Altro che semplificazione: la legge cambia volto
di Manlio Cammarata - 20.11.97

Parecchi milioni di adempimenti impegnativi quanto superflui risparmiati ad altrettanti soggetti privati che trattano dati sensibili in applicazione di una serie di norme che regolano una parte essenziale di quasi tutti i rapporti di lavoro. Altrettanti milioni di richieste di autorizzazione che non cadranno sulle scrivanie dell'ancora provvisorio ufficio del Garante per la protezione dei dati personali.
Questi sono i primi effetti dell'autorizzazione n. 1/97 al trattamento dei dati sensibili nei rapporti di lavoro emanata ieri. Un provvedimento annunciato e atteso, primo di una serie che attenuerà alcuni effetti perversi della legge 675/96 e metterà l'organo di garanzia in grado di adempiere alla sua reale funzione, invece che perdere tempo a smistare apocalittici pacchi di "pratiche" sostanzialmente inutili.

Vediamo, prima di tutto, la sostanza del testo.
L'articolo 22 della legge 675/96 prescrive che i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale, possono essere oggetto di trattamento solo con il consenso scritto dell'interessato e previa autorizzazione del Garante.
A prima vista non c'è niente di strano, ma scorrendo con attenzione l'elenco dei dati "sensibili" ci si accorge che praticamente non c'è azienda, studio professionale o altro tipo di organizzazione che non abbia nell'elenco dei dipendenti o dei collaboratori, fissi o occasionali, qualche dato tra quelli indicati dall'articolo 22. Possono essere informazioni sulla salute acquisite in conseguenza di un'assenza del lavoratore per malattia, possono essere informazioni derivanti dalla richiesta di un permesso per partecipare ad attività politiche o religiose, o dalle trattenute per l'iscrizione a un sindacato e via elencando: questo significa che un'enorme quantità di soggetti avrebbe dovuto avanzare al Garante una richiesta di autorizzazione al trattamento, e che il Garante avrebbe dovuto rispondere a tutti entro trenta giorni, decorsi i quali la mancata pronuncia equivale a rigetto (articolo 22. comma 2), con la conseguenza di bloccare l'attività dei richiedenti.

Opportunamente quindi il decreto legislativo 123/97 (emanato il giorno stesso dell'entrata in vigore della legge) ha aggiunto un comma all'articolo 41: Le disposizioni della presente legge che prevedono un'autorizzazione del Garante si applicano, limitatamente alla medesima autorizzazione e fatta eccezione per la disposizione di cui all'articolo 28, comma 4, lettera g), a decorrere dal 30 novembre 1997. Le medesime disposizioni possono essere applicate dal Garante anche mediante il rilascio di autorizzazioni relative a determinate categorie di titolari o di trattamenti.
Ed ecco che, all'approssimarsi del 30 novembre, il Garante incomincia a rilasciare "autorizzazioni relative a determinate categorie di trattamenti", partendo proprio dalla categoria certamente più numerosa, quella relativa ai rapporti di lavoro.

Il comunicato stampa che accompagna il provvedimento preannuncia altre autorizzazioni generali al trattamento di dati sensibili, rivolte ai liberi professionisti, alle associazioni, agli studiosi e ai ricercatori e conclude che l'imminente adozione di queste autorizzazioni rende parimenti superflua la presentazione di apposite richieste.

Non è difficile accorgersi che le autorizzazioni generali costituiscono un sostanziale esonero dall'obbligo della richiesta prescritta dall'articolo 22 e vanno nella stessa direzione degli esoneri e delle semplificazioni previste dal decreto legislativo 255/95 per le notificazioni. Per i dati sensibili non si può prospettare un vero e proprio esonero, perché le autorizzazioni generali prevedono una serie di precise garanzie giustificate dalla delicatezza della materia e quindi contengono minuziosi elenchi dei requisiti dei trattamenti autorizzati.
Tanto minuziosi da richiamare quella specie di "accanimento normativo" che contraddistingue non solo la legge 675/96, ma buona parte dell'attuale legislazione italiana. Il testo dell'autorizzazione n. 1/97 contiene una lunga serie di semplici ripetizioni di altre norme, puntigliose elencazioni di fattispecie, dettagliati elenchi di trattamenti, tanto che sarebbe certamente stato più semplice un provvedimento al contrario: sono autorizzati tutti i trattamenti, tranne quelli che...
Ma, allo stato dei fatti, sarebbe difficile chiedere di più: la legge è quella che conosciamo, il Garante non può cambiarla. Può solo cercare di renderla applicabile, mantenendo l'impegno preso all'inizio del suo mandato: "prima di tutto semplificare", come aveva affermato il presidente Rodotà nell'intervista rilasciata il 4 giugno a InterLex.

Ma il risultato di queste azioni è un parziale (e opportuno) capovolgimento dello spirito della legge, fondata su una quantità insostenibile di adempimenti a carico dei titolari. Ora gli adempimenti esclusivamente formali vengono ridotti al minimo o addirittura eliminati. Resta quindi la sostanza della protezione dei dati personali.
Eppure non è ancora, e non può essere, "la legge sulla riservatezza", che costituirebbe il vero strumento per la tutela degli individui nella società dell'informazione.