Consiglio di Stato, da correggere il regolamento sul trattamento dei dati personali in caso di condanne penali

Sulle regole privacy dei dati personali in caso di condanne penali il Consiglio di Stato dice un sì non convinto. Con il parere del 15 febbraio 2022 n. 355 "rimette la palla" al ministero della Giustizia, che lo aveva investito sulla questione, e chiede all'Amministrazione di superare i punti controversi segnalati ed eventualmente di sottoporre di nuovo lo schema ("Regolamento recante la disciplina del trattamento di dati personali relativi a condanne penali e reati, ai sensi dell'articolo 2-octies del decreto legislativo 30 giugno 2003, n. 196, concernente il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE"), alla Sezione atti normativi di Palazzo Spada.

La materia dell'intervento regolamentare esaminata dal Consiglio di Stato riguarda il trattamento dei dati personali relativi a condanne penali e reati e si inserisce nella disciplina eurounitaria della protezione delle persone fisiche rispetto al trattamento dei dati personali e alla libera circolazione degli stessi, come innovata nel 2016 con gli atti contestuali, costituiti dalla direttiva 2016/680/Ue. La norma attributiva del potere regolamentare in questione è contenuta nel decreto legislativo 18 maggio 2018 n. 51, e ha un oggetto specifico, costituito dal trattamento e dalla libera circolazione dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali. In particolare, l'articolo 2 octies del codice della privacy – cioè la norma attributiva del potere regolamentare, introdotta con il Dlgs del 2018 - individua i principi relativi al trattamento dei dati giudiziari.

I giudici ammnistrativi nel parere scritto pochi giorni fa ricordano che anche il Garante Privacy si era epresso in modo articolato e complesso, formulando numerose osservazioni e qualche raccomandazione, solo in parte condivise e recepite . Per esigenze di sinteticità il Consiglio di Stato illustra solo quelle non accolte per evidenziare su quali punti bisogna ancora lavorare e migliorare il provvedimento.

Per prima cosa la Sezione ritiene necessario che la definizione dell'oggetto specifico dello schema di decreto "Trattamento dei dati personali relativi a condanne penali e reati" declinato nei diversi ambiti, sia rapportata all'ordinamento penale nazionale, sostanziale e processuale. Solo così il decreto emanando, "per il tramite della legge nazionale che ha conferito il relativo potere, può svolgere la funzione sua propria, che è quella di dare attuazione ad una norma regolamentare europea direttamente applicabile, ma rivolta a Stati diversi, la quale proprio per la sua genericità ed ampiezza non può che essere adattata alla varietà degli ordinamenti nazionali. Naturalmente, l'adattamento deve avvenire nel rispetto di eventuali limiti risultanti dalla norma europea".

Poi viene affrontato il capitolo "lessico", con una serie di suggerimenti che puntano a rendere più agile l'immediata comprensione di una parola chiave in tutto lo schema di decreto ed eliminare ogni possibile ambiguità nell'utilizzo di una terminologia, ad esempio viene considerato opportuno introdurre la definizione "il soggetto titolare dei dati giudiziari;" per rendere esplicito il destinatario delle garanzie appropriate previste dal presente schema di decreto.

Inoltre sarebbe del tutto assente il raccordo con le norme, del Regolamento UE e del Codice, direttamente applicabili e riferite al trattamento e alle connesse garanzie di tutti i dati personali. Il richiamo è infatti presente solo in via eccezionale, e rispetto a qualche articolo. Così come manca ogni valutazione di adeguatezza o meno delle norme sovranazionali generali rispetto alle garanzie appropriate necessarie per il carattere "sensibile" dei dati giudiziari. Queste carenze, ad avviso della Sezione, si sono tradotte nella predisposizione di inappropriate disposizioni a carattere generale che devono essere corrette. La finalità della disciplina è quella di individuare le garanzie appropriate per ciascun ambito di trattamento rilevante nell'ordinamento nazionale, e quindi di verificare l'insufficienza delle stesse nell'ordinamento sovranazionale e nazionale, primario e secondario: ciò impone all'Amministrazione una ricognizione, affinché possa emergere il rispetto o meno di questo obiettivo primario.

L'analisi sugli articoli contenenti disposizioni generali è molto lunga e complessa e anche in questo caso le raccomandazioni principali puntano a rendere le disposizioni meno generiche e ambigue nel disciplinare l'autorizzazione ai trattamenti di dati giudiziari.

L'ultima parte del parere si concentra sui dati giudiziari e i vari tipi e modalità di trattamento (per finalità di verifica della solidità, solvibilità ed affidabilità; nell'ambito di un'attività di investigazione privata; nel settore delle professioni intellettuali, in attuazione di protocolli di intesa per la prevenzione e il contrasto dei fenomeni di criminalità organizzata). Anche qui le raccomandazioni suggerite al Ministero chiedono maggiore chiarezza, precisione, norme specifiche per ciascun ambito, disposizioni di rinvio agli articoli del Codice relativi alle conseguenze della illiceità del trattamento.

In conclusione, nonostante le svariate modifiche suggerite, la Sezione rende un parere definitivo e non interlocutorio, anche alla luce della circostanza che le norme attuative comunitarie sono state predisposte con grande ritardo rispetto alla norma attributiva del potere, che risale al 2018.