Quando lo Stato vigila troppo
di Manlio Cammarata - 26.01.01

Novantacinque milioni di "schede", secondo notizie di stampa, costituiscono il patrimonio informativo dei Carabinieri sugli italiani. Se consideriamo che la popolazione residente non raggiunge i 58 milioni - compresi gli infanti - e che gli esercenti attività economiche sono circa cinque milioni è mezzo, è evidente che c'è qualche scheda di troppo.
Viene da chiedersi a quanto ammonti il totale dei fascicoli, cartacei o digitali, che lo Stato conserva su ciascuno di noi. E' facile immaginare che anche la Polizia abbia i suoi archivi; aggiungiamo la Guardia di finanza, che ha accesso alle basi di dati del fisco e a tutti i pubblici registri che abbiano qualche rilevanza economica. Poi ci sono i comuni, le strutture sanitarie, le camere di commercio... e soprattutto il cosiddetto "cervellone" del Ministero dell'interno, il CED del Dipartimento della pubblica sicurezza, che dovrebbe raccogliere le informazioni rilevanti per le finalità di tutela dell'ordine, della sicurezza pubblica e della prevenzione e repressione della criminalità.

Tutto regolare? Il Garante per la protezione dei dati personali dice "sì, ma...". Il "sì" è dovuto al fatto che "Dai diversi accertamenti effettuati non sono emersi trattamenti sostanzialmente difformi dalla normativa vigente"; il "ma" riguarda "alcuni problemi che derivano da un quadro normativo che non è stato ancora adeguato del tutto ai principi introdotti dalla legge sulla riservatezza dei dati".
Così recita il comunicato stampa. Il testo del provvedimento non è ancora stato reso pubblico e quindi non possiamo sapere se veramente i trattamenti presi in considerazione sono legittimi perché effettuati da soggetti pubblici per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione dei reati, in base ad espresse disposizioni di legge che prevedano specificamente il trattamento (legge 675/96, art. 4, comma 2, lett. e). Oppure se il "non sostanzialmente difformi" del comunicato si riferisce a qualche... ardimento interpretativo della Benemerita.

In ogni caso ha ragione il Garante nel sostenere che le norme vigenti non sono compatibili con la legge sulla tutela dei dati personali e che vanno riscritte. Sarà necessaria un'apposita legge, perché il già citato art. 4 della 675/96 richiede "espresse disposizioni di legge" per la liceità di questi trattamenti.
Ma, anche se l'art. 31, comma 2, della legge sulla tutela dei dati personali impone solo al Presidente del Consiglio e ai ministri di consultare il Garante quando predispongono norme regolamentari e atti amministrativi suscettibili di incidere sulla materia, il professor Rodotà dovrà far sentire la sua voce durante il dibattito sulle nuove disposizioni in materia di sicurezza e prevenzione e repressione dei reati: sono troppe le disposizioni legislative e regolamentari che consentono alle forze dell'ordine di mettere il naso negli affari privati dei cittadini. Si veda, per esempio, l'art. 17 del DPR 318/97, che al comma 3 prescrive: Ogni organismo di telecomunicazione deve rendere disponibili, anche telematicamente, al centro elaborazione dati del Ministero dell'Interno gli elenchi di tutti i propri abbonati e di tutti gli acquirenti del traffico prepagato della telefonia mobile.

I fascicoli di carta a carico dei cittadini si moltiplicano, a causa della difficoltà di correlare le informazioni. Ma con la tecnologia digitale i dossier  possono essere "virtuali", cioè "non esistere", sfuggendo a qualsiasi controllo, e diventare "reali" solo nel momento in cui vengono correlate singole informazioni legittimamente presenti su archivi diversi.
Questo richiama un altra questione che abbiamo affrontato di recente: il "sistema di sicurezza del  circuito di emissione delle carte d'identità elettroniche", sempre nelle mani del Ministero dell'interno, che non offre sufficienti garanzie di riservatezza dei dati che vi sono contenuti (vedi Se il controllore controlla se stesso e Sulla Rete siamo tutti criminali?).

Dunque non basta dire che non ci sono "trattamenti sostanzialmente difformi" da quanto prevede la normativa, perché la normativa stessa è insufficiente o contraddittoria. Che dire, per esempio, della famigerata (per altri motivi) norma contenuta nell'art. 5 della delibera 476/00 dell'AGCOM, che obbliga gli "internet cafè" a consentire l'identificazione certa degli utenti che fanno uso di detti terminali per l'invio di posta elettronica? Si impone a questi soggetti, con un atto amministrativo, un trattamento di dati personali a fini di sicurezza pubblica?

Si torna così, fatalmente, a un vecchio discorso: la legge 675/96, ridondante di procedure e formalità, si rivela insufficiente proprio nella sostanza, e proprio per i trattamenti più pericolosi per la libertà dei cittadini.