, n.
523.
Si può dire, anzi, che nel quadro della cooperazione
internazionale e dei lavori preparatori di vari strumenti
pattizi si va diffondendo il ricorso a clausole che vincolano
puntualmente gli Stati aderenti a disciplinare normativamente,
al proprio interno, l'uso delle informazioni delle quali è
previsto il flusso oltrefrontiera.
Va sottolineato, inoltre, che l'Italia non ha adempiuto
integralmente all'"obbligazione positiva" di proteggere la
vita privata delle persone, che grava sugli Stati in virtù
dell'articolo 8 della Convenzione europea per la salvaguardia
dei diritti dell'uomo e delle libertà fondamentali.
La ratifica della Convenzione n. 108 di Strasburgo è stata
oggetto anche di reiterati solleciti da parte dei competenti
organi comunitari, in relazione all'Atto unico di integrazione
europea. E' pacifico, infatti, che la mancanza di una
legislazione interna in materia influisce negativamente sullo
stesso mercato interno, ostacolando il libero (ma garantito in
termini di "protezione delle persone") flusso di informazioni
all'interno dell'Unione, creando disparità di trattamento tra
persone fisiche e fra operatori economici, determinando,
inoltre, distorsioni imprevedibili anche in termini di
concorrenza, in una società che avverte invero il bisogno
crescente di disporre in tempo reale di informazioni corrette
ed utilizzabili, in quanto acquisite ed impiegate
nell'osservanza di regole precise.
L'importanza di una legislazione uniforme in materia è
comprovata dalle risultanze del Consiglio europeo di
Edimburgo, di Corfù e di Bruxelles, che hanno impresso un
impulso forte ad alcune iniziative normative comunitarie in
Pag. 3
materia di tecnologie dell'informazione, ivi compresa la
direttiva quadro sulla tutela dei dati personali 95/46/CE del
24 ottobre 1995.
Tale direttiva ha fornito i criteri per l'armonizzazione
delle legislazioni vigenti nei vari Stati membri, in quanto la
piena realizzazione del mercato interno esige, quale
condizione per il libero flusso delle informazioni all'interno
dell'Unione, un grado di protezione dei dati equivalente, che
rafforzi ad un livello più elevato le garanzie già offerte
dalla Convenzione europea per la salvaguardia dei diritti
dell'uomo e delle libertà fondamentali, e consenta agli Stati
di superare le differenziazioni createsi in applicazione di
alcune opzioni consentite dalla Convenzione di Strasburgo.
La tutela dei diritti fondamentali dell'individuo alla
riservatezza e all'identità personale, riaffermati da recenti
pronunce della Corte costituzionale, va presa in esame anche
alla luce degli impegni internazionali ai quali si è
accennato.
La direttiva comunitaria va recepita entro il 24 ottobre
1998, e gli Stati membri stanno dialogando tra loro per
cercare di affrontare unitariamente alcuni aspetti residuali
ma di delicata risoluzione; tuttavia, ben 13 Paesi dell'Unione
sono dotati già di una legge organica che regola la materia e
i flussi di dati.
Tutto ciò induce a ritenere valida l'impostazione già
seguita dal Parlamento di creare le condizioni giuridiche per
ratificare la Convenzione di Strasburgo e l'Accordo di
Schengen, tenendo nel massimo conto le indicazioni della
direttiva comunitaria e rinviando il recepimento di una
residua parte della medesima direttiva ad una legislazione
delegata su cui il Parlamento potrà esprimersi al momento
della formulazione dei criteri di delega e dell'espressione
del parere sugli schemi di decreto delegato.
Va tenuto conto, al riguardo, della stessa necessità di
prevedere una vacatio legis superiore a quella
ordinaria, per dare la possibilità a tutti gli operatori
pubblici e privati di apprendere appieno le nuove regole di
gestione delle banche dati. Non va sottaciuto, poi, che
l'emanazione della stessa normativa di attuazione, specie
regolamentare, che è essenziale alla piena funzionalità della
legge e del relativo sistema di tutela amministrativo e
giurisdizionale, richiederà dei tempi tecnici che rendono
ancor più urgente il varo di una legge.
L'odierna iniziativa tiene conto dell'assetto
costituzionale dei diritti e delle libertà coinvolte nonché
del bilanciamento fattone nelle leggi degli altri Paesi;
inoltre, ferma restando la prospettiva di un pieno recepimento
della direttiva entro il 1998, si ispira alle relative linee
di fondo, anche al fine di evitare che la futura disciplina
regolamentare debba essere rivista a breve termine.
In altre parole, la nuova legge non può limitarsi ad una
elencazione scarna e meccanica dei princìpi fondamentali
contenuti nel capitolo II della Convenzione di Strasburgo. A
parte il fatto che è la stessa Convenzione ad imporre che i
medesimi princìpi siano sviluppati e resi effettivi da un
corpo organico di norme, non può non operarsi una
considerazione globale ed equilibrata delle problematiche che
investono la materia, come pure del trend in atto negli
altri Paesi e su scala comunitaria ed internazionale.
Si propone, quindi, un quadro normativo basato su una
visione più organica rispetto a quella sottesa ad altre
iniziative legislative del passato.
Gli oneri che si prefigurano a carico di operatori
pubblici ed economici sono delineati in termini di corretto
equilibrio fra gli interessi coinvolti, nel bilanciare i quali
si è tenuto conto anche del dibattito aperto da anni in sede
internazionale e delle legislazioni dei Paesi di area
europea.
In termini più generali, il presente disegno di legge non
intende ostacolare la circolazione dei dati personali, né
delimitare in un ambito ristretto la formazione,
l'utilizzazione e l'interconnessione delle banche di dati.
Questo genere di finalità è stato alla base, piuttosto, di
alcune legislazioni
Pag. 4
di "prima generazione", che hanno
introdotto una disciplina di carattere
burocratico-autorizzatorio, giustificabile in ragione del
numero ristretto di banche di dati e della concentrazione
della loro disponibilità in pochi soggetti.
L'incremento sensibile del flusso di circolazione delle
informazioni pone il legislatore, ora, di fronte ad esigenze
profondamente mutate; amministrazioni pubbliche,
organizzazioni private e singoli individui avvertono il
bisogno crescente di disporre in tempi reali di una gamma
vasta di informazioni da utilizzare a fini decisionali e di
programmazione, ed un arretramento rispetto alla "società
della conoscenza" non è ipotizzabile.
D'altro canto, il livello elevato di circolazione dei
dati, anche transfrontaliero, esige un rafforzamento delle
misure di salvaguardia dei diritti fondamentali delle persone,
che sono esposte a pregiudizi reali dalle varie utilizzazioni
delle informazioni personali, specie quando si operano
determinate elaborazioni, o si intrecciano dati disseminati in
più archivi ovvero si sfruttano notizie inesatte.
Il bilanciamento degli interessi in gioco trova nella
Carta costituzionale linee direttive precise, ben evidenziate
dalla dottrina, nell'ambito delle norme che interessano
l'iniziativa economica da un lato e i diritti fondamentali
della persona dall'altro.
Con la nuova legge si riconosce espressamente, e si
delimita, la liceità della raccolta dei dati personali,
sottraendo questa attività al quadro di incertezza sinora
registratosi. Si individuano, allo stesso tempo, alcuni
presupposti sostanziali che hanno per scopo quello di
instaurare una prassi di correttezza e di trasparenza, nei
termini imposti dalla Convenzione n. 108.
La protezione riconosciuta alle persone è connessa alla
loro riservatezza ed identità personale. Si forniscono agli
interessati alcuni strumenti specifici di tutela del loro
diritto ad una corretta rappresentazione del proprio modo
d'essere e della propria immagine, diritto che può essere leso
da informazioni inesatte, incomplete, o non aggiornate, come
pure dalle decisioni che possono essere adottate su tali basi
dalla pubblica amministrazione o nell'ambito di rapporti
privati.
Il presente disegno di legge non investe problematiche
diverse da quelle della protezione dei dati e non condiziona,
dunque, le scelte da operare su questioni connesse, quale
quella, ad esempio, dell'informatizzazione della pubblica
amministrazione.
Si ritiene di riproporre senza modifiche il testo dei due
disegni di legge citati in premessa, al fine di incanalare i
medesimi provvedimenti nella "corsia preferenziale" prevista
dai regolamenti parlamentari. Valuterà il Parlamento quali
correttivi e miglioramenti apportare agli stessi, anche in
considerazione del dibattito avutosi al Senato nell'imminenza
dello scadere della legislatura.
Già nel disegno di legge Atto Camera n. 1901 del gennaio
1995, si era provveduto ad introdurre diverse modifiche
rispetto al disegno di legge Atto Senato n. 1670 dell'XI
legislatura (approvato dalla Camera dei deputati il 17
novembre 1993), volte a tener conto delle riserve e delle
preoccupazioni maturate soprattutto nel settore privato,
riguardo agli adempimenti organizzativi che presuppone la
nuova disciplina.
Ad esempio, sono stati resi meno rigorosi taluni
presupposti utilizzabili dai privati e dalla pubblica
amministrazione; è stato rimodulato il sistema sanzionatorio,
sia sotto il profilo edittale che del lato dell'elemento
soggettivo; si è prevista espressamente l'impugnabilità di
alcuni provvedimenti del Garante; sono stati allungati alcuni
termini della disciplina transitoria; si è inserita una
clausola di salvezza del segreto del giornalista; è stato dato
uno spazio più ampio alla disciplina dei cosiddetti codici
deontologici; si è consentita la nomina di un
responsabile-persona giuridica o ente (non solo, dunque, di
una persona fisica); si è introdotta una disciplina
transitoria più favorevole per il trattamento di dati
"sensibili" da parte della pubblica amministrazione.
Il presente disegno di legge consta di 45 articoli.
Pag. 5
L'articolo 1 indica le finalità della legge e reca una
serie di definizioni indispensabili per una corretta
applicazione della legge. Si chiarisce, così, la sfera
operativa di varie disposizioni, tenendo conto delle
problematiche emerse in relazione ad altre leggi, specie di
area europea, che impiegano concetti analoghi.
Come previsto dalla direttiva, ed in sintonia con le leggi
di altri Paesi, la legge dovrà avere come oggetto il
"trattamento" dei dati e non i dati in sé e per sé, ovvero la
"banca dati". Per quanto riguarda i dati automatizzati,
quindi, non ha importanza se sussista o meno, in concreto, una
banca dati. La definizione relativa a quest'ultima, tuttavia,
è stata mantenuta ad alcuni limitati effetti (ad esempio,
nell'ambito della disciplina della notificazione).
Anche le altre definizioni traggono origine dal dibattito
approfondito sviluppatosi in più sedi internazionali, e sono
soppesate nei minimi dettagli.
Le informazioni che hanno per oggetto le persone
giuridiche, gli enti ed altri organismi, menzionati nelle
definizioni di "dato personale" e di "interessato", saranno
protette nella misura adeguata.
La "riservatezza" di tali entità - tutelata espressamente
in un numero considerevole di disposizioni di legge e di
regolamento - non può essere garantita in termini del tutto
identici a quelli osservati per le persone fisiche, dovendosi
tener conto di altri concomitanti interessi meritevoli
anch'essi di protezione (si pensi, ad esempio,
all'utilizzazione indebita che una società commerciale
potrebbe fare del diritto di accesso, chiedendo di conoscere
le informazioni che la riguardano in possesso di un'impresa in
concorrenza).
La facoltà prevista dall'articolo 3, paragrafo 2, lettera
b), della Convenzione n. 108, dev'essere oggetto, però,
di esercizio, sia pure parziale, dovendosi tener conto della
necessità di tutelare il diritto all'identità personale che,
come s'è detto, spetta per giurisprudenza pacifica anche alle
persone giuridiche. Va tenuto conto, poi, che le associazioni
che non hanno uno scopo di profitto e le fondazioni meritano
anch'esse una specifica protezione, specie quando sono
composte da un numero ristretto di aderenti ovvero operano nel
quadro di interventi di tipo sociale-assistenziale.
L'articolo 2 determina il campo di applicazione della
legge alla quale sono soggetti (articolo 3, paragrafo 1, della
Convenzione n. 108) sia il settore pubblico sia quello
privato, con alcune esclusioni. L'articolo 3 individua,
anzitutto, i trattamenti per scopi puramente personali i
quali, in termini conformi alla direttiva, saranno esclusi dal
campo applicativo sia della legge che della Convenzione di
Strasburgo, nei modi previsti dal relativo articolo 3,
paragrafo 2, lettera a), della Convenzione. L'articolo 3
del presente disegno di legge non entra nel merito del genere
di "scopo personale", che potrà anche essere legato allo
svolgimento di un'attività professionale, sempreché i dati non
siano diffusi a terzi, fatta salva la possibilità di
comunicazioni episodiche e non sistematiche; tuttavia, anche
questo tipo di trattamenti dovrà essere protetto da misure
idonee di sicurezza.
L'articolo 3 non ripropone il discusso principio della
cosìddetta "libertà informatica" del quale si è prospettata,
con varie formule, la positivizzazione. A prescindere dal
dibattito dottrinale sulla proprietà o meno di una simile
nozione (e circa i soggetti che in versanti "contrapposti"
possono invocarne la titolarità), si è preso atto delle
critiche e delle perplessità emerse in sede internazionale in
termini di conformità alla Convenzione. Il diritto ad
informarsi e ad essere informati è stato cristallizzato in una
norma - più corretta - sul campo di applicazione della legge.
Dal lato "contrario", per quanto riguarda il diritto ad essere
tutelati nei confronti del trattamento dei dati, si potrà fare
riferimento alle norme che sanciscono i diritti
dell'interessato e la loro azionabilità (esempio, articoli 13
e 29).
Di un secondo gruppo di trattamenti, appartenenti ad
interessi vitali della collettività, viene proposta
l'esclusione dal campo di applicazione della sola legge
interna (articolo 4), ferma restando l'applicazione della
Convenzione n. 108. Si tratta di trattamenti individuati
Pag. 6
mediante un riferimento normativo specifico o ratione
materiae, in stretta aderenza all'articolo 9, paragrafo 2,
lettera a), della Convenzione, per il quale, ferma
restando l'applicabilità della Convenzione (ad esempio, in
relazione al principio di sicurezza di cui all'articolo 7
della Convenzione, che non è derogabile), gli Stati membri
possono introdurre alcune circoscritte eccezioni a specifiche
disposizioni della medesima Convenzione, in particolare per
ciò che concerne il diritto di accesso dell'interessato (che
può essere escluso o assoggettato a regole più specifiche) e
gli strumenti di tutela, quando vi è necessità di proteggere
interessi enumerati tassativamente.
La disciplina di questo secondo gruppo di trattamenti
resterà demandata, in una prima fase, alle specifiche leggi
istitutive o comunque "di supporto", le quali dovranno
conformarsi o adeguarsi ai princìpi fondamentali della
Convenzione e alle raccomandazioni già adottate dal Consiglio
d'Europa, nei termini previsti dai decreti delegati da emanare
in virtù del collegato disegno di legge che riproduce il
citato disegno di legge Atto Senato n. 2343.
L'articolo 5 delimita il campo applicativo della legge in
rapporto ai dati cartacei, sottoponendoli alla medesima
disciplina prevista per i dati trattati con mezzi
automatizzati.
L'articolo 6 applica il principio di territorialità al
trattamento sul territorio italiano (ad esempio, tramite
terminali "remoti") di dati dislocati in memorie situate
all'estero: essendo la banca dati un insieme sistematico di
informazioni che possono essere ripartite in più "archivi"
collegati e dislocabili anche in più Stati, si pone, infatti,
il problema dell'individuazione della legge applicabile che,
se di grado non omogeneo nei Paesi interessati, potrebbe
essere fonte di abusi e di aggiramenti della disciplina
legislativa (ad esempio, sottrazione all'applicabilità della
legge italiana di dati la cui elaborazione, ivi compresa la
comunicazione, sia effettuata pressoché totalmente in Italia,
allorché si invochi la dislocazione del dato altrove); anche
in questo caso, l'istituenda autorità di controllo potrà
svolgere un opportuno ruolo ricognitivo.
L'articolo 7 contiene una previsione indispensabile per il
nuovo quadro di trasparenza, nonché funzionale all'esercizio
dei diritti dell'interessato e dei poteri attribuiti al nuovo
Garante. Si tratta, come appare evidente, di un mero obbligo
di partecipazione al Garante dell'operatività di un
trattamento o di un insieme di trattamenti, configurato in
termini il più possibile snelli, compatibilmente con le
esigenze conoscitive che sono alla base della trasparenza.
Si è evitato, conseguentemente, il ricorso ad un regime
generalizzato di tipo autorizzatorio, ed il conseguente
ingolfamento dell'ufficio del Garante in pratiche di ordine
burocratico.
Il contenuto conoscitivo della notificazione è
identificato per categorie generali di informazioni, in modo
tale da circoscrivere al minimo un'eventuale nuova
notificazione.
Di vitale importanza è la norma (articolo 8) che onera il
titolare del trattamento, all'atto della nomina di un
responsabile, ad effettuare scelte idonee e consapevoli,
nonché a sorvegliare l'andamento delle operazioni di
trattamento; della nomina del responsabile va dato atto nella
notificazione, ai sensi dell'articolo 7.
L'articolo 9 sancisce il principio di qualità dei dati
personali in armonia con l'articolo 5 della Convenzione,
individuando criteri specifici.
L'articolo 10 individua un contenuto minimo di
informazioni da fornire al momento della raccolta
all'interessato o alla persona presso la quale vengono
raccolti dati inerenti il medesimo interessato, il che ha
rilevanza ai fini della correttezza della raccolta (articoli
9, comma 1, lettera a), e 39) nonché per mettere in
grado l'interessato di esprimere consapevolmente, allorché
richiesto, il proprio consenso (articolo 11, comma 3).
L'articolo 11 individua i requisiti di validità del consenso
dell'interessato. L'articolo 12 individua altri presupposti
Pag. 7
sostanziali per la raccolta e per altre operazioni di
trattamento, presupposti che per il settore pubblico (articolo
27) sono individuati nella strumentalità delle medesime
operazioni al perseguimento dei compiti e delle funzioni
istituzionali di ciascuna amministrazione; per il settore
privato, invece, l'articolo 12 individua alcune situazioni
equipollenti al consenso (non necessariamente scritto)
dell'interessato.
Le posizioni soggettive individuate dall'articolo 13 sono
prefigurate in termini di veri e propri diritti, in attuazione
dell'articolo 8 della Convenzione.
Sulla base delle notificazioni effettuate, sarà istituito
presso il Garante un registro generale al quale l'interessato
avrà accesso gratuito. Avvalendosi, ove necessario, del
contenuto conoscitivo di tale registro, l'interessato potrà
richiedere al responsabile del trattamento di adempiere ad una
o più delle richieste indicate nell'articolo 13, comma 1,
lettera c), in taluni casi ad intervalli di tempo
ragionevole e con un eventuale contributo spese.
L'articolo 13 si collega, in caso di contenzioso, al
sistema di tutela delineato dall'articolo 29.
Di particolare rilievo, in ossequio a quanto evidenziato
nel memorandum esplicativo della Convenzione ed in
aderenza a scelte effettuate in altri ordinamenti, risulta la
tutela dei dati relativi alle persone decedute (articolo 13,
comma 3), dati dai quali, all'occorrenza, può derivare
pregiudizio ad altri anche post mortem.
I limiti imposti dall'articolo 14 all'esercizio di alcuni
diritti dell'interessato si giustificano in ragione della
previsione di cui all'articolo 9, paragrafo 3, della
Convenzione, delle caratteristiche dei dati presi in
considerazione e delle relative finalità di utilizzazione,
ferma restando la possibilità per l'interessato di investire
il Garante per un controllo "discreto" da effettuare ai sensi
del comma 2 del medesimo articolo 14.
L'articolo 15 attua il principio della sicurezza dei dati,
che non è derogabile ai sensi dell'articolo 9 della
Convenzione, in termini conformi alle legislazioni che si sono
occupate del settore, sancendo un criterio generale del quale
i commi 2 e 3 prevedono una traduzione in concreto, anche per
esigenze di tassatività delle fattispecie sanzionatorie,
secondo un'ottica di gradualità compatibile con gli impegni
comunitari e con la necessità di un pronto deposito dello
strumento di ratifica della Convenzione.
L'articolo 16 disciplina gli obblighi del titolare del
trattamento in caso di cessazione di tale attività.
L'articolo 17 estende la portata applicativa dell'articolo
9, quarto comma, della citata legge n. 121 del 1981 (comma di
cui è prevista la necessaria abrogazione: articolo 43) anche
al settore amministrativo, ivi comprese le decisioni di ordine
disciplinare, escludendo che i provvedimenti giudiziari ed
amministrativi possano essere basati esclusivamente su un
trattamento automatizzato di dati avente per scopo la
definizione del profilo o della personalità dell'interessato.
Per quanto riguarda il settore privato, tale principio è
affermato dal comma 2 del medesimo articolo 17 in termini
opportunamente differenziati.
L'articolo 18, in sintonia con l'indirizzo comunitario,
esplicita in riferimento alle banche di dati il principio che
l'articolo 2050 del codice civile sancisce in tema di
responsabilità. L'articolo 19 garantisce, in conformità con la
direttiva comunitaria, la possibilità di avvalersi di
incaricati del trattamento. L'articolo 20 detta regole
specifiche in materia di comunicazione e di diffusione dei
dati nel settore privato, che integrano o modificano le
disposizioni generali dettate negli articoli 11 e 12 (i quali
disciplinano il trattamento in termini più generali),
individuando al pari dell'articolo 12 alcune situazioni
equipollenti al consenso dell'interessato.
I divieti di cui all'articolo 21 sono legati, in
particolare, all'importanza della completezza del contenuto
informativo della notificazione (in ragione dell'attività di
controllo e dei diritti dell'interessato), all'effettività dei
provvedimenti adottati in sede di tutela amministrativa e
giurisdizionale o per la tutela di interessi rilevanti della
collettività, nonché all'osservanza
Pag. 8
del principio di cui
all'articolo 9, comma 1, lettera e).
Fin dalla prima rilevazione del fenomeno informatico è
apparso evidente che i dati cosiddetti "sensibili", che
riguardano più da vicino la personalità etico-sociale
dell'individuo e le sue caratteristiche psico-sanitarie,
possono recare un pregiudizio maggiore alla persona, specie se
trattati logicamente o intrecciati con altre informazioni
sensibili.
Per queste categorie di dati, tutte le legislazioni di
area che si occupano della materia e la stessa legge n. 121
del 1981 (articolo 7), contengono, al pari dell'articolo 6
della Convenzione, regole particolari: l'interessato è
protetto con maggiori garanzie, che gli articoli 22 e seguenti
del presente disegno di legge individuano, in primis,
nel consenso scritto dell'interessato e nell'autorizzazione
del Garante, salvo che per casi tassativamente individuati
dalla legge e rispondenti ad indubbie finalità di interesse
pubblico.
La comunicazione dei dati sanitari è subordinata, quindi,
al consenso scritto dell'interessato, con alcune eccezioni
fondate sulla preminenza del cosiddetto diritto della salute:
ad esempio, è lecito prescindere dal consenso ove sussistano
esigenze di cura dello stesso interessato o di terzi (articolo
23, comma 2, lettera b, e laddove la comunicazione o
diffusione siano effettuate in forma anonima per scopi di
studio o ricerca, oppure, in sintonia con l'articolo 9 della
Convenzione, per taluno degli scopi di cui all'articolo 21,
comma 4, lettera b).
Inoltre (articolo 23), le esigenza di prevenzione e di
cura sia di singoli che della collettività possono rendere
necessaria una circolare limitata e garantita del dato
sanitario tra strutture specifiche, laddove la
personalizzazione del dato medesimo risulti utile, ad esempio,
ai fini dello studio dell'evoluzione di fenomeni patologici e
dell'efficacia di attività curative.
In tali casi, la valutazione della preminenza
dell'interesse alla conoscenza non può essere affidata alle
stesse strutture che detengono i dati, ma deve essere
attribuita all'organo di controllo che opererà con l'ausilio
del parere del Consiglio superiore di sanità, dal quale potrà
prescindere nei soli casi di particolare urgenza (articolo 23,
comma 4).
La diffusione con strumenti informativi di dati sanitari
personali non verrebbe, di regola, ammessa (articolo 23, comma
5).
Opportunamente, poi, il comma 3 dell'articolo 23 impone
alcune cautele per la comunicazione all'interessato dei dati
di carattere sanitario. L'articolo 24 attua analoghe cautele
per taluni dati relativi a provvedimenti giudiziari, mentre
l'articolo 25 traduce il difficile equilibrio tra il diritto
alla riservatezza e il diritto all'informazione, tracciato
dalla Camera dei deputati dopo approfondito dibattito tenutosi
alla luce dell'articolo 9 della direttiva comunitaria.
L'articolo 26 individua alcuni temperamenti riguardo alle
informazioni riguardanti le persone giuridiche e gli enti
collettivi, prevedendo, in particolare, un uso distorto del
diritto d'accesso.
L'articolo 27 individua i più specifici presupposti per il
trattamento dei dati da parte della pubblica amministrazione,
allorché i relativi organi, a differenza di quelli indicati
nell'articolo 4, siano soggetti per intero all'ambito
applicativo della nuova legge. Tenuto conto della mole dei
dati custoditi, si è sancita una regola che finalizza
l'utilizzazione dei dati al principio di competenza,
nell'osservanza di norme specifiche che possono prevedere
anche, fermo restando il diritto di accesso ai documenti
amministrativi, la comunicazione e la diffusione in favore di
soggetti privati.
Il medesimo articolo 27 si propone di favorire nell'ambito
della pubblica amministrazione un interscambio proficuo di
dati personali allorché ciò sia necessario per lo svolgimento
dei compiti istituzionali di ciascuna amministrazione. Per
esigenze di trasparenza e di chiarezza anche nei confronti
dell'interessato il quale, sebbene non sia richiesto il suo
consenso (articolo 11, comma 4), deve poter conoscere
attraverso regole manifeste quale è l'ambito generale del
flusso di circolazione delle informazioni che lo riguardano,
Pag. 9
al fine di esercitare i diritti a lui riconosciuti, s'intende
fissare un criterio in base al quale la comunicazione e la
diffusione devono essere previste in linea di massima da una
disposizione di legge o di regolamento, fatta salva la
possibilità di provvedere comunque ad una comunicazione o ad
una diffusione all'interno della pubblica amministrazione
allorché, anche in assenza della predetta disposizione, le
medesime operazioni risultino comunque indispensabili allo
svolgimento dei compiti istituzionali di ciascuna
amministrazione.
L'articolo 27 non si occupa delle modalità attraverso cui
possono avvenire la comunicazione e la diffusione, le quali,
pertanto, potranno essere operate anche attraverso strumenti
convenzionali. Il trasferimento anche temporaneo di dati oltre
frontiera (articolo 28) è oggetto di disciplina al di là del
fatto che esso sia realizzato mediante comunicazione o
diffusione, tenuto conto dei rischi e delle implicazioni che
possono derivare, in termini di utilizzabilità dei dati e di
legislazione applicabile, dalla dislocazione all'estero degli
stessi.
In sintonia con il sistema della notificazione prescelto
in linea generale (articolo 7), con gli sviluppi in
itinere circa il libero flusso di informazioni tra i Paesi
comunitari o aderenti alla Convenzione, e con l'articolo 12
della Convenzione, anche in questo caso non si è previsto un
regime autorizzatorio, e si è circoscritto l'obbligo del
soggetto che intende trasferire i dati a quello di una
notificazione specifica, modellata su quella "generale", da
annotare in una sezione apposita del registro generale di cui
all'articolo 31, comma 1, lettera a): si tratta, anche
in questo caso, di un obbligo che può esaurirsi in una sola
notificazione, purché questa sia completa ed aggiornata.
Nel sancire entro certi limiti la libertà di trasmissione
di dati oltre frontiera, la Convenzione ammette, per
determinate categorie di dati o di banche di dati oggetto di
specifica regolamentazione, la subordinazione di tale
trasmissione all'accertamento dell' equivalenza della
tutela apprestata nel Paese straniero, e prevede un'ipotesi
specifica per i dati destinati ad un trasferimento ulteriore
in un altro Paese straniero non aderente alla Convenzione: in
proposito, alcune circostanze inducono alla previsione di
regole elastiche ma, al tempo stesso, efficaci.
Per quanto riguarda il concetto di "equivalenza", oggetto
di approfondimenti in sede internazionale, la difformità tra i
vari ordinamenti non rende agevole l'identificazione analitica
dei singoli casi di "equivalenza"; si demanda, quindi, al
Garante (il quale potrà approfondire in sede internazionale
un'ampia documentazione intorno alle legislazioni estere, e
curarne ai sensi dell' articolo 31, comma 1, lettera i),
la più ampia conoscibilità), l'individuazione in concreto del
"grado" di protezione, con conseguente possibilità di
esercizio del potere di divieto ove si accerti l'insussistenza
nel Paese straniero di una tutela compatibile con la normativa
introdotta in Italia.
Il complesso dei diritti e delle facoltà disciplinati nel
presente disegno di legge trova nell'istituzione del Garante
il fulcro della loro tutela.
La Convenzione non fa espresso riferimento ad una autorità
di controllo. La direttiva del Parlamento europeo e del
Consiglio del 24 ottobre 1995, invece, al pari della
Convenzione di applicazione dell'Accordo di Schengen e
della legge n. 388 del 1993, obbliga gli Stati membri ad
istituire un'autorità indipendente che vigili sulla protezione
dei dati personali.
Anche nella stragrande maggioranza dei Paesi nei quali è
in vigore una legislazione sulla protezione dei dati
personali, esiste un'autorità di controllo, con poteri e
funzioni riconducibili ad un nucleo omogeneo. La scelta,
quindi, di affidare ad un'autorità indipendente il compito di
vigilare sull'attuazione della legge, è in linea con le
analoghe esperienze legislative dei Paesi europei.
Gli articoli 30 e 33 determinano i requisiti per la nomina
del Garante ed il procedimento per la costituzione dell'organo
e del relativo ufficio.
Per tali aspetti si è ritenuto opportuno non individuare
nuove procedure, bensì
Pag. 10
assumere a modello i procedimenti già
previsti per l'istituzione di altre autorità garanti o di
settore già presenti nell'ordinamento (esempio: Garante per la
radiodiffusione e l'editoria; Autorità garante della
concorrenza e del mercato; Autorità per l'informatica nella
pubblica amministrazione). L'articolo 30 mira, pertanto, ad
assicurare i caratteri di indipendenza e di imparzialità della
nuova Autorità.
Anche per l'apprestamento di un apparato di personale e di
mezzi materiali idonei a far funzionare il nuovo organo, ci si
è ispirati ai modelli già collaudati per le predette autorità.
L'articolo 33 fissa, pertanto, il numero dei dipendenti,
istituendo un fondo per le spese e rinviando ad un regolamento
la formulazione delle norme concernenti l'organizzazione ed il
funzionamento dell'ufficio.
I compiti del Garante sono indicati specificamente
nell'articolo 31. Si tratta, in primo luogo, della tenuta del
registro generale ove vengono raccolti i dati risultanti dalle
notificazioni. Detti registri sono a disposizione del
pubblico, e ciascuno, quindi, potrà prendere conoscenza del
tipo di dati raccolti da ciascuna banca, ipotizzando la
presenza di dati che lo riguardano presso una o più banche di
dati, e, di seguito, esercitando il diritto di accesso. Sono
previsti, poi, compiti generali di controllo e di vigilanza
(comma 1, lettere b), c), ed f), per
l'assolvimento dei quali si è ritenuto di dotare il Garante di
poteri più stringenti della semplice richiesta di
informazioni.
Si è previsto, quindi, che il Garante possa disporre
ispezioni ed accessi, anche diretti, per effettuare verifiche
e controlli, nel rispetto (articolo 32) della tutela
costituzionale dell'inviolabilità del domicilio.
Il Garante potrà adottare tutti i provvedimenti
specificamente indicati nelle altre disposizioni del presente
disegno di legge (esempio: articoli 14, comma 2, 21, comma 3,
22, comma 1, e 25) e dovrà denunciare al pubblico ministero i
fatti di cui verrà a conoscenza nello svolgimento dei suoi
compiti, per i quali siano configurabili ipotesi di reato.
Inoltre, il Garante viene proposto quale autorità competente
alla cura dei rapporti di cooperazione internazionale prevista
dall'articolo 3 della Convenzione di Strasburgo.
Il Garante avrà anche compiti di carattere più generale
(articoli 31, comma 1, lettere h), i), l) ed m)),
quali quello di: 1) favorire la formazione di codici di
deontologia per gli operatori in determinati settori, al fine
di prevenire possibili violazioni nella raccolta ed
elaborazione dei dati personali; 2) promuovere nel pubblico
una cultura adeguata in materia, diffondendo la conoscenza
delle norme che la regolano e dei criteri di sicurezza
concernenti la conservazione dei dati; 3) svolgere una
funzione consultiva e propulsiva nei confronti del Governo,
segnalando l'opportunità di nuove misure legislative e
regolamentari necessarie in un settore soggetto a rapide
trasformazioni di carattere tecnologico; 4) predisporre
annualmente una relazione sull'attività svolta e sullo stato
di applicazione della legge.
L'articolo 31, comma 1, lettera d), attribuisce al
Garante una funzione di vigilanza sollecitabile attraverso
segnalazioni e reclami presentati dagli interessati o da
associazioni rappresentative. Al Garante è riconosciuto,
altresì, un compito più specifico di tutela dei diritti degli
interessati, in sede di esame dei ricorsi presentati ai sensi
dell' articolo 29.
A questo proposito si sono operate delle scelte innovative
rispetto alle tradizionali forme di tutela. Considerata,
infatti, la posizione di assoluta indipendenza del Garante,
nonché i requisiti culturali e professionali richiesti per la
nomina a tale carica, si è ritenuto che tale autorità, in
forza anche dei poteri riconosciutigli dall'articolo 31, possa
costituire il baricentro di una tutela forte dei diritti degli
interessati.
Pertanto, si è costruito il meccanismo della tutela dei
diritti incentrandolo - sia pure in maniera non esclusiva,
data la facoltà di ricorso all'autorità giudiziaria - sul
ricorso al Garante, ricorso che si prevede possa assorbire,
sotto il profilo quantitativo, la quota maggiore del
contenzioso in materia.
Pag. 11
In questa prospettiva:
a) da un lato, si è previsto un rafforzamento dei
poteri processuali del Garante rispetto alle normali procedure
dei ricorsi amministrativi, conferendogli il potere di
adottare provvedimenti cautelari e munendo la sua decisione
del carattere dell'esecutività nonché di una specifica
sanzione penale in caso di inosservanza;
b) dall'altro, si è connotato il procedimento
dinanzi al Garante dei caratteri il più possibile vicini a
quelli della giurisdizione, quali il contraddittorio e
l'istruzione probatoria, demandando ad un successivo
regolamento la fissazione di precise regole procedurali
(articolo 33, comma 3).
Ferma restando la centralità della tutela del Garante, si
è ritenuto di sottoporre il ricorso a quest'ultimo ad una
soglia minima di "filtro", al fine di evitare un concentrarsi
eccessivo di ricorsi in capo al nuovo organo.
Si è previsto, perciò, che il ricorso possa essere
proposto solo dopo che siano trascorsi tre giorni dalla
richiesta avanzata dall'interessato al responsabile del
trattamento, e si è , favorita, così, una risoluzione
consensuale dei potenziali conflitti tra interessati e
responsabili degli archivi.
Al contempo, dal momento che la tutela del diritto alla
riservatezza riveste, di regola, un carattere di urgenza, e
dato che i filtri processuali non possono ostacolare l'accesso
alla giurisdizione, si è stabilito che il ricorso non deciso
dal Garante entro il termine di venti giorni si abbia per
rigettato; di conseguenza, l'interessato potrà adire
direttamente l'autorità giudiziaria. Per la fase
giurisdizionale si è scelto il procedimento camerale
disciplinato dagli articoli 737 e seguenti del codice di
procedura civile, alla stregua dell'analoga soluzione già
adottata dal legislatore con l'articolo 10 della legge 1^
aprile 1981, n. 121, riguardante la tutela dei privati
riguardo ai dati raccolti nel Centro elaborazione dati del
Dipartimento della pubblica sicurezza.
La soluzione adottata, oltre ad essere in linea con
precedenti scelte legislative, appare coerente con il sistema
complessivo di tutela configurato dall'articolo 29. Infatti,
dal momento che la fase dinanzi al Garante ha tutti i
caratteri di una tutela piena di diritti, assimilabile in gran
parte a quella giurisdizionale, ben può la fase
giurisdizionale, che assume un ruolo di tutela non "primario",
avere i caratteri del rito camerale, senza che con ciò vengano
limitate le garanzie delle parti. Resta comunque fermo,
vertendosi in tema di diritti soggettivi, il ricorso per
Cassazione.
Nell'articolo 29, comma 7, si è fatto un riferimento
esplicito all'articolo 4 della legge 20 marzo 1865, n. 2248,
allegato E), al fine di stabilire che tali disposizioni
possono essere derogate per dare esecuzione alle pronunce del
tribunale. Il riferimento riguarda, ovviamente, i casi in cui
la pronuncia contenga ordini nei confronti del responsabile di
un trattamento appartenente alla pubblica amministrazione o
comunque assimilato, quanto a regime giuridico, alla pubblica
amministrazione.
La previsione di "adeguate sanzioni" (articoli da 34 a 39)
è richiesta esplicitamente dall'articolo 10 della Convenzione
di Strasburgo e la direttiva ribadisce l'obbligo degli Stati
di prevedere sanzioni "dissuasive". Anche per questo aspetto
si è tenuto conto dell'esperienza legislativa degli altri
Paesi membri dell'Unione, ove già da tempo la materia è
assistita da un novero assai ampio di elevate sanzioni di
carattere penale. Tali legislazioni sono unanimamente
orientate nel senso della scelta di sanzioni penali a tutela
del bene, ritenuto di carattere primario, della riservatezza
dei dati personali. Tale orientamento è peraltro conforme a
quello ricavabile dal nostro sistema penale ove, pur mancando
una specifica previsione in materia di dati personali, in
alcune disposizioni (articoli da 615- bis a 620 del
codice penale) emerge una chiara indicazione nel senso di
ritenere la sfera della vita privata un bene primario per il
quale è necessaria una tutela di carattere penale.
Pertanto, con questo quadro di riferimento, si è proceduto
alla individuazione e tipizzazione delle condotte ritenute
meritevoli di sanzione, graduando la stessa in
Pag. 12
ragione della
gravità del fatto, determinata in base al criterio della
maggiore messa in pericolo del bene tutelato.
L'articolo 34 prevede il reato di omessa o infedele
notificazione, essendo quest'ultima il presupposto necessario
perché il Garante possa esercitare i suoi poteri e gli
interessati i loro diritti. Nell'articolo 35 si sanzionano la
raccolta, l'elaborazione, la comunicazione e la diffusione
illecite, laddove l'illiceità sia determinata dalla violazione
di specifici obblighi o divieti previsti nelle disposizioni
del presente disegno di legge. La pena è aumentata se la
comunicazione e diffusione riguardano dati sensibili; una pena
più grave è prevista anche nei casi in cui dalla condotta
illecita derivi un danno.
L'articolo 36 sanziona la mancata adozione di tutte le
misure tecniche, fissate con decreto presidenziale, volte a
garantire la sicurezza dei dati anche rispetto a possibili
alterazioni o sottrazioni da parte di terzi. E' prevista
anche, al comma 2, l'ipotesi colposa, ed in tal caso la pena è
diminuita.
Gli articoli 37 e 39 rafforzano la posizione del Garante
sia nella veste di autorità chiamata ad impartire prescrizioni
o a decidere su un ricorso (articoli 22, comma 2, e 29), sia
nei suoi compiti di controllo e di raccolta di informazioni
(articoli 29, comma 4, e 32, comma 1). In tale ultima ipotesi
si è ritenuto, alla stregua di analoghe fattispecie previste a
tutela dell'attività del Garante per la radiodiffusione e
l'editoria e del Garante della concorrenza e del mercato, di
introdurre una sanzione amministrativa.
L'articolo 38 stabilisce la pena accessoria della
pubblicazione della sentenza nei casi di condanna per uno dei
delitti previsti dal presente disegno di legge.
Nel capo IX sono inserite alcune disposizioni finali e
transitorie.
Al fine di consentire al Garante una conoscenza completa
ed immediata di tutte le decisioni giurisdizionali in materia
di protezione dei dati, l'articolo 40 impone alle cancellerie
presso i diversi organi giudiziari di trasmettere al Garante
copia dei provvedimenti adottati dall'autorità giudiziaria
concernenti l'applicazione delle disposizioni della legge.
L'articolo 41 fissa alcune disposizioni transitorie per
regolare le prime fasi di applicazione della legge. In
particolare va segnalata la disposizione che prevede la non
applicabilità del principio del consenso dell'interessato per
i dati personali raccolti prima, o la cui elaborazione sia
iniziata prima della data di entrata in vigore della legge.
Resta fermo che gli interessati possono far valere tutti i
loro diritti concernenti i dati che li riguardano. Si fissano,
poi, dei termini per le notifiche dei trattamenti di dati già
esistenti e per l'adozione delle misure di protezione.
Con il comma 1 dell'articolo 43 è prevista l'abrogazione
del quarto comma dell'articolo 8 della legge 1^ aprile 1981,
n. 121, che prevede la notificazione al Ministero
dell'interno, ed il trasferimento di tutto il materiale
informativo raccolto in base a tale disposizione presso
l'ufficio del Garante.
Si fissa, poi, un criterio di abrogazione implicita di
tutte le disposizioni di legge o di regolamento incompatibili
con la legge sulla protezione dei dati (salvo alcune deroghe
esplicite), ribadendo l'orientamento circa la particolare
collocazione nel sistema delle fonti di tale legge in quanto
attuativa di una Convenzione internazionale e,
conseguentemente, circa il carattere di princìpi generali che
rivestono le norme del presente disegno di legge. Gli articoli
15, comma 2, 31, comma 4, 33, comma 5, 41, commi 7 ed 8, e 42,
dettano le norme per assicurare il coordinamento e la
collaborazione tra il Garante e l'Autorità per l'informatica
nella pubblica amministrazione, di tenore identico a quelle
già approvate dalla Camera dei deputati.
L'articolo 44 assicura la copertura finanziaria del
provvedimento legislativo, mentre l'ultimo articolo prevede
una vacatio legis per le esigenze evidenziate in
premessa, in sintonia con le scelte operate in altri Paesi.
| |