La semplificazione delle regole nel codice della privacy

di Giuseppe Santaniello* - 03.06.04

La semplificazione della produzione legislativa è una delle istanze più rilevanti del nostro ordinamento in relazione al suo valore essenziale che vale a qualificare i sistemi giuridici più avanzati. Come è stato osservato dal Consiglio di Stato, sezione consultiva atti normativi del 30 agosto 1999, la semplificazione rappresenta l'esigenza di avere un testo normativo chiaro e soprattutto completo, senza costringere il cittadino in genere e l'operatore in particolare a ricerche complesse e difficili.
Va rilevato che il codice sulla protezione dei dati personali attribuisce pieno valore a tale esigenza, collocandola nel secondo comma dell'art. 2, per cui il trattamento dei dati personali deve assicurare un elevato livello di tutela dei diritti e delle libertà nel rispetto del principio di semplificazione, armonizzazione ed efficacia. Da un'analisi del testo unico emerge come l'esigenza della semplificazione normativa venga soddisfatta attraverso un fitto intreccio di regole, tra di loro convergenti ed operanti sinergicamente, che possono essere così individuate:
1) l'ordine sistematico di tutta l'architettura del codice;
2) l'alleggerimento del numero delle norme, che nel codice viene sfoltito del 30% rispetto a tutta la normativa precedente;
3) il principio di necessità;
4) il principio di utilizzabilità dei trattamenti effettuati in difformità dalle leggi;
5) il fitto catalogo delle definizioni e del significato delle formule legislative adoperate (è la formula delle c.d. "leggi dizionario");
6) una chiara tipologia dei diritti di accesso ai dati personali e degli altri diritti. La disciplina e le modalità di esercizio dei diritti;
7) la semplificazione attraverso la formazione di numerosi codici deontologici e di buona condotta, che ben possono ricomprendersi nella nozione di formazione negoziale delle regole, dando luogo a corpi normativi snelli, di chiara decifrazione;
8) il metodo delle autorizzazioni generali (art. 40): le autorizzazioni "del Garante sono applicate anche mediante il rilascio di autorizzazioni relative a determinate categorie di titolari e di trattamenti".

Quanto al primo profilo il motivo ispiratore è anzitutto quello di dare una quadro sistematico, riordinare tutta la materia normativa inerente alla privacy in un corpus completo, tale da poter orientare agevolmente tutti i soggetti che entrano in contatto con il sistema dei dati personali. La vera finalità preminente è di venire incontro alle esigenze del cittadino, il quale, prima di questo codice, si trovava di fronte ad una molteplicità di corpi normativi: la legge base n. 675/1996, ben 9 decreti legislativi intervenuti medio tempore, più le direttive europee; un complesso di norme nelle quali non era agevole orientarsi.
Il codice ha fornito il filo di Arianna per percorrere un campo così vasto, segnando una controtendenza alle leggi a formazione labirintica.
E' un codice che consta di 3 parti fondamentali: la prima parte contiene le norme generali, ossia le norme di principio, che valgono per tutti i soggetti giuridici. Poi viene delineata la parte riservata ai trattamenti specifici, che è diversificata. Come è stato detto da un fine giurista, la privacy non è un diritto unitario, ma è una costellazione di diritti, è un nucleo composito, vasto, di garanzie e di situazioni giuridiche attive e passive. E allora ognuno che operi in un dato tratto della vita sociale, economica, produttiva, in base a questa ripartizione dei trattamenti, prende cognizione del nucleo preciso di diritti e di doveri che lo riguardano.
Ogni cittadino operatore si trova immediatamente nella situazione di poter conoscere qual è l'itinerario che deve percorrere per poter fruire dei suoi diritti e poter porre in essere i vari strumenti di tutela.
Nel delineare i profili maggiormente innovativi va rilevato anche che il codice ha introdotto nel nostro ordinamento il diritto alla protezione dei dati personali, quale diritto fondamentale della persona, che si integra con il più generale diritto alla riservatezza, nucleo fondamentale della legge base n. 675 del 1996.
Qual'è la portata di questa innovazione? Il legislatore ha operato una trasposizione dei precetti della Carta dei diritti fondamentali dell'Unione Europea (Nizza 2000) che nel capo secondo ha inquadrato sotto la rubrica delle libertà, i valori dell'uomo e della vita associata.

La Carta di Nizza recava due norme distinte. Una riguardava la riservatezza vera e propria (art. 7) "Ogni individuo ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle sue comunicazioni". Questa è la riservatezza nel nucleo originario, primigenio: rispetto della vita privata e familiare, del domicilio e delle comunicazioni. Poi l'articolo 8 introduce il diritto alla protezione dei dati personali e stabilisce "Ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano" "...Ogni individuo ha il diritto di accedere ai dati raccolti che lo riguardano e di ottenerne la rettifica".
Gli enunciati della Carta di Nizza hanno segnato un passaggio storico, cioè dall'Europa del Mercato unico, si è passati all'Europa dei diritti.
La Comunità Europea originariamente garantiva solo diritti strettamente necessari per l'instaurazione del Mercato unico. Erano 4 libertà: libertà di circolazione delle persone, dei capitali, dei beni, dei servizi; non erano codificate altre libertà. Quando l'Europa politica ha cominciato a crescere con le istituzioni extra economiche, i diritti fondamentali hanno cominciato ad essere considerati patrimonio comune dei cittadini indipendentemente dalla loro funzione finanziaria.
Il codice é contrassegnato da un costante raccordo tra fonti di diritto nazionale e fonti di diritto sovranazionale, un intreccio di fonti che sono la linfa vitale di ogni processo giuridico nella fase attuale del mondo contemporaneo.

Un secondo profilo di semplificazione va individuato nello sfoltimento delle regole recate dal codice, le quali sono state alleggerite nella misura del 30% rispetto alla serie di atti normativi susseguiti alla legge base 675/1996. Il risultato è notevole poiché l'eccesso numerico di norme va a scapito della chiarezza e della razionalità dei precetti e delle regole.
Come ebbe a dire F. Carnelutti la inflazione delle leggi è paragonabile alla inflazione monetaria, poiché essa depaupera il valore delle norme e la loro efficacia.
Un terzo coefficiente di semplificazione è dato dall'ampio catalogo delle formule definitorie contenute nell'art. 4, le quali valgono a rendere chiaro a tutti i soggetti interessati il significato concreto delle formule lessicali usate. Tale linea metodica rappresenta l'allineamento del nostro modo di legiferare a quello già adottato da tempo nelle leggi di matrice anglosassone e, in maniera molto ampia, in tutte le direttive dell'Unione Europea. E' così invalso quel metodo, definito delle leggi dizionario, che reca un sicuro vantaggio ai fini della agevole interpretazione delle regole e della comprensione dei loro valori. Le leggi dizionario dimostrano come anche le modalità di codificazione possano modellarsi su sistemi giuridici particolarmente evoluti, che pongono il cittadino al centro dei sistemi regolatori, affidandogli gli strumenti per la comprensione dei precetti normativi.

Un ulteriore profilo di semplificazione si rinviene nella introduzione del principio di necessità, in base al quale i sistemi informativi devono essere predisposti in modo da assicurare che i dati personali o identificativi siano utilizzati solo se indispensabili per il raggiungimento delle finalità consentite, e non anche quando i medesimi obiettivi possano essere raggiunti mediante l'uso dei dati anonimi. Il principio introdotto integra e completa quello di pertinenza e non eccedenza dei dati trattati. Ed è da notare che tale "clausola di necessità" era stata introdotta anche nella legislazione tedesca che all'art. 3a del Bundesdatenschutzgesetz del maggio 2001 aveva dato rilievo alla "parsimonia e misura nell'utilizzo dei dati personali", per cui la scelta di sistemi di elaborazione dati deve avere sempre come obiettivo quello di ridurre, quanto più possibile, il trattamento o l'utilizzazione di dati personali.
Nella sistematica del codice italiano prende risalto un'ulteriore misura di garanzia rivolta alla protezione dei dati personali. La regola generale (art. 11) dispone che i dati personali devono essere trattati in modo lecito e secondo correttezza, raccolti e registrati per scopi determinati, espliciti e legittimi e utilizzati in termini compatibili con tali scopi; ma a presidio di tali requisiti la norma configura una misura inibitoria e caducante, la quale statuisce che i dati personali trattati in violazione di tale disciplina non possono essere utilizzati. Si tratta di una misura di contrasto della illiceità del tutto nuova, in quanto crea la categoria giuridica della inutilizzabilità dei dati personali nei casi di trattamenti anomali. Il potere sanzionatorio di tale misura è notevole, poiché esso toglie al trattamento irregolare ogni possibilità di produrre effetti giuridici.

Nel novero dei coefficienti semplificanti recati dal codice assume particolare rilievo l'introduzione delle nuove fonti normative rappresentate dai codici di deontologia e di buona condotta. Essi (che trovano la loro radice in quelle "norme sulla normazione" costituite dagli articoli della direttiva-madre, la 95/46/CE) si sono affermati come strumenti necessari per una tutela dei trattamenti dei dati personali sistematica ed efficace.
Essi rappresentano una nuova area della strumentazione normativa e una nuova articolazione del sistema delle fonti di produzione del diritto. La flessibilità che li caratterizza conferisce loro il grande vantaggio di poter essere agevolmente modificati, poiché ogni eventuale cambiamento e integrazione delle regole non richiede i tempi lunghi di un complicato procedimento legislativo di riforma; e pertanto sono particolarmente idonei a disciplinare anche materie attraversate da una forte dinamica innovativa come quella delle comunicazioni on line e delle incessanti innovazioni tecnologiche.
Il codice italiano apre la nuova fase dei codici "di terza generazione", caratterizzata dall'ampliamento della loro efficacia e dalla rilevanza delle materie fondamentali che vanno a disciplinare.
La codificazione autodisciplinare così prevista pone in risalto due aspetti innovativi: a) il ruolo del Garante; b) l'intreccio tra le fonti di diritto interno e quelle comunitarie.

Quanto al primo profilo il ruolo assegnato al Garante non è meramente propulsivo, ma include un ampio potere di indirizzo e di controllo, consistente nell'esame dei titoli di legittimazione rappresentativa dei soggetti elaboratori delle regole, e inoltre nella valutazione della conformità delle norme proposte ai principi della legislazione sui dati personali nonché alle raccomandazioni adottate dal Consiglio d'Europa.
Quanto al secondo profilo la codificazione deontologica si configura come il punto di confluenza di tre fattori: gli atti comunitari (specificamente le raccomandazioni del Consiglio d'Europa); i poteri propulsivi e di indirizzo dell'Autorità garante; l'elaborazione delle regole da parte dei soggetti rappresentativi di determinate categorie professionali. Si realizza per tal modo uno dei maggiori valori innovativi, cioè il policentrismo delle fonti dei sistemi giuridici più avanzati, ordinati su più livelli (i c.d. "ordinamenti binari").
Ha rilievo preminente la considerazione che tutta la vasta area dei trattamenti di dati personali è caratterizzata da una evoluzione tecnologica incessante, impetuosa: di qui la necessità che le regole inerenti a tale materia abbiano sufficienti requisiti di elasticità e di semplicità, di capacità di adattamento alla incessante evoluzione dei settori interessati alla disciplina.
Sicché a tali esigenze ben corrisponde una regolamentazione a rete (che si contrappone a quella tradizionale verticistica o a piramide) e a costruzione progressiva, che si rende configurabile attraverso i codici di deontologia e buona condotta.
E' da notare che, per effetto del ruolo propulsivo dell'Autorità garante, sono stati finora emanati: il codice deontologico per l'attività giornalistica; il codice deontologico per i trattamenti a scopi statistici e di ricerca scientifica; il codice deontologico per i trattamenti a scopi storici.

Attualmente sono in fase di elaborazione altri sette codici, concernenti rilevanti settori connessi alla tutela di diritti fondamentali.
Limitandoci a far richiamo ai più importanti, gli ambiti di tali codici sono relativi ai seguenti trattamenti di dati personali effettuati:
- nell'ambito dei servizi di comunicazione e informazione offerti per via telematica;
- per finalità previdenziali o per la gestione dei rapporti di lavoro;
- a fini di invio di materiale pubblicitario o di vendita diretta;
- a fini di regolamentazione della videosorveglianza.
Un ulteriore fattore di razionalizzazione è costituito dalla disciplina dei soggetti pubblici, rivolta ad apprestare la tutela dei diritti dei cittadini nei confronti dei corpi amministrativi che procedono a trattamenti di dati personali.

Come è noto, la direttiva comunitaria del 1995 aveva lasciato totalmente in ombra la disciplina del trattamento dei dati personali da parte dei soggetti pubblici.
E il quadro normativo tracciato dalla legge-base italiana del 1996 conteneva un esiguo numero di norme concernenti la pubblica amministrazione, limitandosi a enunciare i seguenti principi:
a) i soggetti pubblici possono trattare dati personali comuni solo per lo svolgimento delle funzioni istituzionali e nei limiti stabiliti dalle leggi e dai regolamenti vigenti nei settori di riferimento;
b) quando i dati sono di carattere particolare la disciplina richiede maggiori garanzie. I soggetti pubblici, per poter effettuare trattamenti inerenti ai dati sensibili, hanno bisogno di essere autorizzati da una dettagliata disposizione di legge, che preveda quali dati possono essere trattati, le operazioni che possono essere eseguite, le rilevanti finalità di interesse pubblico perseguite.
Il nuovo codice ha ampliato notevolmente il nucleo delle regole inerenti ai trattamenti dei dati in ambito pubblico, costituendo un momento di avanzamento della disciplina giuridica.
Esso fa da argine alle complicazioni normative e rafforza il sistema delle garanzie avendo un duplice obiettivo:
a) definire i principi generali in base ai quali i soggetti pubblici sono autorizzati a trattare i dati personali e, in particolare quelli sensibili, con specifiche cautele e criteri rigorosi;
b) individuare alcune rilevanti finalità di interesse pubblico per cui il cui perseguimento è consentito tale trattamento, nonché le operazioni eseguibili e i tipi di dati che possono essere trattati.
Inoltre nel codice viene delineata la serie di gestioni pubbliche di dati caratterizzate da un interesse pubblico di grado particolare, in quanto qualificato come rilevante. Si tratta di funzioni essenziali dell'ordinamento giuridico, come quelle attinenti all'applicazione della disciplina in materia di elettorato e di esercizio di diritti politici; o attinenti all'instaurazione e gestione di rapporti di lavoro di qualunque tipo; o concernenti le attività di istruzione e formazione in ogni ambito scolastico; o inerenti alla disciplina in materia di concessione di benefici economici, elargizioni, emolumenti; o relativi alla tutela della salute o ai rapporti con enti di culto.
Tale nucleo di regole incide sulla trama fondamentale di rapporti fra il potere pubblico e la collettività, in un complesso contesto di reciproche esigenze e di reciproci limiti e in una necessaria rispondenza fra l'azione pubblica e la sfera della libertà e dei diritti dei cittadini.
L'attuazione di tale nucleo normativo è un banco di prova dei valori custoditi e tutelati dall'ordinamento giuridico.

Abbiamo cercato di indicare, in maniera sintetica, i caratteri del codice italiano, nei profili innovativi di semplificazione e di garanzia dei diritti fondamentali. Sono i tratti fondamentali di un ciclo evolutivo, ma che non possiamo considerare concluso. La frontiera dei diritti inviolabili dei cittadini non è un dato immobile o statico, perché attraverso le nuove formule di tutela si sta costruendo lo statuto della persona umana e del cittadino europeo nella incessante sequenza delle diverse generazioni di diritti.
 

* Vice presidente del Garante per la protezione dei dati personali