Decreto legislativo - 30/06/2003 - n. 196 art. 2 undecies - Limitazioni ai diritti dell'interessato 1

Schema costruttivo dei tre commi

Dal punto di vista costruttivo, il primo comma dell'art. 2-undecies: i) fissa le due condizioni necessarie (pregiudizio effettivo e concreto) che devono presiedere al giudizio di bilanciamento e dunque alla conseguente, eventuale, applicazione di una limitazione ai diritti dell'interessato; ii) indica l'elenco, tassativo, dei diritti dell'interessato ai quali può essere applicata una limitazione; iii) indica l'elenco, tassativo, degli interessi antagonisti rispetto ai predetti diritti, da porre in bilanciamento.

Il secondo e il terzo comma riguardano le modalità e la specifica disciplina da seguire nella limitazione, come tali presuppongono l'integrazione delle condizioni indicate nel primo. In particolare, il secondo comma regola in maniera specifica la limitazione di diritti in caso di pregiudizio concreto ed effettivo alle attività di trattamento dei dati personali svolte dalle Commissioni parlamentari d'inchiesta istituite ai sensi dell'art. 82 della Costituzione (comma 2). Al terzo sono invece considerate in blocco tutte le altre ipotesi di interessi antagonisti che possono giustificare la limitazione. Sia il secondo sia il terzo comma sono ampiamente costruiti per relationem, rimandando elementi strutturali della disciplina a fonti esterne al codice privacy.

Primo comma: le due condizioni per procedere a limitazione

Le due condizioni necessarie affinché si possa procedere alla limitazione sono: che il pregiudizio agli istituti tutelati risulti effettivo, dunque non blando, e concreto, dunque non ipotetico. I due presupposti sono stringenti, devono esistere congiuntamente e l'onere della prova grava sul titolare del trattamento, ossia sul soggetto che, in quanto interlocutore dell'interessato, si assume in concreto la delicatissima responsabilità di procedere alla limitazione. Va notato che le violazioni dell'art. 2-undecies non sono collegate a sanzione nell'art. 166 cod. privacy, come del resto non lo sono quelle dell'art. 23 nel Regolamento. Saranno infatti applicabili le sanzioni previste per la violazione dei diritti oggetto di impropria limitazione, agli art. 83.5.b) e 83.4.a) GDPR (quest'ultimo rispetto all'art. 34).

Primo comma: limitare, non ablare

Innanzitutto va notato che “limitare” non vuol dire “ablare”, dunque la formulazione «non possono essere esercitati» presente al primo comma dell'articolo in commento si pone certamente in violazione dell'art. 23GDPR, dell'art. 8 CEDU e degli artt. 8 e 52 CFDUE. Quest'ultima disposizione introduce una serie di clausole di salvaguardia nei casi di limitazione: il rispetto del contenuto essenziale dei diritti e delle libertà limitate, la proporzionalità, la necessità, l'effettiva rispondenza all'interesse generale. È appena il caso di notare che il primo paragrafo dell'art. 23 GDPR precisa, in palese collegamento con l'art. 52 cit., che la limitazione deve rispettare «l'essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica», viene cioè in considerazione una compressione, non un'asportazione, da condurre secondo la misura della proporzione e la logica della necessità. La Corte di giustizia ha rilevato più volte che le limitazioni, in quanto recanti deroghe alla disciplina ordinaria, vanno interpretate con la massima prudenza e in senso stretto, cfr., ex multis, CGUE, 4 maggio 2017, Rigas, C-13/16, punto 30 e arresti ivi citati: «Le deroghe alla tutela dei dati personali e le limitazioni della stessa devono avvenire nei limiti dello stretto necessario».

Anche il terzo comma dell'art. 2-undecies introduce assai impropriamente la possibilità non solo di limitare ma anche di ritardare e addirittura di escludere l'esercizio dei diritti in quasi tutte le ipotesi elencate nel comma primo.

Quello della completa asportazione del diritto non è del resto, come si dirà, l'unico vistoso profilo di contrasto della disposizione nazionale con la normativa sovraordinata dell'Unione, ne deriva la necessità tanto per l'autorità giudiziaria quanto per ogni amministrazione dello Stato di procedere alla disapplicazione delle porzioni della disposizione in contrasto la disciplina eurounitaria, in ottemperanza al principio del primato del diritto dell'Unione.

«[S...]i deve ricordare che le deroghe alla tutela dei dati personali e le limitazioni della stessa devono avvenire nei limiti dello stretto necessario (sentenze del 9 novembre 2010, Volker und Markus Schecke e Eifert, C92/09 e C93/09, EU:C:2010:662, punto 86; del 7 novembre 2013, IPI, C473/12, EU:C:2013:715, punto 39, nonché dell'11 dicembre 2014, Ryneš, C212/13, EU:C:2014:2428, punto 28)». (CGUE, Rigas, C-13/16, punto 30).

Primo comma: i diritti limitabili

L'elenco, tassativo, dei diritti limitabili ai sensi dell'art. 2-undecies contiene tutti quelli riconosciuti agli artt. 15-22 GDPR. La limitazione riguarda tanto l'esercizio con richiesta diretta al titolare del trattamento o attraverso lo strumento di tutela amministrativa del reclamo ex art. 77 GDPR, che è a sua volta un diritto dell'interessato. Se ne deduce innanzitutto che il legislatore nazionale non ha ritenuto di introdurre, nella norma in commento, limitazioni ai principi del trattamento enunciati all'art. 5 GDPR, al diritto all'informativa exartt. 13 e 14 GDPR, al diritto alla comunicazione di un personal data breach ex art. 34 GDPR, possibilità che sarebbero state percorribili ai sensi dell'art. 23 GDPR. Inoltre, pur non menzionando espressamente l'articolo 12, nel fare cenno alla «richiesta diretta» sembrerebbe adombrarlo, sia pure senza derogarlo espressamente. Devono perciò ritenersi fermi gli obblighi di trasparenza, chiarezza, concisione, come pure i termini del riscontro e ogni altro elemento della disposizione.

Il richiamo dell'art. 77 GDPR pone immediate criticità, la disposizione infatti non è menzionata all'art. 23 GDPR e al legislatore nazionale è precluso esondare dalle ipotesi di limitazione dei diritti contemplate all'art. 23 GDPR. Ne risulta un insanabile contrasto con la disciplina europea. Non si comprende peraltro come la procedura amministrativa, che trova regia e garanzia nell'autorità di controllo, possa in sé determinare un vulnus per il titolare del trattamento portatore di interessi protetti ai sensi dell'art. 2-undecies..

Primo comma: gli istituti antagonisti

Come anticipato, le limitazioni attuali riguardano gran parte delle materie che erano già oggetto di deroga nell'assetto del codice privacy pre-novella, il che permette di richiamare almeno astrattamente – sia pure con molta prudenza, stanti le clausole di salvaguardia sopra richiamate e gli inderogabili limiti dell'art. 23 GDPR – il corpus di orientamenti e di decisioni consolidatosi negli anni. In particolare, si pongono in continuità con il passato le limitazioni relative ai diritti da cui possa derivare pregiudizio concreto ed effettivo a: gli interessi tutelati in materia di riciclaggio; gli interessi tutelati in materia di vittime di richieste estorsive; l'attività di Commissioni parlamentari d'inchiesta; le attività di soggetti pubblici non economici per espressa disposizione di legge in materia di politica monetaria, valutaria, sistema dei pagamenti, intermediari e mercati creditizi e finanziari e alla loro stabilità; lo svolgimento delle investigazioni difensive o l'esercizio di un diritto in sede giudiziaria. Ugualmente, in continuità con il passato sono la limitazione per ragioni di giustizia, oggi scorporata e disciplinata autonomamente all'art. 2- duocecies (al cui commento si rimanda). Non è invece più presente nell'elenco nazionale delle limitazioni l'ipotesi relativa ai trattamenti da parte delle forze di polizia, oggi attratta nell'alveo del d.lgs. n. 51/2018, che ha attuato la dir. (UE) 2016/680. Costituisce nuovo ingresso nella lista delle limitazioni nazionali quella diretta a proteggere la riservatezza dell'identità del whistleblower, oggi inserita alla lett. f) dell'art. 2-undecies, modificata dall'art. 24, comma 4, d.lgs. n. 24/2023. Si segnala l'introduzione, rispetto al testo originario, del riferimento alla materia tributaria e di contrasto all'evasione fiscale, lett. f-bis), ad esito dell'art. 1, comma 681, lett. c), l. n. 160/2019. Come chiarito dalla Relazione illustrativa allo schema di decreto legislativo poi diventato il d.lgs. n. 101/2018, la scelta delle limitazioni nazionali, in linea con gli interessi giuridici già contemplati all'abrogato art. 8, è stata effettuata «in ragione della loro rilevanza [e] della loro riconducibilità alle categorie di beni selezionati dall'art. 23 [...]» (ivi).

Procedura di bilanciamento

Come chiarito dal primo comma dell'art. 2-undecies in commento, la sussistenza di una limitazione non ne determina ipso facto l'applicazione ma occorre che l'esercizio dei diritti possa determinare un pregiudizio effettivo e concreto agli interessi tutelati nelle materie richiamate. Si rimanda anche ai richiami fatti più sopra ai criteri di proporzionalità e necessità, v. più in alto § 4.

La Corte di giustizia, a mente della collocazione apicale del diritto alla protezione dei dati personali (artt. 7 e 8 CDFUE) ha sintetizzato in più occasioni le operazioni logico-giuridiche da compiere in occasione del bilanciamento di diritti, cfr. in particolare sentenza WM e Sovim, C-37/20 e C-601/20, nella quale sono individuati tre passaggi successivi: i) valutare se la deroga sia realmente idonea a realizzare l'obiettivo di interesse generale perseguito; ii) se la deroga sia limitata allo stretto necessario; iii) se la deroga non risulti comunque sproporzionata.

«Occorre verificare, in primo luogo, se l'accesso del pubblico alle informazioni sulla titolarità effettiva sia idoneo a realizzare l'obiettivo di interesse generale perseguito, in secondo luogo, se l'ingerenza nei diritti garantiti dagli articoli 7 e 8 della Carta risultante da un simile accesso sia limitata allo stretto necessario, nel senso che l'obiettivo non potrebbe ragionevolmente essere conseguito in modo altrettanto efficace con altri mezzi meno lesivi di tali diritti fondamentali delle persone interessate e, in terzo luogo, se siffatta ingerenza non sia sproporzionata rispetto a tale obiettivo, il che implica, in particolare, una ponderazione dell'importanza di quest'ultimo e della gravità di detta ingerenza» (CGUE, 22 novembre 2022, WM e Sovim, C-37/20 e C-601/20, punto 66, in materia di pubblico accesso al registro della titolarità effettiva, ma mutatis mutandis applicabile in generale al bilanciamento tra diritti e interessi confliggenti).

Secondo e terzo comma: disciplina della limitazione.

Come osservato, il trattamento di dati nell'ambito dell'attività di commissioni parlamentari d'inchiesta istituite ai sensi dell'art. 82 della Costituzione, prevista dal secondo comma dell'art. 2-undecies, costituisce un unicum, essendo completamente sottratta alla disciplina generale sviluppata nel terzo comma, dunque anche alla procedura ex art. 160 di cui si dirà meglio appresso (cfr § 9 infra). È invece interamente affidata a quanto previsto dai regolamenti parlamentari o dalle norme istitutive della commissione d'inchiesta. Non si possono sottacere le criticità di questa soluzione, essendo il codice privacy la sede propria per l'armonizzazione al Regolamento della normativa nazionale, ma nulla di più. Ad ogni modo, la perplessità è più apparente che reale, dovendosi ritenere prevalente su queste fonti, anche su quelle collegate all'autodichia delle Camere, la disciplina eurounitaria.

Quanto al terzo comma dell'art. 2-undecies, nonostante la formulazione più articolata, si ravvisa lo stesso, insoddisfacente, schema per relationem, la disposizione infatti precisa che i diritti dell'interessato oggetto di limitazione «sono esercitati conformemente alle disposizioni di legge o di regolamento che regolano il settore». Dunque anche in questo caso si trova un rimando a fonti diverse, a detrimento di una composizione omogenea e di un governo unitario nella sua sede naturale, il codice privacy appunto.

Giova notare che il terzo comma in esame consente inoltre al titolare di ritardare, limitare o addirittura escludere l'esercizio dei diritti previsti dal Regolamento con comunicazione motivata senza ritardo all'interessato. Al contrasto di tale ultima ipotesi con il diritto eurounitario si è già fatto cenno, l'“esclusione” non risultando menzionata dall'art. 23 GDPR ed essendo concettualmente incompatibile con una limitazione.

Quanto alla possibilità di omettere, altresì, la comunicazione all'interessato che lo rende tempestivamente edotto della limitazione e la argomenta, se (e nella stretta misura in cui) ciò può compromettere le finalità della limitazione, siffatta ipotesi risulta già contemplata alla lett. h) dell'art. 23.2 GDPR, rendendo pleonastica la sua ripetizione da parte del legislatore nazionale. Va inoltre tenuto ben presente che la disciplina delle limitazioni non si presta ad attività di “cherry picking”, ma va considerata nel tessuto complessivo di garanzie articolato al secondo paragrafo dell'art. 23 GDPR, che devono essere tutte presenti. L'elenco di cui al secondo paragrafo della previsione unionale è costruito infatti per ipotesi congiuntive, non disgiuntive. Tale, tessuto di garanzie si impone sulla formulazione del codice privacy e la integra dove necessario, trovando la propria fonte in un regolamento europeo, obbligatorio in tutti i suoi elementi ai sensi dell'art. 288 TFUE e direttamente applicabile in ciascuno degli Stati membri, a prescindere da richiami solo parziali o episodici nella disciplina italiana.

Terzo comma: l'interposizione del Garante

Il terzo comma in commento infine precisa che «i diritti dell'interessato possono essere esercitati anche tramite il Garante con le modalità di cui all'articolo 160». In realtà la disposizione in questione riguarda istituto affatto diverso, ossia l'accertamento svolto in sede ispettiva dal Garante, piegato qui a una sorta di rimedio succedaneo all'art. 77 GDPR, attraverso l'aggiunta di un obbligo informativo del Garante all'interessato: «Informa l'interessato di aver eseguito tutte le verifiche necessarie o di aver svolto un riesame, nonché del diritto dell'interessato di proporre ricorso giurisdizionale». La procedura, non altrimenti normata, neppure nei regolamenti interni del Garante, appare del tutto inadeguata poiché non sottoposta a termini o a regole definite. Giova notare che il richiamo a questa particolare versione dell'art. 160 è effettuato anche nei casi di limitazione contemplati dagli art. 2-duodecies e 132, comma 3-ter cod. privacy.

L'intervento “interposto” del Garante risulta di ardua confomità con il GDPR. Storicamente, trova un antecedente in un analogo istituto del codice privacy ante-GDPR (cfr. l'abrogato art. 8.3 d.lgs. n. 196/2003), ma in quel caso poteva essere, a tutto concedere, ricompreso nel margine di manovra permesso al legislatore nazionale dalla direttiva 95/46, margine oggi inesistente se non nelle ipotesi specifiche previsti dal Regolamento. E sul punto non risulta che tale ultimo atto normativo consenta alcuna forma di interposizione, a differenza della direttiva 680/2016 (cd. “LED”). Appare anzi particolarmente orientante il confronto tra l'art. 17 LED, che appunto introduce, nella materia di competenza, l'istuto dell'esercizio interposto di diritti, e il GDPR che non lo prevede. Tenuto conto anche dei parallelismi espressivi tra l'art. 17 menzionato e l'ultimo comma dell'art. 2-undecies, l'istituto dell'interposizione nella disposizione citata da ultimo si palesa come un inserto del tutto spurio nel contesto del GDPR, che mutua perfino calchi linguistici dall'art. 17 LED.