Privacy, se un tribunale condanna il Garante ciò che prevale è l'incertezza del diritto
La P.A. deve essere una casa di vetro, non certo per esporre il cittadino nudo, ma per garantire il controllo sul potere. Il bilanciamento tra riservatezza individuale e trasparenza dell’esercizio della amministrazione pubblica è un’operazione di per sé precaria, ma non si devono sacrificare oltre misura i diritti dei singoli. Il problema è che il sistema del bilanciamento diffuso sta originando risposte “caso per caso” senza additare orientamenti consolidati.
Così si apprende che un tribunale, applicando i principi della trasparenza amministrativa, ha annullato una sanzione comminata dal Garante per la protezione dei dati personali a un’unione di comuni per avere diffuso sul sito web dati ritenuti sproporzionati a proposito di una graduatoria per ottenere un beneficio assistenziale.
È una sentenza che lascia molti spunti di riflessione critica.
La contestata pronuncia del Garante (provvedimento n. 494 del 24 novembre 2016) ha parzialmente bocciato la pubblicazione da parte di una unione di comuni sul proprio sito web della graduatoria relativa a benefici economici, nella parte in cui la stessa conteneva dati personali dei soggetti non ammessi al beneficio economico e nella parte in cui erano indicate informazioni, secondo il Garante, non necessarie all´individuazione dei soggetti beneficiari. Quanto all’ultimo aspetto, al centro del dibattito sono state, soprattutto, le informazioni desumibili dall’indice socio-economico assegnato ai singoli. Legittimo o illegittimo pubblicare tutto quanto?
Che caso ha constatato il Garante? L’autorità di controllo ha considerato la norma pro-tempore vigente sulla diffusione dei dati personali, la quale era molto rigorosa. La disposizione in questione (articolo 19, comma 3, del vecchio Codice della privacy, ma il principio è lo stesso anche nell’attuale epoca del Regolamento Ue sulla protezione dei dati n. 2016/679) consentiva la diffusione solo in presenza di una norma di legge o di regolamento.
Senza una copertura normativa, dunque, la diffusione dei dati personali non era consentita alla pubblica amministrazione.
Nel corso del procedimento, l’amministrazione coinvolta ha richiamato a propria difesa una legge regionale e un regolamento statale (Albo dei beneficiari), il cui articolato, però, non disciplinava in maniera diretta la fattispecie. Il Garante ha riscontrato la diffusione di dati personali in assenza di idonei presupposti normativi e ha applicato una sanzione.
L’ente pubblico ha impugnato la sanzione e il tribunale, stando ai resoconti disponibili, ha accolto la tesi dell’unione di comuni, prendendo una posizione netta a tutto vantaggio della trasparenza amministrativa e rilevando che le graduatorie pubblicate erano esattamente quelle inserite del provvedimento amministrativo, che le aveva approvate.
Per il tribunale, il principio della trasparenza amministrativa giustifica la pubblicazione.
La sentenza aggiunge che la pubblicazione era ed è anche finalizzata alla tutela degli stessi esclusi, messi in grado di comprendere a pieno le ragioni dell’esclusione.
Il tribunale ha evidenziato che la privacy è stata rispettata, anche perché non sono stati pubblicati il codice fiscale, via e numero civico ed altri elementi non necessari per la loro identificazione.
Le due posizioni (quella del Garante e quella del tribunale) sono lontane anni luce ed è imbarazzante stare a guardare come si possa arrivare a risultati diametralmente opposti, sulla base dello stesso quadro normativo.
Maggiore, se possibile, perplessità si percepisce nell’assistere all’assenza di una regola comunemente accettata su temi così grandi.
Un conto è stare a dividersi su cavilli, su questioni di nicchia e che spaccano il capello in quattro: ci può stare. Un altro conto, e ciò non è facilmente tollerabile, è non avere una risposta certa alla domanda: nel caso in cui un comune sia obbligato a pubblicare/pubblichi su Internet i provvedimenti relativi alla concessione di benefici socio-assistenziali, si devono (oppure si possono, oppure non si devono) inserire i dati sulla condizione economica dei richiedenti/beneficiari?
Non è tollerabile che un ordinamento tolleri che residuino dubbi a fronte di una domanda così generale e di così vasta e di quotidiana applicazione.
Non è congruo che, per avere una risposta, occorra sempre rivolgersi ad una autorità amministrativa e/o ad un’autorità giurisdizionale ed altrettanto patologico è che a fronte di una domanda così basica e fondamentale si possano avere risposte diverse da parte dell’amministrazione di settore e poi da un tribunale, con la ulteriore possibilità di un ulteriore ribaltamento in cassazione e, comunque, di pronunce diverse da parte di giudici in territori diversi.
Si ribatte, talvolta, che ci sono problemi così difficili che si possono trovare soluzioni solo “caso per caso”.
Può essere, ma attenzione a non esagerare. A lungo andare, questa logica, per cui i problemi si affrontano “caso per caso”, deresponsabilizza il legislatore (che disinvoltamente è sollevato dall’onere di dettare una regola), inguaia la pubblica amministrazione (che non può applicare una regola che non c’è), condanna l’autorità indipendente garante a funzioni di supplenza, costringe i giudici a trovare soluzioni episodiche.
E tutto ciò produce un solo risultato: non si trova più la bussola, neppure su questioni che stanno alle fondamenta dell’edificio delle ragioni del vivere comunitario.
Proprio nell’ambito della disciplina della privacy sembra ormai che ci si debba rassegnare a non avere risposte definitive a una serie di domande su questioni di base, basiche, basilari, come ad esempio:
a) devo nominare un responsabile della protezione dei dati?
b) i revisori devono essere nominati responsabili esterni?
c) per quanto tempo un ospedale deve conservare i dati sanitari?
d) il marketing è un legittimo interesse del titolare del trattamento?
Ed anche: si possono pubblicare i soggetti esclusi da un beneficio dell’assistenza sociale e si possono pubblicare le informazioni reddituali/familiari relativi ai soggetti inseriti nella graduatoria?
Si precisa, nel merito dell’ultimo interrogativo, che pare più appropriato e conforme alla normativa:
a) constatare che il funzionamento di Internet può risultare eccedente e sproporzionato rispetto agli scopi della pubblicazione (cioè della trasparenza) dei provvedimenti amministrativi;
b) conseguentemente, individuare limiti alla diffusione di dati su Internet.
Quanto alla riflessione sul funzionamento di Internet, è facile sottolineare che il web, per quanto lo conosciamo oggi, realizza conoscenza e conoscibilità, potenzialmente infinite e illimitate, di un’informazione, al di là dello spazio e del tempo: una delibera comunale pubblicata sul sito web dell’ente pubblico può essere consultata da ogni parte del globo e, una volta scaricata/copiata, potrà essere replicata da chiunque e tenuta perennemente.
Siamo certi che la regola normativa (obbligatoria o facoltativa che sia) della pubblicazione della delibera sul sito del comune sia finalizzata all’ubiquità e all’eternità della conoscibilità della delibera stessa?
Se, come crediamo sulla base delle norme vigenti, la risposta è negativa, allora non si può ritenere che la trasparenza amministrativa sia un postulato che non sopporta limitazioni.
Ma, a questo punto scatta l’esigenza di conoscenza preventiva delle limitazioni. Quali sono le limitazioni e chi le prescrive?
Non è conforme al principio di uguaglianza che le limitazioni siano tratteggiate, all’esito di singoli processi, dalle sentenze che strutturalmente non devono dettare regole per tutti, ma solo dare una pronuncia nel caso concreto. È non è nemmeno corretto costringere ad attendere orientamenti nomofilattici della cassazione, tra l’altro neppure vincolanti per il singolo giudice di merito.
Quanto al caso specifico, non ci si può esimere dal ricordare che:
a) ai sensi dell’articolo 7-bis, comma 4, del decreto legislativo 33/2013 sulla trasparenza, anche nei casi in cui norme di legge o di regolamento prevedano la pubblicazione di atti o documenti, le pubbliche amministrazioni devono provvedere a rendere non intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione;
b) ai sensi dell’articolo 26 comma 4 del decreto legislativo 33/2013, è esclusa la pubblicazione dei dati identificativi delle persone fisiche destinatarie dei provvedimenti di concessione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici a persone fisiche ed enti pubblici e privati, qualora da tali dati sia possibile ricavare informazioni relative allo stato di salute ovvero alla situazione di disagio economico-sociale degli interessati;
c) l’articolo 27 del decreto legislativo 33/2013 non indica l’indicatore socio-economico (individuale/familiare) tra le informazioni soggette a obbligo di pubblicazione nell'elenco dei soggetti beneficiari di sussidi e benefici economici;
d) l’articolo 7 bis, comma 3, del decreto legislativo 33/2013 consente alle pubbliche amministrazioni la pubblicazione nel proprio sito istituzionale di dati, informazioni e documenti che non hanno l'obbligo di pubblicare, purchè procedano alla indicazione in forma anonima dei dati personali eventualmente presenti.
Facile prevedere che su questi argomenti ci sarà lavoro per i giudici della cassazione.
