Con il Decreto-Legge n° 139 dell’8 ottobre 2021, il Governo presieduto da Mario Draghi ha apportato alcune modifiche alla normativa che disciplina il codice della privacy sul territorio italiano.
Il cosiddetto Decreto Capienze — così ribattezzato in ragione del parziale allentamento delle misure restrittive connesse all’emergenza pandemica — ha infatti anche introdotto importanti novità anche a proposito della gestione dei dati personali.
Il provvedimento, contenente “Disposizioni urgenti per l’accesso alle attività culturali, sportive e ricreative, nonché per l’organizzazione di pubbliche amministrazioni e in materia di protezione dei dati personali”, rappresenta così un ulteriore passo avanti nel processo di correzione e aggiornamento della famigerata, quando non apertamente biasimata, Legge sulla Privacy.
Nell’articolo che seguirà, dopo avere contestualizzato brevemente il quadro legislativo entro il quale si inserisce il nuovo provvedimento, proveremo a capire quali sono le novità e cosa cambia in concreto per la vita dei cittadini.
La Legge sulla Privacy: un po’ di storia
Quando parliamo di Legge sulla Privacy, o Codice della Privacy, facciamo riferimento in prima istanza a un Decreto Legislativo (il n° 196 del 30 giugno 2003) introdotto durante il Governo Berlusconi II. Tale provvedimento ha inteso riordinare in un testo unico la precedente normativa.
In particolare, il “Codice in materia di protezione dei dati personali” del 2003 recepiva a sua volta la Direttiva 95/46/CE del Parlamento Europeo e del Consiglio del 24 ottobre 1995 e riorganizzava le norme contenute nel primo frettoloso tentativo italiano di dare piena attuazione a tale direttiva (abrogando così la legge n° 675 del 31 dicembre 1996).
Il decreto, in vigore dal 1° gennaio 2004, confermava il ruolo di vigilanza del Garante della Privacy (istituito dalla appena citata legge 675/1996) in merito alla tutela dei dati personali dei singoli cittadini. E garantiva
“che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali.”
Senza addentrarci nelle pieghe della normativa, se ne possono così riassumere i punti principali e i principi ispiratori:
- i sistemi informativi devono ridurre al minimo l’acquisizione e la gestione dei dati personali in conformità al principio di necessità, il quale impone di escludere da tale utilizzo tutti i dati che non siano indispensabili e incoraggia l’impiego di dati anonimi o comuque modalità tali da consentire una identificazione del soggetto solo in caso di stretta necessità;
- il cittadino deve essere sempre a conoscenza dell’esistenza, della circolazione di dati personali che lo riguardano e dell’utilizzo (“finalità del trattamento”) che di essi viene fatto;
- il cittadino ha sempre la facoltà di ritirare la propria autorizzazione all’utilizzo dei propri dati personali la cui conservazione non sia necessaria oppure non conforme alla normativa, nonché di correggere e aggiornare tali dati;
- il cittadino ha sempre il diritto di essere informato (“informativa sulla privacy”), oralmente o per iscritto, ogniqualvolta ceda i propri dati, delle finalità e delle modalità attraverso le quali i dati vengono trattati, nonché della obbligatorietà o meno del conferimento dei dati in relazione alle finalità.
LEGGI ANCHE Registrare conversazioni tra privati o in ufficio è reato?
L’introduzione del GDPR europeo per la protezione dei dati personali
Una svolta in relazione alla normativa che regola la gestione dei dati personali si concretizza nel 2016, con la pubblicazione sulla Gazzetta Ufficiale dell’Unione Europea del GDPR (“General Data Protection Regulation”).
Non trattandosi più di una direttiva, ma di un vero e proprio regolamento europeo generale sulla protezione dei dati (il n° 679 del 2016), il provvedimento si presenta come un atto legislativo vincolante presso tutti gli stati facenti parti dell’Unione Europea, e dunque non richiede una normativa nazionale che ne recepisca le disposizioni.
Nell’articolo 1 del GDPR stabilisce che
“La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale.”
Ogni cittadino europeo può esercitare, di fronte alle corti di giustizia di tutti paesi comunitari, il diritto alla protezione dei propri dati personali.
Anche in questo caso, non essendo questa la sede per una disamina approfondita del provvedimento, ne elencheremo soltanto i punti salienti e i principi che ne hanno ispirata la stesura:
- ogni cittadino che concede l’accesso a qualsivoglia dato personale deve sottoscrivere una libera dichiarazione (ossia non tacita né presunta) con la quale esprime la propria autorizzazione alla cessione dei dati e la consapevolezza delle finalità (e delle modalità) per (e attraverso) le quali essi vengono trattati;
- ogni cittadino ha accesso ai dati forniti e il diritto di richiedere la cancellazione degli stessi;
- vengono istituite le figure del Titolare del Trattamento e del Responsabile del Trattamento dei dati, ossia rispettivamente colui che gestisce i dati e colui che è responsabile giuridicamente per eventuali violazioni della normativa rispetto a tale gestione;
- i minori di 16 anni non possono rilasciare autonomamente il consenso al trattamento dei dati, ma esso deve essere espresso e sottoscritto dai genitori (o da chi ne fa le veci);
- viene istituito il diritto all’oblio, grazie al quale in alcuni particolari casi il cittadino può richiedere anche online la cancellazione dei propri dati personali;
- il Titolare del Trattamento dovrà informare l’autorità nazionale adibita alla protezione dei dati (in Italia, il già citato Garante della Privacy) di eventuali violazioni dei dati personali, nonché gli interessati da tale violazione se sussistono minacce per i diritti e la libertà personale;
- è fatto divieto di trasferire i dati personali acquisiti al fuori degli stati aderenti all’Unione Europea o organizzazioni internazionali, la cui tutela dei dati non sia conforme agli standard stabiliti dal GDPR.
Le nuove disposizione in materia di normativa sulla privacy
Come detto, il Decreto Capienze introduce ulteriori novità alla normativa che tutela i dati personali. In particolare, con l’art. 9, comma 1, il Governo stabilisce che il trattamento dei dati da parte di una pubblica amministrazione, di una autorità indipendente, di una amministrazione facente parte dell’elenco annuale dell’Istituto Nazionale di Statistica, nonché di una società a controllo pubblico,
“è sempre consentito se necessario per l’adempimento di un compito svolto nel pubblico interesse o per l’esercizio di pubblici poteri a essa attribuiti.”
Tale disposizione si è resa necessaria al fine di facilitare la lotta all’evasione fiscale, nonché l’emersione di illeciti quali l’abusivismo o il lavoro nero. Grazie a tale norma, espressamente invocata dal direttore dell’Agenzia delle Entrate, Ernesto Maria Ruffini, sarà infatti più semplice incrociare banche dati provenienti da differenti istituti, senza che sia necessaria una autorizzazione al trasferimento di tali dati da parte dei cittadini interessati.
Se è vero, dunque, che tale provvedimento senza dubbio faciliterà il lavoro di riscossione, è altrettanto vero che, come ha segnalato l’avvocato e docente presso Uninettuno, Fulvio Sarzana, esso mette in pericolo le libertà fondamentali.
I nuovi poteri del Garante della Privacy
Sulla stessa linea si pone l’abrogazione dell’art. 2-quinquesdecies del Dlgs 196/2003 (ossia il già citato Codice della Privacy). Qui si stabiliva che il Garante della Privacy, nei casi di compiti di interesse pubblico che presentassero rischi elevati dal punto di vista della violazione dei dati personali, potesse prescrivere misure tali da garantire la tutela dei dati. Misure che il titolare del trattamento deve obbligatoriamente adottare.
Ciò significava, in altri termini, che una Pubblica Amministrazione la quale si fosse trovata a gestire dati particolarmente sensibili allo scopo di eseguire un compito di pubblico interesse, dovesse in primo luogo consultare il Garante al fine di assicurarsi che tale gestione non andasse a ledere il diritto alla privacy dei cittadini interessati.
Come ha ben spiegato l’ex Garante per la Privacy e professore emerito di diritto costituzionale presso l’Università di Torino, Francesco Pizzetti, questa novità riduce il potere d’intervento del Garante anche in presenza di gravi rischi per la privacy dei cittadini.
Ma non finisce qui. Perché il nuovo provvedimento introduce anche un termine, pari a trenta giorni, entro il quale il Garante per la Privacy può intervenire per indicare eventuali violazioni e suggerire misure correttive in relazione agli interventi connessi al Piano Nazionale di Ripresa e Resilienza (PNRR).
Termine oltre il quale Governo e Pubbliche Amministrazioni potranno procedere oltre con le riforme previste anche senza tener conto del parere del Garante.
La nuova legge sulla privacy: i dati dei tabulati telefonici e del traffico telematico
Un ulteriore intervento presente nell’articolo 9 del Decreto Capienze prevede l’abrogazione dell’art. 132, comma 5 del Codice della Privacy. Con ciò il Governo stabilisce che il trattamento dei dati telefonici e telematici finalizzato alla prevenzione e alla repressione dei reati non deve più essere sottoposto al rispetto delle misure e delle indicazioni disposte dal Garante della Privacy per la tutela di tali dati e per la loro distruzione.
In questo modo, le forze dell’ordine e gli apparati di intelligence potranno più facilmente acquisire e analizzare i dati di tabulati telefonici e del traffico telematico durante le attività di indagine. Senza dovere di volta in volta sottostare alle prescrizioni del Garante della Privacy.
Il Codice della Privacy e il Revenge Porn
Un ulteriore intervento in materia di privacy contenuto nel Decreto Capienze ha a che fare con la diffusione di contenuti multimediali sessualmente espliciti.
Al Codice della Privacy viene infatti aggiunto l’art. 144.bis (Revenge Porn), il quale stabilisce che può rivolgersi al Garante chiunque, compresi i minori di quattordici anni, ritenga che
“immagini o video a contenuto sessualmente esplicito che lo riguardano, destinati a rimanere privati, possano essere oggetto di invio, consegna, cessione, pubblicazione o diffusione senza il suo consenso in violazione dell’art. 612-ter del Codice penale.”