[doc. web n. 39300]

Anagrafi della popolazione  - Nell´attività legislativa le regioni deveno sottostare ai dettami della L. 675/1996 quando intervengono nella materia del trattamento dei dati personali - 26 maggio 2000

Non risultano compatibili con la disciplina anagrafica, tenendo anche conto dei limiti cui soggiace la potestà normativa regionale in materia di protezione dei dati personali vigente e, conseguentemente, con i principi dell´articolo 27 della legge n. 675/1996 , né la libera consultazione diretta delle anagrafi (attraverso, ad esempio, l´interrogazione individuale o di massa di qualsiasi dato contenuto negli archivi), ne una loro indifferenziata interconnessione con le banche dati del soggetto richiedente le informazioni medesime.

IL GARANTE PER LA PROTEZIONE DEI DA TI PERSONALI

Nella riunione odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice-presidente, del prof. Ugo De Siervo e dell´ing. Claudio Manganelli, componenti e del dott. Giovanni Buttarelli, segretario generale;

Vista la segnalazione pervenuta il 3 maggio 2000;

Viste le osservazioni in atti formulate dall´Ufficio ai sensi dell´art. 7, comma 2, lett. a), del d.P .R. n. 501/1998 , con nota a firma del segretario generale;

Relatore il prof. Ugo De Siervo;

OSSERVA:

PREMESSA

È stato segnalato a questa Autorità che il Consiglio regionale della Regione Friuli-Venezia Giulia ha approvato con legge n. 97 del 22 marzo 2000 alcune disposizioni di modifica della legge regionale n. 47/1996, in materia di agevolazioni sul prezzo delle benzine, che prevederebbero trattamenti di dati personali in contrasto con la legge n. 675/1996 e, in particolare, con i relativi articoli 22 e 27.

La regione, nell´integrare le disposizioni concernenti l´anagrafe dei beneficiari delle agevolazioni, già istituita dalla legge n. 47/1996 per le sole finalità appena indicate (ed alimentata dai comuni: art. 7,commi 1 e 2, l. n. 47/1996), creerebbe una nuova e ben più articolata banca dati regionale utilizzata anche per "altre finalità di carattere istituzionale". Si prevede infatti che essa possa essere integrata con dati necessari per lo svolgimento di tali finalità, in particolare "nel settore sanitario, anagrafico, della mobilità, elettorale, nonché per la funzione di borsellino elettronico, mediante l´utilizzo degli identificativi che, in tal caso, fungono da Carta del cittadino" (art. 7, comma 3-bis, l. n. 47/1996, introdotto dalla legge n. 97/2000).

La stessa legge n. 97/2000 prevede, inoltre, che i dati diversi da quelli sensibili, acquisiti nella banca dati, possano essere ceduti "a chiunque ne faccia richiesta" (anche se ciò avverrebbe "nell´ambito di quanto previsto dalla normativa vigente in materia di privacy").Viene demandato poi alla Giunta regionale il compito di fissare le modalità della divulgazione dei dati (commi 3-septies e 3-opties del medesimo art. 7).

Il tema oggetto della segnalazione è esaminato da questa Autorità per ciò che attiene ai profili di propria competenza e cioè per quanto riguarda la conformità della normativa segnalata ai principi in materia di riservatezza e di trattamento dei dati personali.

In proposito va anzitutto ricordato che tra le attribuzioni delle regioni (come emerge anche dai lavori parlamentari di approvazione della legge n. 675/1996) non rientrano compiti di disciplina, anche indiretta, della materia della protezione dei dati personali, neanche in riferimento alle materie di competenza regionale, restando semmai salvi eventuali provvedimenti regionali in funzione attuativa di obblighi normativi fissati a livello statuale (o in relazione a modalità organizzative), i quali trovano il loro fondamento anche in atti internazionali ratificati dall´Italia (in particolare, la Convenzione di Strasburgo n.108/1981, ratificata con legge n. 98/1989) o nella normativa comunitaria (direttiva n.95/46/CE del 24 ottobre 1995, di cui la legge n. 675/1996 costituisce parziale recepimento). La materia in esame riguarda infatti diritti fondamentali e inalienabili della persona, la cui tutela richiede un livello elevato di protezione che deve essere garantito in conformità alla normativa statuale.

Pertanto, pur non entrando in alcun modo nel merito delle opportune scelte della regione che attengono alla sentita esigenza di assicurare al cittadino servizi efficienti, le disposizioni introdotte dalla legge regionale n. 97/2000 suscitano, però, ampie perplessità circa la loro conformità alla legge n. 675/1996 ed ai principi contenuti nella corrispondente normativa comunitaria.

In particolare emergono i seguenti punti critici:

ISTITUZIONE DI UN´ANAGRAFE REGIONALE

Le modifiche apportate alla legge n. 47/1996 vanno al di là della migliore organizzazione e gestione della finalità originaria della banca dati (istituita, come si è detto, per gestire l´anagrafe dei beneficiari delle agevolazioni e le rilevazioni dei consumi) e mirano a realizzare nuovi circuiti informativi ritenuti necessari per imprecisate "altre finalità di carattere istituzionale". In particolare si prevede che l´amministrazione regionale possa prelevare direttamente i dati anagrafici dei cittadini residenti nella regione dagli archivi informatici comunali, con modalità operative da stabilirsi con deliberazione della Giunta (art. 7, comma 2, l. n. 47/1996, come modificato dall´art. 7, l. 97/2000). In questo modo si viene di fatto a costituire un´autonoma anagrafe dei cittadini a livello regionale.

L´istituzione di una tale anagrafe incide in modo significativo sulla materia anagrafica che, come è noto, è riservata allo Stato e confligge con i principi in materia di trattamento di dati personali da parte di soggetti pubblici (art. 27, comma 1, l. n. 675/1996). Anche la regione, come ogni altro soggetto pubblico, è infatti tenuta a rispettare le disposizioni vigenti che regolano l´utilizzabilità delle risultanze anagrafiche da parte di amministrazioni pubbliche, nonché la loro consultabilità da parte di persone estranee agli uffici di anagrafe (capo VI del d.P.R. n. 223/1989, recante il regolamento anagrafico).

La normativa sugli atti anagrafici prevede infatti espressamente la possibilità per l´ufficiale dell´anagrafe di rilasciare (anche periodicamente) elenchi di iscritti nell´anagrafe della popolazione residente alle amministrazioni pubbliche che ne facciano motivata richiesta, ma per comprovato ed "esclusivo uso di pubblica utilità" (art. 34, comma 1, d.P.R. n. 223/1989). Nel caso di specie, invece, se la nuova legge regionale del 22 marzo 2000 venisse attuata con le modalità previste, i dati in passato acquisiti dalla regione ai sensi del previgente art. 7 della legge n. 47/1996 per la finalità di riduzione del prezzo delle benzine verrebbero adesso utilizzati per altre indefinite finalità, con violazione del citato art. 34 d.P.R. n. 223/1989. Parimenti, violerebbe l´art. 37 di tale d.P.R. la previsione di un "diretto prelevamento dei dati dagli archivi informatici comunali".

A quest´ultimo riguardo, si evidenzia peraltro che il Garante ha sempre sottolineato l´esigenza che la gestione informatica dei flussi documentali, che può opportunamente agevolare l´interscambio dei dati tra numerose amministrazioni e verso i cittadini, può svilupparsi efficacemente solo se avviene in preciso quadro di garanzie per ciò che riguarda il rispetto di alcuni princìpi che riguardano, in primo luogo, la compatibilità tra le finalità perseguite dalle varie amministrazioni interessate e la pertinenza e non eccedenza dei dati raccolti (art. 9, lett. d) della medesima l. n. 675/1996).

Si ricorda al riguardo che l´art. 2, comma 5, della legge n. 127/1997, che non ha innovato la previgente disciplina anagrafica, reca disposizioni per favorire la trasmissione di dati e documenti tra archivi anagrafici da un lato e, dall´altro, altre amministrazioni pubbliche, nonche gestori ed esercenti di pubblici servizi. La medesima norma, tuttavia, non consente connessioni dirette con archivi o atti anagrafici (di cui il Comune deve garantire la perfetta conservazione, ai sensi dell´art. 23 del d.P.R. n. 223/1989), ma, piuttosto, la possibilità di collegamenti informatici o telematici attraverso i quali rendere disponibili, su richiesta, la trasmissione o la consultazione in rete di un documento o di un certificato su supporto informatico, relativo, ad esempio, ad elenchi di iscritti all´anagrafe, oppure a specifiche attestazioni attinenti alla residenza o allo stato di famiglia di singoli residenti. E´ evidente che siffatto quadro normativo (d.P.R. n. 223/1989 cit.) rischia di essere del tutto vanificato dalla previsione addirittura di un accesso costante e indiscriminato dei privati alle informazioni contenute nella banca dati (art. 7, comma 3-septies, l. n. 47, cit.). Poiché la norma regionale in realtà può permettere la divulgazione dei dati in favore di chiunque e per qualunque scopo, non è sufficiente richiamare genericamente la "normativa vigente in materia di privacy". Va, pertanto, rimarcata l´esigenza che la Giunta regionale, anche in sede di attuazione della legge (art. 7, comma 3- octies, cit. ), fissi modalità di applicazione della norma in modo da rispettare pienamente i principi descritti e le disposizioni del regolamento anagrafico che prevedono la comunicazione (e non la diffusione) solo ad amministrazioni pubbliche e per fini di pubblica utilità e non anche a privati (art. 34, d.P.R. n. 223/1989). In conclusione, tenendo anche conto dei limiti cui soggiace la potestà normativa regionale in materia di protezione dei dati personali, richiamati in premessa, non risultano compatibili con la disciplina anagrafica, vigente e, conseguentemente, con i principi dell´articolo 27 della legge n. 675/1996 , né la libera consultazione diretta delle anagrafi (attraverso, ad esempio, l´interrogazione individuale o di massa di qualsiasi dato contenuto negli archivi), ne una loro in differenziata interconnessione con le banche dati del soggetto richiedente le informazioni medesime.

DATI NEL SETTORE ELETTORALE

Analoghe considerazioni si esprimono con riferimento alla prevista raccolta di dati a carattereelettorale, poiché se le liste elettorali possono essere acquisite da chiunque ai sensi dell´ articolo 51 del dPR n. 223/1967, è anche vero che la tenuta di elenchi e liste in materia è di competenza statale, sicché non rientra fra le finalità istituzionali della Regione (art. 27, comma 1, l. n. 675/1996).

DATI NEL SETTORE SANITARIO

Particolare attenzione merita anche la previsione della raccolta di dati nel settore "sanitario". Infatti, ove con questa espressione si intendano anche dati aventi carattere sanitario, trattandosi di dati sensibili (art. 22, l. n. 675/1996), devono essere adottate le cautele previste dal decreto legislativo n. 135/1999 in materia di trattamenti di dati sensibili da parte di soggetti pubblici.

ALTRI DATI E CARTA DEL CITTADINO
Non risulta chiaro, sempre rispetto ai principi di cui all´articolo 27 della legge n. 675 , a quali finalità di carattere istituzionale si faccia riferimento a proposito dei dati da raccogliere perla "funzione di borsel!ino elettronico". Quanto al rilascio di una Carta del cittadino con funzione identificativa, ferma restando la sua possibile utilità per la migliore fruizione dei servizi, è da richiamare l´attenzione sulla necessità che il relativo progetto tenga conto delle disposizioni in materia di documenti di identità elettronici. L´utilizzo di tecnologie informatiche deve consentire una efficace tutela della riservatezza, permettendo anche di selezionare i dati effettivamente necessari al raggiungimento della finalità perseguite, nonché i sogetti che possono avere accesso alle varie categorie di dati.

Da ultimo, si segnala la necessità che siano individuate con precisione le funzioni svolte dai diversi soggetti che svolgono trattamenti di dati personali in applicazione della legge regionale (regione, camere di commercio, non meglio individuati altri soggetti pubblici di cui all´art. 7, comma 3- quater. l. n. 47, introdotto dalla legge n. 97) ai fini dell´individuazione dei titolari e dei responsabili dei relativi trattamenti (artt. 18 e 19, l. n. 675/1996), nonché l´esigenza di confomare gli stessi trattamenti alle disposizioni in materia di sicurezza dei dati personali (art. 15, 1. n. 675/1996 e dPR 318/1999).

TUTTO CIÒ PREMESSO IL GARANTE:

a) segnala alla Regione Friuli Venezia Giulia, ai sensi dell´art. 31, comma 1, lett. c) della legge n. 675/1996 , la necessità di conformare i trattamenti di dati personali cui si riferisce il presente provvedimento ai principi sopra enunciati;

b) invita la Regione, ai sensi degli articoli 32, comma 1 e 39, comma 1 , della legge n. 675/1996 a far pervenire al Garante, entro e non oltre il 30 giugno 2000, ogni informazione utile circa le iniziative intraprese per adempiere a quanto indicato nella precedente lettera a);

c) dispone che copia del presente provvedimento sia inviata al .Ministro dell´interno, al Ministro per i rapporti con il Parlamento, al .Ministro per la funzione pubblica, al Ministro per gli affari regionali e al Commissario per la regione Friuli-Venezia Giulia.

Roma, 26 maggio 2000

IL PRESIDENTE
Rodotà

IL RELATORE
De Siervo

IL SEGRETARIO GENERALE
Buttarelli