di
Silvia Melchionna

Le molteplici tipologie di tutela con cui il legislatore ha regolato i diversi trattamenti dei dati personali, sono dovute alla presenza di elementi originali relativi alla volontà dell’interessato, alle caratteristiche del soggetto che opera, alla natura del dato, nonché alla finalità del trattamento. Sarà necessario, quindi, valutare il contesto in cui l’informazione è inserita per individuare le modalità con cui andrà effettuato il trattamento.

Nel rispetto del precetto contenuto nell’articolo primo della legge, volto a garantire che il trattamento dei dati personali si svolga nel rispetto dei diritti, delle libertà fondamentali e della dignità delle persone, si è cercato, quindi, di individuare gli strumenti idonei a proteggere quegli interessi confliggenti presenti all’interno delle realtà di trattamento di dati personali. La disciplina si propone, così, di tutelare da un lato la persona come valore, dall’altro tiene conto del legittimo svolgimento di attività economiche, informatiche e professionali implicanti elaborazione di dati personali.

In relazione alla presenza di interessi pubblici o di terzi non sacrificabili, nonché in considerazione delle possibili difficoltà di garantire sempre un consenso libero da condizionamenti più o meno evidenti, il legislatore ha ritenuto opportuno porre dei requisiti equipollenti alla manifestazione di volontà del soggetto. Tale visione ha contribuito ad abbandonare un’immagine del consenso come elemento insostituibile e, quindi, a correggere una prospettiva fortemente enfatizzata sul suo ruolo.

Principio fondamentale sancito dal legislatore è stato quello di individuare come limite alle ipotesi di deroga del consenso il concetto della dignità umana oltre il quale il loro operare diverrebbe illegittimo. Fortemente significativo si configura, inoltre, l’aver mantenuto nei confronti di tali trattamenti l’obbligo di garantire i diritti dell’interessato previsti dall’articolo 13, e quello relativo al rilascio di un’adeguata informativa (ex art.10).

Il trattamento dei dati personali, salvo che per il settore pubblico, presuppone il "consenso espresso dell’interessato" (art. 11, comma 1), tale principio generale risulta essere derogato dalle previsioni elencate nell’articolo 12, completate da quelle dell’articolo 20. La similarità dei due precetti normativi impone una lettura collegata delle singole disposizioni contenute in essi. L’evidente correlazione tra le norme si realizza in un rapporto genus a species; infatti, mentre l’articolo 12 accoglie integralmente il concetto di "trattamento", così com’è definito dall’articolo primo della legge, la previsione dell’articolo 20 considera il solo aspetto della "comunicazione" e "diffusione" dei dati.

La necessità di garantire il perseguimento di finalità di pubblico interesse ha portato il legislatore a prevedere la possibilità di trattare dati personali senza il consenso dell’interessato nell’ipotesi in cui una norma di legge (anche comunitaria) o di regolamento legittimi tale attività di trattamento (art.12, lett. a)). Tale previsione, come precisato in seno ai lavori preparatori del Senato, si riferisce alla presenza di un obbligo legale esistente sin dall’attività di raccolta dei dati e, pur se non espressamente previsto, esclusivamente nei confronti di quelle attività di trattamento strettamente necessarie per adempiere tali obblighi. Nel concetto di obbligo di legge si ritiene debba farsi rientrare anche la ratifica di accordi internazionali, nonché le direttive e i regolamenti comunitari.

La previsione in esame risulta essere applicata in particolar modo in materia previdenziale, assistenziale, fiscale, nelle disposizioni relative ad attività di antiriciclaggio e nel regime pubblicistico di alcune attività economiche, come nel mercato dell’intermediazione immobiliare (art.4 Delibera CONSOB del 14/11/1991, n. 5553, attuativa degli artt. 6-7, L. n. 157/1991, in tema di uso di informazioni personali nelle operazioni su valori mobiliari). Analogamente, ai sensi dell’articolo 20, lett. c), il consenso non è richiesto quando si intendano comunicare e diffondere dati personali in adempimento ad obblighi di legge, regolamento o normativa comunitaria.

Al fine di incentivare la ricerca privata e le indagini statistiche compiute da soggetti operanti all’interno del Sistema Statistico Nazionale, il legislatore ha previsto la possibilità di prescindere dal consenso per quei trattamenti realizzati unicamente a scopi di ricerca scientifica o di statistica, purché i dati utilizzati siano anonimi (art.12, lett.d)). Tale eccezione deve essere letta anche alla luce della previsione dell’articolo 21, comma 4, lett.a), concernente la possibilità di comunicare e diffondere i dati anonimi, qualora questi siano necessari per finalità di ricerca scientifica o di statistica. In un recente comunicato stampa del Garante per la Protezione dei Dati Personali del Febbraio scorso, l’Autorità ha espresso parere favorevole in merito allo schema di Regolamento governativo relativo ai criteri e alle procedure per l’individuazione dei soggetti privati ammessi a partecipare al Sistan.

Ulteriore deroga al principio del consenso dell’interessato, volta a garantire la primarietà delle operazioni finalizzate alla tutela di un interesse superiore della collettività, è prevista dalla lettera g) dell’articolo 12, concernente i trattamenti necessari per la salvaguardia della vita o dell’incolumità fisica dell’interessato o di un terzo, nonché, quelli nei confronti dei quali l’interessato non possa prestare il proprio consenso per impossibilità fisica, per incapacità di intendere e volere e d’agire (minori d’età, soggetti sottoposti ad interdizione giudiziale ai sensi degli artt. 2 e 414 c.c.). Tale deroga trova naturalmente ampia applicazione nei trattamenti di dati connessi ad un intervento medico-chirurgico.

Ai sensi dell’articolo 20, lett.f), è possibile comunicare e diffondere dati raccolti senza il consenso dell’interessato qualora ricorrano le suddette circostanze legittimanti.

Alla stregua della lettera b) dell’articolo 12 e dell’articolo 28, comma 4, lett.b, il consenso non è previsto qualora il trattamento o il trasferimento all’estero dei dati si configuri necessario per l’esecuzione di obblighi derivanti da un contratto in cui è parte l’interessato, per l’acquisizione di informative precontrattuali nate su richiesta dello stesso, nonché per l’adempimento di un obbligo legale.

In quest’ipotesi, come nelle precedenti, l’eccezione al consenso è applicabile solo ai trattamenti "necessari" e non "finalizzati" (come previsto in una versione non definitiva della legge) all’attuazione dello scopo negoziale, escludendo, così, ogni altro dato non funzionale e pertinente. I dati considerabili funzionali al rapporto contrattuale o precontrattuale si ritiene debbano considerarsi non soltanto quelli più elementari, relativi all’identificazione del contraente, bensì anche quelli maggiormente elaborati, concernenti, ad esempio, l’indicazione della banca utilizzata dal soggetto e la titolarità di carte di credito. Qualora il responsabile del trattamento accerti la sopravvenuta inutilità dei dati per il perseguimento delle suddette finalità, sarà, comunque, tenuto a dismettere le informazioni in suo possesso alla stregua del principio di pertinenza e non eccedenza dei dati affermato dall’articolo 9 della legge.

La figura delle informative precontrattuali è facilmente riconducibile alla fattispecie del contratto preliminare prevista dall’articolo 1351 c.c., nella cui richiesta di avvio il soggetto avrà, infatti, fornito determinate informazioni.

Di notevole interesse risulta il mancato parallelismo tra la previsione della deroga del consenso presente nell’ipotesi di obbligo legale, sia per l’attività di "trattamento" che per quella di "comunicazione", rispetto alla possibilità di prescindere da esso nel caso di adempimento ad un obbligo contrattuale solamente per le attività di "trattamento" e non anche per quelle di "comunicazione", nei confronti delle quali sarà, quindi, necessario richiedere ed ottenere il consenso dell’interessato. Tale asimmetria ha sconcertato il mondo aziendale, il quale ha subito ravvisato in tale norma un ostacolo a tutte le attività realizzate dalle imprese in outsorcing. La strutturazione dell’odierna realtà imprenditoriale, caratterizzata da una specializzazione mirata degli operatori economici, mal si concilia con una tale limitazione delle attività delegate a società esterne. Per comunicare a tali società dati necessari per l’espletamento d’attività richieste dallo stesso interessato si configura, quindi, come obbligatorio il rilascio del consenso di questo. In caso di mancato rilascio (realtà molto frequente come dimostrano le statistiche in merito alla percentuale di "ritorno del consenso"), l’azienda sarebbe costretta ad una "esecuzione autarchica" (senza comunicazioni a terzi) di tutti gli adempimenti che, in base all’attuale organizzazione dei fattori produttivi delle imprese, ragioni organizzative ed economiche avevano portato a ritenere più vantaggioso appaltare a società esterne.

Più volte è stato richiamato come la nomina di tali società o collaboratori esterni quali "responsabili" (ex art. 8) e "incaricati" (ex artt. 8.5 e 19) del trattamento renderebbe configurabile la trasmissione dei dati al di fuori dell’azienda non come una "comunicazione" e, quindi, soggetta all’obbligo del consenso, bensì quale attività di mero "trattamento". Tali nomine, naturalmente dovranno avvenire nei limiti e in conformità ai requisiti sanciti dalla legge 675/96 ed in particolare dagli articoli 8 e 19.

Ulteriore deroga al consenso è prevista dalla lettera f), dell’articolo 12, riguardante le ipotesi di trattamenti concernenti dati relativi allo svolgimento d’attività economiche di persone fisiche e giuridiche. Dai resoconti dei lavori preparatori della legge si evidenzia come tale eccezione debba essere intesa nel senso della non necessarietà del consenso dell’interessato qualora il trattamento (e la raccolta) dei dati concerna informazioni strumentali e funzionali allo svolgimento di attività economiche. Il concetto di strumentalità e di funzionalità del dato rispetto all’attività economica dovrà essere valutato in termini restrittivi, non sarà applicabile, quindi, a quelle informazioni raccolte a supporto delle attività di sponsorizzazione o a contenuto benefico e simili. Una diversa lettura vanificherebbe la stessa portata della legge, essendo facilmente attribuibile l’attività di raccolta dei dati al beneficio di un’attività economica.

Il termine "attività economiche", come precisato dallo stesso Garante, deve intendersi riferito all’interessato e non a chi tratta le informazioni, sia perché il dato riguarda l’oggetto del trattamento e quindi l’interessato stesso, sia poiché una diversa interpretazione attribuirebbe, a chi svolge attività economiche, il potere di raccogliere qualsiasi dato senza il consenso del soggetto cui le informazioni si riferiscono, in tal modo si negherebbe il diritto all’autodeterminazione informativa dell’individuo.

Alla stregua di un recente intervento dell’Autorità Garante del Marzo scorso, a tale formulazione possono essere ricondotte indagini sulla solvibilità, sulla solidità finanziaria, sullo stato di insolvenza di un’impresa e sulla correttezza commerciale, ma non quei dati che pur avendo ad oggetto diretto ed immediato profili attinenti la sfera economica dell’interessato, consentono, in via indiretta e mediata di acquisire informazioni afferenti la sua sfera intima (come ad esempio l’accesso all’estratto conto della "Viacard", che, oltre a fornire informazioni di tipo economico, rivela anche gli spostamenti del soggetto). Tali dati, infatti, si riferiscono ad interessi di natura strettamente personale e non di rilievo economico, dovranno, quindi, essere tutelati attraverso la normale disciplina dettata dall’articolo 11 della legge.

Il legislatore ha voluto includere nella previsione anche i trattamenti realizzati ai fini di informazione commerciale e quelle attività riassumibili nel concetto di direct marketing, di cui all’articolo 13, comma 1, lett.e), (relativo al diritto di opposizione dell’interessato). Una lettura combinata delle due norme richiamate può portare a concludere che gli operatori economici possono trattare i dati posseduti per effettuare attività pubblicitarie o promozionali senza il consenso del destinatario dell’offerta commerciale, tuttavia dovranno garantire agli interessati la possibilità di esercitare il diritto di opposizione a questo trattamento, attraverso un’espressa indicazione di tale prerogativa inserita nell’informativa o in calce all’opuscolo pubblicitario.

Diversa disciplina è prevista dal decreto legislativo n.171/98 per le operazioni di direct marketing realizzate attraverso l’uso del fax o di altri sistemi automatizzati di chiamata. Tale normativa prevede, infatti, il necessario consenso espresso dell’abbonato, sia esso persona fisica che giuridica, e, quindi, anche per le comunicazioni business to business fra aziende.

La deroga al consenso non può, inoltre, superare l’articolata disciplina del segreto aziendale e industriale per espressa disposizione di legge.

La ratio di tale deroga al principio del consenso nasce dalla convinzione che una maggiore trasparenza delle informazioni economiche consenta un più efficace controllo pubblico e sociale del potere economico, sempre più coincidente con quello politico. In merito alle notizie economico patrimoniali il legislatore ha, quindi, scelto il principio di una tendenziale libertà, tanto che non sembra configurabile un generale diritto alla riservatezza economica.

Lo svolgimento di particolari attività quali l’esercizio della professione giornalistica e di quella investigativa hanno portato il legislatore a prevedere delle specifiche ipotesi di esonero caratterizzate dal necessario rispetto di stretti vincoli comportamentali e normativi (ex artt. 12, lett.e), h), e 20, lett. d), g)).

L’articolo 12 della legge sancisce, inoltre, la possibilità di operare in deroga al principio del consenso in virtù della particolare provenienza delle informazioni (art.12, lett.c)). Tale previsione autorizza, infatti, il trattamento dei dati personali "provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque". La natura di tali informazioni è caratterizzata dalla pubblicità, sia in quanto trattate da organi pubblici, sia per essere consentita la loro diffusione al pubblico. La ratio insita in tale norma si configura come quella di non ritenere necessario sottoporre al consenso degli interessati quelle informazioni che, non coperte dal segreto d’ufficio, sono acquisibili da chiunque senza alcuna limitazione. La norma si riferisce, quindi, a quegli atti sottoposti al regime di pubblicità beneficiabile da tutti, come avviene per le liste elettorali o per gli atti delle amministrazioni comunali e provinciali. Tale disciplina non limita le disposizioni contenute nella legge 241/90, relative al diritto d’accesso ai documenti amministrativi da parte di chiunque abbia un interesse personale e concreto per la tutela di situazioni giuridicamente rilevanti (ex art. 22, L. n.241/90).

Ulteriore ipotesi di mancata previsione dell’obbligo d’acquisizione del consenso si profila in merito al "trattamento dei dati per fini esclusivamente personali" (art.3). La ragione posta a fondamento di tale previsione è quella di salvaguardare il diritto di ciascun individuo ad informarsi e ad essere informato nell’ambito della vita di relazione (diritto garantito dalla Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali), nonché quella relativa al riconoscimento della libertà di manifestazione del pensiero (ex art.21 Cost.).

La disposizione concerne esclusivamente i trattamenti effettuati da persone fisiche e non anche quelli, seppur a fini personali, realizzati da persone giuridiche, enti o associazioni. Ai fini dell’applicazione di tale norma, non assume rilevanza la tipologia del sistema impiegato (cartaceo o informatico), bensì la finalità del trattamento, consentito esclusivamente per scopi personali e non anche nei confronti di dati destinati ad una comunicazione sistematica o alla diffusione.

Il consenso sembra essere escluso anche nell’ipotesi della cessione dei dati personali per cessazione del trattamento, purché gli stessi siano destinati dal nuovo titolare ad un trattamento con finalità analoghe agli scopi per i quali erano stati raccolti (art.16). Alla cessione deve precedere, tuttavia, la notifica all’Autorità Garante, il quale, attraverso questa, potrà verificare il perseguimento dello scopo, il rispetto del diritto all’oblio, in conformità alle disposizioni sulla circolazione dei dati.

Da tale analisi appare evidente come il legislatore non abbia voluto individuare nel consenso un criterio generale assoluto, bensì uno di quegli strumenti posti a garanzia di una migliore tutela del soggetto, un punto di riferimento per l’individuo. In tale disciplina è possibile, infatti, individuare il timore di inserire il requisito del consenso all’interno di rapporti caratterizzati da una forte disparità del potere sostanziale, come ad esempio tra soggetti pubblici ed individuo, ma anche quello relativo alla dipendenza sempre più marcata del soggetto rispetto alle tecnologie di raccolta dei dati, tendenti a concedere la possibilità di ottenere beni o servizi solo in cambio dell’acquisizione di informazioni personali.

Roma, 15 marzo 2000