24/01/2019 - Trattamento dei dati giudiziari, che fare?

tratto da altalex.com

Trattamento dei dati giudiziari, che fare?

23/01/2019 - di Paolo Marini -

Oggi parliamo di (trattamenti di) dati personali giudiziari e di momentaneo vuoto normativo. Dati giudiziari sono – come noto – quelli relativi a condanne penali e a reati o a connesse misure di sicurezza.

In base all'art. 10 del Regolamento UE 2016/679, il trattamento di questa categoria di dati è lecito quando sono rispettate le seguenti condizioni:

1) il ricorrere di una delle fattispecie di cui all'art. 6.1 (trattamento in base a consenso dell'interessato, per l'esecuzione di un contratto o di misure precontrattuali su richiesta dell'interessato, in base a obbligo di legge, per la salvaguardia di interessi vitali dell'interessato, per lo svolgimento di un compito di interesse pubblico, per il perseguimento di un legittimo interesse del titolare);

2) una autorizzazione basata sul diritto dell'Unione o dello Stato membro che preveda garanzie appropriate per i diritti e le libertà degli interessati (o, in alternativa, il controllo dell'autorità pubblica).

A quanto pare difetta momentaneamente la condizione di cui al punto 2 ma per enunciare compiutamente il problema è utile un breve riepilogo:

l'efficacia della vecchia Autorizzazione Generale del Garante n. 7/2016 (Autorizzazione al trattamento dei dati giudiziari da parte di privati, di enti pubblici economici e di soggetti pubblici) cessava il 24 maggio 2018;
con Provvedimento del 19 luglio 2018 il Garante disponeva che, nelle more del perfezionamento dell’iter legislativo di adeguamento del quadro normativo nazionale alle disposizioni del Regolamento, le garanzie e le misure appropriate e specifiche di cui alle Autorizzazioni generali, adottate in data 15 dicembre 2016 (con Provvedimenti pubblicati sulla Gazzetta Ufficiale n. 303 del 29 dicembre 2016) ed efficaci dal 1° gennaio 2017 fino al 24 maggio 2018 per taluni trattamenti di dati sensibili e di dati giudiziari, si dovessero intendere in vigore fino all’adozione di eventuali misure all'interno del decreto legislativo di adeguamento del D.Lgs. 196/2003 al Regolamento europeo, con ciò riservandosi ulteriori valutazioni all’esito del predetto percorso normativo;
nel Decreto legislativo 101/2018 come successivamente emanato, l'art. 21 al comma 3 prescrive che “le autorizzazioni generali del Garante per la protezione dei dati personali adottate prima della data di entrata in vigore del presente decreto e relative a trattamenti diversi da quelli indicati al comma 1 (tra cui l'Autorizzazione Generale 7/2016) cessano di produrre effetti alla predetta data;”
la circostanza è confermata nelle premesse del Provvedimento che individua le prescrizioni contenute nelle Autorizzazioni generali nn. 1/2016, 3/2016, 6/2016, 8/2016 e 9/2016 che risultano compatibili con il Regolamento 2016/679 e con il D.Lgs. n. 101/2018 di adeguamento, pubblicato in Gazzetta Ufficiale lo scorso 4 gennaio, laddove si afferma che “l’autorizzazione generale al trattamento dei dati giudiziari da parte di privati, di enti pubblici economici e di soggetti pubblici n. 7/2016 non rientra tra quelle richiamate dall’art. 21, comma 1, D.Lgs. n. 101/2018 ed ha, pertanto, cessato di produrre effetti giuridici alla data del 19 settembre u.s., ai sensi del comma 3 della citata disposizione”;
l'art. 2-octies del D.Lgs. 101/2018 ha stabilito (comma 1) che, “fatto salvo quanto previsto dal decreto legislativo 18 maggio 2018, n. 51(Attuazione della Direttiva UE 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati, ndr) il trattamento di dati personali relativi a condanne penali e a reati o a connesse misure di sicurezza sulla base dell’articolo 6, paragrafo 1, del Regolamento, che non avviene sotto il controllo dell’autorità pubblica, è consentito, ai sensi dell’articolo 10 del medesimo Regolamento, solo se autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento, che prevedano garanzie appropriate per i diritti e le libertà degli interessati”. Per il comma 2, “in mancanza delle predette disposizioni di legge o di regolamento, i trattamenti dei dati di cui al comma 1 nonché le garanzie di cui al medesimo comma sono individuate con decreto del Ministro della giustizia, da adottarsi, ai sensi dell’articolo 17, comma 3, della legge 23 agosto 1988, n. 400, sentito il Garante.”

Ad oggi mancano sia l'autorizzazione di legge (ovvero di regolamento ma sempre sulla base di una disposizione di legge), sia il decreto del Ministro di giustizia: non si potrà tuttavia pensare che si debbano bloccare ovvero interrompere determinati trattamenti, tenendo presenti le necessità degli stessi per il normale svolgimento di attività professionali, imprenditoriali e istituzionali, senza tralasciare l'ampia platea dei titolari coinvolti.

Questo è un caso lampante in cui le esigenze, le istanze delle realtà sociali sovrastano le trame di un diritto positivo divenuto dissennatamente complesso.

Che cosa fare, in attesa che siano varati i prescritti provvedimenti?

Si tratta di mettere in campo del semplice buon senso e, con ciò, di mantenere (volendo) un concreto, prudenziale riferimento alle misure previste nella non più vigente Autorizzazione Generale 7/2016. In soldoni, si riesumi il cadavere e si provi a tenerlo in piedi, 'vivo', per un po' di tempo. Per giunta, è lecito pensare che i futuri provvedimenti non se ne discosteranno sensibilmente sul piano sostanziale.

A giudicare da questo e da altri aspetti della normativa del (o discendente dal) Regolamento europeo, i toni trionfalistici che l'hanno preceduto e/o accompagnato si confermano una volta di più ingenui e frettolosi.

(Altalex, 23 gennaio 2019. Articolo di Paolo Marini)