Profili organizzativi del controllo sui trattamenti dei dati personali effettuati dalle istituzioni e dagli organismi comunitari

• Autore: Sebastiano Faro
• Carica: Ricercatore CNR presso l'istituto di Teoria
• Pagine: 7-34

Page 7

Sebastiano Faro Tecniche dell'informazione Giuridica di Firenze. L'a. ringrazia Nicola Lettieri che ha letto una prima versione di questo scritto.

@1. Premessa

La sezione "La vostra voce in Europa" di Europa, portale dell'Unione europea, consente ai cittadini europei di partecipare a consultazioni e discussioni su vari temi di interesse in maniera molto semplice. Chi intende partecipare, ad esempio, alla consultazione sulla semplificazione dell'acquis comunitario non deve far altro che riempire un formulario on line. Una parte del formulario richiede i dati personali del rispondente. Non si può partecipare alla consultazione senza fornire questi dati, che dunque vengono raccolti dalla Commissione e possono poi essere elaborati in vari modi.

Questo è solo forse il più semplice esempio di quella che in realtà è una grande quantità e varietà di trattamenti di dati personali effettuati dall'amministrazione comunitaria, intesa nel senso più ampio: dall'amministrazione diretta - direzioni generali e servizi della Commissione, e analoghe strutture serventi delle istituzioni e degli organi comunitari - ai comitati, alle agenzie europee, alle autorità indipendenti. Si pensi, per altri esempi che mettono in gioco interessi ben più rilevanti, alla quantità di dati raccolti e trattati per la gestione del personale delle istituzioni e degli organismi comunitari, o ancora ai dati personali trattati nella gestione dei Page 8 programmi di finanziamento comunitari nelle più varie materie o anche allo scambio di dati fra l'amministrazione sovranazionale e quelle degli Stati membri, nell'ambito della politica agricola comune e dei fondi strutturali. L'art. 284 Tr. CE prevede espressamente il potere della Commissione di raccogliere tutte le informazioni (e procedere a tutte le verifiche) necessarie per l'esecuzione dei compiti che le sono affidati. Disposizioni simili, sul potere dell'amministrazione comunitaria di acquisire dati e informazioni, sono inoltre contenute, per materie specifiche, in atti di diritto derivato.

Rilevante non è solo la questione della quantità di dati trattati, ma anche degli strumenti utilizzati per il trattamento. Anche l'amministrazione comunitaria, ovviamente, si avvale delle modalità sempre più raffinate di trattamento legate allo sviluppo degli strumenti informatici e telematici; l'attenzione della Comunità all'applicazione delle tecnologie dell'informazione e della comunicazione (TIC) all'attività amministrativa è costante a partire dal programma IDA sullo scambio elettronico di dati fra le amministrazioni del 1995, fino ai programmi elaborati negli anni più recenti, nell'ambito della riforma della Commissione, per lo sviluppo della c.d. e-Commissione (utilizzo delle TIC da parte dell'amministrazione comunitaria per migliorarne l'efficienza e per potenziarne gli strumenti di comunicazione e di scambio di informazioni).

Anche nei confronti dei poteri pubblici comunitari si pongono, allora, gli stessi problemi di tutela dei singoli, rispetto alla raccolta e ad ogni forma di elaborazione ed utilizzazione dei dati personali, emersi a partire dagli anni Settanta del secolo scorso, con riguardo tanto al settore pubblico quanto a quello privato, nell'ambito degli ordinamenti statali. È in quel periodo che iniziano ad essere elaborate normative (nel land tedesco dell'Hesse, in Svezia, in Germania a livello federale e poi via via negli altri Paesi europei) relative alla protezione della riservatezza, con particolare riguardo ai dati personali trattati in banche dati elettroniche. Queste normative, con riferimento al settore pubblico, affrontano il tema di fondo di contemperare la tutela delle persone con la tutela degli interessi pubblici sottesi alla raccolta ed al trattamento dei dati.

A livello comunitario, sulla base di una proposta elaborata dalla Commissione agli inizi degli anni Novanta, si è dapprima regolata la materia con riguardo agli Stati membri: è stata adottata una direttiva rela- Page 9 tiva al trattamento dei dati personali da parte di soggetti privati e pubblici, che operano nell'ambito degli ordinamenti statali. Il problema è stato poi considerato anche con riguardo alle attività delle istituzioni e degli organi comunitari, con una specifica norma inserita nel Trattato Ce dal Trattato di Amsterdam, l'art. 286, e, successivamente, con il regolamento n. 45/2001.

L'approccio anche per il livello sovranazionale è quello articolato sulla fissazione di regole e principi del trattamento, sul riconoscimento dei diritti della persona i cui dati sono trattati, sull'individuazione di organi e procedure di controllo. A questàultimo profilo è dedicata questa breve analisi, che ha come scopo di fornire una prima illustrazione del nuovo quadro organizzativo che si è venuto a delineare con l'istituzione di una nuova autorità indipendente, il Garante europeo della protezione dei dati, che solo da poco ha iniziato ad operare (il Garante Peter Hustinx, è stato nominato alla fine del 2003, con decisione del 22 dicembre 2003). Continua a manifestarsi, in tal modo, il fenomeno della diversificazione dei modelli strutturali nei quali si articola l'organizzazione amministrativa comunitaria; trova conferma, in particolare, la tendenza alla creazione, anche a livello sovranazionale, di autorità poste in posizione di indipendenza tanto nei confronti dei poteri governativi quanto di quelli economici e burocratici, in virtù della rilevanza degli interessi coinvolti nella loro azione. In questo caso, fin da quando la materia della tutela dei dati personali ha iniziato ad essere considerata a livello comunitario, la posizione di indipendenza dell'autorità incaricata di garantire il rispetto della normativa rilevante è stata ritenuta elemento essenziale per una effettiva tutela delle persone.

@2. La direttiva n. 95/46

La prima normativa posta dalla Comunità in materia di trattamento dei dati personali è la direttiva n. 95/46 (del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonchè alla libera circolazione di tali dati).

La direttiva disciplina qualunque operazione (dalla raccolta alla registrazione, conservazione, elaborazione, diffusione) compiuta, in forma Page 10 automatizzata e non automatizzata, su dati personali (intesi come qualsiasi informazione concernente una persona fisica identificata o identificabile) da un responsabile del trattamento (persona fisica o giuridica, autorità pubblica, servizio o qualsiasi altro organismo che determina le finalità e gli strumenti del trattamento dei dati personali).

Attraverso le regole poste dalla direttiva, regole attinenti agli obblighi del responsabile del trattamento, da un lato, ed ai diritti dell'interessato (cioè della persona a cui si riferiscono i dati), dall'altro, trova tutela il diritto alla riservatezza nella sua accezione più evoluta, di diritto alla "autodeterminazione informativa" e, quindi, alla protezione dei dati. Si tratta del diritto di tenere sotto controllo i propri dati, di decidere, intanto, se renderli noti, e, una volta che siano stati raccolti, tanto da un soggetto privato quanto da un soggetto pubblico, di intervenire, se necessario, a fronte di trattamenti illegittimi, per integrarli, modificarli, ottenerne la distruzione.

L'intervento comunitario si è fondato sull'art. 100A [adesso art. 95] Tr. Ce, norma che prevede la competenza del Consiglio ad adottare misure per il riavvicinamento delle legislazioni nazionali riguardanti l'instaurazione ed il funzionamento del mercato interno. La Comunità si è mossa quindi, innanzitutto, nella prospettiva di garantire la libera circolazione dei dati personali; una normativa che assicura un livello equivalente di protezione dei dati negli Stati membri impedisce di falsare la concorrenza, non consentendo la creazione di "paradisi dei dati", caratterizzati da legislazioni meno garantiste, nei quali si concentrerebbe l'attività di trattamento e non consentendo l'imposizione di restrizioni alla libera circolazione dei dati da parte dei singoli Stati giustificate dalla scarsa protezione accordata ai diritti delle persone in altri Stati membri.

Ma la direttiva persegue anche l'obiettivo di un elevato grado di tutela nella Comunità dei diritti e delle libertà fondamentali della persona. Sotto questo profilo la normativa comunitaria si richiama espressamente alla Convenzione del Consiglio d'Europa n. 108 sulla protezione delle persone rispetto al trattamento automatizzato dei dati a carattere personale adottata a Strasburgo il 28 gennaio 1981. Si tratta del primo atto che ha posto a livello europeo alcuni principi e regole fondamentali per il trattamento dei dati personali, il cui rispetto continua ad essere richiesto agli Stati membri dell'Unione europea, tutti firmatari della convenzione, in relazione a varie forme di cooperazione nell'ambito del terzo pilastro dell'Unione. Page 11

Le regole sostanziali poste dalla direttiva (quelle alle quali deve attenersi il trattamento e quelle che riconoscono una serie di diritti all'interessato) sono completate da norme che prevedono soggetti e procedure di controllo dell'attività di trattamento dei dati.

Con riguardo a questo profilo, oltre al controllo che può essere esercitato dall'autorità giudiziaria, alla quale chiunque deve poter presentare ricorso, in caso di violazione dei diritti garantiti dalle disposizioni applicabili al trattamento dei dati (art. 22), vengono in rilievo una forma, eventuale, di controllo interno alla struttura organizzativa del responsabile del trattamento dei dati ed una forma di controllo esterno.

Per quello che riguarda il controllo interno, è rimesso alla discrezionalità degli Stati membri di prevederlo. La normativa statale di recepimento, infatti, può attribuire al responsabile del trattamento la facoltà di nominare un incaricato della protezione dei dati (art. 18.2). Questi ha il compito di assicurare in...