IL DIRITTO DI ACCESSO E LA PROTEZIONE DEI DATI PERSONALI

1. IL DIRITTO DI ACCESSO E LA PROTEZIONE DEI DATI PERSONALI Legge 241/1990 D. Lgs. n. 196/2003 28 marzo 2007 Dott.ssa Luisa Sarri

2. Presupposti • Finalità: assicurare la trasparenza dell'attività amministrativa e di favorirne lo svolgimento imparziale", in attuazione dell’art. 97 della Costituzione, per il quale la legge assicura "il buon andamento e l'imparzialità dell'Amministrazione". • Risultato perseguito: diffusa conoscenza dei processi decisionali, favorendo la partecipazione ed il controllo degli amministrati sui comportamenti dei soggetti che agiscono per l'Amministrazione, che sono, pertanto, stimolati a comportarsi responsabilmente, con attenzione, diligenza e correttezza e sulla base di parametri di legalità, con il conseguente svolgimento di una attività controllabile e, quindi, qualitativamente migliore.

3. Natura giuridica Il diritto di accesso si configura come un diritto soggettivo perfetto che può essere esercitato da chiunque vi abbia interesse (soggetto terzo rispetto al procedimento), indipendentemente da ogni giudizio sull'ammissibilità o fondatezza della domanda giudiziale eventualmente proponibile sulla base dei documenti acquisiti mediante l'accesso. L’accertamento dell’esistenza del diritto in concreto è demandato, in prima battuta, all'amministrazione e poi, in caso di contestazione, al giudice. (Cons.Stato Sez. VI, 26-04-2005, n. 1896)

4. L. 241/1990 soggetti privati che abbiano un interesse diretto, concreto ed attuale corrispondente ad una situazione giuridicamente tutelata e collegata al documento. Particolare categoria: amministratori pubblici; associazioni portatrici di interessi collettivi/diffusi (Cons. Stato Sez. VI, 10-02-2006, n. 555) Diritto di accesso – soggetti attivi Interessati • D. Lgs. 267/2000 “tutti gli atti dell'amministrazione comunale e provinciale sono pubblici", ad eccezione di quelli riservati per legge o dichiarati tali da un atto del sindaco o del presidente della provincia allo scopo di tutelare la riservatezza delle persone, dei gruppi o delle imprese (art 22 L. n. 241/1990; art. 10 D. Lgs. n. 267/2000)

5. Diritto di accesso – soggetti passivi Autorità competente a formare l’atto o che lo detiene stabilmente e precisamente: • Soggetti di diritto pubblico • Soggetti di diritto privato limitatamente alla loro attività di pubblico interesse ( pubbliche amministrazioni, aziende autonome e speciali, enti pubblici, gestori di pubblici servizi, autorità di garanzia e vigilanza). (artt. 22 e 23 L. n. 241/1990)

6. Esclusione - differimento Accesso sempre garantito quando la conoscenza del documento sia necessaria per curare o difendere i propri interessi giuridici. Per i dati idonei a rivelare stato di salute o vita sessuale nei limiti di cui all’art. 60 D. Lgs. n. 196/2003. Non è possibile negare l’accesso quando l’interesse può essere adeguatamente tutelato con il differimento. (TAR Sicilia Catania Sez. IV, 20-07-2006, n. 1194; Consiglio di Stato , Quinta Sezione , 1999; Cons. Stato Sez. IV, 30-07-2002, n. 4078 )

7. Segreto di stato Procedimenti tributari Procedimenti selettivi (informazioni psicoattitudinali relative a terzi) Attività diretta all’emanazione di atti normativi, amministrativi generali, di pianificazione e di programmazione Esclusione - differimento

8. Esclusione - differimento • Altri casi individuati con regolamento: • atti e documenti che riguardino la vita privata o la riservatezza di persone fisiche, giuridiche, gruppi, imprese, associazioni, con particolare riferimento agli interessi epistolare, socio-sanitario, professionale, finanziario, industriale e commerciale • atti e documenti relativi a controversie legali • prospetto assenze dei dipendenti e cartellini marcatempo • dati anagrafici, notizie personali, informazioni su problemi di handicap, su situazioni finanziarie o in genere di disagio sociale • atti del procedimento disciplinare, atti di valutazione del personale (TAR Toscana Sez. II, 18-11-2005, n. 6458 sull’esercizio della professione di giornalista)

9. Segreto d’ufficio Il segreto d’ufficio costituisce obbligo di carattere generale, salvo l'esercizio del diritto di accesso (art. 15 T.U. impiegati civili dello stato n. 3/1957 e art. 326 c.p.)

10. Soggetti da coinvolgere nel procedimento • Controinteressati soggetti, individuati o individuabili, che dall’esercizio dell’accesso possono vedere pregiudicato il loro diritto alla riservatezza. Devono essere coinvolti nel procedimento attivato dal richiedente l'accesso. Hanno la possibilità di opporsi alla richiesta. (art 22 L. n. 241/1990)

11. Modalità di esercizio • Richiesta motivata all’amministrazione che ha formato il documento o che lo detiene stabilmente. • Accesso informale e formale • Avviso ai controinteressati (entro 10 giorni dal ricevimento opposizione motivata) • Consultazione/copiatura/estrazione di copia (la p.a. non è tenuta ad elaborare i dati) • Regime fiscale • Entro 30 giorni risposta/decorsi inutilmente 30 giorni rigetto (art. 25 L. n. 241/1990)

12. Forme di tutela • Ricorso al TAR entro 30 giorni dalla decisione o dal diniego tacito (giurisdizione esclusiva). Il TAR decide entro 30 giorni dalla scadenza del termine per il deposito del ricorso e può ordinare l’esibizione del documento. • Richiesta di riesame al Difensore civico o alla Commissione per l’accesso (anche in questo caso successivamente ricorso al TAR) (art. 25 L. n. 241/1990)

13. Obbligo di pubblicazione La p.a. deve pubblicare: • direttive, programmi, istruzioni • circolari • atti in materia di organizzazione, funzioni, obiettivi, procedimenti amministrativi • atti interpretativi di norme giuridiche Con la pubblicazione integrale l’accesso si intende realizzato (art. 26 L. n. 241/1990)

14. Dato personale qualunque informazione relativa a persone fisiche, giuridiche identificati o identificabili Privacy - definizioni • Dati sensibili dati personali idonei a rivelare l’origine razziale, etnica, le convinzioni religiose, politiche, etc, l’adesione a partiti o sindacati, etc, lo stato di salute e la vita sessuale (sono una categoria specifica di dati personali) (artt. 4 e 17 D. Lgs. n. 196/2003)

15. Dati “intermedi” dati, non sensibili, il cui trattamento presenta rischi per i diritti e le libertà fondamentali o per la dignità dell’interessato (il trattamento è consentito soltanto adottando le misure preliminarmente stabilite dal Garante). (provvedimento del Garante del 27/10/2005: dati biometrici e riprese video presso istituti di credito) Dati giudiziari dati idonei a rivelare provvedimenti in materia di condanne penali, procedimenti penali in corso, la qualità di indagato o imputato (sono una categoria specifica di dati personali) Trattamento qualunque operazione concernente la raccolta, la conservazione, l’utilizzo, etc. di dati personali Definizioni (segue)

16. Comunicazione dare conoscenza di dati personali a soggetti determinati Diffusione dare conoscenza di dati personali a soggetti indeterminati Banca dati qualsiasi complesso organizzato di dati personali Misure minime complesso di misure tecniche, informatiche, organizzative, etc. che garantiscono il livello minimo di protezione previsto dall’art. 31 del D. Lgs. n. 196/2003. Definizioni (segue)

17. Principi generali • Principio di necessità: i dati personali possono essere utilizzati soltanto quando lo scopo finale non può essere realizzato utilizzando dati anonimi o che consentano di identificare l’interessato solo in caso di necessità • Principio di correttezza e non eccedenza: i dati personali devono essere esatti, aggiornati, pertinenti, completi, non eccedenti rispetto allo scopo e conservati solo per il tempo necessario (artt. 3 e 11 D. Lgs. n. 196/2003)

18. Soggetti che effettuano il trattamento • Titolare del trattamento: il soggetto cui competono le decisioni in materia di finalità e modalità del trattamento. • Responsabile del trattamento: il soggetto preposto dal titolare al trattamento dei dati (ne ha la responsabilità in via derivata). La nomina è facoltativa. Possono essere nominati più responsabili. I compiti sono specificati per iscritto. Concessionari di servizi pubblici. • Incaricati del trattamento: le persone fisiche autorizzate dal titolare o dal responsabile a compiere operazioni specifiche. La designazione deve essere scritta: tuttavia è tale anche la documentata assegnazione ad un ufficio che tratta dati personali. (Art.4 e 28 – 30 D. Lgs. n. 196/2003)

19. Diritti dell’interessato L’interessato ha diritto di conoscere l’esistenza del trattamento, i propri dati, etc., ottenerne l’aggiornamento o la cancellazione ed opporsi in tutto o in parte ad alcuni tipi di trattamento (art. 7 d. Lgs n. 196/2003). La richiesta può essere rivolta senza formalità al titolare ed al responsabile, anche tramite un incaricato (con raccomandata, telefax, posta elettronica ed anche oralmente). La richiesta può essere rinnovata con intervallo non inferiore a 90 giorni. I dati sono comunicati oralmente, offerti in visione, o inseriti su supporti cartacei o informatici. E’ possibile soddisfare la richiesta tramite esibizione o consegna di copia quando l’estrazione risulta difficoltosa. La comunicazione non riguarda dati relativi a terzi a meno che la scomposizione renda incomprensibili i dati dell’interessato. E’ ammesso un rimborso spese. (artt. 7 – 10 D. Lgs. n. 196/2003)

20. Informativa Può essere scritta o orale. Deve contenere: • le finalità e le modalità del trattamento • l’indicazione della natura obbligatoria o facoltativa del conferimento dei dati • le conseguenze del rifiuto di fornirli • l’indicazione dei soggetti cui i dati vengono comunicati • l’eventuale diffusione • l’indicazione dei diritti dell’interessato • l’indicazione del titolare e del responsabile • per i soggetti pubblici l’indicazione della normativa che prevede i compiti in base alla quale è effettuato il trattamento dei dati sensibili e giudiziari (artt. 13 e 22 D. Lgs. n. 196/2003)

21. Regole specifiche per i soggetti pubblici • Principio generale: il trattamento è consentito soltanto per lo svolgimento di funzioni istituzionali. • Ulteriore regola generale: i soggetti pubblici non devono richiedere il consenso dell’interessato. Per l’esercizio dei diritti dell’interessato e per l’obbligo di informativa si applicano il titolo II e l’art. 13 del D. Lgs. n. 196/2003. (Art. 18 D. Lgs. n. 196/2003)

22. Dati personali “comuni” Il trattamento è consentito anche in mancanza di una norma di legge o di regolamento che lo preveda, sempre che sia svolto per finalità istituzionali. La comunicazione ad altri soggetti pubblici è ammessa quando è prevista da una disposizione di legge o di regolamento. In mancanza è consentita se è necessaria per lo svolgimento di funzioni istituzionali e previa comunicazione al Garante. La comunicazione a privati è ammessa solo se prevista da legge o da regolamento. La diffusione è ammessa solo se prevista da norma di legge e di regolamento. (art. 19 D. Lgs. n. 196/2003)

23. Dati sensibili e giudiziari Il trattamento è consentito se: • è autorizzato da una disposizione di legge specifica (che indichi i dati trattabili, le operazioni eseguibili e le finalità di rilevante interesse pubblico). Per i dati giudiziari è possibile il trattamento anche se vi è un espressa decisione in tal senso del Garante. • è previsto da una disposizione di legge generica (che indica soltanto le finalità). In questo caso i dati trattati e le singole operazioni devono essere resi pubblici con regolamento: in mancanza il trattamento è illegittimo. (Osservazioni del Garante/schemi di regolamento ANCI). (artt. 20 e 21 D. Lgs. n. 196/2003)

24. Dati sensibili e giudiziari • Non è previsto da una espressa disposizione di legge: il trattamento è legittimo soltanto se, ad avviso del Garante, rientra in attività di rilevante interesse pubblico (la decisione del Garante è pubblicata in G.U.). Questo principio non si applica ai dati giudiziari. Il trattamento in questo caso può iniziare soltanto dopo la decisione del Garante. La pubblicità del trattamento deve avvenire anche in questo caso tramite regolamento. (artt. 20 e 21 D. Lgs. n. 196/2003)

25. Ulteriori principi per il trattamento dei dati sensibili e giudiziari Il trattamento è possibile soltanto se i dati sono indispensabili per lo svolgimento delle finalità istituzionali (se non è possibile utilizzare dati anonimi o altri dati personali). La verifica della indispensabilità deve essere svolta periodicamente: i dati sensibili eccedenti, non pertinenti etc. non possono essere utilizzati. Particolare attenzione deve essere prestata ai dati non raccolti presso l’interessato. (art. 22 D. Lgs. n. 196/2003)

26. Ulteriori principi per il trattamento dei dati sensibili e giudiziari I dati gestiti con strumenti elettronici sono trattati tramite cifratura, codici identificativi, etc., in modo tale che anche i soggetti autorizzati possano identificare l’interessato soltanto in caso di necessità. I dati idonei a rivelare stato di salute e vita sessuale sono conservati separatamente dagli altri e sono sottoposti a cifratura o ad altri sistemi analoghi anche se gestiti senza l’ausilio di strumenti elettronici. I dati relativi alla salute non possono essere mai diffusi. (art. 22 D. Lgs. n. 196/2003)

27. Misure minime di sicurezza L’adozione delle misure minime di sicurezza indicate nel Capo II del D. Lgs. n. 196/2003 e nel disciplinare tecnico allegato B del Decreto è obbligatoria.

28. Trattamenti specifici in ambito pubblico Ecco le principali: • Diritto di accesso: si applica la legge n. 241/1990. Tuttavia, quando il trattamento concerne dati idonei a rivelare stato di salute o vita sessuale è necessario confrontare l’interesse che si intende tutelare tramite il diritto di accesso e l’interesse protetto dalla normativa sulla privacy. L’accesso è comunque consentito quando serve per esercitare un diritto della personalità o una libertà fondamentale (artt. 59 e 60 D. Lgs. n. 196/2003). • Diritti politici e pubblicità dell’attività degli organi: non è consentita la divulgazione di dati sensibili e giudiziari non indispensabili. E’ comunque vietata la diffusione di dati relativi alla salute (art. 61 D. Lgs. n. 196/2003).

29. Trattamenti specifici in ambito pubblico (segue) • Attività di controllo e ispettive: art. 67 D. Lgs. n. 196/2003. • Benefici economici ed abilitazioni: la diffusione dei dati è consentita solo nei casi in cui è indispensabile per garantire la trasparenza (art. 68 D. Lgs. n. 196/2003). • Finalità in ambito amministrativo e sociale: art. 73 D. Lgs. n. 196/2003. • Stato civile, anagrafi e liste elettorali: art. 62 D. Lgs. n. 196/2003. Caso Laziomatica • Particolari contrassegni: art. 74 D. Lgs. n. 196/2003. • Rapporti di lavoro: art. 112 D. Lgs. n. 196/2003.

30. Tutela amministrativa Forme di tutela per l’interessato: • Tutela amministrativa: 1) reclamo: deve essere circostanziato; 2) segnalazione: nel caso in cui non sia possibile presentare un reclamo circostanziato. • Tutela alternativa a quella giurisdizionale: ricorso al Garante: è ammissibile soltanto dopo che l’interessato ha inviato richiesta al titolare (ai sensi dell’art. 8 c. 1 del D. Lgs. n. 196/2003) e sono trascorsi 15 giorni senza ricevere risposta oppure il titolare ha risposto negativamente. La firma deve essere autenticata. Il Garante invia il ricorso al titolare. (artt. 141 – 151 D. Lgs. n. 196/2003)

31. Tutela amministrativa Il titolare può aderire alla richiesta dell’interessato. Nel caso in cui non aderisca, se il Garante ritiene fondato il ricorso, stabilisce un termine entro il quale deve cessare il comportamento illegittimo. La mancata pronuncia del Garante entro 60 giorni, equivale a rigetto.

32. Tutela giurisdizionale In alternativa al ricorso al Garante l’interessato può presentare ricorso al Tribunale Civile del luogo ove ha sede il titolare. Il ricorso può essere presentato entro 30 giorni anche contro le decisioni del Garante (o contro il diniego tacito). Il giudice, se accoglie la domanda contro un soggetto pubblico, può disporre le misure necessarie a rendere legittimo il trattamento e disporre il risarcimento del danno. (art. 152 D. Lgs. n. 196/2003)

33. Principali sanzioni • Sanzioni amministrative pecuniarie:violazione delle disposizioni in materia di: a) informativa; b) mancata risposta a richieste di informazione o di esibizione di documenti avanzate dal Garante • Sanzioni penali: a) in particolare nei confronti di chiunque che, per trarre per sé o per altri un vantaggio o per arrecare un danno, tratta dati in modo difforme da quanto stabilito per i soggetti pubblici (artt. 18 – 22 D. Lgs. n. 196/2003) b) nei confronti di chi ometta l’adozione delle misure minime di sicurezza c) invia dichiarazioni false al Garante o non osserva un suo provvedimento. In ogni caso di responsabilità penale la sentenza di condanna deve essere pubblicata.

34. Il risarcimento del danno Il danno conseguente al trattamento dei dati personali deve essere risarcito, anche se i danni sono non patrimoniali. Spetta al titolare dimostrare di aver adottato tutte le misure necessarie ad evitare il danno e di aver agito nell’assoluto rispetto del D. Lgs. n. 196/2003. (art. 15 D. Lgs. n. 196/2003)