Capienze e privacy, Bolognini: "Ecco come va modificato il decreto per un migliore equilibrio" - Agenda Digitale

il commento

Capienze e privacy, Bolognini: “Ecco come va modificato il decreto per un migliore equilibrio”

Bisogna correggere il decreto Capienze in legge di conversione, in modo da circoscrivere solo casi specifici e “mission critical” per il PNRR nei quali ammettere la comunicazione di dati tra soggetti pubblici senza previa autorizzazione del Garante e senza ulteriori basi normative di legge o di regolamento

09 Ott 2021
Luca Bolognini

avvocato e Presidente dell’Istituto Italiano per la Privacy e la Valorizzazione dei dati

L’intervento del Decreto Legge Capienze sulla privacy – in vigore dal 9 ottobre 2021 – pare francamente sproporzionato, sebbene le intenzioni siano buone. Non hanno molto senso le grida al complotto o le accuse di “lesa maestà” al Garante, ma un miglioramento del decreto è doveroso. Limitando lo “scopo” delle novità introdotte.

Decreto Capienze, la privacy sottomessa al pubblico interesse: cosa cambia e cosa si rischia

Il GDPR permette margine manovra agli Stati (fino a un certo punto

Va detto che il GDPR (Regolamento UE 2016/679) all’art. 6.3 consente margini di manovra ai singoli Stati membri, per fissare regole specifiche in materia di basi giuridiche e condizioni di liceità per trattamenti necessari ad adempiere a obblighi legali o per svolgere compiti di interesse pubblico o, ancora, per l’esercizio di pubblici poteri. Ma la stessa previsione del GDPR impone anche che il diritto interno degli Stati membri persegua un obiettivo di interesse pubblico e sia proporzionato all’obiettivo legittimo perseguito.

WHITEPAPER
Gestione dei contratti e GDPR: guida all’esternalizzazione di attività dei dati personali
Legal
Privacy

Se sproporzionata, la norma nazionale deve considerarsi incompatibile e quindi andrebbe disapplicata.

La principale novità sull codice privacy

La principale differenza rispetto a quanto innovato dal DL Capienze (con riferimento sia all’art. 19 abrogato dal D.lgs. 101/2018, sia alla vecchia formulazione, in vigore fino a ieri, dell’art. 2-ter del Codice Privacy) è che ora sembra essere stato introdotto un “liberi tutti” per le comunicazioni di dati personali comuni tra soggetti pubblici e per la loro diffusione all’esterno, nei limiti dell’adempimento di compiti di pubblico interesse o dell’esercizio di pubblici poteri.

Prima, cioè, per legittimare la comunicazione di dati personali comuni, non sensibili o giudiziari, tra soggetti pubblici (e assimilati) serviva una norma di legge o di regolamento previsto da legge, o in alternativa un’istanza al Garante con 45 giorni di tempo per ottenere un rigetto o per maturare il silenzio-assenso. In questo istante, post Decreto Capienze, no. Per capirci, potremmo perfino tornare alla pubblicazione sul web dei redditi degli italiani, a certe condizioni.

La norma italiana era molto restrittiva

Dobbiamo viceversa essere onesti intellettualmente: la modifica di adeguamento del Codice Privacy al GDPR, operata mediante diversi interventi impropri e affrettati nel 2018, con il D.Lgs. 101, limitò eccessivamente le possibilità di trattamento dei dati personali comuni da parte dei soggetti pubblici e di quelli, anche di natura privata, incaricati di svolgere compiti di interesse pubblico. Eravamo una zelante eccezione iper-vincolata nel panorama europeo, e questo limitava l’evoluzione dell’efficienza amministrativa italiana. Vero è che molti scambi informativi tra PA, già previsti da oltre vent’anni con le riforme Bassanini, sono stati frenato da ostacoli alla circolazione di dati inter-PA, posti proprio dai vincoli in materia di protezione dei dati personali. Un intervento di allentamento ci poteva e ci può stare. Ragionevolmente.

Le modifiche da fare

Bene dunque, ora che è stato suonato il la, immaginare una correzione del Decreto Capienze in legge di conversione, in modo da circoscrivere solo casi specifici e “mission critical” per il PNRR nei quali ammettere la comunicazione di dati tra soggetti pubblici senza previa autorizzazione del Garante e senza ulteriori basi normative di legge o di regolamento. Per i restanti scenari, generici, vari ed eventuali di comunicazione e per la diffusione, si dovrebbe ragionevolmente tornare alla necessità di una norma di legge o di regolamento oppure, in alternativa, all’autorizzazione con silenzio assenso da parte del Garante per la protezione dei dati personali. Non fare questa correzione chirurgica renderebbe palese la sproporzione – in ottica europea – della novità normativa introdotta con il Decreto Capienze.

@RIPRODUZIONE RISERVATA

Articolo 1 di 4