L’intervento del Decreto Legge Capienze sulla privacy – in vigore dal 9 ottobre 2021 – pare francamente sproporzionato, sebbene le intenzioni siano buone. Non hanno molto senso le grida al complotto o le accuse di “lesa maestà” al Garante, ma un miglioramento del decreto è doveroso. Limitando lo “scopo” delle novità introdotte.
Decreto Capienze, la privacy sottomessa al pubblico interesse: cosa cambia e cosa si rischia
Indice degli argomenti
Il GDPR permette margine manovra agli Stati (fino a un certo punto
Va detto che il GDPR (Regolamento UE 2016/679) all’art. 6.3 consente margini di manovra ai singoli Stati membri, per fissare regole specifiche in materia di basi giuridiche e condizioni di liceità per trattamenti necessari ad adempiere a obblighi legali o per svolgere compiti di interesse pubblico o, ancora, per l’esercizio di pubblici poteri. Ma la stessa previsione del GDPR impone anche che il diritto interno degli Stati membri persegua un obiettivo di interesse pubblico e sia proporzionato all’obiettivo legittimo perseguito.
Risk management: l’importanza di quantificare correttamente il rischio (non solo quello informatico)
Se sproporzionata, la norma nazionale deve considerarsi incompatibile e quindi andrebbe disapplicata.
La principale novità sull codice privacy
La principale differenza rispetto a quanto innovato dal DL Capienze (con riferimento sia all’art. 19 abrogato dal D.lgs. 101/2018, sia alla vecchia formulazione, in vigore fino a ieri, dell’art. 2-ter del Codice Privacy) è che ora sembra essere stato introdotto un “liberi tutti” per le comunicazioni di dati personali comuni tra soggetti pubblici e per la loro diffusione all’esterno, nei limiti dell’adempimento di compiti di pubblico interesse o dell’esercizio di pubblici poteri.
Prima, cioè, per legittimare la comunicazione di dati personali comuni, non sensibili o giudiziari, tra soggetti pubblici (e assimilati) serviva una norma di legge o di regolamento previsto da legge, o in alternativa un’istanza al Garante con 45 giorni di tempo per ottenere un rigetto o per maturare il silenzio-assenso. In questo istante, post Decreto Capienze, no. Per capirci, potremmo perfino tornare alla pubblicazione sul web dei redditi degli italiani, a certe condizioni.
La norma italiana era molto restrittiva
Dobbiamo viceversa essere onesti intellettualmente: la modifica di adeguamento del Codice Privacy al GDPR, operata mediante diversi interventi impropri e affrettati nel 2018, con il D.Lgs. 101, limitò eccessivamente le possibilità di trattamento dei dati personali comuni da parte dei soggetti pubblici e di quelli, anche di natura privata, incaricati di svolgere compiti di interesse pubblico. Eravamo una zelante eccezione iper-vincolata nel panorama europeo, e questo limitava l’evoluzione dell’efficienza amministrativa italiana. Vero è che molti scambi informativi tra PA, già previsti da oltre vent’anni con le riforme Bassanini, sono stati frenato da ostacoli alla circolazione di dati inter-PA, posti proprio dai vincoli in materia di protezione dei dati personali. Un intervento di allentamento ci poteva e ci può stare. Ragionevolmente.
Le modifiche da fare
Bene dunque, ora che è stato suonato il la, immaginare una correzione del Decreto Capienze in legge di conversione, in modo da circoscrivere solo casi specifici e “mission critical” per il PNRR nei quali ammettere la comunicazione di dati tra soggetti pubblici senza previa autorizzazione del Garante e senza ulteriori basi normative di legge o di regolamento. Per i restanti scenari, generici, vari ed eventuali di comunicazione e per la diffusione, si dovrebbe ragionevolmente tornare alla necessità di una norma di legge o di regolamento oppure, in alternativa, all’autorizzazione con silenzio assenso da parte del Garante per la protezione dei dati personali. Non fare questa correzione chirurgica renderebbe palese la sproporzione – in ottica europea – della novità normativa introdotta con il Decreto Capienze.
