Memoria del Presidente del Garante per la protezione dei dati personali, Prof. Pasquale Stanzione
Disegno di legge annuale per il mercato e la concorrenza 2021

Senato della Repubblica - 10a Commissione Affari sociali, sanità, lavoro pubblico e privato, previdenza sociale

(16 febbraio 2022)

Il disegno di legge in titolo reca alcune norme particolarmente rilevanti sotto il profilo della protezione dei dati personali. Di seguito ne verranno descritte le principali, con l'indicazione di alcune possibili modifiche o integrazioni, volte a garantire una più efficace tutela del diritto alla protezione dei dati personali nelle ipotesi considerate.

In primo luogo rileva l'articolo 2 recante, tra le altre, la delega al Governo per la mappatura e la trasparenza dei regimi concessori di beni pubblici, da realizzarsi attraverso la costituzione e il coordinamento di un sistema informativo di rilevazione (e trasmissione telematica) delle concessioni di beni pubblici al fine di promuovere la massima pubblicità e trasparenza, anche in forma sintetica, dei principali dati e delle informazioni relativi a tutti i rapporti concessori, tenendo conto delle esigenze di difesa e sicurezza dei dati medesimi. Tra i criteri direttivi per l'esercizio della delega assume particolare rilievo la previsione (di cui alla lettera g), di "adeguate forme di trasparenza dei dati" relativi alla concessione, da realizzarsi, anche in modalità telematica, nel rispetto della normativa in materia di tutela dei dati personali.

Anche al fine di coniugare nel modo migliore esigenze di trasparenza e diritto alla protezione dei dati personali, è opportuno che sullo schema del decreto legislativo sia acquisito il parere del Garante, ai sensi dell'art. 36, p.4, del Regolamento (UE) 2016/679 (infra: Regolamento). La consultazione dell'Autorità sul punto pare, infatti, particolarmente opportuna in ragione della rilevanza, quantitativa e qualitativa, del sistema informativo da istituire e delle informazioni soggette alle forme di trasparenza che saranno individuate in sede di esercizio della delega legislativa.

Di interesse appaiono, peraltro, gli articoli da 13 a 18 del disegno di legge, recanti disposizioni in materia sanitaria, con particolare riguardo alle modalità di accreditamento, distribuzione e rimborsabilità dei farmaci equivalenti, alla revisione del sistema di produzione dei medicinali emoderivati da plasma italiano e alla selezione della dirigenza sanitaria. Tra questi ultimi si segnala, in particolare, l'articolo 13 che, intervenendo sulla revisione e trasparenza delle modalità di accreditamento e convenzionamento delle strutture private previste dagli articoli 8 e ss. del decreto legislativo n. 502 del 1992, prescrive a carico degli enti, delle aziende e delle strutture pubbliche e private che erogano prestazioni per conto del SSN l'obbligo di pubblicare nel proprio sito internet, oltre ai bilanci anche i dati sugli aspetti qualitativi e quantitativi inerenti i servizi erogati e sull'attività medica svolta dalle strutture pubbliche e private. Potrebbe essere utile prescrivere, in proposito, la forma aggregata dei dati da pubblicare, in modo tale da evitare l'identificabilità, sia pur indiretta e mediante inferenze a partire dai dati sui servizi offerti, degli interessati.

L'articolo 18, inoltre, nel novellare il comma 7-bis dell'articolo 15 del d. lgs. n. 502 del 1992, rinvia alla normazione regionale la disciplina de«i criteri e le procedure per il conferimento degli incarichi di direzione di struttura complessa»con (conferma del già vigente) obbligo - da adempiere prima della nomina - di pubblicità sul sito internet dell'azienda sanitaria de "[i]l profilo professionale del dirigente da incaricare, i curricula dei candidati, i criteri di attribuzione del punteggio, la graduatoria dei candidati, la relazione della commissione". In ragione della rilevanza di tali obblighi di pubblicità, sarebbe opportuno integrare la previsione con riferimento ai tempi massimi di pubblicazione per i dati personali dei soggetti non selezionati, pari ad esempio a quelli utili per impugnare la graduatoria finale, nonché all'obbligo di adozione di tecniche per evitare l'indicizzazione dei dati personali nei motori di ricerca generalisti.

Tra le disposizioni in materia di infrastrutture digitali e servizi di comunicazione elettronica (artt. da 19 a 22) rileva in particolare l'articolo 21 che, al fine di contrastare il fenomeno delle attivazioni inconsapevoli e fraudolente di servizi di telefonia e di comunicazioni elettroniche, vieta ai soggetti gestori di tali servizi l'attivazione, in assenza del consenso espresso e documentato del consumatore o dell'utente, di servizi in abbonamento da parte degli operatori stessi o di terzi, inclusi i servizi per l'erogazione di contenuti digitali forniti sia attraverso SMS e MMS, sia tramite connessione dati, con addebito su credito telefonico o documento di fatturazione, offerti sia da terzi, sia direttamente dagli operatori. La previsione- tesa a valorizzare il ruolo intermedio dell'operatore telefonico vietandogli di attivare servizi per i quali manchi un consenso espresso e documentato- interviene su di un fenomeno di particolare invasività, suscettibile di determinare tra l'altro pregiudizi significativi dal punto di vista patrimoniale. La novella, tuttavia, in sostanziale continuità con la norma vigente, potrebbe non essere del tutto sufficiente al contrasto delle condotte elusive. All'operatore telefonico, infatti, compete solo l'onere di verificare la sussistenza di un consenso "espresso e documentato", senza tuttavia normare le specifiche modalità di documentazione della manifestazione di volontà (la cui disciplina, per i VAS, è comunque devoluta all'Autorità per le garanzie nelle comunicazioni dall'articolo 1, comma 4, del d.l. n.7 del 2007, convertito con modificazioni dalla l. n. 40 del 2007).

L'articolo 24, inoltre, conferisce delega al Governo per la semplificazione dei controlli sulle attività economiche prevedendo, tra i principi e criteri direttivi, anche l'accesso ai dati e lo scambio delle informazioni da parte dei soggetti che svolgono funzioni di controllo anche attraverso l'interoperabilità delle banche dati (lett. g) e, infine, il divieto per le pubbliche amministrazioni, nell'ambito dei controlli sulle attività economiche, di richiedere la produzione di documenti e informazioni già in loro possesso (lett. l). Sarebbe opportuno integrare i principi e criteri direttivi per l'esercizio della delega legislativa con riferimento all'esigenza che l'accesso ai dati e lo scambio delle informazioni, da parte dei soggetti che svolgono funzioni di controllo ai fini del coordinamento e della programmazione dei controlli, avvenga nel rispetto della disciplina di protezione dei dati personali.

Inoltre, anche in questo caso, sarebbe auspicabile acquisire il parere del Garante sullo schema di decreto legislativo al fine di garantire, appunto, che l'interoperabilità delle banche dati e l'accesso alle informazioni sia disciplinato in modo da garantire il diritto alla protezione dei dati personali degli interessati.

Rispetto alla delega per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2019/1020, inoltre, l'articolo 26 prevede il rafforzamento della digitalizzazione delle procedure di controllo, di vigilanza e di raccolta dei dati, anche al fine di favorire l'applicazione dei sistemi di intelligenza artificiale per il tracciamento di prodotti illeciti e per l'analisi dei rischi. Sul punto, sarebbe opportuno integrare il criterio direttivo prescrivendo che la digitalizzazione delle procedure avvenga nel rispetto della disciplina di protezione dei dati personali, al fine di orientare più correttamente l'esercizio della delega.

Una considerazione specifica merita, poi, l'articolo 32, relativamente alla riforma della disciplina delle procedure di selezione dei membri delle Autorità indipendenti, volta per espressa previsione del comma 1 a rafforzarne la trasparenza e l'imparzialità. La norma, in particolare, demanda ai soggetti titolari del potere di nomina (nel caso del Garante, ad esempio, le Camere) l'istituzione di una Commissione tecnica, composta - nel rispetto del principio della parità di genere - da cinque membri, dotati di requisiti di "indiscussa indipendenza, moralità ed elevata qualificazione professionale nei settori di rispettiva competenza". Una specifica clausola di salvaguardia (all'ultimo periodo del comma 1) ribadisce l'autonomia delle Camere - e dei rispettivi Presidenti – ai fini della disciplina delle procedure di nomina di rispettiva competenza.

L'istituzione della commissione deve avvenire nel termine sollecitatorio di cui al comma 3, ultimo periodo (da coordinare, nel caso del Garante, con quello di cui all'art. 153, c.1, terzo periodo, d.lgs. 196 del 2003), ovvero "con congruo anticipo" rispetto all'esigenza di definizione del procedimento di nomina almeno tre mesi prima della scadenza del mandato degli organi da sostituire. È previsto poi che la Commissione riceva l'elenco dei candidati stilato "anche sulla base delle manifestazioni di disponibilità ricevute, a seguito di un avviso pubblico, dai soggetti competenti alla nomina dei presidenti e dei componenti delle autorità".  Questa previsione, in particolare, appare di difficile interpretazione, nella misura in cui non si comprende se la possibilità di inserimento, nell'elenco, di candidati che non abbiano previamente manifestato la propria disponibilità competa all'organo competente alla nomina ovvero alla commissione tecnica. Sarebbe certamente preferibile la prima soluzione, per evitare una sostanziale elusione del riparto di attribuzioni tra commissione tecnica e organo titolare del potere di nomina, al quale soltanto, appunto, è ascritta tale facoltà e quindi, anche, la possibilità d'individuare eventuali candidati al di fuori del percorso "ordinario", fondato sulla previa manifestazione di disponibilità.

Nel caso del Garante, poi, la possibilità d'individuazione di candidati non compresi nel novero di coloro i quali abbiano manifestato la propria disponibilità sembra poco compatibile con la disciplina di cui all'art. 153, c.1, secondo periodo, d.lgs. 196 del 2003 e s.m.i., che impone la previa candidatura dei soggetti eleggibili.

Alla commissione tecnica compete, poi, la verifica della sussistenza, in capo ai candidati, dei requisiti normativamente previsti e la predisposizione – nel rispetto del principio della parità di genere - di una lista di almeno quattro candidati per ogni membro da nominare, da proporre al soggetto titolare del potere elettivo. L'attività demandata alla commissione pare, dunque, combinare componenti di mera verifica estrinseca della sussistenza dei requisiti prescritti dalla norma, in assenza di margini di autonoma ponderazione, ad altre espressive di un giudizio valutativo circa le specifiche qualità di ciascuno dei candidati, funzionale alla selezione dei soggetti eleggibili da proporre agli organi titolari del potere di nomina. In tal senso depone, peraltro, la previsione della facoltà della commissione tecnica di procedere ad audizioni dei candidati, funzionale evidentemente ad apprezzarne le qualità.

Ai fini della selezione dei candidati nella "rosa" dei soggetti eleggibili da proporre all'organo titolare del potere di nomina, non è previsto un particolare onere motivazionale in capo alla commissione tecnica, che sarebbe tuttavia auspicabile introdurre per rafforzare le garanzie di trasparenza della procedura e ridurre il margine di discrezionalità della valutazione della commissione. L'assolvimento di tale onere motivazionale contribuirebbe, del resto, a ridurre il rischio – in certa misura inevitabile rispetto alla fase endoprocedimentale di carattere tecnico dell'iter di nomina – di contenzioso in ordine alle scelte della commissione. 

Ed è proprio questo aspetto a meritare, probabilmente, una riflessione ulteriore. Da un lato, infatti, va disciplinata la procedura di risoluzione del contenzioso suscettibile di derivare nel momento in cui, all'interno di un procedimento di nomina caratterizzato da discrezionalità essenzialmente politica e quindi da atti di carattere politico (o, al più, di alta amministrazione), si inserisce una fase connotata da discrezionalità tecnica. Si rammenta, infatti, che per la Corte costituzionale "l'affermazione della  (...) esistenza di spazi riservati alla scelta politica, è condivisibile e suffragata da elementi di diritto positivo. Ciò nondimeno, gli spazi della discrezionalità politica trovano i loro confini nei principi di natura giuridica posti dall'ordinamento, tanto a livello costituzionale quanto a livello legislativo; e quando il legislatore predetermina canoni di legalità, ad essi la politica deve attenersi, in ossequio ai fondamentali principi dello Stato di diritto. Nella misura in cui l'ambito di estensione del potere discrezionale, anche quello amplissimo che connota un'azione di governo, è circoscritto da vincoli posti da norme giuridiche che ne segnano i confini o ne indirizzano l'esercizio, il rispetto di tali vincoli costituisce un requisito di legittimità e di validità dell'atto, sindacabile nelle sedi appropriate" (Corte costituzionale, sentenza 2-5 aprile 2012, n. 81).

Dall'altro, andrebbe individuato l'organo legittimato alla risoluzione delle controversie in questione, considerando che esse si riferiscono a un'attività tecnica innestata all'interno di una procedura rimessa, come nel caso del Garante, alle Camere. Ciò comporta, dunque, l'esigenza di chiarire l'attribuzione di tali controversie (almeno per la parte relativa all'esclusione dei candidati dalla "rosa" dei soggetti eleggibili proposta all'organo titolare del potere di nomina) alla giurisdizione esterna, non parendo sussistenti (anche alla luce della sent. 120/2014 della Corte costituzionale) i presupposti per ascriverle all'autodichia camerale.

Naturalmente, l'instaurazione di una fase contenziosa nel procedimento di nomina rischia di estenderne in misura significativa la durata laddove l'iter venga sospeso in attesa della decisione. D'altro canto, il prosieguo della procedura in pendenza di giudizio, se ne evita l'estensione temporale rischia tuttavia di indurre una significativa delegittimazione del soggetto eletto a seguito di una decisione contestata e, complessivamente, una situazione di complessiva incertezza certamente non auspicabile.

Fermi restando, dunque, i profili su descritti, va complessivamente considerato come la riforma proposta costituisca lo sviluppo di un processo, già in atto, di progressiva estensione delle garanzie di trasparenza delle procedure di nomina dei componenti le Autorità. Di tale processo, il d.lgs. 101 del 2018 (nella parte in cui, novellando l'articolo 153 del d.lgs. 196 del 2003, ha disciplinato il procedimento di elezione dei componenti il Garante) è certamente espressione. Esso ha, infatti, profondamente innovato la disciplina dell'elezione dei componenti il Collegio del Garante, circoscrivendo il novero dei soggetti eleggibili, da parte delle Camere, ai soli candidati che abbiano previamente manifestato la propria disponibilità, fornendo tra l'altro un curriculum da pubblicare sul sito istituzionale dei due Rami del Parlamento.

Rispetto alla disciplina vigente in parte qua, quella proposta trasla l'accertamento della sussistenza dei requisiti soggettivi e la stessa, prima valutazione di meritevolezza dall'organo politico assembleare alla commissione tecnica. Ciò contribuisce a garantire un più puntuale e fondato apprezzamento in ordine alle qualità soggettive dei candidati e una maggiore sindacabilità (anche ai fini giurisdizionali) di (parte del) processo decisionale. È tuttavia evidente come l'esigenza di trasparenza della procedura di nomina, competenza e indipendenza nella scelta dei soggetti eleggibili retroagisca, in tal modo, sulla costituzione della commissione tecnica. I suoi membri dovrebbero, infatti, essere selezionati con una procedura altrettanto trasparente e sulla base di criteri di effettiva competenza per rendere l'intera procedura di nomina maggiormente meritocratica, visto anche il rilevante ruolo ascritto alla commissione, incaricata di selezionare, tra i varii candidati, la rosa dei soli soggetti eleggibili.

Tale rilevante "delega" dall'organo politico, alla commissione tecnica, di un segmento importante della procedura di nomina è peraltro nel caso del Garante compatibile con la disciplina sovranazionale, nella misura in cui l'art. 53, p.1, del Regolamento (Ue) 2016/679 include, tra gli organi cui ciascuno Stato membro può affidare il potere elettivo dei componenti le Autorità di protezione dati, anche organismi indipendenti normativamente incaricati della nomina.

Per altro verso, risulta certamente apprezzabile la previsione del criterio della parità di genere quale vincolo per la scelta, tanto dei componenti la commissione tecnica, quanto dei soggetti eleggibili selezionati all'interno della rosa proposta all'organo politico. Com'è, del resto, condivisibile la scansione temporale proposta per la procedura di nomina, che pur necessiterà, come anticipato, di un coordinamento con la disciplina di cui all'articolo 153, c.1, d.lgs. 196. 

Naturalmente, la disciplina proposta in via omogenea per tutte le Autorità non deve attenuare le garanzie già previste singolarmente per ciascuna di esse. In questo senso, ad esempio, va salvaguardata anche a riforma avvenuta la garanzia del voto limitato prevista dall'articolo 153, c.1, d.lgs. 196 del 2003, volta a coinvolgere anche le minoranze nella scelta di un organo, quale il vertice di un'Autorità indipendente, che non può appunto, per sua espressa natura, rispondere neppure in fase di costituzione a logiche di tipo maggioritario.

Un'Autorità volta alla tutela di un diritto fondamentale quale quello alla protezione dei dati personali deve, infatti, essere necessariamente sottratta al ‘dominio della maggioranza' e allo stesso circuito fiduciario su cui si fonda l'azione governativa.