Decreto del Presidente della Repubblica - 28/12/2000 - n. 445 art. 16 - (R) Riservatezza dei dati personali contenuti nei documenti trasmessi

Rapporto di continenza tra art. 16 e art. 43 T.U. n. 445/2000 e il contenuto della norma.

L'art. 16 disciplina un aspetto particolare ma complementare al contenuto dell'art. 43: mentre entrambe le norme disciplinano l'attività di circolazione fra amministrazioni dei dati personali in loro possesso, la prima disposizione regolamenta lo specifico profilo della garanzia di alcune categorie delicate di dati personali (dati sensibili e giudiziari) in fase di comunicazione dei dati da un soggetto pubblico all'altro. Si tratta di dati che, anche prima dell'entrata in vigore del Reg. 2016/679/UE (c.d. GDPR), godevano nell'ordinamento di uno statuto di tutela più intenso dei semplici dati personali.

Si pensi al tenore dell'art. 24, comma 7 della l. n. 241/1990 che, in tema di rapporto fra riservatezza e diritto d'accesso dei terzi: a) con riguardo ai dati personali sancisce la prevalenza dell'ostensione ove la «conoscenza sia necessaria per curare o per difendere i propri interessi giuridici» (o in materia di appalti, con particolare riguardo alle informazioni sulle offerte degli altri candidati, per la tutela in giudizio degli interessi dell'istante – cfr. art. 53, comma 6 d.lgs. n.50/2016); b) in caso di dati sensibili e giudiziari, limita la prevalenza dell'ostensione all'ipotesi in cui «sia strettamente indispensabile» alla cura degli interessi dell'istante»; c) in relazione ai dati idonei a rivelare lo stato di salute e la vita sessuale, limita ancor più la prevalenza dell'ostensione all'eccezionale evenienza che la situazione giuridica dell'istante sia di rango almeno pari ai diritti dell'interessato, ovvero che essa consista in un diritto della personalità o in un altro diritto o libertà fondamentale (cfr. art. 60 d.lgs. n.196/2003).

In tale quadro ricostruttivo, la norma in commento ha riguardo alle modalità con cui la circolazione dei dati fra soggetti pubblici deve avvenire quanto alla tutela di particolari categorie più delicate di dati personali, sulla base del presupposto che tale operazione di trattamento abbia una sua valida base giuridica – richiesta per la liceità del trattamento ai sensi dell'art. 2- ter, commi 1, 2 e 3 d.lgs. n.196/2003 – nell'art. 43.

Quanto ai dati oggetto di tutela ad opera della norma in questione, giova rilevare che gli stessi sono trovano oggi regolamentazione nella disciplina comunitaria, che ha determinato l'abrogazione di quella interna di riferimento (d.lgs. n. 196/2003 che aveva abrogato la l. n. 657/1996 richiamata nell'art. 16) e non ha più adottato la distinzione tassonomica fra dati sensibili e dati giudiziari, accomunando entrambe le categorie sotto l'etichetta «particolari categorie di dati personali» e prevedendo per gli stessi uno statuto rafforzato e più garantista di tutela.

In particolare, quanto agli ex dati sensibili, ricomprendenti i «dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona», l'art. 9 del Reg. 2016/679/UE (c.d. GDPR) prevede che il relativo trattamento è lecito se è necessario per motivi di interesse pubblico rilevante sulla base del diritto comunitario o interno (nella specie tale necessità è rinvenibile sulla base dell'art. 43 TUDA), che sia proporzionato alla finalità perseguita nonché rispettoso dell'essenza del diritto alla protezione dei dati, con la previsione di misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato (par. 2 lett. g).

Con riguardo, invece, agli ex dati giudiziari, ricomprendenti i dati personali relativi a condanne penali, ai reati o alle connesse misure di sicurezza, l'art. 10 del Reg. 2016/679/UE precisa che il relativo trattamento debba avvenire, fra l'altro, se autorizzato dal diritto dell'Unione o degli Stati membri, che preveda garanzie appropriate per i diritti e le libertà degli interessati.

Accanto a tali norme, poi, trovano applicazione nella specie i principi generali in materia di trattamento di dati personali contenuti nell'art. 5GDPR con particolare riferimento: 1) alla minimizzazione dei dati, che abilita il titolare a trattare i soli dati «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (lettera c); 2) alla limitazione della conservazione (o principio di data retention), che correla il tempo di conservazione dei dati trattati alla finalità del trattamento, salve le ipotesi di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici (lettera e); 3) alla esattezza, che chiama il titolare a trattare dati esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati (lettera d); 4) all'integrità e alla riservatezza, che chiama il titolare a garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali.

A tale stregua, il quadro normativo testé richiamato esplica rilievo sull'art. 16 almeno in una duplice direttrice: a) una prima direttrice formale, al fine di aggiornare, con un'interpretazione adeguatrice, il riferimento contenuto nell'incipit dell'art. 16; b) una seconda direttrice sostanziale e integratrice, dovendo trovare applicazione, accanto ai principi di liceità, finalità e minimizzazione già formalizzati nel dettato originario dell'art. 16, anche tutti gli altri criteri e principi in materia di trattamento dei dati recati dal Reg. 2016/679/UE, primi fra tutti quelli che enfatizzano la proporzionalità, le garanzie dei privati, l'esattezza e la sicurezza e direttamente applicabili nella specie, visto il carattere obbligatorio e immediatamente vincolante della fonte UE. Si tratta di principi suscettibili di influenzare l'organizzazione e l'azione delle amministrazioni, nelle vesti di titolari del trattamento dei dati personali scambiati, nonché di portata elastica, che le stesse sono chiamate ad attuare in modo congeniale alle loro particolarità operative.