Notificazioni: poco chiaro il provvedimento sugli esoneri - 1

di Luigi Neirotti* - 15.04.04

Prima parte

Il Garante per la protezione dei dati personali è intervenuto con la propria deliberazione n. 1 del 31 marzo 2004 al fine di sottrarre all'obbligo di notificazione alcuni specifici trattamenti di dati personali.
Come noto, nel nuovo codice per la protezione dei dati personali il sistema della notificazione è radicalmente cambiato rispetto al regime introdotto dalla legge 31 dicembre 1996, n. 675. Mentre in precedenza la notificazione era obbligatoria per tutti i titolari di trattamento, salvo alcune ridotte eccezioni di esonero (art. 7, comma 5-ter), essa risulta ora obbligatoria solo in specifiche ipotesi di trattamento di dati personali.

In particolare, l'art. 37, comma 1, del codice individua alcuni trattamenti a fronte dei quali sorge l'obbligo di notificazione secondo le nuove modalità telematiche messe a punto dall'ufficio del Garante. Il comma 2 dello stesso articolo, tuttavia, attribuisce al Garante 1) il potere di individuare ulteriori trattamenti da assoggettare all'obbligo di notificazione, in ragione del rischio di pregiudizio che potrebbero arrecare agli interessanti; così come, 2) il potere di sottrarre dall'obbligo di notificazione trattamenti indicati nel comma 1 qualora ritenuti "non suscettibili di recare pregiudizio" agli interessati.

Con il provvedimento in commento il Garante ha, quindi, deciso di avvalersi del potere concessogli dal legislatore, per il momento unicamente nel senso di ridurre le fattispecie in cui la notificazione è obbligatoria. In via incidentale sembra interessante notare, da un punto di vista costituzionale, come l'art. 37, comma 2, contenga una specie di delega "in bianco" ad un organo non costituzionale, un'autorità indipendente, al fine di intervenire nell'ordinamento positivo, ampliando e riducendo di fatto, nemmeno temporaneamente, la portata di disposizioni normative di rango primario. Su quest'aspetto sarebbe interessante condurre un approfondimento: tuttavia, ragioni di brevità e la pressione degli adempimenti in scadenza impongono di rinviare al futuro ulteriori considerazioni.

Nonostante il provvedimento del Garante, che salutiamo naturalmente con favore, alcuni dubbi interpretativi rimangono in merito a talune fattispecie di trattamento per le quali molti titolari si domandano, in vista della prossima scadenza del 30 aprile, se la notificazione sia dovuta o meno. Avvantaggiandomi dell'esperienza degli interventi che mi è capitato di effettuare in questi mesi, esaminerò nel seguito i principali casi per i quali qualche dubbio rimane.
A fine dello sviluppo delle argomentazioni, particolare attenzione verrà rivolta anche al contenuto delle tabelle che il Garante ha predisposto al fine della compilazione della notificazione telematica. E' opinione di chi scrive che esse contengano indicazioni di cui non si possa non tenere conto al fine di determinare il contenuto dei precetti stabiliti dall'art. 37, comma 1, del codice.

Tra i trattamenti individuati nella lettera a), preso atto delle esclusioni operate, uno in particolare desta notevoli dubbi interpretativi e riguarda, potenzialmente, un numero molto elevato di soggetti. Sin dalla pubblicazione del codice ci si è domandato se, nel trattamento in questione, rientrassero i cosiddetti "sistemi di controllo accessi e/o rilevazione presenze" dei dipendenti, molto spesso basati sull'utilizzo di tessere magnetiche (badge) e se, pertanto, l'impiego di tali sistemi determinasse l'obbligo di notificazione quanto ai trattamenti indotti.
L'interesse appare giustificato tenuto conto della vastità dei soggetti che coinvolge in rapporto all'obiettivo dichiarato di drastica riduzione dei soggetti onerati dall'obbligo di notificazione.

Analizzando il contenuto delle tabelle, in particolare tenuto conto che
- quanto alle categorie di dati, esse individuano i dati idonei a rilevare la posizione di persone;
- quanto alle categorie di interessati cui si riferiscono i dati, esse individuano lavoratori e collaboratori;
- quanto alle finalità, esse individuano la gestione del personale;
- quanto alle modalità, esse individuano la rilevazione sistematica di dati senza particolari elaborazioni così come la cancellazione di dati immediata o nel breve periodo (massimo alcuni giorni);

prudenza imporrebbe di considerare come rientrante nella fattispecie in oggetto, e quindi soggetto a notificazione, un trattamento di dati correlato all'utilizzo di un sistema di controllo accessi e/o rilevazione presenze dei dipendenti, a condizione tuttavia che il sistema tratti i dati mediante una rete di comunicazioni elettronica.
Proprio in relazione a tale espressione sorge il dubbio maggiore. Se, cioè, vada considerata come rilevante anche una semplice rete interna, che metta in collegamento i vari dispositivi posti in corrispondenza delle entrate (o anche di una sola entrata) con il sistema che elabora/memorizza i dati delle presenze e degli accessi. Ovvero, se a fini dell'obbligo della notificazione sia richiesto un quid in più.

A mio giudizio dovrebbe risultare necessario un qualcosa in più. Vale a dire un vero e proprio "sistema di interconnessione" tra i sistemi di rilevazione del passaggio o della presenza dell'interessato (lavoratore e collaboratore) ed il sistema di elaborazione/memorizzazione dei dati, i quali dovrebbero inoltre insistere su luoghi fisicamente diversi tra loro. Ulteriore aspetto rilevante, mi sembra, dovrebbe essere la presenza di più sedi di lavoro ubicate su più siti, geograficamente distinti tra loro.

Ancorché indicativo della posizione fisica di una persona, la rilevazione presenza di un lavoratore presso un titolare che operi attraverso un sito unitario geograficamente non mi sembrerebbe rilevante ai fini della tutela delle libertà individuali dell'interessato. E' evidente che un lavoratore deve recarsi (giornalmente) presso il luogo di lavoro, ed anzi solo in determinate e giustificate ipotesi è consentito che non si trovi in quel luogo.

Ben diverso appare, a giudizio di chi scrive, il caso di imprese ubicate su più siti operativi, distinti geograficamente. In questo caso mi sembra che la notificazione sia dovuta, sempre che venga impiegato un sistema di "rilevazione accessi" o "controllo presenze" collegato ad un sistema centrale attraverso una rete di comunicazione elettronica. Un dubbio potrebbe forse venire per il caso in cui tutti i siti operativi di un titolare siano ubicati nello stesso comune. In tal caso, tuttavia, ragioni di prudenza, consiglierebbero di procedere comunque alla notifica.

L'intervento del Garante ha sottratto all'obbligo di notificazione alcuni trattamenti eseguiti da esercenti le professioni sanitarie. Tuttavia, anche il provvedimento del Garante "insiste" nell'uso di espressioni confuse, con predicati verbali e complementi di argomento impliciti.
Senza peccare d'esterofilia, dove l'uso della tabulazione nei documenti a carattere legale è "imposto" a fini di chiarezza, nell'ipotesi in commento una maggiore chiarezza sarebbe auspicabile.

Se dal un lato appare indubbio che l'ipotesi in commento riguardi il trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, i problemi intepretativi nascono a mano a mano che ci si addentra nell'espressione utilizzata.
Ci si domanda, infatti, se trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di non debba essere considerata espressione comune, che regge tutte le altre che seguono.
In tal caso, sembrerebbe forse sensato individuare l'espressione trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, ipotesi più circoscritta rispetto alla mera prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, in entrambi i casi comunque oscura e di difficile decifrazione, anche se il riferimento ai dati idonei a rivelare la "vita sessuale" appare strampalato.

Stesse considerazioni valgono per le espressioni che seguono. Vale a dire, se debbano essere considerate isolatamente le espressioni indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria, ovvero se anch'esse debbano essere raccordate alla radice comune.

Dato che non viene usata una formula disgiuntiva, bensì cumulativa, dati idonei a rivelare lo stato di salute e la vita sessuale, verrebbe da pensare che:
- avrebbe, forse, qualche senso compiuto il risultato combinato trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di indagini epidemiologiche;
- poco senso avrebbe l'espressione trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di rilevazione di malattie mentali, infettive e diffusive, sieropositività ;
- ancor meno senso avrebbe l'espressione trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di trapianto di organi e tessuti, per non parlare del trattamento di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di monitoraggio della spesa sanitaria

Tutto sommato risulta preferibile concludere, anche se con dubbi circa la possibile arbitrarietà di una simile operazione, che si tratti di ipotesi distinte tra loro, non accomunate dall'ipotizzata radice comune e che la notificazione risulta dovuta qualora il trattamento riguardi:
- dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita;
- prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni;
- indagini epidemiologiche;
- rilevazione di malattie mentali, infettive e diffusive, sieropositività;
- trapianto di organi e tessuti; e,
- monitoraggio della spesa sanitaria.

Tutto questo anche se nel provvedimento del Garante tale radice comune viene in qualche modo indirettamente suggerita sub lettera A, punto 2).
Da notare che l'espressione utilizzata nella lettera b) appare particolarmente infelice, laddove si consideri che in talune ipotesi vengono in rilievo dati sensibili, sanitari o relativi alla vita sessuale in relazione a determinate finalità o anche modalità di trattamento, mentre in altre ipotesi, non vengono in rilievo particolari finalità e/o modalità, dal che si intuisce che la "pericolosità" del trattamento è insita nella natura dei dati.

(Continua sul prossimo numero)
 

* Avvocato in Milano, partner Studio Legale Tributario - EYLaw - Responsabile del dipartimento di diritto dell'informatica