Il consigliere comunale rappresenta una delle figure cardine del sistema delle autonomie locali italiano. Eletto direttamente dai cittadini, il consigliere è l’espressione più immediata della rappresentanza democratica a livello territoriale. La sua funzione si inserisce all’interno dell’organo collegiale del Consiglio comunale, che costituisce l’assemblea elettiva dell’ente locale con funzioni di indirizzo politico-amministrativo e di controllo sull’attività della Giunta e del Sindaco.

Il ruolo del consigliere comunale si caratterizza per una duplice valenza: da un lato, quale membro dell’organo consiliare, partecipa all’adozione delle deliberazioni nelle materie di competenza del Consiglio; dall’altro, anche singolarmente considerato, esercita funzioni di controllo, vigilanza e sindacato ispettivo sull’operato dell’esecutivo locale. Proprio in quest’ultima veste, il consigliere comunale necessita di strumenti giuridici adeguati per poter efficacemente adempiere al proprio mandato elettorale.

Tra questi strumenti, un ruolo preminente è attribuito al diritto di accesso agli atti e alle informazioni in possesso dell’amministrazione comunale, disciplinato in modo specifico dall’art. 43, comma 2, del Decreto Legislativo 18 agosto 2000, n. 267 (Testo Unico delle leggi sull’ordinamento degli Enti locali, o TUOEL), che testualmente recita:

“I consiglieri comunali e provinciali hanno diritto di ottenere dagli uffici, rispettivamente, del comune e della provincia, nonché dalle loro aziende ed enti dipendenti, tutte le notizie e le informazioni in loro possesso, utili all’espletamento del proprio mandato. Essi sono tenuti al segreto nei casi specificamente determinati dalla legge.“

Questa disposizione configura in capo ai consiglieri comunali e provinciali un diritto di accesso peculiare e dai connotati più ampi rispetto a quello riconosciuto dalla legge fondamentale sul procedimento amministrativo (legge 7 agosto 1990, n. 241) alla generalità dei cittadini. Tale specialità si giustifica in ragione della funzione pubblica esercitata dal consigliere comunale, chiamato a rappresentare la collettività locale e a vigilare sul corretto svolgimento dell’attività amministrativa dell’ente.

Sommario

• La visione della giurisprudenza, del Ministero degli interni e del Garante Privacy
• Sommario
• La natura del diritto di accesso e il suo fondamento giuridico
• L’assenza dell’onere di motivazione
• L’ampiezza dell’accesso e sua estensione oggettiva
• L’accesso al registro di protocollo e ai pareri legali
• L’accesso alla documentazione antecedente al mandato
• L’assenza di limitazioni relative alla riservatezza
• I limiti all’esercizio del diritto di accesso
• Il rapporto tra diritto di accesso del consigliere e diritti fondamentali: la regola del ragionevole bilanciamento
• Diritto di accesso e privacy
• In conclusione

La natura del diritto di accesso e il suo fondamento giuridico

Come accennato sopra, il diritto di accesso dei consiglieri comunali (ma lo stesso vale per i consiglieri provinciali) trova il suo fondamento nell’art. 43 del TUOEL, che costituisce una norma speciale rispetto alla disciplina generale sul diritto di accesso contenuta nella L. n. 241/1990.

Il Consiglio di Stato, nella sentenza n. 5750 del 28 giugno 2024 (Sezione V), riprendendo quanto già affermato nella precedente sentenza n. 4525 del 5 settembre 2014 (Sezione V), ha ribadito che il diritto di accesso esercitato dal consigliere comunale “ha natura e caratteri diversi rispetto alle altre forme di accesso, esprimendosi in un non condizionato diritto alla conoscenza di tutti gli atti che possano essere di utilità all’espletamento delle sue funzioni“.

Tale diritto, come precisato nella sentenza n. 4525/2014, si configura come “strettamente funzionale all’esercizio delle loro funzioni, alla verifica e al controllo del comportamento degli organi istituzionali decisionali dell’ente locale“.

In particolare, il Consiglio di Stato ha chiarito che, diversamente dal diritto di accesso riconosciuto ai cittadini, finalizzato a “permettere ai singoli soggetti di conoscere atti e documenti per la tutela delle proprie posizioni soggettive eventualmente lese“, quello dei consiglieri comunali è volto alla “tutela degli interessi pubblici (piuttosto che di quelli privati e personali) e si configura come peculiare espressione del principio democratico dell’autonomia locale e della rappresentanza esponenziale della collettività” (CdS n. 4525/2014 cit., che richiama CdS, Sez. V, n. 976/1994).

La dottrina ha ulteriormente evidenziato come questa specialità si traduca in un “diritto politico collegato alle funzioni esercitate negli enti locali“, un diritto che non richiede motivazione in quanto direttamente funzionale all’espletamento del munus pubblico, configurandosi come un interesse della collettività locale di cui il consigliere comunale è espressione e rappresentanza esponenziale.

Significativa in tal senso è la giurisprudenza del TAR Emilia Romagna, Parma (sent. n. 28/2006), che definisce il diritto di accesso dei consiglieri comunali e provinciali come “un diritto pubblico soggettivo, espressione del principio democratico dell’autonomia locale e della rappresentanza esponenziale della collettività, direttamente funzionale non tanto ad un interesse personale del consigliere, quanto alla cura di un interesse pubblico connesso al mandato“.

L’assenza dell’onere di motivazione

Una caratteristica fondamentale di questa particolare forma di accesso agli atti, è che “sul consigliere comunale non può gravare alcun particolare onere di motivare le proprie richieste di accesso” (CdS n. 5750/2024, conf. CdS n. 4525/2014). La ratio di tale principio, come spiegato dal Consiglio di Stato, risiede nel fatto che “diversamente opinando, sarebbe introdotta una sorta di controllo dell’ente, attraverso i propri uffici, sull’esercizio delle sue funzioni” (CdS n. 4525/2014, che richiama anche CdS, n. 929/2007 e CdS n. 7900/2004).

La sentenza n. 5750/2024 precisa ulteriormente che “da un lato sul consigliere comunale non può gravare alcun particolare onere di motivare le proprie richieste di accesso” e “d’altra parte dal termine ‘utili’, contenuto nell’articolo 43 d.lgs. n. 267 del 2000, non può conseguire alcuna limitazione al diritto di accesso dei consiglieri comunali, poiché tale aggettivo comporta in realtà l’estensione di tale diritto di accesso a qualsiasi atto ravvisato utile per l’esercizio delle funzioni” (richiamando ancora CdS n. 4525/2014 e CdS, Sez. IV, n. 843/2013).

L’ampiezza dell’accesso e sua estensione oggettiva

Il Consiglio di Stato ha costantemente attribuito all’art. 43, comma 2, del d.lgs. n. 267/2000 “un ampio significato, muovendo dalla premessa che l’accesso agli atti esercitato dal consigliere comunale ha natura e caratteri diversi rispetto alle altre forme di accesso, esprimendosi in un non condizionato diritto alla conoscenza di tutti gli atti che possano essere di utilità all’espletamento delle sue funzioni” (CdS n. 5750/2024).

La sentenza appena richiamata esplicita che la finalità di tale ampio diritto di accesso è “permettere di valutare – con piena cognizione – la correttezza e l’efficacia dell’operato dell’amministrazione, nonché per esprimere un voto consapevole sulle questioni di competenza del Consiglio e per promuovere tutte le iniziative che spettano ai singoli rappresentanti del corpo elettorale locale“.

In particolare, il nesso di strumentalità richiesto dalla norma va interpretato in senso ampio, tanto che il Consiglio di Stato ha ritenuto che “data …] l’ampiezza del diritto di accesso e di conoscenza (che ha per oggetto tutte le notizie e le informazioni in possesso degli uffici del comune), il nesso strumentale si identifica, nella specie, con l’esigenza di conoscenza degli atti relativi a procedure di assunzione di pubblici dipendenti proprio al fine di eventualmente poter esercitare le funzioni di controllo […] nei confronti degli organi politico-amministrativi“.

Il diritto all’informazione riconosciuto ai consiglieri comunali e provinciali si configura inoltre come un diritto soggettivo pubblico funzionale al controllo politico-amministrativo ascritto all’ordinamento generale degli enti locali.

Come sottolineato dal Consiglio di Stato (Sez. V, n. 5264/2007), l’accesso non è limitato all’esibizione dei documenti, ma si estende anche alle notizie e alle informazioni non contenute negli atti e nei provvedimenti, non incontrando alcuna limitazione derivante dalla loro natura riservata, poiché il consigliere comunale o provinciale è vincolato all’osservanza del segreto nei casi previsti dalla legge.

Si tratta, infatti, di un diritto estremamente ampio, individuato espressamente dalla normativa vigente in riferimento alle “notizie utili all’espletamento del proprio mandato”, ossia alla cura di interessi pubblici. Questo aspetto è stato approfondito anche dalla giurisprudenza che ha registrato un ampliamento interpretativo del diritto di accesso dei consiglieri, estendendo la sua portata anche ad altre ipotesi prima sottratte alla visione o al rilascio di copia.

L’accesso al registro di protocollo e ai pareri legali

La giurisprudenza ha riconosciuto l’accessibilità dei consiglieri comunali e provinciali al registro di protocollo generale dell’Amministrazione locale, in quanto tale registro è considerato idoneo a fornire notizie e informazioni utili all’espletamento del mandato (TAR Lombardia, Milano, n. 1762/2004). Per la stessa ragione, è stata affermata anche l’accessibilità ai pareri legali, capovolgendo precedenti orientamenti restrittivi (CdS, Sez. V, n. 4471/2005).

Il Consiglio di Stato ha ritenuto inapplicabile il D.P.C.M. 26 gennaio 1996, n. 200, che disciplina l’accesso ai documenti dell’Avvocatura dello Stato. Le limitazioni imposte a riguardo dal predetto D.P.C.M. non possono infatti applicarsi, in via analogica, ai consiglieri comunali e provinciali i quali hanno titolo ad accedere anche agli atti e ai documenti relativi alle vertenze nelle quali siano coinvolti il Comune o la Provincia, nonché ai pareri legali richiesti dall’Amministrazione comunale o provinciale (CdS, Sez. V, n. 3109/2000; n. 1893/2001).

L’accesso alla documentazione antecedente al mandato

L’ampiezza del diritto di accesso e l’utilità strumentale all’esercizio dell’ufficio di consigliere comunale o provinciale non può essere disconosciuta in presenza di una richiesta concernente documentazione risalente ad un periodo temporale anteriore all’inizio dello svolgimento del mandato elettorale (CdS, Sez. V, n. 3879/2006).

L’assenza di limitazioni relative alla riservatezza

La sentenza n. 4525/2014 ha precisato che “il diritto del consigliere comunale ad ottenere dall’ente tutte le informazioni utili all’espletamento delle funzioni non incontra neppure alcuna limitazione derivante dalla loro eventuale natura riservata, in quanto il consigliere è vincolato al segreto d’ufficio” (richiamando CdS, Sez. V, n. 4829/2011 e n. 2716/2004). Il principio non è tuttavia da intendersi come assoluto perché, come vedremo nella sezione che segue, sussistono delle limitazioni all’accesso per gli atti riservati per disposizione di legge o per ordine del Sindaco o del Presidente della provincia.

I limiti all’esercizio del diritto di accesso

La giurisprudenza e la dottrina hanno individuato alcuni limiti all’esercizio del diritto di accesso dei consiglieri comunali, di cui offriamo una sintesi nei paragrafi che seguono.

La giurisprudenza è concorde nel ritenere che gli unici limiti all’esercizio del diritto di accesso dei consiglieri comunali possono rinvenirsi “per un verso, nel fatto che esso deve avvenire in modo da comportare il minor aggravio possibile per gli uffici comunali (attraverso modalità che ragionevolmente sono fissate nel regolamento dell’ente) e, per altro verso, che esso non deve sostanziarsi in richieste assolutamente generiche ovvero meramente emulative” (CdS n. 4525/2014, richiamato da CdS n. 5750/2024). Tuttavia, il Consiglio di Stato precisa che “la sussistenza di tali caratteri deve essere attentamente e approfonditamente vagliata in concreto al fine di non introdurre surrettiziamente inammissibili limitazioni al diritto stesso” (CdS n. 4525/2014).

In particolare, relativamente alle modalità di esercizio, il diritto deve essere esercitato in modo da comportare il minor aggravio possibile per gli uffici comunali, attraverso modalità ragionevolmente fissate nel regolamento dell’ente (CdS, Sez. V, n. 4471/2005; TAR Lombardia, Brescia, n. 128/2005). Il consigliere comunale o provinciale non può abusare del diritto all’informazione, pregiudicando la corretta funzionalità delle strutture amministrative con richieste non contenute entro limiti di proporzionalità e ragionevolezza (TAR Liguria, Sez. II, n. 214/1998).

Per quanto riguarda i documenti riservati, il D.Lgs. n. 267/2000 prevede un esplicito divieto per gli atti definiti riservati per espressa disposizione di legge o per effetto di una temporanea e motivata dichiarazione del Sindaco o del Presidente della Provincia che ne vieti l’esibizione (art. 10, c. 1). Se non v’è questione rispetto al vincolo di riservatezza stabilito per legge, quanto al vincolo per ordine del Sindaco o del Presidente della Provincia non sono mancate, in giurisprudenza, voci di dissenso rispetto alla disposizione di cui all’art. 10 citato, secondo le quali lo stesso introdurrebbe una facoltà attribuita al Sindaco o al Presidente della Provincia che risulta non del tutto compatibile con la natura di diritto soggettivo riconosciuta al diritto di accesso (TAR Umbria, n. 21/2009).

Infine, si è ritenuta legittima l’omessa evasione della domanda di accesso avanzata dagli amministratori locali in presenza dell’imposizione di limitazioni agli orari degli uffici competenti a rispondere, in ragione di un notevole carico di lavoro (CdS, Sez. V, n. 4183/2006).

Quanto alle modalità e alle forme dell’accesso, l giudice amministrativo ha riconosciuto legittimo l’utilizzo di supporti informatici da parte delle autonomie locali per consentire l’accesso dei consiglieri comunali e provinciali, ovvero il rilascio in formato digitale del documento richiesto (TAR Veneto, Sez. I, n. 3879/2006).

Il rapporto tra diritto di accesso del consigliere e diritti fondamentali: la regola del ragionevole bilanciamento

Secondo il Consiglio di Stato “il diritto di accesso del consigliere comunale è sottoposto alla regola del ragionevole bilanciamento propria dei rapporti tra diritti fondamentali”, in quanto, seppur si tratti di un diritto più ampio rispetto al corrispondente previsto in generale per i cittadini, in ragione del mandato politico ricevuto “è altrettanto vero che tale estensione non implica che esso possa sempre e comunque esercitarsi con pregiudizio di altri interessi riconosciuti dall’ordinamento meritevoli di tutela, e dunque possa sottrarsi al necessario bilanciamento con quest’ultimi” (CdS, Sez. V, n. 2089/2021, conf. 3564/ 2023).

Il medesimo principio è stato affermato anche dalla giurisprudenza amministrativa di merito, tra cui il TAR Lazio, che ha ribadito che “il diritto di accesso come concepito dal legislatore deve incontrare comunque un equilibrato rapporto in grado di garantire anche l’efficacia e l’efficienza dell’operato dell’amministrazione locale; tale diritto, quindi, deve essere verificato al fine di un suo esercizio che sia in concreto efficace sia per il consigliere sia per l’amministrazione comunale e non sia meramente emulativo …“(TAR Latina, Sez. I, n. 49/2023).

In base a questo orientamento, dunque, il consigliere comunale non può presentare istanze di accesso generalizzato ed indiscriminato a tutti i dati di un determinato settore dell’amministrazione, ma deve presentare istanze in linea alle esigenze conoscitive sottese alla “ratio” della norma di cui all’art. 43 del TUEL.

Se questo è vero, è altrettanto vero tuttavia che, come esposto nelle precedenti sezioni di questo lavoro, sul consigliere comunale non può gravare alcun particolare onere di motivare le proprie richieste di accesso, in quanto questo determinerebbe una sorta di controllo dell’ente sull’esercizio delle funzioni del consigliere comunale.

Diritto di accesso e privacy

Il criterio del “ragionevole bilanciamento” e le criticità che si trascina dietro si presenta in modo sistematico ogniqualvolta i documenti a cui il consigliere richiede di accedere contengano dati personali di terzi, di categorie particolari (“sensibili” e “giudiziari” secondo la terminologia ante Reg. UE 679/2016 o GDPR).

La base giuridica su cui si fonda il trattamento nel caso di accesso ai dati dell’ente da parte del Consigliere Comunale è l’art. 43, comma 2, del TUOEL.

Secondo il Consiglio di Stato “Siffatta situazione giuridica, quantunque individualizzata in capo a ciascun consigliere, presenta la sostanza di un diritto soggettivo pubblico funzionalizzato, ovverosia implica l’esercizio di facoltà finalizzate al pieno ed effettivo svolgimento delle funzioni assegnate direttamente al Consiglio comunale; l’informazione in discorso è, dunque, strumentale all’attuazione del generale potere di indirizzo e di controllo politico-amministrativo ascritto a tale supremo organo di governo dell’ente locale” (CdS n. 4471/2005).

Da questo discende che la normativa sulla privacy sarà rispettata purché vengano rispettate le condizioni previste dal richiamato art. 43, che legittimano l’accesso del consigliere e che il trattamento avvenga rispettando i principi generali previsti dall’art. 5 del GDPR, ovvero che i dati siano:

1. trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»);
2. raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»);
3. adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);
4. esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»);
5. conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato («limitazione della conservazione»);
6. trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»)

‍

Sulla richiesta di accesso a dati personali da parte dei consiglieri comunali, è intervenuto più volte il Garante della privacy, da una parte riconoscendo che la disposizione dell’art. 43 TUOEL non è venuta meno per effetto della normativa sulla protezione dei dati personali (come in talune sedi era stato adombrato), ma ribadendo dall’altra che il diritto di accesso dei consiglieri deve essere esercitato in osservanza del segreto d’ufficio a cui sono tenuti e deve riguardare esclusivamente “dati effettivamente utili per l’esercizio del mandato e ai fini di questo”, che equivale a dire che deve essere esercitato nel rispetto dei principi di pertinenza e di non eccedenza (sul punto si veda anche CdS Sez. V, n. 5109/2000, che richiama il provvedimento del Garante del 20 maggio 1998).

Di fronte alla tutela dei dati personali, dunque, il criterio del bilanciamento richiede che il diritto del consigliere ad accedere agli atti e alle informazioni deve essere esercitato nel rispetto del segreto d’ufficio e dei principi di pertinenza e non eccedenza, di modo che l’esercizio di questo diritto non pregiudichi altri interessi tutelati dalla legge.

Questa linea cautelativa è stata confermata anche dal Dipartimento per gli affari interni e territoriali del Ministero dell’interno, nel Parere n.40966 del 20.12.2024, in cui, esprimendosi su un caso di richiesta, da parte di un consigliere comunale, di copia del decreto di fissazione dell’udienza preliminare rilasciato da un tribunale ordinario in cui il comune risulta parte offesa e da cui si evincevano dati sensibili, ha espresso la necessità che sia effettuato un corretto bilanciamento dei diritti alla riservatezza del privato cittadino e del diritto di informazione del consigliere secondo i principi sopra esposti.

In conclusione

Il diritto di accesso agli atti e alle informazioni riconosciuto al Consigliere Comunale ai sensi dell’art. 43 TUOEL costituisce una tipologia peculiare di accesso agli atti ed ha un’estensione amplissima, in ragione del ruolo pubblico rivestito da tale particolare soggetto. Il Comune non possiede strumenti per limitarlo, anche se può disciplinarne l’uso e tutelarsi in caso di abuso.

La normativa e gli orientamenti giurisprudenziali correnti non offrono la possibilità all’amministrazione comunale di rigettare le istanze di accesso sulla scorta di un paventato conflitto con il diritto alla privacy (come qualsiasi altro diritto tutelato dall’ordinamento) del privato cittadino: al contrario, in tale eventualità, impongono all’ente l’onere di effettuare il bilanciamento tra i diritti confliggenti al fine di reperire modalità operative in cui possa essere ammesso l’accesso e rispettati i diritti del privato, bilanciamento che porterà al rigetto tout court dell’istanza solo nei casi (rarissimi nella pratica) in cui non siano reperibili modalità operative che permettano di rispettare entrambi i diritti in contrasto e il diritto del privato debba considerarsi prevalente rispetto al diritto all’informazione del Consigliere.

Ovviamente il tutto dovrà risultare in modo dettagliato e logico dalla motivazione del provvedimento.

Parere DAIT Min. Interno n.40966 del 20.12.2024

Hai un problema su questo argomento? Prenota ora un consulto!

L'articolo Il diritto di accesso agli atti del consigliere comunale proviene da Studio Legale Squassoni.

Ieri, durante i negoziati tra Commissione UE, Consiglio e Parlamento, è stato concluso l’accordo sul nuovo regolamento europeo per la tutela dei dati personali, che introdurrà una legislazione unica per tutti i 28 stati membri, mandando in pensione le attuali normative europee e nazionali.

La riforma, che ha avuto un iter di elaborazione abbastanza lungo (la prima proposta è stata presentata nel gennaio 2012), e il cui testo finale sarà adottato dal Parlamento a inizio 2016, farà perno su due strumenti: il regolamento generale sulla protezione dei dati e la direttiva sulla protezione dei dati per il settore giustizia penale e i sistemi di polizia.

Il primo mira a rafforzare il controllo effettivo del cittadino sull’uso che viene fatto dei suoi dati e a conferire alle imprese la possibilità di sfruttare, con regole certe e uniformi, le opportunità offerte dal nascente mercato unico digitale.

La seconda, orientata alla giustizia penale, mira a garantire un’adeguata protezione dei dati di vittime, testimoni e indagati nel contesto di indagini e azioni di contrasto alla criminalità e a favorire, grazie alla uniformità delle regole, la cooperazione transfrontaliera degli organi di giustizia e polizia per il contrasto alla criminalità e al terrorismo.

Se questi sono gli intenti, così come esplicitati dal comunicato stampa della Commissione (che si può trovare al link http://europa.eu/rapid/press-release_IP-15-6321_it.htm), all’atto pratico l’approccio delle imprese italiane al problema privacy  dovrà cambiare.

Non si tratta infatti di una semplice revisione della normativa, ma di una vera e propria riforma, che, per la realizzazione degli intenti dichiarati, comporterà il passaggio da un sistema di tipo formalistico ad uno di tipo sostanzialistico, in cui vengono ampliati i diritti dei privati (dei cui dati si tratta) da una parte e valorizzati il ruolo e la responsabilità dei Titolari del trattamento dall’altra.

Soffermando l’attenzione sul regolamento generale, vediamo di sintetizzare i principali elementi di innovazione.

Innanzitutto, val la pena di osservare che il regolamento (in quanto tale, secondo l’art 288 del TFUE) sarà direttamente ed immediatamente esecutivo e non necessiterà del recepimento da parte degli Stati membri (ai quali sarà comunque lasciata la possibilità di mantenere o adottare norme specifiche di settore) e la sua entrata in vigore sarà differita di due anni rispetto alla promulgazione, periodo durante il quale i Titolari dei trattamenti dovranno provvedere ad adeguarsi alle nuove disposizioni.

Dato che il testo normativo da applicare sarà quello del regolamento, sparirà finalmente l’insulsa differenza terminologica (che in queste righe continuo, per chiarezza, a utilizzare) che ha caratterizzato la nostra legislazione rispetto alla normativa europea: il nostro “Titolare” diverrà dunque il “Responsabile” e il nostro “Responsabile” l’”Incaricato”.

Riguardo al campo di applicazione, varrà il principio “european rules on european soil”: il diritto dell’Unione Europea in materia si applicherà anche ai trattamenti di dati personali non svolti nell’UE, se relativi all’offerta di beni o sevizi a cittadini UE o tali da comportare il monitoraggio dei loro comportamenti.

Il regolamento resterà applicabile al trattamento di dati di persone fisiche e si applicherà anche al trattamento di identificativi prodotti da dispositivi, applicazioni, strumenti e protocolli, quali gli indirizzi IP, i cookies e i tag di identificazione a radiofrequenza.

La nuova normativa sarà intesa a conferire al cittadino una tutela rafforzata rispetto al trattamento dei (propri) dati personali, in conformità con il principio, sancito dalla Carta dei diritti fondamentali dell’Unione europea, secondo cui ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano in tutti gli ambiti della propria esistenza.

Nel regolamento verranno dunque confermati ed ampliati i diritti “classici” relativi al trattamento dei dati personali e ne verranno sanciti (o meglio, consolidati) di nuovi, quali, in particolare, il diritto all’oblio e il diritto alla portabilità del dato.

Quanto agli “obblighi”, verrà introdotto il principio di rendicontazione (“accountability”), secondo cui il Titolare del trattamento deve conservare la documentazione di tutti i trattamenti effettuati sotto la propria responsabilità, indicando obbligatoriamente, per ognuno di essi, una serie cospicua di informazioni, tali da assicurare e comprovare la conformità di ciascuna operazione alle disposizioni normative (in pratica si richiederà la codifica della politica e della attività di trattamento).

Verrà ampliato e potenziato il principio di trasparenza e di informazione nei confronti dell’interessato: il Titolare del trattamento sarà tenuto ad adottare politiche concise, trasparenti, chiare e facilmente accessibili e a rendere informazioni e comunicazioni con un linguaggio semplice e chiaro (in particolare se le informazioni sono destinate ai minori). Verrà reso più stringente l’obbligo di informativa, il cui contenuto viene ampliato, e verrà reso più capillare l’obbligo di acquisizione dei consensi (che dovranno essere specifici).

Verrà valorizzato l’approccio orientato al rischio: in ogni caso, anziché imporre pesanti obblighi applicabili indistintamente, le norme adatteranno gli obblighi ai corrispondenti rischi. Questo comporta che, alla base della politica aziendale sul trattamento dei dati, dovrà essere posta una seria operazione di valutazione dei rischi indotti dall’attività specifica, mentre nei casi in cui il trattamento alla base dei processi aziendali, per sua natura, oggetto o finalità, presenti rischi specifici per i diritti e le libertà degli interessati i Titolari dovranno effettuare una Valutazione degli impatti privacy (Data Protection Impact Analysis o DPIA) fin dal momento della progettazione del processo aziendale.

Verranno introdotti i principi di “Privacy by design” e “Protezione di default”: i processi e le attività aziendali dovranno essere progettati e strutturati per tutelare di per sé, strutturalmente e in automatico, i dati trattati, dall’acquisizione alla cancellazione.

Verrà prevista, per alcune categorie di Titolari, la designazione obbligatoria di un Data Protection Officer (il famoso Privacy Officer) o DPO, una vera e propria nuova figura professionale, che dovrà disporre di precise e specifiche competenze sia giuridiche che informatiche nell’ambito della protezione dei dati personali, a cui dovranno essere assicurate indipendenza e dotazione di mezzi e che dovrà svolgere funzioni sostanzialmente informative, consultive e di vigilanza sull’attuazione della normativa e della politica aziendale sul trattamento dei dati, e fungerà da “punto di contatto” tra l’azienda e l’autorità di controllo.

Quanto a quest’ultima, verrà introdotto il principio dello “sportello unico” (one-stop-shop): le imprese avranno a che fare con un’unica autorità di controllo.

Verrà inoltre prevista la notificazione di ogni eventuale violazione dei dati sia all’Autorità di controllo sia all’interessato.

Infine, verrà ristrutturato il sistema delle sanzioni, che verrà ampliato e sensibilmente inasprito.

Bisognerà attendere la promulgazione del regolamento per dire l’ultima parola sulla nuova fisionomia del diritto alla protezione dei dati e sulle soluzioni organizzative che i Titolari dovranno reperire per darvi piena attuazione.

Sicuramente in un sistema come il nostro, in cui la normativa sulla “privacy” è stata vissuta fino ad oggi dai Titolari, in larghissima misura, come un coacervo di obblighi puramente formali, dovrà determinarsi un cambio di prospettiva e di mentalità quasi rivoluzionario.

Nella mia esperienza ho avuto modo di osservare come nelle aziende italiane (e non mi riferisco solo alle private, ma anche e forse soprattutto alle pubbliche), nella maggior parte dei casi, non vi sia la minima percezione di cosa significhi davvero trattare dati personali e cosa questo comporti.

Nella maggior parte dei casi l’utilità di una politica seria sul trattamento dei dati e la necessità di adottare misure di protezione idonee secondo le circostanze, con adeguati meccanismi di controllo per l’individuazione delle falle, non vengono neppure prese in considerazione, mentre viene tributata un’importanza irrazionalmente sproporzionata al “documento in regola”, all’informativa ben scritta di cui si ignora il contenuto, alle notificazioni e alle richieste di autorizzazione, al Documento Programmatico sulla Sicurezza (almeno quando era obbligatorio il rinnovo annuale) pieno di tabelle ed elenchi generati da qualche software, che nessuno ha mai letto.

E’ chiaro come le cose debbano cambiare: il nuovo sistema richiede non solo che vi siano politiche interne e che esse siano ben strutturate, ben conosciute e ben attuate da parte di tutti gli operatori, ma che sulla base di esse venga strutturata tutta l’attività aziendale, con un cambio radicale di prospettiva rispetto a quanto avviene oggi.

Una risposta efficace ai nuovi obblighi impone la predisposizione e formalizzazione di un preciso codice etico, di un organigramma privacy interno che tracci i flussi dai dati, di un mansionario che vada a definire il “chi fa cosa” in termini di trattamento e responsabilità, coerentemente alle mansioni aziendali e, in caso di trattamenti esternalizzati, la determinazione, a livello contrattuale, di Service Level Agreement (SLA) o Privacy Level Agreement (PLA), il tutto coordinato e integrato con i protocolli organizzativi e produttivi aziendali e con il “Sistema 231” (responsabilità amministrativa delle persone giuridiche) per la protezione dell’organizzazione dalla commissione dei illeciti.

Insomma, dovrebbe andarsi verso il sistema di gestione integrato, di cui la privacy dovrebbe diventare uno dei pilastri.

Del resto, il cambiamento potrebbe essere meno traumatico di quanto si possa pensare, visto e considerato che quel che veramente si richiede è di ricomprendere la privacy all’interno di una visione “olistica” alla realtà aziendale, alla pari degli altri processi.

In ogni caso, due anni per organizzarsi sono più che sufficienti, l’importante è non perdere tempo.

16.12.2015

Fabio Squassoni

L'articolo Privacy, cambiano le regole proviene da Studio Legale Squassoni.