Il trattamento dei dati personali e la pubblica amministrazione

Con la L. 241/1990 la pubblicità dell’azione amministrativa diviene la regola mentre la segretezza assurge a ruolo di eccezione.

La riservatezza si configura sia con riferimento alle persone fisiche, come diritto dell’individuo di rispettare la sfera domestica e, più in generale, la dimensione intima della personalità, sia con riferimento a gruppi, persone giuridiche, enti o associazioni, la cd. “riservatezza commerciale” o “industriale”, ossia della tutela di quel complesso che va sotto il nome di segreto d’impresa.

Tutela della riservatezza vuol dire permettere all’individuo di decidere autonomamente l’ambito entro cui i dati personali possono essere portati a conoscenza di terzi e di controllare i trattamenti a cui tali dati sono sottoposti.

Una tappa fondamentale è rappresentata dal D.Lgs. 196/2003 meglio noto come Codice della privacy, il quale nasce proprio con l’intento di accorpare specifiche disposizioni, dettando regole comuni a tutti i trattamenti insieme a prescrizioni specifiche sia nel settore dell’attività pubblica che privata.

La struttura del D. Lgs. 196/2003 è suddivisa in tre parti: la prima comprende le disposizioni generali ove sono contenuti i principi generali; la seconda contiene disposizioni in merito a specifici settori come giustizia, sanità, istruzione, pubblica amministrazione etc.; la terza parte invece è dedicata alla tutela dell’interessato e ricomprende le modalità cui è possibile esercitare il diritto di tutela.

I dati sensibili. Ai sensi dell’art 4 del Codice della privacy, con l’espressione “dato personale” s’intende qualsiasi informazione relativa a persona fisica identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale.

Il codice fornisce anche la nozione di dato identificativo, quello cioè capace di individuare direttamente l’interessato ed anche quella di dato anonimo, cioè quello che non può essere associato ad alcun soggetto identificato o identificabile.

Particolare menzione meritano i dati sensibili, definiti dall’art 4 come quei dati idonei a rivelare l’origine razziale ed etnica, le convenzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione ai partiti, sindacati, associazioni o organizzazioni a carattere religioso, filosofico, politico, sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. Tale categoria di dati devono rimanere al di fuori dell’ambito conoscitivo di soggetti terzi ed il loro trattamento deve necessariamente essere sottoposto ad una specifica disciplina ed a un rigoroso controllo.

Il Codice sempre all’art. 4, primo comma lett. e), introduce la categoria dei dati giudiziari, quelli cioè idonei a rivelare provvedimenti in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli artt. 60 e 61 c.p.p.

Un altro ambito particolarmente delicato è quello dedicato ai dati quasi sensibili, ovvero quelli per i quali sussistono rischi specifici per diritti e libertà fondamentali, soprattutto per la dignità dell’interessato, in relazione alla natura dei dati, alle modalità del trattamento e gli effetti che questo può determinare.

I soggetti che effettuano il trattamento dei dati. Il Codice offre anche una serie di definizioni riguardanti i soggetti che effettuano il trattamento dei dati, tra di essi ricordiamo il titolare del trattamento, il responsabile e l’incaricato.

Nello specifico, il titolare di trattamento è la persona fisica, la persona giuridica, la pubblica amministrazione o qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità di trattamento dei dati e degli strumenti impiegati.

E’ facoltà del titolare nominare, per iscritto, un responsabile, cioè un soggetto fisico o giuridico, pubblica amministrazione o qualsiasi altro ente, associazione od organismo preposto al trattamento dei dati  personali.

Sono, invece, incaricati al trattamento le persone fisiche autorizzate dal titolare o dal responsabile a compiere tutte le operazioni di trattamento.

Mentre il titolare o il responsabile possono essere persone fisiche, giuridiche o pubbliche amministrazioni, gli incaricati invece possono essere solo persone fisiche.

I principi da rispettare in materia di trattamento di dati nella P.A. In materia di trattamento devono essere rispettati due principi fondamentali: il principio di necessità ed il principio di legalità.

In base al primo i sistemi informativi devono essere utilizzati riducendo al minimo l’utilizzo dei dati personali e identificativi, inoltre, i dati personali devono essere utilizzati solo quando le finalità non possono realizzarsi tramite dati anonimi.

Pertanto, ai sensi dell’art. 3 del D.Lgs. 196/2003 è altresì specificato che in caso di trattamento dei dati  sensibili debba essere valutata preventivamente la necessità ed indispensabilità per lo scopo da conseguire oltre alla possibilità di utilizzazione dei dati anonimi.

In base al principio di legalità, invece, tutti i soggetti pubblici, ad eccezione degli enti pubblici economici, possono trattare i dati personali esclusivamente per lo svolgimento delle funzioni istituzionali alle quali sono preposti, pur dovendo sempre attenersi alle prescrizioni codicistiche vigenti in materia e nei limiti imposti dalle leggi e dai regolamenti.

Salvo quanto previsto per gli esercenti le professioni sanitarie e gli organismi sanitari pubblici, la pubblica amministrazione può trattare dati personali senza dover acquisire il consenso espresso dell’interessato.

Ulteriori principi sono fissati dall’art. 11 del D.Lgs. 196/2003 e sono: – principi di liceità e correttezza del trattamento, in base al quale i dati personali devono essere trattati in modo lecito e corretto; – principio di esattezza dei dati, in base al quale i dati devono essere corretti e se necessario aggiornati; – principio di pertinenza e indispensabilità, in base al quale i dati devono essere pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono trattati.

I dati devono essere sempre conservati in una forma tale da consentire l’identificazione dell’interessato per un periodo non eccedente  quello necessario agli scopi per i quali essi sono stati raccolti e successivamente trattati.

Le regole applicabili al trattamento dei dati. L’art 13 del Codice dispone che a ciascun interessato dal trattamento è riconosciuto il diritto all’informativa ossia il diritto ad essere preventivamente informato sulle finalità, sulle modalità, sulle conseguenze di un eventuale rifiuto, sui soggetti o sulle categorie ai quali i dati personali possono essere comunicati o che possono venire a conoscenza e sugli estremi identificativi del titolare oltre al rappresentante e responsabile, se designati.

Se vi è un trattamento illecito di dati personali, i danni cagionati devono essere risarciti ai sensi dell’art. 2050 c.c. includendo, per il danneggiato, anche i danni non patrimoniali.

Il danneggiato può limitarsi a dimostrare il fatto mentre spetta alla controparte dimostrare di aver adottato tutte le misure adeguate per evitare il danno. (art. 15 Codice privacy).

Quando per una qualsiasi causa si giunga alla cessazione del trattamento di dati gli stessi possono essere alternativamente (art. 16): – distrutti; – ceduti ad un altro titolare e trattati in termini compatibili con gli scopi per i quali erano stati raccolti; – conservati per fini esclusivamente personali; – conservati o ceduti ad altro titolare solo per scopi storici, statistici o scientifici.

Trattamento, comunicazione e diffusione dei dati. Il trattamento da parte di un soggetto riguardante dati diversi da quelli sensibili e giudiziari è consentito, purché effettuato perseguendo finalità istituzionali, anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente (art. 19 Codice privacy).

Il trattamento di tale tipologia di dati pone soprattutto una questione di disciplina della comunicazione e della diffusione degli stessi, laddove per comunicazione si intende il dare conoscenza degli stessi a uno o più soggetti determinati diversi dall’interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; mentre per diffusione si intende il dare conoscenza dei dati a soggetti indeterminati, in qualunque forma.

La comunicazione dei dati personali da un soggetto pubblico ad un altro è consentita laddove previsa da leggi o regolamenti, se necessaria per funzioni istituzionali  e può essere iniziata solo decorso il termine di 45 giorni dal ricevimento della richiesta al Garante.

Il trattamento dei dati sensibili. Assieme ai dati personali la P.A. si trova a gestire anche dati sensibili per i quali sono prescritte maggiore trasparenza sulle modalità del loro trattamento e l’osservanza di prescrizioni più rigide.

Cosi facendo se privati e enti pubblici economici devono richiedere la preventiva autorizzazione al garante ed acquisire il consenso scritto dell’interessato, per la P.A. il trattamento dei dati sensibili può avvenire solo se autorizzato da espressa disposizione di legge  e specificando i tipi di dati, le operazioni consentite e le finalità previste.

Qualora una norma di legge precisi le finalità di interesse pubblico ma non i tipi di dati e le operazioni, l’art. 20 del D.Lgs. 196/2003 afferma che il trattamento è ammesso  limitatamente ai dati ed alle operazioni che gli enti stessi individuano e rendono pubblici con apposito regolamento, adottato su parere favorevole del Garante.

In ogni caso il trattamento è consentito solo se l’ente pubblico definisce e rende noti i tipi di dati e le operazioni effettuate per mezzo di apposito atto regolamentare.

Il trattamento dei dati giudiziari. Come avviene per il trattamento di dati sensibili, anche i dati giudiziari possono essere trattati da enti pubblici solo se autorizzati da una norma di legge ovvero da un provvedimento del garante e specificando i tipi di dati, le operazioni consentite e le finalità dei dati; è altresì consentito anche in attuazione di protocolli per la prevenzione ed il contrasto di fenomeni di criminalità organizzata.

Riservatezza e accesso. La volontà del legislatore di rendere la pubblica amministrazione sempre più trasparente pone il problema del difficile bilanciamento tra principio di trasparenza e diritto alla privacy dei soggetti destinatari dell’azione amministrativa.

Inizialmente sembrava che i due istituti non potessero coesistere e addirittura fossero in contrasto tra loro ma con il tempo, attraverso la L. 241/1990 che disciplina il diritto di acceso e la normativa sulla privacy, si è riconosciuto che sono, invece, perfettamente compatibili.

Con la L. 241/1990 il diritto di accesso è ammesso in tutti i casi in cui esso è preordinato al diritto di difesa di un interesse giuridicamente rilevante : “deve comunque essere garantito ai richiedenti l’accesso ai documenti amministrativi la cui conoscenza sia necessaria per curare o per difendere i propri interessi giuridici” (art. 24 comma 7, Legge 241/1990).

L’art 59 D.Lgs. 196/2003 (Accesso ai documenti amministrativi) stabilisce che le disposizioni di cui alla L. 241/1990, in merito ai presupposti alle modalità, ai limiti per l’esercizio del diritto di accesso ai documenti amministrativi e alla relativa tutela giurisdizionale, si applicano “anche per ciò che concerne tipi di dati sensibili e giudiziari e le operazioni di trattamento eseguibili in esecuzione di una richiesta di accesso”.

Per i dati cd. sensibilissimi, in quanto idonei a rivelare lo stato di salute o la vita sessuale, il Codice statuisce che il loro trattamento è consentito unicamente laddove “la richiesta di accesso è di rango almeno pari al diritto dell’interessato, ovvero consiste in un diritto della personalità o in un atro diritto o libertà fondamentale e inviolabile” (art. 60). In tal caso è necessaria una valutazione comparativa con riferimento alla singola fattispecie in concreto, delle singole esigenze contrapposte.