Il governo italiano continua a ritardare l’esercizio della delega. L’abrogazione del Codice Privacy appare una forzatura

L’abrogazione del Codice non è il problema

Il GDPR ricalca i principali contenuti della disciplina preesistente italiana. Anche se il Codice del 2003 viene sostanzialmente abrogato, questa rappresenta solo una scelta normale e comunque non è di certo un problema per i cittadini italiani e dell’Unione Europea. Il d. lgs. 196/2003, laddove non incompatibile col regolamento UE, continuerà a rappresentare un patrimonio giuridico di importanza notevole. A confermarlo è Giusella Finocchiaro, presidente della Commissione incaricata di adeguare la normativa italiana in materia di dati personali al Regolamento Ue 679/2016: “Abrogare o non abrogare il Codice per la protezione dei dati personali non significa elevare o diminuire la tutela giuridica. Il diritto alla protezione dei dati personali, è patrimonio giuridico europeo. Il Codice è comunque sostituito dal Regolamento europeo per la maggior parte dei suoi articoli. Mantenere ciò che resta è una questione di tecnica normativa. La scelta più razionale sembra quella di avere due testi normativi e non tre. Ed è la scelta che rende il coordinamento più semplice per tutti gli interpreti e gli operatori” (Giusella Finocchiaro, Gdpr, perché abrogare il Codice Privacy è la scelta migliore e che cosa comporta, “agendadigitale.eu”, 9 aprile 2018).

I protagonisti sono chiamati all’azione

Al di là della scelta formale, il GDPR rappresenta una vera e propria chiamata all’azione per gli Stati membri e in generale per tutti i protagonisti del settore. Chiama titolare, responsabile del trattamento, aziende, imprese, enti pubblici a ripensare alla propria organizzazione aziendale al fine di conservare e trattare al meglio il dato personale. Il regolamento punta a intervenire su approcci sbagliati o addirittura, a volte, proprio inesistenti. Loredana Rossiello, Data Protection Officer e Consulente Privacy e Sicurezza Dati, dichiara: “Il vero passaggio da compiere è cogliere l’importanza di abbandonare le precedenti, ed errate, abitudini per approcciarsi ad un vero e proprio cambiamento. Senza alcuna esagerazione si può affermare che la GDPR richieda una ristrutturazione aziendale” (“La GDPR richiede una rivoluzione aziendale”: le dichiarazioni di Loredana Rossiello, consulente privacy e sicurezza dati, “infoazienda.net”, 6 luglio 2017).

Bisogno di concretezza

Il GDPR risponde ai veri problemi in materia di privacy e detta, passo dopo passo, gli interventi che titolare e responsabile del trattamento devono attuare per una maggiore tutela del dato. Si risponde ad un bisogno di concretezza che porta all’azione, naturalmente non immediata e drastica perché tanti e diversi sono i concetti da assimilare. L’avvocato Massimo Bacci, esperto in materia di proprietà intellettuale, afferma: “L’informativa firmata non salverà più nessuno se il dato personale non è stato trattato con il rispetto che merita. Meno scartoffie inutili e più concretezza dunque. I dati personali vanno protetti e bisogna farlo nel miglior modo possibile” (Massimo Bacci, Il GDPR (General Data Protection Regulation), “iprights.it”, consultato il 3 giugno 2018).

Rischio eccesso di delega

La delega conferita al governo dal Parlamento per adattare le normative nazionali al Regolamento prevedeva inizialmente di lasciare intatto il codice della privacy. Successivamente si è andati verso una quasi completa abrogazione dello stesso, per un paventato contrasto con le norme del GDPR che, essendo regolamento europeo, è direttamente applicabile agli Stati membri indipendentemente dall’esercizio della delega. In questo modo però il rischio di incostituzionalità per eccesso di delega, ex art. 76 della Costituzione, è dietro l’angolo.
Andrea Lisi, esperto in Diritto dell'Informatica e presidente di Anorc Professioni, conferma: “Solitamente si cerca sempre di seguire (in modo più o meno rigoroso) la delega ricevuta per non incorrere nell’eccesso previsto dall’art. 76 Costituzione. Con questo schema incredibilmente si è scelto invece di andare proprio da un’altra parte – e in modo piuttosto schizofrenico – non ultimo alla luce dell’annunciata abrogazione anche delle sanzioni penali previste dal Codice che la legge delega aveva espressamente richiesto di mantenere” (Il Codice privacy è abrogato e il Regolamento Ue non si può applicare. Abbiamo scherzato, “ilfattoquotidiano.it”, 6 aprile 2018).

Dello stesso avviso Elena Bassoli, avvocato in Diritto delle nuove tecnologie e docente in Diritto dell'Informatica e di Internet dal 1995: “Un atto così come descritto, di abrogazione totale del d. lgs. 196/2003, a mio modesto avviso, potrebbe incorrere, fin dai suoi primi mesi di applicazione, in una questione di legittimità costituzionale per eccesso di delega ai sensi dell'art. 76 Costituzione” (Incostituzionale il d. lgs. che abroga il T.U. Privacy (d. lgs. 196/2003)?, “linkedin.com”, 23 marzo 2018).
Forse si è agito con troppa leggerezza, sottovalutando peraltro un Codice che era già all’avanguardia nell’anno della sua nascita, il 2003 e dando troppo spazio alle indicazioni dell’Unione Europea e a un regolamento che sembra ancora troppo fumoso.

Le sanzioni come spauracchio

La rincorsa per arrivare pronti all’entrata in vigore del regolamento, il 25 maggio 2018, ha portato ad un’approssimazione dettata soprattutto dalla paura di incorrere in sanzioni da parte dell’Unione Europea. L’Italia, ancora una volta, non si è fatta trovare pronta all’appuntamento, ma è in buona compagnia, perché, gran parte degli Stati membri deve ancora capire come intervenire per armonizzare il GDPR con le normative nazionali.
Marco Gentilini, blogger e consulente privacy, afferma: “Il primo modo, che io chiamo all’Italiana, è quello di raffazzonare alla bene e meglio quello che è stato fatto per il D.Lgs 196/2003 (sempre che sia stato fatto ovviamente..), con l’unico scopo di adottare la forma minima atta ad evitare le sanzioni o, quanto meno, a ridurle al minimo” (Marco Gentilini, Il GDPR scatterà il 25 Maggio 2018, termine entro il quale tutte le aziende europee devono adottare le misure adeguate in base al nuovo Regolamento Europeo per la Protezione Dati EU-GDPR 2016/679, “marcogentilini.com”, consultato il 3 giugno 2018).

Claudio Alessandro Colombrita, 15 giugno 2018