Decreto legislativo - 30/06/2003 - n. 196 art. 97 - (Ambito applicativo) 1

Titolo VII - Gli interventi agli artt. 97-100

Venendo all'organizzazione della materia, è stata mantenuta nel testo novellato la suddivisione tra un capo comune a tutte le finalità del gruppo (oggi quattro), agli artt. 97-100, seguìto da due capi specificamente dedicati: l'uno, alle finalità di archiviazione e di ricerca storica, ritenute evidentemente tra loro affini; l'altro, al trattamento per fini statistici o di ricerca scientifica, ivi inclusi quelli in materia di ricerca medica, biomedica ed epidemiologica. L'analisi condotta nei prossimi paragrafi riflette, per comodità, quest'ordine espositivo. Sul versante comune, rimane confermata come in passato la riconducibilità, generale, dei trattamenti di dati sensibili per le finalità in esame alla base giuridica dei motivi di interesse pubblico rilevante: oggi l'espresso richiamo si trova all'art. 2-sexies, comma 2, lett. cc) cod. privacy, collegato con l'art. 9, par. 2, lett. g) GDPR, mentre in precedenza era nell'abrogato art. 98 cod. privacy. La sussumibilità in concreto dei trattamenti appena citati nell'art. 9, par. 2. lett. g) dipende tuttavia dal rispetto delle condizioni poste nel citato 2- sexies, per le quali si rimanda al relativo commento in quest'Opera. Va altresì ricordata la sussistenza di una base specifica dedicata alle quattro finalità in esame per il trattamento di dati sensibili, quella di cui alla lett. j ) dello stesso art. 9, par. 2 GDPR, a sua volta collegata con l'osservanza delle garanzie dell'art. 89, par. 1 GDPR. Si rimanda per maggiori approfondimenti al commento all'art. 110 cod. priv.. Tornando agli articoli 97 e ss., restano immutate rispetto al passato (ma ovviamente estese alla nuova finalità di archiviazione nel pubblico interesse) le deroghe previste all'art. 99 cod. privacy in materia di conservazione e di cessione dei dati ad altro titolare, del resto logicamente congruenti con le attività di ricerca, di elaborazione statistica o di archiviazione, che ben possono essere esercitate su patrimoni informativi già costituiti per altra finalità e da titolari diversi. In chiave di raccordo giuridico con il Regolamento, va ricordato che la disciplina trova puntuali corrispondenze nell'art. 5.1, lett. b ) ed e ) GDPR, che permettono di superare, nella materia de qua, il limite della finalità iniziale della raccolta come pure quello del tempo di conservazione legato alla stessa. Appaiono invece poco chiare le ragioni per le quali è stato lasciato sostanzialmente immutato l'art. 100, che di fatto limita la condivisione da parte di soggetti pubblici quali università ed enti di ricerca ai soli dati “comuni”, pur permettendo agli enti titolari del trattamento di procedere con “autonome determinazioni”. Il divieto di trattare dati sensibili e giudiziari appare disapplicabile nella misura in cui violi l'art. 9, par. 2, lett. j). La mancata menzione al comma due del diritto alla portabilità (art. 20 GDPR) va letta alla luce del paragrafo 2 dell'art. 89 GDPR, ossia nel senso che tale diritto non subisce limitazioni. Analoghe considerazioni devono trarsi a proposito dell'art. 15 GDPR, di cui va quindi riconosciuta la piena esecitabilità. Gli altri diritti menzionati al comma secondo in esame non subiscono peraltro limitazioni, piuttosto si rimettono alle regole deontologiche le modalità di esercizio diretto. Per più ampie considerazioni in materia di limitazione di diritti si rimanda al commento all'art. 2-undecies cod. priv. e all'art. 23 GDPR. La disposizione risente di un aggiornamento solo formale (sostituzione dei meri riferimenti precedenti con quelli agli artt. 9 e 10 GDPR) e non di una rimeditazione sostanziale.

Gli interventi agli artt. 101-109

Circa il capo che regola in modo specifico i trattamenti per finalità di archiviazione nel pubblico interesse o di ricerca storica, dunque in sostanza gli artt. 101-103, si registrano interventi del tutto trascurabili e orientati a un mero aggiornamento superficiale della disciplina. Il primo comma dell'art. 101 appare inteso a ribadire il principio di limitazione della finalità, di cui all'art. 5.1.b) GDPR. Il secondo comma ribadisce il principio di minimizzazione, art. 5.1.c) GDPR, che trova tuttavia applicazione a prescindere dal richiamo espresso del legislatore nazionale. Il terzo comma richiama la base prevista per i dati sensibili dall'art. 9.2.e) GDPR. All'art. 102, rispetto al passato, è stato introdotto un codice per trattamenti per finalità di archiviazione, disposizione che nella versione pre-novella riguardava solo il codice di deontologia per scopi storici (oggi di ricerca storica). Si seguiranno le modalità previste dal nuovo art. 2-quater cod. privacy. Ugualmente, non si segnalano novità di rilievo neppure nella parte speciale relativa alle finalità statistiche e di ricerca scientifica, artt. 104-109, se non quelle limitate a garantire coerenza formale con il nuovo assetto normativo. L'art. 106 concerne le regole deontologiche per i trattamenti per fini statistici o di ricerca scientifica. Le modifiche rispetto al pregresso sono anche qui minime ed essenzialmente circoscritte a elementi di raccordo con il nuovo l'art. 2-quater e a qualche modifica marginale nella formulazione. Si segnala alla lett. f) all'art. 106, par. 2 l'introduzione di una precisazione coerente (quanto pleonastica) con l'art. 89, par. 2 GDPR.

Completano il Titolo VII due previsioni di estremo rilievo e di impervia formulazione, gli artt. 110 e 110-bis.

Gli interventi agli artt. 110-110-bis

Completano il Titolo VII due previsioni di grande rilievo ma di impervia formulazione, gli artt. 110 e 110-bis. Entrambe le norme sono rese di non semplice esegesi dalla conservazione di elementi pre-GDPR, come la costruzione sulla base del consenso quale naturale condizione di liceità del trattamento e la previsione di interventi di autorizzazione da parte del Garante, oggi difficilmente conciliabili con un approccio generale fondato sull'accountability. La lettura dei due articoli è peraltro appesantita, nella novellazione, da richiami pleonastici quanto disomogenei alla disciplina del GDPR. Si rimanda al commento in dettaglio delle due disposizioni per precisazioni maggiori.

L'intersezione delle finalità ex Titolo VII

Tra le numerose aspirazioni dell'Unione Europea, vi è quella di consolidare e rafforzare il proprio ruolo economico e geopolitico all'interno della comunità internazionale, anche attraverso innovazione e ricerca scientifica.

L'innovazione e la ricerca sono attività che richiedono il trattamento di un quantitativo ingente di informazioni, tra le quali dati personali (anche particolari). Se da un lato i legislatori europeo e nazionale, con la volontà di favorire la ricerca, agevolano il trattamento di dati personali per le finalità di cui al presente Titolo; dall'altra non mancano di bilanciare quest'esigenza collettiva con i diritti e le libertà garantite al singolo individuo.

Dopotutto, nel diritto, come in ogni sistema complesso, ogni istanza deve tendenzialmente scontrarsi con almeno un'altra contrapposta. Questa contrapposizione, nel caso di specie, vede confrontarsi: da un lato un regime semplificato di regolazione dei trattamenti di dati personali nel contesto dei programmi di ricerca; dall'altro le garanzie del soggetto interessato.

Nell'analisi dell'art. 97 Codice Privacy è importante osservare come questo richiami espressamente l'art. 89 GDPR e con esso, indirettamente, i considerando 26, 33, 50, 52, 62, 156, 157, 159 e 162 del Regolamento. Per comprendere la portata applicativa della disposizione è quindi necessario considerare, oltre le norme GDPR e i considerando appena richiamati, anche gli artt. 2-sexies comma 2, lett. c) e 110-bis Codice privacy.

Per quanto attiene alle garanzie, alle deroghe, alle definizioni descritte nel GDPR si rimanda ai contributi precedenti sugli artt. 5, 9 e 89; qui ci si concentrerà sulla portata applicativa della disposizione, sulle novità introdotte nel Codice Privacy dal d.lgs. n. 101/2018, sul concetto di archiviazione di pubblico interesse (strettamente connesso alla ricerca storica) e sui rapporti con le ulteriori norme del Codice Privacy.

Per ragioni di sintesi espositiva, le finalità descritte dal Titolo VII del Codice privacy, pur rimanendo distinte, possono essere analizzate in buona parte come un'entità unica. Invero, sia nel GDPR che nel Codice Privacy sono state disciplinate in modo tendenzialmente omogeneo.

L'intervento di adeguamento posto in essere dal legislatore nazionale con il d.lgs. n. 101/2018 si è limitato a piccole correzioni, principalmente di ordine terminologico.

Più rilevante, invece, risulta l'introduzione della finalità di archiviazione di pubblico interesse contemplata dal GDPR sulla quale, come abbiamo indicato, verranno concentrati i maggiori sforzi.

Infatti, se da un lato è stata mantenuta nel novellato Titolo VII la suddivisione tra il Capo I, comune ai fini di archiviazione di pubblico interesse, ricerca scientifica, storica e statistica, e i Capi II e III suddivisi sulla base delle specifiche finalità – il primo (Capo II) dedicato alle finalità di archiviazione e di ricerca storica; il secondo (Capo III) al trattamento per fini statistici o di ricerca scientifica – dall'altro l'introduzione dell'archiviazione di pubblico interesse apre nuovi orizzonti interpretativi che è opportuno approfondire.

Sul versante del Capo I, comune a tutte e quattro le finalità, non è variata, rispetto al passato, la base giuridica che legittima i trattamenti di categorie particolari di dati personali: i motivi di interesse pubblico rilevante ex art. 9, par. 2, lett. g) GDPR. Trattamenti, quest'ultimi, espressamente richiamati all'art. 2-sexies, comma 2, lett. cc) che li sottopone a specifiche condizioni (già esaminate nel relativo commento). Condizioni a loro volta mitigabili per mezzo della base richiamata all'art. 9, par. 2 lett. j). Restano, inoltre, immutate, per tutte e quattro le finalità, le deroghe alla durata del trattamento previste dall'art. 99 Codice Privacy di cui si dirà.

Infine, per tutte e quattro le finalità, vale la pena ricordare come l'art. 5, par. 1, lett. b) ed e) GDPR permetta di superare il limite della finalità iniziale dichiarata al momento della raccolta e del tempo di conservazione ad essa collegato.

L'area applicativa e l'archiviazione di pubblico interesse

Per quanto attiene la portata del presente capo, va evidenziato come l'area applicativa sia costituita dalla somma delle aree coperte dalle singole finalità. Pertanto, si dovrà considerare, da una parte l'estensione del regime di favore garantito ai fini di ricerca scientifica e statistica; dall'altra lo spazio coperto dall'archiviazione di pubblico interesse e dalla ricerca storica.

Rispetto alla prima coppia di finalità (scientifica e statistica) va rammentato come il perimetro delineato dal legislatore nazionale possa essere esteso direttamente dal Garante tramite un provvedimento generale. Invero, quest'ultimo, può autorizzare, ai fini di ricerca scientifica e statistica, il trattamento ulteriore di dati personali raccolti per altri scopi da parte di soggetti terzi che svolgano principalmente dette attività quando: a) sussistano particolari ragioni per le quali informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, ovvero rischia di impedire o di pregiudicare gravemente il conseguimento delle finalità della ricerca; b) siano adottate misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, in conformità all'articolo 89 del Regolamento, comprese forme preventive di minimizzazione e di anonimizzazione dei dati.

Se per quanto riguarda le restanti considerazioni inerenti alle definizioni e all'estensione applicativa delle disposizioni sulla ricerca scientifica e statistica si rimanda agli approfondimenti effettuati per l'art. 89; nel presente commento ci si soffermerà maggiormente sulla corretta delimitazione dell'area ricoperta dalle finalità di archiviazione di pubblico interesse e di ricerca storica. Sul punto, preme ricordare come la finalità di ricerca storica sia strettamente correlata all'archiviazione di pubblico interesse (vedasi commento all'art. 89, par. 2 GDPR).

Il quadro normativo che regola il trattamento dei dati a fini di archiviazione nel pubblico interesse coinvolge, principalmente, quattro fonti: a) il Regolamento (UE) 2016/679 (GDPR); b) il presente Titolo del Codice Privacy (d.lgs. n. 196/2003, mod. dal d.lgs. n. 101/2018); c) il Codice dei beni culturali (d.lgs. n. 42/2004); d) le Regole deontologiche redatte dal GPDP per il trattamento a fini di archiviazione nel pubblico interesse o per scopi di ricerca storica (Provv. n. 513 del 19 dicembre 2018, pubblicato in G.U. il 15.01.2019).

Per determinare l'area applicativa d'interesse è necessario riferirsi al Considerando 158. Invero, quest'ultimo sottolinea come dovrebbe considerarsi attività di archiviazione di pubblico interesse “il trattamento svolto da tutti quei soggetti che, in base al diritto dell'Unione o degli Stati membri, hanno l'obbligo legale di acquisire, conservare, valutare, organizzare, descrivere, comunicare, promuovere, diffondere e fornire accesso agli archivi con un valore a lungo termine per l'interesse pubblico generale”.

Da quanto riportato si evince come ciò che determina l'assoggettabilità di un ente al regime di favore applicabile all'archiviazione di pubblico interesse non sia connessa alla natura pubblica o privata, ma dipenda da una decisione del singolo Stato membro. Di conseguenza, affinché un soggetto possa avvantaggiarsi delle deroghe applicate agli archivi di pubblico interesse è necessario che vi sia una norma emanata dal legislatore nazionale che gli conferisca tale compito o che qualifichi l'archivio come tale.

Ci si potrebbe chiedere se per rientrare nella definizione ex considerando 158 al GDPR sia essenziale che il soggetto (pubblico o privato) sia sottoposto contemporaneamente all'intero complesso di obblighi di legge citati dal considerando. A tal proposito, il GPDP ha chiarito come non sia necessario che la legge sottoponga il soggetto a tutti gli obblighi ex C158, poiché è sufficiente che lo stesso (o l'archivio gestito da quest'ultimo) rientri nei parametri normativi nazionali.

A ciò si aggiunga che, rispetto alle categorie particolari di dati personali, l'art. 2-sexies Codice della privacy, al par. 2 lettera cc), estende la portata applicativa della disciplina in esame anche gli archivi privati dichiarati di interesse storico particolarmente importante. Di conseguenza, anche gli archivi privati dichiarati di interesse culturale (ex art. 14 d.lgs. n. 42/2004) devono ritenersi compresi nella suddetta definizione. Difatti, tale dichiarazione sottopone il privato ai particolari obblighi imposti dal regime vincolistico in materia di protezione, circolazione, conservazione e fruizione dei beni culturali.

Per quanto attiene alla nozione di archivio di interesse storico particolarmente importante, è lo stesso art. 2-sexies Codice Privacy a definirla. Da quest'ultima disposizione si comprende come, pur interessando trasversalmente tutte e quattro le finalità, tale concetto riguardi precipuamente l'attività d'archiviazione di pubblico interesse, disponendo che sono da considerarsi di particolare interesse pubblico i: “trattamenti effettuati a fini di archiviazione nel pubblico interesse o di ricerca storica, concernenti la conservazione, l'ordinamento e la comunicazione dei documenti detenuti negli archivi di Stato negli archivi storici degli enti pubblici, o in archivi privati dichiarati di interesse storico particolarmente importante, per fini di ricerca scientifica, nonché per fini statistici da parte di soggetti che fanno parte del sistema statistico nazionale (Sistan)”.

Da ultimo, a proposito delle deroghe previste dal legislatore europeo nell'ambito dell'archiviazione di pubblico interesse, le norme d'interesse – per l'approfondimento delle quali si rinvia ai contributi precedenti – sono: l'art. 5, lett. b) ed e), in merito al principio di limitazione delle finalità e della durata (sul punto vedasi anche l'art. 99 Codice Privacy); l'art. 14, in relazione alle informazioni da fornire agli interessati; l'art 17, par. 3, lett. d), rispetto al diritto di cancellazione.

La chiave su cui si poggia l'intero arco di deroghe è costituita dall'art. 89 par. 2 che prevede per gli Stati membri la facoltà di sancire eccezioni all'applicazione delle norme sui diritti degli interessati di cui agli artt. 15 (diritto di accesso), 16 (diritto di rettifica), 18 (diritto di limitazione del trattamento), 19 (obbligo di notifica in caso di rettifica o cancellazione dei dati o limitazione del trattamento), 20 (diritto alla portabilità dei dati) e 21 (diritto di opposizione); eccezioni sottoposte, in ogni caso, ai limiti e alle garanzie imposte all'interno dello del par. 1 dell'art. 89.