Il capo III della prima parte D. Lgs.
196/2003 (t.u. in materia di privacy)
conteneva regole per il trattamento dei dati personali specificamente predisposte per i soggetti privati e per gli enti pubblici economici. L'art.
23 t.u. prevedeva (analogamente al previgente art.
11 della Legge 675/96 che
il trattamento di dati personali da parte di privati o di enti pubblici economici fosse ammesso solo con il consenso espresso dell'interessato.Va osservato che, ai sensi dell’art. 27, comma 1, lett. a), n. 2), D.Lgs. 10 agosto 2018, n. 101, l’intero Titolo III del predetto D.Lgs. è stato abrogato, onde tutte le norme ad esso relative più non rinvengono applicazione. La materia è attualmente disciplinata dal GDPR, alle cui norme si fa pertanto rinvio, con specifico riferimento ai capi III e IV (relativi ai diritti dell'interessato ed alle figure del titolare e del responsabile del trattamento)
Dubbi si ponevano in relazione alle riprese ed alla registrazione di immagini di videosorveglianza, in relazione alla quale l'acquisizione del consenso sarebbe stata contrastante con lo scopo e la finalità di una siffatta attività. Pareva infatti un controsenso chiedere al ladro che cerca di introdursi in un'abitazione il consenso al trattamento dei dati. Un conto, in questo senso, era riprendere spazi privati, altra cosa spazi comuni condominiali o addirittura pubblici. In quest'ultimo caso non solo le riprese erano (e rimangono) vietate, ma si correva il rischio di commettere il reato di cui all'art. 615 bis cod. pen.. Sul tema si era pronunziata la Corte di Giustizia Europea (Corte di Giustizia Europea, Sez. IV,
C212/13 dell’11 dicembre 2014).
Il consenso poteva riguardare l'intero trattamento ovvero una o più operazioni dello stesso.
Il consenso era validamente prestato solo se fosse stato espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se era documentato per iscritto, e se fossero state rese all'interessato le informazioni di cui all'art. 13 t.u. .
Il consenso doveva essere manifestato in forma scritta quando il trattamento riguarda dati sensibili. Cosa significano le espressioni "consenso espresso liberamente" e "documentato per iscritto"? Certamente non avrebbe potuto desumersi il consenso per
facta concludentia, tacitamente. Peraltro sembrava scontato che un consenso valido non potesse che essere liberamente prestato: diversamente sarebbe stato annullabile a causa dell'esistenza di vizi nel consenso. La forma specifica pareva rappresentare l'esigenza di raccogliere il consenso quantomeno per il tramite di una scrittura privata, tuttavia il successivo riferimento allo scritto come modalità di documentazione avrebbe palesato la natura di forma
ad probationem tantum del requisito.
L'art.
24 t.u.
prevedeva i casi in cui il trattamento dei dati personali poteva essere eseguito anche in difetto di prestazione del consenso da parte dell'interessato. Ciò era possibile, oltre che nei casi previsti nella Parte II del T.U., anche quando il trattamento:
a) fosse necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
b) fosse necessario per eseguire obblighi derivanti da un contratto del quale era parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato;
c) riguardasse dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabilissero per la conoscibilità e pubblicità dei dati;
d) riguardasse dati relativi allo svolgimento di attività economiche, trattati nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
e) fosse necessario per la salvaguardia della vita o dell'incolumità fisica di un terzo. Se la medesima finalità avesse riguardato l'interessato e quest'ultimo non avesse potuto prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere, il consenso doveva essere manifestato da chi esercitasse legalmente la potestà, ovvero da un prossimo congiunto, da un familiare, da un convivente o, in loro assenza, dal responsabile della struttura presso cui dimora l'interessato. Si applicava la disposizione di cui al II comma dell'art.
82 t.u.;
f) con esclusione della diffusione, fosse necessario ai fini dello svolgimento delle investigazioni difensive di cui alla Legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati fossero trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nel rispetto della vigente normativa in materia di segreto aziendale e industriale (cfr. Cass. Civ., Sez. Unite,
3034/11);
g) con esclusione della diffusione, fosse necessario, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati (non più anche in riferimento all'attività di gruppi bancari e di società controllate o collegate, in esito alla modifica di cui al numero 3) della lettera a) del comma 2 dell’art.
6), qualora non prevalessero i diritti e le libertà fondamentali, la dignità o un legittimo interesse dell'interessato;
h) con esclusione della comunicazione all'esterno e della diffusione, fosse effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, in riferimento a soggetti che avessero con essi contatti regolari o ad aderenti, per il perseguimento di scopi determinati e legittimi individuati dall'atto costitutivo, dallo statuto o dal contratto collettivo, e con modalità di utilizzo previste espressamente con determinazione resa nota agli interessati all'atto dell'informativa ai sensi dell'art.
13 t.u. ;
i) fosse necessario, in conformità ai rispettivi codici di deontologia di cui all'
ALLEGATO A al T.U., per esclusivi scopi scientifici o statistici, ovvero per esclusivi scopi storici presso archivi privati dichiarati di notevole interesse storico del t.u. in materia di beni culturali, o, secondo quanto previsto dai medesimi codici, presso altri archivi privati. Era stato ritenuto conforme alla prescrizione in esame la comunicazione di dati personali di un condomino effettuata dall'amministratore di condominio in riferimento all'attività di gestione degli enti comuni (Cass. Civ., Sez. III,
1593/13) e rivolta agli altri condomini. Sarebbe stata tuttavia esclusa comunque la diffusione indiscriminata di tali dati: era stato pertanto deciso che l'affissione della notizia della morosità di taluno dei condomini in una bacheca posta nell'androne antistante all'ascensore potesse configurare addirittura il reato di diffamazione: cfr. Cass. Pen., Sez. V,
4364/13.
Cosa riferire delle registrazioni effettuate nei locali condominiali (quali il vano scale, la portineria e l'androne d'ingresso, l'autorimessa)? La S.C. si era pronunziata nel senso della possibilità di fare uso delle stesse ai fini di accertare l'identità di chi avesse posto in essere condotte penalmente illecite quali il danneggiamento di un'autovettura (Cass. Pen. Sez.II,
28554/13).
L'art.
25 T.U.
contemplava i divieti di comunicazione e diffusione relativamente ai dati personali.
La comunicazione e la diffusione erano vietate, oltre che in caso di divieto disposto dal Garante o dall'autorità giudiziaria:
a) in riferimento a dati personali dei quali fosse stata ordinata la cancellazione, ovvero quando fosse decorso il periodo di tempo indicato nell'art. 11, comma
1, lettera e) del T.U. ;
b) per finalità diverse da quelle indicate nella notificazione del trattamento, ove prescritta.
Era fatta salva la comunicazione o diffusione di dati richieste, in conformità alla legge, da forze di polizia, dall'autorità giudiziaria, da organismi di informazione e sicurezza o da altri soggetti pubblici ai sensi del II comma dell'art.
58 T.U., per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione di reati.
Il successivo
art.26 T.U.
annoverava una serie di garanzie, questa volta relative soltanto ai dati sensibili.
Essi anzitutto avrebbero potuto essere oggetto di trattamento solo con il consenso scritto dell' interessato e previa autorizzazione del Garante, nell' osservanza dei presupposti e dei limiti stabiliti dal presente codice, nonchè dalla legge e dai regolamenti. Il Garante comunicava la decisione adottata sulla richiesta di autorizzazione entro quarantacinque giorni, decorsi i quali la mancata pronuncia sarebbe equivalsa a rigetto. Con il provvedimento di autorizzazione, ovvero successivamente, anche sulla base di eventuali verifiche, il Garante poteva prescrivere misure e accorgimenti a garanzia dell'interessato, che il titolare del trattamento sarebbe stato tenuto ad adottare.
La disposizione di cui al I comma della norma in esame non si applicava al trattamento:
a) dei dati relativi agli aderenti alle confessioni religiose e ai soggetti che con riferimento a finalità di natura esclusivamente religiosa avessero contatti regolari con le medesime confessioni, effettuato dai relativi organi, ovvero da enti civilmente riconosciuti, sempre che i dati non fossero diffusi o comunicati fuori delle medesime confessioni. Queste ultime determinavano idonee garanzie relativamente ai trattamenti effettuati, nel rispetto dei principi indicati al riguardo con autorizzazione del Garante;
b) dei dati riguardanti l'adesione di associazioni od organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria.
Ai sensi del IV comma dell'art.
26 T.U. in esame
i dati sensibili potevano essere oggetto di trattamento anche senza consenso, previa autorizzazione del Garante: a) quando il trattamento fosse stato effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale, ivi compresi partiti e movimenti politici, per il perseguimento di scopi determinati e legittimi individuati dall'atto costitutivo, dallo statuto o dal contratto collettivo, relativamente ai dati personali degli aderenti o dei soggetti che in relazione a tali finalità avessero contatti regolari con l'associazione, ente od organismo, sempre che i dati non fossero comunicati all'esterno o diffusi e l'ente, associazione od organismo avesse determinato idonee garanzie relativamente ai trattamenti effettuati, prevedendo espressamente le modalità di utilizzo dei dati con determinazione resa nota agli interessati all'atto dell'informativa ai sensi dell'art.
13 T.U. ;
b) quando il trattamento fosse necessario per la salvaguardia della vita o dell'incolumità' fisica di un terzo. Se la medesima finalità avesse riguardato l'interessato e quest'ultimo non avesse potuto prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere, il consenso sarebbe stato manifestato da chi esercita legalmente la potestà, ovvero da un prossimo congiunto, da un familiare, da un convivente (si pensi anche all'istituto dell'amministrazione di sostegno di cui all'art.
404 cod.civ. e ss.) o, in loro assenza, dal responsabile della struttura presso cui dimora l'interessato. Si applicava la disposizione di cui al II comma dell'art.
82 T.U. ;
c) quando il trattamento fosse necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere in sede giudiziaria un diritto, sempre che i dati fossero trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento. Se i dati fossero idonei a rivelare lo stato di salute e la vita sessuale, il diritto avrebbe dovuto essere di rango pari a quello dell'interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile
nota1;
d) quando fosse necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza, nei limiti previsti dall'autorizzazione e ferme restando le disposizioni del codice di deontologia e di buona condotta di cui all'art.
111 T.U..
In ogni caso, ai sensi del V comma dell'art.
26 T.U. i dati idonei a rivelare lo stato di salute non avrebbero potuto essere diffusi.
Infine l'art.
27 T.U. si occupava delle
garanzie relative ai dati giudiziari. Il trattamento di essi da parte di privati o di enti pubblici economici era consentito
soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specificassero le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e di operazioni eseguibili. Il tema coinvolge anche la possibilità per i legali di fare pubblicità informativa, possibilità riconosciuta per effetto dell'entrata in vigore del d.l. 223/2006 (c.d. decreto "Bersani"). Si veda tuttavia, in tema di pubblicazione del nominativo dei clienti principali, pur con il loro consenso, sul sito web dell'associazione professionale tra Avvocati, Cass. Civ., Sez. Unite,
9861/2017.
Note
nota1
Cfr. Tribunale di Milano, 22 luglio
2009 che ha reputato pertanto non illecito il trattamento di dati sensibili attinenti la sfera sessuale nell'ipotesi in cui veniva in considerazione la domanda di annullamento del matrimonio innanzi al tribunale ecclesiastico. Ciò proprio sulla considerazione del pari rango del diritto di libertà religiosa.
top1Prassi collegate