Una legge da migliorare
di Manlio Cammarata(*) - 08.05.97

Non è "una legge da rifare", come pensano alcuni. Non è la legge "sulla privacy informatica", come altri continuano a scrivere. Non è una catastrofe per le aziende, se sarà corretta in alcuni punti. Non metterà il bavaglio ai giornalisti, se sarà applicata con intelligenza.
La 675 una legge che deve essere capita, applicata, assimilata, fino a diventare il punto di riferimento di una cultura che fino a oggi in Italia non è esistita: la cultura della riservatezza, del rispetto per la vita privata di ogni cittadino. Certo, nella fase iniziale se ne vedranno delle belle, perché il dibattito de iure condendo che si è trascinato per più di dieci anni tra gli addetti ai lavori non ha interessato l'opinione pubblica, che oggi si trova disorientata di fronte a una normativa molto complessa, in qualche punto incomprensibile, in altri esageratamente severa.
Negli ultimi due anni, in particolare (cioè dalla presentazione del disegno di legge "1901 bis") sono state sollevate numerose e motivate critiche su alcuni aspetti della normativa. Critiche che né il Governo né il Parlamento hanno ritenuto di dover prendere in seria considerazione, sicché oggi ci troviamo a ripetere, su molti punti, le stesse osservazioni di due anni fa.
Vediamo in rapida sintesi i punti che oggi suscitano le preoccupazioni più diffuse e le polemiche più accese.

1. La legge è poco chiara. Con la 675 l'ingegneria legislativa italiana ha raggiunto un livello di complessità e di oscurità difficilmente eguagliabile. Le contorsioni logiche e verbali iniziano dal titolo, "Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali": come si fa a immaginare l'esistenza di dati personali riferibili a soggetti che non sono persone? Non va trascurato, fra l'altro, che l'estensione agli "altri soggetti" è un'aggiunta tutta italiana e abbastanza inutile, e lo stesso testo li esclude o quasi dalla normativa. Sarebbe stato più vicino allo spirito della legge un titolo che si riferisse direttamente al "diritto alla riservatezza di ogni individuo". Di fatto la legge non definisce e non regola questo diritto, ma stabilisce una serie di norme per il trattamento dei dati personali. Il principio della riservatezza è dunque tutelato in forma indiretta e si rivela quasi un sottoprodotto della legge, il che è paradossale.
Ma i paradossi nella 675 sono molti: si pensi agli articoli 3 e 4, che nei rispettivi primi commi stabiliscono che la legge non si applica a certe situazioni, mentre i commi successivi affermano il contrario. Non si può tralasciare, come esempio di uso scriteriato della lingua italiana, la definizione di "Garante" attribuita a un gruppo di quattro individui, il cui presidente si trova ad essere definito "Presidente del Garante per la tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali".

2. Troppi adempimenti burocratici. Le critiche più accese e le preoccupazioni più diffuse riguardano la quantità e la complessità degli adempimenti richiesti ai titolari delle banche dati. Seguendo la lettera dell'articolato, solo l'agenda personale non deve essere notificata al Garante. Tutto il resto deve essere notificato, perché non ci sono eccezioni esplicite. Il che comporta, per esempio, la notificazione delle scritture contabili (che sono composte da "dati personali") da parte di cinque milioni e mezzo di soggetti titolari di partita IVA. Possibile che si debba notificare l'ovvio, cioè l'esistenza di elenchi che sono tenuti in osservanza di norme di legge? Se non sarà trovata una soluzione in tempi brevi, la struttura del Garante sarà sopraffatta e paralizzata da una valanga di milioni di notificazioni, che nessun sistema informatico potrà registrare in tempi ragionevoli.
Anche gli obblighi relativi alle informazioni da rendere all'interessato sembrano, in qualche caso, capaci di bloccare l'attività del titolare: giornali, siti Internet, agenzie di ricerche di mercato avranno i loro problemi, se non si procederà in tempi brevi all'emanazione dei decreti previsti dalla legge-delega 676, oltre che di disposizioni correttive delle legge generale

3. Le sanzioni sono troppo pesanti. Si può minimizzare finché si vuole, ma nella legge sono previsti fino a due anni di galera per chi dimentichi da qualche parte la propria agenda personale. Per non parlare del richiamo all'art. 2050 del codice civile, che porta a considerare il trattamento dei dati "attività pericolosa, per sua natura o per la natura dei mezzi adoperati", come la fabbricazione di esplosivi o lo stoccaggio di sostanze infiammabili.

Mi fermo qui, anche perché nei numerosi interventi che hanno animato il dibattito del Forum multimediale "La società dell'informazione" questi e altri punti sono trattati con autorevolezza da numerosi esperti. Ma, in una visione generale della situazione, non si può tacere il rischio che una legge di tale importanza civile possa essere resa inapplicabile dalla presenza di disposizioni troppo onerose per i diversi soggetti coinvolti.
E' vero che il Garante, e prima di lui il legislatore, ci hanno ripetutamente assicurato che la situazione non è così drammatica, che nessuno pensa di vietare l'attività degli operatori di Internet o che nessuno finirà in galera per avere lasciato l'agenda aperta sul tavolo dell'ufficio e via discorrendo. Abbiamo la massima fiducia nel Garante e confidiamo che manterrà le sue promesse di semplificare e rendere più facile la vita degli imprenditori, ma fino a quando la lettera della legge è quella che conosciamo, abbiamo il diritto di essere preoccupati.
Il Governo ha diciotto mesi di tempo per emanare eventuali decreti correttivi della normativa principale, oltre alle disposizioni specifiche per singoli settori previste dalla legge-delega 676. Diciotto mesi sono troppi, bisognerebbe provvedere in diciotto giorni, perché le prime scadenze sono molto, molto vicine.

(*) Giornalista specializzato in tecnologie dell'informazione